Datum publicatie	Organisatie	Jaargang en nummer	Rubriek
30-10-2018 09:00	Autoriteit Consument en Markt	Staatscourant 2018, 60760	Overig

Besluit van de Autoriteit Consument en Markt van 16 oktober 2018, kenmerk ACM/UIT/498344 tot wijziging van de voorwaarden als bedoeld in de artikelen 31 en 54, eerste lid van de Elektriciteitswet 1998 en de artikelen 12b en 22 van de Gaswet betreffende het verbeteren van de beveiliging van data (codebesluit dataveiligheid)

De Autoriteit Consument en Markt,

Gelet op de artikelen 36 en 55 van de Elektriciteitswet 1998 en de artikelen 12f en 23 van de Gaswet;

Besluit:

ARTIKEL I

De Begrippencode elektriciteit wordt gewijzigd als volgt:

De volgende begrippen worden op hun alfabetische positie ingevoegd:

Klantsleutel:: een bij een kleinverbruiker behorend identificatiekenmerk bestaande uit de laatste drie cijfers van diens IBAN of de dag en de maand van diens geboortedatum.
Toestemmingssleutel:: een door de leverancier toegekend uniek kenmerk aan de door hem van de klant ontvangen toestemming.

ARTIKEL II

De Begrippencode gas wordt gewijzigd als volgt:

De volgende begrippen worden op hun alfabetische positie ingevoegd:

Klantsleutel:: een bij een kleinverbruiker behorend identificatiekenmerk bestaande uit de laatste drie cijfers van diens IBAN of de dag en de maand van diens geboortedatum.
Toestemmingssleutel:: een door de leverancier toegekend uniek kenmerk aan de door hem van de klant ontvangen toestemming.

ARTIKEL III

De Informatiecode elektriciteit en gas wordt gewijzigd als volgt:

Artikel 2.1.3, onderdelen k, m, n en o vervallen.

Na artikel 2.1.3 worden, onder vervanging van de punt aan het slot van onderdeel u door een puntkomma, drie onderdelen ingevoegd, luidende:

v. [gereserveerd]
w. de aanduiding of het een elektriciteits- of gasaansluiting betreft;
x. indien de netbeheerder hierover beschikt: een nadere duiding omtrent de locatie van het overdrachtspunt van de aansluiting;
y. indien de netbeheerder hierover beschikt: BAG-nummeridentificatie zoals bedoeld in de Wet basisregistraties adressen en gebouwen.

Artikel 2.1.4, onderdeel f, subonderdeel 4°, vervalt.

Aan artikel 2.1.4 wordt, onder vervanging van de punt aan het slot van onderdeel g door een puntkomma, een onderdeel ingevoegd, luidende:

h. een kenmerk dat weergeeft of de kleinverbruikmeetinrichting een conventionele meter dan wel een op afstand uitleesbare meter is.

Aan artikel 2.1.5 worden, onder vervanging van de punt aan het slot van onderdeel e door een puntkomma, vier onderdelen ingevoegd, luidende:

f. in geval van een elektriciteitsaansluiting waarachter zich een of meer productie-installaties bevinden: de aard van die productie-installaties aangeduid met het brandstoftype;
g. in geval van een elektriciteitsaansluiting tot en met 3x80A: de doorlaatwaarde van de aansluiting, aangeduid als het aantal beschikbaar gestelde fasen vermenigvuldigd met de nominale waarde van de overstroombeveiliging per fase;
h. in geval van een elektriciteitsaansluiting: een registratie van de verblijfsfunctie of complexbepaling;
i. in geval van een profielgrootverbruikaansluiting gas: de aansluitcapaciteit van de aansluiting, aangeduid als de G-waarde van de meetinrichting die zich bij de aansluiting bevindt.

Artikel 2.1.5a komt te luiden:

2.1.5a Indien aan een aansluiting secundaire allocatiepunten zijn toegekend, neemt de netbeheerder in het aansluitingenregister tevens deze secundaire allocatiepunten op en legt daarvan de volgende gegevens vast:
- a. Van artikel 2.1.3, de onderdelen b, f tot en met j, q tot en met s, en u;
- b. Van artikel 2.1.3, de onderdelen c, d, e, l en p waarbij de netbeheerder er zorg voor draagt dat deze onderdelen voor de secundaire allocatiepunten gelijk zijn aan die voor het bijbehorende primaire allocatiepunt;
- c. Van artikel 2.1.4, de onderdelen b, d, f, g en h; en
- d. Van artikel 2.1.5,
  - (i) onderdeel f, en
  - (ii) de onderdelen a, b, c en g, waarbij de netbeheerder er zorg voor draagt dat deze onderdelen voor de secundaire allocatiepunten gelijk zijn aan die voor het bijbehorende primaire allocatiepunt.

Artikel 2.1.5b vervalt.

Na artikel 2.1.7 worden een artikel ingevoegd, luidende:

2.1.7a Voordat de netbeheerder de in 2.1.7 bedoelde mutaties daadwerkelijk uitvoert, verstrekt de netbeheerder de gegevens bedoeld in 2.1.3 en 2.1.4 aan de leverancier die de levering aan de hem toegewezen afnemer voortzet.

Na artikel 2.1.11 worden twee artikelen ingevoegd, luidende:

2.1.12 Het is een leverancier uitsluitend toegestaan gegevens uit het aansluitingenregister op te vragen ten behoeve van
- a. identificatie van de aansluiting, zoals vastgelegd in paragraaf 2.2a;
- b. het doen van een aanbod voor levering, zoals vastgelegd in paragraaf 2.2b;
- c. voorbereiding van levering, zoals vastgelegd in paragraaf 2.2c;
- d. levering, zoals vastgelegd in paragraaf 2.2d.
2.1.13 Het is een programmaverantwoordelijke en een meetverantwoordelijke uitsluitend toegestaan gegevens uit het aansluitingenregister op te vragen voor de situatie zoals vastgelegd in paragraaf 2.2d.

De titel van paragraaf 2.2 komt te luiden:

2.2 Wijziging van gegevens in het aansluitingenregister

In artikel 2.2.1 wordt “de leverancier en de programmaverantwoordelijke” vervangen door: de actuele leverancier op de aansluiting.

Artikel 2.2.1, onderdeel d, komt te luiden:

d. de gegevens bedoeld in B7.1;

Artikel 2.2.2 komt te luiden:

2.2.2 De netbeheerder verzendt uiterlijk de werkdag volgend op de dag dat één of meerdere gegevens in het aansluitingenregister zijn gewijzigd, de gegevens van de desbetreffende aansluiting aan de actuele programmaverantwoordelijke op de aansluiting en vermeldt daarbij:
- a. de reden van verzending van de gegevens, te weten: "wijziging gegevens van de aansluiting";
- b. de aanduiding van het desbetreffende mutatieproces, indien het betreft:
  - (i) een leveranciersswitch, een inhuizing, of een switch van programmaverantwoordelijke, of
  - (ii) een verzoek tot wijziging van de allocatiemethode;
- c. de datum waarop het aansluitingenregister door de netbeheerder is gemuteerd;
- d. de gegevens bedoeld in B7.1.

Artikel 2.2.3 komt te luiden:

2.2.3 De netbeheerder verzendt uiterlijk de werkdag volgend op de dag dat één of meerdere gegevens in het aansluitingenregister zijn gewijzigd, de gegevens van de desbetreffende aansluiting aan de actuele meetverantwoordelijke op de aansluiting en vermeldt daarbij:
- a. de reden van verzending van de gegevens, te weten: "wijziging gegevens van de aansluiting";
- b. de aanduiding van het desbetreffende mutatieproces:
  - (i) een leveranciersswitch, een inhuizing, een uithuizing, een eindelevering, een switch van programmaverantwoordelijke, een switch van meetverantwoordelijke, of een wisseling of een wijziging van de meetinrichting, of
  - (ii) een verzoek tot wijziging van de allocatiemethode;
- c. de datum waarop het aansluitingenregister door de netbeheerder is gemuteerd;
- d. de gegevens bedoeld in B7.1.

Artikelen 2.2.4 en 2.2.5 vervallen.

In artikel 2.2.6 wordt “2.2.1” vervangen door: 2.2.1, 2.2.2 en 2.2.3.

Artikelen 2.2.7, 2.2.8, 2.2.9, 2.2.10 en 2.2.11 vervallen.

Na paragraaf 2.2 worden vier paragrafen ingevoegd, luidende:

2.2a Opvraag van gegevens van de aansluiting ten behoeve van identificatie van de aansluiting

2.2a.1 Een leverancier kan ten behoeve van de identificatie van de aansluiting gegevens van de desbetreffende aansluiting opvragen bij de netbeheerder onder vermelding van:
- a.
  - (i) de EAN-code van de aansluiting, of
  - (ii) de adresgegevens van de aansluiting;
- b. indien de opvragende leverancier dat wenst op te geven, een of meer van de volgende gegevens:
  - (i) de productsoort,
  - (ii) het verbruikssegment,
  - (iii) een referentienummer van de opvragende leverancier.
2.2a.2 Naar aanleiding van een opvraag zoals bedoeld in 2.2a.1 controleert de netbeheerder of de opvraag volledig en syntactisch correct is.
2.2a.3 Indien de in 2.2a.2 bedoelde controle één of meer negatieve resultaten oplevert, verstrekt de netbeheerder de opgevraagde gegevens niet en stuurt hij de leverancier onverwijld een bericht onder vermelding van de reden van afwijzing: de opvraag is niet volledig of syntactisch onjuist.
2.2a.4 Tenzij 2.2a.3 van toepassing is, stuurt de netbeheerder een bericht naar de leverancier en verstrekt daarbij, naar aanleiding van de in 2.2a.1 bedoelde opvraag, de gegevens als bedoeld in B7.1.
2.2a.5 De netbeheerder verstuurt de in 2.2a.4 bedoelde gegevens, die betrekking hebben op de dag voorafgaand aan de dag van ontvangst van de opvraag, zo snel mogelijk doch uiterlijk de werkdag na ontvangst van de opvraag aan de opvragende leverancier.

2.2b Opvraag van gegevens van de aansluiting ten behoeve van een aanbod voor levering

2.2b.1 Een leverancier die beschikt over een toestemming van de afnemer kan, ten behoeve van het doen van een aanbod voor een leveringsovereenkomst, bij de netbeheerder gegevens van de desbetreffende kleinverbruikaansluiting opvragen onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. indien de opvragende leverancier dat wenst op te geven: een referentienummer van de opvragende leverancier;
- d. de toestemmingssleutel;
- e. de klantsleutel.
2.2b.2 Naar aanleiding van een opvraag zoals bedoeld in 2.2b.1 controleert de netbeheerder of:
- a. de opvraag volledig en syntactisch correct is;
- b. de EAN-code van de aansluiting voorkomt in het aansluitingenregister;
- c. de aansluiting een kleinverbruikaansluiting is;
- d. de bedrijfs-EAN-code van de leverancier voorkomt in het leveranciersregister;
- e. de klantsleutel overeenkomt met de klantsleutel in de klantsleuteladministratie.
2.2b.3 Indien de in 2.2b.2 bedoelde controle één of meer negatieve resultaten oplevert, verstrekt de regionale netbeheerder de opgevraagde gegevens niet en stuurt hij de leverancier onverwijld een bericht onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de in de opvraag opgegeven EAN-code van de aansluiting;
- c. de reden van afwijzing:
  - 1. de opvraag is niet volledig of syntactisch onjuist;
  - 2. de EAN-code van de aansluiting komt niet voor in het aansluitingenregister;
  - 3. de EAN-code aansluiting betreft geen kleinverbruikaansluiting;
  - 4. de bedrijfs-EAN-code van de opvragende leverancier komt niet voor in het leveranciersregister;
  - 5. de klantsleutel komt niet overeen met de klantsleutel zoals bekend in de klantsleuteladministratie;
  - 6. er is voor deze aansluiting geen klantsleutel aanwezig in de klantsleuteladministratie;
- d. indien aangeleverd in de opvraag: het referentienummer van de opvragende leverancier.
2.2b.4 Tenzij 2.2b.3 van toepassing is, stuurt de regionale netbeheerder een bericht naar de leverancier en verstrekt, naar aanleiding van de in 2.2b.1 bedoelde opvraag, de gegevens als bedoeld in B7.1.
2.2b.5 De netbeheerder verstuurt de in 2.2b.4 bedoelde gegevens, die betrekking hebben op de dag voorafgaand aan de dag van ontvangst van de opvraag, zo snel mogelijk doch uiterlijk de werkdag na ontvangst van de opvraag aan de opvragende leverancier.

2.2c Opvraag van gegevens van de aansluiting ten behoeve van voorbereiding van levering

2.2c.1 Een leverancier die beschikt over een leveringsovereenkomst, maar nog niet de actuele leverancier is op de desbetreffende kleinverbruikaansluiting, en
- (i) wiens leveringsovereenkomst voor de desbetreffende kleinverbruiker is geregistreerd in het contracteindegegevensregister, of
- (ii) wiens melding als bedoeld in 2.5.5 voor de desbetreffende kleinverbruiker is geregistreerd in het contracteindegegevensregister,
kan bij de netbeheerder gegevens horend bij de desbetreffende kleinverbruikaansluiting opvragen onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. indien de leverancier dat wenst op te geven: een referentienummer van de leverancier.
2.2c.2 Naar aanleiding van een opvraag zoals bedoeld in 2.2c.1 controleert de netbeheerder of:
- a. de opvraag volledig en syntactisch correct is;
- b. de EAN-code van de aansluiting voorkomt in het aansluitingenregister;
- c. de aansluiting een kleinverbruikaansluiting is;
- d. de bedrijfs-EAN-code van de leverancier voorkomt in het leveranciersregister;
- e. er in het contracteindegegevensregister een leveringsovereenkomst of een melding als bedoeld in 2.5.5 voor deze aansluiting is geregistreerd ten name van de opvragende leverancier.
2.2c.3 Indien de in 2.2c.2 bedoelde controle één of meer negatieve resultaten oplevert, verstrekt de regionale netbeheerder de opgevraagde gegevens niet en stuurt hij de leverancier onverwijld een bericht onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de in de opvraag opgegeven EAN-code van de aansluiting;
- c. de reden van afwijzing:
  - 1. de opvraag is niet volledig of syntactisch onjuist;
  - 2. de EAN-code van de aansluiting komt niet voor in het aansluitingenregister;
  - 3. de EAN-code aansluiting betreft geen kleinverbruikaansluiting;
  - 4. de bedrijfs-EAN-code van de opvragende leverancier komt niet voor in het leveranciersregister;
  - 5. in het contracteindegegevensregister is voor deze aansluiting geen leveringsovereenkomst of een melding als bedoeld in 2.5.5 geregistreerd ten name van de opvragende leverancier;
- d. indien aangeleverd in de opvraag: het referentienummer van de opvragende leverancier.
2.2c.4 Tenzij 2.2c.3 van toepassing is, stuurt de regionale netbeheerder een bericht naar de leverancier en verstrekt daarbij, naar aanleiding van de in 2.2c.1 bedoelde opvraag, de gegevens als bedoeld in B7.1.
2.2c.5 De netbeheerder verstuurt de in 2.2c.4 bedoelde gegevens, die betrekking hebben op de dag voorafgaand aan de dag van ontvangst van de opvraag, zo snel mogelijk doch uiterlijk de werkdag na ontvangst van de opvraag aan de opvragende leverancier.

