Consentement spécifique aux données Linky et publicité d’une mise en demeure par la CNIL

La décision relève que l’affichage des données de consommation à la journée et à la demi-heure exigeait un consentement spécifiquement recueilli. À défaut, le consentement des personnes concernées n’était pas valablement obtenu au regard du RGPD.

La publicité est également motivée par la nécessité d’informer les clients et prospects, de rappeler à l’organisme ses obligations et de sensibiliser les personnes à leurs droits, notamment au choix des modalités de traitement de leurs données. La CNIL souligne que ces données peuvent révéler des éléments relatifs à la vie privée et que le traitement concerne potentiellement un nombre très élevé de personnes.

La mise en demeure ne constitue pas une sanction. Si l’organisme se conforme intégralement aux exigences dans le délai fixé, la procédure est clôturée et cette clôture est elle-même rendue publique.

⬇️Télécharger la décision version officielle

La société ne recueillait pas spécifiquement le consentement des personnes pour l’affichage des données de consommation à la journée et pour l’affichage plus détaillé à la demi-heure. Le bureau de la CNIL a été saisi afin de décider de la publicité de cette mise en demeure.

Il a retenu la nature du manquement, le risque d’atteinte à la maîtrise de données pouvant révéler des informations sur la vie privée, ainsi que le nombre très élevé de personnes concernées. Il a donc décidé de rendre publique la mise en demeure, en rappelant que celle-ci ne constitue pas une sanction et que sa clôture serait également publiée en cas de mise en conformité complète.

• Constater un manquement au RGPD relatif au consentement
• Vérifier l’absence de consentement spécifiquement recueilli
• Prendre en compte la nature du manquement
• Évaluer le nombre de personnes concernées
• Examiner les caractéristiques du traitement mis en œuvre
• Apprécier la nécessité d’informer les personnes concernées

• Procès-verbal de contrôle n° 2019-024/1 du 21 février 2019
• Procès-verbal de contrôle n° 2019-024/2 du 14 mai 2019
• Décision de mise en demeure du 31 décembre 2019
• Données affichées à la journée et à la demi-heure
• Projet d’installation de 35 millions de compteurs communicants

• Respect du délai de deux mois imparti
• Recueil distinct du consentement selon le niveau d’affichage
• Information des clients sur leurs droits
• Maîtrise des données de consommation par les personnes concernées
• Publication de la clôture en cas de conformité

À faire

• Identifier chaque niveau d’affichage des données
• Recueillir un consentement spécifiquement associé à chaque niveau
• Documenter les modalités de recueil du consentement
• Informer les clients de leurs droits
• Respecter le délai de deux mois

À éviter

• Utiliser un consentement général pour plusieurs affichages
• Afficher les données détaillées sans accord spécifique
• Négliger les informations révélant la vie privée
• Attendre l’issue de la publicité pour se mettre en conformité
• Présenter la mise en demeure comme une sanction

La publicité d’une mise en demeure par la CNIL

La publicité est justifiée par la nature du manquement au RGPD, le nombre de personnes concernées et les caractéristiques du traitement. Elle vise aussi à rappeler les obligations de l’organisme et à informer clients et prospects des droits disponibles.

Le consentement spécifique aux modalités d’affichage

L’affichage des données à la journée et l’affichage plus détaillé à la demi-heure nécessitent un consentement spécifiquement recueilli. À défaut, le consentement des personnes concernées n’est pas valablement obtenu au regard du RGPD.

La nature non sanctionnatrice de la mise en demeure

La mise en demeure ne constitue pas une sanction. Si l’organisme respecte intégralement les exigences dans le délai imparti, la procédure est clôturée, et cette clôture est également rendue publique.