Personvernnemndas vedtak 28. februar 2023 (Mari Bø Haugstad, Bjørnar Borvik, Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin, Malin Tønseth)
Saken gjelder spørsmål om nettselskapene har gyldig behandlingsgrunnlag for å kreve helseerklæring som dokumentasjon for å innvilge kunder fritak for installasjon av avanserte måle- og styringssystemer (AMS).
Sakens bakgrunn
Alle norske strømkunder er i forskrift 11. mars 1999 nr. 301 (avregningsforskriften) § 4-1 første ledd pålagt å installere en smart strømmåler med avanserte måle- og styringssystemer (AMS). Nettselskapene er ansvarlige for installasjon og drift av målerne og plikter i utgangspunktet å installere AMS med aktivert kommunikasjonsenhet i alle målepunkt i sitt konsesjonsområde.
AMS er et ledd i moderniseringen av det norske strømnettet og har tre hovedfunksjoner: måling, kommunikasjon og styring. Reglene om smarte strømmålere skal blant annet bidra til korrekt avregning, nødvendig informasjon til styring av eget strømforbruk og økt mulighet for nettselskapet til å effektivisere driften av nettet, jf. avregningsforskriften § 1-1.
Avregningsforskriften § 4-1 andre ledd bokstav b åpner for unntak fra plikten til å installere AMS for sluttbrukere i lavspenningsanlegg dersom «installasjonen er til vesentlig og dokumenterbar ulempe for sluttbruker». Det er nettselskapene som administrerer fritaksordningen og som krever at kunden fremlegger en erklæring fra lege eller psykolog (heretter helseerklæring) for å dokumentere vesentlig ulempe. Personer som innvilges fritak vil få installert en AMS-måler der kommunikasjonsmodulen er fjernet eller deaktivert.
En del nettkunder har motsatt seg installering av AMS. Datatilsynet har siden 2019 mottatt flere klager og henvendelser fra privatpersoner om at nettselskaper krever helseerklæring for å innvilge kunder fritak fra installering av AMS.
På bakgrunn av henvendelsene sendte Datatilsynet 16. desember 2020 et brev til utvalgte nettselskaper og ba nettselskapene redegjøre for sin praksis for fritak og dokumentasjonskravet i avregningsforskriften samt selskapenes vurdering av behandlingsgrunnlaget for behandling av helseopplysninger. I svarene til Datatilsynet viste nettselskapene til at de har rettslig grunnlag for behandlingen i personvernforordningen artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav g.
Datatilsynet ba også Reguleringsmyndigheten for energi (RME) 30. august 2021 om å redegjøre for grunnlaget for nettselskapenes behandling av personopplysninger. RME redegjorde for sitt syn i brev 30. september 2021. Hovedtrekkene i denne redegjørelsen er gjengitt nedenfor.
Datatilsynet konkluderte i vedtak 30. mars 2022 med at nettselskapenes behandling av helseerklæringer hadde gyldig behandlingsgrunnlag og avsluttet saken.
Datatilsynets vedtak er begrenset til en vurdering av det rettslige grunnlaget (lovligheten) for nettselskapenes behandling av helseopplysninger. Datatilsynet oversendte sitt vedtak til alle de enkeltpersonene som hver for seg hadde klaget ulike nettselskaper inn for Datatilsynet og har vurdert at hver av dem har rettslig klageinteresse for vedtaket etter forvaltningsloven § 28. Tre av disse klagerne, A, B og C har framsatt rettidige klager på Datatilsynets vedtak. I og med at alle tre klagene gjelder spørsmålet om nettselskapene har gyldig behandlingsgrunnlag for å behandle helseopplysninger og ingen individuell vurdering av den enkelte klager, er sakene behandlet samlet som én sak.
Tilsynet vurderte klagen, men opprettholdt sin vurdering. Saken ble oversendt Personvernnemnda 5. oktober 2022. Partene ble orientert om saken i brev fra nemnda 10. og 11. oktober, og fikk anledning til å komme med kommentarer. Klagerne har utdypet sitt syn i e-poster/brev 29. november 2022, 1. desember 2022, 17. og 25. januar 2023 og 14. februar 2023. RME har ikke inngitt merknader.