2.2d Opvraag van gegevens van de aansluiting ten behoeve van levering

2.2d.1 De actuele leverancier, de actuele programmaverantwoordelijke dan wel, indien het een grootverbruikaansluiting betreft, de actuele meetverantwoordelijke behorende bij de desbetreffende aansluiting, of een leverancier, programmaverantwoordelijke of meetverantwoordelijke die beschikt over een machtiging van de aangeslotene om eenmalig de gegevens van de aansluiting op te vragen voor een grootverbruikaansluiting, kan bij de netbeheerder de gegevens van de desbetreffende aansluiting opvragen onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende partij;
- b. de EAN-code van de aansluiting;
- c. de bedrijfs-EAN-code van de netbeheerder;
- d. indien de opvragende partij dat wenst op te geven: een referentienummer van de opvragende partij.
2.2d.2 Naar aanleiding van een opvraag zoals bedoeld in 2.2d.1 controleert de netbeheerder of:
- a. de opvraag volledig en syntactisch correct is;
- b. de EAN-code van de aansluiting voorkomt in het aansluitingenregister;
- c. indien het een kleinverbruikaansluiting betreft, de opvragende partij de actuele leverancier dan wel actuele programmaverantwoordelijke behorende bij de desbetreffende aansluiting is;
- d. de bedrijfs-EAN-code van de opvragende leverancier voorkomt in het leveranciersregister dan wel de opvragende programmaverantwoordelijke een volledige erkenning heeft volgens het programmaverantwoordelijkenregister dan wel de opvragende meetverantwoordelijke beschikt over een erkenning als bedoeld in bijlage 4.2 van de Meetcode elektriciteit of bijlage 3.2 van de Meetcode gas RNB.
2.2d.3 Indien de in 2.2d.2 bedoelde controle één of meer negatieve resultaten oplevert, verstrekt de regionale netbeheerder de opgevraagde gegevens niet en stuurt hij de opvragende partij onverwijld een bericht onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende partij;
- b. de in de opvraag opgegeven EAN-code van de aansluiting;
- c. de bedrijfs-EAN-code van de netbeheerder;
- d. de reden van afwijzing:
  - 1. de opvraag is niet volledig of syntactisch onjuist;
  - 2. de EAN-code van de aansluiting komt niet voor in het aansluitingenregister;
  - 3. de bedrijfs-EAN-code van de leverancier komt niet voor in het leveranciersregister, dan wel de opvragende programmaverantwoordelijke beschikt volgens het programmaverantwoordelijkenregister niet over een volledige erkenning, dan wel de opvragende meetverantwoordelijke beschikt niet over een erkenning;
  - 4. indien het een kleinverbruikaansluiting betreft: de opvragende partij is niet de actuele leverancier dan wel programmaverantwoordelijke behorende bij de desbetreffende aansluiting.
- e. indien aangeleverd in de opvraag: het referentienummer van de opvragende partij.
2.2d.4 Tenzij 2.2d.3 van toepassing is, stuurt de regionale netbeheerder een bericht naar de opvragende partij en verstrekt daarbij, naar aanleiding van de in 2.2d.1 bedoelde opvraag, de gegevens als bedoeld in B7.1.
2.2d.5 De netbeheerder verstuurt de in 2.2d.4 bedoelde gegevens, die betrekking hebben op de dag voorafgaand aan de dag van ontvangst van de opvraag, zo snel mogelijk doch uiterlijk de werkdag na ontvangst van de opvraag aan de opvragende leverancier, programmaverantwoordelijke of meetverantwoordelijke.

Artikel 2.3.1 komt te luiden:

2.3.1 De regionale netbeheerders zijn gezamenlijk verantwoordelijk voor de inrichting en het beheer van een openbaar register, hierna te noemen het EAN-codeboek.

Artikel 2.3.2 komt te luiden:

2.3.2 De regionale netbeheerders stellen in het EAN-codeboek per aansluiting de volgende gegevens beschikbaar zoals bedoeld in 2.1.3, onderdelen b, d, e, u en w.

Artikel 2.3.3 vervalt.

Artikel 2.3.4 komt te luiden:

2.3.4 De regionale netbeheerders stellen het EAN-codeboek online beschikbaar.

In artikel 2.5.1 vervallen “met uitsluiting van aansluitingen die een beroep doen op artikel 95n van de Elektriciteitswet 1998” en “met uitsluiting van aansluitingen die een beroep doen op artikel 52c van de Gaswet”.

Artikel 2.5.2 vervalt.

Artikel 2.5.3 komt te luiden:

2.5.3 De leverancier verstrekt tenminste eenmaal per vijf werkdagen, per actuele leveringsovereenkomst en per leveringsovereenkomst die in de toekomst start, de volgende contractgegevens aan de regionale netbeheerders voor registratie in het contracteindegegevensregister:
- a. de EAN-code van de aansluiting;
- b. de einddatum van de leveringsovereenkomst indien van toepassing;
- c. de opzegtermijn;
- d. de bedrijfs-EAN-code van de leverancier.

Artikel 2.5.4 komt te luiden:

2.5.4 Artikel 2.5.3 is niet van toepassing op aansluitingen waarvoor een beroep is gedaan op artikel 95n van de Elektriciteitswet 1998 of op artikel 52c van de Gaswet.

Artikel 2.5.5 vervalt.

Na artikel 2.5.4 worden zeven artikelen ingevoegd, luidende:

2.5.5 Onverminderd 2.5.3 en 2.5.4 kan de leverancier, onmiddellijk nadat hij met een kleinverbruiker een leveringsovereenkomst heeft afgesloten, hiervan een melding doen met de hiernavolgende gegevens:
- a. de EAN-code van de aansluiting;
- b. de bedrijfs-EAN-code van de leverancier;
- c. indien gewenst: het referentienummer van de leverancier.
2.5.6 De regionale netbeheerder registreert de in 2.5.4 bedoelde gegevens binnen een werkdag in het contracteindegegevensregister.
2.5.7 De regionale netbeheerder registreert de in 2.5.5, onderdelen a en b, bedoelde gegevens onmiddellijk in het contracteindegegevensregister en verwijdert deze één maand nadien uit het contracteindegegevensregister. De netbeheerder archiveert de verwijderde gegevens gedurende 1 jaar in verband met mogelijke klachten.
2.5.8 De regionale netbeheerder kan, indien daar reden voor is, de door de leverancier vastgelegde contractgegevens, behorende bij een opvraging zoals bedoeld in 2.2c.1, 2.5a.1 of 2.5b.1 bij de leverancier opvragen onder vermelding van:
- a. de EAN-code van de aansluiting;
- b. de datum van de opvraag zoals bedoeld in 2.2c.1, 2.5a.1 of 2.5b.1.
2.5.9 De leverancier verstrekt de opgevraagde contractgegevens binnen 72 uur aan de regionale netbeheerder.
2.5.10 De netbeheerder bewaart de ontvangen contractgegevens zo lang als noodzakelijk is ten behoeve van aanhangige geschillen.
2.5.11 Het is een leverancier uitsluitend toegestaan gegevens uit het contracteindegegevensregister op te vragen ten behoeve van
- a. het doen van een aanbod voor levering, zoals vastgelegd in paragraaf 2.5a;
- b. voorbereiding van levering, zoals vastgelegd in paragraaf 2.5b.

Na paragraaf 2.5 worden twee paragrafen ingevoegd, luidende:

2.5a Opvraag van contracteindegegevens ten behoeve van een aanbod voor levering

2.5a.1 Een leverancier die beschikt over een toestemming van de afnemer kan, ten behoeve van het doen van een aanbod voor een leveringsovereenkomst, bij de netbeheerder contracteindegegevens van de desbetreffende kleinverbruikaansluiting opvragen onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. indien de opvragende leverancier dat wenst op te geven: een referentienummer van de opvragende leverancier;
- d. de toestemmingssleutel;
- e. de klantsleutel.
2.5a.2 De regionale netbeheerder controleert of:
- a. de opvraag volledig en syntactisch correct is;
- b. de EAN-code van de aansluiting is geregistreerd in het contracteindegegevensregister;
- c. de bedrijfs-EAN-code van de opvragende leverancier voorkomt in het leveranciersregister;
- d. de klantsleutel overeenkomt met de klant-sleutel voor deze aansluiting in de klantsleuteladministratie;
- e. de opvraag is voorzien van een toestemmingssleutel.
2.5a.3 Indien de controle één of meer negatieve resultaten oplevert, verstrekt de regionale netbeheerder de opgevraagde gegevens niet en stuurt hij de leverancier uiterlijk één werkdag na ontvangst van de opvraag een bericht onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. indien aangeleverd bij de opvraag: het referentienummer van de opvragende leverancier;
- d. de reden van afwijzing:
  - 1° de opvraag contracteindegegevens is niet volledig of syntactisch onjuist;
  - 2° de EAN-code van de aansluiting komt niet voor in het contracteindegegevensregister;
  - 3° de bedrijfs-EAN-code van de opvragende leverancier komt niet voor in het leveranciersregister;
  - 4° de door de leverancier aangeleverde klantsleutel komt niet overeen met de klantsleutel voor de aansluiting in de klantsleuteladministratie;
  - 5° het verzoek is niet voorzien van een toestemmingssleutel.
2.5a.4 Tenzij 2.5a.3 van toepassing is, stuurt de regionale netbeheerder uiterlijk één werkdag na ontvangst van de opvraag een bericht naar de leverancier en verstrekt daarbij de volgende gegevens:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. indien aangeleverd bij de opvraag: het referentienummer van de opvragende leverancier;
- d. indien beschikbaar: de contracteinddatum die het verst in de toekomst ligt;
- e. de opzegtermijn behorende bij de leveringsovereenkomst met de verst in de toekomst gelegen contracteinddatum.

2.5b Opvraag van contracteindegegevens ten behoeve van voorbereiding van levering

2.5b.1 Een leverancier die beschikt over een leveringsovereenkomst waarvan de startdatum voor levering in te toekomst ligt en
- (i) wiens leveringsovereenkomst voor de desbetreffende kleinverbruiker is geregistreerd in het contracteindegegevensregister, of
- (ii) wiens melding als bedoeld in 2.5.5 voor de desbetreffende kleinverbruiker is geregistreerd in het contracteindegegevensregister,
kan bij de netbeheerder contracteindegegevens horend bij de desbetreffende kleinverbruikaansluiting opvragen onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. indien de leverancier dat wenst op te geven: een referentienummer van de leverancier.
2.5b.2 De regionale netbeheerder controleert of:
- a. de opvraag volledig en syntactisch correct is;
- b. de EAN-code van de aansluiting is geregistreerd in het contracteindegegevensregister;
- c. de bedrijfs-EAN-code van de opvragende leverancier voorkomt in het leveranciersregister;
- d. er in het contracteindegegevensregister een leveringsovereenkomst of een melding als bedoeld in 2.5.5 voor deze aansluiting is geregistreerd ten name van de opvragende leverancier.
2.5b.3 Indien de controle één of meer negatieve resultaten oplevert, verstrekt de regionale netbeheerder de opgevraagde gegevens niet en stuurt hij de leverancier uiterlijk één werkdag na ontvangst van de opvraag een bericht onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. indien aangeleverd bij de opvraag: het referentienummer van de opvragende leverancier;
- d. de reden van afwijzing:
  - 1° de opvraag contracteindegegevens is niet volledig of syntactisch onjuist;
  - 2° de EAN-code van de aansluiting komt niet voor in het contracteindegegevensregister;
  - 3° de bedrijfs-EAN-code van de opvragende leverancier komt niet voor in het leveranciersregister;
  - 4° in het contracteindegegevensregister is voor deze aansluiting geen leveringsovereenkomst of een melding als bedoeld in 2.5.5 geregistreerd ten name van de opvragende leverancier.
2.5b.4 Tenzij 2.5b.3 van toepassing is, stuurt de regionale netbeheerder uiterlijk één werkdag na ontvangst van de opvraag een bericht naar de leverancier en verstrekt daarbij de volgende gegevens:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. indien aangeleverd bij de opvraag: het referentienummer van de opvragende leverancier.
- d. indien beschikbaar: de contracteinddatum die het verst in de toekomst ligt;
- e. de opzegtermijn behorende bij de leveringsovereenkomst met de verst in de toekomst gelegen contracteinddatum.

In artikel 2.6.2 vervalt “, bedoeld in 2.6.1,” en wordt in onderdeel c na “5.3.4.4” ingevoegd: en 5.3.4.5.

Artikel 2.6.3 komt te luiden:

2.6.3 Het is een leverancier uitsluitend toegestaan de in 2.6.2 bedoelde gegevens op te vragen als:
- a. de leverancier op de desbetreffende aansluiting is geregistreerd;
- b. de leverancier op de desbetreffende aansluiting geregistreerd is geweest;
- c. voor de desbetreffende aansluiting een leveringsovereenkomst van de leverancier is geregistreerd in het contracteindegegevensregister;
- d. voor de desbetreffende aansluiting een melding als bedoeld in 2.5.5 van de leverancier is geregistreerd in het contracteindegegevensregister.

Na artikel 2.6.3 worden zeven artikelen ingevoegd, luidende:

2.6.4 De in 2.6.3, onderdeel a, bedoelde leverancier kan gegevens uit het toegankelijk meetregister opvragen voor zover:
- a. deze gegevens betrekking hebben op de periode waarin de leverancier op de aansluiting vermeld is in het aansluitingenregister, of
- b. deze gegevens betrekking hebben op de daaraan voorafgaande periode:
  - 1° de laatste vastgestelde stand met de herkomst zoals bedoeld in B5.1 met uitzondering van de berekende en de overeengekomen stand, en
  - 2° de berekende en overeengekomen standen na de datum van de onder 1° bedoelde laatst vastgestelde stand.
2.6.5 De in 2.6.3, onderdeel b, bedoelde leverancier kan gegevens uit het toegankelijk meetregister opvragen voor zover deze gegevens betrekking hebben op de periode waarin de leverancier op de aansluiting vermeld is geweest in het aansluitingenregister of op de eerstvolgende vier maanden daarna.
2.6.6 De in 2.6.3, onderdelen c en d, bedoelde leverancier kan voorafgaand aan zijn periode van levering de volgende gegevens opvragen uit het toegankelijk meetregister:
- a. de laatste vastgestelde stand met de herkomst zoals bedoeld in B5.1 met uitzondering van de berekende en de overeengekomen stand, en
- b. de berekende en overeengekomen standen na de datum van de onder a bedoelde laatst vastgestelde stand tot aan het moment van opvraag.
2.6.7 De leverancier vraagt de gegevens als bedoeld in 2.6.4, 2.6.5 en 2.6.6 op bij de netbeheerder onder vermelding van de volgende gegevens:
- a. zijn bedrijfs-EAN-code;
- b. de EAN-code van de aansluiting.
2.6.8 De netbeheerder controleert of:
- a. de opvraag volledig en syntactisch correct is;
- b. de EAN-code van de aansluiting voorkomt in het toegankelijk meetregister, en
- c. de opvragende leverancier als leverancier in het aansluitingenregister is vermeld of is vermeld geweest op de aansluiting, dan wel,
  - (i) er van de opvragende leverancier voor de desbetreffende aansluiting een leveringsovereenkomst of een melding als bedoeld in 2.5.5 is geregistreerd in het contracteindegegevensregister, en
  - (ii) het een meetinrichting betreft die niet op afstand uitleesbaar is of niet uitgelezen mag worden.
2.6.9 Indien de controle één of meer negatieve resultaten oplevert, verstrekt de regionale netbeheerder de opgevraagde gegevens niet en stuurt hij de leverancier onverwijld een bericht onder vermelding van:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. de reden van afwijzing:
  - 1° de opvraag is niet volledig of syntactisch onjuist;
  - 2° de EAN-code van de aansluiting is onbekend;
  - 3° de opvragende leverancier is niet als leverancier in het aansluitingenregister vermeld of vermeld geweest op de aansluiting;
  - 4° voor de desbetreffende aansluiting is geen leveringsovereenkomst of melding als bedoeld in 2.5.5 geregistreerd voor de opvragende leverancier;
  - 5° het betreft een meetinrichting die op afstand uitleesbaar is.
2.6.10 Tenzij 2.6.9 van toepassing is, stuurt de regionale netbeheerder onverwijld een bericht aan de leverancier en verstrekt daarbij de volgende gegevens voor zover die betrekking hebben op de in 2.6.4, 2.6.5 en 2.6.6 bedoelde periodes:
- a. de bedrijfs-EAN-code van de opvragende leverancier;
- b. de EAN-code van de aansluiting;
- c. de identificatie van de meetinrichting;
- d. per verbruiksperiode per telwerk:
  - 1° de beginstand met bijbehorende opnamedatum en herkomst van de meterstand;
  - 2° de eindstand met bijbehorende opnamedatum en herkomst van de meterstand;
  - 3° het verbruik;
  - 4° de tariefzone.

