AgentPublic/cnil huggingface dataset:
en cochant une case spécifique lors de la souscription du contrat par internet ;
en validant dans l’espace client ou dans un courrier électronique envoyé par X la case J’active mon compteur Linky ;
en répondant positivement à une demande orale lors de la souscription du contrat par téléphone ;
en renvoyant un coupon joint au courrier papier envoyé par X concernant le remplacement du compteur électrique.
S’agissant des données de consommations quotidiennes, la délégation a été informée que le consentement des clients de la société n’est pas requis pour la collecte et la transmission de ces données de la société ENEDIS à la société X. Lors du contrôle du 1er février 2018, il lui a été indiqué que l’information concernant la collecte de ces données figurait dans le contrat.
Elle a également constaté que la base de données de la société contenait :
les données de consommations au pas de trente minutes de […] foyers ayant un compteur communicant ;
les données relatives aux consommations quotidiennes de […] foyers ayant un compteur communicant.
A la suite du contrôle et des demandes formulées par la délégation, la société a apporté des éléments additionnels par courriers électroniques en date des 19, 20, 26, 27 octobre 2016 ainsi que les 21 mars 2017 et 9 février 2018.
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation de recueillir le consentement des personnes pour les traitements concernant les données relatives aux consommations au pas de trente minutes et aux consommations quotidiennes
Aux termes de l’article 7 de la loi n° 78-17 du 6 janvier 1978 modifiée : un traitement de données à caractère personnel doit avoir reçu le consentement de la personne concernée ou satisfaire à l'une des conditions suivantes :
1° Le respect d'une obligation légale incombant au responsable du traitement ;
2° La sauvegarde de la vie de la personne concernée ;
3° L'exécution d'une mission de service public dont est investi le responsable ou le destinataire du traitement ;
4° L'exécution, soit d'un contrat auquel la personne concernée est partie, soit de mesures précontractuelles prises à la demande de celle-ci ;
5° La réalisation de l'intérêt légitime poursuivi par le responsable du traitement ou par le destinataire, sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée .
Concernant les données relatives aux consommations au pas de trente minutes
La délégation a été informée, lors du contrôle du 1er février 2018, que la société envoie une communication (courrier papier ou électronique) à ses clients 45 jours avant l’installation du compteur communicant afin de leur demander leur accord à la collecte de ces données.
La société a précisé que l’accord des clients à la collecte de ces données se formalise via l’espace client du consommateur ou via le coupon joint au courrier papier envoyé précédemment.
La délégation a constaté que le courrier type adressé aux clients par voie postale, afin de leur annoncer le remplacement de leur compteur électrique, contient un paragraphe intitulé Que devez-vous faire ? qui indique : Deux choses très simples :
- Permettre à l’entreprise […] de réaliser la pose du compteur selon les modalités décrites ci-dessus ;
- Nous permettre d’accéder aux données de consommation détaillées de votre futur compteur Linky afin de vous assurer une facturation au plus juste et de vous adresser régulièrement votre bilan de consommation. Pour cela, il vous suffit de nous retourner le coupon ci-dessous, daté et signé, au moyen de l’enveloppe T jointe. .
Le coupon susmentionné dénommé Mise en service du compteur communicant Linky- Télétransmission des données de consommation concerne l’autorisation donnée par le client pour permettre d’une part, l’enregistrement, par la société ENEDIS, des données relatives à sa courbe de charge et d’autre part, leur transmission et utilisation par la société X.
Il a également été constaté que l’espace client comprend l’information suivante :
 J’active mon compteur Linky pour bénéficier d’un suivi de consommation réelle et d’un pilotage personnalisé de ma consommation .
Puis, un encart précise :
J’autorise X à demander, en mon nom et pour mon compte, au gestionnaire du réseau de distribution (Enedis) d’enregistrer ma consommation par courbe de charge pour la transmettre à X.
J’autorise X à utiliser ma consommation par courbe de charge pour me donner accès au suivi et à l’analyse de ma consommation. 
Un bouton jaune intitulé J’active mon compteur Linky se trouve à la suite de ces deux informations.
En outre, le courrier électronique envoyé aux clients intitulé Remplacement de votre compteur électrique indique la mention d’information suivante :
 Permettre au technicien mandaté par Enedis de réaliser l’intervention [….].
Permettre dès aujourd’hui à X d’accéder aux données de consommation de votre futur compteur, afin de vous assurer une facturation au plus juste et de vous adresser régulièrement votre bilan de consommation en cliquant ici [..] 
Le lien cliquable renvoie à un bouton intitulé J’active mon compteur Linky .
