Datatilsynet gransker nytt personvernbrudd hos Nav

Datatilsynet gransker hvorfor 17200 Nav-medarbeidere har hatt tilgang til sensitive notater om 1377 leger. Disse tilgangene har eksistert siden 2011.

I notatene har det ligget detaljer og vurderinger av legers samarbeid med Nav, samt personlige forhold om legene. Disse rapportene har Nav laget når de ikke har vært fornøyd med legenes oppfølging av pasientene og samarbeid.

Mappene har beskrevet sanksjoner mot leger som har mistet retten til å praktisere for trygdens regning. Innholdet kunne også avsløre helseopplysninger om legenes pasienter som har vært Nav-brukere.

Dette kommer frem i dokumenter som NRK har tilgang til.

Må forklare

– Vi har bedt Nav om en redegjørelse om hvorfor Nav har hatt en sammenblanding av systemer, sier jurist Ingrid Helene Espolin Johnson i Datatilsynet.

Datatilsynet vil ha begrunnelse for at det var sammenblanding av kontroll med leger med saksbehandling overfor Nav-brukerne.

Kontrollrapportene om legene har ligget i Behandlermappen i systemet Arena som nær alle Nav-ansatte benytter. Når folk er langtidssykmeldte kommuniserer Nav både med leger og med arbeidsplasser, samt brukere. All denne informasjonen har ligget tilgjengelig i samme IT-system hvor de fleste Nav-ansatte har hatt tilgang.

Kontroll av leger

Nav omtaler avviket slik: «Det betyr at det var for mange som hadde tilgang til opplysninger som ikke var strengt nødvendig for jobben de gjør i Nav, og det er et personvernbrudd.»

Etaten har nå stengt tilgangene til legenotatene, med unntak for for ni medarbeidere.

– Det er positivt at Nav har oppdaget avviket og at løsningen er stengt, sier Espolin Johnson i Datatilsynet.

Mangelfull logging

Datatilsynet ønsker også svar på hvorfor Nav-systemet har manglet logging. For dette betyr at Nav ikke har oversikt over hvilke medarbeidere som har lest kontrollrapporter og personlig informasjon om leger, og om brukere.

– Vi vet hvem som har hatt tilgang, men ikke hvem som har vært inne i Behandlermappen, forklarer Navs kommunikasjonsrådgiver Nina Tuv i en e-post til NRK.

Nav skriver i redegjørelsen til Datatilsynet at de ikke er i stand til å finne hvilke vurderinger som ble foretatt ved opprettelsen av «Behandlermappen» i 2011. Nav kan heller ikke beskrive hvorfor det ikke ble etablert logg og kontroll over medarbeidere som gikk inn.

– At det ikke har vært mulig å spore og logge ansattes bevegelser i Behandlermappen, er en avgjørende årsak til at dette er et personvernavvik, og at vi nå har stengt Behandlermappen for bruk, sier Tuv.

Nav undersøker om leger må varsles om mulig personvernbrudd.

Alvorlige mangler

Datatilsynet ga Nav i 2023 et forelegg på 20 millioner for 12 lovbrudd på personvern. Datatilsynet mener Nav i en årrekke har brutt loven bevisst. Dette bestrider Nav som har klaget saken inn til Personvernnemnda.

Det nye avviket på personopplysningssikkerten ble oppdaget etter at Datatilsynet var ferdig med tilsynsrapporten som foreslo 20 millioners forelegget.

– Dette avviket gjenspeiles i flere av funnene fra tilsynssaken, som handler om alvorlige mangler ved Navs konfidensialitetssikring. Det som skiller denne saken fra tilsynssaken er sammenblandingen av tjenesteyting og kontrollformål. Tilgangsstyringen for disse funksjonene bør trolig innrettes ulikt, og dette har vi bedt Nav om å redegjøre for, sier Espolin Johnson i Datatilsynet.

Datatilsynet har ennå ikke behandlet redegjørelsen fra Nav og kan foreløpig ikke si om de vil kreve flere tiltak.

– Det må vi komme tilbake til, sier Espolin Johnson.