NAV lagret IP-adresser ulovlig i sju år

Internettilbydere er i dag forpliktet til å slette IP-adresser når de ikke trengs til driftsformål, typisk fakturering, Dette er normalt rundt 21 dager. For at politiet skal ha muligheten til etterforske alvorlig kriminalitet, foreslo regjeringen sist uke å endre loven, slik at lagringstiden blir forlenget til tolv måneder.

– For å sikre en balansert og god ivaretagelse av personvern og kommunikasjonsvern foreslår regjeringen at det nye IP-lageret kun kan benyttes av politiet og påtalemyndigheten, og kun til å etterforske kriminalitet med en strafferamme på minst 3 år og ved nærmere angitte straffebud, uttalte distrikts- og digitaliseringsminister Linda Hofstad Helleland (H), da proposisjonen ble fremlagt fredag.

Det er særlig bekjempelse av seksuallovbrudd over internett som har motivert endringen. Politi og påtalemyndighet skal pålegges  å utarbeide en årlig oversikt over anmodninger om innsyn databanken.

Praktisert av NAV i sju år

Forslaget om å lage en slik hjemmel, kaster samtidig lys over en del av NAV-saken som ikke har fått stor oppmerksomhet. I NAV-kommisjonens rapport fremkom nemlig at det i NAV var helt vanlig praksis å lagre og kontrollere IP-adressene til mottakerne. Poenget var å finne ut om de de var i Norge eller utenlands når de sendte inn meldekortene sine.

At dette ikke var lovlig, kom for en dag da NAV satte seg ned for å vurdere betydningen av GDPR.

En intern NAV-rapport, datert sommeren 2019, konkluderer med at IP-adressebruken ikke bare var i strid med GDPR, men også den norske personvernloven. Rapporten slår fast at NAV aldri på noe tidspunkt hadde foretatt noen lovlighetsvurdering av databruken. I følge NAV-kommisjonen pågikk praksisen fra 2012 til 2019.

Det var advokat Dag Sørlie Lund som kom over den interne NAV-rapporten, i forbindelse med hans arbeid med en av pilotsakene i NAV-komplekset. Saken er for tiden til behandling i EFTA-domstolen.

– Jeg la merke til den uttalelsen i NAV-kommisjonens utredning, og det var derfor jeg ba om innsyn i NAVs interne rapport. Dette har åpenbart pågått i årevis, og er egentlig en egen NAV-skandale inne i NAV-skandalen, sier Lund.

Etter at NAV avdekket og avsluttet den ulovlige praksisen, bruker man nå kontoutskrifter for å kontrollere om mottakere har vært i utlandet mens de mottok ytelser. Det er som kjent fortsatt, som hovedregel, ikke tillatt å ta med seg sykepenger eller arbeidsavklaringspenger ut av EØS-området.