Datatilsynet har varslet et overtredelsesgebyr på 20 millioner kroner og flere pålegg til Arbeids- og velferdsetaten (NAV). Varselet kommer etter et tilsyn tidligere i høst der vi fant flere alvorlige avvik når det gjaldt informasjonssikkerheten i IT-systemene deres.
Vi har mottatt tilbakemelding fra NAV som vi vil gå nøye gjennom. Vi vil så fatte vedtak der vi også setter den endelige summen for overtredelsesgebyret. NAV vil deretter ha mulighet til å klage på vedtaket til Personvernnemda.
– Datatilsynet ser svært alvorlig på denne saken. NAV står i en særstilling sett fra et personvernperspektiv, og oppgavene som NAV er pålagt medfører behandling av personopplysninger i et stort omfang. Det inkluderer svært sensitive opplysninger. Vi varsler et høyt overtredelsesgebyr fordi undersøkelsene våre viser grov svikt i håndteringen av slike opplysninger over lengre tid. Det sier Datatilsynets direktør Line Coll.
Datatilsynet gjennomførte et tilsyn hos NAV 6. september 2023. Den foreløpige tilsynsrapporten ble oversendt til NAV 1. november. NAV kom med merknadene sine til rapporten 22. november. Datatilsynet har nå utarbeidet en endelig tilsynsrapport og varsler vedtak i saken.
Våre hovedkonklusjoner er at NAV sine styringssystemer ikke er tilfredsstillende for å sikre etterlevelse av personvernregelverket, og at sikringen av konfidensialiteten i IT-systemene heller ikke er tilfredsstillende. Ettersom dette er et varsel, vil NAV ha mulighet til å komme med eventuelle merknader også til varselet.
På tilsynet så vi på tekniske og organisatoriske tiltak knyttet til tilgangsstyring, logg og loggkontroll i IT-løsningene hos den statlige delen av NAV.
Blant hovedfunnene er at NAV har organisert seg slik at et stort antall ansatte jobber med saker fra hele landet, innen flere tjenesteområder, og dermed har tilsvarende vide tilganger. Samtidig er det ikke etablert noen systematisk kontroll av de ansattes bruk av IT-systemene. Resultatet av dette er, etter Datatilsynets syn, at bruken av IT-systemene i stor grad er tillitsbasert. Manglende rutiner og styring gjør at de ansatte ikke har verktøyene de trenger for å forvalte tilliten og ansvaret de blir gitt.
– NAV utgjør ryggraden i velferdsmodellen som samfunnet vårt er bygget på. Flesteparten av norske borgere mottar ytelser fra NAV i løpet av livet. Det ligger derfor en innbygd høy personvernrisiko i NAVs virksomhet, noe som betyr at det stilles strenge krav til personopplysningssikkerheten, sier Coll.
I vurderingen av overtredelsesgebyrets størrelse, er det lagt vekt på at NAV har tilgjengeliggjort særlige kategorier personopplysninger i lang tid og om et høyt antall personer. Dette har skjedd uten at nødvendige sikkerhetsmekanismer er etablert. Det er også lagt vekt på at NAV har utvist forsett ved overtredelsene, blant annet ved ikke å innrette seg etter tidligere pålegg som er gitt av Datatilsynet knyttet til samme forhold.
– Overtredelsesgebyr skal være virkningsfullt, stå i et rimelig forhold til overtredelsen og virke avskrekkende, og vi har i denne saken falt ned på et høyt overtredelsesgebyr, sier Coll.
Datatilsynet har til sammen identifisert 12 brudd på personvernforordningen. NAV har derfor også fått varsel med pålegg om å rette opp i disse. Påleggene omfatter blant annet å etablere en helhetlig og egnet systematikk for organisatoriske tiltak og iverksette tiltak knyttet til tilgangsstyring. I utmåling av gebyret er det sett hen til at oppfølgingen av bruddene også vil medføre en økonomisk belastning for NAV.
NAV har tre uker på seg til å gi et tilsvar til varselet. Datatilsynet vil så ta stilling til hvordan saken skal avgjøres før vedtaket fattes.