Bent Ole Gram Mortensen © 2018

Persondata i forsyningssektoren

Energiretsseminar

Hotel Hesselet, Nyborg

6. - 7. marts 2018

JURIDISK INSTITUT

2

Kommunen

Forsyningsvirksomheder

Dagsorden

• Baggrund for interessen for persondata

• Persondataretten generelt

• Om personoplysninger

• Om hjemmelskravet

– Lovfæstet

– Samtykke

• L68, § 5, stk. 3

• Grundlæggende behandlingsprincipper, især

dataminimering

Giv mig dine målerdata, og jeg skal fortælle dig,

hvem du er

Bent Ole Gram Mortensen

JURIDISK INSTITUT

Mange modsatrettede hensyn • Problemer

– Privacy – kommunen som dyneløfter

• Data giver mulighed for at afdække

beboernes livsrytme, herunder

hvornår boligen er tom, kan få

oplysninger om elektrisk udstyr

(tilbud på et nyt køleskab),

myndighedskontrol, beboelse

• Hjemmel – behandling kun for

konkrete formål

• Udlevering

– Dataminimering

– Mulighed for databehandling under

betrykkende former

– Det indre datamarked i EU

– Datasikkerhed (hacking)

18. november 2016

Forbruger- og borgerrettigheder

(privacy)

Effektivitet i forsynings-

virksomheds arbejds-opgaver

(forsynings-sikkerhed)

Statens/kommuners interesse i at

kunne drive forsyningspolitik (effektivitet, miljø

og forsynings-sikkerhed)

JURIDISK INSTITUT

ECHR art. 8 (bek. 423/1996)

Stk. 1. Enhver har ret til respekt for sit privatliv og

familieliv, sit hjem og sin korrespondance.

Stk. 2. Ingen offentlig myndighed må gøre indgreb i

udøvelsen af denne ret, medmindre det sker i

overensstemmelse med loven og er nødvendigt i et

demokratisk samfund af hensyn til den nationale

sikkerhed, den offentlige tryghed eller landets

økonomiske velfærd, for at forebygge uro eller

forbrydelse, for at beskytte sundheden eller

sædeligheden eller for at beskytte andres rettigheder

og friheder.

18. november 2016

Hvorfor er persondata i forsyningsvirksomheder

interessant

• Det helt aktuelle: Persondataforordningen

– Nye forpligtelser

– Store bøder

• Det der har været aktuelt i en periode:

– Udrulning af digitale målere

– Stigende behov for smart grid-løsninger

JURIDISK INSTITUT

Og data er vigtige i forsyningsvirksomhederne

• Databehovet i forsyningsvirksomhederne er stort – og udvikler sig konstant!

– Smart grids – intelligente net (EU mål)

– Digitale målere kan bidrage til at måle nettets belastning og sikre automatisk aflæsning

(telemetering) samt fjernafbrydelighed (nettets balance og restance)

– Optimere energiudnyttelse (effektivitet) og bidrage til løsning af klimaudfordring

– Udmøntning af kommunal energipolitik (energidata, miljødata og geodata)

– Forbedret afregning

– Forsyningsvirksomhederne er uløseligt forbundet til data – og med smart grids in

mente – meget vide muligheder for (på baggrund af data) at påvirke forbrugerene

(borgerne).

– Og husk hele digitaliseringsdagsordenen

18. november 2016

JURIDISK INSTITUT

Digitale målere

• Muliggør aflæsning med korte intervaller helt ned

til realtidsaflæsning

• Løbende forbrugsovervågning (afdække fejl)

• Bedre og billigere fakturering

• Fjernafbrydelighed

• Dimensionering og drift af net

• Profilering af slutbruger (forbrugsmønstre, daglige

rutiner, aktiviteter og livsstil)

