EDF et Engie sont mis en demeure par la Cnil pour la manière dont ils gèrent les données personnelles de consommateurs via les compteurs Linky. Photo archives AFP

La Commission nationale de l'informatique et des libertés (Cnil), gendarme français de la protection des données, a annoncé mardi 11 février avoir mis en demeure les groupes d'énergie EDF et Engie, leur donnant trois mois pour mettre en conformité la manière dont ils gèrent la collecte des informations personnelles des consommateurs via les compteurs communicants Linky.

"Conservation excessive des données de consommation"

Les deux groupes sont mis en demeure "en raison du non-respect de certaines des exigences relatives au recueil du consentement à la collecte des données de consommation issues des compteurs communicants Linky". Le document pointe aussi du doigt une "conservation excessive des données de consommation". Or, "les données de consommation fines peuvent révéler des informations sur la vie privée (heures de lever et de coucher, périodes d'absence, éventuellement le nombre de personnes présentes dans le logement). Il est donc essentiel que les clients puissent garder la maîtrise de leurs données", précise le communiqué de la Cnil.

"Ni spécifique ni suffisamment éclairé"

EDF et Engie "recueillent effectivement un consentement auprès de leurs utilisateurs" mais il "n’est ni spécifique ni suffisamment éclairé", estime le gendarme français des données personnelles, qui a mené une série de contrôles chez ces entreprises pour s’assurer de la conformité de leurs pratiques.

Les données de consommation relevées par les compteurs intelligents Linky peuvent donner des informations sur la vie privée des occupants du logement, telles que les heures de lever et de coucher, les périodes d’absence ou encore le nombre de personnes présentes. "Il est donc essentiel que les clients puissent garder la maîtrise de leurs données", souligne la Cnil.

Ces données peuvent être collectées seulement après avoir obtenu le consentement des personnes concernées. Ce consentement doit être "libre, spécifique, éclairé et univoque", conformément au Règlement général sur la protection des données (RGPD) entré en vigueur en mai 2018.

EDF et Engie sont toutefois dans "une trajectoire globale de mise en conformité", estime la Cnil, qui leur a donné trois mois pour rectifier les deux manquements. 

Cathy Lafon avec l'AFP