Elhub Sluttbrukers tilgang til egne data gitt effektivt markedsdesign og personvern Versjon 1, 06. mars 2014 Oppdraget fra NVE; utrede personvern, informasjonstilgang og tilgangskontroll i Elhub Side 1 Versjon 1, 06. mars 2014
Innhold 1. Mandat og prosess... 3 2. Forutsetninger... 4 3. Løsningsforslag... 5 4. Evaluering av løsninger... 8 5. Møte med bransjeaktører... 11 6. Anbefalt løsning... 11 7. Innkomne kommentarer og innspill til 4/3-2014... 12 Side 2 Versjon 1, 06. mars 2014
1. Mandat og prosess I oppdragsbrevet fra NVE til Statnett 28.05-2013, skriver NVE følgende: NVE forutsetter at sluttbruker skal ha kontroll på hvem som har tilgang til data i datahuben. Prosjektet bør derfor utrede konsekvenser for personvern ved innføring av datahub og vurdere hensiktsmessige kompenserende tiltak for å ivareta personvernhensyn i datahuben. Utredningen bør vurdere hvordan sluttbruker skal få tilgang til måleverdier og andre opplysninger om sluttbrukeren i datahuben og kontrollere hvem som har tilgang til disse dataene. Dette dokumentet utgjør utredningen knyttet til den delen av løsningen som går på hvordan sluttbruker skal få adgang til måleverdier og andre opplysninger om sluttbrukeren i datahuben og kontrollere hvem som har tilgang til disse dataene. Prosessen for denne utredningen er som følgende: 1. Elhub prosjektet diskuterer ulike løsningsforslag med ekspertgruppen Kundeadministrasjon. 2. Prosjektet utarbeider et notat som beskriver ulike løsninger og deres fordeler og ulemper. 3. Et utvalg fra bransjerådet inviteres til en workshop for å diskutere preferert løsning. 4. Prosjektet ferdigstiller utredning og anbefalt løsning til NVE inklusiv innspill fra bransjen. Side 3 Versjon 1, 06. mars 2014
2. Forutsetninger Ved innføring av AMS og Elhub vil følgende bli lagt til grunn: Løsningen skal være enkel og forståelig for forbrukeren. Nettselskap og Elhub vil lagre kundedata og tilhørende måleverdier uten eksplisitt fullmakt fra sluttbruker. Dette blir regulert gjennom forskrifter og nettleiekontrakt. Kraftleverandør vil lagre kundedata og tilhørende måleverdier etter fullmakt fra sluttbruker. Dette blir regulert gjennom avtale mellom kraftleverandør og sluttbruker og kan være en bransjestandard. En kraftleverandør skal ikke ha innsyn i hvilke andre kraftleverandører kunden har, med mindre kunden har gitt fullmakt til dette. En løsning må dekke kravene i personvernloven og tilhørende forskrifter (se forøvrig vedlegg). Relevante krav innebærer: o Sluttbruker har rett til å bli informert om innsamling og bruk av personopplysninger. o Sluttbruker har rett til kostnadsfritt å få innsyn i de opplysninger som er registrert og skal også gis mulighet til å få slettet eller korrigert opplysninger som er feilaktige eller misvisende. o Sluttbruker har rett til å få en manuell vurdering av avgjørelser som fullt ut er basert på automatisert behandling av personopplysninger, dersom den avgjørelse som tas er av vesentlig betydning for sluttbruker. o Sluttbruker har rett til å få en manuell vurdering av avgjørelser som fullt ut er basert på automatisert behandling av personopplysninger, dersom den avgjørelse som tas er av vesentlig betydning for sluttbruker. o Aggregert sluttbrukerforbruk på mere en 5 husstander ansees ikke som personinformasjon, f.eks. sum forbruk i et nettområde eller i en bydel. Kravene til personvern gjelder privatkunder og ikke næringskunder. Kraftleverandører og tredjepartsleverandører vil gjennom avtale med Elhub (bruksvilkår), ha tilgang til sluttbrukers målepunkt-id gjennom oppslag tilsvarende dagens NUBIX løsning. For å få tilgang til sluttbrukers måledata, må kraft- og tredjeparts leverandører ha fullmakt fra sluttbruker (typisk som en del av standardkontrakten). Her må det reguleres hvilke historiske data tilgangen omfatter, f.eks. data fra forrige kraftleverandør og data for andre målepunkt (når kunden har flyttet). Sluttbruker skal ha mulighet til påvirke hvem som har tilgang til måleverdier og hvordan tilgangen trekkes tilbake. Dagens forskrift, hvor