Saken ble behandlet i nemndas møte 28. februar 2023. Personvernnemnda hadde følgende sammensetning: Mari Bø Haugstad (leder), Bjørnar Borvik (nestleder), Hans Marius Graasvold, Ellen Økland Blinkenberg, Morten Goodwin og Malin Tønseth. Sekretariatsleder Anette Klem Funderud var også til stede.
Datatilsynets vurdering i hovedtrekk
Behandlingsgrunnlag
Datatilsynet redegjør innledningsvis for de generelle kravene til behandling av personopplysninger i personvernforordningen artikkel 6 nr. 1 bokstav c (nødvendig for å oppfylle en rettslig forpliktelse) og artikkel 6 nr. 1 bokstav e (nødvendig for å utføre en oppgave i allmennhetens interesse), og kravet til supplerende rettsgrunnlag, jf. artikkel 6 nr. 3.
Videre redegjør tilsynet for vilkårene i artikkel 9 nr. 1 og nr. 2 bokstav g for behandling av særlige kategorier personopplysninger, jf. fortalepunkt 52 (allmenn interesse).
Rettslig grunnlag etter artikkel 6 nr. 1 bokstav c og e
Både nettselskapene og RME har i sine svar henvist til artikkel 6 nr. 1 bokstav e som et aktuelt behandlingsgrunnlag.
Datatilsynet anser drift og utvikling av strømnettet å være en oppgave i allmennhetens interesse. Kravet i artikkel 6 nr. 1 bokstav e er at behandlingen er nødvendig for å utføre oppgaven. Tilsynet påpeker at behandlingen av helseerklæring er nødvendig for å vurdere søknader om fritak for installasjon. En snever fritaksadgang er nødvendig for å oppnå målet om høyest mulig målerdekning, og behandling av helseerklæring for å innvilge fritak er derfor nødvendig for å utføre en oppgave i allmennhetens interesse.
RME mener også at artikkel 6 nr. 1 bokstav c er et aktuelt behandlingsgrunnlag (rettslig forpliktelse). Datatilsynet påpeker at avregningsforskriften § 4-1 andre ledd bokstav b etter ordlyden ikke oppstiller noen klar forpliktelse. Datatilsynet vil likevel være tilbakeholden med å overprøve fagmyndighetens tolkning av eget regelverk. Datatilsynet legger derfor til grunn at behandlingen av helseerklæring også har rettslig grunnlag i artikkel 6 nr. 1 bokstav c.
Unntak for behandling av særlige kategorier personopplysninger etter artikkel 9 nr. 2
Datatilsynet legger til grunn at forordningen artikkel 9 nr. 2 bokstav g er et aktuelt unntak fra forbudet mot behandling av særlige kategorier personopplysninger i artikkel 9 nr. 1.
Det er vedtatt at AMS skal installeres i alle målepunkt, jf. avregningsforskriften § 4-1 første ledd. For de som opplever helsemessige plager ved installasjon av AMS i sin bolig vil det være svært viktig å ha en mulighet til å få fritak. Det kan derfor være en viktig allmenn interesse at det finnes en fritaksordning ved innføringen av teknologi som skal komme samfunnet til gode.
Supplerende rettsgrunnlag
Nettselskapene plikter ikke å installere AMS dersom «installasjonen er til vesentlig og dokumenterbar ulempe for sluttbruker». Avregningsforskriften § 4-1 andre ledd bokstav b spesifiserer ikke hvilke ulemper som er omfattet, eller hvilke krav som stilles til dokumentasjonen eller helsemessige ulemper. Helseerklæring som dokumentasjon faller imidlertid klart inn under ordlyden.
Etablert forvaltningspraksis har tolket forskriften til å gjelde helsemessige ulemper, og at helseerklæring kreves som dokumentasjon.
Datatilsynet påpeker at for behandling av helseopplysninger bør det supplerende rettsgrunnlaget være klart formulert. Datatilsynets vurdering er at i og med at «ulempe» siden tilblivelsen har vært ment å skulle tolkes som ulempe i helsemessig forstand, burde dette fremgått klart av bestemmelsens ordlyd. Samtidig omfattes helsemessige ulemper klart av bestemmelsens ordlyd, og helseerklæring fra helsepersonell er den naturlige dokumentasjonen på helseplager.
