# Data Protection Impact Assessment: Wetsvoorstel implementatie EU Electricity Market Design - Type: Tools - Source: Ministerie van Klimaat en Groene Groei - Date: 2026-07-07 - Original: https://gegevensmagazijn.tweedekamer.nl/OData/v4/2.0/Document(9a6a723a-2aaa-4d99-bf2e-82baa6a69b8d)/resource - Canonical: https://overview.legal/posts/624028 - Topics: DPIA, Liability, Healthcare, Personal Data, Transparency, Processing, Criminal Data, Recipient, Public Authority, Certification ## Sections (25) ### ¶0 1 Data Protection Impact Assessment O nderwerp Wetsvoorstel implementatie EU Electricity Market Design Ministerie Klimaat en Groene Groei, Directie Energiemarkt Datum 30 januari 2025 Versie 4.0 2 3 1 Context wetsvoorstel 1.1 Algemeen Deze gegevensbeschermingseffectbeoordeling (hierna ook: DPIA) ziet op het wetsvoorstel waarmee het pakket aan Europese regels over het ’’Electricity Market Design” (hierna: EMD) wordt geïmplementeerd. Dit EMD-pakket richt zich op de hervorming van de Europese elektriciteitsmarkt. Concreet gaat het om implementatie van Richtlijn (EU) 2024/1711 van het Europees Parlement en de Raad van 13 juni 2024 tot wijziging van de Richtlijnen 2018/2001 en 2019/944 inzake het verbeteren van de opzet van de elektriciteitsmarkt van de Unie. Ook voorziet het wetsvoorstel in de noodzakelijke aanpassingen die volgen uit twee (wijzigings)verordeningen welke ook onderdeel uitmaken van het EMD-pakket: (1) Verordening 2024/1747 van het Europees Parlement en de Raad van 13 juni 2024 tot wijziging van Verordening 2019/942 1 (hierna: Acer-Verordening) en 2019/943 2 (Elektriciteitsverordening) wat betreft het Verbeteren van de opzet van de elektriciteitsmarkt van de Unie (hierna: EMD-Verordening). (2) Verordening 2024/1106 van het Europees Parlement en de Raad van 11 april 2024 tot wijziging van de Verordeningen 1227/2011 en 2019/942 wat de verbetering van de bescherming van de Unie tegen marktmanipulatie op de groothandelsmarkt voor energie betreft (wijzigingsverordening REMIT). 3 Implementatie van de EMD-richtlijn en uitvoering van genoemde wijzigingsverordeningen vindt voor het overgrote deel plaats in het voorstel van de Energiewet (hierna: Energiewet), waarin de huidige Elektriciteitswet 1998 en de Gaswet worden gemoderniseerd en samengevoegd in één nieuwe wet, alsmede EU-regelgeving wordt geïmplementeerd. 4 Het voorstel voor de Energiewet is 10 december 2024 aangenomen in de Eerste Kamer. 5 Daarnaast bevat het wetsvoorstel wijzigingen in de bepalingen inzake energiebelasting in de Wet belastingen op milieugrondslag en de Wet op de accijns in verband met energiedelen. > Topics: DPIA, Public Authority ### ¶1.2 Inhoud wetsvoorstel Het EMD-wetsvoorstel bevat bepalingen op het terrein van: (1) Consumentenbescherming (2) Energiedelen (3) Flexibiliteitstoepassingen in het elektriciteitssysteem (4) Versterking toezicht op de groothandelsmarkt voor energie (5) Leveringszekerheid ### ¶1.2.1 Consumentenbescherming Het wetsvoorstel bevat een bepaling die voorschrijft dat energieleveranciers die elektriciteit leveren hun eindafnemers moeten informeren over de mogelijkheden, kosten en risico's van het energiecontract (ongeacht welke vorm). Ook bevat het wetsvoorstel een bepaling die voorschrijft dat leveranciers beschikken over afdoende afdekking strategieën ten behoeve van de inkoop van hun energie. Bij de uitvoering van deze bepalingen worden geen persoonsgegevens uitgewisseld. 1 Verordening (EU) 2019/942 van het Europees Parlement en de Raad van 5 juni 2019 tot oprichting van een Agentschap van de Europese Unie voor de samenwerking tussen energieregulators (PbEU L 158/22). 2 Verordening (EU) 2019/943 van het Europees Parlement en de Raad van 5 juni 2019 betreffende de interne markt voor elektriciteit (PbEU L 158/54). 3 Engelse afkorting van: Regulation on wholesale Energy Market Integrity and Transparancy. 4 Regels over energiemarkten en energiesystemen, Kamerstuk 36378, A. 5 Energiewet (36.378) - Eerste Kamer der Staten-Generaal 4 Bij de uitvoering van de consumentenbepalingen is geen sprake van verwerking van persoonsgegevens. > Topics: Personal Data, Processing ### ¶1.2.2 Energiedelen Bij het delen van energie wordt energie overgedragen tussen eindafnemers. Er zijn eindafnemers die zelf energie opwekken maar deze niet altijd zelf gebruiken. Zij voeden deze energie in op het systeem. Tegelijkertijd zijn er afnemers die belangstelling hebben voor deze energie en bereid zijn om (een deel van) deze energie af te nemen. Energiedelen is beperkt tot het delen van duurzame elektriciteit. Het delen van energie is nu al mogelijk in Nederland, de Energiewet staat dit toe. Er is een aantal leveranciers die het delen van energie tussen afnemers die bij hen zijn aangesloten faciliteert. Voorwaarde hiervoor is wel dat zowel de energiegever als de energieontvanger klant zijn bij dezelfde leverancier. De gewijzigde Elektriciteitsrichtlijn geeft lidstaten de opdracht om ook energiedelen tussen afnemers van verschillende leveranciers mogelijk te maken. Dit wordt energiedelen met vrije leverancierskeuze genoemd. Deze vorm van energiedelen is opgenomen in het implementatiewetsvoorstel, en betekent dus een uitbreiding van het energiedelen zoals dat al mogelijk is op basis van de Energiewet. Energiedelen met vrije leverancierskeuze is administratief en procedureel meer complex, omdat het de inkoop- en balanceringsportefeuilles van verschillende marktdeelnemers raakt. De leverancier van de energieontvanger moet bijvoorbeeld inschatten hoeveel elektriciteit de energiegever (waarmee hij geen contractuele relatie heeft) per kwartier zal invoeden op het systeem. Bij energiedelen bij dezelfde