Na paragraaf 2.13 worden twee paragrafen ingevoegd, luidende:

2.14 De klantsleuteladministratie

2.14.1 De regionale netbeheerders zijn gezamenlijk verantwoordelijk voor de inrichting en het beheer van een centrale administratie van klantsleutels, hierna te noemen de klantsleuteladministratie.
2.14.2 De klantsleuteladministratie heeft betrekking op:
- a. de afnemers die beschikken over een aansluiting als bedoeld in artikel 95a van de Elektriciteitswet 1998;
- b. de afnemers die beschikken over een aansluiting als bedoeld in artikel 43 van de Gaswet.
2.14.3 De leverancier verstrekt uiterlijk de volgende werkdag nadat een mutatie heeft plaatsgevonden als bedoeld in 3.1.3.1 of 3.3.3.1, of nadat de door hem geadministreerde sleutelgegevens zijn gewijzigd, de hem bekende klantsleutel aan de regionale netbeheerder onder vermelding van de volgende gegevens:
- a. de EAN-code van de aansluiting;
- b. de bedrijfs-EAN-code van de leverancier;
- c. Indien de leverancier daarover beschikt: de laatste drie cijfers van de IBAN van de afnemer op de aansluiting;
- d. indien de leverancier daarover beschikt: de maand en dag van de geboortedatum van de afnemer op de aansluiting;
- e. indien de leverancier dat wenst op te geven: het referentienummer van de leverancier.
2.14.4 De regionale netbeheerder verwerkt de in 2.14.3 bedoelde gegevens niet, en bericht de leverancier hierover binnen een werkdag, ingeval:
- a. de gegevensverstrekking syntactisch onjuist of onvolledig is;
- b. de EAN-code van de aansluiting niet voorkomt in het aansluitingenregister;
- c. de verstrekkende leverancier niet de actuele leverancier is.
2.14.5 Tenzij 2.14.4 van toepassing is, verwerkt de regionale netbeheerder de in 2.14.3 bedoelde gegevens binnen een werkdag in de klantsleuteladministratie en bericht de leverancier hierover onmiddellijk nadien.
2.14.6 Indien de netbeheerder een leveranciersswitch, uithuizing, inhuizing of een verwijdering van een aansluiting in het aansluitingenregister heeft geëffectueerd op grond van 3.1.3.1, 3.2.3.1, 3.3.3.1 respectievelijk 3.10.1.4, verwijdert de netbeheerder onmiddellijk nadien de bij de desbetreffende aansluiting behorende klantsleutel uit de klantsleuteladministratie.

2.15 De toestemmingenadministratie

2.15.1 De leverancier is verantwoordelijk voor de inrichting en het beheer van een administratie van toestemmingen die kleinverbruikers hem hebben verstrekt voor het doen van opvragingen als bedoeld in 2.2b.1 of 2.5a.1, hierna te noemen de toestemmingenadministratie.
2.15.2 De toestemmingenadministratie bevat minimaal de volgende gegevens:
- a. de toestemmingssleutel;
- b. de naam van de desbetreffende kleinverbruiker;
- c. de datum waarop de toestemming door de leverancier is ontvangen;
- d. het doel van de toestemming;
- e. de toestemming;
- f. de wijze waarop de desbetreffende kleinverbruiker de toestemming heeft gegeven;
- g. de postcode en het huisnummer met eventuele huisnummertoevoeging van het adres van de desbetreffende kleinverbruiker;
- h. de EAN-code van de aansluiting van de desbetreffende kleinverbruiker.
2.15.3 De netbeheerder kan, indien daar reden voor is, de gegevens uit de toestemmingenadministratie gedurende de bewaartermijn als bedoeld in 10.1.4b.2 en 10.1.4b.3, opvragen bij de leverancier onder vermelding van:
- a. de EAN-code van de aansluiting;
- b. de toestemmingssleutel van de opvraag zoals bedoeld in 2.2b.1, onderdeel d, of 2.5a.1, onderdeel d.
2.15.4 De leverancier verstrekt de uit de toestemmingenadministratie opgevraagde gegevens binnen 72 uur aan de regionale netbeheerder.

In de artikelen 3.1.1.1, 3.2.1.1 en 3.3.1.1 vervalt de eerste zin en wordt “deze machtiging” vervangen door: de leveringsovereenkomst met de desbetreffende kleinverbruiker.

In artikel 3.5.1.1 wordt “De leverancier stuurt” vervangen door: Op grond van de leveringsovereenkomst met de desbetreffende kleinverbruiker stuurt de actuele leverancier.

In artikel 3.6.2.1 wordt “De leverancier stuurt” vervangen door: Op grond van de leveringsovereenkomsten met de desbetreffende kleinverbruikers stuurt de leverancier.

In artikel 3.14.1.3 vervalt “met dien verstande dat voor de leverancierswitch ter correctie geen nieuwe machtiging van de aangeslotene benodigd is”.

In de artikelen 3.14.2.2 en 3.14.3.2 vervalt “, met dien verstande dat geen nieuwe machtiging van de aangeslotene benodigd is”.

In artikel 3.14.3.5 vervalt de laatste zin.

In artikel 3.14.4.2 vervalt “, met dien verstande dat geen nieuwe machtiging van de aangeslotene benodigd is”.

In artikel 9.1.2 wordt “Het overlegplatform” vervangen door: De ondernemingen als bedoeld in 9.1.1.

Aan artikel 9.1.2 wordt, onder vervanging van de punt aan het slot van onderdeel c door een puntkomma, een onderdeel ingevoegd, luidende:

d. de wijze waarop marktpartijen hun autorisatie- en beveiligingsbeleid bedoeld in 9.1a inrichten.

Artikel 9.1.3 komt te luiden:

9.1.3 De netbeheerders zijn gezamenlijk verantwoordelijk voor de centrale communicatiesystemen en besteden de inrichting en het beheer ervan in het algemeen en de uitvoeringshandelingen als bedoeld in 9.1.5, 9.1.7 en 9.1.10 in het bijzonder uit aan een uitvoeringsorganisatie.

Artikel 9.1.5 komt te luiden:

9.1.5 De gezamenlijke netbeheerders organiseren bij wijziging van de procedures, specificaties, berichtspecificaties of communicatieprotocollen, bedoeld in 9.1.2, een test waarbij een netbeheerder, leverancier, programmaverantwoordelijke of meetverantwoordelijke die aantoonbaar voldoet aan de betreffende procedures, specificaties, berichtspecificaties of communicatieprotocollen een verklaring ontvangt dat de test succesvol is doorlopen.

Artikel 9.1.6 komt te luiden:

9.1.6 Het is een netbeheerder, leverancier, programmaverantwoordelijke of meetverantwoordelijke slechts toegestaan een bericht uit te wisselen met de centrale communicatiesystemen, als die onderneming voor het betreffende bericht in bezit is van de verklaring, bedoeld in 9.1.5.

Artikel 9.1.7 komt te luiden:

9.1.7 De gezamenlijke netbeheerders zullen de toegang van een netbeheerder, leverancier, programmaverantwoordelijke of meetverantwoordelijke tot de centrale systemen weigeren indien:
- a. de onderneming niet beschikt over de verklaring, bedoeld in 9.1.5;
- b. de onderneming, na daartoe uitgenodigd door de uitvoeringsorganisatie, bedoeld in 9.1.3, niet onverwijld een test aanvraagt;
- c. de onderneming binnen twee weken na de uitnodiging, bedoeld in 9.1.7 onderdeel b, nog niet de in 9.1.5 bedoelde verklaring in het bezit heeft;
- d. de onderneming uit eigen beweging de verklaring, bedoeld in 9.1.5, inlevert bij de uitvoeringsorganisatie, bedoeld in 9.1.3;
- e. de verklaring, bedoeld in 9.1.5, vanuit beveiligingsoverwegingen wordt ingetrokken
- f. de toezichthouder daar een aanwijzing toe geeft.

In artikel 9.1.8 wordt zowel “stelt de uitvoeringsorganisatie, bedoeld in 9.1.3,” in de eerste zin als “stelt de uitvoeringsorganisatie” in de tweede zin vervangen door: stellen de gezamenlijke netbeheerders.

Artikel 9.1.9 komt te luiden:

9.1.9 De gezamenlijke netbeheerders voeren de openstelling als bedoeld in 9.1.8 pas uit als de beheerder van het gesloten distributiesysteem een afschrift van de aan hem krachtens artikel 15, tweede lid, van de Wet verleende ontheffing heeft verstrekt aan de uitvoeringsorganisatie, bedoeld in 9.1.3.

In artikel 9.1.10 wordt “stelt de Autoriteit Consument en Markt de uitvoeringsorganisatie, bedoeld in 9.1.3, daarvan op de hoogte. De uitvoeringsorganisatie stelt” vervangen door: stellen de gezamenlijke netbeheerders.

In artikel 9.1.11 wordt “De uitvoeringsorganisatie, bedoeld in 9.1.3” vervangen door: De ondernemingen als bedoeld in 9.1.1.

Artikel 9.1.12 komt te luiden:

9.1.12 Een onderneming die toegang heeft tot de centrale communicatiesystemen is gehouden tot de uitvoering en instandhouding van beveiligingsprocedures en -maatregelen om berichten en de verbindingen met de centrale communicatiesystemen te beschermen tegen verlies en tegen ongeautoriseerde kennisneming, wijziging of vernietiging, alsmede om ongeautoriseerde toegang tot de centrale communicatiesystemen te voorkomen.

Na paragraaf 9.1 wordt een paragraaf ingevoegd, luidende:

9.1a Autorisatiebeleid en derdentoegang

9.1a.1 Een onderneming die toegang heeft tot de centrale communicatiesystemen heeft een autorisatiebeleid dat bepaalt dat alle dataverzoeken en mutatieverzoeken, van de betreffende marktpartij in de centrale communicatiesystemen, tot de persoon herleidbaar zijn.
9.1a.2 Een onderneming die toegang heeft tot de centrale communicatiesystemen, draagt er zorg voor dat het gebruik van de centrale communicatiesystemen door een door hem ingeschakelde derde altijd verloopt via een door die onderneming gecontroleerd communicatiesysteem.
9.1a.3 De onderneming die gebruik maakt van de centrale communicatiesystemen, beschikt over een procedure die de omgang met beveiligingsincidenten beschrijft en meldt beveiligingsincidenten met betrekking tot de centrale communicatiesystemen onverwijld aan de gezamenlijke netbeheerders.
9.1a.4 Een onderneming die toegang heeft tot de centrale communicatiesystemen dient te waarborgen dat een door hem ingeschakelde derde voldoet aan de verplichtingen bedoeld in 9.1.12 en 9.1a.1.

De titel van paragraaf 10.1 komt te luiden:

10.1 Registers en administraties

Artikel 10.1.2.1 komt te luiden:

10.1.2.1 De gegevens bedoeld in paragraaf 2.3 worden vastgelegd, uitgewisseld, gebruikt of bewaard ten behoeve van de marktprocessen voor de elektriciteitsmarkt en gasmarkt.

In artikel 10.1.2.2 vervalt “, bedoeld in 2.3.5”.

In artikel 10.1.2.3 wordt “leverancier” vervangen door: opvragende partij.

Na paragraaf 10.1.4 worden twee paragrafen ingevoegd, luidende:

10.1.4a De klantsleuteladministratie

10.1.4a.1 De klantsleutel als bedoeld in 2.14.1 wordt vastgelegd, uitgewisseld of bewaard voor de uitvoering van de processen bedoeld in paragrafen 2.2b en 2.5a.
10.1.4a.2 De regionale netbeheerders bewaren de klantsleutel als bedoeld in 2.14.1 totdat zij deze moeten verwijderen op grond van 2.14.6.
10.1.4a.3 De leverancier bewaart de door hem op grond van 2.2b.1 of 2.5a.1 verkregen klantsleutel niet langer dan voor het doen van een aanbod nodig is.

10.1.4b De toestemmingenadministratie

10.1.4b.1 De toestemmingen als bedoeld in 2.15.1 worden vastgelegd, uitgewisseld of bewaard voor de uitvoering van de processen bedoeld in paragraaf 2.2b en 2.5a.
10.1.4b.2 De leverancier bewaart de door hem vastgelegde toestemmingsgegevens één jaar.
10.1.4b.3 In afwijking van 10.1.4b.2 bewaart de leverancier de vastgelegde toestemmingsgegevens zo lang als noodzakelijk is ten behoeve van aanhangige geschillen.
10.1.4b.4 De regionale netbeheerder bewaart de door hem op grond van 2.2b.1 of 2.5a.1 ontvangen toestemmingssleutel ten hoogste één jaar.
10.1.4b.5 De regionale netbeheerder bewaart de door hem op grond van 2.15.4 ontvangen toestemmingsgegevens ten hoogste één maand.
10.1.4b.6 In afwijking van 10.1.4b.5 bewaart de regionale netbeheerder de ontvangen toestemmingsgegevens zo lang als noodzakelijk is ten behoeve van aanhangige geschillen.

Aan artikel 10.1.5.1 wordt aan het slot ingevoegd:, tenzij in 10.1.5 uitdrukkelijk anders is bepaald.

In artikel 10.1.5.1 wordt “wet Bescherming persoonsgegevens” vervangen door: Algemene verordening gegevensbescherming.

Na artikel 10.1.5.1 wordt een artikel ingevoegd, luidende

10.1.5.2 De leverancier bewaart de hem op grond van 2.2b.4 verstrekte gegevens ten hoogste drie maanden voor het doen van een aanbod voor een leveringsovereenkomst.

In artikel 10.2.3, artikel 10.3.3, Bijlage B6.1 en Bijlage B6.2 wordt “Wet bescherming persoonsgegevens” vervangen door Algemene verordening gegevensbescherming.

In artikel 10.2.3 en artikel 10.3.3 wordt “College bescherming persoonsgegevens” vervangen door Autoriteit persoonsgegevens.

