La CNIL s'attaque à EDF, Engie et aux compteurs Linky

Aujourd’hui, ce sont les compteurs Linky qui se retrouvent dans le collimateur de la commission protectrice des données personnelles des Français. Et les géants de l’énergie n’ont que trois mois pour s’aligner.

Mardi 11 février 2020, la CNIL (Commission nationale de l'informatique et des libertés) a annoncé avoir mis en demeure EDF et Engie. En ligne de mire : la gestion de la collecte des données personnelles des consommateurs par les compteurs intelligents Linky. A l’heure où la question de l’invisibilisation et l’ubiquité de la surveillance de masse s’invite dans le débat public, la mise en demeure semble tomber à point nommé...

« Un espion installé chez nous »

Pour rappel, le calendrier prévoyait l’installation de 35 millions de compteurs en France entre 2015 et 2021. Depuis les premières installations, les compteurs Linky, dont le gouvernement a rendu la pose obligatoire, font polémique. Pour ses instigateurs, il comporte de nombreuses fonctionnalités à l'avantage du consommateur, comme la gestion facilitée du contrat d’électricité ou le suivi précis de la consommation. Pour les autres, le petit boitier vert empiète sur la vie privée. En 2018, Raoul Périchon du collectif Combalinky s’inquiétait : « Linky est un espion installé chez nous, qui ouvre la porte à la commercialisation de nos données. »

De quel type de données parle-t-on ? Grâce aux relevés de consommation, il est possible d’obtenir certaines informations sur les habitants d’un logement : heures de lever et de coucher, périodes d'absence, nombre de personnes présentes au domicile...

Qui ne dit mot ne consent pas

Aujourd’hui, la CNIL semble donner raison aux militants. EDF et Engie sont mis en demeure « en raison du non-respect de certaines des exigences relatives au recueil du consentement à la collecte des données de consommation issues des compteurs communicants Linky, ainsi que pour une durée de conservation excessive des données de consommation ».

A ce jour, et conformément au Règlement général sur la protection des données (RGPD) entré en vigueur en mai 2018, les données peuvent être collectées après avoir obtenu le consentement « libre, spécifique, éclairé et univoque » des personnes concernées. Or, pour la CNIL, cette condition n’est pas respectée. En outre, les durées de conservation des données sont  « parfois trop longues au regard des finalités. »

Si d’ici trois mois le tir n’est pas corrigé côté EDF et Engie, la CNIL pourrait imposer des sanctions financières, jusqu'à 4% du chiffre d'affaires mondial.

Quand la CNIL veille au grain

Au début du mois, la start-up Fidzup, spécialisée dans le ciblage publicitaire, a mis la clé sous la porte. En juillet 2018, la CNIL avait publiquement mis en demeure la société, accusée d’exploiter sans accord de la part des utilisateurs des données issues de leur smartphone. Dans un article de blog, le cofondateur Olivier Magnan-Saurin a indiqué « regretter la forme employée par la CNIL » qui aurait selon lui précipité la chute de la start-up.

Feu Fidzup se basait sur des SDK, des programmes intégrés à des applications populaires (jeux, grands distributeurs, recettes, informations...) qui recueillaient des informations sur le profil et la localisation de l’utilisateur afin d’afficher sur leurs écrans des publicités de magasins proches de leur localisation.

Si la mise en demeure a été rendue publique par le gardien de la vie privée, c’est parce que la commission s'inquiétait de la prolifération de ce type de société : « un écosystème était en train de se construire sur la base de telles pratiques, il est apparu nécessaire d'envoyer rapidement une alerte collective pour toutes les entreprises susceptibles de les mettre en œuvre, ce que seule la publicité [des mises en demeure] permet. »