leverancier zijn deze gegevens beschikbaar en maakt het voor de totale portefeuille van de leverancier niet uit hoeveel elektriciteit er wordt gedeeld. De elektriciteit die door de ene klant wordt ingevoed wordt door de andere klant afgenomen, dus netto verandert er niets voor deze leverancier. Hij hoeft dit alleen achteraf administratief te verwerken. Bij energiedelen tussen afnemers die klant zijn bij verschillende leveranciers is dit anders. De energiegever zal minder elektriciteit terugleveren aan zijn eigen leverancier, die hiermee dus rekening moet houden bij zijn totale inkoop van elektriciteit en de leverancier van de energieontvanger zal minder elektriciteit leveren en moet hiermee rekening houden bij zijn inkoop van elektriciteit. Marktpartijen nemen deze verwachting op in het balanceringsprogramma en kunnen bij afwijkingen tussen de opgegeven verwachting en de werkelijk geleverde of ingevoede hoeveelheden per onbalansverrekeningsperiode te maken krijgen met onbalanskosten. De bepalingen uit het EMD-wetsvoorstel zorgen ervoor dat de energiegever (invoeder) en de energieontvanger (afnemer) af kunnen spreken welk deel van de invoeding zal worden gedeeld. Zij moeten een overeenkomst sluiten waarin zij afspreken welk percentage van de invoeding van de energiegever per onbalansverrekingsperiode wordt gedeeld met (deze) energieontvanger. Vervolgens moet de overeenkomst en het daarin opgenomen percentage worden doorgegeven aan de systeembeheerder van de energiegevende partij, de partijen (actieve afnemers of energiegemeenschap die een overeenkomst voor energiedelen aangaan) wijzen hiervoor een contactpersoon aan. Ze kunnen ook besluiten om een organisator voor het energiedelen aan te wijzen. De energiegever en -nemer kunnen het overeengekomen percentage desgewenst aanpassen en moeten dit dan doorgeven aan de systeembeheerder. De systeembeheerder voorziet in een contactpunt ten behoeve van energiedelen. De systeembeheerder van de energiegevende partij registreert de overeenkomst en een aantal gegevens uit deze overeenkomst. Het zal hierbij onder meer gaan om gegevens van de aansluiting, contactgegevens van contractpartijen, het identificatienummer van de aansluiting (of het allocatiepunt), de geïnstalleerde capaciteit en de aard van de opwekinstallatie (bijv. zonnepanelen), de hoeveelheid elektriciteit die wordt ingevoed en de duur van de overeenkomst.. De systeembeheerder verzamelt en valideert de gegevens in verband met de gedeelde elektriciteit. De systeembeheerder verstrekt de berekende hoeveelheid gedeelde elektriciteit en de daarbij behorende verbruiks- en invoedgegevens na vaststelling aan de contactpersoon, leveranciers en de balanceringsverantwoordelijken voor elektriciteit die actief zijn op de betreffende allocatiepunten. 5 De verwerking van de gegevens zal plaatsvinden via het in de Energiewet geïntroduceerde herziene stelsel van gegevensuitwisseling waarin verschillende gegevensprocessen ten behoeve van een goede werking van de energiemarkt worden vastgelegd. De verdere specificatie (ook indien energiedelen plaatsvindt via een organisator) van de gegevens(verwerking) vindt plaats in het Energiebesluit en de Energieregeling. Bij het verstrekken van gegevens aan de systeembeheerder/leverancier(s) ten behoeve van het energiedelen gaat het an sich niet om een nieuw type gegevens. Immers, de benodigde gegevens zijn niet nieuw, energiedelen is al mogelijk onder de Energiewet. Als de leverancier van de energieontvanger een andere is dan die van de energiegever, worden die gegevens verstrekt aan de leverancier van de energiegever. Dit betreft derhalve ten opzichte van de Energiewet een uitbreiding van de gegevensverwerking. In deze DPIA wordt in paragraaf 3 en verder nader in gegaan op deze gegevensverwerking. > Topics: DPIA ### ¶1.2.3 Flexibiliteit in het elektriciteitssysteem Het wetsvoorstel bevat enkele bepalingen die systeembeheerders verplichten om informatie (criteria voor berekening) over de beschikbare capaciteit voor nieuwe aansluitingen in hun dekkingsgebieden te publiceren. De systeembeheerders dienen hierbij aan te geven of er in gebieden met congestie aansluitingen mogelijkheden zijn tot flexibele aansluitingen. Ook moeten de systeembeheerders hun gebruikers periodiek informeren over de status en behandeling van hun aansluitverzoeken. De nieuwe informatieverplichtingen zijn geen nieuwe activiteiten voor systeembeheerders, dat deze wettelijk zijn vastgelegd, is wel nieuw. Daarnaast bepaalt het implementatiewetsvoorstel dat een verzoek om aansluiting ook digitaal gedaan kan worden. De gewijzigde Elektriciteitsrichtlijn biedt transmissie- en distributiesysteembeheerders de ruimte om in een situatie van structurele congestie een extra contractvorm te ontwikkelen, waarbij niet de contractueel toegekende transportcapaciteit wordt beperkt, maar de fysieke en daarmee daadwerkelijk te benutten transportcapaciteit. Dit is een zgn. flexibele aansluitovereenkomst. Voor deze contractvorm worden aanvullende eisen gesteld over onder meer de technische inrichting van de aansluiting. Aangezien het gaat om eisen die het systeem direct raken, is het aan de transmissie- en distributiesysteembeheerders om de bijhorende voorwaarden vorm te geven, rekening houdend met de technische omgeving. Onderdeel hiervan is ook de certificering van installateurs voor de installatie van het zgn. stroombeheersingssysteem. Dit gebeurt in methoden en voorwaarden die door de Autoriteit Consument en Markt (hierna: ACM) moeten zijn goedgekeurd. De nieuwe contractvorm die op basis van het implementatiewetsvoorstel kan worden aangeboden, biedt dus naast een contractuele beperking in het