Personvernnemndas avgjørelse i sak PVN-2022-17
Den 28. februar 2023 fattet Personvernnemnda avgjørelse i sak PVN-2022-17, som gjaldt spørsmålet om nettselskapene har gyldig behandlingsgrunnlag for å kreve helseerklæring som dokumentasjon ved søknad om fritak fra installasjon av avanserte måle- og styringssystemer (AMS).
Sakens bakgrunn
Datatilsynet konkluderte i vedtak av 30. mars 2022 med at nettselskapenes behandling av helseerklæringer hadde et gyldig behandlingsgrunnlag, og valgte derfor å avslutte saken. Tre kunder påklaget dette vedtaket. Personvernnemnda mottok saken til behandling 5. oktober 2022. Mer om saksgangen kan leses her.
Personvernnemndas vurdering og konklusjon
Nemnda konkluderte – etter en vurdering som bygget på et svært tynt grunnlag med flere antagelser og en tolkning som gikk langt utover det som fremgår av gjeldende forskrifter – at:
Nettselskapene kan behandle helseopplysninger når kunder søker fritak for installasjon av smarte strømmålere (AMS), jf. personvernforordningen artikkel 6 nr. 1 bokstav c og artikkel 9 nr. 2 bokstav g, samt avregningsforskriften § 4-1.
Kritikk av Personvernnemndas avgjørelse i sak PVN-2022-17
Personvernnemnda konkluderte 28. februar 2023 med at nettselskaper kan behandle helseopplysninger i forbindelse med søknader om fritak for installasjon av AMS-målere, jf. personvernforordningen artikkel 6 nr. 1 bokstav c og artikkel 9 nr. 2 bokstav g, samt avregningsforskriften § 4-1. Det bemerkes at formuleringen "kan behandle" ikke innebærer en plikt, noe som er en merkelig tolkning ettersom § 4-1 bokstav b ikke stiller eksplisitt krav om legeattest.
Nemnda støtter seg til Reguleringsmyndigheten for energi i NVE (RME), som tolker "vesentlig og dokumenterbar ulempe" etter § 4-1 bokstav b som utelukkende helsemessig, og at slik ulempe må dokumenteres med lege- eller psykologattest. Det er betenkelig at RME – en instans med myndighet begrenset til energiloven og tilhørende forskrifter – får så stor innflytelse over tolkninger som berører personvern og helseopplysninger.
Personvernnemnda hevder klagen gjelder helseplager fra stråling fra AMS-enheten. Dette er uriktig. Klagerne protesterte mot å måtte gi fra seg helseopplysninger, ikke mot helseeffekter fra målerne. At nemnda trekker inn argumenter og forhold som ikke ble fremmet i klagen, bidrar til å svekke tilliten til behandlingen av saken.
Det er også feil at kundene nektet å få installert nye målere. Flere har allerede fått installert målere uten kommunikasjonsenhet – uten å søke fritak eller legge frem legeattest. Nemnda synes dermed å ha behandlet klagene basert på antakelser og generelle meninger, fremfor klagernes faktiske anførsler.
Det virker som Personvernnemndas avgjørelse er en kopi av tidligere uttalelser fra Datatilsynet og RME. Dette skaper inntrykk av at myndighetene beskytter hverandres tolkninger fremfor å foreta en selvstendig vurdering. Resultatet er svekket rettssikkerhet for forbrukerne.
Som en dommer nylig bemerket i en relaterte sak: “Domstolene og nettselskapene bruker NVE/RMEs 'meninger' som rettskilde – og ikke det som faktisk står i lovverket.”
Forbrukere må i praksis ta saken til retten – en kostbar og ressurskrevende vei – for å få vurdert sine rettigheter, da klageinstansene unngår å ta stilling til privatrettslige sider ved forholdet til nettselskapene.
Kritisk vurdering av Personvernnemndas avgjørelse og sammensetning i sak PVN-2022-17
Nemnda hadde følgende sammensetning:
Det er bekymringsfullt at et enstemmig vedtak fra en nemnd med betydelig faglig tyngde avslører manglende rettslig presisjon i fortolkningen av lov og forskrift. I stedet for å forankre vurderingen i de høyeste rettskildefaktorene – som Grunnloven, lover og forskrifter – valgte nemnda å legge avgjørende vekt på Reguleringsmyndigheten i NVEs (RME) forvaltningspraksis. Dette til tross for at forvaltningspraksis, selv om det er en rettskildefaktor, ikke har autoritativ status og normalt bør tillegges mindre vekt.