Na Bijlage 6 wordt Bijlage 7 ingevoegd, luidende:

Bijlage 7 Gegevensverstrekkingen naar aanleiding van opvraag of wijziging van aansluitinggegevens

B7.1

De netbeheerder verstrekt op grond van 2.2.1, 2.2.2, 2.2.3, 2.2a.4, 2.2b.4, 2.2c.4 of 2.2d.4 de gegevens betreffende kleinverbruikaansluitingen of grootverbruikaansluitingen aan leveranciers, programmaverantwoordelijken of meetverantwoordelijken, zoals aangegeven in onderstaande tabel:

			Artikel 2.2a.4	Artikel 2.2a.4	Artikel 2.2b.4	Artikel 2.2c.4	Artikel 2.2d.4, 2.2.1	Artikel 2.2d.4, 2.2.2	Artikel 2.2d.4, 2.2.1, 2.2.2, 2.2.3
		Betreft grootverbruikaansluiting (GV) / kleinverbruikaansluiting (KV)	KV	GV	KV	KV	KV	KV	GV
		Verstrekking aan leverancier	x	x	x	x	x		x
		Verstrekking aan programmaverantwoordelijke						x	x
		Verstrekking aan meetverantwoordelijke							x

Artikel 2.1.3	a	de naam van de aangeslotene met wie de aansluit- en transportovereenkomst is gesloten;
	b	de EAN-code van de aansluiting;	x	x	x	x	x	x	x
	c	de EAN-code van het netgebied waarin de aansluiting zich bevindt;	x	x	x	x	x	x	x
	d	de bedrijfs-EAN-code van de netbeheerder;	x	x	x	x	x	x	x
	e	de adresgegevens behorend bij het overdrachtspunt van de aansluiting;	x	x	x	x	x		x
	f	de identificatie van de actuele leverancier behorende bij de desbetreffende aansluiting (bedrijfs-EAN-code);					x	x	x
	g	de identificatie van de actuele programmaverantwoordelijke op de desbetreffende aansluiting (bedrijfs-EAN-code);					x	x	x
	h	een kenmerk dat de fysieke status van de aansluiting weergeeft;				x	x	x	x
	i	een kenmerk dat de administratieve status van de aansluiting weergeeft;					x	x	x
	j	een kenmerk dat de leveringsrichting op de aansluiting weergeeft;		x	x	x	x	x	x
	l	de aanduiding of de aansluiting behoort tot de categorie grootverbruik, kleinverbruik of artikel 1 lid 2 of lid 3 van de Elektriciteitswet 1998;	x	x	x	x	x	x	x
	p	de wijze waarop de desbetreffende aansluiting wordt bemeten;		x		x	x	x	x
	q	de profielcategorie voor elektriciteit respectievelijk de afnamecategorie voor gas die van toepassing is op de desbetreffende aansluiting;		x	x	x	x	x	x
	r	in geval van aansluitingen waarbij de allocatie met behulp van profielen plaatsvindt: het standaardjaarverbruik, in geval van een elektriciteitsaansluiting onderscheiden naar normaaluren en laaguren indien de aansluiting over een meetinrichting met telwerken voor normaaluren en laaguren beschikt.			x	x	x	x	x
	s	een kenmerk dat de allocatiemethode op de aansluiting weergeeft;					x	x	x
	t	de EAN-codes van de secundaire allocatiepunten die aan de aansluiting zijn toegekend;			x	x	x		x
	u	in geval van een secundair allocatiepunt: de EAN-code van het bijbehorende primaire allocatiepunt;	x	x	x	x	x		x
	v	[gereserveerd]		x					x
	w	de aanduiding of het een elektriciteits- of gasaansluiting betreft;	x	x	x	x	x	x	x
	x	indien de netbeheerder hierover beschikt: een nadere duiding omtrent de locatie van het overdrachtspunt van de aansluiting;	x	x	x	x	x		x
	y	indien de netbeheerder hierover beschikt: BAG-nummeridentificatie zoals bedoeld in artikel 1, onderdeel d van de Wet basisregistraties adressen en gebouwen.	x	x	x	x	x		x

Artikel 2.1.4	a	de capaciteitstariefcode;			x	x	x
	b	in geval van een aansluiting die is voorzien van een kleinverbruikmeetinrichting die op afstand uitleesbaar is: een kenmerk dat weergeeft of de aangeslotene de mogelijkheid om op afstand uit te lezen administratief heeft laten uitzetten;			x	x	x
	d	het identificatienummer van de meetinrichting;	x *)			x	x
	e	in geval van een gasaansluiting: een kenmerk dat weergeeft of de meting door de kleinverbruikmeetinrichting wordt gecorrigeerd voor temperatuur;				x	x
	f	per telwerk van de meetinrichting, bedoeld onder d, de volgende gegevens:
	f1	in geval van elektriciteit: de telwerkindicatie;				x	x
	f2	in geval van elektriciteit en uitsluitend voor een niet op afstand uitleesbare meetinrichting: of dit het telwerk normaal of het telwerk laag of een combinatie daarvan betreft;				x	x
	f3	in geval van elektriciteit en uitsluitend voor een niet op afstand uitleesbare meetinrichting: de energierichting van het telwerk;				x	x
	f5	het aantal posities voor de komma;				x	x
	f6	de vermenigvuldigingsfactor;				x	x
	g	in geval van een aansluiting die is voorzien van een kleinverbruikmeetinrichting die op afstand uitleesbaar is: een kenmerk dat weergeeft of de kleinverbruikmeetinrichting gelet op externe factoren van technische aard al dan niet op afstand uitleesbaar is;			x	x	x
	h	een kenmerk dat weergeeft of de kleinverbruikmeetinrichting al dan niet op afstand uitleesbaar is.			x	x	x

Artikel 2.1.5	a	de bedrijfs-EAN-code van de meetverantwoordelijke dan wel, indien sprake is van een aansluiting waarbij op grond van 2.1.3.5 van de Netcode elektriciteit geen comptabele meetinrichting aanwezig is of indien sprake is van een aansluiting zoals bedoeld in B3.4.7, de bedrijfs-EAN-code van de netbeheerder;							x
	b	in geval van aansluitingen waarbij eenmaal per jaar het verbruik wordt bepaald: de maand waarin de verbruiksbepaling plaatsvindt;							x
	c	in geval van een elektriciteitsaansluiting groter dan 3x80A: het op de aansluiting gecontracteerde transportvermogen [kW];							x
	d	in geval van aansluitingen van telemetriegrootverbruikers gas: het jaarverbruik telemetriegrootverbruikers (uitgedrukt in m³(n;35,17));							x
	e	in geval van aansluitingen van telemetriegrootverbruikers gas: het maxverbruik (uitgedrukt in m³(n;35,17)/uur).							x
	f	in geval van een elektriciteitsaansluiting waarachter zich een of meer productie-installaties bevinden: de aard van die productie-installaties aangeduid met het brandstoftype;							x
	g	in geval van een elektriciteitsaansluiting tot en met 3x80A: de doorlaatwaarde van de aansluiting, aangeduid als het aantal beschikbaar gestelde fasen vermenigvuldigd met de nominale waarde van de overstroombeveiliging per fase.							x
	h	in geval van een elektriciteitsaansluiting: een registratie van de verblijfsfunctie of complexbepaling;		x					x
	i	in geval van een profielgrootverbruikaansluiting gas: de aansluitcapaciteit van de aansluiting, aangeduid als de G-waarde van de meetinrichting die zich bij de aansluiting bevindt.							x

*) de laatste 4 cijfers van de gegevens bedoeld in 2.1.4, onderdeel d.

ARTIKEL IV

Dit besluit treedt in werking met ingang van de dag na de datum van uitgifte van de Staatscourant waarin het wordt geplaatst.

ARTIKEL VIII

Dit besluit wordt aangehaald als codebesluit dataveiligheid.

Dit besluit zal met de toelichting in de Staatscourant worden geplaatst.

’s-Gravenhage, 16 oktober 2018,

De Autoriteit Consument en Markt, namens deze: C.M.L. Hijmans van den Bergh bestuurslid

Tegen dit besluit kan degene, wiens belang rechtstreeks bij dit besluit is betrokken, binnen zes weken na bekendmaking beroep instellen bij het College van Beroep voor het bedrijfsleven, Postbus 20021, 2500 EA, ’s-Gravenhage.

TOELICHTING

1 Samenvatting

1. Met dit codebesluit wijzigt de Autoriteit Consument en Markt de regelgeving voor de elektriciteitsmarkt en gasmarkt. Het gaat om de regelgeving die op grond van artikel 54 van de Elektriciteitswet 1998 en artikel 23 van de Gaswet is vastgelegd in de Informatiecode elektriciteit en gas. Het doel van de wijziging is het verbeteren van de beveiliging van (persoons)gegevens die uitgewisseld worden door netbeheerders, leveranciers en programmaverantwoordelijken. Zij wisselen deze persoonsgegevens uit bij het uitvoeren van klantprocessen voor kleinverbruikers in de energiesector, met name het proces in het kader van de overstap van een kleinverbruiker naar een nieuwe energieleverancier.
2. Voor de toegang tot gegevens van de kleinverbruikaansluiting en de gegevens over het lopende leveringscontract bestaat de verbetering uit het volgende. Ten eerste wordt onderscheid gemaakt in de vier verschillende fasen bij een overstap naar een andere leverancier: (1) het identificeren van de aansluiting, (2) het doen van een aanbod voor levering, (3) het voorbereiden van de overstap na het sluiten van een contract, en (4) het leveren van energie tijdens de looptijd van het contract. Vervolgens wordt per fase vastgelegd welke partij in welke omstandigheid welke gegevens mag opvragen over de aansluiting of over het leveringscontract op die aansluiting. Ook wordt vastgelegd welke controle de verstrekkende partij moet uitvoeren alvorens de betreffende gegevens te verstrekken.
3. Voor de historische meetgegevens horend bij een kleinverbruikaansluiting bestaat de verbetering er uit dat exact vastgelegd wordt welke partij op welk moment toegang tot welke historische meetgegevens krijgt.

2 Gevolgde procedure

4. De Autoriteit Consument en Markt (de ACM) is op grond van de artikelen 36 en 55 van de Elektriciteitswet 1998 (hierna: Elektriciteitswet) en de artikelen 12f en 23 van de Gaswet bevoegd regelgeving vast te stellen voor de elektriciteits- en gasmarkt. Deze regelgeving is vastgelegd in zogenoemde codes.
5. Op 8 juni 2017 heeft de ACM een codewijzigingsvoorstel – gedateerd op 29 mei 2017 – ontvangen van de Vereniging Nederlandse EnergieData Uitwisseling (NEDU) en Netbeheer Nederland. In dit voorstel worden de Informatiecode elektriciteit en gas en de Begrippencode elektriciteit en de Begrippencode gas aangepast om de gegevens horend bij kleinverbruikaansluitingen beter te beveiligen.
6. Op 4 juli 2017 heeft de ACM een advies over het codewijzigingsvoorstel gevraagd aan de Autoriteit Persoonsgegevens (hierna: AP). Op 24 oktober 2017 heeft de ACM het advies van de AP ontvangen.
7. Per brief van 14 november 2017 heeft de ACM op grond van artikel 56, eerste lid, van de Elektriciteitswet en artikel 24, eerste lid, van de Gaswet de NEDU opgedragen het codewijzigingsvoorstel te wijzigen.
8. De ACM heeft op 14 november 2017 Netbeheer Nederland per brief geïnformeerd over haar wijzigingsopdracht aan de NEDU. Daarbij heeft de ACM Netbeheer Nederland opgedragen het codewijzigingsvoorstel voor wat betreft beide Begrippencodes te wijzigen indien Netbeheer Nederland dat nodig acht op grond van de reactie van de NEDU.
9. Op 19 januari 2018 heeft de ACM een gedeeltelijke reactie van de NEDU op de wijzigingsopdracht ontvangen. Op 31 januari 2018 heeft de ACM het resterende deel van de reactie van de NEDU op de wijzigingsopdracht ontvangen.
10. Als onderdeel van de uniforme openbare voorbereidingsprocedure heeft de ACM het ontwerpbesluit en de daarop betrekking hebbende stukken ter inzage gelegd en gepubliceerd op haar website. Van de terinzagelegging is kennis gegeven in de Staatscourant nr. 30368 van 31 mei 2018. De ACM heeft belanghebbenden in de gelegenheid gesteld binnen zes weken hun zienswijzen op het ontwerp kenbaar te maken.
11. De ACM heeft binnen de gestelde termijn op 5 juli 2018 een schriftelijke zienswijze ontvangen van de NEDU en op 12 juli 2018 een schriftelijke zienswijze van Netbeheer Nederland.
12. De ACM is van mening dat het voorstel geen nieuwe technische voorschriften bevat als bedoeld in de Notificatierichtlijn. Evenmin is er sprake van nieuwe diensten die aangemeld moeten worden in het kader van de Dienstenrichtlijn. Om die reden zijn de voorwaarden in dit besluit niet in ontwerp ter notificatie aangeboden.

3 Achtergrond

13. Voor een goede en soepele werking van de energiemarkt is het noodzakelijk dat er gegevens worden uitgewisseld tussen partijen in de energiesector, zoals netbeheerders, energieleveranciers en programmaverantwoordelijken. De gegevensuitwisseling maakt het bijvoorbeeld mogelijk dat kleinverbruikers snel en gemakkelijk kunnen overstappen van energieleverancier.
14. De gegevens die worden uitgewisseld, zijn opgeslagen in drie centrale registers. In het centraal aansluitingenregister (CAR) staan per aansluiting administratieve gegevens zoals adresgegevens, de grootte van de aansluiting, de actuele leverancier en het standaardjaarverbruik. Het contracteindegegevensregister (CER) bevat voor iedere kleinverbruikaansluiting gegevens van de lopende contracten en van de in de toekomst van kracht wordende contracten die al overeengekomen zijn. Deze gegevens zijn de identiteit van de leverancier met wie het contract is gesloten en de einddatum en de opzegtermijn van het contract. Het toegankelijk meetregister (TMR) bevat per aansluiting de meterstanden die in het verleden zijn vastgesteld naar aanleiding van bijvoorbeeld het opstellen van een jaarfactuur, een overstap van leverancier of een vervanging van de meter.
15. De drie genoemde registers worden beheerd door de gezamenlijke netbeheerders. Veel gegevens in de registers zijn afkomstig van de netbeheerders. Anderzijds leveren ook leveranciers gegevens aan bij de netbeheerders ten behoeve van deze registers. Leveranciers en andere partijen kunnen bij de gezamenlijke netbeheerders gegevens uit de registers opvragen en de netbeheerders kunnen deze gegevens verstrekken aan de opvrager.
16. De inrichting van de drie registers en de bijhorende gegevensuitwisseling tussen de diverse partijen in de energiemarkt zijn vastgelegd in de Informatiecode elektriciteit en gas (hierna: Informatiecode).1 De Informatiecode wordt vastgesteld door de ACM – doorgaans naar aanleiding van een voorstel van netbeheerders, leveranciers en meetbedrijven – zoals bepaald in hoofdstuk 4 van de Elektriciteitswet en hoofdstuk 3 van de Gaswet.
17. Kleinverbruikaansluitingen zijn veelal in gebruik door natuurlijke personen. Dat betekent dat veel van de gegevens in de registers over kleinverbruikaansluitingen persoonsgegevens zijn. Voor het verwerken van persoonsgegevens zijn regels vastgelegd in de Algemene verordening gegevensbescherming (hierna: AVG)2.