transportdeel van de overeenkomst (via de ATO) mogelijkheid tot een fysieke beperking in het aansluitdeel van de overeenkomst (middels een stroombeheersingssysteem). De gegevens die voor beide type overeenkomsten nodig zijn, zijn identiek. Of de concrete uitwerking van de aansluitovereenkomst, zowel ten aanzien van de contractuele uitwerking als ook de technische eisen om aanvullende gegevens vraagt, hangt af van de technische systeemeisen en kan derhalve pas in latere fase van de implementatie van deze contractvorm worden bepaald. De kans is echter zeer klein dat het hier (wel) om persoonsgegevens gaat. De (openbare) gegevens die bij de transparantieverplichtingen door systeembeheerders worden verstrekt, zullen niet te herleiden zijn tot individuele aansluitingen en zijn dan ook niet te kwalificeren als persoonsgegevens. De gegevens die tussen een systeemgebruiker en een systeembeheerder worden uitgewisseld bij het sluiten van een flexibele aansluitovereenkomst, bevatten, behoudens de naam van degene die namens het bedrijf tekent verder geen persoonsgegevens. 6 > Topics: Certification, Personal Data, Transparency ### ¶1.2.4 Leveringszekerheid Het EMD-wetsvoorstel wijzigt de in de Energiewet opgenomen bepaling over strategische reserve (artikel 5.12). Een strategische reserve is één van capaciteitsmechanismen die door een lidstaat kan worden ingevoerd. Een capaciteitsmechanisme is een maatregel die kan worden ingevoerd om te garanderen dat de vraag naar elektriciteit onder alle omstandigheden kan worden gedekt, ook tijdens extreme pieken in de vraag of tekorten in het aanbod. De wijziging van de bepaling in het EMD-wetsvoorstel zorgt ervoor dat het bestaande artikel in de Energiewet wordt uitgebreid naar alle vormen van capaciteitsmechanismen. Daarmee biedt de toekomstige Energiewet een ruimere mogelijkheid om de leveringszekerheid te waarborgen indien dit nodig zou blijken. Het betreffende artikel bepaalt dat bij AMvB nadere regels gesteld kunnen worden over de inrichting van capaciteitsmechanismen. De nadere regels over de inrichting van capaciteitsmechanismen zullen niet leiden tot verwerking van persoonsgegevens Bij de toepassing van artikel 5.12 is geen sprake van verwerking van persoonsgegevens. > Topics: Personal Data, Processing ### ¶1.2.5 Versterking toezicht op de groothandelsmarkt voor energie Het EMD-wetsvoorstel bevat bepalingen die zorgen voor versterkt toezicht op eerlijke en transparante groothandelsmarkten voor energie en richten zich op de bevoegdheden van toezichthouders. Het wetsvoorstel bevat geen verplichtingen voor marktdeelnemers op de groothandelsmarkt voor energie (de gewijzigde REMIT kent die zelf wel, maar deze werken rechtstreeks en vereisen geen verdere implementatie in nationale wetgeving). In het wetsvoorstel zijn enkel die bepalingen opgenomen die noodzakelijk zijn voor de goede uitvoering van de gewijzigde REMIT (zie hierna). Slechts voor één bepaling uit de verordening bestaat er een keuze voor de lidstaat, namelijk de optie om nadere regels te stellen aan de mogelijkheid van de ACM om taken of verantwoordelijkheden over te dragen aan andere NRI’s (nationale regulerende instanties) of Acer (delegatie). In het wetsvoorstel wordt van deze mogelijkheid gebruik gemaakt, door in bij algemene maatregel van bestuur te bepalen gevallen waarin dat nodig is om een effectief toezicht mogelijk te maken. De gewijzigde REMIT zorgt ervoor dat in 4 situaties mogelijk sprake is van uitwisseling van persoonsgegevens. Deze situaties volgen rechtstreeks uit de wijzigingsverordening: 1 Uitbreiding bevoegdheden ACM tav gegevens uitwisseling: De Autoriteit Consument en Markt (hierna: ACM) krijgt de mogelijkheid gegevens uit te wisselen met andere nationale en internationale instellingen. In de praktijk gaat het om uitwisseling van gegevens met de Autoriteit Financiële Markten (AFM), het Agentschap voor de Samenwerking tussen Energieregulators (hierna: Acer), de Europese Autoriteit voor effecten en markten (ESMA) en Eurofisc. Op dit moment bestaat er enkel een wettelijke grondslag voor de ACM om inlichtingen en gegevens te verstrekken aan Acer (op basis van de Energiewet), de AFM en de Belastingdienst (grondslag in de Instellingswet ACM en Regeling gegevensverstrekking ACM 2019), terwijl gegevensuitwisseling op grond van de gewijzigde REMIT ook met ESMA en Eurodisc mogelijk moet zijn. Het wetsvoorstel voorziet daarom in de bevoegdheid om informatiedeling van ACM aan ESMA en Eurofisc mogelijk te maken. Bij de uitwisseling van gegevens zal ACM contactgegevens van medewerkers van de betrokken instellingen verwerken. > Topics: Supervision, Personal Data, Supervisory Authorities ### ¶2 Bijstandverlening ACM aan Acer: het wetsvoorstel biedt daarnaast ACM de bevoegdheid om Acer bij te staan bij de uitoefening van haar taken op Nederlands grondgebied. Bij het uitvoeren van onderzoek (en assistentie daarbij) kan de informatie bij de bedrijven en personen zijn die mogelijk betrokken zijn bij een overtreding en ook bij derden, zoals handelsplatforms, transmissiesysteembeheerders (TSB) en adviseurs. In de informatie die ACM gebruikt voor een onderzoek, kunnen ook persoonsgegevens van betrokkenen en van betrokkenen waarvan de gegevens via een derde ten behoeve van het onderzoek zitten. 7 Denk bijvoorbeeld aan informatie in handelsdata (traderID), e-mail- en chatverkeer, tapes van deals die via brokers worden gemaakt. 