Konklusjon
Datatilsynet viser til nettselskapenes redegjørelse og konkluderer med at nettselskapenes behandling av helseerklæringer ikke er i strid med personvernregelverket. Nettselskapene har rettslig grunnlag etter forordningen artikkel 6 nr. 1, bokstav c, alternativt bokstav e. I tillegg kommer artikkel 9 nr. 2 bokstav g til anvendelse for å behandle helseerklæringer i forbindelse med søknader fra kunder om fritak for installasjon av AMS.
Det supplerende rettsgrunnlaget i avregningsforskriften § 4-1 andre ledd bokstav b kunne med fordel vært klarere formulert, og oppstilt særlige tiltak for vern av den registrertes grunnleggende rettigheter og interesser. Datatilsynet finner likevel ikke grunnlag for å underkjenne forskriftshjemmelen.
Tilsynet påpeker at helseerklæringer må behandles av nettselskapene i henhold til de øvrige kravene i personopplysningsloven og personvernforordningen, eksempelvis dataminimering og krav til sikkerhet. Det er nettselskapene som behandlingsansvarlige som har ansvar for at reglene etterleves, jf. forordningen artikkel 5 nr. 2, jf. artikkel 24, og tilsynet legger til grunn at dette gjøres. Etterlevelse av disse pliktene har ikke vært del av undersøkelsene i denne saken, men tilsynet påpeker at det kan bli et aktuelt tema for senere kontroller.
Klagernes syn på saken i korte trekk
RMEs forvaltningspraksis er i strid med personopplysningsloven og personvernforordningen. Datatilsynet har myndighet til å ta stilling til om nettselskapene har rettslig grunnlag for å behandle helseopplysninger ved søknad om fritak for installasjon av AMS, men tilsynet tør ikke motsi RME om kravet til helseerklæringer.
Datatilsynet og RME viser til allmenhetens interesse som begrunnelse for nettselskapenes adgang til å behandle helseopplysninger. Det er merkelig å vise til allmenhetens interesse når installasjonspunktet for AMS er i en privat eiet el-installasjon. At allmenhetens interesse på den måten beveger seg inn i det private rom, er lite forenlig med Grunnloven § 102 som sier at alle har rett til respekt for sin kommunikasjon.
I det øyeblikket RME mener at dokumenterbar ulempe er å forstå som en attest fra lege eller psykolog er det personvernforordningen artikkel 9, om særlige kategorier personopplysninger, som styrer nettselskapenes behandling av helseopplysninger. Artikkel 6 gjelder kun generelle personopplysninger.
Helsevesenet er underlagt strenge regler for behandling av helseopplysninger og taushetsplikt, blant annet til behandling, innsyn i og lagring av helseopplysninger. Hvordan dokumenterbar ulempe etter avregningsforskriften § 4-1 andre ledd bokstav b kan omfatte helseopplysninger henger ikke sammen med øvrige krav til behandling av helseopplysninger i samfunnet. Førerkortforskriften gir hjemmel for å kreve helseattest, mens nettselskapene slipper unna med den vage betegnelsen «dokumenterbar ulempe». Skal nettselskapene behandle helseopplysninger må de ha en særskilt hjemmel for det og det må stå i klartekst i hjemmelen at det er en plikt.
Slik Datatilsynet har vurdert saken er det fritt fram for nettselskapene å behandle helseopplysninger. Det er bekymringsverdig at tilsynet gir nettselskapene frikort til å behandle helseopplysninger ut fra to ord, «dokumenterbar ulempe». Det stilles ingen krav til taushetsplikt om hva ansatte i nettselskapene får vite om kundene, hvem som får innsyn i opplysningene eller til lagring. Helseinstitusjoner er ikke i nærheten av slike slepphendte krav for behandling av helseopplysninger som nettselskapene nå har fått fra Datatilsynet.
RMEs syn på saken i korte trekk
Det rettslige grunnlaget for å kunne behandle helseopplysninger etter personvernforordningen er artikkel 6 nr. 1 bokstav c, artikkel 6 nr. 1 bokstav e og artikkel 9 nr. 2 bokstav g.
