Når informasjonen om mennesket finnes utenfor sikkerhetsgjerdet

Personopplysninger, registerfragmentering og beredskap på tvers av organisatoriske grenser

Personopplysninger er langt mer enn fødselsnummer, helseopplysninger og andre opplysninger vi vanligvis oppfatter som private. Personvernforordningen definerer personopplysninger som enhver opplysning om en identifisert eller identifiserbar fysisk person. Navn, telefonnummer og e-postadresse er åpenbare eksempler, men også opplysninger om blant annet bosted, aktiviteter, roller og relasjoner kan være personopplysninger når de kan knyttes til et bestemt menneske (Europaparlamentet & Rådet for Den europeiske union, 2016, art. 4 nr. 1).

I Norge må GDPR og personopplysningsloven forstås i sammenheng. GDPR er den vanlige forkortelsen for EUs personvernforordning, forordning (EU) 2016/679. Etter personopplysningsloven § 1 gjelder forordningen som norsk lov, med de EØS-tilpasningene som følger av avtaleverket. Personopplysningsloven inneholder samtidig norske bestemmelser som supplerer forordningen. Når denne artikkelen omtaler personvernregelverket, siktes det derfor til personvernforordningen og personopplysningsloven samlet (Personopplysningsloven, 2018, § 1; Europaparlamentet & Rådet for Den europeiske union, 2016).

Beskyttelsen av personopplysninger handler heller ikke bare om å holde hemmelig det vi oppfatter som privat eller sensitivt. Personvernforordningen bygger blant annet på prinsipper om formålsbegrensning, dataminimering, lagringsbegrensning og integritet og konfidensialitet. Opplysninger skal samles inn for bestemte og legitime formål, begrenses til det som er nødvendig, ikke oppbevares lenger enn nødvendig og behandles med tilstrekkelig sikkerhet (Europaparlamentet & Rådet for Den europeiske union, 2016, art. 5).

Disse prinsippene får en særlig betydning når opplysninger som hver for seg fremstår som ordinære, finnes hos flere aktører. Et telefonnummer hos én organisasjon, et verv hos en annen og opplysninger om aktivitet, relasjoner eller organisatorisk tilhørighet hos en tredje trenger ikke å være spesielt sensitive isolert. Når opplysninger om det samme mennesket ses i sammenheng, kan informasjonsverdien imidlertid endres. Spørsmålet er derfor ikke bare hvor følsom den enkelte opplysningen er, men også hva flere opplysninger kan fortelle når de kobles til samme person.

Norsk sikkerhet er i stor grad organisert rundt virksomheter, systemer og ansvarsområder. Informasjon beskyttes der den behandles, tilganger styres av den enkelte virksomheten, og ansvaret følger organisatoriske og rettslige grenser. For mennesker med viktige funksjoner i Forsvaret, offentlig forvaltning eller virksomheter som understøtter kritiske samfunnsfunksjoner kan dette innebære omfattende sikkerhetstiltak. Arbeidsutstyret administreres, tilganger begrenses og informasjon håndteres innenfor virksomhetens sikkerhetsregime.

Mennesket passer dårligere inn i disse grensene. Den samme personen som på arbeid omfattes av virksomhetens sikkerhetstiltak, kan etter arbeidstid være trener, foresatt, styremedlem, tillitsvalgt, frivillig eller medlem av flere organisasjoner. I disse rollene behandles andre opplysninger om det samme mennesket, av andre behandlingsansvarlige og for helt andre formål. Et idrettslag kan ha privat kontaktinformasjon og opplysninger om verv. En annen organisasjon kan kjenne aktivitetstilknytning eller organisatorisk rolle. Et medlemssystem kan inneholde foresattrelasjoner eller tilhørighet til bestemte grupper og enheter. Andre opplysninger kan finnes i e-post, dokumenter eller eksporterte medlemslister.

Ingen av disse opplysningene trenger å være spesielt interessante alene, og organisasjonene kan ha både lovlig grunnlag og gode rutiner for behandlingen. Likevel oppstår et spørsmål dersom perspektivet flyttes fra organisasjonen til personen. Hver behandlingsansvarlig ser sitt utsnitt av mennesket. En aktør som samler informasjon fra flere kilder kan i prinsippet se noe annet: sammenhengen mellom utsnittene.

Dette skillet er særlig relevant fordi mennesker ikke bare beveger seg mellom organisasjoner, men også mellom forskjellige sikkerhetsregimer. Regjeringen har uttrykkelig pekt på at medlemmer i frivilligheten samtidig kan ha tjenesteplikt i Forsvaret eller sentrale funksjoner i virksomheter som ivaretar eller understøtter kritiske samfunnsfunksjoner (Prop. 87 S (2023–2024), 2024). Totalberedskapskommisjonen beskriver samtidig frivilligheten som en del av grunnberedskapen og digital sikkerhet som et område som berører offentlige, private og frivillige aktører så vel som enkeltpersoner (NOU 2023: 17, 2023). Det eksisterer dermed en personellmessig forbindelse mellom deler av sivilsamfunnet og funksjoner som samfunnet er avhengig av i krise og krig.

På den andre siden av problemstillingen står trusselbildet. Norske og allierte sikkerhetsmyndigheter beskriver hvordan statlige aktører kartlegger mennesker, identifiserer personer med interessante roller, undersøker deres arbeid, relasjoner og interesser og bruker slik kunnskap ved målrettede tilnærminger. Nasjonal sikkerhetsmyndighet har i 2026 også beskrevet hvordan digitale spor fra forskjellige kilder kan kombineres til detaljerte profiler av enkeltpersoner, og hvordan slike data kan utnyttes av blant annet fremmede stater (Nasjonal sikkerhetsmyndighet, 2026). NSM omtaler ikke norske medlemsregistre i denne sammenhengen, men beskrivelsen dokumenterer et viktig premiss for denne artikkelen: Informasjonens verdi kan endres når opplysninger fra forskjellige kilder ses i sammenheng.

Problemstilling

I hvilken grad fanger dagens personvern- og beredskapstenkning opp den mulige sikkerhetsverdien som kan oppstå når personopplysninger om samme menneske finnes hos flere uavhengige behandlingsansvarlige?

Frivillige og medlemsbaserte organisasjoner brukes her som empirisk undersøkelsesfelt. De er interessante fordi de behandler personopplysninger om en stor og sammensatt del av befolkningen, samtidig som medlemmene inngår i en rekke andre samfunnsroller. Formålet er ikke å undersøke om frivilligheten er «sikker» eller «usikker», men å undersøke hva som skjer med informasjonsbildet rundt et menneske når opplysningene om vedkommende er fordelt mellom organisatoriske grenser.