3 Uitbreiding bevoegdheden Acer: Acer krijgt de bevoegdheid tot het doen van inspecties op Nederlands grondgebied. Ook mag zij hierbij woningen en bedrijven op Nederlands grondgebied betreden in geval van redelijke vermoeden van overtreding. Het wetsvoorstel biedt aan Acer de bevoegdheid om bij haar onderzoeksbevoegdheden op Nederlands grondgebied bijstand te vragen aan ACM. Verder krijgt Acer de bevoegdheid tot het opleggen van een last onder dwangsom als een bedrijf of natuurlijk persoon zich niet onderwerpt aan de onderzoeksbevoegdheden van Acer, de dwangsom mag Acer op Nederlands grondgebied innen. Hierbij kan sprake zijn van verwerking van persoonsgegevens. 4 Uitgebreidere sanctiemogelijkheden: Acer krijgt op grond van de gewijzigde REMIT de mogelijkheid om een last onder dwangsom op te leggen aan (rechts)personen die zich niet onderwerpen aan een inspectie ter plaatse van Acer. Voorts is Acer bevoegd tot het opleggen van een last onder dwangsom aan (rechts)personen die niet het informatieverzoek van Acer (tijdig) beantwoorden. De gewijzigde REMIT bepaalt wel dat Nederland een nationale instantie moet aanwijzen die verantwoordelijk wordt voor de inning van de door Acer opgelegde last onder dwangsom. Aangezien ACM de nationale regulerende instantie voor REMIT in Nederland is en handhaving primair bij de ACM ligt, is er in het wetsvoorstel voor gekozen om de ACM hiervoor aan te wijzen. Voorts kan een door Acer genomen besluit tot oplegging van een dwangsom aan de ACM worden overhandigd, waarna de ACM de authenticiteit van het besluit vaststelt en zij het besluit tot slot volgens nationale procesregels ten uitvoer legt. ACM heeft op basis van de Instellingswet en de Energiewet al de mogelijkheid om sancties op te kunnen leggen bij overtreding van REMIT. Een bevoegdheid die nog niet geregeld is, ziet op het gelasten van terugbetaling van de door de inbreuken behaalde winsten of vermeden verliezen. Deze bevoegdheid is in het wetsvoorstel opgenomen. Net als bij het opleggen van overige sancties als gevolg van overtreding van REMIT, zal ACM persoonsgegevens verwerken die te maken hebben met het onderzoeken van gedragingen. Ook zullen persoonsgegevens worden verwerkt in de procedure tot sanctionering. Het gaat hier bijvoorbeeld om gegevens van contactpersonen van betrokken bedrijven en hun gemachtigden (advocaten). Bij het opleggen van een sanctie gebruikt ACM ook KvK- gegevens, waarin persoonsgegevens staan. Bij het opleggen van sancties aan natuurlijke personen (bijvoorbeeld feitelijk leidinggevenden of eenmansbedrijven), zal ACM ook financiële gegevens over deze personen verwerken, ten behoeve van het in beeld brengen van de financiële draagkracht. In deze DPIA zal enkel worden ingegaan op de gegevensverwerking die mogelijk wordt gemaakt in de delegatiegrondslag op grond waarvan – op basis van de gewijzigde REMIT - nadere regels kunnen worden gesteld over de mogelijkheid van de ACM om taken of verantwoordelijkheden over te dragen aan andere NRI’s of Acer. De andere verwerkingen van (persoons)gegevens voor het versterken van het toezicht op de groothandelsmarkt voor energie volgen namelijk uit (verplichtingen uit) Europese regelgeving. Met betrekking tot deze gegevensverwerking wordt geen keuze gelaten aan de lidstaten. De gegevens die hiervoor tussen die tussen de toezichthouders/instellingen worden uitgewisseld zullen hoofdzakelijk bedrijfsgegevens zijn, en kunnen mogelijk te herleiden zijn tot persoonsgegevens (bijvoorbeeld in geval van sanctionering van een bestuurder van een bedrijf). 8 2 Relatie met Energiewet > Topics: Personal Data, Processing, Supervision, DPIA ### ¶2.1 Algemeen De bepalingen van het EMD-wetsvoorstel worden voor het overgrote deel opgenomen in de Energiewet. Ten behoeve van het wetsvoorstel voor de Energiewet is destijds een zeer uitgebreide beoordeling van de gegevensverwerking opgesteld (hierna ook: DPIA Energiewet). 6 Een belangrijk onderdeel van de Energiewet betreft de herziening van het huidige stelsel van gegevensbeheer en – uitwisseling binnen de energiesystemen voor gas en elektriciteit. Dit gegevensstelsel omvat, op grond van wettelijke verplichtingen, de verzameling, registratie, bewerking, gebruik en verstrekking van gegevens. De Energiewet bevat ten aanzien van het gegevensstelsel verschillende delegatiegrondslagen, waarbij de verdere uitwerking nog plaats moet vinden. De uitgevoerde DPIA Energiewet heeft daardoor een generiek karakter. Bij de uitwerking van de wettelijke bepalingen in lagere regelgeving zal steeds een nieuwe DPIA worden uitgevoerd. > Topics: DPIA ### ¶2.2 DPIA Energiewet In de DPIA Energiewet is aangegeven dat het primaire doel van het gegevensstelsel het mogelijk maken en borgen van de gegevensprocessen betreft. Zoals aangegeven, is het gegevensstelsel van belang bij de beschreven handelingen ten aanzien van energiedelen en het sluiten van een flexibele aansluitovereenkomst, zoals opgenomen in het EMD-wetsvoorstel. Bij de gegevensverwerking ten behoeve van uitvoering REMIT, zal dit stelsel niet direct worden ingezet omdat het niet gaat om gegevens van marktpartijen tbv de markt zelf, maar om gegevens tbv de toezichthouders. Het borgen en mogelijk maken van gegevensprocessen vinden beiden plaats binnen de energiesystemen tussen een groot aantal partijen, met elk hun eigen (wettelijke) taak, verplichting of belang. In de DPIA Energiewet wordt onderscheid gemaakt in: (1) Systeemprocessen: processen die van (essentieel) belang zijn voor het functioneren van de energiesystemen voor gas en elektriciteit en daarmee ook een duidelijk publiek belang kennen. Deze processen hebben veelal een grondslag in Europese wet- en regelgeving en zijn reeds geregeld onder de huidige Gaswet en Elektriciteitswet 1998 (dus bestaande situatie) en (2) Processen rondom het op verzoek delen van gegevens met een derde partij. Het gegevensstelsel omvat het beheer en de uitwisseling van een grote