netteier er forpliktet til å gi sluttbruker tilgang til egne data, vil bli endret slik at plikten ligger på Elhub. Netteier vil fortsatt ha ansvar for innhenting og oppdatering av målerverdier i Elhub, og grunndatainformasjon om måler og anleggsadresse. Kraftleverandør vil ha ansvar for kundeinformasjon som f.eks. fakturaadresse og balanseansvarlig for målepunktet. Elhubs målerverdilagring er 3år på timesoppløsning (forskriftsstyrt). Kraftleverandører og tredjeparter kan lagre måleverdier for lengre periode etter avtale med sluttbruker. Tredjepartsleverandører må ha funksjonalitet for å registrere at det er gitt tilgang til måledata, enten via BRS eller som funksjonalitet i tilgangsapplikasjonen. All forespørsel på målepunkt og hvem som har fått tilgang må loggføres av Elhub. Side 4 Versjon 1, 06. mars 2014
3. Løsningsforslag En systemløsning vil måtte inneholde følgende hovedelementer: Tilgangskontroll o Det må eksistere en funksjon for å gi sluttbruker tilgang til sine måleverdier. Tilgangskontroll må ivareta datasikkerhet og sluttbrukerens integritet. Visning av informasjon o Sluttbruker må presenteres for sine måleverdier. Nedlasting av informasjon på standardisert format o Sluttbruker må ha mulighet til å laste ned sine måleverdier på et standardisert elektronisk format, f.eks. predefinert csv format. Det er flere mulige løsninger og vi vil i det følgende presentere tre alternativer som vi anser som mest relevante. Alternativ 1 Alternativ 1 er skissert nedenfor: Sluttbruker får tilgang til egne data via sin aktive kraftleverandør og eventuell tredjepartsleverandør for de målepunktene de respektive avtalene gjelder for. Dersom sluttbruker har flere kraftleverandører kan han eller hun velge å gi fullmakt til sine måleverdier på tvers av disse, f.eks. at kraftleverandør A får tilgang til måleverdier på et målepunkt som kraftleverandører B har kraftleveranse på. Kraft- og tredjepartsleverandører har tilgang til måleverdier gjennom andre forretningsprosesser mot Elhub. Leverandørene har da sine egne grensesnitt mot sluttbrukeren som oppfyller kravene i kapittel 2 ovenfor. Tilgangskontroll blir administrert mellom sluttbruker og den enkelte leverandør som er gitt fullmakt. Sluttbruker må således selv holde rede på hvilke leverandører som har tilgang til sine data. Side 5 Versjon 1, 06. mars 2014
Sluttbruker kan/bør ikke få tilgang til all informasjon i Elhub, f.eks. hvilke leverandører han har på andre målepunkt, evt. hvilke leverandører han har hatt. Sluttbruker må henvende seg direkte til Elhub for å få vite all informasjon som Elhub har om han/henne. Dette vil prosesseres gjennom en egen rutine, f.eks. gjennom et elektronisk skjema som ligger på Elhub sine hjemmesider. Det vil bli en utfordring å gjøre sluttbruker kjent med denne muligheten. Alternativ 2 Alternativ 2 er skissert nedenfor: Elhub tilbyr en web løsning hvor sluttbruker kan logge seg inn, uavhengig av sin kraftleverandør, og få tilgang til alle opplysninger om seg selv, sine kraftleverandører og sine måleverdier. Som et minimum må Elhub kunne formidle data som en sluttkunde kan kreve i henhold til personvernlovgivning. Sluttbruker kan i denne løsningen administrere tilganger direkte i Elhub for egne målepunkter. F.eks. fjerne tilgang til målerverdier for de leverandører som ikke er nåværende kraftleverandør på målepunktet. Kraftleverandørene eller tredjepart har sine egne grensesnitt mot kunden og tilbyr således informasjon om kundeforholdet inklusiv måleverdier på den måte de selv måtte ønske. De må imidlertid opplyse kunden om muligheten til å logge seg på Elhub direkte via Elhubs hjemmeside. Det vil bli en utfordring å gjøre sluttbruker kjent med muligheten til å logge seg på Elhub direkte via Elhubs hjemmeside. Side 6 Versjon 1, 06. mars 2014
