Spesielle plikter for nettselskapet
- Rettslig grunnlag: Nettselskapet må ha rettslig grunnlag for å behandle personopplysninger, uten at det foreligger et rettslig grunnlag. Dette kan for eksempel være samtykke fra den registrerte (den som en personopplysning kan knyttes til).
- Informasjonsplikt: Den registrerte må få informasjon om behandlingen av personopplysningene slik at han forstår hva personvernkonsekvensene av å inngå avtalen er. Nettselskapet må gi informasjon om hvilke opplysninger som behandles, hvilke formål opplysningene behandles for, samt om opplysningene vil bli utlevert til andre og hvem som i så fall er mottaker.
Hvilke opplysninger kan nettselskapet behandle?
Nettselskapet kan behandle personopplysninger om strømforbruk og bare opplysninger som er nødvendige og relevante for å fastsette riktig pris på strømleveransen.
Det er av betydning hvilken prisavtale den enkelte abonnement har inngått med sitt nettselskap. Dersom det foreligger en avtale om fast pris, er det vanskelig for nettselskapet å hevde at de må behandle store mengder opplysninger om det løpende strømforbruket for faktureringsformål. Avlesningshyppigheten må derfor tilpasses avtalen.
Kunden har også rett på informasjon om målehyppigheten og begrunnelse slik som beskrevet over.
Generelle plikter for nettselskapet
1 Informasjonssikkerhet
Nettselskapet og eventuelle databehandlere skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger.
Nettselskapet skal sikre personopplysningene mot misbruk internt og eksternt, basert på en gjennomført risikovurdering. Det er den behandlingsansvarlige, ved å definere sikkerhetsmål og strategi, som gjennom sin utøvelse av internkontroll skal avgjøre hva som er et akseptabelt sikkerhetsnivå.
Den behandlingsansvarlige skal gjennom risikovurderingen sannsynliggjøre at tiltakene er tilstrekkelige. Sikkerhetsbestemmelsene i personopplysningsforskriften skal være oppfylt og dokumentert før behandling av personopplysninger igangsettes.
- Behandlingsansvarliges medarbeidere skal pålegges taushet for personopplysninger og annen informasjon med betydning for informasjonssikkerheten. Ansvars- og myndighetsforhold skal avklares.
- Medarbeidere hos behandlingsansvarlig skal bare bruke informasjonssystem og personopplysninger til pålagte oppgaver i henhold til registrert autorisasjon. Avvik herfra skal registreres og sikkerhetstiltak dokumenteres.
- Det skal foretas jevnlig sikkerhetsrevisjon. Denne skal dokumenteres, og avvik skal rapporteres og resultatet dokumenteres.
Les mer om informasjonssikkerhet
2 Internkontroll
Nettselskapet skal etablere og vedlikeholde planlagte og systematiske tiltak som er nødvendige for å oppfylle kravene personopplysningsloven ved å sikre personopplysningenes kvalitet. Tiltakene skal dokumenteres.
Dersom nettselskapet benytter underleverandører i sin behandling av personopplysninger, plikter nettselskapet å inngå en databehandleravtale
Les mer om internkontroll
3 Meldeplikt
Nettselskapet må melde fra om behandling av personopplysninger dersom behandlingen gjøres ved bruk av elektroniske hjelpemidler. Meldingen skal gis senest 30 dager før behandlingen tar til.
Nettselskapet trenger ikke melde fra til Datatilsynet dersom behandling av personopplysningene bare benyttes som ledd i administrasjon og gjennomføring av kontraktsforpliktelser.
4 Sletteplikt
Nettselskapet skal slette personopplysningene når det ikke lenger er nødvendig for fakturering. Det er forbudt å lagre unødvendige opplysninger.
Nettselskapet trenger ikke slette opplysningene dersom:
- opplysningene skal behandles for andre formål og den nye behandlingen har rettslig grunnlag
- det foreligger lovbestemt plikt til å oppbevare opplysningene, etter for eksempel regnskapslovgivningen
- videre behandling skjer i henhold til en avtale med abonnenten, og bare benyttes i tråd med denne avtalen
Dersom opplysningene ikke skal slettes, skal de oppbevares på en slik måte et de bare er tilgjengelig for skatteetaten eller andre kontrollmyndigheter. Informasjonen skal ikke benyttes til egne formål, med unntak for anonym statistikk.
Abonnentens rettigheter
- Innsynsrett: Abonnenten har rett til innsyn i alle personopplysninger nettselskapet har lagret om vedkommende slik som formålet, om personopplysningene er utlevert og til hvem og om sikkerhetstiltak ved behandlingen. Abonnenten kan også be om innsyn i andre opplysninger om seg selv.
- Retting: Nettselskapet rette opp uriktige opplysninger om abonnenten på eget initiativ eller etter ønske fra abonnenten.
- Sletting: Abonnenten kan kreve at opplysninger som er sterkt belastende for ham eller henne skal sperres eller slettes dersom dette ikke strider mot annen lov eller er forsvarlig ut fra en samlet vurdering av blant annet andres behov for dokumentasjon.