Behandlingens lovlighet etter artikkel 6 nr. 1 bokstav c (rettslig forpliktelse)
Nettselskapet plikter å installere AMS i alle målepunkt etter avregningsforskriften. De plikter også å ikke installere AMS dersom «installasjonen er til vesentlig og dokumenterbar ulempe for sluttbrukere», jf. avregningsforskriften § 4-1 andre ledd bokstav b. Behandling av helseerklæringer er nødvendig for å gi fritak etter forskriften. Dokumentasjonskravet følger direkte av bestemmelsen, uten at det presiseres hvordan ulempen skal dokumenteres. Forvaltningspraksis har konsekvent tolket «dokumentasjon» som en helseerklæring og bygger på bestemmelsens forarbeider og intensjonen bak regelen.
NVE la ved utformingen av forskriften til grunn at ulempe for sluttbruker skulle forstås som en helsemessig ulempe, jf. merknader til § 4-1 i høringsdokument nr. 7/2011 – «Avanserte måle og styringssystem (AMS) - Oppsummering av høringsuttalelser og endelig forskriftstekst».
Utformingen av fritaket skjedde på bakgrunn av bekymring fra enkelte om helse, og var ikke ment som en allmenn fritaksmulighet, men et snevert unntak, utelukkende av hensyn til enkelte som mente de ble syke.
Både lov, forskrift og forvaltningsvedtak kvalifiserer som rettslig grunnlag, jf. forordningens fortalepunkt 41 og Prop. 56 LS (2017-2018) s. 33.
Behandlingen av helseerklæringer er lovlig etter artikkel 6 nr. 1 bokstav c.
Behandlingens lovlighet etter artikkel 6 nr. 1 bokstav e (nødvendig for å utføre en oppgave i allmenhetens interesse)
Nettselskapene er ansvarlig for å drifte strømnettet innenfor sine geografiske områder. Dette er en viktig oppgave i allmennhetens interesse. I oppgaven å drifte strømnettet må nettselskapene installere AMS i alle målepunkt. De plikter også å gi fritak der dokumentasjonskravet er oppfylt.
Behandlingen av helseerklæringer er derfor også lovlig etter artikkel 6 nr. 1 bokstav e.
Unntak fra forbud mot behandling av særlige kategorier av personopplysninger
Behandlingen av helseopplysninger er lovlig og har behandlingsgrunnlag i artikkel 9 nr. 2 bokstav g.
For at AMS skal oppnå ønsket nytteverdi er det nødvendig å ivareta hovedregelen om at alle skal ha en AMS-måler. Målerne på det norske markedet er testet og funnet trygge av ansvarlige myndigheter. AMS anses som en viktig del av den videre utviklingen av strømnettet i Norge.
Dokumentasjonskravet om helseerklæring er nødvendig av flere grunner. Det er kun de som oppfyller vilkåret (krav om helseerklæring) som har krav på fritak. Unntaksmuligheten gjelder et fåtall og er ikke ment som en generell rettighet. Åpnes det for at nettkundene selv kan velge, vil det kunne gå ut over nytteverdien til AMS. For at nytteverdi skal favne både forbruker, lokalt nettselskap og nasjonalt strømnett, må de aller fleste ha AMS.
Kravet til helseerklæring er forankret i norsk rett, jf. avregningsforskriften § 4-1 andre ledd bokstav b og tilhørende forvaltningspraksis.
Å kreve helseerklæring for å få fritak står i et rimelig forhold til det som søkes oppnådd, og gjelder et fritak fra noe som alle som hovedregel er pålagt å godta ut fra hensynet til et effektivt kraftsystem. Kan det ikke kreves helseerklæring, er det vanskelig å finne et annet passende dokumentasjonskrav som oppfyller formålet.
Behandlingen er forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikrer egnede tiltak for å verne den registrertes grunnleggende rettigheter og interesser. Nettselskapene håndterer, uavhengig av enkelte helseerklæringer, store mengder personopplysninger og må allerede ha på plass gode rutiner og systemer for å ivareta kundenes personvern. Helseerklæring skal kun brukes til å innvilge fritak. Nettselskapet skal, som for all annen informasjon, behandle denne etter prinsippene i personvernforordningen artikkel 5.
