DA Den Europæiske Unions Tidende C 335/13

Resumé af udtalelse fra Den Europæiske Tilsynsførende for Databeskyttelse om Kommissionens henstilling om forberedelserne af indførelsen af intelligente målersystemer

(Udtalelsen i sin helhed findes på engelsk, fransk og tysk på EDPS's hjemmeside http://www.edps.europa.eu)

2012/C 335/08

1. Indledning

1.1. Høring af den tilsynsførende

1. Den 9. marts 2012 vedtog Kommissionen en henstilling om forberedelserne af indførelsen af intelligente målersystemer (»henstillingen«) (1). Henstillingen blev sendt til høring hos den tilsynsførende den 19. marts 2012.

2. Inden henstillingen blev vedtaget, gav Kommissionen den tilsynsførende mulighed for at fremsætte uformelle bemærkninger. Nogle af disse bemærkninger er blevet indarbejdet i henstillingen. Det betyder, at databeskyttelsen er blevet styrket i henstillingen.

3. Den tilsynsførende glæder sig over, at Kommissionen også har hørt ham formelt, og at der henvises til denne udtalelse i henstillingens præambel.

1.2. Henstillingens formål og baggrund

4. Formålet med henstillingen er at vejlede medlemsstaterne med hensyn til forberedelserne af indførelsen af intelligente målersystemer (2) i Europa. Disse systemer forventes indført inden 2020 for både el- og gasmarkedet, efter at der er foretaget en økonomisk vurdering af omkostninger og fordele. Hver medlemsstat foretager denne vurdering inden den 2. september 2012 (3).

5. En stor del af henstillingen (afsnit I) vedrører databeskyttelse. I henstillingen opfordres der til, at der udvikles en model for gennemførelse af konsekvensanalyser (4) (»modellen«), som skal indsendes til Artikel 29-Gruppen vedrørende databeskyttelse med henblik på rådgivning inden for 12 måneder efter henstillingens offentliggørelse (5).

6. Det første udkast til modellen er nu under udarbejdelse i ekspertgruppe 2 under Kommissionens taskforce om intelligente net. Taskforcen blev nedsat af Kommissionen forud for vedtagelsen af henstillingen og skal rådgive om intelligente net. En af undergrupperne under taskforcen, ekspertgruppe 2, arbejder med sikkerheds- og databeskyttelsesaspekter. Gruppen består hovedsagelig af repræsentanter for branchen (med enkelte deltagere fra civilsamfundet og forbrugergrupper) (6).

7. Kommissionen har anlagt en tilgang baseret på »soft law«, som er en kombination af i) en henstilling fra Kommissionen om bl.a. databeskyttelse og ii) yderligere vejledning til medlemsstaterne i form af en model for konsekvensanalyser af databeskyttelse, som branchen frivilligt skal anvende. Tilgangen er baseret på de erfaringer, der er gjort, efter at man har udarbejdet og på grundlag af Artikel 29-Gruppens bemærkninger har revideret branchens forslag til konsekvensanalyser for databeskyttelse vedrørende radiofrekvensbaserede identifikationsapplikationer (RFID) (7). Kommissionen har dog ikke udelukket behovet for eventuel ny lovgivning på nationalt og/eller europæisk plan (8).

1.3. Den tilsynsførendes udtalelse - formål, vigtigste budskaber og struktur

8. Den tilsynsførendes udtalelse er vedtaget som svar på Kommissionens henstilling, men er ikke strengt begrænset til dennes indhold, da der er vigtige databeskyttelsesaspekter ved indførelsen af intelligente målesystemer, som ikke er tilstrækkeligt behandlet i selve henstillingen. Den tilsynsførende erindrer i den sammenhæng også om sine formelle bemærkninger til forslaget om energieffektivitet (9).