Flere medlemmer av nemnda har spesialkompetanse innen personvern og menneskerettigheter. Dette forplikter til en særlig bevissthet om forholdet mellom individ og myndighet, og spesielt behovet for å beskytte svake parter i møte med offentlige og private aktører med betydelig makt – slik som nettselskapene. Når kun én prosent av befolkningen har fått fritak for AMS-installasjon, burde nemnda i større grad forsøkt å forstå denne minoritetens bekymringer.
Klagernes argumentasjon – som omfattet grundige henvisninger til rettsregler og dokumentasjon knyttet til privatlivets fred og rettssikkerhet – ble i stor grad ignorert i avgjørelsen. Nemnda viet svært liten plass til klagernes syn, særlig med hensyn til problematikken rundt strømmålernes plassering i private elektriske installasjoner. Dette fremstår som en systematisk tilsidesettelse av forbrukerperspektivet til fordel for myndighetslojalitet.
Det er særlig kritikkverdig at nemnda selv påpeker at forskriften ikke eksplisitt krever legeattest, men likevel aksepterer RMEs retningslinjer som om de har hjemmel i lov. Det undergraver prinsippet om klar hjemmel i rettsanvendelsen.
Når rettssikkerheten reduseres til et spørsmål om hvilke meninger en nemnd måtte ha på tidspunktet for behandling, blir rettstilstanden uforutsigbar. Klagerne kan ikke på forhånd vite hvilke "synspunkter" som vil bli tillagt vekt, og det undergraver tilliten til rettssystemet.
Det fremstår som en ukultur at forvaltningsorganer tolker seg bort fra det som faktisk står i lovverket, til fordel for "meningsbasert" rettsanvendelse. Det undergraver ikke bare forbrukernes rettigheter – det rokker ved rettssikkerheten som helhet.
Det er nå slik at Stortinget lager Norges nye lover, mens det er byråkratene i forvaltningen, som lager forskriftene. Og de er blitt så mange, og så detaljerte, at de delvis overtar for lovene, når det kommer til avgjørelser og vedtak.
Kritiske spørsmål om Personvernnemndas vurdering av legeattest og helseopplysninger i AMS-saker
Helsedirektoratet har gjort det klart at fastleger ikke skal utstede legeattest som bekrefter at pasienter har helseplager som følge av stråling fra automatiske strømmålere (AMS). En slik attest vil være i strid med helsepersonelloven, ettersom det ikke finnes vitenskapelig dokumentasjon som underbygger en slik årsakssammenheng. Dette er formidlet tydelig i direktoratets veiledning til helsepersonell.
Samtidig stiller Reguleringsmyndigheten for energi (RME) et absolutt krav om legeerklæring for å innvilge fritak fra AMS. Denne praksisen er ikke hjemlet i forskriftsteksten (§ 4-1 bokstav b i avregningsforskriften), men er utviklet gjennom forvaltningspraksis. Når Personvernnemnda i sin avgjørelse aksepterer dette kravet – til tross for manglende rettslig grunnlag og de faglige innsigelsene fra Helsedirektoratet – reises alvorlige spørsmål om rettssikkerheten til forbrukerne.
Nemnda konkluderer i realiteten med at kunder må fremvise en legeattest som beskriver helseplager relatert til stråling fra målere de ofte ikke har installert. Dette er ikke bare et juridisk paradoks – det utfordrer også medisinsk-etiske prinsipper. Det er uholdbart at en offentlig nemnd indirekte ber leger skrive ut attester som strider mot gjeldende helsefaglig praksis og helsepersonelloven.
Hvorfor samordner ikke Personvernnemnda sine vurderinger med relevante fagmyndigheter, som Helsedirektoratet, før den fatter vedtak som berører både personvern, helserett og pasientbehandling? Det virker som nemnda ikke tar høyde for at tolkningene deres kan føre til kryssende lojalitetskrav for helsepersonell og rettslig usikkerhet for kundene.