Tilstrekkelig klart supplerende rettsgrunnlag
Kravet til supplerende rettsgrunnlag i artikkel 6 nr. 3 er oppfylt. Formålet med behandlingen av helseerklæringen fremkommer direkte av forskriftsbestemmelsen, at dokumentasjonskravet er der for å få fritak fra AMS. Formålet fremkommer også av vedtakene.
Behandlingen er også nødvendig for å drifte nettet, herunder pliktene som følger med reglene om AMS.
Avregningsforskriften § 4-1 andre ledd bokstav b sammenholdt med tilhørende forvaltningspraksis er et tilstrekkelig klart supplerende rettsgrunnlag. RMEs forvaltningspraksis og vedtak sier eksplisitt at det er krav om helseerklæring for å få fritak.
Det er et tilstrekkelig supplerende rettsgrunnlag også i lys av terskelen som følger av artikkel 9 nr. 2 bokstav g for krav til behandlingsgrunnlag. Forvaltningspraksis alene kvalifiserer som rettsgrunnlag, og forskriftsbestemmelsen sammenholdt med forvaltningspraksis gjør også det. Formålet med behandlingsgrunnlaget framgår av hjemmelen, både av forskriftsbestemmelsen og forvaltningspraksisen.
Personvernnemndas vurdering
Nettselskapenes innhenting og bruk av helseopplysninger ved sin vurdering av søknader om fritak fra plikten til å installere AMS etter avregningsforskriften, er å anse som en behandling av personopplysninger som faller innenfor virkeområdet til personopplysningsloven og personvernforordningen. Det betyr at behandlingen må ha behandlingsgrunnlag i personvernfordringen artikkel 6 samt i artikkel 9 nr. 2 i og med at helseopplysninger tilhører kategorien særlige opplysninger omfattet av artikkel 9 nr. 1.
Nemnda har, som Datatilsynet, kommet til at nettselskapene har behandlingsgrunnlag for å innhente og behandle helseopplysninger i personvernforordningen artikkel 6 nr. 1 bokstav c (behandlingen er nødvendig for å oppfylle en rettslig forpliktelse som påhviler den behandlingsansvarlige) og artikkel 9 nr. 2 bokstav g (viktige allmenne interesser). Nemnda vil begrunne dette nærmere i det følgende.
Behandlingsgrunnlag – rettslig forpliktelse og supplerende rettsgrunnlag
Grunnlaget for behandlingen etter personvernforordningen artikkel 6 nr. 1 bokstav c må i henhold til artikkel 6 nr. 3 være fastsatt i unionsretten (bokstav a) eller i nasjonal rett (bokstav b) og formålet med behandlingen skal være fastsatt i nevnte rettslige grunnlag.
Nettselskapenes plikt til å installere AMS følger av avregningsforskriften § 4-1. Forskriften er gitt med hjemmel i energiloven. Formålet med behandlingen framgår av forskriften § 1-1 sjette ledd:
«Reglene om avanserte måle- og styringssystemer (AMS) skal bidra til korrekt avregning, nødvendig informasjon til styring av eget strømforbruk og økt mulighet for nettselskapet til å effektivisere driften av nettet.»
Forskriften § 4-1 andre ledd bokstav b fastslår at nettselskapene ikke plikter å installere AMS dersom «installasjonen er til vesentlig og dokumenterbar ulempe for sluttbruker». Bestemmelsen spesifiserer ikke hvilke ulemper som er omfattet, eller hvilke krav som stilles til dokumentasjonen.
NVE la ved utformingen av forskriften til grunn at ulempe for sluttbruker skulle forstås som en helsemessig ulempe, jf. merknader til § 4-1 i høringsdokument nr. 7/2011 – «Avanserte måle og styringssystem (AMS) - Oppsummering av høringsuttalelser og endelig forskriftstekst8». Slik nemnda ser det er det også vanskelig i praksis å tenke seg hvilke andre dokumenterbare ulemper enn helseplager som skulle gi grunnlag for fritak.