Metode og avgrensning

Artikkelen bygger på en kvalitativ og eksplorativ dokumentanalyse. Materialet omfatter offentlig tilgjengelige norske myndighetsdokumenter, trussel- og risikovurderinger, veiledningsmateriale fra norske og allierte sikkerhetsmyndigheter og publisert personvern- og styringsinformasjon fra utvalgte norske medlems- og frivillighetsorganisasjoner. Organisasjonsmaterialet er valgt for å undersøke forskjellige deler av personopplysningenes praktiske livsløp: registrering, tilgang, organisatorisk tilhørighet, eksport, lokal behandling, rollebytte, lagring og sletting.

Utvalget av organisasjoner er ikke representativt for norsk frivillighet og kan derfor ikke brukes til å anslå hvor utbredt bestemte arbeidsmåter eller svakheter er. At en organisasjon offentlig beskriver eksport av medlemsdata, lokale systemer eller behandling i e-post, sier heller ikke i seg selv noe om kvaliteten på organisasjonens personvernarbeid. I flere av eksemplene er det snarere organisasjonens egne kontrolltiltak som gjør arbeidsprosessen synlig. Publiserte personvernerklæringer og veiledere viser dessuten bare det organisasjonen har gjort offentlig tilgjengelig; interne rutiner og tekniske sikkerhetsmekanismer kan være mer omfattende.

Kildene gir ulik type kunnskap, og det er viktig å holde disse nivåene fra hverandre. Noen forhold kan dokumenteres direkte: hvilke personopplysninger som behandles, at data kan eksporteres, at mennesker i frivilligheten også kan ha samfunnskritiske funksjoner, og at sikkerhetsmyndigheter beskriver personrettet kartlegging. Andre kilder dokumenterer mekanismer fra andre sammenhenger, som sammenstilling av digitale spor og bruk av opplysninger om arbeid, familie og fritid i målrettede operasjoner. Artikkelens analyse begynner først når disse funnene ses i sammenheng. Den påviser ikke en årsakssammenheng mellom medlemsdata og personrettede operasjoner, men undersøker om de dokumenterte forholdene kan inngå i en plausibel risikomekanisme som fortjener nærmere undersøkelse.

Denne sondringen er nødvendig fordi gjennomgangen ikke har avdekket dokumenterte tilfeller der en fremmed etterretningstjeneste har brukt medlemsregistre fra norske frivillige organisasjoner til å identifisere eller kartlegge personer med samfunnskritiske funksjoner. Fraværet av slike funn dokumenterer ikke at dette aldri har skjedd; offentlige kilder kan ikke gi et fullstendig bilde av etterretningsaktivitet. Samtidig ville det være metodisk feil å bruke den manglende innsynsmuligheten som argument for at fenomenet finnes. Artikkelen undersøker derfor en mulig risikomekanisme, ikke en dokumentert norsk operasjon.

En annen begrensning gjelder informasjonsverdien. Det er ikke mulig på grunnlag av materialet å fastslå hvor stor tilleggsverdi medlemsdata eventuelt gir sammenlignet med åpne kilder, sosiale medier, kommersielle databaser, tidligere datalekkasjer eller andre informasjonskilder. Registerfragmentering kan dessuten ha en beskyttende effekt: Når informasjon er fordelt mellom uavhengige behandlingsansvarlige, vil kompromittering av én organisasjon normalt ikke gi tilgang til hele informasjonsbildet. Problemstillingen oppstår først dersom en aktør kan hente inn og sammenstille informasjon fra flere kilder.

Disse begrensningene er ikke bare metodiske forbehold. De avgrenser hva artikkelen kan konkludere med. Målet er ikke å bevise at medlemsdata utgjør en bestemt etterretningstrussel, men å undersøke om etablerte organisatoriske grenser kan gjøre det vanskelig å se en informasjonsverdi som først oppstår på tvers av dem.

Når mennesket beveger seg mellom sikkerhetsregimer

Totalberedskapskommisjonen beskrev i NOU 2023: 17 digital sikkerhet som avgjørende for velferdssamfunnet, viktige samfunnsfunksjoner og nasjonale sikkerhetsinteresser. Digitaliseringen innebærer at systemer bærer verdier for offentlige, private og frivillige aktører og for enkeltpersoner, og kommisjonen argumenterte for sterkere tverrsektorielt samarbeid og bedre nasjonal situasjonsforståelse. I behandlingen av sammensatte trusler fremheves det også at utfordringer kan gå på tvers av sektorer, nivåer og ansvarsområder, og at aktiviteter som isolert sett er lovlige og en del av normalbildet kan inngå i en større sammenheng (NOU 2023: 17, 2023).

Det ville være feil å klassifisere ordinær behandling av medlemsopplysninger som en sammensatt trussel. Relevansen ligger et annet sted. Totalberedskapskommisjonen beskriver et generelt styringsproblem som oppstår når betydningen av et fenomen først blir synlig på tvers av etablerte ansvarsområder. Den enkelte virksomheten kan forstå sitt eget utsnitt godt uten nødvendigvis å ha forutsetninger for å se helheten.

Det samme kan gjelde informasjon om mennesker. Arbeidsgiveren kan ha god kontroll med informasjonen den selv behandler. Idrettslaget kan ha god kontroll med sine medlemsopplysninger, og en annen frivillig organisasjon kan ha gode rutiner for sine. Det er ingen motsetning mellom dette og artikkelens problemstilling. Tvert imot er det nettopp denne situasjonen som gjør spørsmålet interessant: God kontroll hos hver enkelt behandlingsansvarlig forhindrer ikke nødvendigvis at informasjon fra flere uavhengige kilder kan få en annen verdi når den sammenstilles.

Det oppstår dermed en asymmetri mellom beskyttelse og innhenting. De som beskytter informasjonen er bundet av organisatoriske grenser, behandlingsformål, ansvarsområder og systemer. En aktør som forsøker å kartlegge et menneske trenger ikke organisere informasjonsinnhentingen etter de samme grensene. For vedkommende kan informasjon fra arbeidslivet, åpne kilder, sosiale medier og sivile organisasjoner være forskjellige fragmenter av det samme personbildet.

Personopplysningenes livsløp

For å forstå den mulige betydningen av registerfragmentering er det nødvendig å se nærmere på hva som faktisk skjer med personopplysninger etter at de er registrert. Et medlemssystem kan gi inntrykk av en forholdsvis enkel informasjonsstruktur: Organisasjonen registrerer medlemmet, noen få personer får tilgang, opplysningene brukes til medlemsadministrasjon og slettes når de ikke lenger er nødvendige. Publisert materiale fra norske medlems- og frivillighetsorganisasjoner viser et mer sammensatt bilde. Informasjonen kan brukes på flere organisatoriske nivåer, eksporteres for konkrete arbeidsoppgaver, inngå i kommunikasjon og dokumenter, følge tillitsvalgte gjennom et verv og ha forskjellige lagringstider avhengig av formålet.