De plus, il ressort d’enregistrements d’appels téléphoniques transmis lors du contrôle du 1er février 2018, que la personne qui accepte la collecte de la consommation par courbe de charge par la société est parfois le propriétaire du logement et non son occupant, alors que ce dernier est la personne concernée par les données de consommations.
Aussi, et au regard de ces éléments, le consentement donné par le client à la transmission des données de consommations au pas de trente minutes à la société X ne peut être considéré comme libre, éclairé et spécifique, pour plusieurs raisons.
En premier lieu, il résulte des éléments mentionnés ci-dessus que le client reçoit une information selon laquelle son compteur doit être remplacé dans le cadre d’une campagne menée par ENEDIS. A cette occasion et à la question Que devez-vous faire , il lui est expliqué qu’il doit permettre au technicien d’accéder à son compteur et permettre à X d’accéder à ses données de consommations. L’objet des communications reçues par le client se rapporte au remplacement du compteur électrique, à l’activation du nouveau compteur communicant et à la collecte des données de consommation (objet du courrier postal ou électronique, présentation de la campagne de remplacement des compteurs, bouton J’active mon compteur Linky et coupon intitulé Mise en service du compteur communicant Linky- Télétransmission des données de consommation ).
Le client pense donc consentir simultanément au changement de compteur électrique et à la collecte des données relatives à sa consommation. Or, la société n’est pas en charge du déploiement et de l’activation des compteurs Linky. Si le client ne répond pas positivement à la demande d’ activation du compteur Linky , celui-ci sera néanmoins activé par la société ENEDIS et opérationnel. L’accord sollicité par la société X ne saurait donc porter sur l’activation du compteur, seule la collecte des données de consommation étant en réalité susceptible de faire l’objet d’un accord de la personne auprès de cette société.
Ainsi, le client donne son accord à la collecte des données dans un contexte où il pense également donner son accord à l’activation du compteur Linky, alors que le consentement à la collecte de la courbe de charge est en fait décorrélé de l’activation du compteur.
En deuxième lieu, la finalité affichée de la collecte des données de consommations ( vous assurer une facturation au plus juste ) ne correspond pas à la réalité puisqu’aux jours des contrôles, la société ne proposait pas à ses clients d’offre basée sur la consommation au pas de trente minutes.
Le caractère éclairé du consentement fait également défaut pour cette raison.
En troisième lieu, le consentement est recueilli de manière générale sur la collecte de données relatives à la courbe de charge, sans aucune précision sur la cadence effective de cette collecte – à savoir le pas de trente minutes.
Enfin, l’autorisation délivrée au téléphone par un tiers (le propriétaire du logement) ne saurait valoir consentement des locataires au traitement de leurs données. Dans cette hypothèse, le consentement de la personne concernée fait entièrement défaut.
Or la Commission a considéré dans sa recommandation relative aux traitements des données de consommation collectées par les compteurs communicants du 15 novembre 2012, que la courbe de charge ne pouvait être collectée qu’avec le consentement exprès des personnes concernées.
A toutes fins utiles, l’article D. 224-27 du code de la consommation concernant l’espace sécurisé mis à la disposition du consommateur par le fournisseur d’énergie confirme désormais l’exigence d’un tel consentement. Cet article dispose que Cet espace sécurisé […] comporte des fonctionnalités permettant au consommateur de demander au fournisseur qu'il transmette au gestionnaire de réseau de distribution ses demandes […]: 1° S'agissant de la courbe de charge d'électricité : […] c) De la collecter ou de cesser de la collecter .
En l'espèce, faute de recueillir le consentement éclairé, libre et spécifique des personnes concernées, le traitement mis en œuvre par la société ne pourrait avoir pour base légale que l'une des bases, alternatives au consentement, énumérées aux 1° à 5° de l'article 7 précité.
Compte-tenu de la nature des traitements en cause, les 1°, 2° et 3° de l'article 7 de la loi du 6 janvier 1978 modifiée ne peuvent constituer la base légale de mise en œuvre du traitement par la société, lequel ne peut donc être examiné qu’au regard du 4° et du 5° de l’article 7 précité
S’agissant du 4° de l’article 7, il apparait que la collecte des données relatives à la consommation au pas de trente minutes n’est pas nécessaire à l’exécution du contrat auquel souscrit le client, à savoir la fourniture d’électricité facturée mensuellement.
