Sametinget la ut ansattes personalmapper på nett: – En forferdelig ubehagelig følelse

– Det er en forferdelig ubehagelig følelse. Jeg lurer på hvordan i all verden noe sånt kan skje.

Det sier tidligere sametingsansatt Berit Oskal-Somby.

Opplysninger som utelukkende skulle vært mellom henne og arbeidsgiveren, dukket opp da NRK gjorde et enkelt søk i Sametingets offentlige postlister.

Hun er navngitt i en av de 474 personalmappene.

Skjermbilde fra Sametingets postliste.

Skjermbilde fra Sametingets postliste.

Sjokket ble enda større da Sametinget tok kontakt med henne i etterkant av NRKs funn:

– De fortalte at dette kan ha ligget ute på nett siden 2009, sier Oskal-Somby.

Stort omfang

I minst 50 av mappene lå det ute navn eller informasjon som gjorde det lett å identifisere de ansatte.

For 19 av disse personene avslørte titlene i tillegg svært sensitive og høyst personlige opplysninger.

– Utrolig trist

NRK har vært i kontakt med flere av de berørte i saken som er opprørte over at noe sånt kunne skje.

– Jeg synes det var utrolig trist å få vite at slike opplysninger er på nettet og at hvem som helst kunne ha søkt det opp, sier Berit Oskal-Somby.

NRK gjengir ikke hvilke sensitive opplysninger som berører henne.

– Det er ikke bare jeg som er berørt i denne saken, og det er kanskje ikke min mappe som er verst. Dette berører mange, også familiene til de berørte, og er en veldig alvorlig sak.

Datatilsynet: – Krenkende

– Publisering av taushetsbelagt informasjon gjennom offentlige postlister er et alvorlig personvernbrudd for de som er berørt, sier Lie til NRK.

Hun forklarer at taushetsbelagte opplysninger og helseopplysninger er vurdert som særlig skjermingsverdige, fordi dette angår forhold den enkelte oftest ønsker å holde for seg selv.

– Vi legger derfor til grunn at publisering av taushetsbelagte opplysninger typisk vil kunne være særlig krenkende for de som er berørt.

Selve dokumentene har ikke vært mulig å åpne, men dokumenttitlene har ligget helt usensurert og søkbart for offentligheten.

Grafikk: Skjermbilde

Selve dokumentene har ikke vært mulig å åpne, men dokumenttitlene har ligget helt usensurert og søkbart for offentligheten.

Grafikk: Skjermbilde

Fagdirektøren understreker at slike sikkerhetsbrudd skal meldes inn til Datatilsynet innen 72 timer etter at feilen er oppdaget.

Sametinget må i tillegg informere de berørte personene umiddelbart.

Ekspert reagerer: – Varslet for sent

Selv om regelverket krever umiddelbar varsling, fikk flere av de berørte i denne saken først vite om lekkasjen da NRK ringte. Sametinget tok først kontakt i etterkant.

Dette får advokat og personvernekspert Jan Sandtrø til å reagere.

– Det høres ut som at de berørte ble kontaktet eller varslet for sent. Sametinget har en plikt til å varsle dem uten ugrunnet opphold. Og det er jo så godt som med en gang, sier Sandtrø til NRK.

Han understreker at hele lekkasjen er en alvorlig glipp.

– Det høres ut til å være utenfor hva som kan forventes av rutiner, for det er så alvorlig. Personalmapper skal kun være tilgjengelig for dem som trenger det i jobben sin.

Han forklarer at det skjer til tider at opplysninger legges ut i offentlige postjournaler selv om de ikke skal være der.

– Det skjer litt for ofte. Og hver gang skyldes det menneskelig svikt og manglende rutiner, eller manglende oppfølging av rutiner.

Han påpeker også at personene som er rammet av lekkasjen, kan ha krav på erstatning for ubehaget de har opplevd.

– Man kan faktisk kreve erstatning selv om man ikke har hatt noe økonomisk tap. Bare ubehaget ved at dine sensitive opplysninger er eksponert, er nok til at man kan ha et krav, forklarer advokaten.

Sametinget: – Ser svært alvorlig på saken

Det var NRK som først varslet Sametinget om funnene. Kort tid etter ble de aktuelle dokumenttitlene og personalmappene fjernet fra de åpne postlistene.

Fungerende sametingsdirektør Tommy Somby er tydelig på at de selv ser svært alvorlig på saken.

– Det viktigste for oss nå er å ta vare på de berørte og si unnskyld.

Sametinget innførte offentlig postjournal i 2009. Praksisen var at selve dokumentinnholdet skulle unntas offentlighet, men at titlene skulle publiseres.

Somby erkjenner at de har gjort feil i de tilfellene der sensitive titler har ligget åpent ved at de var identifiserbare knyttet til enkeltpersoner.

– I de fleste tilfeller har bruken av titler vært i samsvar med reglene. Men der det ikke har vært i samsvar, har vi gjort feil, og det tar vi fullt ansvar for. 50 tilfeller er 50 tilfeller for mye.

I Sametingets egen personvernerklæring står det at offentlige dokumenter skal kvalitetssikres før de publiseres.

Somby forklarer at internkontrollen deres har sviktet.

– Vi har kanskje ikke vært gode nok på opplæringa. Kombinerer du det med ikke tilstrekkelig opplæring over tid, så har det gjort at vi ikke har oppdaget før nå, sier Somby.

Sametinget varsler nå en full gjennomgang av alle rutiner.

Måtte først få oversikt

Advokat Jan Sandtrø kritiserer Sametinget for å ha varslet de berørte for sent.

– Vi har vært opptatt av dette fra første stund. Kravet om varsling må sees i sammenheng med at vi først må ha en gjennomgang av det faktiske grunnlaget, forklarer fungerende direktør Somby.

Han understreker at personen som fikk sitt fullstendige fødselsnummer eksponert, ble kontaktet umiddelbart.

– For å kunne gi riktig informasjon til de øvrige, mobiliserte vi fire ansatte som har jobbet med å ringe opp de berørte så raskt som mulig.

Sametinget fikk beskjed om feilen allerede mandag formiddag, men varslet ikke Berit Oskal-Somby før ettermiddagen påfølgende dag.

– Mener dere at det er raskt nok med fire ansatte på jobb?

– Som sagt, vi måtte ha bakgrunn i faktagrunnlag før vi deretter kunne varsle alle det gjaldt fortløpende.

– Håper uansett at det aldri skjer igjen

Berit Oskal-Somby har ikke bestemt seg for hva hun skal gjøre med saken videre.

Hun vet ikke om hun ønsker å fremme noe krav til Sametinget enda.

– Det er vanskelig å ta stilling til et søksmål på et så tidlig tidspunkt, men jeg håper uansett at det aldri skjer igjen.

På spørsmål om hvordan Sametinget stiller seg til eventuelle erstatningskrav, svarer den fungerende direktøren:

– Slike vurderinger må gjøres konkret og individuelt i hver sak. Dersom det fremmes konkrete krav, vil de bli behandlet i samsvar med regelverket, sier Somby.