La société DIRECT ENERGIE, fournisseur d’électricité, dans le cadre de cette mission et afin de faciliter la facturation de ses services, a demandé au gestionnaire du réseau de distribution, la société ENEDIS, de lui transmettre les données de ses clients correspondant à leur consommation journalière d’électricité ainsi que les données de consommation à la demi-heure.

Or, aux termes des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après, la « Loi Informatique et Libertés ») ces données ne peuvent être recueillies qu’après avoir obtenu le consentement des personnes concernées.

Le président de la Commission nationale informatique et libertés (ci-après, la « CNIL ») a donc diligenté une mission ayant pour objet de procéder à la vérification de la conformité des demandes et pratiques de la société DIRECT ENERGIE aux dispositions de la Loi Informatique et Libertés.

A l’issue de son contrôle, la CNIL a pu conclure que, au regard des éléments qui lui avaient été communiqués, le consentement donné par le client en vue de la transmission de ses données de consommation au pas de trente minutes à la société DIRECT ENERGIE ne pouvait être considéré comme libre, éclairé et spécifique.

La CNIL a pu conclure à une telle absence de consentement aux motifs notamment que « la finalité affichée de la collecte des données de consommations (vous assurer une facturation au plus juste) ne correspond pas à la réalité puisqu’aux jours des contrôles, la société ne proposait pas à ses clients d’offre basée sur la consommation au pas de trente minutes » et que « le consentement est recueilli de manière générale sur la collecte de données relatives à la courbe de charge, sans aucune précision sur la cadence effective de cette collecte – à savoir le pas de trente minutes ».

La CNIL a conclu dans le même sens s’agissant du recueil des données relatives aux consommations quotidiennes. En effet, la CNIL a relevé que s’il existait une information des personnes quant à la collecte des données de consommations quotidiennes, il ressortait de l’ensemble de ces éléments que le consentement exprès des clients et futurs clients n’était recueilli à aucun stade de la conclusion du contrat ou de la souscription aux offres de la société DIRECT ENERGIE.

Au regard de ces manquements, le Président de la CNIL a demandé à la société DIRECT ENERGIE, par une décision n° 2018-007 du 5 mars 2018, de « recueillir le consentement préalablement à la collecte des données relatives aux consommations au pas de trente minutes et aux consommations quotidiennes des clients, y compris de ceux dont les données sont déjà enregistrées par la société et à défaut, supprimer lesdites données collectées » ainsi que de « justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti ».

En outre et compte tenu du nombre de clients concernés par ces traitements (plusieurs centaines de milliers en février 2018), la CNIL a décidé de rendre publique cette décision de mise en demeure afin de sensibiliser les personnes quant à leurs droits et leur capacité de maîtrise sur leurs données de consommation énergétique.