thumb|Kreditkort. Det var transaktioner med kreditkort, der blev lækket til Se og Hør.
Se og Hør-sagen (også kendt som Nets-skandalen eller tys-tys-skandalen) er en medie- og it-skandale hvor tys-tys-kilden ansat ved IBM, lækkede personfølsomme data fra Nets til Se og Hør, der gjorde ugebladet i stand til at få information om kendte og andre personers brug af kreditkort.
Sagen kom til offentlighedens kendskab sidst i april 2014 ved udgivelsen af journalisten og forfatteren Ken B. Rasmussens nøgleroman Livet, det forbandede. En hel række virksomheder og medier var involveret i sagen, Nets, IBM, Fujitsu, SAS, Naviair, Rigshospitalet, Forsvaret, Aller Media med Se og Hør, TV 2, Billed-Bladet og Ekstra Bladet.
Baggrund Se og Hør var kendt som et ugeblad om de kendte og ofte med afslørende historier. Bladet havde tidligere haft "et festligt samarbejde med de kendte", hvor de kendte kunne bremse en negativ historie, men med ansættelsen af Henrik Qvortrup skete der en ændring, — med Ken B. Rasmussens ord: "Vi havde ikke nogen presseetiske regler, som vi død og pine skulle overholde." Qvortrup indførte et tiphonorar til almindelige mennesker, der ringede ind til bladet og gav tip om kendte til en historie som kunne bringes i bladet. Aller-koncernen kunne udbetale 10.000 kr. sort til en kilde.
Overvågningen thumb|IBM. En tidligere IBM-medarbejder skal angiveligt have lækket fortrolige oplysninger til Se og Hør.
I 2007 outsourcede Nets driften af deres centrale it-systemer til IBM samtidig med at 71 Nets-medarbejdere blev flyttet med over. Blandt de 71 skal angiveligt være Se og Hørs "tys-tys-kilde". Overvågningen skal herefter angiveligt være begyndt i 2008. Ifølge mediernes oplysninger er det foregået ved at tys-tys-kilden modtog en SMS når overvågede personer benyttede deres kreditkort. Meddelelsen blev muligvis sendt automatisk og kunne modtages af kilden hjemme. Umiddelbart efter sendte tys-tys-kilden beskeden videre til Se og Hør-medarbejdere. Denne procedure skal ofte have foregået flere gange dagligt. Kilden var tilsyneladende ikke umiddelbart i stand til at tilføje nye navne til listen af overvågende; kun på bestemte tidspunkter kunne der tilføjes ekstra personer, men disse ville så fremover være overvågede. Medarbejdere fra Se og Hør kunne "byde ind" med nye navne.
Det var i begyndelsen uklart hvordan overvågningen rent teknisk var foregået, men programmøren og it-bloggeren Poul-Henning Kamp kom med det kvalificerede gæt at der var tale om en "trace"-facilitet i betalingskortssystemerne til sporing af kreditkort. En facilitet der under normale omstændigheder anvendes af politiet, som med en dommerkendelse ville kunne spore en eftersøgt person. Kamp forestillede sig at faciliteten kunne være en real-tids-SMS-service der under den normale procedure ville SMS'e direkte til politifolkene, hvorved at politiet og Nets undgik en masse papirarbejde. Det er også uklart om Nets og IBM havde et system til Security information and event management (SIEM) installeret og kørende korrekt i forbindelse med kreditkortssystemet. It-eksperter vurderede at et velfungerende kontrolsystem var fraværende og at et sådant system burde kunne have opdaget uregelmæssighederne. Ved sagen i Østre Landsret i juli 2014 og ved Højesteret i december 2014 fremlagde anklagemyndigheden deres opfattelse af hvordan det var muligt for tys-tys-kilde at tilgå data. Ifølge Statsadvokat Mohammad Ahsan havde tys-tys-kilden umiddelbart adgang til data om kort-transaktioner, men dog ikke navnene bag. Navnene skulle han dog angiveligt kunne få ved at nulstille kollegaers kodeord og logge ind via deres konti.
