B søkte i februar 1999 om uførepensjon fra forsikringsselskapet A. I forbindelse med søknaden undertegnet B en fullmakt som ga forsikringsselskapet rett til å innhente ytterligere opplysninger om henne. Fullmakten lød i sin helhet:
«Undertegnede samtykker i at A, i den grad det er nødvendig, innhenter ytterligere opplysninger hos de leger som er oppgitt av undertegnede, eller andre tjenestepensjonsordninger, arbeidskontor, trygdekontor eller fylkestrygdekontor som undertegnede er knyttet til, for bedømmelse av søknaden.»
Fullmakten er datert 21. februar 1999.
I juni 2005 vedtok forsikringsselskapet opphør av Bs uførepensjon. Vedtaket ble påklaget, og saken endte for domstolene. I forbindelse med rettssaken henvendte selskapet seg i januar 2007 til Nav og ba om kopi av Bs trygdemappe. I henvendelsen het det at B hadde «søkt om pensjon fra A», og fullmakten fra 1999 var vedlagt brevet.
Nav utleverte Bs trygdemappe i sin helhet.
B mente Nav hadde brutt sin lovbestemte taushetsplikt, og klaget saken inn for ombudsmannen.
Nav arbeid ble herfra bedt om å redegjøre nærmere for de rutiner som foreligger for å sikre at taushetsbelagte opplysninger ikke blir utlevert uvedkommende.
Det ble pekt på at fullmakten ga samtykke til innhenting av opplysninger «i den grad det er nødvendig (…) for bedømmelse av søknaden». Nav ble spurt om det ble foretatt en vurdering av hvilke dokumenter forsikringsselskapet hadde behov for. Det ble videre spurt om Nav anså at fullmakten etter sin ordlyd måtte anses å være begrenset til en enkelt sak, og om den var begrenset i tid. Endelig ble det spurt om Nav hadde tatt kontakt med B eller forsikringsselskapet for å avklare bakgrunnen for at fullmakten var så vidt gammel.
Nav forklarte at rutinen ved slike henvendelser var at saksbehandler foretok en konkret vurdering av fullmakt og hjemmel, og deretter sendte ut det som etter saksbehandlerens vurdering var dekket av fullmakten. Etaten pekte på at fullmakten var generell, og at det er vanlig å legge til grunn at en fullmakt som ikke er tidsbestemt gjelder til den blir trukket tilbake. Det het videre at det i denne saken burde ha vært «gjort en grundigere vurdering av ’nødvendig’ ut fra det ansvar vi har for at opplysninger vi utleverer er dekket av lovhjemmel og fullmakt».
Saksbehandleren hadde forstått det slik at det var tale om en pågående søknad om pensjon, jf. det som var sagt i brevet fra forsikringsselskapet. B var ikke kontaktet.
I sine kommentarer pekte B på at en rekke av dokumentene i saksmappen var irrelevante for forsikringsselskapet, og kunne slik sett uansett vanskelig sies å være «nødvendig». B mente det neppe var foretatt en reell vurdering. Uansett burde Nav ha reagert på datoen på fullmakten.
Ved avslutningen av saken uttalte jeg:
«Dokumentene i en såkalt trygdemappe må i alminnelighet antas å inneholde en rekke taushetsbelagte opplysninger. Det er følgelig av stor betydning at de offentlige organer som håndterer disse har rutiner som sikrer at opplysningene ikke tilflyter uvedkommende.
Det følger av forvaltningsloven 10. februar 1967 § 13 at alle som utfører tjeneste eller arbeid for et forvaltningsorgan plikter å hindre at andre får adgang eller kjennskap til det han i forbindelse med tjenesten eller arbeidet får vite om noens personlige forhold.
Dokumentene i den mappen som ble utlevert forsikringsselskapet har vært gjennomgått her. Det er ikke tvilsomt at dokumentene inneholder slike taushetsbelagte opplysninger.
Nav har imidlertid adgang, og i visse tilfeller plikt, til å utlevere slike opplysninger dersom den som har krav på taushet samtykker, jf. forvaltningsloven § 13a nr. 1. Det følger imidlertid direkte av ordlyden at opplysningene bare kan gjøres kjent for andre «i den utstrekning» den som har krav på taushet samtykker. Opplysningene kan altså ikke brukes lenger enn samtykket rekker.