Det er videre ikke tvilsomt at helseplager kan utgjøre en «ulempe». I kravet til at ulempen må være «vesentlig» ligger et krav til arten og omfanget av de helseplager det er tale om. Helseplager av bagatellmessig art, oppfyller ikke vesentlighetskravet. Videre må årsakskravet være oppfylt: helseplagen må skyldes den installerte AMS-enheten. Dersom helseplagene skyldes andre forhold, vil de ikke oppfylle kravet – uavhengig av hvor omfattende de er. Forskriften forutsetter dermed en konkret vurdering av helsesituasjonen til den enkelte nettkunde. Det kan ikke gjøres uten innhenting av helseopplysninger.
I saker hvor en nettkunde påberoper seg vesentlige helseplager som grunnlag for fritak fra installasjonsplikten, vil det etter nemndas vurdering ikke være mulig å oppfylle dokumentasjonskravet i avregningsforskriften på andre måter enn å kreve helseerklæring framlagt. Tilsvarende vurdering er gjort av Energiklagenemnda i ENK-2021-1991, hvor klagenemnda uttaler:
«Nemnda er enig med klager i at ordlyden ikke eksplisitt krever dokumentasjon i form av legeerklæring. Imidlertid følger det av ordlyden at den vesentlige ulempen skal være «dokumenterbar». Selv om legeattester ikke nevnes eksplisitt i bestemmelsen eller i forarbeidene, kan nemnda vanskelig se at helsemessige ulemper kan dokumenteres på andre måter enn ved nettopp legeerklæring. Det hadde etter nemndas syn ikke vært heldig dersom nettselskapene selv, eller RME, skulle vurdert nettkundenes helsemessige forhold i forbindelse med søknader om fritak.»
At forordningen ikke krever at det supplerende rettsgrunnlaget regulerer behandlingen uttrykkelig, følger også av Justis- og beredskapsdepartementets uttalelser i lovforarbeidene til personopplysningsloven, Prop. 56 LS (2017-2018) punkt 6.3.2 side 33:
«Samlet sett taler altså ordlyden i artikkel 6 nr. 3 for at det må påvises et supplerende rettsgrunnlag i unionsretten eller nasjonal rett, men at det ikke er nødvendig at det supplerende rettsgrunnlaget uttrykkelig regulerer behandling av personopplysninger. Departementet viser i denne forbindelse også til artikkel 35 nr. 10, hvor det forutsetningsvis fremgår at det rettslige grunnlaget for behandling etter artikkel 6 nr. 1 bokstav c og e ikke behøver å spesifikt regulere behandlingsaktivitetene.
Heller ikke forordningens fortale gir støtte for et ubetinget krav om at behandlingen av personopplysninger må være regulert uttrykkelig i det supplerende rettsgrunnlaget. Fortalepunkt 45 gir uttrykk for at behandlingen i disse tilfellene bør «ha rettslig grunnlag i unionsretten eller medlemsstatenes nasjonale rett», men at det ikke kreves "en særlig lovbestemmelse for hver enkelt behandling"».
Departementet uttaler samme sted at det er tilstrekkelig etter ordlyden i artikkel 6 nr. 3 bokstav c at det supplerende rettsgrunnlaget pålegger den behandlingsansvarlige en rettslig forpliktelse som det er nødvendig å behandle personopplysninger for å oppfylle.
Viktige allmenne interesser – artikkel 9 nr. 2 bokstav g
I tillegg må behandlingen være «nødvendig av hensyn til viktige allmenne interesser, på grunnlag av unionsretten eller nasjonal rett som skal stå i et rimelig forhold til det mål som søkes oppnådd», jf. artikkel 9 nr. 2 bokstav g. Videre stiller bestemmelsen krav om at det i unionsretten eller i nasjonal rett sikres «egnede og særlige tiltak» for å verne den registrertes rettigheter, friheter og interesser.
Både kravene om nødvendighet og forholdsmessighet, samt kravene om egnede og særlige tiltak, kan innebære nærmere krav til utformingen av det nasjonale rettsgrunnlaget, jf. uttalelse fra lovavdelingen i Justisdepartementet, JDLOV-2022-3045:
«Heller ikke i artikkel 9 stilles det imidlertid noe eksplisitt krav om at den nærmere fremgangsmåten for tilgang må være direkte regulert. Både kravene om nødvendighet og forholdsmessighet, samt kravene om egnede og særlige tiltak, kan imidlertid stille nærmere krav til utformingen av det nasjonale rettsgrunnlaget.