Alternativ 3 Alternativ 3 er skissert nedenfor: Kraftleverandøren eller tredjepart tilbyr sluttbrukeren informasjon om måleverdier som i alternativ 1. Elhub tilbyr alle kraftleverandører en "WEB Plug-In" for tilgangskontroll og visning av grunndata, som kraftleverandøren er forpliktet til å integrere i sine hjemmesider. Gjennom denne "WEB Plug-in" kan sluttbrukeren logge seg på og få tilgang til de faste data som Elhub har lagret, blant annet alle kraftleverandører som han/hun har gitt tilgang til sine data. Sluttbrukeren kan da kansellere tilgang til leverandører hvis forretningsprosessen tillater det, f.eks. dersom kraftleverandøren ikke er nåværende kraftleverandør på målepunktet. Tredjepartsleverandører vil også kunne integrere "Web Plug-in" i sinne hjemmesider, men da på frivillig basis. Sluttbruker henvender seg først og fremst til kraftleverandør eller tredjepartsleverandør, men kan henvende seg direkte til Elhub for å få vite all informasjon som Elhub har om han/henne. Dette vil skje gjennom en egen rutine, f.eks. gjennom et elektronisk skjema som ligger på Elhub sine hjemmesider. Det bør skilles mellom privatkunder og bedriftskunder i løsningen, der bedriftskunder må ha støtte for enkelt å administrere multiple fullmakter i en avtale. Side 7 Versjon 1, 06. mars 2014
4. Evaluering av løsninger Tabellen nedenfor lister opp fordeler og ulemper med de alternative løsninger. Alternativ Fordeler Ulemper Alt. 1 Sluttbruker skal bare forholde seg til sin kraftleverandør. Kraftleverandørene / tredje part har full kontroll på informasjonsflyten til sluttbruker. Ingen on-line sluttbrukeradministrasjon i Elhub. Ingen direkte grensesnitt fra Elhub mot sluttbruker, unngår slike problemstillinger rundt autorisasjon og sikkerhet. Ingen ekstra grensesnitt mot Elhub for måleverdiuthenting, bruker standard markedsprosess. Presentasjon av måleverdier blir et konkurranseelement. Sluttbruker med flere forskjellige kraftleverandører må henvende seg til de individuelle kraftleverandører for å få tilgang til egne måleverdier. Sluttbruker har ingen elektronisk oversikt over og kan ikke styre hvem han/hun gitt fullmakt til og om disse har tilgang etter endt kundeforhold. Kraftleverandører må "reguleres" slik at de oppfyller en minimums regulert informasjonsplikt ovenfor kunden. Kraftleverandør må forplikte seg til å ha fullmakt til å innhente historiske måleverdier utover nåværende leverandørforhold i sine avtaler. Vanskeligere å overvåke markedet i forhold til aktørenes adferd. Alt. 2 Sluttbruker kan forholde seg til en kraftleverandør eller tredjepart for måleverdiinformasjon og presentasjon. Sluttbruker får tilgang til alle egne måledata, uavhengig av kraftleverandør, tid og antall målepunkter i eie. Enklere for sluttbruker å følge opp fullmakter gitt til kraftleverandør/tredjepart siden dette ligger i Elhub. Enklere for tredjeparter, da disse forholder seg direkte til Elhub, slik som kraftleverandørene gjør. Enklere å implementere overstyring for å stenge ute useriøse aktører. Presentasjon av måleverdier blir et konkurranseelement. Mer funksjonalitet i Elhub. Sluttbruker må bruke godkjent autorisasjonsmetode som Min-ID, Bank-ID eller lignende for å logge seg på Elhub, men dette gir også bedre sporbarhet og kontroll. Ekstra funksjonalitet må lages i Elhub for å oversende måleverdier på målepunkter utover de som kraftleverandøren har leveranseavtale for. Elhub får indirekte et større supportansvar for alle sluttbrukere. Sluttbruker må aktivt gi tilgang til at kraftleverandør eller tredjepart får utlevert/lest målerverdier som det ikke allerede er avtale for. Alt. 3 Sluttbruker kan forholde seg til en kraftleverandør eller tredjepart for Mer funksjonalitet i Elhub. Sluttbruker må bruke godkjent autorisasjonsmetode som Min-ID, Side 8 Versjon 1, 06. mars 2014
