Allmänna avtalsvillkorens GDPR-uppdatering fördröjd

Ett förslag till uppdaterad personuppgiftsbestämmelse för avtalsvillkoren som rör konsumenter remitterades till medlemmar i Energiföretagens råd och regionala nätverk under december 2017. I slutet av januari 2018 lämnades förslaget över till Konsumentverket. Energibranschens avtalsvillkor är först ut i myndighetens revidering av branschöverenskommelser till följd av GDPR. Myndigheten har nyligen återkommit med att man behöver mer tid för att utreda hur vissa begrepp i den nya förordningen ska tolkas.

Energiföretagen har också varit i kontakt med Ei för att hantera frågan om ett metodgodkännande avseende elnätsvillkoren. Ei kommer att hantera detta i samråd med Energiföretagen inom en tämligen kort tidsperiod.

Energiföretagens mål är givetvis att i första hand nå en överenskommelse om uppdaterade villkor så snart som möjligt – både avseende kunder som är konsumenter och kunder som är näringsidkare. Om det inte är möjligt kommer föreningen att lämna en rekommendation till sina medlemsföretag om vilken information företagen lämpligtvis bör lämna till kunderna om personuppgiftshanteringen. Färdigställd personuppgiftsbestämmelse alternativt rekommendation från Energiföretagen kommer att lämnas till medlemsföretagen senast den 23 april.

Vid dataskyddsförordningens ikraftträdande den 25 maj måste kunderna ha fått information om hur deras personuppgifter hanteras oavsett om personuppgiftsbestämmelsen i avtalsvillkoren är uppdaterad eller ej vid det laget. Den frist på två månader som anges i samtliga villkor mellan att kunderna får information om ändringar till dess bestämmelserna träder i kraft kommer på grund av tidsbrist inte att kunna följas. Detta saknar i den här situationen i princip betydelse då kravet på information om personuppgiftshanteringen följer av förordning.

Oavsett vilket av de två alternativen det blir kommer företagen behöva komplettera den allmänna skrivningen från avtalsvillkoren/rekommendationen med företagsspecifik information. Dataskyddsförordningen ställer krav på att personuppgiftsansvariga till sina kunder lämnar information om identitet och kontaktuppgifter för den personuppgiftsansvarige respektive i förekommande fall dataskyddsombudet, eventuell överföring av personuppgifter till land utanför EU/EES, hur länge personuppgifterna sparas samt eventuell förekomst av automatiserat beslutsfattande.