Shada-saken: HPR-nummeret VG publiserte. Det kan være straffbart.

Landets største avis eksponerte en leges autorisasjonsdata for 1,9 millioner lesere

I sin artikkelserie «Jenta som aldri fikk fred», publisert 30. mai 2026, valgte VG å trykke et fotografi av helsepersonellkortet til lege Rodgeir Vinsrygg. Kortet, utstedt av Den norske lægeforening, viser tydelig hans fulle navn, HPR-nummer og hans personlige signatur. VG er Norges største nettsted med 1,9 millioner digitale brukere. Kombinasjonen av navn, HPR-nummer og signatur er nå tilgjengelig for enhver som har lest artikkelen — eller søkt på hans navn.

At dette ikke er en teoretisk risiko, er dokumentert av NRK Sørlandet i en artikkel publisert 3. juni 2026. Fastlege Bjørn Erik Egeland i Vennesla fikk sitt navn og HPR-nummer misbrukt til reseptsvindel 77 ganger på få uker. Svindlerne ringte apotek, oppga legens HPR-nummer, og fikk utlevert store mengder vanedannende medisiner i hans navn. Egeland politianmeldte sak etter sak. Alt ble henlagt. Han sier til NRK: «Jeg venter bare på at noen tar overdose på medisiner i mitt navn. Det er ingen som hjelper. Du er jo helt alene.»

Metoden er enkel. En mann med utenlandsk aksent ringte Vitusapotek Froland, oppga HP-nummer, sa han jobbet på legevakta og at en pasient oppholdt seg kort tid i Norge og ikke kunne legges inn elektronisk. Han oppga preparatet. Det var narkotikaklassifisert. Det var en farmasøyt som reagerte og varslet — ikke et system. I dag er det fullt lovlig for en lege å rekvirere resepter muntlig over telefon dersom det ikke er praktisk mulig å gjøre det skriftlig. Egeland: «Hva er prosedyrene til apotekene? Hvor er mitt rettsvern? Jeg blir misbrukt på det groveste. Ingen tar ansvar.»

VG ga svindlerne det de trenger: HPR-nummeret i lesbar form, og signaturen som referanse.

1. Personopplysningsloven og GDPR — dataminimering

Hva loven krever: Personopplysningsloven § 1, jf. GDPR artikkel 5 nr. 1 bokstav c: Personopplysninger skal være «tilstrekkelige, relevante og begrenset til det som er nødvendig for formålene de behandles for». GDPR artikkel 6 krever rettslig grunnlag for enhver behandling av personopplysninger. Personopplysningsloven § 3 gir mediene et unntak for journalistiske formål, men unntaket er betinget av at publiseringen er nødvendig for det journalistiske formålet.

«Personopplysninger skal være tilstrekkelige, relevante og begrenset til det som er nødvendig for formålene de behandles for.» — GDPR artikkel 5 nr. 1 bokstav c

VGs journalistiske formål var å dokumentere at Vinsrygg er autorisert lege. Det formålet kunne vært oppfylt ved å referere til Helsedirektoratets offentlige register — der enhver kan bekrefte en leges autorisasjon uten at HPR-nummeret eksponeres for misbruk. VG valgte i stedet å trykke kortet i lesbar form. Dataminimeringsprinsippet i GDPR stiller spørsmålet: var det nødvendig? Svaret er nei. Sladding av nummeret ville tjent samme journalistiske formål — uten å utsette legen for identitetsmisbruk.

2. Helsepersonelloven — autorisasjonens integritet

Hva loven krever: Helsepersonelloven § 48: Autorisasjon som lege er en personlig rettighet knyttet til enkeltpersonen. Helsepersonelloven § 56: Den som urettmessig utgir seg for å ha autorisasjon eller lisens som helsepersonell, straffes med bøter eller fengsel inntil 3 måneder. Legemiddelloven § 23: Rekvirering av legemidler forutsetter gyldig autorisasjon.

«Den som uberettiget utgir seg for å ha autorisasjon eller lisens som helsepersonell, straffes med bøter eller fengsel inntil 3 måneder.» — Helsepersonelloven § 56

Reseptsvindel ved misbruk av en leges HPR-nummer er ikke hypotetisk. NRKs dokumentasjon av Egeland-saken viser at svindlerne kjenner systemets svakheter: muntlig rekvirering er fortsatt mulig, identifikasjonskontrollen er mangelfull, og et kjent HPR-nummer er nøkkelen. Vinsryggs nummer er nå kjent for 1,9 millioner mennesker — inkludert enhver som måtte ønske å misbruke det. Allmennlegeforeningen karakteriserte Egeland-saken som «svært alvorlig» og diskuterte temaet på sitt landsrådsmøte 3. juni 2026 — samme dag som NRK publiserte saken, tre dager etter at VG publiserte Vinsryggs HPR-nummer.

