Délibération n° 2014-253 du 12 juin 2014 autorisant la société GDF SUEZ à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du tarif spécial de solidarité pour le gaz naturel (TSS) et abrogeant la délibération n° 2012-117 du 12 avril 2012.
Nature: Autre autorisation

(Demande d’autorisation n° 1322971v2)
La Commission nationale de l'informatique et des libertés,
Saisie par la société GDF SUEZ d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en œuvre du tarif spécial de solidarité pour le gaz naturel (TSS) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu la loi n° 2013-312 du 15 avril 2013 visant à préparer la transition vers un système énergétique sobre et portant diverses dispositions sur la tarification de l'eau et sur les éoliennes ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2008-778 du 13 août 2008 modifié relatif à fourniture de gaz naturel au tarif spécial de solidarité ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la société GDF SUEZ, qui, conformément aux dispositions du décret du 13 août 2008 modifié, doit appliquer le tarif spécial de solidarité pour le gaz naturel (TSS), à ceux de ses clients qui y sont éligibles. 
Sur la finalité
Le traitement a pour objet la mise en œuvre du TSS, dans les conditions définies par le décret du 13 août 2008 modifié. 
Pour mettre en œuvre ce traitement, de nombreux fournisseurs de gaz naturel (dont la société GDF SUEZ) recourent à un prestataire unique.
Concrètement, le traitement est mis en œuvre de la façon suivante :
Les organismes d’assurance maladie et l’administration fiscale transmettent au prestataire de GDF SUEZ la liste des personnes éligibles au TSS.
Les gestionnaires de réseaux de distribution de gaz naturel communiquent à ce prestataire les données permettant d’identifier le fournisseur de chaque personne éligible.
Les copropriétés ou les bailleurs transmettent au prestataire les données permettant d’identifier les personnes éligibles occupant des immeubles collectifs chauffés au gaz naturel et les fournisseurs de ces immeubles.
Le prestataire croise l’ensemble de ces données pour identifier le fournisseur de chaque personne éligible.
GDF SUEZ ou son prestataire envoie à chaque client éligible au TSS un courrier et une attestation pré-remplie avec les références de son contrat individuel de fourniture de gaz naturel ou de chaufferie collective l’informant qu’il va bénéficier du TSS, sauf refus exprès de sa part dans un délai de 15 jours. 
Les personnes éligibles qui n’ont pas été identifiées comme disposant d’un contrat individuel ou occupant un immeuble chauffé collectivement au gaz naturel reçoivent un courrier et une attestation qu’elles doivent remplir et renvoyer si elles souhaitent bénéficier du TSS.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime.
Elle estime qu’il y a lieu de faire application des dispositions de l’article 25-I-5° de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés ayant pour objet l’interconnexion de fichiers ayant des finalités principales différentes.
Sur les données traitées
Conformément au décret du 13 août 2008 modifié, les données suivantes sont collectées par GDF SUEZ dans le cadre des finalités décrites ci-dessus : 
Données transmises par les organismes d’assurance maladie et l’administration fiscale : civilité, prénom, nom, date de naissance, adresse des personnes éligibles au TSS et nombre de personnes composant le foyer.
Données transmises par les gestionnaires de réseaux de distribution pour chaque point de comptage et d’estimation (PCE) : civilité, prénom et nom du détenteur du contrat, numéro et adresse du PCE, nom du fournisseur et code postal, nom et code INSEE de la commune.
Données transmises par les copropriétés ou bailleurs d’immeubles chauffés collectivement au gaz naturel : numéro, adresse, code postal, nom et code INSEE de la commune, référence contractuelle, date de début et de fin d’application des contrats, et existence d’autres sources d’énergies que le gaz naturel pour alimenter la chaufferie collective.
Données transmises par les personnes éligibles au TSS qui ont rempli et renvoyé l’attestation : références du contrat de fourniture de gaz naturel, nom et coordonnées du fournisseur de gaz naturel, et, le cas échéant, l’existence de l’alimentation de la chaufferie collective par d’autres sources d’énergies que le gaz naturel.
La Commission prend acte que sont également collectées les données relatives au refus des personnes éligibles à bénéficier du TSS.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente au sens du 3° de l'article 6 de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, les personnels dûment habilités de GDF SUEZ et de son prestataire sont destinataires des données.La Commission rappelle que, conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, le prestataire doit présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité et de confidentialité des données.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, GDF SUEZ procède, dans les conditions générales de vente ou par tout autre moyen, à l'information préalable des personnes quant à l'identité du responsable de traitement, la finalité poursuivie par le traitement, les destinataires des données et les droits des personnes. En outre, les personnes sont informées de ces mêmes éléments, conformément au décret du 13 août 2008 modifié, par une mention d’information sur les courriers et attestations adressées aux personnes concernées. Enfin, les droits d’accès, de rectification et d’opposition s’exercent par voie postale auprès de la société ACTICALL (50-52, boulevard Haussmann – 75009 PARIS) ou par téléphone via un numéro vert dédié au TSS.La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur les mesures de sécurité
Les modalités de transmission des données entre le prestataire et GDF SUEZ se font par deux interfaces sécurisées  (1 entrante, 1 sortante) sur la plateforme d’échanges de GDF SUEZ. Ces interfaces sont les mêmes que celles utilisées jusqu’à présent.Les transmissions des données entre le prestataire et les gestionnaires de réseau sont effectuées par transfert de fichier via une connexion VPN sécurisée.Le fichier est chiffré par l’intermédiaire d’un mot de passe. La communication du mot de passe se fait par SMS. A partir de juin 2014, le fichier sera chiffré par l’intermédiaire de l’outil PGP et l’authentification serveur via l’utilisation d’un certificat.Les accès à l’application font l’objet d’une journalisation en conservant l’identifiant de l’utilisateur ainsi que la date et l’heure de connexion.Les mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission et sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Conformément aux dispositions du décret du 13 août 2008 modifié, les données ne peuvent être conservées au-delà des durées suivantes : 
19 mois à compter de leur réception pour les données transmises par les organismes d’assurance maladie et l’administration fiscale ;
9 semaines à compter de leur réception pour les données transmises par les gestionnaires de réseaux de distribution ;
19 mois à compter de leur réception pour les données transmises par la copropriété et les bailleurs d’immeubles chauffés collectivement au gaz naturel ;
19 mois à compter de la date de leur réception pour les données relatives aux attestations remplies et renvoyées par les personnes éligibles.
La Commission prend acte que les données transmises par les organismes d’assurance maladie, l’administration fiscale et par les personnes éligibles ne sont conservées que pendant 13 mois lorsque le TSS n'est finalement pas attribué (pour cause de non identification ou de refus des personnes). 
La Commission estime que ces durées de conservation sont pertinentes au regard de la finalité poursuivie par le traitement.
Autorise, conformément à la présente délibération, la société GDF-SUEZ à mettre en œuvre le traitement susmentionné et abroge la délibération n° 2012-117 du 12 avril 2012. 
La Présidente
I. FALQUE-PIERROTIN