Persondataforordningen — bredt kendt som GDPR — er ikke det første man tænker på, når man taler om et erhvervsbatteri. Et batteri er et stykke teknik, ikke et persondatasystem. Men den måde det monitoreres og styres på, kan i visse tilfælde gøre energidata til persondata, og det rammer både små virksomheder med få ansatte og større organisationer med komplekse setup.
Det her er ikke en juridisk afhandling — det er en praktisk gennemgang af, hvor de typiske GDPR-faldgruber ligger ved batterimonitorering, hvilket retsgrundlag I kan støtte jer på, og hvad jeres databehandleraftale med EMS-leverandøren skal indeholde.
Hvornår energidata bliver persondata
Et batterilagers monitoreringsdata består typisk af:
- Effekt og energi-strømme (kW, kWh) ind/ud af batteri
- State of charge, temperatur, celle-spændinger
- Tidsstempler i kvarter eller minut-opløsning
- Driftsstrategier og bud på systemydelser
Så længe disse data ikke kan henføres til en fysisk person, er det ikke persondata. Men flere situationer ændrer det:
| Situation | GDPR-relevans |
|---|---|
| Batteri på enkeltmandsvirksomhed (CVR = personlig identitet) | Ja — det er ejerens persondata |
| Batteri på liberal-erhvervs-praksis (læge, advokat) i samme bygning som privatbolig | Ofte ja — kan udlede mønstre i privatlivet |
| Batteri på en stor industribygning (A/S med 200 ansatte) | Som regel nej — ingen koblinger til person |
| Batteri kombineret med ladestander der har bruger-identifikation | Ja — ladestandsdata er klart persondata |
| Batteri med fjernopkobling der eksponerer netværks-info | Indirekte ja, hvis data kan kobles til medarbejder |
I praksis betyder det, at de fleste rene erhvervs-batterilagre på A/S-virksomheder ikke udgør GDPR-problemstillinger isoleret. Men kombinationen med ladestandere eller med et lille setup hvor virksomhedsejer = privatperson, sætter GDPR i spil.
Retsgrundlaget — Art. 6.1.f er som regel det rigtige
GDPR-forordningens artikel 6 lister seks lovlige grundlag for behandling af persondata. For batterimonitorering er det relevante typisk:
- Art. 6.1.b — opfyldelse af kontrakt: hvis monitorering er en del af leverandørens leveranceaftale
- Art. 6.1.f — legitim interesse: virksomhedens behov for drift, optimering, sikkerhed
- Art. 6.1.c — retslig forpligtelse: fx krav til energiregistrering under klimaregnskab
For driftsdata er Art. 6.1.f den pragmatiske vej. Den kræver at I udfører en legitim interesse-vurdering (LIA) der dokumenterer:
- Hvad er den legitime interesse (drift, sikkerhed, optimering)
- Er behandlingen nødvendig for at opnå formålet
- Vejer interessen tungere end den registreredes rettigheder
For et erhvervsbatteri er svaret som regel ja på alle tre — men dokumentationen skal eksistere.
Hvad LIA'en skal indeholde
Datatilsynet har offentliggjort en skabelon. I korthed skal jeres LIA dække:
- Konkret formål med behandlingen
- Datakategorier (effekt, kapacitet, temperatur, IP-adresser ved fjernadgang)
- Opbevaringsperiode
- Modtagere (EMS-leverandør, evt. aggregator)
- Risici og konsekvenser hvis data lækker
- Foranstaltninger (kryptering, adgangskontrol)
LIA'en behøver ikke være lang — 2-3 sider er fint — men den skal kunne fremvises ved en eventuel henvendelse fra Datatilsynet.
Databehandleraftalen — det vigtigste enkeltdokument
Når jeres EMS-leverandør, aggregator eller monitorerings-platform behandler data på jeres vegne, er de databehandlere under GDPR Art. 28. I skal have en skriftlig databehandleraftale (DPA) inden behandlingen starter.