Parallelt med at ombudsmannen har behandlet klagen på Nav, har Datatilsynet behandlet en klage på forsikringsselskapet A i samme sak. I Datatilsynets avsluttende brev til A 11. februar 2008 heter det bl.a.:
«Dette samtykket ble gitt i forbindelse med at klager søkte om pensjon i 1999. Det fremgår av fullmaktserklæringen at den gjelder ’bedømmelse av søknaden’ og den er datert 21. februar 1999. Datatilsynet er av den oppfatning at en slik erklæring ikke har gyldighet over syv år senere og at det er åpenbart at ’bedømmelse av søknaden’ ikke omfatter vurderingen av klagers anke.»
Jeg kan i det vesentlige slutte meg til dette. Slik saken er opplyst her, synes ikke samtykket som ble gitt i fullmakten i 1999 å omfatte den innhentingen det var tale om i 2007. Etter mitt skjønn burde Nav ha forstått dette, eller i det minste brakt det på det rene i forbindelse med behandlingen av henvendelsen fra forsikringsselskapet.
En beslutning om å utlevere dokumenter er ikke et «enkeltvedtak» etter forvaltningsloven § 2 første ledd bokstav b) jf. a). De særlige krav til saksbehandlingen som følger av forvaltningsloven kapittel IV-VI får derfor ikke direkte anvendelse. De ulovfestede alminnelige prinsipper om forsvarlig saksbehandling gjelder imidlertid generelt, og følgelig også ved behandlingen av anmodning om utlevering/utlån av dokumenter. Dette innebærer blant annet at spørsmålet om taushetsplikt må være tilstrekkelig opplyst før dokumentene leveres ut. Kravet til sakens opplysning skjerpes når det er tale om å utlevere svært sensitive personopplysninger.
Da henvendelsen fra forsikringsselskapet kom, var fullmakten nesten åtte år gammel. Dette burde i seg selv foranlediget ytterligere undersøkelser fra Nav. Det var tale om å utlevere sensitive personopplysninger av en karakter som må sies å befinne seg i kjernen av taushetsplikten. Tidsaspektet alene ga Nav en særlig oppfordring til å forsikre seg om at samtykket dekket utlevering også i januar 2007. En alminnelig antagelse om at tidsubestemte fullmakter gjelder til de blir trukket tilbake, er ikke tilstrekkelig til å oppfylle undersøkelsesplikten.
Til dette kommer at fullmakten etter sin ordlyd var knyttet til dokumenter som var nødvendige for bedømmelse av «søknaden». Det må ha en klar formodning mot seg at en aktør i forsikringsbransjen bruker nær åtte år på å behandle en søknad om pensjon. Selv om forsikringsselskapets henvendelse til dels må sies å ha vært misvisende på dette punkt, burde dette gitt Nav et incitament til å undersøke saken nærmere.
Uten at det er avgjørende for mitt syn på saken, vil jeg for øvrig bemerke at det neppe ville vært særlig ressurs- eller tidkrevende å bringe på det rene om B var innforstått med at trygdemappen ble utlevert til forsikringsselskapet.
Jeg finner også grunn til å kritisere måten Nav valgte ut dokumentene. Selv om fullmakten hadde vært anvendelig i 2007, er det vanskelig å se at den kunne gi grunnlag for utlevering av trygdemappen i sin helhet. Som nevnt gjaldt fullmakten etter sin ordlyd opplysninger som var «nødvendig» for bedømmelse av søknaden. Ovennevnte krav til sakens opplysning innebærer at Nav har et selvstendig ansvar for å bringe på det rene hvilke dokumenter som er «nødvendig» i denne sammenheng. Dette innebærer at det må innhentes nærmere opplysninger om hva slags søknad det er snakk om, samt at det skal foretas en konkret vurdering av om det vil være behov for det enkelte dokument før det utleveres.
Nav har under saksforberedelsen erkjent at de burde gjort en grundigere vurdering før mappen ble utlevert. Jeg tar det til etterretning, men finner det likevel lite tillitvekkende at mappen ble utlevert helt uredigert.
Nav har etter dette brutt den lovbestemte taushetsplikt da Bs trygdemappe ble utlevert til forsikringsselskapet. Saksbehandlingen var svært mangelfull, og rutinene synes å være lite betryggende. Nav bør derfor gjennomgå rutinene for utlevering av slike dokumenter, med sikte på å sikre at taushetsbelagte opplysninger ikke utleveres uvedkommende.
Jeg ber om å bli holdt orientert om utfallet av gjennomgangen.»