9. Der er tre hovedformål med og budskaber i den tilsynsførendes udtalelse: — For det første gennemgår den tilsynsførende henstillingen: Han bifalder henstillingen som et første skridt, understreger dens positive aspekter, men kritiserer dens mangler, herunder utilstrækkelig præcision. — For det andet beklager den tilsynsførende, at henstillingen ikke indeholder mere specifik og praktisk vejledning om databeskyttelse, og mener, at der kan gives en vis vejledning i modellen for konsekvensanalyser for databeskyttelse, som er under udarbejdelse. Den tilsynsførende fremlægger derfor en række målrettede anbefalinger til modellen. — For det tredje opfordrer den tilsynsførende Kommissionen til at tage stilling til, om der ud over vedtagelsen af henstillingen og godkendelsen af modellen er behov for yderligere lovgivning på EU-plan og fremsætter en række målrettede anbefalinger til eventuel lovgivning.

10. På baggrund af disse målsætninger er udtalelsen struktureret som følger: — Afsnit 2 indeholder en kort introduktion af begreberne »intelligente målere« og »intelligente net« og gør rede for de betænkeligheder af databeskyttelsesmæssig art, de giver anledning til. — Afsnit 3 indeholder generelle bemærkninger til Kommissionens tilgang i henstillingen, drøfter behovet for eventuel yderligere lovgivning og fremlægger anbefalinger til denne eventuelle nye lovgivning. — I afsnit 4 beskrives nogle af de centrale områder, der efter den tilsynsførendes mening burde have været behandlet mere specifikt i henstillingen. Nogle af disse anbefalinger kan også tjene som vejledning for nationale eller europæiske lovgivere i deres overvejelser om yderligere regulerende eller lovgivningsmæssige initiativer. Andre kan behandles i den model for konsekvensanalyser for databeskyttelse, der skal udvikles. — Afsnit 5 indeholder et par målrettede anbefalinger vedrørende metoden til konsekvensanalyser for databeskyttelse og om indholdet af den model, der skal udarbejdes. Disse anbefalinger bør læses i sammenhæng med afsnit 4.

6. Konklusioner

68. Indførelse af intelligente målesystemer i Europa kan bibringe store fordele, men skaber også store risici for beskyttelsen af personoplysninger. Det muliggør massiv indsamling af personoplysninger fra europæiske husholdninger og kan betyde, at man kan spore, hvad medlemmerne af en husholdning gør i deres eget hjem. I lyset af disse risici bifalder den tilsynsførende Kommissionens bestræbelser i henstillingen på at vejlede medlemsstaterne om de foranstaltninger, der bør træffes for at sikre, at intelligente målersystemer og intelligente net udformes og anvendes under hensyntagen til tilstrækkelige beskyttelsesforanstaltninger.

69. Den tilsynsførende bifalder Kommissionens bestræbelser på at udnytte nyligt foreslåede begreber såsom indbygget databeskyttelse og praktiske redskaber såsom konsekvensanalyser for databeskyttelse og underretninger om brud på datasikkerheden. Navnlig tilslutter den tilsynsførende sig Kommissionens plan om at udarbejde en model for konsekvensanalyser for databeskyttelse og indsende den til Artikel 29-Gruppen med henblik på rådgivning.

70. Den tilsynsførende beklager, at der ikke er mere specifik og mere praktisk vejledning om databeskyttelse i henstillingen. Han mener dog, at der stadig kan gives en vis vejledning i den model, der er under udarbejdelse. Udtalelsen indeholder derfor anbefalinger til modellen, og den tilsynsførende understreger, at modellen skal indeholde specifik, praktisk vejledning i form af eksempler på god praksis og »bedste tilgængelige teknikker«. Det er også vigtigt, at modellen er udarbejdet efter en fornuftig metode og tydeligt underlægger enhver risiko tilstrækkelig kontrol.

71. Desuden opfordrer den tilsynsførende i udtalelsen Kommissionen til at vurdere, om der er behov for yderligere lovgivningsmæssige initiativer på EU-plan og fremlægger anbefalinger til sådanne initiativer. Nogle af disse anbefalinger kan allerede gennemføres med en ændring af direktivet om energieffektivitet, der er til behandling i Rådet og Parlamentet. Disse bør mindst omfatte et obligatorisk krav til registeransvarlige om at gennemføre en konsekvensanalyse for databeskyttelse og en pligt til at anmelde brud på datasikkerheden (afsnit 4.7).