Naturvernforbundet illustrerer overgangen fra et sentralt system til lokal behandling (Naturvernforbundet, u.å.). Organisasjonens veiledning for medlemsregisteret viser at fylkes- og lokallag kan hente ut medlemsdata fra MinSide, blant annet som PDF- eller Excel-filer. Tilgangen er knyttet til bestemte roller, og veiledningen viser dermed både den sentrale kontrollen og punktet der opplysningene kan bli til lokale filer. Eksporten er i seg selv en ordinær funksjon. Det relevante for denne analysen er at kontrollbehovet ikke opphører når opplysningene forlater den sentrale løsningen.

Norges speiderforbund viser en annen dimensjon (Norges speiderforbund, u.å.). I medlemssystemet kan det behandles kontaktopplysninger, medlemskap, roller, foresattinformasjon og organisatorisk tilhørighet til grupper og andre enheter. Systemet har rollebasert tilgang, samtidig som rapporter og kontaktlister kan eksporteres. Opplysningene beskriver dermed ikke bare individer, men kan også inneholde informasjon om organisatoriske og familiære forbindelser. Norges idrettsforbund gir et viktig motstykke (Norges idrettsforbund, 2024). Tilgangen til administrative systemer er knyttet til funksjoner, klubbene skal vurdere hvem som faktisk trenger tilgang, og unødvendige tilganger skal fjernes. Det avgjørende spørsmålet er derfor ikke om informasjon noen gang beveger seg ut av hovedsystemet, men hvilke kontrollmekanismer som følger den videre.

Dette kan omtales som kontrollkontinuitet: i hvilken grad organisatoriske og tekniske kontrollmekanismer følger personopplysningene gjennom behandlingen. Begrepet er analytisk og brukes her for å beskrive en praktisk utfordring, ikke som en egen kategori i personvernregelverket. Datatilsynets veiledning om internkontroll gir støtte til selve styringsperspektivet. Virksomheten skal ha oversikt over behandlingene, og Datatilsynet beskriver internkontrollen gjennom styrende, gjennomførende og kontrollerende dokumentasjon. Dokumentasjonen skal vise den reelle situasjonen i virksomheten (Datatilsynet, 2018).

Når organisasjonen selv er fragmentert

Personopplysninger kan også bevege seg mellom organisatoriske nivåer. Dette er særlig relevant i medlemsorganisasjoner som består av nasjonale, regionale og lokale enheter med forskjellige grader av selvstendighet. DNT illustrerer denne strukturen (Den Norske Turistforening, u.å.). Organisasjonen består av en rekke selvstendige medlemsforeninger, mens den sentrale personverninformasjonen samtidig gjør det klart at enkelte medlemsforeninger og lokale ledd kan ha egne systemer og behandlinger som ikke omfattes av den sentrale beskrivelsen.

Dette er ikke et avvik. Det følger av organisasjonsformen. Likevel har strukturen betydning for informasjonsstyringen. Den samme personen kan være registrert i en felles medlemsløsning og samtidig inngå i lokale aktiviteter eller frivillig arbeid der andre opplysninger behandles. Hvilke data som behandles vil avhenge av formålet og aktiviteten, men eksemplet viser at én organisatorisk tilhørighet kan bestå av flere forskjellige behandlingssituasjoner.

Dersom all fragmentering omtales som ett fenomen, mister analysen presisjon. Det må skilles mellom informasjon som finnes på flere arbeidsflater hos samme behandlingsansvarlige, informasjon som behandles på forskjellige nivåer eller hos selvstendige enheter innenfor et organisasjonslandskap, og informasjon om samme menneske som finnes hos helt uavhengige organisasjoner. Først den siste formen omtales her som registerfragmentering.

Når vervet opphører

Personopplysningenes livsløp blir særlig synlig når et menneske skifter rolle. Et medlemssystem kan deaktivere en brukerkonto på sekunder. Det betyr ikke nødvendigvis at informasjon personen tidligere har hatt legitim tilgang til forsvinner samtidig. Nettopp denne forskjellen er tydelig i publiserte retningslinjer fra profesjons- og arbeidstakerorganisasjoner.

Legeforeningens publiserte retningslinjer for tillitsvalgte beskriver hvordan personopplysninger kan finnes på flere steder enn i et sentralt system (Den norske legeforening, 2018). Når en tillitsvalgt avslutter vervet, skal det foretas en gjennomgang av hvor opplysninger er lagret og hva som fortsatt er nødvendig. Veiledningen nevner blant annet e-post, SMS-korrespondanse, papirpermer, minnepinner og eksterne harddisker. Den skiller også mellom informasjon som en etterfølger faktisk trenger for å videreføre arbeidet, og informasjon som ikke uten videre skal overføres.

Teknas publiserte veiledning viser en tilsvarende forståelse (Tekna, 2022). Ved avslutning av et verv skal lagrede personopplysninger gjennomgås, unødvendige data slettes og relevant materiale overføres på en kontrollert måte. For enkelte medlemssaker kreves samtykke før informasjon overføres til en ny tillitsvalgt. Organisasjonen omtaler også sletting av kopier og overskuddsmateriale og anbefaler regelmessig egenkontroll av at rutinene faktisk fungerer.

Disse eksemplene gjør det mulig å skille mellom tilgangsavslutning og avslutning av databesittelse. Den første innebærer at personen mister rollen eller kontoen som ga adgang til systemet. Den andre innebærer at informasjon personen allerede har mottatt eller opprettet gjennom vervet blir gjennomgått, overført der det er nødvendig og ellers slettet eller destruert når det ikke lenger finnes et behandlingsformål eller annet rettslig grunnlag for å beholde den.

Ulike opplysninger har ulike livsløp

Røde Kors tilfører en annen nødvendig nyanse (Røde Kors, u.å.). Organisasjonens personverninformasjon beskriver forskjellige lagringstider for forskjellige typer opplysninger om frivillige. Opplysninger som er nødvendige i forbindelse med et konkret arrangement kan ha kort levetid, mens andre opplysninger knyttet til frivilligforholdet beholdes lenger. Dette korrigerer en vanlig forenkling: Utmelding eller avslutning av et frivilligforhold betyr ikke at alle opplysninger skal forsvinne samme dag. Lagring må vurderes ut fra formål og rettslig grunnlag.