måleverdiinformasjon og presentasjon. Høyere sikkerhet ved innføring av autorisasjonsmetode som f.eks. Min-ID. Enklere for sluttbruker å følge opp fullmakter gitt til kraftleverandør/tredjepart siden dette ligger i Elhub. Enklere for tredjeparter, da disse forholder seg direkte til Elhub, slik som kraftleverandørene gjør. Enklere å implementere overstyring for å stenge ute useriøse aktører. Presentasjon av måleverdier blir et konkurranseelement. Bank-ID el. lignende for å logge seg på Elhub, men dette gir også bedre sporbarhet og kontroll. Ekstra funksjonalitet må lages i Elhub for å oversende måleverdier på målepunkter utover de som kraftleverandøren har leveranseavtale for. Elhub får indirekte et større supportansvar for alle sluttbrukere. Sluttbruker må aktivt gi tilgang til at kraftleverandør eller tredjepart får utlevert/lest målerverdier som det ikke allerede er avtale for. For å diskutere hvilken løsning som er best er det hensiktsmessig å sette opp kriterier for hva en god løsning bør oppfylle: Personvern Strømforbruk er persondata og således gjenstand for personvernlovgivningen. Dataene skal ikke komme på avveie og kunden må ha reell styring på hvem som skal ha tilgang til disse dataene utover nettselskap, Elhub og til enhver tid gjeldende strømleverandør. Enkel tilgang til egne data for sluttbruker Kunden eier sine egne måledata og skal ha enkel tilgang til disse. Dette inkluderer at all historikk er tilgjengelig og uavhengig av kraftleverandør og antall målepunkt (forbrukssteder). Videre må det være enkelt for kunden å forstå hvordan han/hun får tilgang og gir tilgang til kraftleverandør og tredjepart. Leverandørsentrisk markedsmodell Sluttbruker bør i så stor grad som mulig ha kun et kontaktpunkt i forhold til sin strømleveranse. Utvikling og konkurranse om nye tjenester Flest mulig produkter og tjenester i strømmarkedet bør konkurranseutsattes. Nye innovative tjenester og løsninger vil kunne bli utviklet, som f.eks. intuitiv og god presentasjon av forbruk, energirådgivning, og valg av optimal kraftleverandør i.f.t. energiforbruk. Kraftleverandører skal kunne konkurrere på like vilkår for å levere disse tjenestene. Kostnadseffektive løsninger De ulike alternativene vil representere ulike kostander og må således tas med disse i vurderingene. De forskjellige sikkerhets-, og applikasjonsløsninger har følgende kostnadsprofiler: Side 9 Versjon 1, 06. mars 2014
Alt.1: Ingen merkostnad for Elhub eller kraftleverandørene utover det som uansett vil medfølge. Alt.2: Merkostnad for Elhub på ca. 8-10 MNOK ved å implementere webløsningen. Videre må løsningen opplyses om både fra sentralt hold og fra hver kraftleverandør. Mulig opplysningen må med på fakturaen som en standardopplysning, på tilsvarende måte som informasjon om varedeklarasjon. Alt.3: Merkostnad for Elhub på ca. 6-8 MNOK ved å implementere WEB Plug-in løsningene. Videre må alle kraftleverandører inkludere denne i sine hjemmesider, men dette siste vil utgjøre en lav kostnad ved moderne web plattformer (støtte for "iframe"). I diskusjon av mulige løsninger vil disse kriteriene legges til grunn. Tabellen nedenfor vurderer alternativene opp mot kriteriene: Side 10 Versjon 1, 06. mars 2014
5. Møte med bransjeaktører Workshop ble avholdt 18. februar 2014 i Statnetts lokaler N33. Følgende deltok i møtet: Petter Sandøy (BKK) Arnstein Flaskerud (Fjordkraft) Eilert Henriksen (FEAS) Frode Otnes (Hafslund Strøm) Magnus Olsen (Lyse Marked) Hans Petter Andersen (Agder Energi) Karl Magnus Ellinggaard, observatør (NVE) Ole Haugen (Energi Norge) Kristin Lind (KS Bedrift) Arvid Bekjorden (DEFO) Tor B. Heiberg (Statnett) Jan M. Strand (Statnett) De ulike alternativer ble diskutert i møtet og det ble konsensus om at alternativ 3, som beskrevet ovenfor, var det beste alternativ. Videre prosess ble avtalt og er følgende: 1. Dokumentet justeres med innspill fra dette møtet, ferdig 21/02-2014 2. Ny versjon av dokumentet sendes ut 21/02-2014, med svarfrist 4/3-2014 3. Dokument oppdateres og sendes til NVE med ev. vedlegg, 7/3-2014 I etterkant kom det inn forslag til justeringer som vi har valgt å legge i kapittel 7. 6. Anbefalt løsning Bransjen har diskutert alternativene og har anbefalt løsningsalternativ 3 Side 11 Versjon 1, 06. mars 2014