thumb|left|Prins Joachim var blandt de overvågede. thumb|Politikeren Morten Helveg Petersen var blandt de overvågede. Ifølge Ken B. Rasmussen var "alle, der havde bare det mindste navn" overvåget; ikke blot kendte men også mordmistænkte eller ulykkesofre. Det drejede sig om mindst 86 personer. Overvågningen berørte blandt andet Prins Joachim, komikeren Casper Christensen og tv-værten Line Baun Danielsen. I tilfældet med Prins Joachim gjorde overvågningen Se og Hør i stand til at lokalisere Prins Joachim og Prinsesse Marie på deres ellers hemmelige bryllupsrejse til Canada efter brylluppet i maj 2008. For Baun Danielsen kunne ugebladet se hendes betaling på et privathospital. Den tidligere cykelrytter Bo Hamburger, der havde været klassekammerat med den angivelige tys-tys-kilde, var også blandt de overvågede. Kreditkortsovervågningen af politikeren Morten Helveg Petersen gjorde bladet i stand til at følge hans rejse rundt i Europa med fly og bestilling af hotelværelse i Rom, og bladet diskuterede om de skulle skrive en historie udelukkende på baggrund af oplysninger fra kreditkorttransaktionerne. I 2008 havde Ken B. Rasmussen skrevet en historie for ugebladet med titlen "Morten Helveg Petersen: Kærlighedsferie betalt af skatteyderne", hvor informationer om Helveg Petersens private samvær med Line Baun Danielsen i forbindelse med et officielt NATO-møde øjensynligt var støttet af oplysninger fra tys-tys-kilden. Helveg Petersen havde da krævet et dementi af historien fra Se og Hør, og førte sagen for Pressenævnet hvor han dog tabte i oktober 2008. Selv personer der var under Politiets Efterretningstjenestes beskyttelse var også udsat for lækage: Se og Hør overvågede statsminister Lars Løkke Rasmussens transaktioner, og Pia Kjærsgaard og hendes mand Henrik Thorup fik lækket deres CPR-numre og den hemmelige adresse de boede under.
I foråret 2010 gennemførte PricewaterhouseCoopers en revision af IBM's drift af Nets' NemID. Revisionsrapporten påpegede flere svagheder ved adgangs- og rettighedshåndtering til systemet. Hvornår Finanstilsynet sidst har gennemført en it-inspektion hos Nets og IBM er ikke offentligt kendt. Der er ingen offentliggjorte inspektionsredegørelser siden 2010, og de har ikke været tilgængelige før 2010.
For sit arbejde skal tys-tys-kilde ifølge nøgleromanen have modtaget 10.000 kroner hver måned. Antagelig er tys-tys-kilden honoreret med cirka 310.000 kroner. Derudover fik kilden adgang til koncerter gennem akkreditering for Se og Hør. Det drejede sig om TV 2-arrangementet Top Charlie, hvor han var til efterfest med blandt andet Keld og Hilda Heick.
Mindst 16 Se og Hør-medarbejdere, heriblandt chefredaktørene Henrik Qvortrup og Kim Henningsen, kendte til kreditkortkilden. Også Aller Medias direktion kendte til kilden. Ifølge email-udveksling forfattet af udgiverdirektør Per Ingdal i 2011 skulle de have været orienteret i midten af 2009 og samtidig have instrueret Kim Henningsen om at afbryde samarbejdet med kilden.Line Gertsen, Michael Lund, Nina Munch-Perrin og Mikkel Westphal Stephensen (28. maj 2014). "Allers top kendte til hemmelige Se og Hør-kilde". DR En anden email inddrager kreativ chef Steffen Sørensen og fotochef Peter Grosen i sagen. Ifølge Se og Hør-journalisten Kasper Kopping blev brugen af tys-tys-kilden dog først stoppet i efteråret 2011 på foranledning af daværende nyhedschef Lise Bondesen. Forfatteren Ken B. Rasmussen stoppede på Se og Hør i 2012.
Fotografen Michael Medgyesi, der arbejdede som freelancefotograf for Se og Hør, advarede allerede den 18. januar 2013 Nets om at Se og Hørs journalister havde adgang til fortrolige kreditkortoplysninger. Nets iværksatte da en undersøgelser, men fandt ikke noget. Endnu tidligere—i 2011—havde Medgyesi kontaktet Politiets Efterretningstjeneste (PET) om Se & Hørs adgang til fortrolige oplysninger. PET holdt da et møde men fandt ikke anledning til at gå videre med sagen. Medgyesi havde været på tre fotoopgaver for ugebladet i udlandet i 2008 og 2009 hvor det lykkedes at finde frem til kendte personer. Det drejede sig om Janni Spies, Anni Fønsby og Stein Baggers datter og hans samlever Anette Uttenthal. Det var disse opgaver der gav Medgyesi opfattelsen af at ugebladet havde adgang til fortrolige personoplysninger fra Nets.
