Fylkesmannen har betalt oppreisning til tre tidligere elever etter sladdetabbe

I desember 2019 avdekket Utdanning et alvorlig personvernbrudd hos Fylkesmannen i Oslo og Viken. De hadde publisert to tilsynsrapporter på sine nettsider som var så dårlig sladdet at man enkelt fikk fram svært sensitive personopplysninger.

I den ene tilsynsrapporten navngir fylkesmannen tre elever som hadde vært inne til politiavhør i forbindelse med en overgrepssak. Rapporten omtaler blant annet:

• At elevene var avhørt som vitner eller fornærmede i en sak om seksuelle overgrep.
• Diagnoser og spesialundervisning.
• Opplysninger om atferdsproblemer og informasjon fra foreldresamtaler.
• I tillegg kommer det til uttrykk personkarakteristikker, særlig knyttet til én av elevene.

Google-søk identifiserte elevene

Sladdetabben medførte at alt fra rapporten ble plukket opp av søkemotorene på internett. Gjennom Google-søk på elevenes navn fikk man opp at de var avhørt som vitner eller fornærmede i en sak om seksuelle overgrep. En av elevene var varsler i overgrepssaken, og foreldrene fryktet at navngivningen kunne utgjøre en sikkerhetsrisiko.

Advokat Jan Sandtrø bisto to av de berørte partene og varslet tidligere i år et erstatningssøksmål mot fylkesmannen. Han sier det var vanskelig å vurdere hva erstatningskravet skulle være, ettersom saken hadde mer alvorlige konsekvenser enn tidligere saker av samme karakter som har vært i rettssystemet.

Fylkesmannen varslet ikke de berørte om personvernbrudd:
Vitner om maktarroganse, mener advokat

Dokumenter Utdanning har fått innsyn i fra fylkesmannen viser at de i utgangspunktet krevde 250 000 kroner for belastningen personvernbruddet hadde medført. I slutten av mars kom partene til enighet.

– Fylkesmannen var vanskelig å forhandle med, og beløpet ble vesentlig mindre enn det vi krevde. Det var synd med tanke på hva de involverte har vært gjennom, sier Sandtrø.

Han sier det allikevel ville vært en risiko og belastning for de berørte ved å kjøre saken videre inn i rettssystemet, og de valgte derfor å akseptere tilbudet.

Etter hva Utdanning erfarer har de tre tidligere elevene fått 50 000 kroner i oppreisning hver.

– Følte de bagatelliserte

Moren til en av de berørte elevene sier de hadde ett møte hos fylkesmannen etter at de ble gjort kjent med hva som hadde skjedd.

– Jeg følte de bagatelliserte hele saken. Det var vondt at de ikke viste mer forståelse i møtet for hvor skremmende dette hadde vært for oss, sier moren.

Hun tror de aldri hadde fått noen oppreisning fra fylkesmannen uten å ha hatt en god advokat med seg. Nå føler hun at de har fått en mer ordentlig beklagelse gjennom oppreisningen.

– Mitt mål med å ta saken videre var at det ikke skal skje igjen, at det ikke skal ramme noen andre. Pengene var ikke så viktig, sier hun.

Kan måtte punge ut med mer

– Vi valgte å gi guttene oppreisning ut fra en konkret vurdering av sakens art. Vi presiserer for ordens skyld at vi ikke har tatt stilling til om de har krav på oppreisning etter personvernregelverket, skriver Grethe Hovde Parr, avdelingsdirektør for barnehage- og utdanningsavdelingen ved Fylkesmannen i Oslo og Viken, i en e-post.

Fylkesmannen meldte også saken umiddelbart til Datatilsynet, noe de plikter å gjøre. I sin redegjørelse til Datatilsynet skriver fylkesmannen at de «vurderte spredningsfaren for lav etter at alle spor var fjernet fra internett». De mener også, etter egne undersøkelser, at sladdetabben ikke har utgjort «en stor risiko for personer som har vært omtalt i rapporten».

Flere eksperter på jus og personvern har imidlertid ment at saken er svært alvorlig og fort kan ende med ytterligere utgifter for fylkesmannen.

– Datatilsynet bør reagere med overtredelsesgebyr i en sammenheng som denne, sa Dag Wiese Schartum i et intervju da saken ble kjent i desember i fjor.

Han er jusprofessor ved Senter for rettsinformatikk ved Universitetet i Oslo med ekspertfelt innen personvern og forvaltning i det digitale samfunn. Schartum mente det var liten tvil om at feilen fra Fylkesmannen er alvorlig og et brudd på personvernforordningen (GDPR). Der står det at et gebyr skal stå i rimelig forhold til overtredelsen, men at det også skal virke avskrekkende.

– Beskjeden er nokså klar om at det skal gis et tydelig signal, ikke bare overfor dem som står bak bruddet, men også overfor alle andre som håndterer personopplysninger, om at her må man endre praksis, sa Schartum.

Datatilsynet har ennå ikke fattet en avgjørelse i saken.