Før innføringen av GDPR i mai 2018 krevde behandling av sensitive personopplysninger hjemmel i lov og konsesjon fra Datatilsynet, jf. tidligere personopplysningslov § 8 og 9. Datatilsynet har i brev fra 2017 bekreftet at nettselskapene ikke hadde konsesjon til å behandle helseopplysninger i AMS-saker. Det fremstår derfor som både historisk og nåværende praksis fra nettselskapene og RME mangler tilstrekkelig rettsgrunnlag.
Når Personvernnemnda aksepterer og viderefører disse praksisene, uten selvstendig vurdering av de rettslige, medisinske og etiske implikasjonene, bidrar det til å uthule forbrukernes vern. Resultatet er en rettstilstand der myndighetsutøvelse skjer på sviktende grunnlag – og hvor forbrukernes personvern og rettssikkerhet settes til side.
Manglende DPIA og ulovlig behandling av helseopplysninger i AMS-saker
Verken RME eller nettselskapene har gjennomført en personvernkonsekvensvurdering (DPIA) i tråd med kravene i GDPR artikkel 35 – til tross for at behandlingen omfatter særlige kategorier personopplysninger, nemlig helseopplysninger, og skjer i stor skala. Ifølge Datatilsynet skal det gjennomføres en DPIA når behandlingen sannsynligvis vil medføre høy risiko for enkeltpersoners rettigheter og friheter. Dette gjelder særlig ved systematisk overvåkning eller når det behandles sensitive opplysninger uten klart rettslig grunnlag.
Kundene har derfor måttet klage nettselskapene inn for Datatilsynet for ulovlig krav om helseopplysninger ved søknad om fritak fra AMS. GDPR artikkel 9 forbyr behandling av helseopplysninger med mindre det foreligger et klart behandlingsgrunnlag i form av en rettslig plikt – noe nettselskapene ikke har dokumentert. Den første klagen ble sendt allerede i november 2019, etterfulgt av to klager i 2020. Likevel tok det hele 42 måneder før Personvernnemnda fattet sin endelige avgjørelse – en avgjørelse som etter manges vurdering ikke tilfredsstiller grunnleggende juridiske krav til begrunnelse og hjemmelsvurdering.
Det er også verdt å merke seg at RME først etter at klagene ble fremmet, begynte å argumentere for at kravet om legeattest er begrunnet i "allmennhetens interesse", jf. GDPR artikkel 9 nr. 2 bokstav g. Denne interessen ble aldri nevnt i årene etter innføringen av AMS-ordningen eller under utviklingen av avregningsforskriften. Det fremstår derfor som et etterkonstruert argument – brukt til å legitimere en praksis som i utgangspunktet mangler hjemmel i lov.
Spørsmålet er hvorfor myndighetene ikke tok opp denne personvernutfordringen allerede da forskriften ble utformet i 2011. En plausibel forklaring kan være at RME og NVE har håndtert regelverket med en teknokratisk tilnærming og uten nødvendig forståelse for personvernrettslige implikasjoner. Denne manglende helhetsforståelsen er alvorlig når forvaltningsorganer legger føringer for praksis som innebærer inngrep i borgernes grunnleggende rettigheter.
Ubehandlede prinsipielle poenger fra klager i AMS-saken
Et sentralt, men ubehandlet poeng i klagen gjelder hvordan begrepet "allmennhetens interesse" anvendes for å rettferdiggjøre nettselskapenes behandling av helseopplysninger. Det er riktig at nettselskapene drifter distribusjonsnettet i allmennhetens interesse. Men denne interessen strekker seg ikke inn i kundens private elektriske installasjon – der AMS-enheten faktisk installeres. Det finnes et klart fysisk og juridisk skille mellom nettselskapets eierskap og kundens eiendom, etablert ved tilknytningspunktet, typisk "klemmene" i installasjonen, jf. Standard tilknytningsavtale § 4-1. Etter dette punktet overføres eiendomsansvaret til kunden.