18. november 2016

JURIDISK INSTITUT

Forsyningslove og fjernaflæsning

• Elforsyning

– Bek. 1358/2013

– Installationspligt inden udgang af 2020

• Naturgasforsyning

– Ikke til hinder for fjernaflæsning

– Ingen installetionspligt

18. november 2016

JURIDISK INSTITUT

Forsyningslove og fjernaflæsning II

• Vand: Bek. 525/1996 – individuelle målere

– Ikke til hinder for fjernaflæsning, MAD2007.2103

• Varme: Fjernaflæsning skal have basis i aftale samt

være rimelig, Energitilsynet udtalelse af 27.10.2003

om fjernaflæsning af energimålere på forespørgsel

af Kamstrup A/S, j.nr. 3/1320-8901-0307

– Mulighed for at undgå fjernaflæsning (mod gebyr)

– Ingen videregivelse

– Adgang til målinger og indsigelsesret

18. november 2016

JURIDISK INSTITUT

Men en digital måler er også

En del af IoT i lighed med f.eks. legetøj og

”wearables” (ure og tøj) der efterhånden bliver

koblet på internettet

• De indsamler persondata

• De kan benyttes til offentlig overvågning

• De kan hackes

– Aflures (forfølgelse, indbrud og afpresning)

– Shanghajes (afpresning)

– Afbryde energiforsyningen (sabotage, terror,

cyperangreb)

18. november 2016

JURIDISK INSTITUT

Hvorfor interesserer EU sig for persondataret?

EU: Internettet og de digitale teknologier er ved at

transformere vores verden - uanset hvor vi arbejder, eller

hvad vi beskæftiger os med.

• 81 % af europæerne føler, at de ikke har fuld kontrol over deres

personoplysninger online (Eurobarometer, 2015)

• Et stort flertal af europæere (69 %) vil gerne have mulighed for at

afgive deres udtrykkelige bekræftelse forud for, at deres

personoplysninger indsamles og behandles (Eurobarometer, 2015.)

• Kun 24 % af europæerne har tillid til internetvirksomheder som

søgemaskiner, sociale netværkssider og e-mailtjenester.

Kilde: EU factsheet : The EU Data Protection Reform and Big Data,

17. januar 2017

19. april 2017

JURIDISK INSTITUT

Og på den anden side

• Det indre digitale marked

• Forventes at bidrage med 415 mia. euro om året til

vores økonomi og skabe hundredtusindvis af nye

job

• Strategi i tre søjler

18. november 2016

Kommissionens planer - Søjle III

• Fremsætte forslag om et "europæisk initiativ om frit dataflow", som skal fremme datas

fri bevægelighed i Den Europæiske Union.

• Nogle gange begrænses nye tjenester som følge af datas placering eller muligheden for at få adgang til dem,

og disse begrænsninger har ofte intet med beskyttelse af personoplysninger at gøre. Det nye initiativ skal

forhindre unødvendige begrænsninger og på den måde anspore til innovation.

• Kommissionen vil også søsætte et europæisk cloud computing-initiativ, som skal

omfatte certificering af skytjenester, muligheden for at skifte udbyder af skytjenester og en

"forskningssky" (eller research cloud)

• Fastlægge prioriteter for standarder og interoperabilitet på områder, der er

kritiske for det digitale indre marked, som f.eks. e-sundhed,

trafikplanlægning og energi (intelligent måling)

JURIDISK INSTITUT

Persondataretlig historik

• Registerlovene (1978-2000)

• Persondatadirektivet – Direktiv 95/46 om beskyttelse af fysiske personer i

forbindelse med behandling af personoplysninger og om fri udveksling af

sådanne oplysninger

• Persondataloven (429/2000) – trådte i kraft 1. juli 2000 – stadig gældende

• Databeskyttelsesforordningen (GDPR) – Forordning 2016/679 om beskyttelse

af fysiske personer i forbindelse med behandling af personoplysninger og om fri

udveksling af sådanne oplysninger .Vedtaget 16. april 2016

– Umiddelbar anvendelse i medlemsstaterne fra 25. maj 2018 sammen med

øvrig/følgelovgivning

– 173 betragtninger og 99 artikler

– Dansk betænkning og lovforslag om følgelovgivning sommer 2017 (L68)