Frivillig.no viser ytterligere en side av samme problem (Frivillighet Norge, u.å.). Personopplysninger behandles ikke nødvendigvis bare i den synlige brukerprofilen. Tjenestens personverninformasjon beskriver blant annet behandling av kontaktopplysninger i databasen og at relevante opplysninger fra kontakt via telefon og e-post kan registreres i Frivillighet Norges CRM-løsning. Informasjon kan også overføres til andre tjenester for bestemte formål. Dette illustrerer hvorfor «slett bruker» og «slett all informasjon om mennesket» ikke nødvendigvis er den samme operasjonen.

Fra behandlingsflater til registerfragmentering

Sett samlet viser eksemplene et informasjonslivsløp som er mer komplekst enn forestillingen om ett medlemsregister. Opplysninger registreres i sentrale systemer, gjøres tilgjengelige etter roller, brukes i organisatoriske enheter, kan eksporteres for bestemte arbeidsoppgaver, inngå i kommunikasjon og dokumentasjon og få forskjellige lagringstider. Når roller opphører, må både systemtilgang og allerede mottatte opplysninger håndteres. Ingen av disse overgangene dokumenterer i seg selv dårlig personvern. Tvert imot kommer mye av kunnskapen nettopp fra organisasjoner som offentlig beskriver hvordan de forsøker å styre overgangene.

Den empiriske gjennomgangen gir derfor ikke grunnlag for å plassere «problemet» hos frivilligheten. Den dokumenterer noe mer grunnleggende: Personopplysninger har et livsløp, og kontrollvilkårene kan endres underveis. Innenfor én organisasjon kan dette håndteres gjennom internkontroll, systemdesign, tilgangsstyring og gode arbeidsprosesser. Den vanskeligere problemstillingen oppstår når perspektivet utvides fra opplysningen til mennesket.

En person kan være godt ivaretatt i hvert av systemene vedkommende finnes i og likevel være representert i mange av dem. Idrettslaget har én legitim del av informasjonen. En profesjonsforening har en annen. En frivillig organisasjon kan ha en tredje. Arbeidsgiveren har opplysninger som ingen av disse trenger å kjenne. Åpne kilder kan tilføre ytterligere informasjon. Det finnes ingen nødvendig forbindelse mellom behandlingsansvarlige, og det er heller ingen grunn til at de skal etablere en slik forbindelse. Likevel handler opplysningene om samme menneske.

Det er overgangen fra kontroll med hver enkelt behandling til den mulige informasjonsverdien på tvers av behandlingene som leder videre til artikkelens hovedanalyse.

Når fragmentene blir et personbilde

Det avgjørende skiftet skjer når informasjonen ikke lenger vurderes ut fra hvorfor den enkelte organisasjonen samlet den inn, men ut fra hva opplysningene kan fortelle når de ses sammen. Et privat telefonnummer, et verv, en aktivitetstilknytning, en foresattrelasjon eller en organisatorisk rolle kan hver for seg være ordinære opplysninger med begrenset verdi utenfor den sammenhengen de ble samlet inn for. Sammen med åpne opplysninger om arbeidssted, fagområde eller samfunnsrolle kan de imidlertid bidra til et rikere bilde av personen. I denne artikkelen brukes begrepet akkumulert informasjonsverdi om denne mulige endringen i verdi når flere informasjonsfragmenter kombineres. Begrepet beskriver ikke en egen juridisk kategori og innebærer heller ikke at sammenstillingen nødvendigvis avdekker sensitive personopplysninger i personvernforordningens forstand.

NSM gir et viktig utgangspunkt for denne delen av analysen. I forbindelse med Sikkerhetskonferansen 2026 beskriver myndigheten hvordan digitale spor fra sosiale medier, apper, nettjenester og sensorsystemer kan kombineres til detaljerte profiler av enkeltpersoner, og at slike data kan utnyttes av blant annet fremmede stater (Nasjonal sikkerhetsmyndighet, 2026). NSM knytter samtidig skillet mellom privatliv og arbeid til samfunnets motstandskraft og totalforsvaret. Kilden sier ikke at norske medlemsregistre inngår i slike profiler. Det den dokumenterer, er selve sammenstillingsmekanismen og at personrelatert informasjon utenfor arbeidsplassen kan ha sikkerhetsmessig betydning.

Dette gjør det nødvendig å skille mellom opplysningenes opprinnelige formål og deres mulige verdi for en annen aktør. For idrettslaget er en privat e-postadresse et middel for medlemskommunikasjon. For en lokal forening kan et verv være nødvendig for organisasjonsdriften. Foresattinformasjon kan være nødvendig for å ivareta et barn. Ingen av disse formålene er sikkerhetsrelaterte. En ekstern aktør som forsøker å forstå en bestemt person, er imidlertid ikke bundet av organisasjonenes formål. Verdien kan ligge i at opplysningen bekrefter identitet, viser en forbindelse, peker mot et miljø personen deltar i eller gjør en henvendelse mer troverdig.

Informasjonsverdien ligger ikke nødvendigvis i én bestemt opplysning. Et verv kan bekrefte en rolle, en foresattrelasjon kan synliggjøre en forbindelse, og kontaktinformasjon kan gjøre en henvendelse mer troverdig. Slike fragmenter får først betydning i lys av hva en aktør allerede vet om personen. Materialet i denne artikkelen sier ikke hvor stor tilleggsverdi medlemsdata faktisk gir, men sikkerhetsmyndighetenes beskrivelser av personrettet aktivitet viser hvorfor enkeltopplysninger ikke alltid kan vurderes bare ut fra hvor trivielle de fremstår isolert.

Mennesket som mål

PSTs Nasjonal trusselvurdering 2026 gjør persondimensjonen konkret. Tjenesten vurderer at fremmede staters etterretningstjenester også i 2026 vil forsøke å rekruttere kilder og medhjelpere i Norge. Personer med tilgang til sensitiv eller gradert informasjon og personer med viktige roller og verv trekkes frem som særlig utsatte. Kontaktetableringen kan skje fysisk eller digitalt, blant annet gjennom sosiale medier og falske kontoer på LinkedIn. PST understreker også at utenlandske etterretningstjenester ikke bare er interessert i gradert informasjon, men også i ugradert sensitiv informasjon (Politiets sikkerhetstjeneste, 2026).

PSTs kunnskapsmateriale viser at et menneske kan bli interessant av flere grunner enn formell sikkerhetsklarering. Tilgang til informasjon eller personer, kunnskap og kompetanse og rollen vedkommende har i en organisasjon eller et miljø kan gjøre et enkeltindivid til et mulig etterretningsmål. Dermed flyttes analysen fra spørsmålet om et bestemt register inneholder «hemmelig» informasjon til et annet spørsmål: Kan ordinære opplysninger bidra til å forstå et menneske som allerede er interessant på grunn av rollen, tilgangen eller kompetansen vedkommende har?

