La Commission nationale informatique et libertés (Cnil) a rendu public hier un avis très argumenté mettant en demeure la société Direct énergie d’améliorer les procédures de recueil de consentement des clients, pour ce qui concerne la collecte des données par le compteur Linky. Pour les maires, cet avis ne change rien : l’installation des compteurs Linky reste une obligation légale, qui n’est nullement remise en question par cet avis.
C’est Direct énergie qui est visée par l’avis de la Cnil et non Enedis. Il s’agit de deux sociétés bien distinctes : Enedis (ex-ERDF) est le gestionnaire du réseau de distribution d’électricité – et à ce titre, c’est elle qui a la charge de déployer les compteurs Linky ; Direct énergie est ce que l’on appelle un « fournisseur alternatif », c’est-à-dire un concurrent d’EDF, comme il en existe plusieurs depuis l’ouverture du marché de l’énergie à la concurrence en 2003.
La Cnil a été « avertie », en octobre dernier, que la société Direct énergie « demande à Enedis de lui transmettre les consommations horaires de ses clients » à la demi-heure. Elle a pu constater que les bases de données de Direct énergie « contenaient les données de consommation au pas de trente minutes de foyers ayant un compteur communiquant ». Le problème, c’est que Direct énergie ne demande pas clairement et précisément à ses clients leur accord pour recueillir ces données toutes les trente minutes – recueil qui permet d’avoir des détails assez précis sur la vie d’un ménage. Cette collecte, juge la Cnil, est « particulièrement intrusive » puisqu’elle permet « de révéler des informations sur la vie privée des personnes concernées ».
Or, les différents moyens de demande de consentement utilisés par Direct énergie (clic sur un site internet, envoi de lettre-coupon, accord oral au téléphone…) mentionnent seulement que le client « permet d’accéder aux données de consommation détaillées de votre futur compteur Linky ». Nulle mention, en revanche, de la collecte de données à la demi-heure. Il n’y a donc pas, pour la Cnil, moyen de donner « un consentement éclairé ».
Par ailleurs, la Cnil a pu constater que l’accord était parfois donné par le propriétaire d’un logement, et non par le locataire occupant. Dans ce cas, « le consentement de la personne concernée fait entièrement défaut ».
Concernant la collecte des consommations quotidiennes, la situation est encore plus fâcheuse : si Direct énergie « informe » bien ses clients qu’il sera procédé à une telle collecte, à aucun moment elle ne demande leur consentement. Or, sans un consentement exprès, le recueil de ces données est « dépourvu de base légale ».
La Cnil met donc la société Direct énergie en demeure : elle a trois mois pour se mettre dans les clous, et adopter des mesures permettant de « recueillir le consentement préalablement à la collecte des données relatives aux consommations au pas de trente minutes et aux consommations quotidiennes des clients, y compris de ceux dont les données sont déjà enregistrées par la société et à défaut, supprimer lesdites données collectées ».
Si Direct énergie se conforme à cette décision dans les délais impartis, elle ne sera pas sanctionnée et la procédure sera « close ». Dans le cas contraire, la Cnil se réserve le droit de prononcer des sanctions.
Ce n’est donc aucunement le principe du compteur Linky qui est critiqué par la Cnil, en l’espèce, mais uniquement l’utilisation qui en est faite par un fournisseur particulier.
Rappelons qu’en novembre dernier, la Cnil avait publié un point précis sur les données qui peuvent et ne peuvent pas être collectées et transmises par les compteurs communicants, et les mesures prévues pour garantir aux clients « la maîtrise de leurs données » (lien ci-dessous). Télécharger l’avis de la Cnil.
Accéder à la fiche de novembre 2017.