Nav la ut informasjon om Jonnys sykepenger på internett: – Jeg er sjokkert

1. Nav la ut informasjon om Jonnys sykepenger på internett: – Jeg er sjokkert

Sensitiv informasjon om Nav-brukere lå fritt tilgjengelig.

SENSITIV INFORMASJON LEKKET: Dette er ikke første gang Nav har tatt kontakt med Jonny Sjursen fra Sandnes om at de har publisert sensitiv informasjon om han. Foto: Øystein Otterdal / NRK

Sensitiv informasjon om Nav-brukere lå fritt tilgjengelig.

I slutten av oktober ble NRK tipset om at det lå informasjon om Nav-brukere åpent på internett.

Informasjonen hadde blitt publisert av Nav selv på nettstedet Github. Der lå det blant annet informasjon om sykemeldinger, kontonummer, og utbetalingshistorikk til navngitte personer.

26 personer har blitt direkte påvirket av publiseringene, ifølge Nav. I tillegg omtales en rekke familiemedlemmer til hovedpersonene, som barn og ektefeller, ved personnummer.

– Jeg er sjokkert. Man hører jo om at informasjon om andre blir lagt ut. Plutselig står man der sjøl, sier Jonny Sjursen fra Sandnes som er blant de rammede.

Blant informasjonen som er lagt ut, reagerer Sjursen mest på en ting. Foto: Øystein Otterdal / NRK

Det er at informasjon om hans barn også har kommet på avveier som følge av at han har søkt sykepenger. Foto: Øystein Otterdal / NRK

– Personnummer til ungene mine har jeg ikke noe særlig sans for at har blitt lagt ut, nei. Det kan misbrukes. Det må de få fjernet, sier en tenkende Sjursen. Foto: Øystein Otterdal / NRK

NRK kunne se når Sjursen hadde søkt om sykepenger, personnummerne til barn og nær familie, og informasjon om arbeidsituasjon.

Han er tillitsvalgt i Sandnes Frp, men uttaler seg i denne saken som privatperson.

For en annen navngitt Nav-bruker kunne NRK i tillegg se detaljert utbetalingshistorikk. Personen ønsket ikke å uttale seg til NRK.

Teknologidirektør i Nav Nicolai Høge kaller feilen for alvorlig. Foto: Roy Kenneth Sydnes Jacobsen / NRK

– Det er en alvorlig feil, som vi absolutt beklager på det aller sterkeste, sier den nytiltrådte teknologisjefen i Nav, Nicolai Høge.

Høge kaller situasjonen for et personvernavvik fra Nav sin side.

– Vi har delt personopplysninger som vi ikke skulle delt på en offentlig plattform for kildekode. Det tar vi på stort alvor. Vi er i full gang med å rydde opp.

Han forteller at all informasjon NRK omtaler, nå har blitt fjernet.

I desember 2025 sendte Nav en avviksmelding til Datatilsynet om at de hadde publisert fortrolig informasjon på Github.

«For 6 personer som hadde søkt om sykepenger har omfattende personinformasjon ligget usikret. [...] Totalt 13 familiemedlemmer av personer som har søkt om sykepenger har sine personnummer og tilknytning til hovedpersonen oppgitt i filene», står det i avviksmeldingen.

Nav opplyste da at de hadde anonymisert de aktuelle filene og at de skulle varsle de berørte personene.

NRK kan nå fortelle at informasjonen ikke ble slettet slik Nav hevdet.

Nav er en av aktørene i Norge som har tilgang til mest sensitiv informasjon om borgerne i landet. Foto: Frida Skauvik Aune / NRK

Informasjonen lå åpent tilgjengelig i historiske versjoner av kildekoden på nettsiden.

– Hvordan henger avviket fra desember 2025 sammen med det vi ser i dag?

– Dessverre er noen av disse personene i dette nye avviket de samme som i desember 2025. Vi sa at vi skulle slette de dataene, og varslet de personene det gjaldt. Vi slettet en del data, men vi fikk dessverre ikke med oss alle steder disse dataene lå tilgjengelig, forteller Høge.

Mange virksomheter deler kode offentlig på nett. Slik kan andre bygge videre på arbeidet som er gjort.

Men når en deler kode offentlig er det viktig å ha rutine for at passord og informasjon om personer ikke deles.

NRKs gjennomgang viser at informasjon om i hvert fall 24 personer var publisert. Nav har basert på NRKs funn og egne undersøkelser konkludert med at 26 personer er direkte berørt.

