Délibération du bureau de la Commission nationale de l’informatique et des libertés

n° 2018-082 du 22 mars 2018 décidant de rendre publique la mise en demeure

n° MED-2018-007 du 5 mars 2018 prise à l’encontre de la société X

Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 22 mars 2018 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;

Etaient aussi présents Mme Marie-France MAZARS, Vice-président délégué, et M. Eric PERES, Vice-président ;

Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n°MED-2018-007 du 5 mars 2018 de la Présidente de la Commission mettant en demeure la société X;

A adopté la délibération suivante :

Par décision du 5 mars 2018, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai de trois mois le manquement constaté à l’article 7 de cette même loi.

En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.

Le bureau a été réuni à cette fin le 22 mars 2018.

Après en avoir délibéré, le bureau considère que la publicité de la mise en demeure se justifie par la gravité du manquement à la loi Informatique et Libertés, la société ne disposant d’aucune base légale pour procéder à la collecte des données issues du compteur communicant Linky et relatives aux consommations au pas de trente minutes et quotidiennes d’électricité de ses clients.

En outre, la publicité de la mise en demeure apparaît nécessaire afin de sensibiliser l’organisme quant à ses obligations et les clients quant à leurs droits, ceux-ci pouvant bénéficier de l’installation d’un compteur communicant Linky sans pour autant que leurs données de consommations énergétiques ne soient collectées par la société X.

Le bureau note ainsi que l’information communiquée aux clients est trompeuse à double titre : ceux-ci pensent consentir à l’activation du compteur Linky – or seul le gestionnaire du réseau de distribution active ce compteur – et la finalité de la collecte leur est présentée comme conduisant à une facturation au plus juste, ce qui est à ce jour inexact.

Le bureau estime qu’il est essentiel que les clients puissent garder la maitrise de telles données, qui peuvent révéler des informations sur leur vie privée (heures de lever et de coucher, périodes d’absence, éventuellement le nombre de personnes présentes dans le logement).

En outre, la quantité de clients concernés est particulièrement élevée puisque la société dispose déjà – sans avoir recueilli le consentement des intéressés – des données de consommations au pas de trente minutes et quotidiennes de plusieurs centaines de milliers de foyers et que la société ENEDIS envisage d’installer 35 millions de compteurs communicants Linky d’ici 2021.

En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n°MED-2018-007 de la Présidente de la CNIL mettant en demeure la société X.

Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tout point aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.

Enfin, tant la décision de mise en demeure précitée que la présente délibération seront anonymisées à l’expiration d’un délai de deux ans à compter de leur publication.

La Présidente

Isabelle FALQUE-PIERROTIN