(Demande d’autorisation n° 1046711v4)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Electricité de France (EDF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du Tarif Spécial de Solidarité pour le gaz naturel (TSS) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu la loi n° 2013-312 du 15 avril 2013 visant à préparer la transition vers un système énergétique sobre et portant diverses dispositions sur la tarification de l'eau et sur les éoliennes ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2008-778 du 13 août 2008 modifié relatif à fourniture de gaz naturel au tarif spécial de solidarité ;
Vu le décret n° 2012-309 du 6 mars 2012 relatif à l'automatisation des procédures d'attribution des tarifs sociaux de l'électricité et du gaz naturel ;
Vu le décret n° 2013-1031 du 15 novembre 2013 portant extension à de nouveaux bénéficiaires des tarifs sociaux de l'électricité et du gaz naturel ;
Vu la délibération n° 2013-238 du 12 septembre 2013 portant avis sur un projet de décret relatif à l’extension  des tarifs sociaux de l’électricité et du gaz naturel ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le Tarif Spécial de Solidarité pour le gaz naturel (TSS) consiste en une aide financière au paiement des factures de gaz, initialement versée aux seuls bénéficiaires de la couverture maladie universelle complémentaire (CMU-C) et de l’Aide pour une complémentaire santé (ACS). Les conditions de mise en œuvre de cette aide ont été précisées par le décret n° 2008-778 du 13 août 2008, modifié par le décret n° 2012-309 du 6 mars 2012.
Ainsi, aujourd’hui, les organismes d’assurance maladie transmettent la liste des personnes éligibles au TSS au prestataire unique désigné à cet effet par les fournisseurs de gaz naturel. Les gestionnaires de réseaux de distribution de gaz naturel communiquent à ce prestataire les données permettant d’identifier le fournisseur de chaque ayant droit et les copropriétés ou les bailleurs lui transmettent les données permettant d’identifier le fournisseur des immeubles collectifs chauffés au gaz naturel. Le prestataire croise l’ensemble de ces données pour identifier le fournisseur de chaque ayant droit.
Dans sa délibération n° 2012-135 du 2 mai 2012, la Commission a autorisé la société EDF à mettre en place ce dispositif.
La loi n° 2013-312 du 15 avril 2013 a, par la suite, introduit plusieurs dispositions, précisées par voie réglementaire, visant à élargir la liste des personnes pouvant bénéficier du TSS.
Tout d’abord, le décret d’application n° 2013-1031 du 15 novembre 2013, sur lequel la Commission a rendu un avis par délibération n° 2013-238 du 12 septembre 2013, prévoit que peuvent également bénéficier du TSS les personnes ayant un revenu fiscal de référence annuel par part fiscale du foyer contribuable de l’impôt sur le revenu inférieur à un certain montant. Pour faire bénéficier ces personnes du TSS, l’administration fiscale doit transmettre une liste complémentaire de personnes éligibles aux fournisseurs d’énergie ou au prestataire.
Peuvent également bénéficier de la TSS, lorsqu’ils le demandent, les gestionnaires de certaines résidences sociales. Pour ce faire, ceux-ci doivent transmettre des informations complémentaires aux fournisseurs d’énergie ou au prestataire désigné par ces derniers.
Dans ce contexte, la société EDF a saisi la Commission d’une demande de modification de la délibération n° 2012-135 du 12 mai 2012 afin de prendre en compte ces évolutions et d’adopter les modalités de mise en œuvre du traitement de gestion du TSS.
Dans la mesure où le traitement de gestion du TSS a pour objet l’interconnexion de fichiers relevant de personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents, il doit faire l’objet d’une autorisation de la Commission, en application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
Le présent traitement a pour objet la gestion du TSS, dont les conditions de mise en œuvre sont définies par le décret du 13 août 2008, modifié par les décrets du 6 mars 2012 et du 15 novembre 2013.
Plus précisément, ce traitement s’appuie sur le processus suivant :
les organismes d’assurance maladie et l’administration fiscale transmettent au prestataire la liste des personnes éligibles au TSS ;
les gestionnaires de réseaux de distribution de gaz naturel communiquent à ce prestataire les données permettant d’identifier le fournisseur de chaque ayant droit et les copropriétés ou les bailleurs lui transmettent les données permettant d’identifier le fournisseur des immeubles collectifs chauffés au gaz naturel ;
le prestataire croise l’ensemble de ces données pour identifier le fournisseur de chaque ayant droit ;
le prestataire envoie à chaque ayant droit un courrier et une attestation pré-remplie avec les références de son contrat de fourniture ou du contrat de chaufferie collective l’informant qu’il va bénéficier de la TPN, sauf refus exprès de sa part dans un délai de 15 jours;
le prestataire envoie une attestation vierge aux ayants droit non retrouvés, qui doivent la renvoyer s’ils veulent bénéficier du TSS ;
le prestataire envoie au fournisseur la liste des ayants droit à qui appliquer le TSS.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les organismes d’assurance maladie et l’administration fiscale communiquent au prestataire d’EDF les données suivantes relatives aux personnes éligibles au TSS : civilité, prénom, nom, date de naissance, adresse et nombre de personnes composant le foyer.