variëteit aan gegevens. In de DPIA Energiewet wordt aangegeven dat onder de Energiewet enkele gewone persoonsgegevens zullen worden uitgewisseld, 7 welke geclassificeerd worden naar vier hoofdgroepen: (i) technische, fysieke en administratieve kenmerken (ii) identificatie & betrokkenheid marktpartijen (iii) metingen en bewerkingen (iv) identificatie van en communicatie met contractanten/rechthebbenden > Topics: Supervision, Personal Data, DPIA, Supervisory Authorities ### ¶3 Beantwoording onderdelen DPIA > Topics: DPIA ### ¶3.1 Algemeen Zoals beschreven in paragraaf 1.2, zorgt het EMD-wetsvoorstel op twee onderdelen voor gegevensverwerking: energiedelen en de gegevensuitwisseling door ACM in het kader van het toezicht op de groothandelsmarkt voor energie. Onderstaand zal op de betreffende processen worden in gegaan. Bij de beantwoording van de verschillende onderdelen van de DPIA zal waar mogelijk worden aangesloten bij de DPIA van de Energiewet. 6 Wetsvoorstel Energiewet: Gegevensbeschermingseffectbeoordeling (PIA), Ministerie van Economische Zaken en Klimaat, Directie Energiemarkt, 4 april 2022. 7 Conform de classificering uit het model DPIA Rijksdienst, zie pagina 24 van de DPIA Energiewet. 9 > Topics: DPIA, Public Authority ### ¶3.2 Beschrijving kenmerken gegevensverwerkingen ### ¶3.2.1 Energiedelen Energiedelen gaat per onbalansverrekeningsperiode, in Nederland een kwartier. Hiertoe moeten de meetgegevens per kwartier worden uitgelezen om vast te stellen hoeveel elektriciteit er is ingevoed door de energiegever. Op basis van het in de overeenkomst afgesproken percentage kan worden berekend hoeveel elektriciteit er per kwartier is gedeeld met de energieontvanger. De leverancier van de energieontvanger kan dan op basis van de gemeten afname van het systeem en de per kwartier gedeelde elektriciteit zelf vaststellen hoeveel elektriciteit er dan nog door hem is geleverd, of als er meer is gedeeld dan afgenomen, hoeveel elektriciteit is teruggeleverd aan de leverancier. Bij het delen van gegevens gaat het in beginsel om gegevens die reeds beschikbaar zijn vanwege de systeemprocessen (denk aan aansluitnummer of meetgegevens) en op verzoek van de partijen betrokken bij het energiedelen aan andere partijen dan eigen leverancier beschikbaar gesteld kunnen worden. Het zal hierbij onder meer gaan om gegevens van de aansluiting contactgegevens, het identificatienummer van de aansluiting (of het allocatiepunt), de geïnstalleerde capaciteit en de aard van de opwekinstallatie (bijv. zonnepanelen), de hoeveelheid elektriciteit die wordt ingevoed en de duur van de overeenkomst. De systeembeheerder verzamelt en valideert de gegevens in verband met de gedeelde elektriciteit. De systeembeheerder verstrekt de berekende hoeveelheid gedeelde elektriciteit na vaststelling aan de contactpersoon, leveranciers en de balanceringsverantwoordelijken voor elektriciteit die actief zijn op de betreffende allocatiepunten. De gegevens die worden gedeeld bij het energiedelen met vrije leverancierskeuze zijn gegevens uit de hierboven i tot en met iii genoemde categorieën. Als een contractspartij een natuurlijke persoon betreft dan kwalificeren de gegevens als persoonsgegevens. > Topics: Personal Data ### ¶3.2.2 Toezicht groothandelsmarkt energie Bij de in het wetsvoorstel opgenomen delegatiegrondslag op grond waarvan nadere regels kunnen worden gesteld over de mogelijkheid van de ACM om taken of verantwoordelijkheden over te dragen aan andere NRI’s of Acer, zal het gaan om gegevensverwerking ter identificatie van marktpartijen (type ii). > Topics: Identification ### ¶3.3 Beoordeling rechtmatigheid gegevensverwerkingen ### ¶3.3.1 Algemeen Bij de rechtmatigheidsbeoordeling van de gegevensverwerkingen zijn achtereenvolgens van belang: de rechtsgrond, de bijzondere persoonsgegevens, doelbinding, noodzaak en evenredigheid en de rechten van betrokkenen. Bij de beoordeling van de gegevensverwerking onder het EMD- wetsvoorstel, wordt aangesloten bij de DPIA Energiewet (Onderdeel B, p. 32 t/m 40). > Topics: Personal Data, DPIA, Healthcare ### ¶3.3.2 Rechtmatigheid Om energiedelen tussen afnemers van verschillende leveranciers mogelijk te maken moeten persoonsgegevens worden verwerkt door de systeembeheerder van de energiegever en de energieontvanger. De grondslag van deze verwerking is neergelegd in artikel 3.63a van het EMD wetsvoorstel. In dit artikel is de wettelijke verplichting, in de zin van artikel 6, eerste lid, onder c AVG, voor systeembeheerders opgenomen om gegevens uit de overeenkomst tussen de energiegever en de energieontvanger te registeren en gegevens in verband met de gedeelde elektriciteit te verzamelen en te valideren en door te geven aan een aangewezen contactpersoon, de betrokken marktdeelnemers en de balanceringsverantwoordelijken op de betreffende allocatiepunten. 