4 Aanleiding

18. Er zijn meerdere incidenten geweest waarbij leveranciers gegevens opgevraagd hebben bij de netbeheerders en de netbeheerders deze gegevens hebben verstrekt, terwijl de leveranciers niet over deze gegevens hadden mogen beschikken. Daarnaast is gebleken dat bij gegevensuitwisselingen vaak meer gegevens verstrekt worden dan noodzakelijk.
19. De ACM en de AP hebben de betreffende partijen in de energiesector hierop aangesproken. Deze partijen, verenigd in Netbeheer Nederland, Energie Nederland en de Vrijhandelsorganisatie voor Elektriciteit en Gas (VOEG), hebben vervolgens een Actieplan Dataveiligheid opgesteld om de beveiliging van gegevens te verbeteren om daarmee te voldoen aan de privacyregelgeving en de geheimhoudingsplicht.
20. De partijen hebben de ACM en de AP gekend in de inrichting en uitwerking van hun Actieplan Dataveiligheid. De beide toezichthouders hebben gekeken of de voorgestelde maatregelen kunnen voorkómen dat onrechtmatige gegevensverwerkingen plaatsvinden, zoals het onrechtmatig ter beschikking stellen van gegevens en het onrechtmatig toegang verkrijgen tot gegevens. De ACM en de AP hebben geen oordeel gegeven over de beschrijving in het Actieplan Dataveiligheid van het juridische kader en over de daarbij behorende afwegingen, risicobeoordelingen en duidingen over de aard van de persoonsgegevens. Evenmin hebben zij een oordeel gegeven over de beschrijving van de bevoegdheid van de toezichthouders. De toezichthouders hebben benadrukt dat het Actieplan Dataveiligheid en de implementatie daarvan voor verantwoordelijkheid komen van de daaraan deelnemende leveranciers en netbeheerders.
21. Op basis van dit Actieplan Dataveiligheid heeft de NEDU een voorstel tot wijziging van de Informatiecode elektriciteit en gas aan de ACM gestuurd, met hierin geïntegreerd een voorstel van Netbeheer Nederland tot wijziging van de twee Begrippencodes. Na hiertoe een opdracht van de ACM te hebben gekregen, heeft de NEDU haar voorstel op bepaalde punten aangepast en nader toegelicht.
22. Het initiële codevoorstel met de aanpassing daarop worden hierna gezamenlijk aangeduid met: het codevoorstel.
23. Het codevoorstel verandert de uitwisseling van gegevens tussen de partijen in de energiemarkt, met het oog op een betere beveiliging van (persoons)gegevens horend bij kleinverbruikaansluitingen. De ACM heeft dit codebesluit gebaseerd op het codevoorstel.

5 Inhoud van het codevoorstel

24. Het codevoorstel is gericht op de verbetering van de beveiliging van (persoons)gegevens die geregistreerd en uitgewisseld worden voor kleinverbruikaansluitingen. De verbetering bestaat uit een zestal onderdelen. Deze worden hieronder toegelicht.
25. Ten eerste specificeert het codevoorstel welke leverancier en welke programmaverantwoordelijke in welke situaties over gegevens van het CAR (administratieve gegevens horend bij de aansluiting) en het CER (contractgegevens horend bij de aansluiting) mogen beschikken. Deze situaties worden gedefinieerd aan de hand van het proces horend bij de overstap van een kleinverbruiker naar een nieuwe leverancier. Dit proces kent vier achtereenvolgende fasen: (1) het identificeren van de aansluiting, (2) het doen van een aanbod voor levering, (3) het voorbereiden van de overstap na het sluiten van een contract, en (4) het leveren van energie tijdens de looptijd van het contract.
26. Vervolgens specificeert het codevoorstel per fase over welke gegevens uit het CAR en het CER een leverancier of programmaverantwoordelijke mag beschikken.
27. In de derde plaats specificeert het codevoorstel hoe een leverancier of programmaverantwoordelijke de betreffende gegevens uit het CAR en het CER opvraagt en hoe de netbeheerder de opvraag controleert. Daarnaast specificeert het codevoorstel hoe de netbeheerder de gegevens verstrekt.
28. Ten vierde wordt voor de gegevens van het TMR (historische meetgegevens) gespecificeerd welke gegevens uit het TMR de netbeheerder aan een leverancier stuurt als de leverancier hier om vraagt. De netbeheerder verstrekt gegevens op basis van de tijdsperiode dat de leverancier de actuele leverancier op de aansluiting was.
29. Ten vijfde bevat het codevoorstel een werkwijze voor de gegevensuitwisseling in de tweede fase van het klantproces voor het overstappen naar een nieuwe leverancier. Dit is de fase van het doen van een aanbod voor levering. Voor deze aanbodfase worden twee nieuwe gegevens geïntroduceerd: de klantsleutel en de toestemmingssleutel. Deze sleutels worden gebruikt om de toestemming van een kleinverbruiker vast te leggen en om deze toestemming te kunnen controleren. Daartoe gaan de gezamenlijke netbeheerders een nieuw register beheren: het klantsleutelregister. Daarnaast moet iedere leverancier in een eigen toestemmingsadministratie specifieke informatie over de gegeven toestemming bijhouden.
30. Het codevoorstel beschrijft dat de sleutels als volgt worden gebruikt. Een leverancier die een potentiële klant met een kleinverbruikaansluiting een aanbod wil doen voor het leveren van energie, moet bij dat aanbod rekening houden met de persoonlijke situatie van die kleinverbruiker. De leverancier heeft daarvoor gegevens nodig over onder andere het type aansluiting, de regio waarin de aansluiting zich bevindt, het jaarverbruik van de klant, het moment dat het lopende contract afloopt en de bijbehorende opzegtermijn. Als de kleinverbruiker deze gegevens niet zelf aan de leverancier kan verstrekken, kan de leverancier met toestemming van de klant de noodzakelijke gegevens opvragen uit het CAR en het CER. De potentiële klant vermeldt daarbij ter authenticatie zijn klantsleutel aan de leverancier: de laatste drie cijfers van zijn bankrekeningnummer of zijn geboortedag en -maand.
31. De leverancier registreert in zijn eigen systemen de toestemming van de potentiële klant. Deze registratie bevat informatie waarmee hij bij een latere controle kan aantonen dat de toestemming correct is verkregen, zoals de datum en de wijze waarop de toestemming is gegeven. Vanuit het systeem van de leverancier wordt een unieke code aan de verkregen toestemming gekoppeld, de toestemmingssleutel.
32. De leverancier vraagt vervolgens de benodigde gegevens op uit het CAR en het CER en stuurt bij deze opvraag de klantsleutel en de toestemmingssleutel mee.
33. De gezamenlijke netbeheerders controleren of beide sleutels meegestuurd zijn met de opvraag en of de klantsleutel overeenkomt met de klantsleutel die bij de betreffende kleinverbruikaansluiting is opgeslagen in het klantsleutelregister. Als de controles kloppen, sturen de netbeheerders de opgevraagde gegevens aan de leverancier. De netbeheerders bewaren de toestemmingssleutel, zodat zij de toestemming op een later moment kunnen controleren.
34. Het codevoorstel specificeert daarnaast hoe de klantsleutels in het klantsleutelregister actueel worden gehouden door de actuele leverancier op de aansluiting en hoe lang de klant- en toestemmingssleutels bewaard mogen blijven.
35. In de zesde plaats introduceert het codevoorstel een tweede manier voor de leverancier om contractgegevens in het CER te zetten in de derde fase van het klantproces. In de huidige werkwijze kan de leverancier alleen een contract in het CER plaatsen als hij einddatum en opzegtermijn weet. In de nieuwe werkwijze kan de leverancier daarnaast ook al een contract in het CER laten registreren als die twee gegevens nog niet bekend zijn. Deze nieuwe werkwijze wordt een pre-registratie genoemd. Op basis van deze pre-registratie kan de leverancier eerder in het proces gegevens uit het CAR opvragen om de leveringsfase voor te bereiden. Deze pre-registratie zal logischerwijs binnen ongeveer een week worden opgevolgd door een complete contractregistratie in het CER. Als dat niet gebeurt, vervalt de pre-registratie automatisch na een maand.

6 Beoordeling van het codevoorstel

6.1 Procedureel

36. De ACM constateert dat het initiële codevoorstel op 20 april 2017 in een overleg met representatieve organisaties is besproken als bedoeld in artikel 33, eerste lid, en artikel 54, tweede lid, van de Elektriciteitswet en artikel 12d, eerste lid, en artikel 22, tweede lid, van de Gaswet. In het codevoorstel is een verslag opgenomen van dit overleg en de indieners hebben in het codevoorstel aangegeven welke gevolgtrekkingen zij hebben verbonden aan de zienswijzen die organisaties naar voren hebben gebracht. Naar het oordeel van de ACM voldoet het codevoorstel daarmee aan het vereiste bepaald in artikel 33, tweede lid, en artikel 54, derde lid van de Elektriciteitswet en artikel 12d, tweede lid, en artikel 22, derde lid, van de Gaswet.
37. De ACM constateert dat het codevoorstel – voor wat betreft de Informatiecode – is ingediend namens een representatief deel van de ondernemingen die zich bezighouden met transporteren, leveren of meten van elektriciteit of gas, zoals artikel 54, eerste lid, van de Elektriciteitswet en artikel 22, eerste lid, van de Gaswet voorschrijven. Dit blijkt uit het feit dat het voorstel is aangenomen in de algemene ledenvergadering van de NEDU van 24 mei 2017, en dat op dat moment per marktrol binnen de NEDU de stemgerechtigde leden het overgrote deel van de markt vertegenwoordigden.
38. De ACM oordeelt op grond van het bovenstaande dat het codevoorstel voldoet aan de procedurele vereisten zoals vastgelegd in de Elektriciteitswet en de Gaswet.

6.2 Inhoudelijk

39. De ACM doet een inhoudelijke beoordeling van het codevoorstel op grond van artikel 55 van de Elektriciteitswet en artikel 23 van de Gaswet. De ACM beoordeelt daarbij of het codevoorstel niet strijdig is met de regels, bedoeld in artikel 53 van de Elektriciteitswet en artikel 22 van de Gaswet. Daarnaast toetst de ACM het codevoorstel aan de criteria, genoemd in artikel 36, eerste lid, onderdelen b tot en met f, en tweede lid, van de Elektriciteitswet en artikel 12f, eerste lid, onderdelen b tot en met f, en tweede lid, van de Gaswet. Een onderdeel van deze toets is of het codevoorstel uitvoerbaar is in de praktijk, omdat een niet-uitvoerbaar codevoorstel in strijd zou zijn met deze criteria.
40. De ACM is in zijn algemeenheid van oordeel dat het codevoorstel bijdraagt aan een betere beveiliging van (persoons)gegevens die worden geregistreerd en uitgewisseld tussen partijen in de energiemarkt ten behoeve van klantprocessen op kleinverbruikaansluitingen.
41. De aanpassing van de werkwijze van gegevensuitwisseling en de betere beveiliging van de gegevens houden naar het oordeel van de ACM het huidige gebruiksgemak voor kleinverbruikers om over te stappen van energieleverancier in stand.
42. In de volgende paragraaf geeft de ACM haar oordeel over de gegevensverstrekking in de tweede fase van het klantproces. In de paragraaf erna gaat de ACM in op de bescherming van gegevens voor zakelijke kleinverbruikers.

6.2.1 Grondslag voor netbeheerders om gegevens te verstrekken uit de registers

43. Zoals beschreven in randnummers 29 tot en met 34 bevat het codevoorstel een werkwijze voor de gegevensuitwisseling in de tweede fase van het klantproces, waarin een kleinverbruiker een aanbod voor het leveren van elektriciteit en/of gas tegen een bepaald tarief krijgt van een nieuwe leverancier. Hiervoor heeft de leverancier een klantsleutel en een toestemmingssleutel nodig.
44. Leveranciers dienen aan de kleinverbruiker – met uitzondering van de zakelijke kleinverbruiker – een aanbod te doen dat aansluit bij zijn persoonlijke situatie.3 Dit wordt een aanbod op maat genoemd. Dit betekent dat de leverancier in zijn aanbod onder andere rekening houdt met welk type aansluiting de potentiële klant heeft, in welke regio hij woont, wat zijn gemiddelde jaarverbruik is en tot wanneer zijn huidige leveringscontract nog loopt. Hoewel de kleinverbruiker deze informatie zelf kan verstrekken aan de leverancier, kan de betreffende leverancier deze informatie over de kleinverbruiker ook uit de centrale registers opvragen bij de gezamenlijke netbeheerder. Hiervoor heeft de leverancier toestemming nodig van de kleinverbruiker.
45. Als een kleinverbruiker toestemming geeft aan de leverancier om gegevens uit de centrale registers op te vragen voor het doen van een aanbod op maat, dan stuurt de leverancier een opvraag aan de gezamenlijke netbeheerders. Deze opgevraagde gegevens bevatten onder meer persoonsgegevens in het geval de kleinverbruiker een natuurlijk persoon is. Uit het voorstel van de indieners leidt de ACM af dat de netbeheerders voor de verstrekking van deze persoonsgegevens – het gaat bij deze verstrekking om de artikelen 2.2b.4, 2.5a.4 en 2.5b.4 van dit codebesluit – de verwerkersverantwoordelijke zijn in de zin van de AVG. Dit betekent dat zij voor het verstrekken van persoonsgegevens aan de leverancier een grondslag nodig hebben zoals bedoeld in artikel 6, eerste lid, van de AVG. In dit artikel worden limitatief de mogelijke grondslagen genoemd.
46. De indieners van het codevoorstel stellen in de begeleidende toelichting dat met het vaststellen van het codebesluit de Informatiecode een grondslag ex artikel 6, eerste lid, onderdeel c, van de AVG bevat voor de netbeheerder om desgevraagd de gegevens te verstrekken: het verwerken en verstrekken van de gegevens is volgens de indieners van het codevoorstel een wettelijke verplichting die op grond van de Informatiecode op de netbeheerder rust, waarvoor de verstrekking van persoonsgegevens aan de leverancier noodzakelijk is.
47. Over de vraag of de Informatiecode een grondslag ex artikel 6, eerste lid, onderdeel c, van de AVG kan bevatten voor de verstrekking van persoonsgegevens, heeft de wetgever in de Memories van Toelichting bij twee wetswijzigingen gesteld:

“Deze code voorziet niet in een basis voor het uitwisselen van gegevens, maar uitsluitend in een beschrijving van de wijze waarop gegevens worden uitgewisseld.”4

en

“Het verzamelen en verwerken van persoonsgegevens door leveranciers en netbeheerders moet gebeuren in overeenstemming met de Wbp. In gevolge artikel I, onderdeel Q, en artikel II, onderdeel F van het wetsvoorstel marktmodel, worden bij ministeriële regeling regels gesteld met het oog op een door de NMa vast te stellen informatiecode die regelt «hoe» met het oog op een eenduidig gehanteerd model binnen de sector gegevens worden verwerkt, en niet «dat» gegevens (mogen) worden verwerkt. Dit sluit aan bij het regime van de Wet bescherming persoonsgegevens, die de ondubbelzinnige toestemming van betrokkene noemt als één van de limitatief beschreven situaties waarin persoonsgegevens mogen worden verwerkt. De informatiecode zelf beoogt dus niet te voorzien in een generieke wettelijke grondslag voor het mogen uitwisselen en verwerken van persoonsgegevens, maar moet wel voldoen aan de Wbp.”5
48. De ACM is niet de bevoegde instantie om de rechtmatigheid van de grondslagen voor het verwerken van persoonsgegevens te beoordelen, dat is de AP. Ter voorbereiding op haar besluitvorming heeft de ACM de AP daarom verzocht een advies uit te brengen over het codevoorstel voor zover het gaat om het verwerken van de persoonsgegevens.6
49. De AP heeft in haar advies over de grondslag binnen de AVG het volgende aangegeven7:

“De term ‘wettelijke verplichting’ heeft betrekking op iedere verplichting tot gegevensverwerking die krachtens een algemeen verbindend voorschrift wordt opgelegd. (...)