– Personopplysninger som har ligget åpent, er fødselsnummer og/eller navn, i kombinasjon med andre personopplysninger. Vi må vurdere alvorlighetsgraden for hvert enkelt brudd i det videre kartleggingsarbeidet, skriver Nav.

Mye informasjon NRK fant om navngitte personer skyldes at IT-utviklere har brukt data om ekte personer. Denne informasjonen har enten blitt lastet opp ved en feil eller ikke blitt anonymisert tilstrekkelig.

Åtte personer ble nevnt i sammenheng med søknad om sykepenger.

En person ble nevnt i sammenheng med detaljert utbetalingshistorikk fra Nav. For denne personen ble også kontonummer og telefonnummer oppgitt.

To personer ble nevnt i sammenheng med deres kontonummer.

Fire personer ble nevnt i en rolle som behandler, typisk lege.

Andre personer ble nevnt i sammenheng med mindre sensitive opplysninger som bostedsadresse.

12.000 Nav-ansatte med fullt navn og ansatt-ID.

Flere hundre IT-utviklere i Nav med brukernavn, navn, og e-postadresse.

– Vi må ha tillit til at det offentlige, og spesielt Nav som en ekstremt stor databehandler, håndterer disse opplysningene sikkert.

Han reagerer på at Nav ikke slettet alt da de først oppdaget at ekte informasjon var en del av det publiserte materialet.

– Nav burde ha slettet dette umiddelbart og varslet dem det gjelder, stormer personvernadvokat Jan Sandtrø.

Peronvernadvokat Jan Sandtrø mener Nav må ta grep straks. Foto: Lokman Ghorbani / NRK

– Man velger ikke om man vil gi opplysninger til Nav. Man må gi særlig sensitive opplysninger for å få sin sak behandlet, og få de rettigheter man ønsker eller krever fra Nav.

Sandtrø sier at sensitiv informasjon som det Nav har lagt ut her, er noe svindlere utnytter for å oppnå troverdighet og i utpressing.

– Hva kan de som er rammet forvente av Nav nå?

– Jeg forventer at Nav kontakter de som er involvert. Slik at de kan forberede seg på det som eventuelt måtte komme, sier Sandtrø.

Teknologisjefen i Nav forteller at alle som har fått sensitiv informasjon om seg lekket, vil bli varslet.

Høge forteller at Nav har 1.400 nav-ansatte som har gjort 2 millioner endringer på systemene de siste årene, og at det da er naturlig at feil skjer. Foto: Fang Yongbin / NRK

Nav er ikke kjent med at opplysningene har blitt misbrukt av andre.

– Hvis det går så langt at man skulle oppleve utpressing eller andre ting, så er det jo en politisak, og da må man gå til politiet og anmelde den type forhold, sier Høge.

Teknologidirektøren sier manglende kompetanse er noe av årsaken til at det gikk galt.

– Vi ser også på tiltak som hvordan vi kan lære opp folk bedre, sånn at de forstår hvordan vi skal unngå dette. Og på verktøystøtte for å se om det er ting vi kan gjøre som hindrer ting i å bli lagt ut på dette stedet.

Alle som står i filene til Nav har vært med i forbindelse med test-data, forteller Høge. Foto: Fang Yongbin / NRK

– Vi har meldt avviket til Datatilsynet, og det er alvorlig for de som er påvirket. Samtidig må vi i den videre kartleggingen se hva slags opplysninger det faktisk er, og hvor sensitivt det er.

– Har dere noe kunnskap om andre mennesker har fått tak i den informasjonen?

– Siden det har ligget åpent på internett, så er det ikke mulig for oss å si om noen har fått tak i det, eller eventuelt hvem. Nå ligger det ikke åpent lenger, men vi kan ikke si noe sikkert hvem som kan ha sett eller lastet det ned i perioden. Det er derfor det er alvorlig, og derfor vi melder det som et brudd på personvern.

Jonny Sjursen fra Sandnes bekrefter ovenfor NRK at informasjonen Nav har lagt ut på Github om han, er riktig.

Dette er ikke første gang Nav har tatt kontakt med Sjursen om at de har publisert informasjon om han. Foto: Øystein Otterdal / NRK

– Det er forferdelig, og det kan jo misbrukes av hvem som helst, sier Sjursen.

Sjursen var også en av de Nav tok kontakt med i desember etter at de selv oppdaget at de hadde publisert informasjon om folk åpent på nettet.

LES MER:                  ©NRK.NO