Gjennomførte tiltak etter avvik i informasjonssikkerhet

Vi har også orientert om hvilke tiltak som er gjennomført eller anbefales som følge av gjennomgangen. Statsforvalteren har brukt og vil bruke erfaringene fra hendelsen i arbeidet med å styrke internkontroll og beredskap. Målet er å sikre bedre etterlevelse av krav til både personvern og offentlighet, samt redusere risikoen for nye avvik. 

Bakgrunn

Statsforvalteren i Innlandet ble 20. november 2025 kjent med et alvorlig avvik i håndteringen av innsynsbegjæringer. Avviket innebar at personopplysninger i enkelte tilfeller kunne bli tilgjengelige i dokumenter som var sladdet. Dette som følge av at metadata og bokmerker ikke var fjernet fra PDF-filer. 

Hendelsen ble avdekket etter en henvendelse fra en journalist. Det ble umiddelbart etablert kriseledelse, og relevante myndigheter, herunder Datatilsynet og Digitaliserings- og forvaltningsdepartementet, ble varslet. 

Årsak til avviket

I oppfølgingen av avviket har vi gått gjennom rutiner og praksis. En tverrfaglig analyse viser at avviket ikke skyldtes en teknisk feil, men oppsto som følge av enkeltrutiner med svakheter. Blant annet gjaldt dette i en rutine for opplæring, og innen systemet for internkontroll, og i styring og organisering. 

– Denne hendelsen er, som jeg gjentatte ganger har påpekt, alvorlig, og vi tar den på største alvor. Samtidig ser vi at den gir oss viktige læringspunkter for forbedring av våre rutiner og systemer, sier statsforvalter Knut Storberget.

Omfang og håndtering

Statsforvalteren gjennomførte en omfattende gjennomgang av saker i perioden april 2022 til desember 2025. Kartleggingen avdekket:

1284 saker med delvis innsyn
208 avvik
186 berørte personer

Det ble raskt iverksatt tiltak for å begrense skadeomfanget, inkludert opplæring, stikkprøvekontroller og informasjon til berørte. Reaksjonene fra publikum og berørte har vært svært begrenset, noe som tyder på at håndteringen har bidratt til å redusere konsekvensene av avviket.