Nav la ut informasjon om Jonnys sykepenger på internett: – Jeg er sjokkert

I slutten av oktober ble NRK tipset om at det lå informasjon om Nav-brukere åpent på internett.

Informasjonen hadde blitt publisert av Nav selv på nettstedet Github. Der lå det blant annet informasjon om sykemeldinger, kontonummer, og utbetalingshistorikk til navngitte personer.

26 personer har blitt direkte påvirket av publiseringene, ifølge Nav. I tillegg omtales en rekke familiemedlemmer til hovedpersonene, som barn og ektefeller, ved personnummer.

– Jeg er sjokkert. Man hører jo om at informasjon om andre blir lagt ut. Plutselig står man der sjøl, sier Jonny Sjursen fra Sandnes som er blant de rammede.

NRK kunne se når Sjursen hadde søkt om sykepenger, personnummerne til barn og nær familie, og informasjon om arbeidsituasjon.

Han er tillitsvalgt i Sandnes Frp, men uttaler seg i denne saken som privatperson.

For en annen navngitt Nav-bruker kunne NRK i tillegg se detaljert utbetalingshistorikk. Personen ønsket ikke å uttale seg til NRK.

– Det er en alvorlig feil, som vi absolutt beklager på det aller sterkeste, sier den nytiltrådte teknologisjefen i Nav, Nicolai Høge.

Høge kaller situasjonen for et personvernavvik fra Nav sin side.

– Vi har delt personopplysninger som vi ikke skulle delt på en offentlig plattform for kildekode. Det tar vi på stort alvor. Vi er i full gang med å rydde opp.

Han forteller at all informasjon NRK omtaler, nå har blitt fjernet.

Lovet å slette – slettet ikke

I desember 2025 sendte Nav en avviksmelding til Datatilsynet om at de hadde publisert fortrolig informasjon på Github.

«For 6 personer som hadde søkt om sykepenger har omfattende personinformasjon ligget usikret. […] Totalt 13 familiemedlemmer av personer som har søkt om sykepenger har sine personnummer og tilknytning til hovedpersonen oppgitt i filene», står det i avviksmeldingen.

Nav opplyste da at de hadde anonymisert de aktuelle filene og at de skulle varsle de berørte personene.

NRK kan nå fortelle at informasjonen ikke ble slettet slik Nav hevdet.

Informasjonen lå åpent tilgjengelig i historiske versjoner av kildekoden på nettsiden.

– Hvordan henger avviket fra desember 2025 sammen med det vi ser i dag?

– Dessverre er noen av disse personene i dette nye avviket de samme som i desember 2025. Vi sa at vi skulle slette de dataene, og varslet de personene det gjaldt. Vi slettet en del data, men vi fikk dessverre ikke med oss alle steder disse dataene lå tilgjengelig, forteller Høge.

Over 26 personer berørt

Mange virksomheter deler kode offentlig på nett. Slik kan andre bygge videre på arbeidet som er gjort.

Men når en deler kode offentlig er det viktig å ha rutine for at passord og informasjon om personer ikke deles.

NRKs gjennomgang viser at informasjon om i hvert fall 24 personer var publisert. Nav har basert på NRKs funn og egne undersøkelser konkludert med at 26 personer er direkte berørt.

– Personopplysninger som har ligget åpent, er fødselsnummer og/eller navn, i kombinasjon med andre personopplysninger. Vi må vurdere alvorlighetsgraden for hvert enkelt brudd i det videre kartleggingsarbeidet, skriver Nav.

Personvernadvokat kritisk

– Vi må ha tillit til at det offentlige, og spesielt Nav som en ekstremt stor databehandler, håndterer disse opplysningene sikkert.

Han reagerer på at Nav ikke slettet alt da de først oppdaget at ekte informasjon var en del av det publiserte materialet.

– Nav burde ha slettet dette umiddelbart og varslet dem det gjelder, stormer personvernadvokat Jan Sandtrø.

– Man velger ikke om man vil gi opplysninger til Nav. Man må gi særlig sensitive opplysninger for å få sin sak behandlet, og få de rettigheter man ønsker eller krever fra Nav.

Sandtrø sier at sensitiv informasjon som det Nav har lagt ut her, er noe svindlere utnytter for å oppnå troverdighet og i utpressing.

– Hva kan de som er rammet forvente av Nav nå?

– Jeg forventer at Nav kontakter de som er involvert. Slik at de kan forberede seg på det som eventuelt måtte komme, sier Sandtrø.

Teknologisjefen i Nav forteller at alle som har fått sensitiv informasjon om seg lekket, vil bli varslet.

Nav er ikke kjent med at opplysningene har blitt misbrukt av andre.

– Hvis det går så langt at man skulle oppleve utpressing eller andre ting, så er det jo en politisak, og da må man gå til politiet og anmelde den type forhold, sier Høge.

Manglet kompetanse

Teknologidirektøren sier manglende kompetanse er noe av årsaken til at det gikk galt.

– Vi ser også på tiltak som hvordan vi kan lære opp folk bedre, sånn at de forstår hvordan vi skal unngå dette. Og på verktøystøtte for å se om det er ting vi kan gjøre som hindrer ting i å bli lagt ut på dette stedet.

– Vi har meldt avviket til Datatilsynet, og det er alvorlig for de som er påvirket. Samtidig må vi i den videre kartleggingen se hva slags opplysninger det faktisk er, og hvor sensitivt det er.

– Har dere noe kunnskap om andre mennesker har fått tak i den informasjonen?

– Siden det har ligget åpent på internett, så er det ikke mulig for oss å si om noen har fått tak i det, eller eventuelt hvem. Nå ligger det ikke åpent lenger, men vi kan ikke si noe sikkert hvem som kan ha sett eller lastet det ned i perioden. Det er derfor det er alvorlig, og derfor vi melder det som et brudd på personvern.

Frykter at informasjonen kan misbrukes

Jonny Sjursen fra Sandnes bekrefter ovenfor NRK at informasjonen Nav har lagt ut på Github om han, er riktig.

– Det er forferdelig, og det kan jo misbrukes av hvem som helst, sier Sjursen.

Sjursen var også en av de Nav tok kontakt med i desember etter at de selv oppdaget at de hadde publisert informasjon om folk åpent på nettet.