Nettselskapene bryter personvernforordningen (GDPR) når de krever legeattest

Nettselskaper er ikke juridisk forpliktet til å behandle spesielle kategorier av personopplysninger (herunder helseopplysninger). Etter personvernforordningen (GDPR) artikkel 9 nr. 1 og 9 nr. 2 er slik behandling forbudt, med mindre særlige unntak gjelder — og nettselskapene har ingen slik hjemmel i loven.

For å kunne behandle helsedata må det finnes en uttrykkelig lovbestemmelse som gir tillatelse, slik som førerkortforskriften vedlegg 1 § 4. Dette finnes ikke for nettselskapenes virksomhet.

Datatilsynet: Nettselskapene mangler konsesjon

Allerede i 2017 skrev Datatilsynet til Skagerak Energi Nett (nå Lede) og Hafslund Nett (nå Elvia):

«Vi kan heller ikke se at verken Skagerak Energi eller Hafslund Nett har konsesjon til å behandle slike opplysninger, og det fremstår ikke som noen av unntakene fra konsesjonsplikten kommer til anvendelse. Det fremstår derfor som virksomhetene behandler personopplysninger i strid med personopplysningsloven.»

Etter innføringen av GDPR 25. mai 2018, gjelder fortsatt forbudet mot behandling av helsedata uten særskilt grunnlag.

Les mer:
– Vil Datatilsynet gi nettselskapene et overtredelsesgebyr?
– Nettselskapene har brutt loven i flere år

§ 4-1 b) i avregningsforskriften gir ikke adgang til å kreve legeattest

Nettselskapene krever ofte lege- eller psykologerklæring for fritak fra AMS (kommunikasjonsenheten i måleren). Men § 4-1 b) nevner ikke noe krav om legeattest – bare at det må foreligge en dokumenterbar ulempe for kunden.

Brev fra NVE (7.12.2016, sak 201605986-1) og OED (6.3.2017, sak 16/367) omtaler legeerklæring som ett eksempel på dokumentasjon, ikke som et absolutt krav. Likevel praktiserer nettselskapene dette strengere enn forskriften tilsier – uten lovhjemmel.

Helsedirektoratet: Fastlegen skal ikke skrive slike attester

I brev av 14. mars 2018 og svar 15. august 2018 presiserte Helsedirektoratet at fastleger ikke skal utstede legeattester som sier at pasienten har helseplager på grunn av AMS-målere:

«Fastlegen skal ikkje skrive ut helseattest som seier at pasienten har plagar som skuldast stråling frå ein automatisk straummålar. [...] Dersom fastlegen skriv ut ein slik attest, vil det vere i strid med helsepersonellova.»

Dette betyr at nettselskapenes krav om legeattest er både ulovlig og urealistisk, ettersom helsevesenet selv forbyr slik attestering.

Helsedirektoratet opprinnelige brev om legeattest og automatiske straummålar 14.3.2018.

Hafslund Nett (Elvia): Absolutt krav om legeerklæring

Hafslund Nett (nå Elvia) krevde absolutt legeattest for fritak, og truet kunder med strømstenging dersom dette ikke ble levert. De hevdet at kravet kom fra NVE-RME, men ingen slik pålegg finnes. Dette er et klart eksempel på misbruk av monopolmakt, og en praksis som kan anses som monopolmisbruk etter konkurranselovens prinsipper.

Les brevet Datatilsynet sendte Hafslund Nett/Elvia, samt Elvias svar på dette.

Feiltolkning og inkompetanse

Nettselskapene baserer seg på NVE-RMEs meninger i stedet for lovverket.
De viser til artikkel 6 i GDPR, men ignorerer artikkel 9, som handler om særlige kategorier av personopplysninger (helseopplysninger).
Dette viser manglende forståelse av de lovene selskapene faktisk er underlagt.

NVE kan ikke overstyre personvernlovgivningen

NVE-RME skrev i rapport 07/2011 at «ulempe for kunde» primært skal forstås helsemessig. Dette er en tolkning, ikke en lov.
Dersom NVE faktisk hadde hjemmel til å kreve legeerklæring, ville det vært en plikt for nettselskapene – ikke bare en anbefaling.

NVE-RME kan mene hva de vil – men det gir ikke nettselskapene rettslig grunnlag for å behandle helseopplysninger.

Oppsummert

• Nettselskapene har ingen hjemmel i lov til å behandle helseopplysninger.

• Kravet om legeattest for AMS-fritak er ulovlig og utenfor forskriftens ordlyd.

• Datatilsynet har tidligere slått fast at nettselskaper mangler konsesjon for slik behandling.

• Helsedirektoratet sier at leger ikke skal skrive slike attester.

• Kravet er derfor ikke bare ugyldig, men bryter både GDPR, personopplysningsloven, og helsepersonelloven.