(Demande d’autorisation n° 1448637v3)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Electricité de France (EDF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre de la tarification spéciale de l’électricité comme produit de première nécessité (TPN) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu la loi n° 2013-312 du 15 avril 2013 visant à préparer la transition vers un système énergétique sobre et portant diverses dispositions sur la tarification de l'eau et sur les éoliennes ;
Vu le décret n° 2004-325 du 8 avril 2004 modifié relatif à la tarification spéciale de l’électricité comme produit de première nécessité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable de traitement est la société Electricité de France (EDF), qui, conformément aux dispositions du décret du 8 avril 2004 modifié, doit appliquer la tarification spéciale de l’électricité comme produit de première nécessité (TPN) à ceux de ses clients qui y sont éligibles.
Sur la finalité
Le traitement a pour finalité la mise en œuvre de la TPN dans les conditions définies par le décret du 8 avril 2004 modifié.
Pour mettre en œuvre ce traitement, de nombreux fournisseurs d’électricité (dont la société EDF) recourent à un prestataire unique.
Concrètement, le traitement est mis en œuvre de la façon suivante :
Une phase transitoire est prévue pour permettre au prestataire de rendre pleinement opérationnel le croisement entre les données des organismes sociaux, de l’administration fiscale et des gestionnaires de réseaux. En effet, une phase de paramétrage est nécessaire pour obtenir un taux de rapprochement satisfaisant.
Les organismes d’assurance maladie et l’administration fiscale transmettent au prestataire d’EDF la liste des personnes éligibles à la TPN.
Les gestionnaires de réseaux de distribution d’électricité communiquent à ce prestataire les données permettant d’identifier le fournisseur de chaque personne éligible.
Le prestataire croise l’ensemble de ces données pour identifier le fournisseur de chaque personne éligible.
Le prestataire envoie à EDF la liste de ses clients qui sont éligibles à la TPN pour que la société enrichisse ce fichier des références du contrat d’électricité desdits clients et renvoie le fichier enrichi au prestataire.
Le prestataire envoie à chaque client éligible à la TPN un courrier et une attestation pré-remplie avec les références de son contrat de fourniture d’électricité l’informant qu’il va bénéficier de la TPN, sauf refus exprès de sa part dans un délai de 15 jours.
Les personnes éligibles dont le fournisseur d’électricité n’a pu être identifié reçoivent une attestation qu’elles doivent remplir et renvoyer si elles souhaitent bénéficier de la TPN.
Par conséquent, pendant cette phase transitoire, EDF met en œuvre le traitement autorisé par la Commission par la délibération n° 2013-375 du 5 décembre 2013 en parallèle du traitement ci-dessus décrit. En revanche, à l’issue de cette phase transitoire, seul le présent traitement pourra continuer à être mis en œuvre par EDF.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés ayant pour objet l’interconnexion de fichiers ayant des finalités principales différentes.
Sur les données traitées
Conformément aux dispositions du décret du 8 avril 2004 modifié, les données suivantes sont collectées par EDF dans le cadre des finalités décrites ci-dessus :
La Commission prend acte que sont également collectées les données relatives au refus des personnes éligibles à bénéficier de la TPN.
Données transmises par les organismes d’assurance maladie et l’administration fiscale : civilité, prénom, nom, date de naissance, adresse des personnes éligibles à la TPN et nombre de personnes composant le foyer ;
Données transmises par les gestionnaires de réseaux de distribution pour chaque point livraison (PdL) : civilité, prénom et nom des titulaires du contrat, numéro et adresse du PdL, nom du fournisseur et code postal, nom et code INSEE de la commune ;
Données transmises par les personnes éligibles à la TPN qui ont rempli et renvoyé l’attestation : nom, prénom, fournisseur d’électricité, références du contrat de fourniture d’électricité, point de livraison, puissance, numéro de téléphone (facultatif).
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, les personnels dûment habilités de la Direction Commerce d’EDF (une dizaine de personnes) et du prestataire sont destinataires des données.
La Commission rappelle que, conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, le prestataire doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité des données.
Ces destinataires n'appellent pas d'observation de la part de la Commission.
Sur l’information et le droit d’accès
Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, EDF procède, dans ses conditions générales de vente, à l'information des personnes quant à l'identité du responsable de traitement, la finalité poursuivie par le traitement, les destinataires des données et les droits des personnes.
En outre, les personnes sont informées de ces mêmes éléments, conformément au décret du 8 avril 2004 modifié, par une mention d’information sur les courriers et attestations qui leur sont adressés.
Enfin, les droits d’accès, de rectification et d’opposition s’exercent par voie postale auprès de TARIFS SOCIAUX ENERGIES – 22309 LANNION CEDEX, par téléphone via le numéro vert dédié au TPN ou auprès du centre de relation clientèle d’EDF dont dépend le client et pour lequel les coordonnées figurent sur la facture.
La Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Les données des gestionnaires de réseaux de distribution d’électricité sont transmises soit :
Concernant la transmission des données par DVD et plus particulièrement le chiffrement, la Commission recommande de se conformer au Référentiel Général de Sécurité Annexe B1 de l’ANSSI décrivant les règles et recommandations en matière de mécanismes cryptographiques.
Par portail Web sécurisé par l’intermédiaire du protocole SSLV3, avec authentification par identifiant et mot de passe. Le mot de passe est constitué de dix caractères avec au moins une majuscule, une minuscule, un chiffre, un caractère spécial.
Par DVD chiffré et envoi séparé de la clé. Les DVD peuvent être réceptionnés et déchiffrés sur deux sites du prestataire : celui de Saint Denis et celui de Chassieu. Le site de Chassieu transfère alors les données au site de Saint Denis par ligne VPN chiffrée.
La transmission des clés par courrier implique un renouvellement à chaque envoi des clés de chiffrement. La Commission recommande également de se conformer au Référentiel Général de Sécurité Annexe B2 de l’ANSSI décrivant les règles et recommandations concernant la gestion des clés de chiffrement.
Les DVD doivent être détruits dès que la procédure de déchiffrement et la copie des données dans le système d’information du prestataire sont terminées.
Les données sont ensuite transmises à EDF par le prestataire par l’intermédiaire d’une ligne spécialisée.
Le prestataire met en œuvre des sauvegardes régulières.
Les processus de développement sont réalisés sur des environnements distincts des environnements de production et sur des données fictives.
L’application met en œuvre des mesures de traçabilité des accès lors des actions de consultation, création, mise à jour et  suppression.
Sous réserve de ces observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Elle rappelle également que la transmission des données par les organismes d’assurance maladie et l’administration fiscale est encadrée par la délibération n° 2013-375 du 5 décembre 2013.
Sur les autres caractéristiques du traitement
Conformément aux dispositions du décret du 8 avril 2004 modifié, les données ne peuvent être conservées au-delà des durées suivantes :
19 mois à compter de la date d’attribution de la TPN pour les données transmises par les organismes d’assurance maladie et l’administration fiscale ;
9 semaines à compter de la date d’attribution de la TPN pour les données transmises par les gestionnaires de réseaux de distribution ;
19 mois à compter de la date d’attribution de la TPN pour les données relatives aux attestations remplies et renvoyées par les personnes éligibles.
La Commission prend acte que l’ensemble des données du traitement (à l’exception des données issues des gestionnaires de réseaux de distribution) sont supprimées au bout de 13 mois dans le cas où la TPN n'est pas attribuée (pour cause de non identification ou d’opposition de la personne).
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société Electricité de France (EDF) à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN