Den europeiske menneskerettsdomstol (EMD) har avvist en klage mot Norge fra en tidligere NAV-ansatt som mente at NAV ikke hadde sikret hennes person- og helseopplysninger godt nok mot innsyn fra kolleger (Thorenfeldt v. Norway, sak nr. 35473/23).
Klageren var både ansatt i og bruker av Nav, og mistenkte at kolleger hadde snoket i saksmappen hennes. Datatilsynet konkluderte i 2019 med at Navs rutiner ikke oppfylte kravene i GDPR artikkel 32 sammenholdt med artikkel 5(1)(f). Nav innførte nye tekniske løsninger fra 1. januar 2020, og Datatilsynet lukket saken.
Klageren gikk deretter til sivilt søksmål mot staten. Oslo tingrett frifant staten i januar 2022, og Borgarting lagmannsrett kom i mars 2023 til samme resultat. Lagmannsretten fant at Nav hadde brutt GDPR for perioden før 2020, men klageren fikk ikke erstatning fordi hun ikke påviste årsakssammenheng mellom bruddet og skaden. Høyesterett nektet anken fremmet i mai 2023.
Spørsmålet for EMD var om staten hadde oppfylt sin positive forpliktelse etter EMK artikkel 8 til å sikre respekt for klagerens privatliv, altså ikke bare å avstå fra inngrep, men aktivt å sørge for vern. Domstolen uttaler at helseopplysninger knyttet til trygdeytelser nyter et tilsvarende sterkt vern som medisinske opplysninger generelt.
EMD avviser klagen som åpenbart grunnløs. Domstolen legger vekt på at saken var grundig behandlet nasjonalt og at aktivitetsloggene gjorde det mulig å kontrollere hvem som hadde hatt tilgang, som også gjelder for perioden før 2020. Undersøkelsene viste at de som hadde hatt tilgang, hadde legitime arbeidsoppgaver. Det var ikke påvist konkret uautorisert innsyn, selv om systemsvakhetene var reelle.
“The Court considers that the applicant’s complaints were extensively investigated and examined at national level, and that the reasoning and conclusions drawn by the domestic courts were both relevant and sufficient.”
Avgjørelsen viser at manglende informasjonssikkerhet og brudd på GDPR ikke uten videre er et brudd på EMK artikkel 8. EMD uttaler dessuten at det var tvilsomt om klageren hadde brukt alle nasjonale rettsmidler for artikkel 8-spørsmålet, fordi denne anførselen i liten grad var prosedert for norske domstoler. Saken viser også at man må påstå brudd på menneskerettigheter tydelig allerede i norske domstoler hvis man senere vil nå frem i EMD.