• Og det haster da slet ikke med at få det på plads

– http://www.ft.dk/aktuelt/webtv/video/20171/reu/tv.4340.aspx?as=1#player (Høring i

Retsudvalget, 1. marts 2018)

19. april 2017 1

6

Status i Danmark

DK

betænkning

nr. 1565

Forordningen

Persondata-

beskyttelses

-loven

(forslag)

Art. 29-

gruppens

guidelines

JM’s

vejledni

nger

Gældende persondata

lov (og bagvedliggende

direktiv)

JURIDISK INSTITUT

Databeskyttelsesforordningen

• Regulerer dataansvarliges ret til at behandle

personoplysninger og sætter rammer for, hvordan

behandlingen må foregå

• Regulerer ikke dataansvarliges pligt til at behandle

personoplysninger

18. november 2016

Personoplysninger skal bruges på en civiliseret måde

• Man skal have en god grund – Et legitimt formål og konkret hjemmel til at gøre det. Bestemmes

det i national ret, at en oplysning skal behandles, så er det retlige grundlag til stede (behandlingsbetingelse opfyldt)

• Man må hverken ”luske” eller ”rode” – Man skal være åben om, hvad man gør med folks oplysninger og

man skal være klar over, hvad man har liggende (gennemsigtighed)

• Man skal opføre sig ansvarligt og troværdigt – Skabe den tillid, der er nødvendig for at skabe det digitale indre

marked!

– Sikkerhed og awareness !

JURIDISK INSTITUT

Blot en del af gældende ret

– Persondatadirektivet/-

forordningen/persondataloven/databeskyttelsesloven in spe

– Generelle offentligretlige regler

– Menneskerettighedskonventionen, art. 8(1) Retten til privatliv og

familieliv

– Forsyningslovgivningen

– Eldirektivet og naturgasdirektivet anbefaler smart metering, + Task

Force on Smart Grids

Derudover må man ikke glemme…

Datasikkerhed/Forsyningskritiske data

Ikke bare et spørgsmål, om man må behandle data, men også hvordan

man gør det

18. november 2016 2

0

Formålsbestemmelsen

GDPR Artikel 1

Genstand og formål

1. I denne forordning fastsættes regler om (1) beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og (2)

regler om fri udveksling af personoplysninger.

2. Denne forordning beskytter fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af

personoplysninger.

3. Den frie udveksling af personoplysninger i Unionen må hverken indskrænkes eller forbydes af grunde, der vedrører beskyttelse af

fysiske personer i forbindelse med behandling af personoplysninger.

JURIDISK INSTITUT

Data i forsyningsvirksomheder

Kundedata (navn, adresse, cpr-nr., tlf.nr., målernr. o.lign)

Kan været civilstand

Økonomiske forhold

Forbrugsdata

Aktuelle og historiske forbrug på målerne

Data fra tidligere målere/målinger?

Personaledata mv., som alle har, kan indeholde lidt af hvert

Persondata: Forstås bredt, også forsyningsdata, selv om disse ikke nødvendigvis

relaterer sig til en person men en flerhed af personer (en husholdning)

Skab overblik: Dansk energis vejledning, s. 4 eller brug en GDPR-konsulent

Husk de gemte data: F.eks. i mailprogrammer, på harddiske

18. november 2016

Personoplysninger Artikel 4, nr. 1

»Personoplysninger«: enhver form for information

om en identificeret eller identificerbar fysisk

person (»den registrerede«) • Alle informationer

– Objektive som subjektive

– Korrekt eller urigtig

• Alle fysiske men ikke juridiske personer (GDPR betragtning 14)