Å påstå at installasjon og drift av måleren – som skjer i kundens private eiendom – er i "allmennhetens interesse", innebærer i realiteten at denne interessen invaderer det private rom. Dette er særlig problematisk når det gjelder kommunikasjonen mellom AMS-enheten og nettselskapet, som foregår fra utstyr installert på kundens eiendom. Spørsmålet blir da om slik dataoverføring utgjør "kommunikasjon" i henhold til Grunnloven § 102, som gir enhver borger rett til respekt for sitt privatliv og kommunikasjon.
I så fall vil det være grunn til å stille spørsmål ved om installasjon av kommunikasjonsenheter i private hjem uten eksplisitt og frivillig samtykke, eller uten annet klart rettslig grunnlag, kan oppfylle kravene til forholdsmessighet og nødvendighet etter både Grunnloven og GDPR.
Disse spørsmålene ble ikke behandlet av Personvernnemnda, til tross for at klager uttrykkelig påpekte det prinsipielle skillet mellom samfunnets og individets rettigheter, og de privatrettslige rammene rundt strømmåleravtaler. At hver kunde har en måler er ikke i seg selv en allmenn plikt, men en forutsetning for en individuell avtale om strømleveranse – noe som faller utenfor det offentligrettslige ansvarsområdet.
Klagen reiste dermed flere uavklarte og prinsipielt viktige spørsmål som fortjener en grundigere rettslig vurdering enn det som fremkommer i Personvernnemndas avgjørelse.
(Ams.monster vil publisere anonymisert dokumentasjon i etterkant.)
Feiltolkning av forskrift i Personvernnemndas saksbakgrunn
Personvernnemnda begår en alvorlig feil i "sakens bakgrunn" når den hevder at:
"Alle norske strømkunder er i forskrift 11. mars 1999 nr. 301 (avregningsforskriften) § 4-1 første ledd pålagt å installere en smart strømmåler med avanserte måle- og styringssystemer (AMS)."
Denne påstanden er uriktig. § 4-1 i avregningsforskriften inneholder ingen bestemmelse som pålegger sluttbrukere (kunder) en plikt til å installere smarte strømmålere. Bestemmelsen regulerer nettselskapets ansvar – ikke kundens. Det fremgår at nettselskapet har ansvar for å etablere et system for måling og avregning, og at AMS er en teknisk standard, men det følger ingen eksplisitt eller implisitt plikt for kundene selv til å motta eller akseptere slik installasjon.
Nemnda blander dermed sammen nettselskapets systemansvar og kundens individuelle rettsstilling. En slik sammenblanding gir inntrykk av at det foreligger en ufravikelig lovpålagt plikt for den enkelte strømkunde, noe som ikke har forankring i forskriftens ordlyd. Denne typen feilskjær svekker tilliten til nemndas juridiske forståelse og til saksbehandlingens integritet.
Når nemnda bygger sin vurdering av behandlingsgrunnlag for helseopplysninger på en uriktig tolkning av kundens påståtte plikter etter § 4-1, får dette direkte betydning for vurderingen av nødvendighet og forholdsmessighet i personvernsammenheng – særlig med tanke på krav om helseattest ved søknad om fritak fra AMS.
Ingen medvirkningsplikt for kunden etter avregningsforskriften § 4-1
Personvernnemnda bygger på en uriktig rettsoppfatning når den hevder at nettkunder har en plikt til å medvirke til installasjon av AMS. Avregningsforskriften § 4-1. Plikt til å installere AMS pålegger en offentligrettslig plikt for nettselskapet, ikke kunden. Merk at måleren ikke er nevnt i paragrafen. Forskriften regulerer nettselskapets systemansvar og krav til måleinfrastruktur, men gir ikke privatrettslige virkninger som pålegger kunden en tilsvarende medvirkningsplikt. Kundens rettigheter og plikter reguleres gjennom den individuelle nettleieavtalen – ikke gjennom avregningsforskriften.
Dette skillet ble også tydelig fastslått i Kristiansand tingretts dom av 17. september 2018, der et nettselskap søkte midlertidig forføyning for å få fysisk tilgang til å skifte strømmåler hos en kunde. Retten anerkjente at nettselskapet hadde en forskriftsfestet plikt til å installere AMS, men understreket at nettleieavtalen ikke inneholdt noe vilkår som forpliktet kunden til å akseptere en slik utskifting. Med andre ord: uten eksplisitt avtalevilkår har ikke nettselskapet et rettslig grunnlag for å kreve kundens medvirkning.
