La CNIL vient de mettre en demeure Direct Energie. Le fournisseur d'énergie a été épinglé pour défaut de recueil du consentement des abonnés, alors qu'Enedis prévoit d’installer 35 millions de compteurs communicants Linky d'ici 2021.
Direct Energie glane-t-elle, dans les règles de l’art de la loi de 1978, le consentement des abonnés en amont de l’installation de ces nouveaux compteurs connectés ? La CNIL est persuadée que non, après des contrôles organisés en octobre 2016 et février 2018.
Le nœud du problème ? Lors de la mise en place d’un compteur communicant, Direct Energie demande « au gestionnaire du réseau de distribution, la société ENEDIS, de lui transmettre les données de ses clients correspondant à leur consommation journalière d’électricité ainsi que les données de consommation à la demi-heure », explique la CNIL dans un communiqué.
Or, les données sont parfois glanées sans obtenir le feu vert des personnes concernées.
Le feu vert du propriétaire n'est pas celui du locataire
Déjà, pour l’exploitation de ces compteurs, Direct Energie se contente parfois de contacter le propriétaire du logement, et non le locataire, afin d’être autorisée à collecter les consommations par courbe de charge, c’est-à-dire au pas de trente minutes.
Sauf que les textes exigent que le recueil du consentement vise la « personne concernée » et non un tiers, comme ici. Le consentement fait donc défaut.
Dans sa délibération, la CNIL considère en outre que le consentement à la transmission de ces données à la société Direct Energie « ne peut être considéré comme libre, éclairé et spécifique ».
Un consentement qui doit être libre, éclairé et spécifique
Les clients sont en effet destinataires d’une campagne d’information qui vise à glaner leur accord à la fois sur la mise en place de Linky et la collecte de ces données de consommations.
Ils apprennent à cette occasion que leur compteur « doit être remplacé dans le cadre d’une campagne menée par Enedis ». Il leur est expliqué qu’ils doivent « permettre au technicien d’accéder à [leur] compteur et permettre à Direct Energie d’accéder à [leurs] données de consommations ».
Justement, l’autorité reproche à Direct Energie de mélanger ici torchons et serviettes. « Le client pense donc consentir simultanément au changement de compteur électrique et à la collecte des données relatives à sa consommation. Or, Direct Energie n’est pas en charge du déploiement et de l’activation des compteurs Linky », laquelle est obligatoire.
Le souci est que cette campagne d’information donne l’impression que la collecte des données est la conséquence de l’activation du compteur (voir le cas similaire de SFR). Ce qui est faux. Pour preuve, si le client refuse l’activation de ce compteur suite à cette information, le compteur est malgré tout activé par Enedis.
Et s’il donne son accord à cette activation, ce consentement, faute d'avoir bien été éclairé, ne peut en aucun cas se répandre sur la collecte de la courbe de charge, d’autant plus que la société ne proposait pas aux jours des contrôles une offre basée sur la consommation au pas de trente minutes.
Ce n'est pas tout puisque « le consentement est recueilli de manière générale sur la collecte de données relatives à la courbe de charge, sans aucune précision sur la cadence effective de cette collecte ».
En conclusion, la CNIL a considéré que le consentement est recueilli sans base légale.
Les consommations quotidiennes et l'intérêt légitime de Direct Energie
Un problème similaire se pose cette fois sur les données relatives aux consommations quotidiennes. Certes, les personnes sont informées de cette aspiration, mais jamais leur consentement exprès n’est recueilli.
La société a bien tenté de s’abriter derrière une disposition de l’article 7 de la loi de 1978 qui l’autorise à se passer de ce feu vert lorsqu’elle démontre un intérêt légitime, « sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée ».
Direct Energie a ainsi fait valoir son souhait « d’avoir une meilleure compréhension de la consommation des clients et de leur proposer des offres plus adaptées à leurs besoins ».
Mais la CNIL n’a pas été séduite : « S’il apparait légitime que la société optimise son système en proposant des offres personnalisées à ses clients, (…) la collecte d’office de ces données – qui est particulièrement intrusive et attentatoire à leur vie privée - méconnait leurs intérêts et droits, d’autant qu’il n’existe pas non plus d’offres tarifaires basées sur leur consommation quotidienne ».
Trois mois pour se conformer
La commission a laissé trois mois à l’entreprise pour se conformer. Elle devra « recueillir le consentement préalablement à la collecte des données relatives aux consommations au pas de trente minutes et aux consommations quotidiennes des clients, y compris de ceux dont les données sont déjà enregistrées par la société et à défaut, supprimer lesdites données collectées ».
Faute de rentrer dans les clous, la CNIL annonce qu’elle s’engagera dans une procédure qui peut déboucher sur une sanction de 3 millions d’euros.
Rappelons qu’avec le règlement sur la protection des données personnelles, en application le 25 mai et expliqué ligne par ligne, ce type de situation sera sanctionné jusqu’à une amende administrative de 20 millions d’euros voire de 4 % du chiffre d’affaires mondial.