72. Desuden anbefaler den tilsynsførende følgende: — Mere vejledning om retsgrundlaget for behandlingen og valgmuligheder for registrerede. Navnlig en klar sondring mellem formål med behandling af data om energiforbrug uden forbrugerens samtykke og formål, der kræver forbrugerens samtykke (afsnit 4.2). — Obligatorisk anvendelse af teknologier til beskyttelse af privatlivet og andre »bedste tilgængelige teknikker« til dataminimering (afsnit 4.3). — Afklaring af roller og ansvar for de forskellige aktører henset til databeskyttelse (afsnit 4.4). — Mere vejledning om lagringsperioder. I princippet bør lagring af detaljerede forbrugsdata for enkeltstående husholdninger kun være tilladt til udgangen af den periode, inden for hvilken det er lovligt at anfægte regningen eller betalingen, og kun ned til det detailniveau, der er nødvendigt af hensyn til regningens udarbejdelse (med forbehold for forbrugerens ret til længere lagringsperiode baseret på samtykke, f.eks. for at få målrettet energirådgivning (afsnit 4.5) — Forbrugernes direkte adgang til oplysninger om deres energiforbrug og effektive metoder til at informere registrerede om behandling af deres data. Dette bør i tilfælde af dataminering omfatte formidling af individuelle profiler og eventuelle algoritmer anvendt til dataminering. Der bør også afgives omfattende oplysninger om eksistensen af en fjernstyret tænd-sluk-funktion (afsnit 4.6).

Udfærdiget i Bruxelles, den 8. juni 2012. Giovanni BUTTARELLI Europæisk assisterende tilsynsførende for databeskyttelse

(1) KOM(2012) 1342 endelig.

(2) En kort introduktion til intelligente målere og intelligente net findes i nedenstående afsnit 2.1.

(3) Analysen af indførelsen og omkostninger/fordele er et krav under i) direktiv 2009/72/EF om fælles regler for det indre marked for elektricitet og om ophævelse af direktiv 2003/54/EF (EUT L 211 af 14.8.2009, s. 55) og ii) direktiv 2009/73/EF om fælles regler for det indre marked for naturgas (EUT L 211 af 14.8.2009, s. 94). Kommissionens forslag til direktiv om energieffektivitet (KOM(2011) 370 endelig) (»forslaget om energieffektivitet«), der er til drøftelse hos lovgiverne, omfatter yderligere bestemmelser om intelligente målersystemer.

(4) Med hensyn til konsekvensanalyser vedrørende databeskyttelse skal det bemærkes, at Kommissionen i sit forslag til reviderede generelle rammer for databeskyttelse planlægger at gøre konsekvensanalyser af databeskyttelse obligatorisk i visse situationer og udgive yderligere vejledning om, hvordan sådanne konsekvensanalyser skal gennemføres. Se artikel 33 i Kommissionens forslag til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (generel forordning om databeskyttelse (KOM(2012) 11 endelig). Se også punkt 200-205 i den tilsynsførendes udtalelse om datareformpakken, der kan ses på http://www.edps.europa.eu/EDPSWEB/edps/Consultation/Reform_package;jsessionid=46ACCFDB9005EB950DF9C7D58BDE5377

(5) Se punkt 5 i henstillingen.

(6) Der kan findes flere oplysninger om taskforcens og ekspertgruppe 2's arbejde på taskforcens websted på http://ec.europa.eu/energy/gas_electricity/smartgrids/taskforce_en.htm

(7) Se http://ec.europa.eu/information_society/policy/rfid/documents/infso-2011-00068.pdf og http://cordis.europa.eu/fp7/ict/enet/documents/rfid-pia-framework-a29wp-opinion-11-02-2011_en.pdf

(8) Det skal bemærkes, at der på nuværende tidspunkt ikke foreligger nogen evaluering af effektiviteten af denne soft law-tilgang på RFID-området, og der foreligger heller ingen oplysninger om denne tilgangs effektivitet generelt.

(9) Den tilsynsførendes brev af 27. oktober 2011 til Günther H. Oettinger, kommissær med ansvar for energi, om et forslag til Europa-Parlamentets og Rådets direktiv om energieffektivitet og om ophævelse af direktiv 2004/8/EF og 2006/32/EF, der kan findes på http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comments/2011/11-10-27_Letter_Oettinger_EN.pdf