Datatilsynet vil til bunns i koblingen mellom Bodø kommune og den kommunale pensjonskassen

I slutten av august fortalte NRK om Bodø kommunale pensjonskasse, som Datatilsynet mener gjennom flere år har sendt sensitive helseopplysninger om uføre til Bodø kommune.

Det er ifølge Datatilsynet delt opplysninger som gjelder 1028 personer som var ansatt i Bodø kommune og 25 personer som var ansatt eksternt.

Pensjonskassen i Bodø forvalter pensjonen til ansatte i Bodø kommune. Det utgjør verdier for over fire milliarder kroner.

Fram til 2015, skal pensjonskassen samlet inn og utleverte sensitive opplysninger om kjønn, fødselsår, arbeidssted, stilling og diagnose for personer som mottar uførepensjon.

Det kan dermed være enkelt å identifisere den registrerte på listene, påpekte Datatilsynet.

Men bakgrunn i dette sendte de et såkalt varsel om irettesettelse til Bodø kommunale pensjonskasse.

I sitt svar til Datatilsynet vedgår pensjonskassen at opplysningene ble delt, men avviser at det er grunnlag for irettesettelse.

Vil vite hvem som brukte personopplysningene

Men Datatilsynet gir seg ikke, og har nå de sendt et nytt brev. Der også Bodø kommune bes svare på eventuell bruk av disse personopplysningene.

– Det har sin bakgrunn i at vi mener disse opplysningene har blitt brukt i HR-avdelingen i Bodø kommune. Det er en naturlig fortsettelse i en slik sak å se på mottaker av opplysningene, sier juridisk seniorrådgiver i Datatilsynet, Jan Henrik Mjønes Nielsen.

Datatilsynet vil ha svar på hvem som mottak personopplysningene, hvordan de er blitt lagret og brukt. Samt hvorvidt de er blitt delt med f.eks. konsulentvirksomheter.

Mjønes Nielsen sier de er interessert i rutiner for sikkerhet og kryptering.

Undersøker bånd mellom styremedlemmer og kommunen

Datatilsynet vil også se nærmere på mulige bånd mellom Bodø kommune og Bodø kommunale pensjonskasse. Blant annet sitter rådmann Rolf Kåre Jensen i styret til pensjonskassen.

Datatilsynet ber kommunen lage en oversikt over styremedlemmer i pensjonskassen fra 2010 og frem til i dag, og deres eventuelle tilknytning til Bodø kommune.

– Alle som behandler personopplysninger må ha et rettslig grunnlag og hjemmel i lov. Dette gjelder både avsender og mottaker. Her snakker vi om statistikk om kundeopplysninger i pensjonskassen, som etter vår mening ikke er tilstrekkelige anonymisert, sier Mjønes Nielsen.

Mener saken er foreldet

NRK har fått innsyn i svarbrevet fra Bodø kommunale pensjonskasse til Datatilsynet sendt i september.

Der avviser pensjonskassens advokat, Kristian Brandt, at det er grunnlag for irrettesettelse. Han viser også til saken er foreldet ihht personopplysningsloven.

– Ikke første gang

Ifølge Mjønes Nielsen i Datatilsynet er det ikke første gang denne type sak havner på deres bord.

– Dette er en sak vi ser mange av. Man må behandle personopplysninger etter loven.

– Men Bodø kommunale pensjonskasse har i sitt svar avvist at det er grunnlag for irettesettelse?

– Vi har ennå ikke konkludert i denne saken, så det er ikke naturlig at vi kommenterer deres svar til oss.

Kunne ikke finne statistikken

NRK har bedt Bodø kommune om kommentarer til denne saken.

Rådmann Rolf Kåre Jensen bekrefter at kommunen har mottatt et brev og et krav om redegjørelse fra Datatilsynet i forbindelse med et varsel som omhandler Bodø Kommunale Pensjonskasse.

Han understreker at Bodø kommunale Pensjonskasse er en stiftelse og dermed en selvstendig juridisk enhet under ledelse av et eget oppnevnt styre.

– Vår klare intensjon er å få besvart de spørsmålene som reises fra Datatilsynet innen angitt frist som er 15.november, sier Jensen.

Utover dette har ikke rådmannen ytterligere kommentarer på nåværende tidspunkt.

I august avviste rådmannen at kommunen har mottatt statistikk med personopplysninger over flere år

– Dette er en sak fra 2014/15 der daglig leder har opplyst at en statistikk uten personidentifikasjon er oversendt kommunen. Vi klarer ikke å finne at vi har mottatt denne, sa rådmannen.