7. Innkomne kommentarer og innspill til 4/3-2014 I arbeidet med de forskjellige alternativene, så har workshopmedlemmene levert innspill til utredningen. Noen er implementert i kapitlene over. Alle skriftlige innspill er som følger: Fjordkraft (Arnstein Flaskerud) Pkt. 2 forutsetninger Kommentar til tredje kulepunkt: Andre parts tilgang til data er helt fundamentalt for at markedet skal kunne fungere. Vi tenker at kraftleverandørs rett til å motta og lagre data knyttet til leverandørrollen må være regulert gjennom forskrifter. Kraftleverandør har krav på måleverdier for å kunne levere strøm til kunden (ref. dagens forskrift 3.7 og 3.8). Det er nødvendig at strømleverandør lagrer kundedata og måleverdier i forbindelse med anmelding og avregning av kraftkjøp, sluttbrukeravregning og sluttbrukerfakturering. I tillegg har kraftleverandør behov for nevnte data i forbindelse med prosesser som oppstart, avslutning, flytting og leverandørbytter. Ut over dette vil det være aktuelt å be om fullmakt for lagring av data som ønskes benyttet til andre tjenester gjerne ved en standardavtale for bransjen. Pkt. 3 Alternativ 3 Figuren er bra, men kan bli enda tydeligere på at kunden først logger seg på hos kraftleverandøren (evt. tredjepart) se forslag til forenkling og tydeliggjøring av figuren. Det må også presiseres at Elhub ikke skal levere måledata direkte til kunden. Dersom kraftleverandøren benytter sikker identifisering (Min-ID, Bank-ID ) bør det ikke være nødvendig at kunden må identifisere seg en gang til for å få tilgang til fullmaktskontroll og grunndataoppslag i Elhub. Side 12 Versjon 1, 06. mars 2014
Agder Energi (Hans Petter Andersen) Arnstein har kommet med noen kommentarer som jeg kan slutte meg til. Forøvrig: Under pkt. 2. Forutsetninger Syvende kulepunkt om bruksvilkår. Bør det være en knytning om automatisk tilgang til data gjennom omsetningskonsesjonen for kraftleverandører og at tredjeparter håndteres som beskrevet? Bør det stå skrevet her at det er en forutsetning om at det har en pris å være tilknyttet Elhub? (I Danmark er det ingen betaling, men man har en godkjenningsordning (så vidt jeg har forstått). Nest siste kulepunkt klarte jeg ikke å tolke, men hvis vi får inn HA er det ok Tredjeparts leverandører må HA funksjonalitet for å registrere at det er gitt tilgang til måledata, enten via BRS eller som funksjonalitet i tilgangsapplikasjonen. Under pkt. 4 Alternativ 2: Første kulepunkt. Det er bare presentasjon av den spesifikke kraftleverandørens leveranser som presentere i denne løsningen. (Se på formuleringen, kanskje den bør tas ut) Pkt. 6. Anbefaling Vi bør ha med en presisering om at tilgang til Elhub forutsetter omsetningskonsesjon/avtale. Lyse (Magnus K. Olsen) Jeg støtter innspill fra Arnstein og har i tillegg følgende kommentarer: Pkt. 2 Forutsetning 4 siste punkt. Dagens forskrift hvor netteier er forpliktet til å gi sluttbruker tilgang til egne data, vil bli endret slik at plikten ligger på Elhub. Netteier vil fortsatt ha ansvar for innhenting og oppdatering av målerverdier i Elhub, og grunndatainformasjon om måler og anleggsadresse. Kraftleverandør vil ha ansvar for kundeinformasjon som f.eks. fakturaadresse og balanseansvarlig for målepunktet. Forslag til ny tekst Dagens forskrift hvor netteier er forpliktet til å gi sluttbruker tilgang til egne data, vil bli endret slik at plikten for å gjøre måleverdier tilgjengelig for kraftleverandør ligger på Elhub. Netteier vil fortsatt ha ansvar for innhenting og oppdatering av målerverdier i Elhub, og grunndatainformasjon om måler og anleggsadresse. Kraftleverandør er ansvarlig for presentasjon/visning av måledata til kunde og vil ha ansvar for kundeinformasjon som f.eks. juridisk ansvarlig, kontaktperson(er), fakturaadresse og balanseansvarlig for målepunktet. Side 13 Versjon 1, 06. mars 2014
I tillegg har kraftleverandør ansvar for å formidle nettleie priser knyttet til det enkelte målepunkt (leveransepunkt) (forutsetter at pris elementene ligger tilgjengelig i elhub (pr målepunkt). Dette betyr at krav og plikter til kraftleverandør må inn i konsesjonsvilkårene eventuelt reguleres. Pkt. 3 Alternativ 2 Burde ikke siste setning fra versjon 8 beholdes? "Det vil bli en utfordring å gjøre sluttbrukere kjent med mulighetene" Side 14 Versjon 1, 06. mars 2014