3. Straffeloven — identitetsmisbruk, medvirkning og straffeansvar for redaktør og journalister

Hva loven krever: Straffeloven § 202: Identitetsmisbruk — å uberettiget benytte en annens identitet eller identifikasjonsbevis med forsett om å oppnå uberettiget vinning — straffes med bøter eller fengsel inntil 2 år. Straffeloven § 15: Medvirkning til en straffbar handling er like straffbart som selve handlingen, med mindre annet er bestemt. Straffeloven § 165: Urettmessig rekvirering av legemidler ved misbruk av legeautorisasjon straffes med fengsel inntil 3 år. Legemiddelloven § 31: Ulovlig håndtering av narkotikaklassifiserte legemidler kan straffes med fengsel inntil 2 år, ved grove overtredelser inntil 10 år. Straffeloven § 269: Den som uaktsomt, gjennom offentlig meddelelse, medvirker til at identifikasjonsopplysninger gjøres tilgjengelig for uvedkommende, kan straffes.

«Den som uberettiget benytter en annens identitet eller identifikasjonsbevis med forsett om å oppnå uberettiget vinning for seg selv eller andre, straffes med bøter eller fengsel inntil 2 år.» — Straffeloven § 202

VG har, gjennom publiseringen av helsepersonellkortet til lege Rodgeir Vinsrygg, spredt hans HPR-nummer og personlige signatur til 1,9 millioner norske brukere. Blant disse er det statistisk sett representanter fra samtlige lag av det norske samfunn — inkludert miljøer som aktivt utnytter nettopp denne typen informasjon. Reseptsvindel krever ikke sofistikert kriminalitet. Det krever et HPR-nummer, et telefonnummer til et apotek og en overbevisende stemme. NRKs dokumentasjon av Egeland-saken viser at terskelen er lav: svindlerne ringte, oppga nummeret, ba om narkotikaklassifiserte tabletter, og fikk dem utlevert.

Det VG har gjort er å offentliggjøre nøkkelen til denne svindelen for et publikum på størrelse med en tredjedel av Norges befolkning. Informasjonen er ikke bak betalingsmur. Den er ikke slettet. Den er søkbar. En kriminell aktør trenger ikke ha lest VG den dagen artikkelen ble publisert — det holder å søke på Vinsryggs navn.

Redaktøransvaret og journalistenes individuelle ansvar

I norsk rett er ansvarlig redaktør ikke skjermet fra strafferettslig ansvar bak mediets institusjonelle kappe. Straffeloven § 15 fastslår at medvirkning til en straffbar handling er like straffbart som selve handlingen. Redaktørloven § 2 fastslår at redaktøren har det personlige og selvstendige ansvaret for mediets innhold. Dette er ikke bare et presseetisk prinsipp — det er et strafferettslig prinsipp. Ansvarlig redaktør Gard Steiro og de involverte journalistene bak artikkelen kan, under de rette omstendighetene, holdes personlig strafferettslig ansvarlig.

Medvirkningsansvaret etter straffeloven § 15 krever ikke at medvirkeren selv hadde til hensikt at den straffbare handlingen skulle skje. Det holder at medvirkeren ved sin handling objektivt sett tilrettela for den straffbare handlingen, og at han visste eller burde ha visst at dette var en sannsynlig konsekvens. VGs redaksjon visste — eller burde ha visst — at HPR-numre misbrukes til reseptsvindel. Det er offentlig kjent. NRK omtalte Egeland-saken tre dager etter VGs publisering, men reseptsvindelproblematikken er ikke ny. Allmennlegeforeningen hadde temaet på dagsordenen. Helsedirektoratet kjenner til problemet.

Redaksjonen tok aktivt stilling til hva som skulle sladdes på kortet — og valgte å la HPR-nummeret og signaturen stå lesbart. Det er ikke uaktsomhet i alminnelig forstand. Det er en bevisst redaksjonell beslutning. En bevisst beslutning om å publisere identifikasjonsdata som erfaringsmessig misbrukes til kriminelle formål, truffet av navngitte journalister og godkjent av navngitt redaktør, kan i prinsippet kvalifisere til medvirkningsansvar dersom misbruk finner sted.

