NAV Kontroll (endelig rapport)

NAVs kontroll av enkeltpersoner kan være svært inngripende. Datatilsynet pålegger etaten å informere om sine kontroller og å sikre konfidensiell behandling av personopplysninger.

NAV Kontroll er en enhet i Arbeids- og velferdsforvaltningen (NAV) som undersøker om mottakere av velferdsmidler får det de har rett på og at ingen lurer til seg mer enn de skal. Enheten har også ansvar for å melde misbruk til politiet.

I mars i år var Datatilsynet på tilsyn hos NAV for å undersøke om kontrollenheten gjennomfører sin virksomhet i tråd med personopplysningsloven. I sin foreløpige tilsynsrapport konkluderer Datatilsynet med at NAVs kontroller kan være svært inngripende for den enkelte. Dette blant annet fordi de henter inn informasjon om personer fra offentlige etater, virksomheter eller andre personer i deres krets.

NAV har svart på Datatilsynets varslede vedtak. Etter å ha behandlet svaret, har Datatilsynet nå vedtatt at NAV må gjøre flere endringer i sin kontrollvirksomhet. Dette er noen av hovedpunktene i vedtaket:

  • NAV informerer ikke personer om at de er kontrolert og at etaten har hentet inn opplysninger om dem.
  • NAV har ikke god nok informasjonssikkerhet, og det er for lett å hente ut sensitive personopplysninger for ansatte som ikke skal ha tilgang til opplysningene.
  • NAV har ikke gode nok rutiner for internkontroll, spesielt med hensyn til sletting av opplysninger og vurdering av om de har hjemmel etter folketrygdloven.  

Plikt til å informere og slette

I Datatilsynets rapport framgår det at NAVs klare hovedregel har vært at de unnlater å informere den som kontrolleres (den registrerte) om at det hentes inn og viderebehandles personopplysninger. Dette gjelder både dem som er mistenkt for å ha mottatt velferdsmidler uriktig og andre kontrollerte personer.

- NAV har vært kreative innenfor de interne hjemlene og retningslinjene de har. Det betyr at de kan ringe rundt i den enkeltes omgangskrets å få opplysninger om dem. Det er ikke bra å ha en situasjon der for eksempel barnehage og venner vet at du er i NAVs søkelys, men at du ikke vet det selv, sier direktør Bjørn Erik Thon i Datatilsynet.

Opplysningene som hentes inn brukes til å treffe avgjørelser som er av stor betydning for den enkelte - ikke bare når gjelder selve stønadsspørsmålet, men også i vurdering av ytterligere kontrolltiltak mot vedkommende og eventuell anmeldelse til politiet. Datatilsynet pålegger NAV å endre sine informasjonsrutiner, slik at de som har rett på informasjon om at de kontrolleres, får dette.

- Det finnes unntak fra informasjonsplikten, men NAVs rutiner må sikre at de gir informasjon til alle som har krav på dette. Det er også slik at retten til informasjon ikke foreldes, noe som betyr at NAV nå også må informere de personene de allerede har kontrollert, sier Thon.

Datatilsynet ber også om at NAV etablerer rutiner for å slette opplysninger som de ikke har lovhjemmel til å oppbevare.

Informasjonssikkerhet

Datatilsynet avdekket også at NAV Kontroll mangler et eget saksbehandlingssystem for sine kontrollsaker, og at sakene lagres i filmapper som er tilgjengelig for flere enn dem som burde ha tilgang til opplysningene. Et eget saksbehandlings- eller fagstøttesystem er trolig nødvendig for å kunne tilfredsstille personopplysningslovens krav til informasjonssikkerhet og behandling av personopplysninger.

- Behandling av personopplysinger må gjøres på en slik måte at ingen uvedkommende får tilgang til opplysninger i sakene. NAV må ha oversikt over hvem opplysningene utleveres til og hvem som har tilgang, sier Thon.

Last ned: