La Commission nationale de l'informatique et des libertés,
Saisie pour avis, en application de l'article 15 de la loi du 6 janvier 1978, par Electricité de France d'un projet d'acte réglementaire portant création d'un traitement automatisé d'informations nominatives relatif à la gestion des activités liées à la relève, aux raccordements, à la gestion des contrats d'acheminement et aux conseils.
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données :
Vu la directive 96/92/CE du parlement européen et du conseil du 19 décembre 1996 concernant les règles communes pour le marché intérieur de l'électricité ;
Vu la directive 2003/54/CE du parlement européen et du conseil du 26 juin 2003 concernant les règles communes pour le marché intérieur de l'électricité et abrogeant la directive 96/92/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés et le décret n° 78-774 du 17 juillet 1978 pris pour son application ;
Vu la loi n° 2000-108 du 10 février 2000 relative à la modernisation et au développement du service public de l'électricité, modifiée par la loi n° 2003-8 du 3 janvier 2003 relative aux marchés du gaz et de l'électricité et au service public de l'énergie ;
Vu le décret n° 2000-456 du 29 mai 2000, modifié par le décret n° 2003-100 du 5 février 2003, relatif à l'éligibilité des consommateurs d'électricité et portant application de l'article 22 de la loi n° 2000-108 du 10 février 2000 ;
Vu le décret n° 2001-365 du 26 avril 2001 relatif aux tarifs d'utilisation des réseaux de transport et de distribution d'électricité ;
Vu le décret n° 2001-630 du 16 juillet 2001 relatif à la confidentialité des informations détenues par les gestionnaires de réseaux publics de transport ou de distribution d'électricité, pris pour l'application des articles 16 et 20 de la loi n° 2000-108 du 10 février 2000 ;
Vu le décret n° 2002-1014 du 19 juillet 2002 fixant les tarifs d'utilisation des réseaux publics de transport et de distribution d'électricité en application de l'article 4 de la loi n° 2000-108 du 10 février 2000 ;
Vu le décret n° 2003-415 du 30 avril 2003 relatif à l'observatoire du service public de l'électricité et de gaz ;
Après avoir entendu M. Guy ROSIER, commissaire, en son rapport, et Mme Charlotte-Marie PITRAT, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
Electricité de France a saisi la Commission nationale de l'informatique et des libertés d'une demande d'avis relative à la mise en oeuvre d'un traitement automatisé d'informations nominatives dénommé "SI NR DEGS (DISCO NR)", système d'information non résidentiel de la Direction Electricité et Gaz de France Service.
Ce traitement s'inscrit dans le processus d'ouverture du marché de la fourniture des energies à la concurrence dont la première phase, fixée au 1er juillet 2004 par la directive du 26 juin 2003 susvisée, permettra aux clients dits "non résidentiels" qui recouvrent les professionnels (entrepreneurs, personnes morales ou professions libérales, de choisir librement leur fournisseur d'énergie.
Devront dès lors être gérés de manière indépendante le secteur régulé de la distribution et le secteur de la fourniture, désormais dérégulé.
Au terme de cette première phase, soit au 1er juillet 2007, au plus tard, l'ouverture à la concurrence du marché de l'énergie concernera aussi les clients dits "résidentiels", à savoir les particuliers.
Le système d'informations présenté a pour objet, pendant cette période transitoire, de permettre la gestion des contrats d'acheminement conclus entre le futur gestionnaire de réseaux de distribution EDF et les fournisseurs d'électricité notamment les activités liées à la relève, aux réseaux (demandes de raccordement), ainsi que les interventions techniques et de comptage, la réception des index auto-relevés, la facturation de la part acheminement, l'administration des points de comptage.
Les informations enregistrées dans l'application ne porteront, dans cette première phase, que sur les éléments permettant l'identification des clients non résidentiels à savoir leurs coordonnées, s'agissant des personnes morales, la raison sociale, l'adresse postale, le téléphone ainsi que les coordonnées de leurs représentants ou interlocuteurs (nom, prénom, adresse téléphone), sur les caractéristiques techniques des branchements électriques et des appareils de mesure (notamment les index et données de comptage) ou encore sur les contacts intervenant avec les clients non résidentiels dans le cadre de leurs relations avec les agents de la direction EDF GDF services (DEGS).