Allierte kilder gir ytterligere støtte til at kartleggingen kan omfatte mer enn arbeidsrollen. Dansk PET beskriver hvordan utenlandske etterretningsoffiserer kan bruke informasjon fra sosiale medier om en persons arbeid, familieforhold og fritidsaktiviteter for å etablere første kontakt med personer som kan være interessante å rekruttere (Politiets Efterretningstjeneste, u.å.). Canadiske CSIS beskriver på sin side at utenlandske etterretningstjenester identifiserer og undersøker mål før kontakt, og at de også kan forsøke å rekruttere venner og familie til personer i sensitive stillinger (Canadian Security Intelligence Service, 2026). Disse kildene dokumenterer ikke bruk av norske medlemsregistre, men de styrker et mer avgrenset poeng: opplysninger fra privatliv og relasjoner kan inngå i personrettet kartlegging når en aktør allerede har interesse for individet.

Medlemsdata kan i en slik sammenheng ha en mulig, men ikke dokumentert, tilleggsverdi. Dersom en aktør allerede har identifisert en person på grunn av vedkommendes arbeid eller funksjon, kan informasjon fra andre deler av livet bidra til å fylle ut bildet. Det betyr ikke at alle opplysninger har verdi, eller at medlemsregistre er nødvendige for slik kartlegging. Store deler av et personbilde kan allerede være tilgjengelig gjennom åpne kilder. Poenget er mer avgrenset: informasjon som er uinteressant som selvstendig datasett kan få en annen betydning når personen allerede er et mål for innhenting.

Internasjonale sikkerhetsmyndigheter dokumenterer denne logikken tydeligere i konkrete operasjoner. Nederlandsk AIVD og MIVD opplyste i mars 2026 at russiske statlige hackere gjennomførte en omfattende internasjonal kampanje for å få tilgang til Signal- og WhatsApp-kontoer til blant annet militært personell, embets- og tjenestepersoner og andre personer av interesse. Nederlandske statsansatte var blant både mål og ofre. Kampanjen var rettet mot individuelle kontoer; myndighetene understreket at det ikke var Signal eller WhatsApp som plattformer som var kompromittert (Algemene Inlichtingen- en Veiligheidsdienst [AIVD] & Militaire Inlichtingen- en Veiligheidsdienst [MIVD], 2026). Eksemplet er relevant nettopp fordi sikkerhetsinteressen fulgte mennesket ut på en privat kommunikasjonsflate.

Et enda tydeligere eksempel kom fra britiske National Cyber Security Centre i september 2026. I den felles rådgivningen om skadevaren CHOSEN BRICK beskriver britiske, amerikanske og nederlandske myndigheter hvordan iranske statlige cyberaktører brukte omfattende forhåndskunnskap om utvalgte mål for å tilpasse sosial manipulering. Aktørene kunne utgi seg for å være personer målet kjente eller teknisk støtte for en meldingstjeneste. I observerte tilfeller ble kontakten ofte først forsøkt mot arbeidsrelatert eller virksomhetsstyrt utstyr. Dersom leveransen mislyktes eller risikoen for oppdagelse ble for stor, forsøkte aktøren å flytte leveransen til personens private enhet for å omgå virksomhetens sikkerhetskontroller (National Cyber Security Centre, 2026).

CHOSEN BRICK-eksemplet er viktig fordi det viser en operativ sammenheng mellom kunnskap om målet, sosial kontakt og skillet mellom virksomhetens og personens private sikkerhetsmiljø. Skadevaren kunne blant annet samle informasjon om kontakter, e-post og meldinger, og innsamlede data kunne brukes til å forstå offerets kontakter, lokasjon og bevegelsesmønster. Dette er ikke et eksempel på bruk av medlemsregistre, og det skal heller ikke presenteres som det. Det er et dokumentert eksempel på at en statlig aktør kan behandle personen som det egentlige målet og bevege operasjonen mellom arbeids- og privatsfæren når sikkerhetsforholdene tilsier det.

Fra register til relasjon

Når disse kildene ses sammen, kan de brukes til å beskrive flere dokumenterte ledd i en mekanisme som er relevant for artikkelens problemstilling, uten at kildene dokumenterer hele kjeden i én og samme operasjon. NSM dokumenterer at digitale spor kan kombineres til detaljerte personprofiler. PST dokumenterer at personer med bestemte roller, tilganger og kompetanser kan være interessante mål, og at digitale kanaler brukes til kontakt og rekruttering. AIVD og MIVD dokumenterer statlig målretting mot private kommunikasjonskontoer til militært personell og offentlige tjenestepersoner. NCSC og samarbeidspartnerne dokumenterer en operasjon der omfattende forhåndskunnskap ble brukt for å skreddersy kontakt, og der en statlig aktør kunne forsøke å flytte angrepet fra virksomhetsstyrt til privat utstyr.

Ingen av disse kildene dokumenterer det siste leddet som måtte til for å gjøre artikkelens hypotese til et empirisk funn: at personopplysninger fra norske frivillige eller medlemsbaserte organisasjoner faktisk er blitt brukt i slike operasjoner. Det er et vesentlig skille. Men kildene dokumenterer hver sin del av mekanismen som gjør spørsmålet relevant. Informasjon kan sammenstilles. Mennesker kan være mål på grunn av rollen eller tilgangen de har. Personrettede operasjoner kan bygge på forhåndskunnskap, og sikkerhetsinteressen kan følge personen fra arbeidsmiljøet til private digitale flater.

Dette gir grunn til å undersøke om vurdering av ett register om gangen er tilstrekkelig for å forstå problemstillingen. Et medlemssystem kan være godt sikret og inneholde opplysninger med begrenset skadeverdi når systemet vurderes isolert. En annen organisasjon kan være i samme situasjon. Artikkelens analyse er at en mulig tilleggsverdi kan oppstå dersom opplysninger som opprinnelig er samlet inn for forskjellige formål, faktisk blir koblet til samme person og sett i sammenheng. Materialet som er gjennomgått, gjør det ikke mulig å fastslå hvor ofte dette skjer eller hvor stor denne tilleggsverdien er.

Samtidig må argumentet snus. Fragmentering kan også beskytte. Dersom opplysningene om et menneske er fordelt mellom uavhengige organisasjoner, får en aktør som kompromitterer ett system normalt bare et utsnitt. Sammenstilling krever ytterligere innhenting, identitetskobling og analyse. Moderne medlemssystemer, organisasjonsstyrte skytjenester og gode tilgangsrutiner kan dessuten gjøre lokal kopiering mindre nødvendig og redusere eksponeringen. Det er derfor ikke fragmenteringen alene som utgjør problemstillingen. Spørsmålet er hvilken verdi som kan oppstå dersom en aktør faktisk har kapasitet til å samle fragmentene.