Igennem sit arbejde havde tys-tys-kilden også adgang til NemID-systemet og skal mindst een gang have logget ind på systemet. Yderligere var tys-tys-kilden sikkerhedsgodkendt af Forsvarets Efterretningstjeneste til at arbejde med Forsvarets it-system DeMars, hvis drift var blevet outsourcet til IBM i 2010. Gruppen, han arbejdede i, havde til opgave at overvåge systemerne. Forsvaret kunne ikke umiddelbart finde at tys-tys-kilden havde misbrugt adgangen til systemet.
Efter sin ansættelse hos IBM blev it-specialisten tilknyttet Fujitsu på konsulentbasis, hvor han blandt andet løste opgaver for Nordea frem til afsløringen. Hos Nordea havde han adgang til interne overvågningssystemer og "fået dem op at køre igen" hvis de ikke virkede. Nordea følte sig overbevist om at vedkommende ikke lækkede personfølsomme oplysninger gennem arbejdet hos dem.
Afsløringen Ken B. Rasmussens nøgleroman var planlagt til at udkomme tirsdag den 29. april 2014. Men allerede et par dage i forvejen kunne BT udkomme med historien efter at de kunne dokumentere de ellers potentielt fiktive elementer i bogen. Den tidligere Se og Hør-journalisten Kenth G. Madsen kunne bekræfte at ugebladet havde en kreditkort-kilde. Senere bekræftede Se og Hør-journalisten Kasper Kopping også at ugebladet havde en kilde der leverede kreditkortoplysninger om kendte.
Da sagen blev offentligt kendt skabte den stor medieomtale. Selv Kongehuset udtalte sig i sagen og kaldte den "en særdeles alvorlig sag". Formand for Journalisterne i Dansk Journalistforbund, Rasmus Mark Pedersen var "totalt chokeret" og mente at der var tale om "uden sammenligning den værste sag i dansk pressehistorie". Den overvågede Pia Kjærsgaard kaldte overvågningen "møghamrende ubehageligt", mens den ligeledes overvågede Morten Helveg Petersen følte det som "grænseoverskridende", "vildt ubehageligt" og "enormt krænkende". Han betegnede Se og Hørs metoder som "rene stasi-metoder".
IBM kaldte det "en rigtig alvorlig sag" og skrev i en meddelelse at de ville gennemføre en "fuldstændig undersøgelse". Derefter valgte de en meget sparsom kommunikation i sagen.
Se og Hørs tidligere chefredaktør Henrik Qvortrup afviste først at kende til sagen. Få dage efter afsløringen trak han sig fra sin stilling som politisk kommentator på TV 2, og nogle dage senere kunne BT vise email der implicerede Qvortrup i overvågningsprogrammet.
Se og Hør valgte torsdag den 1. maj at sende 7 medarbejdere, der tilsyneladende var involveret i sagen, hjem med fuld løn. Også Billed-Bladet valgte at sende to af deres medarbejdere, herunder en redaktionschef, hjem, efter at det kom frem at medarbejderne under deres tidligere ansættelse på Se og Hør havde modtaget email om Se og Hørs kreditkortkilde. Yderligere valgte Ekstra Bladet at sende deres redaktionschef Lise Bondesen hjem efter at hun også havde modtaget emails, da hun var ansat på ugebladet. Bondesen fik dog mulighed for at skrive en artikel i Ekstra Bladet med sin uimodsagte version af sagen, før hun fredag den 2. maj 2014 sagde sin stilling op på avisen.
Ekstra Bladet kunne den 19. juni 2014 afsløre, at den såkaldte tys-tys-kilde skulle have erkendt over for politiet at han var kilden. Efterfølgende krævede tys-tys kilden navneforbud, men det blev afvist af dommeren i Retten i Glostrup med henvisning til "omstændighederne omkring sigtelsens grovhed og den meget betydelige mediebevågenhed og samfundsmæssige interesse i sagen om Se og Hør".
Aller-koncernen havde undladt at anmelde deres redaktionelle database til Datatilsynet og den var derfor øjensynligt ikke undtaget Persondataloven. Dette kunne betyde at personer registreret i databasen havde ret til at få indsigt i data registreret om dem. Politiken kunne rapportere at Casper Christensen overvejede at udnytte Allers manglede registrering og bede om at få udleveret sine data.
Andre afsløringer