La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transition écologique et solidaire d’une demande d’avis concernant un projet de décret relatif au traitement des demandes de remboursement partiel de la contribution au service public de l'électricité (CSPE) au titre des années 2009 à 2015 ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8.I 4° a) ;
Vu la loi n° 2019-1147 du 8 novembre 2019 relative à l’énergie et au climat, notamment son article 57 ;
Vu l’ordonnance n° 2020-161 du 26 février 2020 relative au règlement transactionnel par le président de la Commission de régulation de l'énergie du remboursement de la contribution au service public de l'électricité ;
Vu le décret n° 2018-687 du 1

Sur la proposition de Monsieur Eric PERES, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie pour avis, sur le fondement de l'article 8.I 4° a) de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi Informatique et Libertés ), d’un projet de décret relatif au traitement des demandes de remboursement partiel de la contribution au service public de l'électricité (CSPE) au titre des années 2009 à 2015.
Instaurée par l'
article 37 de la loi n°
2003-8 du 3
janvier 2003
Le Conseil d’Etat, suivant l’arrêt de la CJUE, a confirmé dans une décision du 3 décembre 2018 que la CSPE pouvait être remboursée partiellement à proportion de la part consacrée à des finalités autres que sa finalité environnementale. La décision est venue préciser, qu’entre le 1


En 2015, la Commission de régulation de l’énergie (CRE) a été désignée par le Conseil d’Etat comme l’autorité compétente pour connaître des réclamations relatives à la CSPE. Devant l’afflux de réclamations et de requêtes au sujet de la CSPE, la loi relative à l’énergie et au climat du 8 novembre 2019 a confié à la CRE le soin de mettre en œuvre un mode alternatif de règlement du contentieux administratif.
L’article 57 de la loi habilite ainsi le Gouvernement à légiférer par ordonnance pour permettre à la CRE de recourir à la transaction pour mettre un terme aux litiges liés au paiement de la CSPE et à engager le paiement des sommes correspondantes.
Le présent projet de décret définit les conditions de recevabilité des demandes de remboursement partiel de CSPE, les modalités de dépôt des demandes de remboursement par voie électronique, les modalités de calcul du montant de la transaction et les modalités d'instruction de la transaction.
Ce projet de texte appelle les observations suivantes de la Commission.
Sur les données collectées et traitées
L’article 1

La Commission relève que le projet de décret ne précise pas la nature des pièces ou justificatifs d’identité considérés comme acceptables par le ministère.
A cet égard, elle prend acte des précisions apportées par le ministère selon lesquelles ces pièces consistent, d’une part, pour les personnes physiques, en une copie de leur pièce d’identité (CNI ou passeport) ou une connexion