Denne dobbeltheten er sentral. Registerfragmentering kan redusere konsekvensen av ett enkelt kompromiss og samtidig gjøre det vanskelig for hver enkelt behandlingsansvarlig å se hvilken verdi opplysningene kan få utenfor egen kontekst. Beskyttelsen er fragmentert fordi ansvaret nødvendigvis er fragmentert. En målrettet innhenter trenger derimot ikke respektere de samme organisatoriske grensene.

Et tverrgående blindfelt?

Det offentlige materialet som er gjennomgått i arbeidet med denne artikkelen gir omfattende veiledning om personvern, digital sikkerhet, personellsikkerhet, etterretningstrusler og totalberedskap. Det finnes også tydelig oppmerksomhet om at mennesker beveger seg mellom roller, og at skillet mellom privat og profesjonell digital aktivitet kan ha sikkerhetsmessig betydning. Det som ikke er identifisert i det gjennomgåtte materialet, er en eksplisitt behandling av den samlede sikkerhetsverdien som kan oppstå når opplysninger om samme person behandles av flere uavhengige medlems- og frivillighetsorganisasjoner.

Det er ikke grunnlag for å kalle dette et regelverksgap. Personvernregelverket gjelder den enkelte behandlingen, sikkerhetsregelverket beskytter bestemte verdier og funksjoner, og virksomheter kan ha interne tiltak som ikke er offentlig kjent. Det er heller ikke mulig å slutte fra fravær i offentlig tilgjengelige dokumenter til at norske myndigheter aldri har vurdert spørsmålet. En mer presis beskrivelse er derfor et mulig tverrgående blindfelt: en risiko som kan være vanskelig å se fordi ingen av aktørene som legitimt behandler hvert enkelt informasjonsfragment har ansvar for, eller bør ha tilgang til, det samlede personbildet.

Dette skaper et styringsparadoks. Den enkelte behandlingsansvarlige skal nettopp begrense behandlingen til sitt formål og ikke samle inn informasjon som ikke er nødvendig. Et idrettslag bør ikke kartlegge hvilke medlemmer som arbeider i Forsvaret. En frivillig organisasjon bør ikke bygge profiler over hvem som arbeider i kritisk infrastruktur. Arbeidsgiveren har heller ingen generell grunn til å kartlegge medarbeidernes organisasjonsliv. Å forsøke å løse fragmenteringsproblemet ved å samle informasjonen sentralt ville derfor kunne skape den konsentrerte personprofilen artikkelen problematiserer.

Konsekvensen kan ikke være mer kartlegging. Den må i stedet søkes i bedre kontroll med de opplysningene hver aktør allerede har et legitimt behov for å behandle. Det leder analysen tilbake til personvernet, men med et bredere begrunnelsesgrunnlag: dataminimering, begrensning av unødvendige kopier, behovsstyrt tilgang, oversikt over behandlingsflater og ryddig avslutning av tilganger og lokal databesittelse beskytter ikke bare den registrertes personvern. For personer hvis roller, kompetanse eller tilganger gjør dem interessante for en statlig aktør, kan slike tiltak også redusere mengden tilgjengelige informasjonsfragmenter og kontaktflater.

Personvern som beredskapstiltak – uten å gjøre frivilligheten til sikkerhetsorganisasjon

Dersom analysen skal få praktisk betydning, må tiltakene være forholdsmessige. Et lokalt idrettslag, en speidergruppe eller en liten interesseorganisasjon skal ikke innrette virksomheten som om den forvalter skjermingsverdige informasjonssystemer. Personopplysningene de behandler er heller ikke automatisk sikkerhetsgradert eller skjermingsverdig informasjon fordi enkelte medlemmer kan ha viktige samfunnsroller. En slik tilnærming ville både overdrive trusselen og risikere å gjøre ordinært frivillig arbeid unødvendig komplisert.

Det finnes samtidig et betydelig handlingsrom mellom sikkerhetsorganisasjon og fravær av kontroll. Mye av det som reduserer den mulige beredskapsrisikoen er allerede grunnleggende personvernarbeid. Dataminimering reduserer mengden informasjon som kan eksponeres. Behovsstyrt tilgang begrenser hvor mange som kan se opplysningene. Gode sletterutiner forkorter tiden data eksisterer uten et fortsatt formål. Oversikt over behandlingsflater gjør det mulig å finne kopier når tilgangen eller rollen opphører. Når oppgaven kan løses inne i et kontrollert medlemssystem i stedet for ved å eksportere en ny kopi, reduseres også antallet steder informasjonen må beskyttes.

Dette innebærer ikke at eksport alltid bør unngås. Mange organisasjoner er avhengige av regneark, dokumenter og andre arbeidsverktøy for å løse praktiske oppgaver. Kontrollspørsmålet er derfor mer konkret: Trenger denne oppgaven en kopi av personopplysningene, hvilke opplysninger må kopien i så fall inneholde, hvor skal den lagres, hvem trenger tilgang, og hva skjer med den når oppgaven er ferdig? Slike spørsmål krever ikke kunnskap om etterretning. De krever at organisasjonen forstår sin egen behandling.

Det samme gjelder tilgangsstyring. NIFs publiserte rutiner viser verdien av å knytte tilgang til faktisk funksjon og gjennomgå den når funksjonen endres. Legeforeningen og Tekna viser hvorfor det ikke er tilstrekkelig bare å deaktivere kontoen til en tidligere tillitsvalgt. Dersom personen gjennom vervet har mottatt dokumenter, e-post eller lokale kopier, må også disse vurderes. God avslutning av et verv handler derfor både om å stenge døren inn til systemet og om å rydde i den informasjonen som allerede er tatt ut av det.

Kompetanse blir avgjørende nettopp fordi slike beslutninger ofte tas av mennesker som ikke arbeider profesjonelt med personvern. Datatilsynets veiledning understreker at virksomheten må ha nødvendig kunnskap om personvernregelverket, og at internkontroll må følges opp gjennom opplæring, kontroll og jevnlig evaluering av om rutiner og sikkerhetstiltak virker etter hensikten (Datatilsynet, 2018). For frivilligheten betyr dette ikke nødvendigvis omfattende kurs eller juridisk spesialkompetanse. Enkle, forståelige rutiner kan ha større praktisk verdi enn omfattende dokumentasjon som få kjenner. Den som får tilgang til medlemsopplysninger bør vite hva de kan brukes til, hvor de kan lagres, om de kan deles eller eksporteres, og hva som skal skje når oppgaven er utført.