– Døde kun hvis bestemmes nationalt

– Også børn, men grænsen bliver sandsynligvis sænket fra de nuværende 15

år (GDPR art. 8, stk. 1) til 13 år (L68 § 6, stk. 2)

Identificerbar? Artikel 4, nr. 1 (forsat):

… ved identificerbar fysisk person forstås en fysisk person, der direkte eller indirekte kan identificeres, navnlig ved en

identifikator som f.eks. et navn, et identifikationsnummer, lokaliseringsdata, en onlineidentifikator eller et eller flere

elementer, der er særlige for denne fysiske persons fysiske, fysiologiske, genetiske, psykiske, økonomiske, kulturelle eller

sociale identitet

- Også hvis kun er særlig kreds, der kan identificere

- Kan hvile på en sandsynlig formodning

- Alle midler tages i betragtning, der med rimelighed kan tænkes bragt i anvendelse af den dataansvarlige eller en anden person til direkte eller indirekte at identificere, herunder udpege, den pågældende, jf. forordningens betragtning 26.

- Dog ikke hvis ekstraordinært store udgifter eller tidskrævende (ressourcebegrænsning)

- Pseudonymisering ændrer ej ved, at der kan ske indentifikation, jf. bl.a. forordningens betragtning 26.

Personoplysninger

Bredt defineret i forordningen!

Eksempler:

Fysiske, fysiologiske, psykiske økonomiske,

kulturelle, sociale, foto, video, fingeraftryk,

genetiske data (f.eks. DNA) og data som kan

gøres identificerbare i kraft af Big Data og

mulighed for at sammenholde med andre data data!

Er oplysninger om gas-,varme-, vand- og elforbrug personoplysninger?

Ja – og de er endvidere ofte knyttet op på kundedata (navn, adr. cpr mv.)

25

ALT hvad der kan

føres tilbage eller

henføres til

personen!

GDPR art. 9, stk. 1 (følsomme oplysninger)

Som hovedregel forbudt at behandle personoplysninger om

– race eller etnisk oprindelse,

– politisk, religiøs eller filosofisk overbevisning eller

fagforeningsmæssigt tilhørsforhold samt behandling af

– genetiske data,

– biometriske data med det formål entydigt at identificere en

fysisk person,

– helbredsoplysninger eller

– oplysninger om en fysisk persons seksuelle forhold eller

seksuelle orientering

• Omfatter ikke klassiske forsyningsdata

De følsomme persondata

• Er de lidt ”skæve” oplysninger, f.eks.

– En forbruger anfører helbredsoplysninger i e-mail,

der måske ikke slettes

– Oplysninger om inddragelse af politi eller kommune

ved afbrydelse

Bent Ole Gram Mortensen

(Følsomme) persondata sammenfatning

• Elmålerdata er persondata (personhenførbare)

• Elmålerdata er ikke følsomme

– Andre data kun hvis de falder ind under GDPR art.

9

• Elmålerdata må ikke videregives uden hjemmel

– GDPR art. 6, stk. 1

• F.eks. samtykke

• F.eks. lovhjemmel (EFL § 20, stk. 1, nr. 4 og § 22, stk. 1,

nr. 2 og stk. 3)

• Bek. efter kommende databeskyttelseslov § 5, stk. 3 Bent Ole Gram Mortensen

Behandlingsbetingelser for ordinære oplysninger

Private

• (Utvetydigt) samtykke

• Nødvendigt for kontrakt

• Retlig forpligtelse*

• Nødvendig for fysisk persons vitale

interesser

• Samfundsopgave eller offentlig

myndighedsudøvelse*

• Interesseafvejning

Offentlige

• (Utvetydigt) samtykke

• Nødvendigt for kontrakt

• Retlig forpligtelse*

• Nødvendig for fysisk persons vitale

interesser

• Samfundsopgave eller offentlig

myndighedsudøvelse*

*Nationale bestemmelser, der:

