Personal Data Processing and Privacy in the Norwegian Power Grid

Abstract

Det norske strømnettet utvikler seg i retningen av et smart strømnett (smart grid) gjennom introduksjonen av smarte strømmålere og andre smarte digitale enheter. Mer enn 97% av norske hjem har fått installert smarte strømmålere og det blir stadig mer vanlig at husholdnings apparater har en grad av digital smarthet. Dette innebærer at det genereres og smales inn store mengder data fra disse enhetene. Når denne dataen blir knyttet opp mot en person er den å regne som persondata etter Personvernforordningen (GDPR), og må overholde den for at behandlingen skal være lovlig.

Samtidig er strømnettet underlagt lovgivning som skal sikre av nettet driftes på en trygg og samfunnsmessig rasjonell måte. I nyere tid har det kommer endringer i denne lovgivningen som ønsker å gjøre strømnettet mer effektivt gjennom å introdusere og ta i bruk ny teknologi. Dette innebærer krav som utløser behandling av persondata. Denne behandlingen møter ikke nødvendigvis kravene i GDPR og kan skape personvernutfordringer.

Denne masteroppgaven har sett på hvordan behandlingsansvarlige i det norske strømnettet har tilpasset seg GDPR og lovgivningen for strømnettet når det kommer til behandling av persondata i strømnettet, og hvilke personvernutfordringer som eksisterer i nettet i dag. Datainnsamlingen er gjort gjennom en litteraturstudie og en spørreundersøkelse sendt til behandlingsansvarlige og databehandlere i det norske strømnettet. Oppgaven avdekker hvem som er behandlingsansvarlig for de ulike typene persondata som behandles i strømnettet. Dette har blitt visualiser i to modeller hvor en viser dages situasjon og den andre viser en ønsket situasjon.

Det er avdekket flere personvernutfordringer med dagens organisering og situasjon. Den mest alvorlige av disse er at utleiere i noen tilfeller har tilgang til leieboernes persondata i form av forbruks data fra smarte strømmålere lagret i Elhub.

Smart meters and other smart digital devices are facilitating the transition of the Norwegian power grid towards becoming a smart grid. This transition has already started with smart meters being installed more than 97% of Norwegian homes and appliances with computational intelligence becoming more common. These smart meters and other digital devices are processing large amounts of data that become personal data when they are tied to the persons living in the home. Since it is personal data the processing of the data is subject to the general data protection regulation (GDPR), and any processing must comply with this regulation to be legal.

At the same time, the power grid is subject to legislation intended to make the grid operate in a safe and rational manner to the benefit of society. Recent changes in the regulations for the power grid seek to make it more efficient and take advantage of new technology like smart meters, but also require processing of personal data. These processing requirements does not necessarily comply with GDPR requirements and may be the cause for privacy challenges.

This thesis has investigated how data controllers in the Norwegian power gird have organized with regards to processing of personal data, and what privacy challenges arise from this. The thesis gathered data through a literature review and a questionnaire sent to actors in the Norwegian power grid. The thesis has discovered who are the data controllers for different personal data in the grid, and on what grounds they process this data. This is visualized in two models showing the current and ideal state in the Norwegian power grid with regards to personal data processing, and who has the controller role.

The thesis uncovers several privacy challenges with regards to GDPR compliance. The most serious violation is that landlords in some cases have access to their tenants’ personal data through access to smart meter consumption data in Elhub.