Et arbeidsdokument, ikke juridisk rådgivning.
Tabellen samler situasjoner der informasjonssikkerhet svikter i offentlig sektor, og hvilke lover som kan gi den enkelte et personlig ansvar. Den er kontrollert mot lovteksten og forarbeidene, men skal også prøves av folk som arbeider med dette til daglig.
Jeg vil bruke den som grunnlag for å vurdere risiko for den enkelte – for helsearbeideren og for lederen: hva kan skje, hvor ofte skjer det, og hva står på spill.
Ser du en feil, en lov som mangler eller en situasjon som bør med? Still spørsmålet på LinkedIn, eller send meg en melding på Signal.
| Situasjon / feil | Mulig pliktbrudd | Individuelt ansvar mulig? | Mulig rettsgrunnlag | Strafferamme / reaksjon |
|---|---|---|---|---|
| Bevisst gir uvedkommende tilgang til taushetsbelagte opplysninger | Taushetsbrudd | Ja | Straffeloven § 209, jf. forvaltningsloven § 13 | Bot / inntil 1 år |
| Grovt uaktsomt lar taushetsbelagte opplysninger komme på avveie | Taushetsbrudd (plikten til å hindre at andre får adgang) | Ja | Straffeloven § 209 fjerde ledd, jf. forvaltningsloven § 13 | Bot / inntil 1 år |
| Grovt taushetsbrudd: forsett om vinning, eller tap eller fare for tap for noen | Grovt taushetsbrudd | Ja, ved forsett | Straffeloven § 210 | Inntil 3 år |
| Den som utøver eller bistår ved utøving av offentlig myndighet, bryter grovt en tjenesteplikt | Tjenestefeil | Ja | Straffeloven § 171 | Bot / inntil 2 år |
| Som over, men grovt uaktsomt | Grovt uaktsom tjenestefeil | Ja | Straffeloven § 172 | Bot / inntil 1 år |
| Tjenesteplikten brytes ved utøving av offentlig myndighet, med alvorlig ulempe eller skade som følge | Misbruk av offentlig myndighet | Ja | Straffeloven § 173 bokstav c | Inntil 6 år |
| Bevisst uriktig opplysning til offentlig myndighet under forklaringsplikt | Uriktig forklaring | Ja | Straffeloven § 221 første ledd bokstav c | Bot / inntil 2 år |
| Grovt uaktsomt unnlater lovpålagt personvernhandling | Personvernbrudd | Ikke etter personvernreglene; mulig etter straffeloven § 209 | GDPR / personopplysningsloven (ingen straffebestemmelse) | Overtredelsesgebyr mot virksomheten |
| GDPR-sikkerheten er ikke egnet for risikoen | Brudd på art. 32 | Normalt ikke direkte straff | GDPR art. 32, jf. personopplysningsloven § 26 | Overtredelsesgebyr mot virksomheten |
| Brudd meldes ikke til Datatilsynet uten ugrunnet opphold, og når det er mulig senest innen 72 timer | Art. 33 | Normalt virksomhetsansvar | GDPR art. 33, jf. personopplysningsloven § 26 | Overtredelsesgebyr mot virksomheten |
| Berørte personer varsles ikke når bruddet sannsynligvis gir høy risiko for dem | Art. 34 | Normalt virksomhetsansvar | GDPR art. 34, jf. personopplysningsloven § 26 | Overtredelsesgebyr mot virksomheten |
| Ledelsen kjenner til alvorlig risiko og gjør ingenting | Mulig tjenestefeil | Mulig, hvis de utøver eller bistår ved utøving av offentlig myndighet | Straffeloven §§ 171 og 172 | Inntil 1–2 år |
| Kommunedirektøren lar være å etablere eller følge opp internkontroll | Kommuneloven § 25-1 | Ja som ansvar, men kommuneloven har ingen straffebestemmelse | Kommuneloven § 25-1 | Administrativt og politisk ansvar |
| Kommunen mangler rutiner for å avdekke og følge opp avvik og risiko for avvik | Kommuneloven § 25-1 tredje ledd bokstav b og c | Ja som ansvar | Kommuneloven § 25-1 | Som over |
| Kommunedirektøren vet om risiko, men sørger ikke for oppfølging | Internkontrollsvikt | Potensielt | Kommuneloven § 25-1, og straffeloven §§ 171 og 172 hvis vilkårene der er oppfylt | Inntil 1–2 år etter §§ 171 og 172 |
| Noen, også helsepersonell, tilegner seg helseopplysninger uberettiget, forsettlig eller grovt uaktsomt | Urettmessig tilegnelse | Ja | Pasientjournalloven §§ 16 og 30 a; for helsepersonell også helsepersonelloven § 67 | Bot / inntil 1 år |
| Grov urettmessig tilegnelse av helseopplysninger | Samme | Ja | Pasientjournalloven § 30 a andre ledd; helsepersonelloven § 67 | Inntil 3 år |
| Sikkerhetsloven gjelder, og kravet om sikkerhetstiltak brytes forsettlig eller uaktsomt | Sikkerhetsbrudd | Ja, der loven treffer (den verner nasjonale sikkerhetsinteresser) | Sikkerhetsloven § 4-3, jf. § 11-4 første ledd | Bot / inntil 6 måneder |
| Taushetsplikt om sikkerhetsgradert informasjon brytes forsettlig eller grovt uaktsomt | Taushetsplikt | Ja | Sikkerhetsloven § 5-4 andre ledd, jf. § 11-4 andre ledd | Bot / inntil 1 år |
| Ansvarlig leder etter sikkerhetsloven unnlater risikovurdering og dokumentasjon | Brudd på sikkerhetsstyring | Ikke straffbart i seg selv; brudd på pålegg fra tilsynet er straffbart | Sikkerhetsloven §§ 4-1, 4-2 og 4-4; pålegg etter § 3-6, jf. § 11-4 første ledd | Pålegg; ved brudd på pålegg bot / inntil 6 måneder |
| Angriper bryter seg inn i kommunens datasystem | Datainnbrudd | Ja – angriperen | Straffeloven § 204 | Bot / inntil 2 år |
| Angriper får uberettiget tilgang til informasjon som overføres elektronisk | Krenkelse av kommunikasjonsvernet | Ja – angriperen | Straffeloven § 205 bokstav b | Bot / inntil 2 år |
| Angriper skaffer seg tilgangsdata for å begå et lovbrudd | Tilgangsdata | Ja – angriperen | Straffeloven § 201 | Bot / inntil 1 år |