La Commission nationale de l'informatique et des libertés, 
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I (5°) et 25-II ;
 Vu la loi n° 2013-312 du 15 avril 2013 visant à préparer la transition vers un système énergétique sobre et portant diverses dispositions sur la tarification de l'eau et sur les éoliennes ;
 Vu le décret n° 2004-325 du 8 avril 2004 modifié relatif à la tarification spéciale de l'électricité comme produit de première nécessité ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 Après avoir entendu M. Eric PERES, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
   Formule les observations suivantes :
 La tarification spéciale de l'électricité comme produit de première nécessité (TPN) est une aide financière au paiement des factures d'électricité que doivent fournir tous les fournisseurs d'électricité aux personnes qui y sont éligibles.
 Conformément aux dispositions du décret du 8 avril 2004 modifié, peuvent bénéficier de cette aide les personnes physiques titulaires d'un contrat de fourniture d'électricité qui sont éligibles à la couverture maladie universelle complémentaire (CMU-C), à l'aide pour une complémentaire santé (ACS) ou dont le revenu fiscal de référence annuel par part est inférieur ou égal à un montant fixé par ledit décret.
 L'application de la TPN implique la mise en œuvre de traitements de données personnelles, et notamment l'interconnexion de différents fichiers, permettant d'identifier les personnes éligibles à ce tarif social.
 Le décret du 8 avril 2004 modifié prévoit que l'identification des clients de chaque fournisseur éligibles à la TPN se fait de la façon suivante :
 ― les organismes d'assurance maladie et l'administration fiscale transmettent au fournisseur d'électricité ou à son prestataire la liste des personnes éligibles à la TPN ;
 ― le cas échéant, les gestionnaires de réseaux de distribution d'électricité communiquent à ce prestataire les données permettant d'identifier le fournisseur de chaque personne éligible ;
 ― le fournisseur d'électricité ou son prestataire envoie à chaque client éligible à la TPN un courrier et une attestation préremplie avec les références de son contrat de fourniture d'électricité l'informant qu'il va bénéficier de la TPN, sauf refus exprès de sa part dans un délai de quinze jours ;
 ― pour les personnes éligibles dont le fournisseur d'électricité n'a pu être identifié, grâce à l'interconnexion de ces fichiers, le fournisseur d'électricité ou son prestataire envoie une attestation que les personnes doivent remplir et renvoyer si elles souhaitent bénéficier de la TPN.
 Dans la mesure où les interconnexions de fichiers sont mises en œuvre par ou pour le compte des fournisseurs d'électricité, ces derniers doivent être considérés comme les responsables de ces traitements et doivent, à ce titre, procéder aux formalités préalables appropriées auprès de la commission. Le prestataire est quant à lui le sous-traitant de chaque fournisseur d'électricité et doit, par conséquent, assurer la sécurité et la confidentialité des données, conformément à l'article 35 de la loi du 6 janvier 1978 modifiée.
 La commission estime qu'il y a lieu de faire application des dispositions de l'article 25-I (5°) de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés ayant pour objet l'interconnexion de fichiers ayant des finalités principales différentes.
 En application de l'article 25-II de la même loi, la commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories de destinataires. Les traitements de données à caractère personnel mis en œuvre par les fournisseurs d'électricité aux fins d'application de la TPN sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.
 Les fournisseurs d'électricité qui adressent à la commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.
 Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une demande d'autorisation spécifique.
La présidente,
I. Falque-Pierrotin