10 > Topics: Personal Data ### ¶3.3.3 Bijzondere persoonsgegevens In de context van de rechtmatigheid van de gegevensverwerkingen is relevant om welk type persoonsgegevens het gaat. 8 Volledigheidshalve is goed te vermelden dat er voor handhaving onder REMIT in Nederland als sinds 2013 een duaal stelsel bestaat: handhaving kan zowel bestuursrechtelijk als strafrechtelijk gebeuren. Bij de implementatie van REMIT in 2013 is hiervoor gekozen om artikel 13, tweede lid, onderdelen f en g, van REMIT te implementeren. Op grond van deze bepaling moeten de NRI’s over bepaalde onderzoeks- en handhavingsbevoegdheden beschikken. Tijdens de uitvoering van de oorspronkelijke REMIT is besloten dat de bevoegdheid om een rechter te vragen om vermogensbestanddelen te bevriezen of in beslag te nemen (onderdeel f) en een rechterlijke of bevoegde instantie te verzoeken een tijdelijk verbod op beroepsuitoefening op te leggen (onderdeel g) beter passen in de strafrechtelijke context. Bestuursrechtelijke handhaving blijft wel het uitgangspunt. Tot op heden is er in Nederland (en/of Acer (t.b.v. het toezicht in Nederland)), op basis van de eerste REMIT en nationale implementatie hiervan in de Gaswet en Elektriciteitswet 1998, nog geen strafrechtelijke route bewandeld en derhalve zijn er geen strafrechtelijke gegevens verwerkt. Het uitwisselen van strafrechtelijke gegevens is wel al mogelijk onder de huidige wetgeving en dus kan dit in de toekomst mogelijk ook in de praktijk plaatsvinden. In de gewijzigde verordening is artikel 13 REMIT uitgebreid met een aantal andere geboden en verboden. Ook voor deze overtredingen wordt aangesloten bij het eerder gekozen duale stelsel en moet in dat kader mogelijk worden gemaakt dat vermogensbestanddelen kunnen worden bevroren of in beslag genomen kunnen worden of een tijdelijk verbod op beroepsuitoefening opgelegd kan worden. Daarom wordt met het wetsvoorstel artikel 2.66 van de Energiewet aangepast met een uitbreiding van deze artikelen, waarvan overtreding strafbaar worden gesteld onder de Wet economische delicten (WED). Hiermee sluit de implementatie aan bij het al bestaande duale stelsel. De in het EMD-wetsvoorstel opgenomen delegatiegrondslag om bij algemene maatregel van bestuur nadere regels te kunnen stellen, zal niet gaan over het type gegevens dat uitgewisseld mag worden. Het is nu de verwachting dat deze regels zal bevatten om de delegatiebevoegdheid van de ACM in te perken, om uit te sluiten dat de NRI ongewenste taken of verantwoordelijkheden zou kunnen overdragen aan andere NRI’s of Acer, wat doeltreffend toezicht op marktdeelnemers of marktdeelnemersgroepen zou kunnen belemmeren. Samengevat, kunnen strafrechtelijke persoonsgegevens worden verwerkt op grond van het EMD- wetsvoorstel (het onderdeel dat ziet op de implementatie van REMIT). Echter, uit artikel 13, tweede lid van REMIT volgt welke sanctie mogelijk moeten zijn bij welke overtredingen van REMIT. Onder de oorspronkelijke REMIT golden de sancties uit artikel 13, tweede lid van REMIT, alleen voor artikelen 3, 4 en 5 van REMIT. Bij de implementatie van REMIT 2013 is toentertijd de keuze gemaakt om twee van deze sancties (artikel 13, tweede lid, onder f en g) uit te voeren middels de introductie van het duale stelsel. Onder de gewijzigde REMIT gelden vanaf nu de sancties onder artikel 13, tweede lid, onder f en g ook voor artikelen 7 quater, 8, 9 en 15 van REMIT en dit wordt ook uitgevoerd middels het EMD-wetsvoorstel. Bij de implementatie van de gewijzigde REMIT wordt dus enkel Europese wetgeving geïmplementeerd in het huidige duale stelsel. De grondslagen voor het verwerken van strafrechtelijke gegevens die uit het EMD-wetsvoorstel volgen zijn dus een voortvloeisel uit de Europese verplichtingen en het huidige stelsel. Waarbij geen ruimte is bij de implementatie van deze Europese verplichtingen om dit op een andere (niet-strafrechtelijke) wijze te doen. Daar waar Nederland bepaalde keuzevrijheid heeft in de implementatie, gaat het om een delegatiegrondslag op grond waarvan nadere regels kunnen worden gesteld aan het verwerken van persoonsgegevens. Echter, bij de nadere uitwerking zullen geen nadere regels over de verwerking van (strafrechtelijke) persoonsgegevens worden opgenomen. 8 De AVG onderscheidt drie typen van persoonsgegevens en stelt verschillende eisen aan een rechtmatige verwerking. Het gaat hierbij om (i) gewone persoonsgegevens, (ii) bijzondere persoonsgegevens, (iii) strafrechtelijke persoonsgegevens. Ook worden beperkingen gesteld aan het verwerken van wettelijke identificatienummers. 11 > Topics: Personal Data, Criminal Data, Supervision, Healthcare ### ¶3.3.4 Doelbinding Het DPIA-model licht toe dat de AVG het beginsel hanteert dat persoonsgegevens enkel voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en vervolgens niet verder mogen worden verwerkt op een met die doeleinden onverenigbare wijze. Beoordeeld moet daarom worden of deze eventuele verdere verwerking verenigbaar is met het doel waarvoor de persoonsgegevens oorspronkelijk zijn verzameld. Net als voor de Energiewet geldt ook voor het EMD-wetsvoorstel dat het uitgangspunt is dat er voor de systeemprocessen een duidelijk doel en rationale moet zijn waarom de gegevens (inclusief persoonsgegevens) worden verzameld, geregistreerd, gebruikt en verstrekt. De persoonsgegevens die in het kader van energiedelen worden verwerkt (zoals naam en identificatienummer), zijn de gegevens die worden verkregen ter uitvoering van de overeenkomst voor het energiedelen en op grond van artikel 4.9 van de Energiewet worden deze doorgegeven aan de leverancier van de ontvanger. Het is niet de bedoeling dat de gegevens worden voor andere dan genoemde doeleinden gebruikt gaan worden. . Voor wat betreft de bepalingen over de delegatiegrondslag onder de gewijzigde REMIT geldt dat de ACM, Acer, of andere NRI’s de verkregen informatie en/of te delen persoonsgegevens enkel dienen te verzamelen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden. Indien er bij de uitvoering van een taak of verantwoordelijkheid, op grond van de in de verordening opgenomen delegatiegrondslag, persoonsgegevens worden verwerkt, mogen deze ook enkel ten behoeve van deze specifieke gelegeerde taak of verantwoordelijkheid worden verwerkt. Deze mogen vervolgens niet verder worden verwerkt, conform de AVG, die ook van toepassing op/bij taken uit de gewijzigde REMIT. In overweging 14 van de gewijzigde REMIT staat immers dat elke verwerking van persoonsgegevens in het kader van die