La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transition écologique et solidaire d’une demande d’avis concernant un projet d’arrêté fixant la liste des données mises à disposition des fournisseurs de gaz naturel qui en font la demande par les fournisseurs proposant des contrats aux tarifs réglementés de vente du gaz naturel;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés;
Vu la loi n° 2019-1147 du 8 novembre 2019 relative à l’énergie et au climat, notamment son article 63 ;
Vu le décret n° 2018-687 du 1er août 2018 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles;
Après avoir entendu Monsieur Eric PERES, commissaire, en son rapport, et Madame Nacima BELKACEM, commissaire du Gouvernement, en ses observations.
Emet l’avis suivant :
Le projet de texte dont est saisie la Commission est pris en application du IX de l'article 63 de la loi n° 2019-1147 du 8 novembre 2019 relative à l'énergie et au climat qui prévoit notamment que les fournisseurs proposant des contrats aux tarifs réglementés de vente (TRV) de gaz sont tenus d’accorder à toute entreprise disposant d’une autorisation de fourniture de gaz naturel qui en ferait la demande, l’accès aux données de contact et de consommation dont ils disposent concernant leurs clients qui bénéficient auprès d’eux desdits tarifs réglementés.
Le texte précise que la liste des informations mises à disposition par les fournisseurs assurant la fourniture de clients aux tarifs réglementés de vente du gaz naturel est fixée par arrêté conjoint des ministres chargés de l'énergie et de la consommation sur proposition de la Commission de régulation de l'énergie (CRE) et après avis de la Commission nationale de l'informatique et des libertés.
Un tel dispositif participe au basculement progressif des TRV de gaz vers l’offre de marché tel qu’introduit par l’article 63 de la loi précitée. En effet, le Conseil d’Etat a jugé le 19 juillet 2017, après avoir saisi la Cour de justice de l’Union européenne (CJUE) d’une question préjudicielle, que la réglementation des prix dans le cas du gaz
ne poursuit aucun objectif d’intérêt économique général
La liste des données mises à disposition par les fournisseurs assurant la fourniture de gaz naturel aux tarifs réglementés appelle les observations suivantes de la Commission.
Sur les finalités
La Commission observe, à titre liminaire, que ni la loi n° 2019-1147 du 8 novembre 2019 relative à l'énergie et au climat, ni le projet d’arrêté soumis pour avis ne précisent les finalités exactes de l’accès aux données de contact et de consommation des clients qui bénéficient d’un contrat aux tarifs réglementés.
Elle relève que le projet d’arrêté a fait l’objet d’une délibération n° 2019-255 de la CRE, le 21 novembre 2019. A cette occasion, la CRE précise que le périmètre de la liste des données est en cohérence avec la pratique décisionnelle de l’Autorité de la concurrence, laquelle dans sa décision n° 14-MC-02 du 9 septembre 2014, a enjoint à GDF Suez (aujourd’hui ENGIE) de mettre à disposition des fournisseurs alternatifs, sous condition d’absence d’opposition des consommateurs concernés, certaines données de son fichier de clients résidentiels et professionnels aux TRV qu’il utilisait pour proposer des offres de marché. En conséquence, le périmètre de la liste de données proposé par la CRE est
restreint à celles qui sont nécessaires pour la prospection commerciale et la construction d’offres de fourniture adaptées au profil du consommateur
Il ressort de cette délibération que la mise à disposition de ces données a pour finalité de permettre aux entreprises destinataires, d’une part, d’établir des offres de marché adaptées aux clients qui bénéficient auprès des fournisseurs historiques d’un contrat aux TRV de gaz (consommateurs non domestiques, consommateurs domestiques, propriétaires uniques d’un immeuble à usage principal d’habitation et syndicats des copropriétaires d’un tel immeuble) et, d’autre part, de pouvoir démarcher commercialement ces clients. Afin d’encadrer la réutilisation des données par les entreprises destinataires et ainsi s’assurer du respect du principe de limitation des finalités posé à l’article 5(1)(b) du règlement général sur la protection des données (RGPD), la Commission invite le ministère à préciser ces finalités dans le projet de texte soumis pour avis.
Sur la nature des données mises à disposition des fournisseurs alternatifs et leur qualification au regard de la loi du 6 janvier 1978 modifiée
La Commission rappelle qu’en application de l’article 4 du RGPD, les données relatives à des personnes physiques identifiées ou identifiables, qu’il s’agisse de particuliers ou de professionnels, constituent des données à caractère personnel, dont le traitement est soumis aux dispositions du Règlement. Une personne physique peut être identifiée directement (par exemple, par un nom et prénom) ou indirectement (par exemple, par un numéro de téléphone, une adresse postale ou courriel).
En revanche, le traitement de données relatives à des personnes morales, lorsque celles-ci ne sont pas rattachées à une personne physique, n’entre pas dans le champ d’application du RGPD.
En premier lieu, la Commission constate que le projet d’arrêté fixant la liste des données qui lui est soumis pour avis, concerne à la fois des personnes physiques et des personnes morales.
A cet égard, elle observe qu’au sein de la catégorie des propriétaires uniques d’un immeuble à usage principal d’habitation , il n’est pas exclu de pouvoir identifier des personnes physiques et qu’en conséquence cette catégorie est susceptible de contenir des données à caractère personnel (notamment les données de contact et l’adresse de facturation ou de consommation).
La Commission constate également qu’au sein de la catégorie des clients finals non domestiques, il n’est pas exclu de pouvoir identifier des personnes physiques exerçant à titre libéral (des avocats, des médecins, etc.) depuis leur domicile, sous une dénomination sociale composée de leur nom de famille, et qu’en conséquence cette catégorie est susceptible de contenir des données à caractère personnel (notamment les données de contact et adresse de facturation ou de consommation).
En second lieu, la Commission observe que l’ensemble des données listées dans le projet d’arrêté, notamment aux articles 3 et 4 concernant les clients finals se rattachant à la catégorie des propriétaires uniques d’un immeuble à usage principal d’habitation et les clients finals domestiques , sont des données à caractère personnel dès lors qu’elles se rattachent à une personne physique. En effet, si certaines de ces données techniques (telles que le tarif souscrit, la zone tarifaire, le type d’usage en gaz, le type de compteur, le point d’interface distribution transport, la consommation annuelle de référence, etc.), prises isolément, ne permettent pas d’identifier un client final, personne physique, leur association pourrait permettre d’individualiser ce dernier, de telle sorte qu’elles ne sauraient être considérées comme anonymes. De surcroît, le caractère personnel de ces données est mis en évidence par la finalité même de leur traitement, tel que défini par la CRE, à savoir
la construction d’offres de fourniture adaptées au profil du consommateur
Dès lors, afin de clarifier la nature de ces informations, la Commission relève qu’il serait utile de rappeler dans le projet d’arrêté que les données rendues accessibles revêtent un caractère personnel dès lors qu’elles se
rapportent à une personne physique identifiable directement ou indirectement
Sur la pertinence des données au regard des finalités poursuivies par le traitement
La Commission constate que les données listées aux articles 1

Conformément aux dispositions de l’article 5(1) (c) du RGPD, la Commission estime que la liste de données communiquées apparaît adéquate, pertinente et limitée à ce qui est nécessaire au regard des finalités de prospection commerciale et de construction d’offres de fourniture adaptées au profil du consommateur évoquées par la CRE dans son projet de délibération précité.
La Présidente
Marie-Laure DENIS