Dans une Décision n°2018-007 du 5 mars 2018, la CNIL a procédé à la mise en demeure de la société Direct Energie, pour ne pas avoir recueilli le consentement des personnes concernées préalablement à la collecte des données de consommation issues du compteur communiquant LINKY.
Direct Energie est une société ayant pour activité la fourniture et la production d’énergie. Elle facture ses clients de façon mensuelle.
A l’occasion de l’installation du compteur communiquant Linky par une société terse, ENEDIS, Direct Energie a demandé à ENEDIS de lui transmettre les données de ses clients correspondant à leur consommation journalière d’électricité, ainsi que les données de consommation à la demi-heure.
La CNIL, dans un premier temps, cherche à savoir si le consentement préalable des personnes concernées est bien recueilli, préalablement à la collecte de ces informations.
Concernant les données de consommation à la demi-heure, la CNIL relève que Direct Energie envoie une communication à ses clients 45 jours avant l’installation du compteur communiquant, afin de leur demander leur accord à la collecte des données. Le courrier type adressé au client contient un paragraphe intitulé « Que devez-vous faire ? », qui enjoint le client à :
- permettre à l’entreprise de réaliser la pose du compteur
- permettre à Direct Energie d’accéder aux données de consommation détaillées de « votre futur compteur Linky, afin de vous assurer une facturation au plus juste et de vous adresser régulièrement votre bilan de consommation».
Direct Energie envoie également un courrier électronique reprenant les termes de la lettre, et met à leur disposition une mention d’information dans leur espace client.
Il arrive également que Direct Energie procède au recueil du consentement préalablement à la collecte par appel téléphonique au propriétaire du logement (et non son occupant).
La CNIL relève que le consentement ne saurait être considéré comme libre éclairé, et spécifique, pour plusieurs raisons :
- l’objet de la communication reçue par le client se rapporte au remplacement du compteur électrique. Le client pense donc consentir simultanément au changement de compteur et à la collecte des données relatives à sa consommation. Or, Direct Energie n’est pas en charge du déploiement et de l’activation des compteurs Linky. Si le client ne répond pas positivement à la demande d’activation du compteur, celui-ci sera néanmoins activé par Enedis. L’accord sollicité par Direct Energie ne saurait donc porter sur l’activation du compteur.
- La finalité (« vous assurer une facturation au plus juste») ne correspond pas à la réalité puisque Direct Energie ne propose pas à ses clients d’offre basée sur la consommation à la demi-heure. Le consentement n’est donc pas éclairé.
- Le consentement est recueilli de manière générale sur la collecte relative à la courbe de charge, sans aucune précision sur la cadence effective de cette collecte, à savoir 30 minutes.
- L’autorisation délivrée au téléphone par un tiers (le propriétaire du logement) ne saurait valoir consentement des locataires. Dans un tel cas, le consentement de la personne concernée fait entièrement défaut.
Concernant les données relatives aux consommations quotidiennes, la CNIL a relevé dans son premier contrôle de 2016 que la collecte de cette information se fait sans recueil du consentement, Direct Energie faisant simplement figurer une mention d’information dans le contrat.
Lors du second contrôle de 2018, la CNIL relève que lors de la souscription d’un contrat par internet, il y a une mention indiquant : « J’autorise expressément Direct Energie à récupérer auprès du Gestionnaire du Réseau de Distribution ma puissance souscrite et mon option tarifaire nécessaires à l’exécution de mon contrat ainsi que mes données de consommation quotidiennes (si je suis équipé d’un compteur Linky) me permettant de bénéficier d’un meilleur suivi de ma consommation. », sans que cette mention ne soit suivie d’une case à cocher. La CNIL conclue qu’il n’y a pas de recueil du consentement.
Faute de recueil du consentement, la CNIL cherche à savoir si le traitement peut reposer sur une autre base légale. Elle affirme qu’en l’espèce le traitement ne saurait se fonder sur l’exécution du contrat, puisque la collecte des données relatives à la consommation quotidienne n’est pas nécessaire à l’exécution du contrat de fourniture d‘électricité, facturé mensuellement.
Cette appréciation apparait comme une lecture stricte de l’article 7 de la loi du 6 janvier 1978.
