(Demande d’autorisation n° 1448637v2)
La Commission nationale de l'informatique et des libertés,
Saisie par la société Electricité de France (EDF) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion du Tarif de Première Nécessité de l’électricité (TPN) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu la loi n° 2013-312 du 15 avril 2013 visant à préparer la transition vers un système énergétique sobre et portant diverses dispositions sur la tarification de l'eau et sur les éoliennes ;
Vu le décret n° 2004-325 du 8 avril 2004 modifié relatif à la tarification spéciale de l’électricité comme produit de première nécessité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2012-309 du 6 mars 2012 relatif à l'automatisation des procédures d'attribution des tarifs sociaux de l'électricité et du gaz naturel ;
Vu le décret n° 2013-1031 du 15 novembre 2013 portant extension à de nouveaux bénéficiaires des tarifs sociaux de l'électricité et du gaz naturel ;
Vu la délibération n° 2013-238 du 12 septembre 2013 portant avis sur un projet de décret relatif à l’extension des tarifs sociaux de l’électricité et du gaz naturel ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Tarification de Première Nécessité (TPN) consiste en une aide financière au paiement des factures d’électricité, initialement versée aux seuls bénéficiaires de la couverture maladie universelle complémentaire (CMU-C) et de l’Aide pour une complémentaire santé (ACS). Les conditions de mise en œuvre de cette aide ont été précisées par le décret n° 2004-325 du 8 avril 2004, modifié par le décret n° 2012-309 du 6 mars 2012.
Ainsi, aujourd’hui, les organismes d’assurance maladie transmettent la liste des personnes éligibles à la TPN au prestataire désigné par le fournisseur d’électricité. Le prestataire établit alors la liste des personnes éligibles habitant dans la zone de desserte du gestionnaire de réseaux de distribution, et la transmet au fournisseur d’électricité. Le fournisseur d’électricité croise ensuite cette liste avec son fichier clients pour identifier les ayants droit.
Dans sa délibération n° 2012-136 du 2 mai 2012, la Commission a autorisé la société EDF à mettre en place ce dispositif.
La loi n° 2013-312 du 15 avril 2013 a, par la suite, introduit plusieurs dispositions, précisées par voie réglementaire, visant à élargir la liste des personnes pouvant bénéficier de la TPN et la liste des fournisseurs proposant la TPN.
Tout d’abord, le décret d’application n° 2013-1031 du 15 novembre 2013, sur lequel la Commission a rendu un avis par délibération n° 2013-238 du 12 septembre 2013, prévoit que peuvent également bénéficier de la TPN les personnes ayant un revenu fiscal de référence annuel par part fiscale du foyer contribuable de l’impôt sur le revenu inférieur à un certain montant. Pour faire bénéficier ces personnes de la TPN, l’administration fiscale doit transmettre une liste complémentaire de personnes éligibles aux fournisseurs d’énergie ou au prestataire.
Peuvent également bénéficier de la TPN, lorsqu’ils le demandent, les gestionnaires de certaines résidences sociales. Pour ce faire, ceux-ci doivent transmettre des informations complémentaires aux fournisseurs d’énergie ou au prestataire désigné par ces derniers.
Par ailleurs, la loi du 15 avril 2013 prévoit que tous les fournisseurs d’électricité doivent désormais proposer la TPN. Pour permettre d’identifier les fournisseurs avec qui les personnes éligibles ont signé un contrat de fourniture d’électricité, les gestionnaires de réseaux de distribution d’électricité peuvent dorénavant transmettre au prestataire désigné les informations permettant d’identifier le fournisseur d’électricité de chaque bénéficiaire potentiel de la TPN, à l’instar du dispositif mis en place dans le cadre du tarif spécial de solidarité pour le gaz naturel.
Dans ce contexte, la société EDF a saisi la Commission d’une demande de modification de la délibération n° 2012-136 du 12 mai 2012 afin de prendre en compte ces évolutions et d’adapter les modalités de mise en œuvre du traitement de gestion de la TPN.
Dans un premier temps, le prestataire n’étant pas encore en capacité technique de procéder à l’interconnexion avec les données des gestionnaires de réseaux, la modification du traitement porte uniquement sur l’interconnexion effectuée par EDF, qui concernera dorénavant les données transmises par l’administration fiscale, et l’ajout des données relatives aux gestionnaires de résidence sociale.
Dans la mesure où le traitement de gestion de la TPN a pour objet l’interconnexion de fichiers relevant de personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents, il doit faire l’objet d’une autorisation de la Commission, en application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée.
La Commission rappelle qu’EDF devra présenter une nouvelle demande d’autorisation avant la mise en place du croisement avec les données des gestionnaires de réseaux de distribution. Cette demande d’autorisation devra notamment préciser les mesures de sécurité mises en place.