De voorgestelde wijzingen bevatten bepalingen die beogen een grondslag te vormen als bedoeld in artikel 8 Wbp voor verwerkingen van persoonsgegevens in de energiebranche. De AP is van oordeel dat artikel 54 Elektriciteitswet 1998 en artikel 22 Gaswet niet de ruimte bieden voor het opnemen van dergelijke bepalingen. De genoemde artikelen geven de mogelijkheid voorwaarden te stellen, hetgeen wezenlijk anders is dan het scheppen van juridische rechtvaardigingsgronden voor verwerkingen van persoonsgegevens. De Informatiecode kan aangemerkt worden als een algemeen verbindend voorschrift, maar slechts voor zover de bepalingen van de Informatiecode binnen de legitimatie van artikel 54 Elektriciteitswet 1998 en artikel 22 Gaswet vallen. Nu de Informatiecode en de wijzigingen daarvan worden geïnitieerd door de energiebranche zelf en worden vastgesteld door de ACM, ligt het niet in de rede dat de verwerkingen van persoonsgegevens door diezelfde branche hun rechtvaardiging en legitimatie vinden in die Informatiecode.(...)

De AP adviseert derhalve om de wijze waarop de Informatiecode nu beoogt verwerkingen van persoonsgegevens te legitimeren nader te bezien.”
50. De ACM leest in het advies van de AP dat de Informatiecode op zichzelf geen grondslag ex artikel 6, eerste lid, onderdeel c, van de AVG kan bieden voor de verwerking van persoonsgegevens door de netbeheerders. De ACM treedt niet in de verdere afweging welke andere grondslag uit de AVG de netbeheerders kunnen gebruiken. Niet is gebleken dat netbeheerders zich niet kunnen beroepen op een andere grondslag ex artikel 6, eerste lid, van de AVG. De ACM heeft daarom geen reden om te veronderstellen dat het codevoorstel niet uitvoerbaar is. Het is een verantwoordelijkheid van de netbeheerders om de juiste grondslag te vinden, waarmee ze het codebesluit kunnen uitvoeren. Gelet op artikel 54, eerste lid, van de Elektriciteitswet en artikel 22, eerste lid van de Gaswet, neemt de ACM daarom overeenkomstig het codevoorstel de artikelen 2.2b.4, 2.5a.4 en 2.5b.4 op in het codebesluit.

6.2.2 Gegevensbescherming voor zakelijke kleinverbruikers

51. Bij de behandeling van het initiële codevoorstel in het overleg met representatieve organisaties8 heeft de Vereniging voor Energie, Milieu en Water (hierna: VEMW) ingebracht dat voor zakelijke kleinverbruikers de klantsleutel niet bruikbaar is voor authenticatie. VEMW argumenteert dat de laatste drie cijfers van het bankrekeningnummer van een zakelijke kleinverbruiker doorgaans openbaar zijn en dat een zakelijke kleinverbruiker geen geboortedag en -maand heeft.
52. De ACM heeft daarom in haar wijzigingsopdracht aan de NEDU opgedragen om te onderzoeken of hiervoor een oplossing gevonden kan worden.
53. In haar reactie op de wijzigingsopdracht geeft de NEDU aan dat een alternatieve klantsleutel voor zakelijke kleinverbruikers een uitgebreide communicatie met zakelijke afnemers vraagt voordat deze in de systemen geïmplementeerd kan worden. De NEDU stelt daarom voor om eventuele aanpassingen in het gebruik van klantsleutels voor zakelijke kleinverbruikers pas te overwegen, als in de praktijk gebleken is dat de huidige manier problemen geeft.
54. De ACM is met VEMW van mening dat de huidige klantsleutel een lagere beveiliging geeft voor zakelijke kleinverbruikers dan voor niet-zakelijke kleinverbruikers, wegens het openbaar kunnen zijn van het bankrekeningnummer. Maar de ACM constateert ook dat met deze codewijziging de beveiliging voor zakelijke kleinverbruikers in ieder geval niet slechter wordt dan in de huidige situatie het geval is.
55. De ACM is daarom van oordeel dat zij het codebesluit kan nemen op basis van het huidige codevoorstel. De ACM gaat er van uit dat de NEDU na overleg met VEMW en zakelijke kleinverbruikers de eventueel noodzakelijke verbeteringen aan de klantsleutel voor zakelijke kleinverbruikers in een toekomstig codevoorstel aan de ACM toe zal sturen.

6.2.3 Overige punten bij de inhoudelijke beoordeling

56. De ACM heeft geconstateerd dat het codevoorstel op twee punten het Actieplan Dataveiligheid niet volledig volgt. De ACM heeft daarom ambtshalve in het codebesluit twee kleine inhoudelijke wijzigingen aangebracht ten opzichte van het codevoorstel, om het codebesluit in lijn te brengen met het Actieplan Dataveiligheid.
57. De eerste wijziging gaat om het vastleggen van de restrictie dat een leverancier alleen gegevens uit het CER mag opvragen in de tweede en derde fase van het klantproces voor het overstappen naar een nieuwe leverancier. Dit betreft artikel 2.5.11, de titels van paragrafen 2.5a en 2.5b, en de aanhef van artikel 2.5b.1.
58. De tweede wijziging betreft het integreren van de nieuwe werkwijze voor pre-registratie van contractgegevens in het CER in de controles die de netbeheerder moet uitvoeren. Dit betreft artikel 2.5.7, artikel 2.5b.2, onderdeel d, artikel 2.5b.3, onderdeel d, onder nummer 4, artikel 2.6.8, onderdeel c, onder nummer ii, en artikel 2.6.9, onderdeel c, onder nummer 4.

6.2.4 Overige punten van het advies van de Autoriteit Persoonsgegevens

59. Naast het onderwerp van de grondslagen voor verwerkingen van persoonsgegevens bestaat het advies van de Autoriteit Persoonsgegevens uit nog drie delen. De ACM is hier op de volgende wijze mee omgegaan.
60. De Autoriteit Persoonsgegevens is van mening dat de netbeheerders, naast de dataveiligheidsmaatregelen zoals die in de Informatiecode worden opgenomen, ook controlemaatregelen moeten nemen om een inbreuk in verband met persoonsgegevens te voorkomen. Deze controle kan volgens de Autoriteit Persoonsgegevens op verschillende manieren worden ingevuld, bijvoorbeeld periodiek, steekproefsgewijs of op basis van een risico-analyse. De Autoriteit Persoonsgegevens is van mening dat een expliciete controleverplichting zou moeten worden opgelegd aan de netbeheerder bij of krachtens wet in formele zin.
61. De ACM leest in dit deel van het advies een oproep aan de netbeheerders en aan de wetgever. Het heeft naar de mening van de ACM geen implicaties voor de te wijzigen artikelen in de Informatiecode. De ACM neemt daarom dit standpunt van de Autoriteit Persoonsgegevens ter kennisgeving aan.
62. Verder gaat de Autoriteit Persoonsgegevens in haar advies in op een ander codewijzigingsvoorstel dat de ACM sinds 2017 in behandeling heeft, namelijk een codevoorstel over slimme meterallocatie.9 De Autoriteit Persoonsgegevens stelt dat dit codevoorstel een nieuw doeleinde introduceert voor het gebruik van gegevens uit de slimme meter. De Autoriteit Persoonsgegevens is van mening dat een dergelijk nieuw doeleinde niet via de Informatiecode geïntroduceerd kan worden, maar dat dit geïmplementeerd moet worden bij of krachtens wetgeving in formele zin.
63. De ACM is al langer op de hoogte van dit standpunt van de Autoriteit Persoonsgegevens over het betreffende codevoorstel. De ACM neemt dit deel van het advies mee in de verdere behandeling van dat codevoorstel.
64. De Autoriteit Persoonsgegevens geeft verder aan dat bij enkele artikelen van het codevoorstel de netbeheerders geen controle lijken uit te voeren of er bij een verzoek om gegevens daadwerkelijk een toestemmingssleutel wordt meegestuurd door de leverancier.
65. De ACM heeft de betreffende artikelen bekeken en komt tot de conclusie dat deze controle wel ligt besloten in de artikelteksten. Dit deel van het advies van de Autoriteit Persoonsgegevens leidt daarom niet tot een aanpassing van dit codebesluit.

6.2.5 Conclusie

66. Op basis van de bovenstaande inhoudelijke beoordeling ziet de ACM geen strijdigheid van het codevoorstel met de regels, bedoeld in artikel 53 van de Elektriciteitswet en artikel 22 van de Gaswet, en met de criteria, genoemd in artikel 36, eerste lid, onderdelen b tot en met f, en tweede lid, van de Elektriciteitswet en artikel 12f, eerste lid, onderdelen b tot en met f, en tweede lid, van de Gaswet.

6.3 Redactionele aanpassingen ten opzichte van het codevoorstel

67. De ACM heeft ten opzichte van het codevoorstel een aantal redactionele wijzigingen doorgevoerd. Deze wijzigingen beogen de inhoud van het voorstel niet te wijzigen, maar enkel de leesbaarheid te vergroten.
68. De meest in het oog springende redactionele wijziging is het herordenen van de artikelen die gaan over de verstrekking van de gegevens in de verschillende fases van het klantproces voor het overstappen naar een nieuwe leverancier. De ACM heeft de betreffende artikelen die gerelateerd zijn aan het CAR uit paragraaf 2.2 gehaald en ondergebracht in vier nieuwe paragrafen, één voor elke fase van het klantproces voor het overstappen naar een nieuwe leverancier. Het gaat hier om paragrafen 2.2a tot en met 2.2d.
69. Evenzo heeft de ACM de betreffende artikelen die gerelateerd zijn aan het CER uit paragraaf 2.5 gehaald en ondergebracht in twee nieuwe paragrafen 2.5a en 2.5b. Deze paragrafen zijn gerelateerd aan de twee fasen van het genoemde klantproces waarvoor gegevens uit het CER nodig zijn. Vanwege deze wijzigingen heeft de ACM ook andere artikelen in paragraaf 2.5 vernummerd ten opzichte van het codevoorstel.

7 Beoordeling van de ingediende zienswijzen op het ontwerpbesluit

7.1 Zienswijze van de NEDU

70. De NEDU stelt in onderdeel I van haar zienswijze dat het voorgenomen besluit van de ACM in strijd is met het motiveringsbeginsel. In het ontwerpbesluit is naar de mening van de NEDU sprake van een motiveringsgebrek, omdat het ontwerpbesluit is gebaseerd op een onjuiste uitleg en daarmee toepassing van de AVG op de in de Informatiecode opgelegde verplichting tot gegevensverwerking. De NEDU licht in haar zienswijze toe op welke punten zij de uitleg en toepassing van de AVG door de ACM als onjuist ziet. Samengevat is de NEDU – in tegenstelling tot de ACM – van mening dat de Informatiecode wél een grondslag kan bieden voor de verwerking van persoonsgegevens, zoals bedoeld in artikel 6, eerste lid, onderdeel c, van de AVG.
71. Daarnaast leidt volgens de NEDU het besluit tot rechtsonzekerheid, waardoor het besluit strijdig is met het rechtszekerheidsbeginsel. Dat komt volgens de NEDU doordat de toelichting op het ontwerpbesluit een onjuiste uitleg van de ACM bevat over de verplichting voor de netbeheerders om gegevens te verwerken.
72. In onderdeel II van haar zienswijze doet de NEDU gemotiveerde voorstellen tot verbetering van enkele artikelen. Deze verbeteringen veranderen niet de beoogde strekking van de artikelen, maar maken deze duidelijker.

7.2 Zienswijze van Netbeheer Nederland

73. De zienswijze van Netbeheer Nederland is een aanvulling op de zienswijze van de NEDU, die mede namens de netbeheerders is ingediend. Netbeheer Nederland stelt in haar zienswijze dat de ACM met het voorgenomen besluit algemeen verbindende voorschriften vaststelt die de netbeheerders niet kunnen naleven zonder (mogelijk) in strijd met andere wettelijke bepalingen te handelen en dus de netbeheerders feitelijk dwingt andere regels te overtreden. Netbeheer Nederland acht dit in strijd met de algemene beginselen van behoorlijk bestuur, meer specifiek het zorgvuldigheids- en rechtszekerheidsbeginsel.
74. Daarnaast stelt Netbeheer Nederland dat netbeheerders zich conform de wet moeten beperken tot de werkzaamheden die nodig zijn voor een goede uitvoering van de wettelijke taken. Volgens Netbeheer Nederland moet daarom, voordat de ACM het codebesluit vaststelt, eerst de vraag worden beantwoord voor welke van in de Informatiecode opgenomen gegevensuitwisselingen met marktpartijen de netbeheerders een wettelijke grondslag hebben.

