La Présidente de la CNIL met en demeure les sociétés EDF et ENGIE en raison du non-respect de certaines des exigences relatives au recueil du consentement à la collecte des données de consommation issues des compteurs communicants LINKY, ainsi que pour une durée de conservation excessive des données de consommation.
Sur le consentement
la CNIL considère qu'il n’est ni spécifique ni suffisamment éclairé s’agissant des données de consommation à l’heure ou à la demi-heure.
il est rappelé que le consentement spécifique doit être distinct pour chaque objectif poursuivi par la collecte des données : l'affichage des consommations quotidiennes et à la demi heure doivent être recueilli de manière séparée.
Le consentement est éclairé, lorsqu'il est suffisamment informé. le consommateur ne l'est pas lorsque la case à cocher j'accepte fait référence à « consommation d’électricité quotidienne (toutes les 30 min), ce qui est un amalgame confus.
Sur la durée de conservation
La CNIL a considéré que les durées de conservation qui ont été définies, étaient parfois trop longues au regard des finalités pour lesquelles les données sont traitées.
Pour ce qui est d'EDF la mise en demeure vise la conservation en base active pendant 5 ans après la résiliation du contrat des consommations quotidiennes et à la demi-heure, alors que les fournisseurs d’électricité ne sont tenus de mettre à disposition des clients leur historique de consommation que pendant une durée de trois années suivant la date de recueil du consentement (article D. 224-26 du code de la consommation).
Pour ce qui est d'Engie, la conservation en base active des données de consommations mensuelles 3 ans après la résiliation du contrat n'est pas justifiée par rapport à l'objectif de prospection commerciale, ni par la mise à disposition de ces données dans l’espace client de l’usager dans la mesure où cette mise à disposition n’est effective que pour une durée d’un an à l’issue de la résiliation du contrat.
Les deux sociétés ont trois mois pour se conformer aux règles issues du RGPD