Datatilsynet har vedtatt å gi Statens pensjonskasse (SPK) et overtredelsesgebyr på 1 million kroner. Bakgrunnen for vedtaket er at SPK har hentet inn unødvendige inntektsopplysninger om ca. 24 000 personer.
Saken startet ved en avviksmelding fra SPK til Datatilsynet i september 2019. SPK hadde innhentet inntektsopplysninger fra Skatteetaten siden 2016. De avdekket selv at deler av opplysningene var overskuddsinformasjon som ikke skulle vært hentet inn, da opplysningene ikke var nødvendige for formålet om etteroppgjør for uførepensjon. Opplysningene var innhentet gjennom et forhåndsdefinert datasett fra Skatteetaten. Frem til 2019 hadde ikke SPK rutiner for gjennomgang og sletting av overskuddsinformasjonen som ble hentet inn.
- Om lag 24 000 personer med uførepensjon er berørt av avviket, og avviket omfatter særlige kategorier av personopplysninger i form av opplysninger om uførepensjon fra andre enn SPK og folketrygden. Vi har kommet til at SPK har brutt grunnleggende prinsipper for behandling av personopplysninger, sier juridisk seniorrådgiver Susanne Lie.
SPK var opprinnelig varslet om et gebyr på 1,5 millioner kroner. På bakgrunn av tilbakemeldingene fra SPK til varselbrevet, ble beløpet nedjustert i vedtaket. Datatilsynets samlede saksbehandlingstid ble også tillagt noe vekt.
SPK kan klage på vedtaket innen tre uker etter at brevet er mottatt.