7.3 Reactie van de ACM op de zienswijzen van de NEDU en Netbeheer Nederland

75. Allereerst merkt de ACM op dat zij het ontwerpbesluit heeft opgesteld op aanvraag van de NEDU en Netbeheer Nederland die het codevoorstel hebben ingediend. Ten tweede constateert de ACM dat de NEDU in onderdeel II van haar zienswijze enkele kleine artikelwijzigingen voorstelt. De ACM kan zich hier in vinden en neemt de voorgestelde artikelwijzigingen over in dit codebesluit. Ten derde constateert de ACM dat de zienswijzen van de NEDU (onderdeel I) en Netbeheer Nederland zich uitsluitend richten op een onderdeel van de toelichting van de ACM bij dit besluit. Met andere woorden, ze zijn niet gericht op aanpassing van het codebesluit ten opzichte van het ontwerpbesluit dat de ACM ter inzage heeft gelegd. De ACM stelt dus een besluit vast dat de NEDU en Netbeheer Nederland zo gewenst hebben.
76. De ACM gaat hierna nader in op de zienswijzen van de NEDU (onderdeel I) en Netbeheer Nederland over de toelichting bij het ontwerpbesluit.
77. De zienswijzen van de NEDU (onderdeel I) en Netbeheer Nederland gaan over de vraag in hoeverre de Informatiecode een grondslag kan bieden voor de verwerking van persoonsgegevens, zoals bedoeld in artikel 6, eerste lid, onderdeel c, van de AVG. Volgens de NEDU en Netbeheer Nederland volgt uit de Informatiecode een wettelijke verplichting die op de netbeheerders rust om persoonsgegevens te verwerken. De Informatiecode is daarmee de grondslag voor de verwerking van persoonsgegevens op grond van artikel 6, eerste lid onder c van de AVG, aldus de NEDU en Netbeheer Nederland.
78. De ACM merkt op dat de zienswijzen qua strekking niet afwijken van het standpunt dat de indieners van het codevoorstel hebben verwoord in de toelichting bij het codevoorstel. Deze stellingname was voor de ACM aanleiding om een advies bij de AP in te winnen, omdat de AP de bevoegde instantie is om een oordeel uit te spreken over de uitleg van de AVG.
79. De NEDU stelt in haar zienswijze dat het ontwerpbesluit van de ACM in strijd is met het motiveringsbeginsel, omdat de ACM zich baseert op een onjuiste uitleg van de AVG. De ACM deelt deze opvatting niet. De ACM motiveert het codebesluit in de toelichting met een verwijzing naar het advies van de AP, de bevoegde instantie voor de uitleg van de AVG. Het is vervolgens op grond van de wettelijke bepalingen uit de Elektriciteitswet en de Gaswet dat de ACM dit codebesluit heeft kunnen vaststellen. Dit is in de toelichting op het codebesluit opgenomen in paragraaf 6.2.1. Naar aanleiding van de zienswijzen van de NEDU en Netbeheer Nederland heeft de ACM besloten deze paragraaf uitgebreider op te schrijven dan in het ontwerpbesluit. De strekking van de paragraaf is niet veranderd. De NEDU kan de uitleg van de AP van de AVG onjuist vinden, maar dat wil niet zeggen dat de ACM met het toelichten van het codebesluit niet aan haar motiveringsplicht heeft voldaan.
80. De NEDU stelt dat het ontwerpbesluit van de ACM in strijd is met het rechtszekerheidsbeginsel omdat de toelichting op de verplichting voor de netbeheerders om gegevens te verwerken onjuist is. De ACM deelt de opvatting dat haar toelichting onjuist is niet, om dezelfde reden als toegelicht in randnummer 79. Daardoor ziet de ACM geen strijdigheid met het rechtszekerheidsbeginsel.
81. Over de zienswijze van Netbeheer Nederland merkt de ACM op dat er geen discussie is dat de Informatiecode kwalificeert als algemeen verbindend voorschrift.10 Na vaststelling van het codebesluit betekent dit dat de netbeheerders gehouden zijn om de bepalingen van dit besluit in acht te nemen. Daarbij is het aan de netbeheerders om te zorgen dat zij de juiste grondslag gebruiken bij het verwerken van persoonsgegevens. Voor de vaststelling van het codebesluit is het niet nodig dat de ACM – als onbevoegd bestuursorgaan – beoordeelt op welke grondslag uit de AVG de netbeheerders zich moeten baseren. De algemene beginselen van behoorlijk bestuur brengen evenmin mee dat de ACM het codebesluit of de gegevensuitwisselingen zoals al vastgelegd in de Informatiecode moet toetsen aan de AVG. Het is enkel aan de ACM om, rekening houdend met de uitvoerbaarheid van het codebesluit, het codevoorstel te toetsen aan de daarvoor voorgeschreven bepalingen uit de Elektriciteitswet en de Gaswet.
82. Concluderend, de zienswijzen van de NEDU en Netbeheer Nederland hebben niet tot een ander standpunt van de ACM geleid. De ACM stelt het codebesluit dus vast overeenkomstig het codevoorstel van de NEDU en Netbeheer Nederland en overeenkomstig de door NEDU voorgestelde verbeteringen in onderdeel II van haar zienswijze. Wel heeft de ACM naar aanleiding van de zienswijzen van de NEDU en Netbeheer Nederland haar toelichting op het codebesluit verduidelijkt en uitgebreid ten opzichte van de toelichting op het ontwerpbesluit.

8 Artikelsgewijze toelichting

Artikelen I en II

83. Hier worden de nieuwe begrippen ‘klantsleutel en ‘toestemmingssleutel’ gedefinieerd in de Begrippencode elektriciteit en de Begrippencode gas.

Artikel III onderdeel A

84. Artikel 2.1.3 legt de parameters vast die voor alle aansluitingen van belang zijn. De parameters die in de onderdelen k, m, n, en o staan, zijn niet (meer) nodig voor kleinverbruikaansluitingen. De parameters worden daarom opgenomen in artikel 2.1.5, dat de parameters vastlegt die alleen voor grootverbruikaansluitingen nodig zijn (zie Artikel III, onderdeel E).

Artikel III onderdeel B

85. Voor iedere aansluiting worden nieuwe gegevens vastgelegd. Onderdeel w kon al via de andere gegevens worden afgeleid maar het is praktisch om deze parameter afzonderlijk vast te leggen. Onderdelen x en y kunnen gebruikt worden om de juiste aansluiting aan te duiden als het adres van de aansluiting geen postcode/huisnummer heeft of als er op een adres meerdere aansluitingen voorkomen. Onderdeel v is onderdeel van een andere codewijziging die de ACM in behandeling heeft en wordt uit praktische overwegingen in dit codebesluit alvast als ‘gereserveerd’ opgenomen.

Artikel III onderdeel C

86. De aanduiding van de meeteenheid hoeft niet te worden uitgewisseld.

Artikel III onderdeel D

87. De parameter geeft aan of het een meetinrichting betreft die voldoet aan de bepalingen in het Besluit op afstand uitleesbare meetinrichtingen (slimme meter) of niet (conventionele meter). Op basis van deze informatie kan de leverancier bepalen welk meterstandencollectieproces hij bij de desbetreffende klant kan gebruiken en welke informatie hij de klant kan verstrekken over de aanwezige meetinrichting.

Artikel III onderdeel E

88. Deze vier aanduidingen in het aansluitingenregister zijn alleen nodig voor grootverbruikaansluitingen. Zij stonden voorheen opgenomen in artikel 2.1.3, dat de parameters vastlegt die voor grootverbruikaansluitingen nodig zijn (zie Artikel III, onderdeel A).

Artikel III onderdeel F

89. De wijzigingen in dit artikel komen voort uit de wijzigingen beschreven onder Artikel III, onderdeel A en E.

Artikel III onderdeel G

90. Bij het Codebesluit meerdere leveranciers op een aansluiting is een onderscheid gemaakt tussen gegevens die voor primaire allocatiepunten worden uitgewisseld en gegevens die voor en secundaire allocatiepunten worden uitgewisseld. Bij nader inzien blijkt het onderscheid zo klein dat de betrokken partijen in de energiesector het doelmatiger vinden om het onderscheid te laten vervallen.

Artikel III onderdeel H

91. Bij de uitvoering van het Besluit leveringszekerheid moet de netbeheerder een aantal gegevens per aansluiting verstrekken aan de leverancier die de desbetreffende aansluiting krijgt toebedeeld. Dit artikel legt vast welke gegevens dat zijn.

Artikel III onderdeel I

92. Artikel 2.1.12 en 2.1.13 leggen uitputtend vast in welke situatie een leverancier, programmaverantwoordelijke en een meetverantwoordelijke gegevens mogen opvragen uit het CAR.

Artikel III onderdeel J

93. De titel van paragraaf 2.2 wordt aangepast in verband met de introductie van paragrafen 2.2a tot en met 2.2d.

Artikel III onderdeel K, L, M, N en O

94. Uit het CAR mogen alleen die gegevens opgevraagd worden die de opvragende partij nodig heeft. Die gegevens verschillen voor de leverancier, de programmaverantwoordelijke en de meetverantwoordelijke. Daarom wordt het oorspronkelijke artikel gesplitst in drie artikelen, artikel 2.2.1 voor de leverancier en de nieuw geformuleerde artikelen 2.2.2 en 2.2.3 voor de programmaverantwoordelijke respectievelijk meetverantwoordelijke. In onderdeel d van de drie artikelen wordt verwezen naar de tabel in bijlage B7, waarin de uit te wisselen gegevens per situatie overzichtelijk zijn weergegeven. De oorspronkelijke artikelen 2.2.2 en 2.2.3 zijn daardoor niet meer nodig, net als artikelen 2.2.4 en 2.2.5.

Artikel III onderdeel P

95. Deze wijziging hangt samen met de splitsing van het oorspronkelijke artikel 2.2.1 in drieën. Zie Artikel III, onderdelen K, M, en N.

Artikel III onderdeel Q

96. De opvraag van gegevens uit het CAR en de verstrekking van deze gegevens door de netbeheerder zijn verplaatst naar vier aparte paragrafen 2.2a tot en met 2.2d. Daarom worden de oude artikelen over opvraag en verstrekking uit deze paragraaf geschrapt.

Artikel III onderdeel R

97. Elk van de vier toegevoegde paragrafen 2.2a tot en met 2.2d legt de opvraag en de verstrekking van gegevens vast voor één van de fasen in het klantproces voor het overstappen van een kleinverbruiker naar een nieuwe leverancier. In elk van de fases is de hoeveelheid data die uitgewisseld wordt geminimaliseerd. Daarnaast is vastgelegd hoe de opvraag gedaan moet worden door de leverancier, de programmaverantwoordelijke en de meetverantwoordelijke. Tot slot is vastgelegd welke controle de netbeheerder uitvoert, hoe de netbeheerder een negatief controleresultaat meldt aan de opvragende partij en hoe en wanneer de netbeheerders bij een positief controleresultaat welke gegevens verstrekt.

Artikel III onderdeel S

98. Het gesloten EAN-codeboek komt te vervallen. Voor kleinverbruikaansluitingen is hiervoor in de plaats gekomen de gegevensuitwisseling horend bij fase 1 van het klantproces voor overstappen naar een andere leverancier zoals vastgelegd in paragraaf 2.2a. Voor grootverbruikaansluitingen is hiervoor in de plaats gekomen de gegevensuitwisseling die verwerkt is in paragraaf 2.2d.

Artikel III onderdeel T

99. De aanpassing van artikel 2.3.2 is gerelateerd aan de wijzigingen in artikel 2.1.3, zoals toegelicht bij Artikel III, onderdeel A.

Artikel III onderdeel U

100. Het gesloten EAN-codeboek komt te vervallen. Zie verder de toelichting bij Artikel III, onderdeel S.

Artikel III onderdeel V

101. Dit is een redactionele wijziging.

Artikel III onderdeel W

102. In de huidige situatie is het CER niet opengesteld voor kleinverbruikaansluitingen die onder artikel 95n van de Elektriciteitswet of artikel 52c van de Gaswet vallen. Het gaat hier om kleinverbruikaansluitingen die energie geleverd krijgen op basis van een leveringsovereenkomst voor een groep afnemers waarvan de meerderheid rechtspersoon is of handelt in de uitoefening van een beroep of bedrijf. Deze situatie komt bijvoorbeeld voor op bedrijventerreinen waar een enkele personeelswoning staat.
103. Met dit codebesluit wordt een nieuwe manier vastgelegd om een contract in het CER op te nemen (artikel 2.5.5), waarvan leveranciers gebruik kunnen maken om gegevens over de kleinverbruikaansluitingen binnen een dergelijke overeenkomst met een groep afnemers te kunnen opvragen. De uitsluiting van dergelijke kleinverbruikaansluitingen van het CER in artikel 2.5.1 vervalt daarom.

Artikel III onderdeel X

104. Artikel 2.5.2 vervalt, omdat de leverancier de contracteindegegevens verstrekt aan het CER op basis van de leveringsovereenkomst.

Artikel III onderdeel Y en Z

105. Artikel 2.5.3 bevat de verplichting voor de leverancier om gegevens te verstrekken voor registratie in het CER. Het artikel is redactioneel gewijzigd. Daarnaast is de frequentie van verstrekking toegevoegd, die oorspronkelijk in artikel 2.5.4 stond.

Artikel III onderdeel AA

106. Artikel 2.5.5 gaat over het opvragen van gegevens uit het CER. De opvraag van gegevens uit het CER is verplaatst van paragraaf 2.5 naar de twee paragrafen 2.5a en 2.5b. Artikel 2.2.5 is opgesplitst en de inhoud is verplaatst naar artikelen 2.5a.1 en 2.5b.1.

Artikel III onderdeel AB

107. Door de wekelijkse aanlevering van de contracten door de leveranciers en de in te voeren rechtmatigheidstoets van de opvraag ontstaat een ongewenste vertraging tussen het accepteren van een aanbod, niet zijnde aanbod op maat, en de bevestiging van de leverancier aan de klant met daarin de start leveringsdatum en het werkelijke in rekening te brengen nettarief. Dit wordt als klantonvriendelijk beschouwd en is een voor de leveranciers ongewenste verlenging van de ontbindingsperiode.
108. Daarom wordt in het vernieuwde artikel 2.5.5 de mogelijkheid geschapen voor de leverancier om, naast de wekelijkse aanlevering van de contracteindegegevens, real-time in het CER te laten opnemen dat de klant een overeenkomst met de leverancier is aangegaan en dat op grond van die overeenkomst de leverancier aanvullende gegevens uit het CAR, CER en TMR mag opvragen. Deze optie is niet verplicht, omdat het ook mogelijk is dat de klant en de leverancier in het aanbod al een datum zijn overeengekomen, waarbij de klant reeds heeft aangegeven de eventuele consequenties van het veroorzaken van een contractbreuk te accepteren. In dat geval kan de leverancier de gebruikelijke methode van artikel 2.5.3 voor het aanleveren van contracteindegegevens gebruiken.
109. De artikelen 2.5.6 en 2.5.7 leggen vast binnen welke termijn de netbeheerders de opgestuurde contracteindegegevens moeten registreren in het CER, voor de beide manieren van aanleveren.
110. Met artikel 2.5.8 wordt de netbeheerder in de gelegenheid gesteld om de rechtmatigheid van het opvragen van gegevens door een leverancier te controleren, door het sturen van een verzoek aan de desbetreffende leverancier. Artikel 2.5.9 legt vast binnen welke termijn deze leverancier moet reageren met de gevraagde gegevens. Artikel 2.5.10 gaat over de termijn voor het bewaren van die gegevens door de netbeheerder.
111. Artikel 2.5.11 beperkt het recht van de leverancier om gegevens uit het CER op te vragen tot uitsluitend de situaties zoals beschreven in de twee paragrafen 2.5a en 2.5b.

Artikel III onderdeel AC

112. Door contracteindegegevens op te vragen uit het CER kan de leverancier bepalen per welke datum de daadwerkelijke levering kan starten en wat de uiterste opzegdatum is ten behoeve van de opzegging van de in het CER geregistreerde overeenkomst(en). Een klant kan reeds meerdere contracten hebben afgesloten die met betrekking tot de looptijd en einddatum achter elkaar liggen.
113. De opvraag van gegevens uit het CER wordt ondergebracht in twee aparte paragrafen. Paragraaf 2.5a legt de manier van opvraag vast voor de aanbodfase van het klantproces voor het contracteren van een nieuwe leverancier door een kleinverbruiker. De leverancier vraagt de gegevens op na van toestemming van de betreffende kleinverbruiker.
114. Artikel 2.5a.1 specificeert in welke situatie de leverancier de gegevens mag opvragen en welke de gegevens de leverancier moet meesturen bij de opvraag. De artikelen 2.5a.2 en 2.5a.3 leggen de controle vast die de netbeheerder moet uitvoeren. Artikel 2.5a.4 legt vast welke gegevens de netbeheerder verstrekt aan de opvragende leverancier en binnen welke termijn hij dat moet doen.
115. Paragraaf 2.5b legt de manier van opvraag vast voor de derde fase van het klantproces voor het contracteren van een nieuwe leverancier door een kleinverbruiker. Artikel 2.5b.1 specificeert in welke situatie de leverancier de gegevens mag opvragen en welke de gegevens de leverancier moet meesturen bij de opvraag. De artikelen 2.5b.2 en 2.5b.3 leggen de controle vast die de netbeheerder moet uitvoeren. Artikel 2.5b.4 legt vast welke gegeven de netbeheerder verstrekt aan de opvragende leverancier en binnen welke termijn hij dat moet doen.

Artikel III onderdeel AD

116. De eerste aanpassing van artikel 2.6.2 is redactioneel. De toevoeging van de verwijzing naar artikel 5.3.4.5 is een correctie op een eerder codebesluit,11 waar artikel 5.3.4.5 was toegevoegd, maar de verwijzing ernaar vergeten was op te nemen in artikel 2.6.2.