Denne tilnærmingen kan sammenfattes i et enkelt prinsipp: Organisasjonen trenger ikke kjenne den eksterne verdien av opplysningene for å ha kontroll med dem. Et idrettslag behøver ikke vite om et medlem arbeider med kritisk infrastruktur for å begrense unødvendige kopier av medlemslisten. Speidergruppen trenger ikke kjenne foresattes sikkerhetsklarering for å styre tilgangen til kontaktopplysninger. En profesjonsforening trenger ikke vurdere hvilke medlemmer som kan være interessante for en fremmed stat for å sikre at tidligere tillitsvalgte ikke beholder personopplysninger de ikke lenger har behov for.

Dette er også grunnen til at generelle personverntiltak kan være bedre egnet enn særtiltak rettet mot bestemte grupper. Dersom organisasjonen begynner å identifisere hvem som har samfunnskritiske funksjoner for å gi disse personene sterkere beskyttelse, må den først etablere informasjonen som gjør identifikasjonen mulig. Resultatet kan bli et nytt register over personer som nettopp er interessante fordi de har bestemte roller eller tilganger. En slik løsning kan skape større konsentrasjon av informasjon og reise nye personvernspørsmål. God grunnbeskyttelse for alle unngår dette paradokset.

Hvem eier den tverrgående risikoen?

Det vanskeligste spørsmålet lar seg likevel ikke løse hos den enkelte organisasjonen. Dersom mulig risiko først oppstår når informasjon fra flere uavhengige kilder ses sammen, kan ingen av behandlingsansvarlige forventes å ha oversikt over helheten. De bør heller ikke gis en slik oversikt. Det gjør dette til mer enn et spørsmål om internkontroll i frivilligheten.

Arbeidsgivere med ansvar for kritiske funksjoner har allerede et ansvar for egen sikkerhet og, der regelverket krever det, personell- og informasjonssikkerhet. Sikkerhetsmyndighetene gir råd om blant annet sosial manipulering, digitale spor, privat bruk av teknologi og fremmede etterretningstjenesters interesse for mennesker. Det er her den tverrgående problemstillingen først og fremst kan håndteres: gjennom sikkerhetsbevissthet hos personer som kan være interessante mål og gjennom forståelse av at sikkerhet ikke nødvendigvis stopper ved virksomhetens tekniske grense.

Arbeidsgiverens rolle er ikke å kontrollere privatlivet, men å gjøre ansatte i utsatte roller i stand til å forstå hvordan informasjon fra ulike deler av livet kan inngå i et større bilde. Sikkerhetsopplæring som bare handler om passord, arbeidsutstyr og graderte dokumenter kan bli for snever dersom trusselaktøren også undersøker åpne kilder, sosiale relasjoner og private kommunikasjonsflater. Samtidig må slik veiledning respektere privatliv og være forholdsmessig. Formålet er å øke den enkeltes forståelse og handlingskompetanse, ikke å etablere arbeidsgiverkontroll over fritidslivet.

På myndighetsnivå er utfordringen annerledes. Totalberedskapskommisjonen fremhever at sammensatte utfordringer kan krysse etablerte sektor- og ansvarsgrenser. Denne artikkelen gir ikke grunnlag for å konkludere med at registerfragmentering er en sammensatt trussel, men analysen peker på et beslektet styringsproblem. Personvernmyndighetene ser behandlingene gjennom personvernregelverket. Sikkerhetsmyndighetene vurderer trusler, verdier og sårbarheter. Frivilligheten forvalter sine medlems- og aktivitetsdata. Arbeidsgivere beskytter egne systemer og personell. Ingen av disse perspektivene er feil. Spørsmålet er om kombinasjonen etterlater en problemstilling som blir vanskelig å se fordi den ligger mellom dem.

Det tilsier ikke nødvendigvis nye regler. Før et slikt behov eventuelt kan vurderes, mangler vi grunnleggende empirisk kunnskap. Vi vet ikke hvor stor tilleggsverdi medlemsdata har sammenlignet med åpne kilder. Vi vet ikke hvor ofte statlige aktører forsøker å innhente slike data, eller om de gjør det i Norge. Vi vet heller ikke om eksisterende personvern- og sikkerhetstiltak allerede reduserer risikoen til et nivå der ytterligere tiltak ville ha liten effekt. Disse spørsmålene bør undersøkes før man gjør en mulig mekanisme til grunnlag for nye plikter.

Et naturlig neste steg er derfor kunnskapsutvikling fremfor regulering. Forskning eller myndighetsanalyser kan undersøke hvordan personopplysninger om samme individ faktisk fordeler seg mellom organisatoriske sammenhenger, hvilken marginal informasjonsverdi ulike datatyper kan få ved sammenstilling, og hvordan dette forholder seg til informasjon som allerede er tilgjengelig i åpne kilder. Slike undersøkelser bør gjennomføres uten å bygge nye registre over samfunnskritisk personell. Metoden må i seg selv ta hensyn til den risikoen den forsøker å forstå.

Konklusjon

Utgangspunktet for denne artikkelen var et enkelt spørsmål om medlemsopplysninger. Gjennomgangen viser at problemstillingen er bredere. Norske medlems- og frivillighetsorganisasjoner behandler personopplysninger for legitime formål, og de publiserte eksemplene viser både hvordan informasjon kan bevege seg mellom behandlingsflater og hvordan organisasjoner forsøker å opprettholde kontroll. Materialet gir ikke grunnlag for å beskrive frivilligheten som et svakt ledd i norsk sikkerhet, og det er heller ikke funnet dokumenterte tilfeller der fremmede etterretningstjenester har brukt norske medlemsregistre til å kartlegge personer med samfunnskritiske funksjoner.

Samtidig dokumenterer sikkerhetsmyndighetene flere av mekanismene som gjør spørsmålet relevant. Digitale spor kan sammenstilles til detaljerte personprofiler. Fremmede staters tjenester og statlige cyberaktører retter aktivitet mot mennesker på grunn av deres roller, tilganger eller kompetanse. Forhåndskunnskap om mål kan brukes til å gjøre kontakt og sosial manipulering mer troverdig, og nyere europeiske eksempler viser at privat kommunikasjonsutstyr kan bli mål når personen, ikke bare virksomhetens system, er interessant.

Mellom disse to kunnskapsområdene finnes en usikkerhet. Vi vet at opplysninger om samme menneske kan være fordelt mellom uavhengige organisasjoner, og vi vet at informasjon fra forskjellige kilder kan sammenstilles. Det vi ikke vet, er hvilken faktisk sikkerhetsmessig betydning medlems- og frivillighetsdata har i denne sammenhengen. Det er nettopp denne forskjellen mellom dokumentert mekanisme og udokumentert anvendelse som må bevares dersom problemstillingen skal undersøkes faglig.