verordening, zoals de uitwisseling of doorgifte van persoonsgegevens tussen de relevante nationale autoriteiten, moet worden uitgevoerd overeenkomstig de AVG. > Topics: Recipient, Personal Data, DPIA, Processing ### ¶3.3.5 Noodzaak en evenredigheid De onder het wetsvoorstel beoogde verwerkingen van persoonsgegevens moeten beoordeeld worden op de noodzakelijkheid in relatie tot de verwerkingsdoeleinden. De proportionaliteit 9 en de subsidiariteit 10 zijn tevens onderdeel van deze beoordeling. Ten behoeve van het energiedelen geldt dat de taken die aan een systeembeheerder worden gesteld ten behoeve van energiedelen, rechtstreeks volgen uit de EMD-richtlijn. De systeembeheerder is verantwoordelijk voor het registreren en doorgeven van hoeveelheid door de energiegever per kwartier gedeelde elektriciteit (eenvoudig model). Zo registreert een systeembeheerder een overeenkomst inzake energiedelen en monitort, verzamelt en valideert hij meetgegevens (bestaande taak), berekent hij hoeveel energie er is gedeeld en verstrekt deze gegevens aan de energiegever en -ontvanger en aan diens leveranciers. Gegevens over gedeelde energie zijn ook relevant voor de balancering van het systeem, waarvoor de TSB’s en balanceringsverantwoordelijke partijen gedeeld verantwoordelijk zijn op basis van de Energiewet. TSB’s en DSB’s vervullen op grond van artikel 3.49, eerste en tweede lid van de Energiewet, een belangrijke rol in de administratieve afhandeling van de balancering (ook wel aangeduid als allocatie). Voor energiedelen betekent dit dat de TSB de gegevens over gedeelde energie geaggregeerd per balanceringsverantwoordelijke gebruikt voor de financiële verrekening van de balancering van het systeem, zodat de gedeelde volumes toegewezen worden aan de betrokken balanceringsverantwoordelijken per onbalansverrekeningsperiode. In de DPIA van de Energiewet wordt op diverse plaatsen expliciet aandacht besteed aan de beoogde verplichte uitlezing van intervalgegevens (namelijk de kwartierwaarden van de afgelopen dag) ten behoeve van het eerlijk 9 In het DPIA-model is proportionaliteit als volgt omschreven: staat de inbreuk op de persoonlijke levenssfeer en de bescherming van de persoonsgegevens van de betrokkenen in evenredige verhouding tot de verwerkingsdoeleinden? 10 In het DPIA-model is subsidiariteit als volgt omschreven: kunnen de verwerkingsdoeleinden in redelijkheid niet op een andere, voor de betrokkene minder nadelige wijze, worden verwezenlijkt? 12 toerekenen van de ontstane onbalans voor elektriciteit. Dit voorschrift is ook van toepassing bij energiedelen, maar wordt in het licht van de verplichte implementatie noodzakelijk en rechtmatig geacht. Verder kan worden opgemerkt dat de systeembeheerder niet verantwoordelijk is voor de vaststelling van welk deel van de gedeelde elektriciteit per kwartier gelijktijdig door de energieontvanger is gebruikt (en dus niet geleverd door de leverancier) en hoeveel kWh er niet gelijktijdig is gebruikt en is teruggeleverd aan de leverancier van de energieontvanger. Dit laatste zou toegang tot gedetailleerde verbruiksdata van de energieontvanger vereisen en daarmee het uitwisselen van een grote hoeveelheid aanvullende data. Het wetsvoorstel gaat er vanuit dat de leverancier van de energieontvanger op basis van de per kwartier met zijn afnemer gedeelde elektriciteit en de actuele verbruiksgegevens van deze afnemer (op dat allocatiepunt) waar hij al toegang toe heeft, zelf kan bepalen hoeveel van de in dat kwartier gedeelde elektriciteit direct is verbruikt en dus moet worden afgetrokken van de door hem geleverde elektriciteit en als er meer is gedeeld dan verbruikt, hoeveel elektriciteit er dan virtueel aan hem is teruggeleverd door deze eindafnemer. Deze berekening hoeft dus niet door de systeembeheerder te worden uitgevoerd en de systeembeheerder van de energiegever hoeft dus ook niet te beschikken over de verbruiksdata van de energieontvanger. Om die reden zijn er in het EMD-wetsvoorstel ook geen grondslagen nodig om de systeembeheerder van de energiegevende partij toegang te geven tot verbruiksdata van de energieontvangende partij. Op basis van bovenstaande kan worden geconcludeerd dat de wijze waarop de gegevensverwerking bij energiedelen in het EMD-wetsvoorstel wordt geregeld, en een inbreuk op de privacy-rechten betekent van betrokken partijen, noodzakelijk en evenredig is. Wel geldt dat er bij het opstellen van de nog op te stellen onderliggende regelgeving nogmaals aandacht besteed dient te worden aan de proportionaliteits- en subsidiariteitseisen uit de AVG. > Topics: Recipient, Personal Data, DPIA, Processing ### ¶3.4 Beschrijving/beoordeling risico’s betrokkenen De gegevensverwerkingen die samenhangen met het wetsvoorstel kunnen een risico vormen voor de rechten en vrijheden van betrokkenen. Ten behoeve van onderhavige DPIA wordt op dit punt aangesloten bij de DPIA van de Energiewet. Daarin is voor wat betreft mogelijke risico’s primair gedacht aan een inbreuk op het recht op privacy, maar het kan in dit kader ook gaan om andere fundamentele rechten en vrijheden, zoals de vrijheid van meningsuiting, de vrijheid van godsdienst en het verbod van discriminatie. Een optredend risico kan, zoals verwoord in het DPIA-model, vervolgens leiden tot lichamelijke, materiële of immateriële schade voor de betrokkene; voorbeelden hierbij zijn stigmatisering, identiteitsdiefstal of -fraude, financiële verliezen, reputatieschade, de feitelijke inperking van het uitoefenen van een recht en profileringspraktijken (o.a. persoonlijke voorkeuren, interesses, gedragspatronen, etc.). In paragraaf 2.2 is een categorisering gemaakt naar het type persoonsgegevens