Artikel III onderdeel AE

117. Artikel 2.6.3 specificeert in welke situaties de leverancier historische meetgegevens van een aansluiting mag opvragen uit het TMR. De aanpassingen ten opzichte van de oorspronkelijke versie zijn deels redactioneel en deels een verbetering van de omschrijving van de situaties.

Artikel III onderdeel AF

118. De artikelen 2.6.4, 2.6.5 en 2.6.6 bakenen af welke historische meetgegevens uit het TMR in welke situatie ter beschikking mogen komen van de leverancier. Het doel is dat alleen de noodzakelijke gegevens beschikbaar komen, en alle andere historische meetgegevens van de betreffende aansluiting niet ter beschikking komen van de opvragende leverancier.
119. Artikel 2.6.7 legt vast welke gegevens de leverancier moet meesturen bij de opvraag van gegevens uit het TMR. De artikelen 2.6.8 en 2.6.9 leggen vast wat de netbeheerder moet controleren alvorens hij de opgevraagde gegevens verstrekt.
120. Artikel 2.6.10 legt vast wanneer de netbeheerder welke gegevens aan de leverancier moet verstrekken per toegestane opvraag uit het TMR.

Artikel III onderdeel AG

121. Zoals beschreven in randnummers 29 tot en met 34 worden twee nieuwe registers in gebruik genomen, het klantsleutelregister en het toestemmingsregister. Deze registers worden beheerd door de gezamenlijke netbeheerders.
122. Paragraaf 2.14 legt de klantsleuteladministratie vast. Artikelen 2.14.1 en 2.14.2 specificeren wie voor het klantsleutelregister verantwoordelijk is en voor welke aansluitingen het register is bedoeld. Artikel 2.14.3 beschrijft op welk moment de leveranciers het register dienen te vullen en welke gegevens zij moeten aanleveren bij de netbeheerders. De controle van de aanlevering van klantsleutelgegevens door de netbeheerders is vastgelegd in artikel 2.14.4. Artikel 2.14.5 bepaalt wanneer de netbeheerders de ontvangen klantsleutelgegevens in het klantsleutelregister opneemt.
123. Omdat iedere nieuwe leverancier op een aansluiting verantwoordelijk is om de juiste klantsleutels aan te leveren voor zijn nieuwe klant, moet de netbeheerder onmiddellijk de oude klantsleutels verwijderen zodra er een leveranciersswitch, een inhuizing of een uithuizing heeft plaatsgevonden. Die verplichting is opgenomen in artikel 2.14.6.
124. De administratie van de toestemming is opgenomen in paragraaf 2.15. Iedere leverancier dient de toestemmingen van de kleinverbruikers voor het opvragen van gegevens uit het CAR en het CER te administreren in een eigen administratie. Dit is vastgelegd in artikel 2.15.1. Artikel 2.15.2 specificeert welke gegevens de leverancier moet opnemen bij het vastleggen van de toestemming in zijn administratie.
125. De netbeheerder kan besluiten om een controle uit te voeren op de toestemming die de leverancier heeft geadministreerd. Dit kan de netbeheerder doen door voor een opvraag van CAR- of CER-gegevens die een leverancier heeft gedaan de bij de toestemming behorende informatie op te vragen bij de desbetreffende leverancier. De manier waarop de netbeheerder dit moet doen, en in welke tijdsperiode de netbeheerder dit mag doen, is vastgelegd in artikel 2.15.3. Artikel 2.15.4 legt vast binnen welke termijn de leverancier aan het verzoek van de netbeheerder dient te voldoen. In de Informatiecode wordt niet vastgelegd op welke manier de leverancier deze gegevens moet toezenden, omdat de manier van toestemmingsadministratie bij een leverancier niet gestandaardiseerd wordt.

Artikel III onderdeel AH tot en met AN

126. De verstrekking van gegevens door de leverancier aan de regionale netbeheerder gebeurt niet meer op grond van een machtiging. In diverse artikelen kan daarom de verwijzing naar een machtiging verwijderd worden.

Artikel III onderdeel AO

127. Deze wijziging is redactioneel.

Artikel III onderdeel AP

128. Met dit codebesluit worden in de paragraaf 9.1a extra regels vastgelegd voor de partijen die toegang hebben tot gegevens in de registers die door de gezamenlijke netbeheerders worden beheerd. Artikel 9.1.2, onderdeel d, legt de verantwoordelijkheid voor het opstellen van die regels bij dezelfde partijen die ook de regels opstellen voor de berichtspecificaties en de communicatiesystemen.

Artikel III onderdeel AQ tot en met AU

129. De herformulering van deze artikelen maakt duidelijker waar de verantwoordelijkheden voor de gezamenlijke netbeheerders liggen en welke ondernemingen de communicatiesystemen gebruiken. Daarnaast wordt in artikel 9.1.7, onderdeel f, de mogelijkheid vermeld dat de gezamenlijke netbeheerders een onderneming de toegang tot de centrale systemen ontzeggen na een aanwijzing hiertoe van een toezichthouder.

Artikel III onderdeel AV

130. De herformulering van dit artikel maakt duidelijker waar de verantwoordelijkheden voor de gezamenlijke netbeheerders liggen en welke ondernemingen de communicatiesystemen gebruiken.

Artikel III onderdeel AW

131. Artikel 9.1.10 is gewijzigd omdat de op grond van artikel 54 van de Elektriciteitswet en artikel 23 van de Gaswet in de Informatiecode geen verplichting aan een toezichthouder opgenomen kan worden.

Artikel III onderdeel AX en AY

132. De herformulering van deze artikelen maakt duidelijker waar de verantwoordelijkheden voor de gezamenlijke netbeheerders liggen en welke ondernemingen de communicatiesystemen gebruiken.

Artikel III onderdeel AZ

133. De nieuw ingevoegde paragraaf 9.1a regelt extra maatregelen ter bescherming van persoonsgegevens bij het gebruik van de centrale systemen. Artikel 9.1a.1 verplicht een onderneming die toegang heeft tot de centrale communicatiesystemen om een proces in te richten waardoor het mogelijk is om een uitgevoerde opvraag of mutatie tot op de verantwoordelijke medewerker te herleiden. Hierdoor is het mogelijk om bij een eventueel misbruik te traceren waar dit plaatsvindt.
134. De artikelen 9.1a.2 en 9.1a.4 stellen voorwaarden aan een onderneming die een derde partij inschakelt voor de uitvoering van een proces waarbij toegang tot de centrale systemen nodig is. Artikel 9.1a.3 legt vast dat een onderneming een beveiligingsincident met betrekking tot de toegang tot de centrale systemen moet melden bij de gezamenlijke netbeheerders.

Artikel III onderdeel BA

135. De aanpassing van de titel van paragraaf 10.1 is nodig omdat deze paragraaf ook regels stelt voor de klantsleuteladministratie en de toestemmingsadministratie.

Artikel III onderdeel BB

136. Artikel 10.1.2.1 wordt aangepast, omdat het oorspronkelijke artikel de reikwijdte van het EAN-codeboek ten onrechte beperkte tot alleen kleinverbruikaansluitingen.

Artikel III onderdeel BC

137. De verwijzing naar artikel 2.3.5 is verwijderd, omdat dit artikel op grond van een eerder codebesluit is vervallen.

Artikel III onderdeel BD

138. De aanpassing in dit artikel is nodig omdat niet alleen de leveranciers, maar ook de programmaverantwoordelijken en meetverantwoordelijken een opvraag kunnen doen uit het openbare EAN-codeboek.

Artikel III onderdeel BE

139. Er worden twee paragrafen toegevoegd. In de artikelen van paragraaf 10.1.4a wordt vastgelegd voor welk doel de klantsleutel wordt verwerkt en hoe lang de betrokken partijen de klantsleutel dienen te bewaren.
140. In de artikelen van paragraaf 10.1.4b wordt vastgelegd voor welk doel de toestemmingen worden verwerkt en hoe lang de betrokken partijen de toestemmingsgegevens dienen te bewaren.

Artikel III onderdeel BF, BG en BH

141. In deze paragraaf kunnen uitzonderingen worden opgenomen voor de manier waarop in artikel 10.1.5.1 het doel van de gegevensverwerking en de te hanteren bewaartermijnen moet worden vastgelegd. Het nieuwe artikel 10.1.5.2 is een dergelijke uitzondering, gericht op de bewaartermijn van de gegevens die de leverancier ontvangt ten behoeve van de aanbodfase van het klantproces horend bij het wisselen van leverancier.
142. De verwijzingen naar de Wet bescherming persoonsgegevens en naar het College bescherming persoonsgegevens zijn geactualiseerd in artikel 10.1.5.1.

Artikel III onderdeel BI en BJ

143. In deze artikelen en bijlagen zijn de verwijzingen naar de Wet bescherming persoonsgegevens en naar het College bescherming persoonsgegevens geactualiseerd.

Artikel III onderdeel BK

144. Bijlage 7 maakt overzichtelijk welke gegevens uit het CAR mogen worden verstrekt door de netbeheerder. Voor iedere situatie van gegevensverstrekking is een aparte kolom opgenomen. De bovenste kopregel boven iedere kolom geven aan in welk artikel de gegevensverstrekking beschreven is. De kopregels daaronder geven aan of het om kleinverbruik- of grootverbruikaansluiting gaat en aan welke marktrol (leverancier, programmaverantwoordelijke, meetverantwoordelijke) de netbeheerder deze gegevens verstrekt.

9 Inwerkingtredingsdatum

145. In het kader van een snelle uitvoering van het Actieplan Dataveiligheid zijn de partijen in de energiesector met instemming van de ACM al begonnen met de ICT-wijzigingen voordat de ACM dit codebesluit vaststelt. De ICT-wijzigingen zijn tegelijk met die voor het Codebesluit meerdere leveranciers op een aansluiting ingevoerd op 24 maart 2018. Omdat dit codebesluit in lijn is met het Actieplan Dataveiligheid, kan het codebesluit op de kortst mogelijke termijn ingaan. Dit is de dag na publicatie van het codebesluit in de Staatscourant.

’s-Gravenhage, 16 oktober 2018,

De Autoriteit Consument en Markt, namens deze: C.M.L. Hijmans van den Bergh bestuurslid

X Noot

Voor het CAR, CER en TMR respectievelijk paragraaf 2.1, 2.5 en 2.6 van de Informatiecode elektriciteit en gas.

X Noot

Voorheen de Wet bescherming persoonsgegevens.

X Noot

ACM, “Informatievoorziening op de consumentenmarkt voor energie”, 4 november 2014, https://www.acm.nl/nl/publicaties/publicatie/13480/Informatievoorziening-op-de-consumentenmarkt-voor-energie en Energie-Nederland, “Gedragscode Consument en Energieleverancier”, 1 juli 2015, https://www.energie-nederland.nl/positionpaper/658/.

X Noot

⁴

Kamerstukken II, 2007 – 2008, 31 374, nr. 3, p. 24.

X Noot

⁵

Kamerstukken II, 2009 – 2010, 32 374, nr. 3, p. 5.

X Noot

⁶

Brief van 4 juli 2017 met kenmerk ACM/DE/2017/203995. De ACM vraagt in deze brief de AP om advies op basis van afdeling 3.3 van de Algemene wet bestuursrecht en onder verwijzing naar artikel 51 van de Wet bescherming persoonsgegevens.

X Noot

⁷

Brief van 30 augustus 2017 met kenmerk z2017-05375. Omdat de AVG niet wezenlijk verschilt van de Richtlijn en de wijze waarop deze in de Wbp was geïmplementeerd, leest de ACM “artikel 6, eerste lid onder c AVG” waar nog verwezen wordt naar artikel 8, onder c Wbp.

X Noot

⁸

Zie randnummer 36.

X Noot

⁹

Zaaknummer ACM/17/022690. De ACM heeft in mei 2017 een wijzigingsopdracht gegeven aan de indieners van het codevoorstel over slimme meterallocatie. De indieners hebben de ACM daarop verzocht om de behandeling van dat codevoorstel tot nader bericht aan te houden.

X Noot

¹⁰

Zie bijvoorbeeld de uitspraak van het CBb van 15 februari 2008 (ECLI:NL:CBB:2008:BC6761).

X Noot

¹¹

Stcrt. 59466, 9 november 2016.

Inhoudsopgave

Extra informatie

Geconsolideerde regelgeving

Publicaties referendum

ARTIKEL I

ARTIKEL II

ARTIKEL III

2.2 Wijziging van gegevens in het aansluitingenregister

2.2a Opvraag van gegevens van de aansluiting ten behoeve van identificatie van de aansluiting

2.2b Opvraag van gegevens van de aansluiting ten behoeve van een aanbod voor levering

2.2c Opvraag van gegevens van de aansluiting ten behoeve van voorbereiding van levering

2.2d Opvraag van gegevens van de aansluiting ten behoeve van levering

2.5a Opvraag van contracteindegegevens ten behoeve van een aanbod voor levering

2.5b Opvraag van contracteindegegevens ten behoeve van voorbereiding van levering

2.14 De klantsleuteladministratie

2.15 De toestemmingenadministratie

9.1a Autorisatiebeleid en derdentoegang

10.1 Registers en administraties

10.1.4a De klantsleuteladministratie

10.1.4b De toestemmingenadministratie

Bijlage 7 Gegevensverstrekkingen naar aanleiding van opvraag of wijziging van aansluitinggegevens

B7.1

ARTIKEL IV

ARTIKEL VIII

TOELICHTING

1 Samenvatting

2 Gevolgde procedure

3 Achtergrond

4 Aanleiding

5 Inhoud van het codevoorstel

6 Beoordeling van het codevoorstel

6.1 Procedureel

6.2 Inhoudelijk

6.2.1 Grondslag voor netbeheerders om gegevens te verstrekken uit de registers

6.2.2 Gegevensbescherming voor zakelijke kleinverbruikers

6.2.3 Overige punten bij de inhoudelijke beoordeling

6.2.4 Overige punten van het advies van de Autoriteit Persoonsgegevens

6.2.5 Conclusie

6.3 Redactionele aanpassingen ten opzichte van het codevoorstel

7 Beoordeling van de ingediende zienswijzen op het ontwerpbesluit

7.1 Zienswijze van de NEDU

7.2 Zienswijze van Netbeheer Nederland

7.3 Reactie van de ACM op de zienswijzen van de NEDU en Netbeheer Nederland

8 Artikelsgewijze toelichting

Artikelen I en II

Artikel III onderdeel A

Artikel III onderdeel B

Artikel III onderdeel C

Artikel III onderdeel D

Artikel III onderdeel E

Artikel III onderdeel F

Artikel III onderdeel G

Artikel III onderdeel H

Artikel III onderdeel I

Artikel III onderdeel J

Artikel III onderdeel K, L, M, N en O

Artikel III onderdeel P

Artikel III onderdeel Q

Artikel III onderdeel R

Artikel III onderdeel S

Artikel III onderdeel T

Artikel III onderdeel U

Artikel III onderdeel V

Artikel III onderdeel W

Artikel III onderdeel X

Artikel III onderdeel Y en Z

Artikel III onderdeel AA

Artikel III onderdeel AB

Artikel III onderdeel AC

Artikel III onderdeel AD

Artikel III onderdeel AE

Artikel III onderdeel AF

Artikel III onderdeel AG

Artikel III onderdeel AH tot en met AN

Artikel III onderdeel AO

Artikel III onderdeel AP

Artikel III onderdeel AQ tot en met AU

Artikel III onderdeel AV

Artikel III onderdeel AW

Artikel III onderdeel AX en AY