Sur la finalité du traitement :
Le présent traitement a pour objet d’assurer la gestion de la TPN, dont les conditions de mise en œuvre sont définies par le décret du 8 avril 2004 modifié par les décrets du 6 mars 2012 et du 15 novembre 2013.
Plus précisément, ce traitement s’appuie sur le processus suivant :
les organismes d’assurance maladie et l’administration fiscale transmettent au prestataire la liste des personnes éligibles à la TPN ;
le prestataire transmet à EDF la liste de ces personnes qui relèvent de la zone de desserte d’ERDF ;
EDF croise ces données avec sa base clients pour identifier ceux de ses clients qui sont éligibles à la TPN. Elle renvoie au prestataire la liste des ayants droit ainsi identifiés avec leurs références contractuelles et supprime les données des ayants droit qui ne sont pas des clients d’EDF ;
le prestataire envoie aux ayants droit une attestation pré-remplie avec leurs références contractuelles retrouvées les informant qu’ils vont bénéficier de la TPN, sauf refus exprès de leur part dans un délai de 15 jours ;
le prestataire envoie une attestation vierge aux ayants droit non retrouvés, qui doivent la renvoyer s’ils veulent bénéficier de la TPN ;
le prestataire envoie à EDF la liste des ayants droit à qui appliquer la TPN.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les organismes d’assurance maladie et l’administration fiscale communiquent au prestataire d’EDF les données suivantes relatives aux personnes éligibles à la TPN : civilité, prénom, nom, date de naissance, adresse et nombre de personnes composant le foyer.
Les gestionnaires de certaines résidences sociales qui souhaitent bénéficier de la TPN transmettent la convention signée, l’attestation par les services départementaux de l’Etat que la convention n’a pas été dénoncée, sa date d’expiration, tout document justifiant du nombre de logements de la résidence sociale concernée et de l’absence de contrats individuels de fourniture d’électricité, les références du contrat collectif de fourniture d’électricité, ainsi que le nom et les coordonnées du fournisseur.
Sont également collectées les données relatives aux contrats de fourniture d’électricité : référence du Point de Livraison (PdL), numéro client, nom et coordonnées du fournisseur d’électricité, numéro de contrat EDF et code tarif (pour les clients gérés par l’ancien système de facturation), statut « connu » ou « non connu ».
Enfin, les données collectées relatives à l’attestation sont les suivantes : date d’émission, date des droits attestés, nombre d’unité de consommation, code barre (identifiant de l’attestation émise).
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données transmises par les organismes d’assurance maladie et l’administration fiscale sont conservées dix-neuf mois à compter de la date de réception des informations, conformément aux dispositions du décret du 15 novembre 2013.
Les données relatives aux gestionnaires de résidence sociale sont conservées jusqu’à la fin de la période d’attribution de la TPN, augmentée de six mois pour permettre au gestionnaire de procéder à une éventuelle demande de renouvellement. Lorsque la demande du gestionnaire de résidence social n’aboutit pas dans un délai de douze mois, les données sont supprimées.
La société EDF a précisé que les données relatives aux contrats de fourniture d’électricité et à l’attestation sont également conservées dix-neuf mois à compter de la date d'attribution de la TPN. Si la TPN n'est pas attribuée, elles sont en revanche supprimées au bout de treize mois.
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Les données sont accessibles aux agents dûment habilités du prestataire, ainsi qu’à une dizaine de personnes de la Direction Commerce d’EDF.
Ces destinataires n'appellent pas d'observation de la part de la Commission.
Sur l'information des personnes :
Les personnes sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention d’information sur les courriers et attestations.
En outre, les droits d’accès, de rectification et d’opposition s’exercent par voie postale auprès de TARIFS SOCIAUX ENERGIES – 22309 LANNION CEDEX, par téléphone via le numéro vert dédié au TPN ou auprès du centre de relation clientèle d’EDF dont dépend le client et pour lequel les coordonnées figurent sur la facture.
La Commission considère que ces modalités d’information et d’exercice des droits sont satisfaisantes.
Sur la sécurité des données :
Lors de l’examen de la précédente demande d’autorisation présentée par EDF, la Commission a estimé que le traitement présentait des garanties fortes en matière de sécurité.
Dans le cadre de la présente demande d’autorisation, la Commission a demandé à ce que les mots de passe soient conformes à ses recommandations. La société a donc indiqué que les mots de passe seraient à présent composés de dix caractères avec une minuscule, une majuscule, un chiffre et un caractère spécial.
Les autres mesures de sécurité, décrites par le responsable de traitement lors de la précédente demande d’autorisation, sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société Electricité de France (EDF) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion de la Tarification de Première Nécessité (TPN) et abroge la délibération n° 2012-136 du 2 mai 2012.
La Présidente
Isabelle FALQUE-PIERROTIN