Hvem har sett opplysningene om innbyggeren?

Utenfor helsesektoren finnes ingen tilsvarende, uttrykkelig regulert loggutleveringsrett. En forelder som lurer på hvem i kommunen som har lest barnevernsmappen, en elev som spør hvem som har sett vurderingene om henne, en sosialhjelpsmottaker som lurer på hvem som har åpnet saken — ingen av dem kan peke på en paragraf som gir dem loggen.

Det betyr ikke at spørsmålet ikke stilles. Det betyr at kommunen må svare uten et regelverk som forteller hvordan.

Her er hva som faktisk gjelder, og — viktigere — hva som faktisk lar seg svare på teknisk.

Grunnlaget utenfor helse

Personvernforordningen artikkel 15 gir rett til innsyn i egne personopplysninger. Bokstav c gir rett til å få vite «mottakerne eller kategoriene av mottakere som personopplysningene er blitt eller vil bli utlevert til».

Det er ikke det samme som en tilgangslogg. En intern saksbehandler er ikke en «mottaker» i forordningens forstand — hun er en del av den behandlingsansvarliges egen behandling. Så en innbygger kan kreve å få vite hvilke virksomheter opplysningene er delt med, men har ikke en tilsvarende uttrykkelig rett til navnene på ansatte som har åpnet saken.

Artikkel 5 nr. 2 og artikkel 24 krever likevel at kommunen kan påvise etterlevelse. Og artikkel 32 nr. 4 krever at den som har tilgang, bare behandler opplysningene etter instruks.

Kombinasjonen gir et krav som er lettere å beskrive enn å oppfylle: kommunen må kunne vise at tilgangen var begrunnet. Ikke nødvendigvis overfor innbyggeren, men overfor Datatilsynet.

Offentleglova kommer i tillegg for interkommunale selskaper og kommunalt eide aksjeselskaper der det offentlige har bestemmende innflytelse. Loven gjelder da for hele virksomheten, ikke bare for myndighetsutøvelsen.

Hva Datatilsynet faktisk har gitt gebyr for

Fire saker er verdt å kjenne. Alle er offentlige.

Høylandet kommune, 400 000 kroner. Bildefiler med helseopplysninger — timeoppsett, henvisningssvar, journalnotater fra helsestasjon — lå åpent tilgjengelig for ansatte, også opplysninger om personer uten tilknytning til kommunen. Datatilsynet konkluderte med grunnleggende mangler ved tilgangsstyringen internt. Bruddet ble oppdaget i november 2019 og var ikke rettet nesten et år senere.

Moss kommune, 500 000 kroner. Etter en kommunesammenslåing og systemkonvertering ble pasientopplysninger gjort tilgjengelige for helsepersonell ved en avdeling som ikke hadde tjenstlig behov for tilgang, i tillegg til feil i vaksine- og helsekontrolldata.

St. Olavs hospital HF, 750 000 kroner. Manglende tilgangsstyring på mappeområder utenfor pasientjournalen. Mappene var i prinsippet tilgjengelige for alle autoriserte brukere i regionen. Opplysningene gjaldt blant annet barn.

Østre Toten kommune, 4 000 000 kroner. Etter løsepengeangrepet i januar 2021: manglende flerfaktorautentisering, mangelfull logging, manglende nettverkssegmentering og sikkerhetskopier som angriperen fikk slettet. Rundt 30 000 dokumenter ble publisert.

Legg merke til mønsteret i de tre første. Ingen av dem handler om et angrep. De handler om at noen kunne se noe de ikke skulle se, over lang tid, uten at noen visste det.

Det er den situasjonen tilgangsstyring er ment å hindre, og den situasjonen en tilgangslogg er ment å avdekke.

Den tekniske delen folk tar feil av

Dette er det viktigste avsnittet i artikkelen, og det korrigerer en antakelse som er utbredt også blant tekniske folk.

Microsoft Entra ID logger ikke hva noen har lest.

Entra ID logger to ting: autentisering (hvem logget på, når, fra hvor, med hvilken metode) og katalogendringer (hvem opprettet en bruker, hvem la noen til i en gruppe, hvem tildelte en rolle).

Entra ID logger ikke at saksbehandler Marte åpnet mappen til en bestemt innbygger i barnevernsystemet. Det er fagsystemets egen logg, og den finnes bare hvis fagsystemet har den — noe ikke alle kommunale fagsystemer har i tilstrekkelig grad.

Konsekvensen er at spørsmålet «hvem har sett opplysningene om meg?» må besvares av fagsystemet, ikke av katalogen.

Men det er ett spørsmål til, og det er det som faktisk avgjør en tilsynssak:

«Hvem hadde mulighet til å se dem, hvem ga dem den muligheten, og på hvilket grunnlag?»

Det spørsmålet besvares av katalogen. Og det er det spørsmålet Høylandet-saken og Moss-saken egentlig handlet om — ikke om hvem som faktisk hadde sett, men om hvor mange som kunne.