[…]
«Videre stiller artikkel 9 nr. 2 bokstav g krav om at behandlingen må bygge på nasjonal rett ‘som skal stå i et rimelig forhold til det mål som søkes oppnådd, være forenlig med det grunnleggende innholdet i retten til vern av personopplysninger og sikre egnede og særlige tiltak for å verne den registrertes grunnleggende rettigheter og interesser’. Disse kravene ligner i stor grad på kravene til inngrep i retten til privatliv etter EMK artikkel 8 nr. 2. EU-domstolen tolker også personvernforordningen artikkel 6 nr. 3 i lys av EUs pakt om grunnleggende rettigheter, se sak C-184/20 premiss 69.»
NVEs overordnede målsetting med innføring av AMS var å bidra til å oppfylle energilovens hovedmål om at produksjon, fordeling og bruk av energi foregår på en samfunnsmessig rasjonell måte, samtidig som det ble tatt tilstrekkelig hensyn til de parter som blir berørt. I høringsdokument nr. 1/2011 om avanserte måle- og styringssystemer fra NVE punkt 1.1 framgår det blant annet:
«AMS vil kunne øke effektiviteten i kraftmarkedet, gjennom en mer fornuftig bruk av elektrisk kraft og en bedre styring og bruk av nettet, samt at AMS vil være et nyttig verktøy i beredskapssituasjoner. Systemet vil bidra til at nettselskaper og andre kan levere sine tjenester og gjennomføre sine oppgaver mer effektivt og med høyere kvalitet enn med dagens utstyr. AMS vil også gjøre det mulig å levere nye tjenester.
Konkret vil AMS bidra til å nå energilovens hovedmål gjennom å legge til rette for en riktig og mer effektiv avregning av kundene. Prosessen med bytte av strømleverandør blir enklere for sluttbruker, det vil bli mer effektiv styring av overføringsnettet, kunden får økt informasjon om priser og eget forbruk, samt økt konkurranse mellom kraftleverandører vil gi lavere priser og nye produkter. Videre kan AMS være viktig for etablering av noen funksjoner relatert til intelligent nettstyring (smart grid).»
Etter Personvernnemndas syn representerer dette viktige allmenne interesser. Opplysningene som behandles er både relevante og nødvendige for at nettselskapene skal oppfylle sin plikt etter forskriften. At helseerklæring innhentes og behandles som dokumentasjon for den vesentlige ulempen (helseplagen) som påberopes som grunnlag for fritak representerer ikke et urimelig inngrep sett i forhold til det målet som søkes oppnådd, jf. artikkel 9 nr. 2.
Nemnda er enig med Datatilsynet i at hjemmelen kunne vært klarere formulert. Dette gjelder særlig kravene om egnede og særlige tiltak for vern av den registrertes grunnleggende rettigheter og interesser. Etter nemndas syn vil kravene til utformingen av det nasjonale rettsgrunnlaget etter artikkel 9 nr. 2 bokstav g likevel variere etter formålet med behandlingen og avhengig av blant annet hvilket inngrep som gjøres i de registrertes rettigheter. Nemnda viser til at nettselskapenes behandling av opplysningene kun skal skje i få tilfeller der dette er nødvendig for å fastslå at kravene til unntak er oppfylt. Nettselskapene plikter videre å behandle opplysningene i tråd med reglene i personvernforordningen artikkel 5 og er underlagt Datatilsynets kontrollmyndighet, jf. personvernforordningen artikkel 58. Nemnda mener derfor etter omstendighetene at avregningsforskriften gir et tilstrekkelig nasjonalt rettsgrunnlag.
Vedtaket er enstemmig.
Konklusjon
Nettselskapene kan behandle helseopplysninger ved søknad fra kunder om fritak for installasjon av smarte strømmålere (AMS), jf. artikkel 6 nr. 1 bokstav c og artikkel 9 nr. 2 bokstav g, jf. avregningsforskriften § 4-1.
Oslo, 28. februar 2023
Mari Bø Haugstad
Leder