Aftalen skal som minimum indeholde:
| Punkt | Hvad det betyder konkret |
|---|---|
| Genstand og varighed | Hvad behandles, hvor længe |
| Behandlingens karakter og formål | Drift, optimering, FCR-bud, etc. |
| Datakategorier og -registrerede | Hvad og om hvem |
| Sletningsregler | Hvornår data slettes (ved opsigelse + nedløb) |
| Underdatabehandlere | Liste over evt. cloud-leverandører, opdateres |
| Sikkerhedsforanstaltninger | Kryptering, adgangskontrol, logning |
| Audit-rettigheder | Jeres ret til at kontrollere |
| Bistand ved henvendelser | Hvis registreret kontakter jer |
For mange amerikanske leverandører er der derudover spørgsmålet om tredjelands-overførsel. Hvis EMS-data hostes i USA, skal der være Standardkontraktbestemmelser (SCC'er) eller anden juridisk ramme. Det samme gælder kinesiske platforme. Spørg eksplicit til hvor data hostes.
Vil I se hvad I kan spare?
Få en gratis vurdering på 30 sekunder — ingen forpligtelser.
Tre konkrete områder hvor revisor falder
1. Underdatabehandlere ikke kortlagt
EMS-leverandøren bruger ofte AWS, Azure eller en mindre cloud-tjeneste. Den listen skal være i jeres databehandleraftale, og I skal blive notificeret før den ændres. Mange aftaler er for tynde her.
2. Manglende sletning ved opsigelse
Ved opsigelse skal data enten slettes eller returneres til jer. Mange EMS-aftaler er tavse om dette, og data ligger derefter passivt hos en tidligere leverandør. Tjek aftalen og bed om dokumentation for sletning.
3. Manglende fortegnelse over behandling
Virksomheder over 250 ansatte (eller med systematisk behandling) skal have en fortegnelse efter Art. 30. Batterilager-monitorering bør stå som en linje i fortegnelsen, hvis det indeholder data der er, eller kunne blive, persondata.
DPIA — kun i særlige tilfælde
En konsekvensanalyse (DPIA) efter Art. 35 er kun nødvendig ved "høj risiko" for de registreredes rettigheder. For et standard erhvervsbatteri er det normalt ikke tilfældet. Men hvis batterilageret kombineres med:
- Ladestandere med medarbejder-identifikation der kortlægger arbejdsmønstre
- AI-baseret optimering der træffer automatiske beslutninger om medarbejder-relaterede systemer
- Stort set udelukkende automatiseret beslutningstagning der påvirker persons arbejdsforhold
— så bør I overveje en DPIA. Datatilsynets vejledning om DPIA er tilgængelig og brugbar.
Adgang for medarbejdere — endnu et lille hjørne
Hvis ansatte i jeres virksomhed har personlig adgang til EMS-platformen, behandler I deres adgangsdata. Det er meget lavrisiko-persondata, men:
- Skal stå i medarbejder-persondata-politikken
- Adgang skal slettes ved fratrædelse
- Adgangslogs skal kun opbevares så længe nødvendigt (typisk 6-12 måneder)
Det er noget der ofte glemmes i mindre virksomheder, men er et hurtigt hak at få på plads.
Få et konkret bud på jeres potentiale
Svar på 4 spørgsmål — vi matcher jer med kvalificerede leverandører.
Hvad er jeres månedlige elregning ca.?
Et grovt skøn er fint.
En praktisk tjekliste
Før jeres batterilager går i drift:
- Er der en databehandleraftale med EMS-leverandøren? Underskrevet?
- Indeholder den underdatabehandler-liste og sletningsregler?
- Hvor hostes data — EU eller udenfor?
- Er der en LIA hvis I bruger Art. 6.1.f-grundlag?
- Står batterilageret i fortegnelsen (hvis Art. 30 gælder for jer)?
- Har I et medarbejder-adgangsregime med automatisk fratrædelses-disable?
- Er der en plan for sletning ved opsigelse af leverandøraftale?
Det er ikke en lang liste, og det meste håndteres af leverandøren — men I bærer ansvaret som dataansvarlig. Det er den juridiske rolle der ikke kan outsources.
Hvor reglerne stadig er uklare
Datatilsynet har endnu ikke udsendt en specifik vejledning om energidata fra batterilager-anlæg. Det betyder at praksis bygges op fra de generelle GDPR-principper og Datatilsynets afgørelser i tilstødende sager (smart meter, fjernvarme-data). Vær konservativ i jeres dokumentation og hold jer til de generelle GDPR-best-practices, så er I dækket selv hvis Datatilsynet senere præciserer.