De tre lagene som må henge sammen

En kommune som skal kunne svare fullt ut trenger tre logger som peker på hverandre:

Lag 1 — fagsystemets oppslagslogg. Hvem åpnet hvilken sak, når. Finnes i noen systemer, mangler i andre. Sjekk hvilke av deres som har det, og hvor lenge de bevarer det.

Lag 2 — katalogens endringslogg. Hvem ble lagt til i hvilken gruppe, av hvem, når. Finnes i Entra ID. Bevares i 7 dager på gratisnivået og 30 dager på P1 og P2, med mindre loggene eksporteres. Vi går gjennom eksportmekanikken i artikkelen om Entra ID-loggen og arkivlova.

Lag 3 — begrunnelsen. Hvorfor tilgangen ble gitt, og hvem som godkjente den. Finnes typisk ikke i noen logg i det hele tatt. Den ligger i en e-post, i et saksnummer, eller i hukommelsen til noen som har sluttet.

Lag 3 er det som mangler i nesten alle kommuner vi har sett. Og det er lag 3 som avgjør om en tilgang var lovlig, fordi tjenstlig behov er et krav om begrunnelse — ikke om teknisk avgrensning.

Innsyn stopper ikke ved leverandøren

To uttalelser fra Sivilombudet, begge fra 5. desember 2019, er relevante for interkommunale selskaper.

I sak 2019/2154 ba NRK Oslo kommune om innsyn i en sammenstilling fra et saksbehandlingssystem. Kommunen avslo fordi sammenstillingen måtte bestilles hos ekstern systemleverandør. Ombudet uttalte at ordlyden «enkle framgangsmåtar» ikke begrenser seg til fremgangsmåter organets egne ansatte kan utføre, og at innsynsretten ikke kan avskjæres fordi organet har valgt en ekstern leverandør.

I sak 2019/3186 gjaldt det innsyn i IT-driftsmeldinger og leverandørens feillogg. Ombudet kritiserte at klageinstansen ikke selv hadde gjennomgått dokumentene.

For et interkommunalt IKT-selskap betyr dette konkret: at loggen ligger hos dere og ikke hos kommunen, fjerner ikke kommunens plikt. Det gjør bare at deres responstid blir kommunens responstid — og at en treg respons blir kommunens problem overfor Sivilombudet.

Avklar dette skriftlig i avtalen. Hvem henter ut, innen hvor mange dager, i hvilket format.

Det som skjer når svaret ikke finnes

Vi har sett hvordan dette går i praksis. En innbygger spør. Kommunen ber IKT-avdelingen om loggen. IKT-avdelingen finner autentiseringsloggen, men ikke oppslagsloggen. Fagsystemleverandøren kan levere oppslagsloggen, men bare for de siste nitti dagene. Ingen kan si hvem som ga tilgangen, eller hvorfor.

Kommunen svarer da det eneste hun kan svare: at tilgangen ble gitt i tråd med rutinen.

Det er et svar som holder helt til noen spør om å få se rutinen, og om å få se dokumentasjonen på at den ble fulgt i akkurat dette tilfellet.

Fem spørsmål å avklare før noen spør

1. Hvilke av fagsystemene deres logger oppslag, og hvor lenge? Lag listen. Den er kortere enn dere tror.

2. Hvor lenge bevares Entra ID-loggene faktisk? Sjekk om diagnostikkinnstillinger er konfigurert i det hele tatt.

3. Kan dere vise begrunnelsen for en enkelt tilgang gitt for seks måneder siden? Test det. Mål tiden.

4. Hvem svarer på en innsynsbegjæring som gjelder loggdata, og innen hvor mange dager? Er loggen hos et IKS, står det i avtalen?

5. Har dere skrevet ned den begrunnede vurderingen av loggoppbevaringstid? Det er det ansvarlighetsprinsippet krever, og det er det som mangler oftest.

Entra Logic er norsk programvare for styrt administrasjon av Microsoft Entra ID. Forretningsbegrunnelsen, godkjenningen og den tekniske utførelsen er samme post fra første sekund — det tredje laget, det som vanligvis ikke finnes noe sted. Søkbart og eksporterbart. Vi tilbyr en gratis tilgangsgjennomgang av Entra ID-miljøet, der vi blant annet ser på hva som faktisk logges i dag og hva som ikke gjør det. Skriftlig rapport, ingen endringer underveis.

Start gratis → · Les mer om Entra Logic for kommune og interkommunalt IT →

Kilder

• Personvernforordningen artikkel 15, 5 nr. 2, 24 og 32 nr. 4
• Datatilsynet: Gebyr til Høylandet kommune (2021); Gebyr til Moss kommune (2021); Gebyr til St. Olavs hospital HF (2021); Overtredelsesgebyr til Østre Toten kommune (2022)
• Datatilsynet: Innsyn i egen journal (om loggutlevering i helsesektoren)
• Sivilombudet, sak 2019/2154 og sak 2019/3186, begge 05.12.2019
• Offentleglova, LOV-2006-05-19-16 § 2, jf. forskrift til offentleglova § 1
• Microsoft: Microsoft Entra-rapporter og oppbevaring av data, hentet 19.08.2026