La Cnil met en demeure Direct Energie pour manquement au recueil de consentement

À quelques semaines de l'entrée en vigueur du règlement général sur la protection des données personnelles (RGPD), le 25 mai 2018, la Cnil prend les devants : la Commission nationale de l'informatique et des libertés met en demeure, par la voix de sa présidente Isabelle Falque-Pierrotin, le fournisseur d'électricité Direct Energie pour une absence de recueil de consentement concernant les données de consommation issues de son compteur communicant Linky. La marque a trois mois pour se mettre en conformité à la loi "Informatique et Libertés". Plusieurs milliers de clients seraient concernés, d'où une décision "publique" de la Cnil afin de "sensibiliser les personnes quant à leurs droits et leur capacité de maîtrise sur leurs données de consommation énergétique". Ces données sont révélatrices d'informations personnelles sur les consommateurs, telles que les heures de lever et de coucher, les périodes d'absence de leur domicile, ou encore, le nombre d'occupants du logement.

Quel est le problème ? À l'occasion de l'installation du compteur communicant Linky, explique la Cnil dans un communiqué, Direct Energie a demandé au gestionnaire du réseau de distribution, la société Enedis, de lui transmettre les données de ses clients correspondant à leur consommation journalière d'électricité ainsi que les données de consommation à la demi-heure, et ce, afin d'établir une facturation mensuelle du service fourni. Pour autant, ces données ne peuvent être recueillies qu'après avoir obtenu le consentement des personnes concernées.

D'octobre 2016 à février 2018, plusieurs contrôles ont été diligentés par la Cnil afin de s'assurer de la conformité du recueil avec l'article 7 de la loi de 1978. Or, pour l'autorité de contrôle le consentement n'est, dans le cas de Direct Energie et Linky, ni "libre", ni "éclairé", ni "spécifique".

Lors de l'installation du compteur, Direct Energie demande à ses clients leur accord simultanément sur la mise en service du compteur Linky et sur la collecte des données de consommation horaires. Cette collecte est présentée comme le corollaire de l'activation du compteur et comme permettant au client de bénéficier d'une facturation au plus juste. Or, tranche la Cnil, "l'installation d'un compteur Linky revêt un caractère obligatoire, et sa mise en service ne dépend pas de la société Direct Energie : le client a donc l'impression, erronée, qu'il choisit d'activer le compteur alors qu'il ne consent, en réalité, qu'à la collecte de ses données de consommation". La loi impose aux marques, lors du recueil du consentement, de collecter le consentement de manière individualisée, comme l'indique la Cnil, qui poursuit : "Par ailleurs, contrairement à la présentation qui en est faite, cette collecte n'est aucunement la conséquence nécessaire de l'activation du compteur. En outre, la finalité de "facturation au plus juste", affichée lors du recueil du consentement, n'est pas exacte puisque Direct Energie ne propose pas d'offres basées sur la consommation horaire. Enfin, la cadence précise de la remontée des données de consommation, par demi-heure, n'est pas indiquée au client."

Les contrôles menés par la Cnil ont également conduit à constater un manquement concernant le consentement à la collecte des données de consommations quotidiennes. En effet, si la société informe bien ses clients de la collecte de ces données auprès du gestionnaire du réseau de distribution (Enedis) elle ne leur demande pas leur accord au préalable.

La Commission rappelle que cette mise en demeure n'est pas une sanction et qu'aucune suite ne sera donnée à cette procédure si la société se conforme à la loi dans le délai imparti. Dans ce cas, la clôture de la procédure fera également l'objet d'une communication.

Pour aller plus loin :

- 77 % des Français préfèrent acheter à des marques transparentes

- 4 commandements du RGPD

- Comment les marques se mettent-elles en conformité ?