En praktisk konsekvens kan trekkes uten å gjøre hypotesen sterkere enn materialet tillater. Tiltak mot unødvendig innsamling, kopiering, lagring og tilgang er allerede sentrale personvernprinsipper. Hvis personopplysninger i tillegg kan få større verdi når de kobles med andre kilder, får de samme tiltakene også en mulig beredskapsmessig gevinst. Frivilligheten trenger ikke bli en del av sikkerhetsapparatet, og organisasjonene trenger ikke kartlegge hvilke medlemmer som har viktige samfunnsroller. Oppgaven er mer jordnær: å ha kontroll med opplysningene de faktisk trenger å behandle.

Det peker mot en mer grunnleggende asymmetri i hvordan vi beskytter mennesker og informasjon. Beskyttelsen er nødvendigvis organisert etter virksomheter, behandlingsansvarlige, systemer og formål. En aktør som ønsker å kartlegge et menneske, trenger ikke organisere innhentingen på samme måte. For den enkelte organisasjonen er opplysningene fragmenter. For den som har kapasitet og interesse til å sammenstille dem, kan de være deler av det samme personbildet.

Gjennomgangen gir derfor ikke et enkelt ja- eller nei-svar på problemstillingen. Dagens personvern- og beredskapstenkning gir viktige virkemidler for å beskytte den enkelte behandlingen og for å gjøre mennesker oppmerksomme på personrettede trusler. Det som i mindre grad er synlig i det offentlig tilgjengelige materialet som er gjennomgått, er den mulige sikkerhetsverdien som først kan oppstå når opplysninger om samme person finnes hos flere uavhengige behandlingsansvarlige og senere blir sammenstilt. Materialet gir ikke grunnlag for å fastslå hvor stor denne risikoen er, eller at norske medlemsregistre utgjør en særskilt sikkerhetssårbarhet.

Det mest forsvarlige svaret er derfor ikke å samle mer informasjon om menneskene. Oppmerksomheten bør rettes mot bedre kontroll med opplysninger som allerede behandles: hvorfor de er nødvendige, hvem som har tilgang, hvor kopier befinner seg, og når opplysningene ikke lenger skal beholdes. Slik styrkes personvernet uavhengig av artikkelens hypotese. Dersom fragmenterte personopplysninger samtidig kan få økt verdi når de sammenstilles, kan den samme grunnbeskyttelsen også gi en beredskapsmessig tilleggsverdi.

Referanser

Europaparlamentet & Rådet for Den europeiske union. (2016). Forordning (EU) 2016/679 av 27. april 2016 om vern av fysiske personer i forbindelse med behandling av personopplysninger og om fri utveksling av slike opplysninger (generell personvernforordning). https://eur-lex.europa.eu/eli/reg/2016/679/oj

Personopplysningsloven. (2018). Lov om behandling av personopplysninger (LOV-2018-06-15-38). Lovdata. https://lovdata.no/lov/2018-06-15-38

Algemene Inlichtingen- en Veiligheidsdienst & Militaire Inlichtingen- en Veiligheidsdienst. (2026, 9. mars). Russia targets Signal and WhatsApp accounts in cyber campaign. https://english.aivd.nl/latest/news/2026/03/09/russia-targets-signal-and-whatsapp-accounts-in-cyber-campaign

Canadian Security Intelligence Service. (2026, 5. juni). Safeguarding our secrets. Government of Canada. https://www.canada.ca/en/security-intelligence-service/alerts-advisories/safeguarding-our-secrets.html

Datatilsynet. (2018, 30. oktober). Hvordan gjennomføre internkontroll i praksis. https://www.datatilsynet.no/rettigheter-og-plikter/virksomhetenes-plikter/informasjonssikkerhet-internkontroll/etablere-internkontroll/hvordan-gjennomfore-internkontroll-i-praksis/

Den Norske Turistforening. (u.å.). Personvernerklæring. https://www.dnt.no/om-dnt/personvern/

Den norske legeforening. (2018). Retningslinjer og plikter for tillitsvalgte som har tilgang til og behandler personopplysninger på vegne av Den norske legeforening. https://www.legeforeningen.no/contentassets/32c6c6c8bcb24ced81f46c715b2a3624/retningslinjer-for-tillitsvalgtes-tilgang-til-og-behandling-av-personopplysninger.pdf

Prop. 87 S (2023–2024). (2024). Forsvarsløftet – for Norges trygghet: Langtidsplan for forsvarssektoren 2025–2036. Forsvarsdepartementet. https://www.regjeringen.no/no/dokumenter/prop.-87-s-20232024/id3032217/

Frivillighet Norge. (u.å.). Personvernerklæring. Frivillig.no. https://om.frivillig.no/personvernerklring

NOU 2023: 17. (2023). Nå er det alvor: Rustet for en usikker fremtid. Justis- og beredskapsdepartementet. https://www.regjeringen.no/no/dokumenter/nou-2023-17/id2982767/

Nasjonal sikkerhetsmyndighet. (2026). Digital sikkerhetsbevissthet – er du Naken på Nett? https://nsm.no/kurs-og-konferanser/sikkerhetskonferansen/program-2026/digital-sikkerhetsbevissthet-er-du-naken-pa-nett

National Cyber Security Centre. (2026, 15. september). Iranian cyber targeting of dissidents, activists and journalists. https://www.ncsc.gov.uk/news/iranian-cyber-targeting-of-dissidents-activists-and-journalists

Naturvernforbundet. (u.å.). Veiledning til MinSide. https://naturvernforbundet.no/om-minside/veiledning-til-minside/

Norges idrettsforbund. (2024, 29. februar). Hvordan gi andre tilgang til KlubbAdmin? https://www.idrettsforbundet.no/digital/klubbadmin/medlem/hvordan-gi-andre-tilgang-til-klubbadmin/

Norges speiderforbund. (u.å.). Om Min speiding. https://speiding.no/minspeiding/

Politiets Efterretningstjeneste. (u.å.). Espionage. https://pet.dk/en/espionage

Politiets sikkerhetstjeneste. (2026). Nasjonal trusselvurdering 2026. https://www.pst.no/wp-content/uploads/2026/02/Nasjonal-trusselvurdering-2026.pdf

Røde Kors. (u.å.). Personvernerklæring. https://www.rodekors.no/om/personvern/

Tekna. (2022, 10. juni). Behandling av personopplysninger: Veileder for tillitsvalgte i Tekna. https://www.tekna.no/personvern/personopplysningsveiledning-for-tillitsvalgte/