De plus, le ministère indique que l’adresse électronique des demandeurs sera collectée lors de l’enrôlement sur le portail CSPE pour la notification par voie électronique.
La Commission considère que ces catégories de données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur l’information et les droits des personnes concernées
Le projet de décret ne mentionne pas les modalités d’information des personnes concernées.
Le ministère indique que des mentions d’information seront insérées au sein des conditions générales d’utilisation (CGU) du portail CSPE. La Commission recommande à cet égard, qu’en sus des CGU, les mentions d’information et, notamment, l’information relative aux durées de conservation des données, soient centralisées au sein d’un espace dédié à la protection des données personnelles disponible sur le portail CSPE afin que les personnes concernées puissent en prendre connaissance sous une forme compréhensible et aisément accessible tout au long de l’instruction de leur demande. De plus, la Commission précise que les personnes déposant une telle demande par voie postale devront faire l’objet d’une information adaptée à ce canal.
La Commission prend acte des précisions apportées par le ministère s’agissant des modalités d’exercice des droits des personnes. A cet égard, une assistance utilisateur intégrée au portail CSPE permettra aux personnes concernées d’exercer leurs droits directement auprès d’elle. De plus, l’agence de services et de paiement (ASP) est en charge de répondre, au nom et pour le compte de la CRE, à toute demande d’exercice des droits formulée par les personnes concernées dans les délais prévus à l’article 12 du RGPD.
Sur la durée de conservation des données
Le projet de décret ne mentionne pas la durée de conservation des informations traitées dans le cadre des demandes de remboursement.
Le ministère indique que pendant toute la durée de la procédure de remboursement (du dépôt de la demande à l’émission de la proposition de transaction), l’ensemble des pièces et données relatives au demandeur seront conservées par l’ASP. A cet égard, la durée de conservation correspondra à celle nécessaire pour les besoins du contentieux et sera définie prochainement par le ministère.
En cas de non aboutissement de la transaction (par exemple, en cas de refus du demandeur de la proposition de transaction qui lui est formulée), les données seront conservées au sein d’un système d’archivage électronique à valeur probante pendant la durée nécessaire pour les besoins du contentieux. Cette durée sera définie prochainement par le ministère et devra être communiquée aux personnes concernées conformément à l’article 13 du RGPD. De plus, pour tout dossier déposé sur le portail CSPE, non validé et inactif pendant une période de six mois, sous réserve de confirmation par le ministère, les données seront supprimées.
Enfin, un mécanisme de purge automatique permettant de garantir le respect des durées de conservation est également prévu.
Au regard de ces éléments et sous réserve des précisions du ministère sur la durée de conservation pour les besoins du contentieux, la Commission considère que les données collectées sont conservées pendant une durée qui n'excède pas la durée nécessaire compte tenu des finalités pour lesquelles elles sont collectées et traitées, conformément à l'article 5-1-e du RGPD.
Sur les mesures de sécurité
L’article 2 du projet de décret indique un objectif de sécurité général prenant en compte l’identification des parties, l’intégrité des documents et la sécurité et la confidentialité des échanges. L’article 32 du RGPD requérant la sécurisation des données tout au long de son cycle de vie, cet article 2 pourrait être modifié afin d’y intégrer l’obligation plus générale concernant la sécurité des données sur la plateforme. Le début du II de l’article 2 devrait dès lors faire état que
les caractéristiques techniques de cette plateforme garantissent la sécurité des données, notamment
Le traitement étant un téléservice d’une autorité administrative au sens de l’ordonnance n° 2005-1516 du 8 décembre 2005, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 201112 du 2 février 2010 susvisé. La Commission rappelle qu’il revient au responsable de traitement d’attester formellement de la sécurité de celui-ci au travers une homologation RGS et de publier l’attestation sur le site du téléservice.
De plus, la Commission rappelle que les plateformes, comme tout site web, doivent faire l'objet de mesures à l'état de l'art afin de garantir leur sécurité. A ce titre, elle insiste sur la nécessité de mettre en place des mesures spécifiques, telles que celles recommandées par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) dans la note technique recommandations pour la sécurisation des sites web .
Concernant les échanges avec les demandeurs, la Commission note que la CRE n’enverra par courriel qu’une information d’existence d’une réponse consultable sur le portail CSPE. Cette solution permet de notifier l’utilisateur de l’avancement de son dossier tout en garantissant, notamment, la confidentialité des échanges et l’authenticité des parties par des mesures de sécurité sur le portail CSPE comme la mise en œuvre du protocole HTTPS pour l’accès à celui-ci et le choix des modalités d’authentification des demandeurs. De plus, la Commission rappelle que le même niveau de protection doit être appliqué aux processus papiers qu’aux processus numériques.
La Commission prend acte que les modalités du transfert des informations sur l’issue de la transaction au tribunal administratif ne sont pas encore définies. Elle rappelle l’importance de choisir une solution qui assure un niveau de sécurité suffisant des données, notamment en ce qui concerne leur confidentialité et leur intégrité ainsi que l’authenticité de l’émetteur. Ceci implique, notamment, que les données soient chiffrées ou passent par un tunnel chiffré, et qu’une traçabilité de ces échanges soit mise en œuvre.
Le dispositif prévoyant la possibilité d’extraire des pièces de la plateforme des juridictions administratives, la Commission rappelle que cela devra s’effectuer dans des conditions respectant le haut niveau d’exigence de sécurité qui repose sur ces plateformes.
Le portail CSPE pouvant être amené à traiter des documents utilisés dans la fraude à l’identité, notamment des pièces ou justificatifs d’identité, la Commission rappelle l’importance d’assurer la confidentialité de ces documents.
Enfin, s’agissant du contrôle d’accès au portail CSPE, la Commission rappelle qu’elle a élaboré une délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe, à laquelle le responsable du traitement pourra utilement se référer.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par les articles 5-1-f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’analyse d’impact relative à la protection des données (AIPD) et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
Marie-Laure DENIS