Det er også viktig å påpeke at den nye nettleieavtalen fra 2020 (med punkter), som bransjen har tatt i bruk, ikke har blitt inngått på avtalerettslig gyldig måte. I motsetning til nettleieavtalen fra 2007 (med paragrafer), som ble eksplisitt akseptert av kunden i samråd med Forbrukerombudet (nå Forbrukertilsynet), har den nye avtalen blitt implementert uten å innhente samtykke. Dette svekker ytterligere ethvert rettsgrunnlag for å påstå en plikt til å godta AMS-installasjon.
Konklusjonen er klar: Kunden har ingen lov- eller avtalerettslig plikt til å medvirke til installasjon av AMS. Nettselskapets plikt etter forskriften gjelder som et internt driftskrav, men dette gir ikke i seg selv noen rett til å gripe inn i kundens eiendom uten avtale. Det er derfor grunnleggende uriktig når Personvernnemnda fremstiller det som at AMS-installasjon er noe kunden må akseptere.
Hvorfor kreves legeerklæring når kunden ikke er pliktig til å installere AMS?
Et sentralt, ubesvart spørsmål i Personvernnemndas avgjørelse er hvorfor det kreves legeerklæring fra kunder som søker fritak fra AMS – når det ikke eksisterer noen lov- eller avtalerettslig plikt for kunden til å installere AMS i utgangspunktet.
Nemnda tok ikke stilling til det privatrettslige forholdet mellom kunde og nettselskap. Klagen ble vurdert utelukkende med utgangspunkt i nettselskapenes og myndighetenes regelverk og praksis – selv om dette ikke direkte regulerer kundens rettigheter. Dermed ble kjerneproblemstillingen i klagen ignorert: nemlig om det i det hele tatt finnes et behandlingsgrunnlag for å kreve helseopplysninger når det ikke foreligger noen faktisk plikt til å installere AMS.
Reguleringsmyndigheten for energi (RME) har selv presisert – i brev til advokatfirmaet Schjødt AS datert 24. juni 2020 (sak 202002157-6) – at nettselskapene ikke er pålagt å bytte måler hos kunder, heller ikke hos dem som har fått fritak. De har en adgang til å gjøre det, men ingen plikt etter energiloven eller tilhørende forskrifter.
Nettselskapene har etter dette rett til å bytte ut målere også hos kunder som får fritak, men ingen direkteplikt etter energiloven og tilhørende forskrifter.
Dette forsterker spørsmålet: Hvorfor skal en kunde som ikke har noen installasjonsplikt måtte legge frem sensitiv helseopplysning, dokumentert ved legeattest – en praksis som også strider mot Helsedirektoratets retningslinjer?
Uklarhet om hva "AMS" faktisk innebærer gjør problemstillingen enda mer kompleks. "Avanserte måle- og styringssystemer" (AMS) er et teknisk begrep som i praksis er blitt synonymt med smartmålere. Men denne koblingen er ikke eksplisitt i regelverket, og avregningsforskriften har lenge manglet en klar definisjon av hva som faktisk inngår i AMS. Først etter påtrykk fra Justervesenet ble det i juli 2021 innført en presisering i § 1-3 (Definisjoner) i forskriften. Likevel er begrepsbruken fortsatt forvirrende – selv blant nettselskaper, jurister og journalister.
Når selv fagmyndighetene har vanskelig for å definere AMS presist, hvordan kan det da forventes at kundene skal forstå kravene de står overfor? Og hvordan kan det forsvares å kreve inngrep i personvernet basert på uklare og feilaktig tolket regelverk?
Dette understreker det prinsipielle poenget: Behandling av helseopplysninger krever særskilt rettslig grunnlag, jf. GDPR artikkel 9. Et slikt grunnlag eksisterer ikke når det verken foreligger installasjonsplikt for kunden eller krav til spesifikk teknisk løsning med kommunikasjonsenhet.