• Fastlægger pligt til behandling skal også fastlægge formål med behandling af oplysninger, jf. artikel 6,

stk. 3

• Fastlægger opgave i samfundets interesse eller myndighedsudøvelse skal også fastlægge formål og

det skal være sikkert, at behandlingen er nødvendig for opgaverne

Definition af samtykke

Artikel 4, nr. 11:

»samtykke« fra den registrerede: enhver frivillig (1), specifik

(2), informeret (3) og utvetydig (4) viljestilkendegivelse

fra den registrerede, hvorved den registrerede ved erklæring

eller klar bekræftelse indvilliger i, at personoplysninger,

der vedrører den pågældende, gøres til genstand for

behandling Persondatalovens ”udtrykkelige” samtykke: ”At samtykket skal være

udtrykkeligt betyder, at der ikke kan indhentes et stiltiende eller indirekte

samtykke. Der ligger ikke heri et egentlig krav om skriftlighed, men da

bevisbyrden for, at der foreligger et samtykke, der opfylder lovens krav, påhviler

den dataansvarlige, kan det anbefales, at et samtykke afgives skriftligt.”

Definition: Utvetydig viljestilkendegivelse

”… form for signal, som er tilstrækkeligt klart til, at det

markerer den registreredes vilje, og er forståeligt for den

dataansvarlige.”

Ikke udtrykkelig (persondatalovs § 6, nr. 1, men cfr. direktivets artikel 7, litra a)

Udsagn og handlinger, der tydeligt tilkendegiver accept, jf. betragtning 43.

Mulige eksempler:

Ibrugtagning af medlemskort med forudgående information, jf. Datatilsynets

journalnummer 2007-212-0042 (FDB og Coop)

Oplyse kontaktinfo med henblik på at blive kontaktet

”Det er Datatilsynets umiddelbare vurdering, at et barn, der er i stand til selv at søge støtte,

rådgivning og bisidning hos Børns Vilkår og i den forbindelse selv afgiver oplysninger, som

udgangspunkt normalt også gyldigt kan samtykke til den omhandlede databehandling”, se

Datatilsynets journalnummer 2012-42-0291 (Børns vilkår)

Artikel 7: Betingelser for samtykke

1. Hvis behandling er baseret på samtykke, skal den dataansvarlige kunne påvise, at den registrerede har givet samtykke til behandling af sine personoplysninger.

2. Hvis den registreredes samtykke gives i en skriftlig erklæring, der også vedrører andre forhold, skal en anmodning om samtykke forelægges på en måde, som klart kan skelnes fra de andre forhold, i en letforståelig og lettilgængelig form og i et klart og enkelt sprog. Enhver del af en sådan erklæring, som udgør en overtrædelse af denne forordning, er ikke bindende.

3. Den registrerede har til enhver tid ret til at trække sit samtykke tilbage. Tilbagetrækning af samtykke berører ikke lovligheden af den behandling, der er baseret på samtykke inden tilbagetrækningen. Inden der gives samtykke, skal den registrerede oplyses om, at samtykket kan trækkes tilbage. Det skal være lige så let at trække sit samtykke tilbage som at give det.

4. Pas på med samtykkeerklæringer i leveringsbetingelser mv.

5. Hvor det er frivilligt at indgå en aftale med hvilken elhandler, man nu ønsker (en aftale skal indgås, jf. EFL § 6, stk. 1), hvor frivilligt er så den underliggende aftale (tilslutningsbestemmelserne) med et netselskab, der i sin natur er et naturligt monopol?

6. Netvirksomhedernes tilslutningsbestemmelser mv. skal overholde bl.a. rimelighedskravet i EFL § 6, stk. 4.

Om L68 § 5, stk. 3

Uanset stk. 1 og 2 kan vedkommende minister

efter forhandling med justitsministeren og

inden for rammerne af

databeskyttelsesforordningens artikel 23

fastsætte nærmere regler om, at

personoplysninger af offentlige myndigheder

må viderebehandles til andre formål, end de

oprindeligt var indsamlet til, uafhængigt af

formålenes forenelighed.