Les données contenues dans le nouveau système d'informations seront envoyées vers les gestionnaire de réseau de distribution qui sera mis en place par EDF afin de lui permettre d'assurer sa mission de distribution d'énergie et de transmettre à chaque fournisseur les données indispensables pour la commercialisation de l'énergie. Seront ainsi communiquées les données relatives aux index et consommations, à la valorisation des consommations pour facturation de l'acheminement, les données événementielles relatives aux interventions, les tarifs d'acheminement et les interventions effectuées, le calendrier de facturation.
Les informations sont aussi communiquées, dans la limite de leurs attributions respectives, au personnel de la DEGS, au personnel du réseau de distribution EDF, au personnel des entreprises assurant la fourniture d'énergie et aux établissements bancaires et postaux des fournisseurs.
Des échanges de données peuvent en outre être effectués avec d'autres applications de la DEGS afin d'alimenter des états de pilotage, de gestion et comptables, un système de gestion technique des réseaux électricité, un système de gestion comptable d'EDF et de gestion de la trésorerie d'EDF, une interface bancaire pour le prélèvement automatique des créances des fournisseurs, l'alimentation des tables de référence et la production de fichiers statistiques.
Les fournisseurs pourront consulter certaines données relatives aux contrats d'acheminement dont ils sont titulaires contenues dans le nouveau système d'information, par le biais d'un module transactionnel de DISCO, dénommé DISNET (éléments de facturation, description technique et adresse du local, éligibilité et coordonnées du client, informations relatives au point de livraison et au contrat d'acheminement).
Les fournisseurs non titulaires auront accès aux seules informations relatives aux données techniques du point de livraison.
Les abonnés sont informés de la mise en oeuvre de ce dispositif et de la transmission des données les concernant à la DEGS pour les besoins liés à l'exécution du contrat de fourniture par les fournisseurs au moment de la souscription du contrat. Une clause informatique et libertés figurera en outre dans le contrat d'acheminement conclu entre les fournisseurs et le gestionnaire de réseau de distribution.
La durée de conservation des informations est variable selon la nature des données. Ainsi, les informations relatives aux clients seront conservées pendant six mois après le terme de la durée de vie du contrat tandis que celles relatives au local seront conservées pendant toute "la durée de vie du local".
Sur le respect de la séparation entre le secteur de la distribution et le secteur de la fourniture :
La Commission rappelle les dispositions relatives à la nécessité de gérer de manière indépendante le secteur de la distribution et le secteur de la fourniture désormais ouvert à la concurrence et notamment la nécessité de préserver la confidentialité des informations d'ordre économique, commercial, industriel, financier ou technique dont la communication serait de nature à porter atteinte aux règles de concurrence libre et loyale et de non discrimination imposées par la loi.
La Commission prend acte à ce titre que les bases de données de la branche commerciale d'Electricité de France déclarées dans le cadre de l'ouverture à la concurrence et notamment celles permettant à l'entreprise EDF d'adapter au plus près ses actes de sollicitation commerciale du fait de la réalisation de segments, voire de profils types, ne sont pas communiquées à des organismes extérieurs, fussent-ils des filiales du groupe Electricité de France.
Les données résultant des opérations de comptage permettant notamment d'établir des profils de consommation de la clientèle et de lui faire des propositions commerciales adaptées à ses besoins restent, aux termes de l'article 1er du décret du 16 juillet 2001, des données confidentielles qui, en application du cahier des charges de la Commission de régulation de l'énergie portant recommandation en date du 29 janvier 2004, ne sauraient être communiquées sans l'accord exprès des intéressés.
S'agissant des sécurités informatiques mises en place :
Un dispositif dit de "séparation logique" a été retenu par Electricité de France pour permettre une gestion distincte des traitements relevant de la branche distribution et de la branche fourniture qui permet un accès réservé aux traitements mis en place en fonction des différentes habilitations du personnel concerné.
Un système d'information transverse, dit PKI, instaure une procédure d'authentification forte destinée aux utilisateurs internes et externes d'EDF qui peuvent aussi accéder à certaines applications du système d'information, notamment à DISCO, via le module transactionnel "DISNET".
Emet un avis favorable au projet de décision portant création d'un système d'information pour la gestion des relations techniques avec les clients non résidentiels présenté par Electricité de France.
Le Président, Alex TURK