Les gestionnaires de réseaux de distribution transmettent au prestataire les données suivantes relatives à chaque point de comptage et d’estimation (PCE) : civilité, prénom et nom du détenteur du contrat, numéro et adresse du PCE, nom du fournisseur et code postal, nom et code INSEE de la commune.
Les copropriétés ou bailleurs d’immeubles chauffés collectivement au gaz naturel communiquent au prestataire les données suivantes relatives aux immeubles concernés : numéro, adresse, code postal, nom et code INSEE de la commune, référence contractuelle, date de début et de fin d’application des contrats.
Les gestionnaires de certaines résidences sociales qui souhaitent bénéficier du TSS transmettent la convention signée, l’attestation par les services départementaux de l’Etat que la convention n’a pas été dénoncée, sa date d’expiration, tout document justifiant du nombre de logements de la résidence sociale concernée et de l’absence de contrats individuels de fourniture de gaz naturel, les références du contrat collectif de fourniture de gaz naturel, ainsi que le nom et les coordonnées du fournisseur.
Sont également collectées les données relatives aux contrats de fourniture d’électricité :
pour les contrats collectifs : nom, prénom de l’ayant droit au TSS, nom et prénom du client, date de signature de l’ayant droit, date de début et de fin d’application des contrats, adresse, nom du fournisseur de gaz naturel, référence client du contrat gaz naturel pour la chaudière collective, référence du PCE, mention de l’utilisation d’autres énergies que le gaz naturel pour la chaudière collective ;
pour les contrats individuels : référence du PCE, référence client, numéro de téléphone du titulaire du contrat.
Enfin, les données collectées relatives à l’attestation sont les suivantes : date d’émission, date des droits attestés, nombre d’unité de consommation, code barre (identifiant de l’attestation émise).
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données transmises par les organismes d’assurance maladie et l’administration fiscale sont conservées dix-neuf mois à compter de la date de réception des informations, conformément aux dispositions du décret du 15 novembre 2013.
Les gestionnaires de réseaux de distribution transmettent les données au moins toutes les six semaines. Chaque nouveau jeu de données envoyé remplace et supprime les données précédemment envoyées.
Les données relatives aux gestionnaires de résidence sociale sont conservées jusqu’à la fin de la période d’attribution du TSS, augmentée de six mois pour permettre au gestionnaire de procéder à une éventuelle demande de renouvellement. Lorsque la demande à bénéficier du TSS du gestionnaire de résidence social n’aboutit pas dans un délai de douze mois, les données sont supprimées.
La société EDF a précisé que les données relatives aux contrats de fourniture d’électricité et à l’attestation sont également conservées dix-neuf mois à compter de la date d'attribution de la TPN. Si la TPN n'est pas attribuée, elles sont en revanche supprimées au bout de treize mois.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Les données sont accessibles aux agents dûment habilités du prestataire, ainsi qu’à une dizaine de personnes de la Direction Commerce d’EDF.
Ces destinataires n'appellent pas d'observation particulière de la part de la Commission.
Sur l'information des personnes :
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention d’information sur les courriers et attestations.
En outre, les droits d’accès, de rectification et d’opposition s’exercent par voie postale auprès de TARIFS SOCIAUX ENERGIES – 22309 LANNION CEDEX, par téléphone via le numéro vert dédié au TSS ou auprès du centre de relation clientèle d’EDF dont dépend le client et pour lequel les coordonnées figurent sur la facture.
La Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur la sécurité des données :
Lors de l’examen de la précédente demande d’autorisation présentée par EDF, la Commission a estimé que le traitement présentait des garanties fortes en matière de sécurité.
Dans le cadre de la présente demande d’autorisation, la Commission a demandé à ce que les mots de passe soient conformes à ses recommandations. La société a donc indiqué que les mots de passe seront à présent composés de dix caractères avec une minuscule, une majuscule, un chiffre et un caractère spécial.
Les autres mesures de sécurité, décrites par le responsable de traitement lors de la précédente demande d’autorisation, sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société Electricité de France (EDF) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion du Tarif Spécial de Solidarité (TSS) et abroge la délibération n° 2012-135 du 2 mai 2012.
La Présidente
Isabelle FALQUE-PIERROTIN