En omstridt bestemmelse

• Næppe nogen begrænsning i, hvor de

personoplysninger kan komme fra

• Kan formodentlig i en bekendtgørelse pålægge

kommercielle, forbrugerejede eller selskabsgjorte

forsyningsvirksomheder at udlevere

forbrugsmålinger til kommuner til brug for

kontrol af grundlaget for udbetaling af offentlige

ydelser (er der flyttet en kæreste ind)

Formålsbestemthed

• Forslaget til § 5, stk. 3 bliver en hjemmel til

undtagelse fra princippet om formålsbestemthed

• Hjemlen hentes uden om forsyningslovene og

måske uden om stående politiske udvalg

• Og uden den politiske debat, der kendetegner

vedtagelse af en lovhjemmel i Folketinget

• Link til høring i retsudvalget

http://www.ft.dk/aktuelt/webtv/video/20171/

reu/tv.4340.aspx?as=1#player

JURIDISK INSTITUT

Eksempel fra CPR-loven, § 10, stk. 2

• § 10. En kommunalbestyrelse, der får formodning om, at en person ikke er korrekt bopælsregistreret,

skal undersøge sagen for at rette eventuelle fejl. …

• Stk. 2. Kommunalbestyrelsen kan til brug for undersøgelsen af en persons bopælsforhold ud over de

oplysninger, som den har adgang til efter anden lovgivning, afkræve følgende oplysninger:

• …

• 3) Oplysninger fra …. forsyningsselskaber, … med henblik på at fastlægge vedkommendes

bopælsforhold.

• Stk. 3. Kommunalbestyrelsen kan til brug for undersøgelsen af en persons bopælsforhold indhente

oplysninger i elektronisk form fra andre offentlige myndigheder. Oplysningerne kan indhentes som led i

behandlingen af en enkelt sag eller som led i en generel søgning til brug for kontrol.

Bestemmelsen bliver ofte anvendt ift. forsyningsvirksomheder

Bruges i praksis også ved dyneløfter-sager til afklaring af samlivsforhold

18. november 2016 3

6

GDPR art. 5: Grundlæggende behandlingsprincipper

• Lovlighed, rimelighed og gennemsigtighed

• Formålsbegrænsning

• Dataminimering

• Rigtighed

• Opbevaringsbegrænsning

• Integritet og fortrolighed

• Ansvarlighed (dokumentationskrav)

Bent Ole Gram Mortensen

Om dataminimering

• Proportionalitetsbetragtning: tilstrækkelige,

relevante og begrænset til det nødvendige

• Hvor ofte er det nødvendigt at aflæse elmåleren?

– Til hvilket formål (som skal være hjemlet)

– Er hjemlen klart i så henseende?

– Intet offentligretligt loft over antal målinger?

– Men DataHub tilbyder ned til 15-minutters målinger

Bent Ole Gram Mortensen

Den registreredes særlige rettigheder

• Ret til indsigt (artikel 15)

• Ret til berigtigelse (artikel 16)

• Ret til at blive glemt (artikel 17)

• Ret til begrænsning af behandling (artikel 18)

• Ret til dataportabilitet (artikel 20)

• Ret til indsigelse mod behandling (artikel 21)

Dataansvarlige

skal give enhver

oplysning i

kortfattet, let

forståeligt, klart

og enkelt sprog

Indenfor

40 dage

Uden

gebyr

Tak for opmærksomheden

Bent Ole Gram Mortensen

Professor, cand.jur., Ph.D.

Syddansk Universitet

Juridisk Institut

Campusvej 55

5230 Odense M

Tlf. 6550 2160 (direkte)

Fax 6593 0726

E-mail: bom@sam.sdu.dk

http://www.sam.sdu.dk/staff/bom