En ce qui concerne l’intérêt légitime poursuivi par le responsable de traitement visé au 5° de l’article 7 précité, la collecte par défaut des données de consommations au pas de trente minutes des foyers équipés du compteur Linky apparaît particulièrement intrusive en ce qu’elles sont susceptibles de révéler des informations sur la vie privée des personnes concernées, telles que les heures de lever et de coucher ou le nombre de personnes présentes dans le logement. En outre, il n’existe pas d’offres basées sur la consommation au pas de trente minutes des clients et seule une partie des clients de la société pourrait souhaiter en bénéficier. La société ne dispose, dès lors, pas d’un intérêt légitime à collecter et traiter les données de consommations au pas de trente minutes compte-tenu de l’atteinte aux intérêts et aux droits des personnes.
Il en résulte que le traitement précité est dépourvu de base légale faute de recueillir valablement le consentement des clients ou de pouvoir se prévaloir de l’une des bases légales alternatives mentionnées aux 4° et 5° de l’article 7.
Ces faits constituent donc un manquement aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée.
Concernant les données relatives aux consommations quotidiennes
La délégation a été informée, lors du contrôle du 16 octobre 2016, que la société collecte ces données, pour les clients disposant d’un compteur communicant, auprès de la société ENEDIS, sans recueil de leur consentement. Il lui a également été indiqué, lors du contrôle du 1er février 2018, que les informations concernant cette collecte étaient indiquées dans le contrat.
Dans les éléments qu’elle a transmis à la CNIL le 9 février 2018, la société précise que ces données lui permettent d’obtenir des informations générales sur le niveau de consommation quotidienne des clients et sont utiles à l’accomplissement de ses obligations légales et contractuelles. Sur ce point, la société fait référence aux dispositions du décret n°2017-976 du 10 mai 2017 insérées dans le code de la consommation concernant l’espace sécurisé mis à la disposition du consommateur par le fournisseur d’énergie.
Durant le contrôle du 1er février 2018, il a été constaté que lors de la souscription d’un contrat par internet, les nouveaux clients qui renseignent leur numéro de point de livraison disposent de l’information suivante :
 J’autorise expressément X à récupérer auprès du Gestionnaire du Réseau de Distribution ma puissance souscrite et mon option tarifaire nécessaires à l’exécution de mon contrat ainsi que mes données de consommation quotidiennes (si je suis équipé d’un compteur Linky) me permettant de bénéficier d’un meilleur suivi de ma consommation .
Cette information, qui n’est assortie d’aucune case à cocher, est suivie du bouton cliquable continuer qui permet d’accéder à l’étape suivante du parcours client.
Puis, sur la page intitulée Identification du compteur , l’information suivante est disponible : Je suis informé(e) que X récupère auprès du Gestionnaire du Réseau de Distribution ma puissance souscrite et mon option tarifaire ainsi que mes données de consommation quotidienne (si je suis équipé d’un compteur Linky) me permettant de bénéficier d’un meilleur suivi de ma consommation .
Les anciens clients qui bénéficient d’un compteur communicant ont reçu l’information suivante par voie postale ou électronique : X collecte auprès d’ENEDIS vos index quotidiens de consommation afin de permettre une facturation au plus juste et de vous fournir le suivi de consommation .
Enfin, l’encart intitulé Acceptation du contrat présent dans le contrat de fourniture d’électricité passé avec le client indique : Je suis informé(e) que X récupère auprès du Gestionnaire du Réseau de Distribution les éléments nécessaires à ma souscription ainsi que mes données de consommations quotidiennes permettant de bénéficier d’un meilleur suivi de ma consommation .
S’il existe une information des personnes quant à la collecte des données de consommations quotidiennes, il ressort de l’ensemble de ces éléments que le consentement exprès des clients et futurs clients n’est recueilli à aucun stade (souscription en ligne ou conclusion du contrat).
A toutes fins utiles, l’article D. 224-27 du code de la consommation concernant l’espace sécurisé mis à la disposition du consommateur par le fournisseur d’énergie confirme l’exigence d’un tel consentement. Cet article dispose que Cet espace sécurisé […] comporte des fonctionnalités permettant au consommateur de demander au fournisseur qu'il transmette au gestionnaire de réseau de distribution ses demandes […] 3° De transmettre ou cesser de transmettre au fournisseur, les données suivantes a) Les index quotidiens relevés à distance et la consommation quotidienne mesurée, s'agissant de l'électricité, en kilowattheures et, s'agissant du gaz naturel, à la fois en m3 et en kilowattheures avec mention du coefficient de conversion appliqué .
En l'espèce, faute de recueillir le consentement des personnes concernées et compte tenu de la nature des traitements en cause, le traitement mis en œuvre par la société ne peut avoir pour base légale que l'une des conditions énumérées au 4° et au 5° de l’article 7 précité.
