Merete Jansen

merete.jansen@lomedia.no

FriFagbevegelse skrev første gang om Daniel i fjor sommer. Da hadde han fått tilsendt en minnepinne med fortrolige dokumenter og sensitiv informasjon om kjendiser og privatpersoner.

Senere samme året opplevde Daniel at Nav hadde rotet bort hans egne personopplysninger. Oslo-mannen, som ikke vil at vi bruker etternavnet, hadde bedt om å få tilsendt dokumenter i Nav som handlet om ham selv.

Dette var typisk dokumenter om sykefravær, barnefødsler, permisjoner og en periode med alvorlige helseutfordringer.

Til sammen dreide det seg om flere kilo med dokumenter. Bare halvparten kom fram til Daniel, resten var sporløst borte.

Da FriFagbevegelse ba Nav om en forklaring, svarte direktør for Nav kontaktsenter, Jørn Torbergsen, at dokumentene høyst sannsynlig var blitt makulert.

Nav kunne imidlertid ikke utelukke at forsendelsen var blitt borte i posten.

Vanskelig å bevise brudd

I juni fikk Daniel beskjed om at Nav vil gi ham 15.000 kroner i erstatning. Det setter han pris på, selv om summen er liten.

Det har ikke vært mange saker i Norge der det er gitt erstatning eller oppreising, forteller jussprofessor Malgorzata Cyndecka ved Universitetet i Bergen. Hun sier EU-domstolen har fastslått at det ikke skal være noen terskel for hvor alvorlig et brudd må være for å søke om erstatning. Likevel kan det være vanskelig å få medhold, fordi det er tre klare kriterier som må være oppfylt:

Det må ha skjedd et brudd på personvernregelverket. Det må foreligge en skade, enten materiell eller ikke-materiell. Det må være en klar sammenheng mellom bruddet og skaden.

– Det kan være vanskelig å bevise at det har skjedd en ikke-materiell skade, for eksempel at bruddet har ført til frykt eller gitt skamfølelse, konstaterer hun.

Daniel påpeker at det er nettopp dette han vant fram med.

– Det viktigste er ikke summen, men at dette kan bli et eksempel i andre saker der personlige opplysninger har havnet på avveie eller det har skjedd brudd på reglene om personvern.

Flere kan ha krav på erstatning

Navs kommunikasjonsavdeling opplyser til FriFagbevegelse at de hvert år mottar mellom 10 og 25 klager på brudd på personvernet. De fleste sakene dreier seg om at ansatte har kikket på dokumenter de ikke burde vært inne i, noe som kalles uberettigede oppslag i datasystemene.

Hvor mange som blir tilkjent erstatning, har de ingen tall på, det kan være alt fra ingen til et titalls i året, anslår Nav.

Daniel regner med at han kan være den første som får erstatning fra Nav fordi dokumenter har havnet på avveie. Han ser for seg at mange andre også kan ha krav på erstatning nå, både som brukere i Nav og i andre sammenhenger.

– Ta barnevernssakene og pasientjournalene som nylig kom på avveie i Lørenskog kommune. Ta de mange personene som Nav har sendt meg sensitive opplysninger om, alt fra diagnoser og utfordringer, til mistanker og politiforhold. Selvfølgelig vil disse kjenne stress og ubehag. Min sak viser at det går an å dokumentere slike konsekvenser, og dermed oppfylle vilkåret om å ha lidt skade, sier han.

Nav innrømmer svikt

I brevet der Nav orienterer Daniel om at de vil gi ham erstatning, skriver de blant annet:

«Nav burde hatt større kontroll på utsendelsen av dokumentene. Når vi ikke har det, vurderer vi at dette er et brudd på personopplysningssikkerheten.»

Sikkerhetssjef Jon Hofstad sier til FriFagbevegelse at de har fulgt opp avtalene og rutinene sine i etterkant for å hindre at noe lignende skjer igjen.

– Personvern er svært viktig og høyt prioritert i Nav, og Navs brukere skal føle seg trygge på at vi ivaretar deres personvern, sier han. 

Etaten mener vilkårene er oppfylt for at han skal få erstatning for ikke-materiell skade. De vedgår i brevet til Daniel at det kan ha vært en påkjenning å ikke vite hvor dokumentene hadde havnet:

«Det er ikke kjent hvor saksdokumentene dine havnet, eller om noen eller flere fikk tilgang til disse. Forsendelsen inneholdt en større mengde saksdokumenter, som inneholder personopplysninger, også av sensitiv art. På bakgrunn av dette legger vi til grunn at du har en velbegrunnet frykt for at personopplysningene kan bli misbrukt.»

Jussprofessor Malgorzata Cyndecka mener det at Nav har gått med på å utbetale erstatning, er en viktig sak.

– Jeg tenker også at det har en viss betydning for selve etaten, det at de faktisk innrømmer at de må betale noe. At de ikke bare benekter at feil har skjedd. Det tyder på en viss endring i måten å tenke på, sier hun.

Tom Fredrik Blenning, styremedlem i den elektroniske rettighetsorganisasjon Elektronisk Forpost Norge, mener Nav generelt burde være mer åpne om problemene de har med å etterleve kravene til personvern.

– Min oppfatning er at Nav er en organisasjon som gjør veldig mye riktig for å komme dit de skal. Men de har ikke ressursene og er ikke villige til å innrømme hvor store problemene er, sier han til FriFagbevegelse.

Bekymring hos Nav

Nav fikk i mai sterk kritikk fra Riksrevisjonen, blant annet for manglende logging og tilgangskontroll i datasystemene. Datatilsynet har på sin side varslet et nytt tilsyn, etter at et tidligere rekordstort gebyr ble opphevet av Personvernnemnda.

Samtidig uttrykte Nav allerede i 2024 bekymring for hvilke personvernbrudd som kan føre til ansvar.

I en e-post til Datatilsynet bemerket Nav at nyere EU-dommer legger opp til svært lave terskler for både hva som anses som skade og grunnlaget for ansvar.

«Litt satt på spissen: Legges det da opp til en praksis hvor det skal tilkjennes erstatning for ethvert mindre brudd på GDPR som har medført at noen kan dokumentere at de føler seg krenket?» skriver etaten.

Forlik foreslått for Nav-ansatt

Mens Daniel nå er tilkjent erstatning, har ikke Nav-ansatte Janne Cecilie Thorenfeldt klart å oppnå det samme.

Hun har vært gjennom flere runder i rettsvesenet etter at hun oppdaget at mange hundre kolleger hadde vært inne i hennes egen mappe i systemet de har tilgang på. En leder hadde også referert helseopplysninger Thorenfeldt mente bare kunne stamme fra denne mappen.

Saken ble behandlet i menneskerettsdomstolen i Strasbourg. Den foreslo at Janne Cecilie skulle få 180.000 kroner hvis hun gikk med på et forlik med den norske stat.

Verken Thorenfeldt eller staten var interessert i å inngå et slikt forlik.

– En eventuell erstatning er av underordnet betydning, sa hun og føyde til:

– Det avgjørende er å få en rettslig avklaring som kan sikre bedre beskyttelse av personopplysninger. Dette er en systemsvikt som kan ramme alle, og det skal ikke være tvil om statens ansvar.

Jus-professor Mads Andenæs, som har bistått Thorenfeldt side de siste årene, er også opptatt av det prinsipielle i saken, altså at Norge ikke kan se bort fra EU-reglene landet har forpliktet seg til å følge gjennom EØS-avtalen.

Han har derfor oppfordret Thorenfeldt til å klage saken inn for ESA, organet som følger med på om reglene følges.