Strafferammene for de handlingene som kan følge av misbruk av opplysningene VG publiserte er:

Strafferamme Identitetsmisbruk Straffeloven § 202 Inntil 2 års fengsel
Urettmessig rekvirering av legemidler Straffeloven § 165 Inntil 3 års fengsel
Ulovlig håndtering av narkotika Legemiddelloven § 31 Inntil 2 år, grovt inntil 10 år
Utgi seg for å være helsepersonell Helsepersonelloven § 56 Inntil 3 måneders fengsel
Medvirkning til ovennevnte Straffeloven § 15 Samme ramme som hovedhandlingen
Redaktøransvar Redaktørloven § 2 Personlig strafferettslig ansvar

I verste fall har VGs publisering utsatt Vinsrygg for det NRK beskriver at Egeland opplevde: systematisk misbruk av hans legeidentitet til utskriving av vanedannende og narkotikaklassifiserte legemidler, med den konsekvens at pasienter kan skades eller dør av overdoser skrevet ut i hans navn — uten at han vet om det, uten at systemet varsler ham, og uten at politiet etterforsker. Egeland beskriver sin situasjon slik: «Ingen vet omfanget av dette. Det er juridiske utfordringer med å få den samlede oversikten.»

4. Skadeserstatningsloven — medieansvaret

Hva loven krever: Skadeserstatningsloven § 2-1: Arbeidsgiver er ansvarlig for skade som ansatte påfører andre ved utøvelse av arbeid dersom det er utvist uaktsomhet. Skadeserstatningsloven § 3-1: Erstatning for økonomisk tap og oppreisning for ikke-økonomisk skade kan kreves ved uaktsom handling som medfører identitetsmisbruk.

«Arbeidsgiver svarer for skade som voldes forsettlig eller uaktsomt under arbeidstakers utføring av arbeid.» — Skadeserstatningsloven § 2-1

Dersom Vinsryggs HPR-nummer misbrukes til reseptsvindel som direkte følge av VGs publisering, foreligger det årsakssammenheng mellom publiseringen og skaden. NRK har dokumentert at slik svindel skjer raskt, i stort omfang, og at den rammer legen selv hardt: ekstraarbeid, politianmeldelser som henlegges, og en konstant frykt for at pasienter skal dø av overdoser i hans navn. VG og eierselskapet Schibsted kan holdes erstatningsansvarlig for det økonomiske og ikke-økonomiske tap Vinsrygg påføres som følge av publiseringen — og i prinsippet også for skader påført tredjeparter, herunder pasienter som mottar feilrekvirerte legemidler.

5. Vær varsom-plakaten — identitet, sladding og nødvendighet

Hva loven krever: Vær varsom-plakaten punkt 4.3: «Det er god presseskikk å vise respekt for menneskers privatliv, identitet og integritet.» Punkt 4.1: «Legg vekt på saklighet og omtanke i innhold og presentasjon.» Punkt 3.2: «Vær kritisk i valg av kilder, og kontroller at opplysninger som gis er korrekte.»

«Vis respekt for menneskers privatliv, identitet og integritet.» — Vær varsom-plakaten punkt 4.3

VG sladdet deler av helsepersonellkortet. Det betyr at redaksjonen tok en aktiv beslutning om hva som skulle være lesbart og hva som ikke skulle være det. HPR-nummeret og signaturen ble beholdt i lesbar form. Det er ikke uoppmerksomhet. Det er et valg. Presseetikken krever at en slik beslutning kan begrunnes saklig. Begrunnelsen «vi ville dokumentere at han er lege» holder ikke, fordi Helsedirektoratets register bekrefter autorisasjon uten å eksponere nummeret. Pressefriheten beskytter journalistikken — den beskytter ikke identitetsmisbruk som konsekvens av journalistikk.

‍ ‍

Spørsmålene som gjenstår

Egeland-saken viser hva som kan skje. Han fikk sitt HPR-nummer misbrukt 77 ganger på få uker. Han politianmeldte alt. Alt ble henlagt. Helsedirektoratet ville ikke kommentere. Ingen tok ansvar. Legen sitter igjen alene med frykten for at noen skal ta overdose i hans navn.

VGs bilde av Vinsryggs helsepersonellkort er publisert på Norges største nettsted. HPR-nummer og Vinsryggs personlige signatur er tilgjengelig for 1,9 millioner brukere — og for enhver som søker på hans navn. Bildet er ikke slettet. Ansvarlig redaktør Gard Steiro og de involverte journalistene er navngitt i artikkelen. Redaktørloven plasserer det personlige strafferettslige ansvaret for innholdet hos redaktøren. Straffeloven plasserer medvirkningsansvaret hos den som bevisst tilrettela for en straffbar handling.

Datatilsynet fører tilsyn med behandling av personopplysninger, også i media. Pressens Faglige Utvalg behandler presseetiske klager. Forholdet blir i første omgang klaget inn for PFU fra flere ulike hold.