Oversikt over brev fra Datatilsynet til nettselskapene og Reguleringsmyndigheten i NVE (RME) angående ulovlig innhenting av helseopplysninger

Datatilsynet har over lengre tid mottatt flere henvendelser fra privatpersoner angående
nettselskapenes krav om erklæring fra lege eller psykolog for å oppnå fritak for kommunikasjonsenheten (AMS-delen) i smartmåleren etter avregningsforskriften § 4-1 annet ledd bokstav b. Kravet oppfattes som inngripende og det anføres at nettselskapene mangler rettslig grunnlag for å behandle legeerklæringer.

Behandling av personopplysninger er bare lovlig dersom det foreligger et
behandlingsgrunnlag, jf. personvernforordningen art. 6 nr. 1. Behandling av særskilte
kategorier av personopplysninger, herunder helseopplysninger, er i utgangspunktet ikke tillatt,
og må i tillegg omfattes av et eller flere av unntakene i forordningen art. 9 nr. 2.

For at nettselskapene skal kunne behandle helseopplysninger må de ha særskilt hjemmel i forskriften. Det må stå i klartekst i hjemmelen at det er en plikt, som f.eks. førerkortforskriften vedlegg 1 § 4. Helseattest. Nettselskapene kan ikke dokumentere behandlingsgrunnlaget med den rettslige plikten ifølge svarene til Datatilsynets brev 16.12.2020.

Datatilsynets oversikt over virksomhetens plikter. Les her.

Den urimelige praksisen berører flere enn de som har klaget. Datatilsynet velger å henvende til nettselskaper som er nevnt av klagerne, samt et utvalg andre nettselskaper som er blant de med flest kunder. Svarene fra nettselskapene finner du lenger ned.

Etter NVE-RME sin egen forvaltningspraksis kan nettselskapet fravike kravet om installasjon av AMS dersom kunde fremlegger erklæring fra lege eller psykolog som stadfester at kunden har gitt
uttrykk for frykt eller ubehag som påstås å kunne knyttes til AMS.

Nettselskapene har forholdt seg til denne praksisen ved sin praktisering av
fritaksbestemmelsen.

Forvaltningspraksis er en relevant rettskildefaktor, men forvaltningspraksis er en rettskilde
uten autoritetsgrunnlag. Som det klare utgangspunkt skal derfor slik praksis ikke tillegges stor
vekt.

Datatilsynet har vært skeptisk til NVE-RME sin praksis, og i desember 2020  ba Datatilsynet
nettselskapene om å vurdere og utdype sin praksis i forbindelse med innhenting av
legeerklæring i lys av GDPR

NVE-RME skal 'svare Datatilsynet med hensyn til sin forvaltningspraksis som rettskildefaktor. NVE har en forvaltningspraksisen som er strid med et annet lovverk. Dette gjør NVE-RMEs forvaltningspraksis ulovlig. Svar brevet fra NVE/RME 30. september 2021 til Datatilsynet finner du HER.

Kommentarer på brevet fra Datatilsynet.

Merkelig nok har Datatilsynet avsluttet klagesaken uten å begrunne den egentlige grunnen. Datatilsynet henviser til allmenhetens interesse for at nettselskapene kan behandle helseopplysninger uten å stille et krav om taushetsplikt.

Det store spørsmålet. Hvordan kan noe som er installert i et privat hjem være av allmenn interesse når installasjonspunktet for «AMS» ikke er under nettselskapets kontroll eller eiendom? Det private hjemmet er beskyttet etter Grunnloven § 102 som sier at alle har rett til respekt for kommunikasjonen sin. Har Datatilsynet forstått hva en installasjon av AMS egentlig innebærer for sluttbrukeren? Det virker som RME har gitt dem uriktig informasjonen.

At kunden har en strømmåler er heller ikke i allmenhetens interesse da det er en privatrettslig avtale mellom nettselskapet og kunden for å kunne få levert strøm.

Nettselskapene har lest seg frem til Personvernforordningen artikkel 6 og har funnet et unntak på en bokstav der, og så har de stoppet å lese. 

Når man leser svaret fra Datatilsynet, har saksbehandleren forstått lovteksten selv? Nettselskapene kan ikke behandle helseopplysninger etter artikkel 6. I det øyeblikket RME mener at dokumenterbar ulempe er å forstå som en attest fra lege eller psykolog, så har man blandet inn Personvernforordningen artikkel 9.

Det er et problem når Datatilsynet bruker art.6 når art. 9 nr. sier at det er forbudt om man ikke har et unntak etter art. 9 nr. 2.

Art. 6 kan ikke gi ett rettslig grunnlag for å behandle helseopplysninger. Datatilsynet kan ikke bruke art. 6 som en grunn i det hele tatt. Det er veldig bekymringsfullt av Datatilsynet å hevde dette.

Hvordan skal man stole på at Datatilsynet tar en rett avgjørelse, når de roter med art. 6, når de blander inn helseopplysninger som sier at det er forbudt i art. 9?

Hva har RME truet Datatilsynet med? Hvis nettselskapene ikke får behandle helseopplysninger av Datatilsynet, så fjerner RME fritaket i § 4-1 uten egentlig å vurdere nettselskapenes lovlighet av å behandle helseopplysninger. Det er ganske utrolig hvor mye RME legger seg bort i andre lovverk som er utenfor deres myndighetsområde.

Datatilsynet skrev klart og tydelig i brevet at vi ikke legger seg bort i hva RME bedriver av tolkning av sitt eget lovverk. RME har en forvaltningspraksis som er ulovlig og i strid med andre lovverk. Det er bekymringsfullt at Datatilsynet lar seg diktere av et annet myndighetsorgan. Datatilsynet må jo ha kontroll på om nettselskapene utøvelse av lovverket de er underlagt, bryter med personvernlovgivningen som Datatilsynet forvalter. Datatilsynet tør ikke å si imot en annet myndighetsorgan. Svaret fra Datatilsynet setter forbrukerens rett til vern av personopplysninger i fare.