L'APD norvégienne a infligé une amende de 1,7 million d'euros à l'Arbeids- og velferdsetaten, l'administration norvégienne du travail et de la protection sociale (NAV). Au cours de son enquête, l'APD a constaté que le responsable du traitement n'avait pas mis en œuvre les mesures techniques et organisationnelles appropriées pour protéger les données personnelles. Par exemple, les systèmes informatiques n'étaient pas suffisamment sécurisés. En outre, un nombre excessif d'employés avaient accès aux données personnelles, y compris à des données très sensibles dans certains cas. Dans le même temps, le responsable du traitement n'a pas effectué de contrôles systématiques concernant l'utilisation des systèmes informatiques par les employés. Lors de l'évaluation de l'amende, l'APD a pris en compte le fait que les données avaient été traitées de manière non sécurisée pendant une longue période.