die binnen het gegevensstelsel zoals mogelijk gemaakt door de Energiewet (en ook in het EMD-wetsvoorstel ten behoeve van energiedelen) worden beheerd en uitgewisseld namelijk gegevens met betrekking tot (i) technische, fysieke en administratieve kenmerken, (ii) identificatie en betrokkenheid marktpartijen, (iii) metingen en bewerkingen en (iv) identificatie van en communicatie met contractanten/rechthebbenden. Gelet op de karakteristieken van deze gegevens zullen optredende risico’s ten behoeve van energiedelen zoals opgenomen in het EMD-wetsvoorstel primair betrekking hebben op het recht op privacy. Wanneer hier verder op wordt ingezoomd zal de schade bij optredende risico’s vooral gezocht moeten worden in de materiële of immateriële schade, lichamelijke schade is niet aangewezen. De persoonsgegevens die in het kader van energiedelen worden verwerkt, zijn voor het grootste deel identiek aan de gegevens die ook al worden beschreven in de DPIA Energiewet. Hierom zal worden aangesloten bij de analyse uit de DPIA van de Energiewet. In de DPIA van de Energiewet verwoord, is daarin ten behoeve van de risicoanalyse onderscheid gemaakt naar: 13 1. optredende (cybersecurity) risico’s als gevolg van destructief gedrag van onbevoegde externe partijen (denk hierbij met name aan moedwillige inbreuken (‘hacks’) op meetinrichtingen en netwerk- en informatiesystemen) dan wel 2. optredende risico’s als gevolg van keuzes van en gedrag door partijen met een zekere relatie tot het datastelsel of de gegevens die hierin omgaan. Verder geldt dat de gegevens die ACM op basis van het wetsvoorstel mag gaan delen met Acer, ESMA en Eurofisc, gegevens zijn die nu ook mogen worden verwerkt in de relatie met de Belastingdienst en AFM (op basis van de Instellingswet ACM). Ook de gegevens die in het kader van de verruimde bevoegdheden van Acer kunnen worden uitgewisseld, zijn niet anders dan nu al door ACM zelf worden verwerkt bij de uitoefening van haar toezichts- en handhavingstaken op REMIT. De gegevens blijven in handen van toezichthouder(s) die toezicht houden op REMIT, wel wordt de groep van toezichthouders groter Qua type gegevensverwerking kan dan ook gesteld worden dat de risico’s ervan zullen toenemen. > Topics: Personal Data, DPIA, Identification, Liability ### ¶3.5 Maatregelen In navolging van de identificatie van de risico’s dient te worden beoordeeld welke maatregelen in redelijkheid kunnen worden getroffen om de hiervoor beschreven risico’s te voorkomen of te verminderen. Ook hier kan worden aangesloten bij de analyse die hiertoe is gedaan in de DPIA Energiewet: die analyse laat zien dat alle geïdentificeerde risico’s in meer of mindere mate worden ondervangen door mitigerende maatregelen, met twee typen restrisico’s. Ten eerste: gegevens kunnen in kwaadwillende handen vallen. In deze situaties is duidelijk sprake van overtreding van wet- en regelgeving, bijvoorbeeld van het wetsvoorstel of de AVG of zelfs van strafrechtelijke bepalingen. Dit zijn risico’s die nooit helemaal voorkomen kunnen worden, maar om het risico hierop zo klein mogelijk te laten/maken wordt de groep van mensen die bij de gegevens mogen (en dus kwaadwillend kunnen handelen) zo veel mogelijk beperkt. Bij sprake van overtreding moet teruggevallen worden op toezicht en handhaving. Ten tweede: er blijkt sprake te zijn van onzekerheid over de interpretatie en toepassing van de AVG als onderdeel van verplichtingen die partijen onder het wetsvoorstel hebben. Een onjuiste interpretatie kan daarbij een risico vormen voor de rechten en vrijheden van betrokkenen, maar dit valt in beginsel buiten de scope van het wetsvoorstel. De Energiewet bevat wel diverse waarborgen voor de omgang met gegevens in het algemeen. > Topics: DPIA, Supervision, Identification ### ¶4 Advies FG - 22 april 2025 De DPIA geeft een goed beeld van de gegevensverwerkingen die (al dan niet) volgen uit de wet die de implementatie van het gewijzigde EMD-pakket regelt. De enige materiële uitbreiding van gegevensverwerking die deze implementatiewet regelt volgt uit het energiedelen tussen afnemers van verschillende leveranciers. Het energiedelen tussen afnemers bij dezelfde leverancier is al geregeld in de (aanstaande) Energiewet. Als eindafnemers van verschillende leveranciers energie willen delen sluiten zij een overeenkomst waarin het te delen percentage wordt afgesproken. De details van deze overeenkomst worden geregistreerd door het contactpunt bij de systeembeheerder van de energiegever. Dit contactpunt is vervolgens de partij die de gegevens over de berekende en feitelijke energiedeling verstrekt aan de relevante partijen voor afrekening en balancering. Door een contactpunt bij de systeembeheerder te introduceren wordt voorkomen dat persoonsgegevens van afnemers tussen verschillende leveranciers worden gedeeld. Hierdoor worden gegevens niet met meer partijen gedeeld dan noodzakelijk en wordt de kans op oneigenlijk gebruik verminderd. Opgemerkt is dat in de DPIA de definitie van persoonsgegevens die overal correct is toegepast. In artikel 4.1.) AVG is een persoonsgegeven gedefinieerd als alle informatie over een geïdentificeerde of identificeerbare natuurlijk persoon. Dat betekent dat de informatie an sich niet tot een persoon 14 te herleiden hoeft te zijn om als persoonsgegeven te kwalificeren. De herleidbaarheid heeft betrekking op het identificeerbaar zijn van de natuurlijke persoon. Het advies is de DPIA op dit punt aan te passen. (zie ook een aantal tekstvoorstellen) Verder geen aanvullende opmerkingen. > Topics: Personal Data, DPIA, Identification ### ¶5 Conclusie --- Generated by overview.legal · https://overview.legal/posts/624028 · 2026-11-14