S’agissant du 4° de l’article 7, il apparait que la collecte des données relatives à la consommation quotidienne n’est pas nécessaire à l’exécution du contrat auquel souscrit le client, à savoir la fourniture d’électricité facturée mensuellement.
En conséquence, la société ne peut fonder la collecte et le traitement des données de consommations quotidiennes sur l’exécution du contrat de fourniture d’électricité, de sorte que le 4° de l’article 7 précité ne peut trouver à s’appliquer en l’espèce.
En ce qui concerne l’intérêt légitime poursuivi par le responsable de traitement et visé au 5° de l’article 7, il résulte des éléments transmis le 9 février 2018 par la société que la collecte des données relatives à la consommation quotidienne lui permettra d’avoir une meilleure compréhension de la consommation des clients et de leur proposer des offres plus adaptées à leurs besoins .
Toutefois, s’il apparait légitime que la société optimise son système en proposant des offres personnalisées à ses clients, il apparaît que la collecte d’office de ces données – qui est particulièrement intrusive et attentatoire à leur vie privée - méconnait leurs intérêts et droits, d’autant qu’il n’existe pas non plus d’offres tarifaires basées sur leur consommation quotidienne.
Dans ces conditions, un tel traitement est dépourvu de base légale faute de recueillir le consentement des clients ou de pouvoir se prévaloir de l’une des exceptions prévues aux 4° et 5° de l’article 7.
Ces faits constituent donc un manquement aux dispositions de l’article 7 de la loi du 6 janvier 1978 modifiée.
En conséquence, la société X sise […] est mise en demeure, sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’elles auraient déjà pu adopter, de :
recueillir le consentement préalablement à la collecte des données relatives aux consommations au pas de trente minutes et aux consommations quotidiennes des clients, y compris de ceux dont les données sont déjà enregistrées par la société et à défaut, supprimer lesdites données collectées ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si la société X s’est conformée à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si la société X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN
Délibération du bureau de la Commission nationale de l’informatique et des libertés
n° 2018-082 du 22 mars 2018 décidant de rendre publique la mise en demeure
n° MED-2018-007 du 5 mars 2018 prise à l’encontre de la société X
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 22 mars 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etaient aussi présents Mme Marie-France MAZARS, Vice-président délégué, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n°MED-2018-007 du 5 mars 2018 de la Présidente de la Commission mettant en demeure la société X;
A adopté la délibération suivante :
Par décision du 5 mars 2018, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois le manquement constaté à l’article 7 de cette même loi.
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 22 mars 2018.
Après en avoir délibéré, le bureau considère que la publicité de la mise en demeure se justifie par la gravité du manquement à la loi Informatique et Libertés, la société ne disposant d’aucune base légale pour procéder à la collecte des données issues du compteur communicant Linky et relatives aux consommations au pas de trente minutes et quotidiennes d’électricité de ses clients.
En outre, la publicité de la mise en demeure apparaît nécessaire afin de sensibiliser l’organisme quant à ses obligations et les clients quant à leurs droits, ceux-ci pouvant bénéficier de l’installation d’un compteur communicant Linky sans pour autant que leurs données de consommations énergétiques ne soient collectées par la société X.
Le bureau note ainsi que l’information communiquée aux clients est trompeuse à double titre : ceux-ci pensent consentir à l’activation du compteur Linky – or seul le gestionnaire du réseau de distribution active ce compteur - et la finalité de la collecte leur est présentée comme conduisant à une facturation au plus juste, ce qui est à ce jour inexact.
Le bureau estime qu’il est essentiel que les clients puissent garder la maitrise de telles données, qui peuvent révéler des informations sur leur vie privée (heures de lever et de coucher, périodes d’absence, éventuellement le nombre de personnes présentes dans le logement).
En outre, la quantité de clients concernés est particulièrement élevée puisque la société dispose déjà - sans avoir recueilli le consentement des intéressés - des données de consommations au pas de trente minutes et quotidiennes de plusieurs centaines de milliers de foyers et que la société ENEDIS envisage d’installer 35 millions de compteurs communicants Linky d’ici 2021.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°MED-2018-007 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération seront anonymisées à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de l'enseignement supérieur, de la recherche et de l'innovation d'une demande d'avis concernant l'arrêté autorisant la mise en œuvre d'un traitement de données à caractère personnel dénommé Parcoursup ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'éducation, notamment ses articles L. 612-3 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II (4°) ;
Vu la loi n° 2018-166 du 8 mars 2018 relative à l'orientation et à la réussite des étudiants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2018-011 du 18 janvier 2018 portant avis sur un projet d'arrêté autorisant la mise en œuvre d'un traitement de données à caractère personnel dénommé Parcoursup ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :