LINKY, un file monitorato dalla CNIL: promemoria delle regole applicabili

In generale, il CNIL è particolarmente vigile sulle condizioni per l’implementazione del trattamento collegato ai contatori intelligenti.

I dati di consumo fini possono rivelare informazioni sulla vita privata (alzarsi e andare a letto, periodi di assenza, possibilmente il numero di persone presenti nella sistemazione). È quindi essenziale che i clienti possano mantenere il controllo dei propri dati.

Al fine di supportare i professionisti in questo senso, il CNIL ha pubblicato nel 2012 una raccomandazione che specifica le condizioni per la raccolta della curva di carico, che riporta dati di consumo fini (ad esempio, entro un’ora o mezza ora). Nel 2014 ha inoltre adottato un pacchetto di conformità ” metri comunicanti  ” che  specifica in termini pratici le regole da osservare per proteggere la privacy delle persone.

Si ricorda che le regole applicabili alla raccolta di dati relativi al consumo fine differiscono in base alla precisione dei dati (dati giornalieri o dati relativi al consumo fine entro un’ora o mezz’ora) e il ruolo del responsabile del trattamento nella catena energia (gestore o fornitore della rete di distribuzione).

• Per quanto riguarda il gestore della rete di distribuzione:

Il codice energetico lo autorizza a raccogliere i consumi giornalieri per impostazione predefinita, per consentire all’utente di consultare gratuitamente la cronologia dei consumi.

D’altra parte, il gestore della rete non raccoglie automaticamente i dati di consumo fini (ogni ora e / o mezz’ora). La raccolta di questi dati è possibile solo previo consenso dell’utente o, su base ad hoc, quando è necessario per lo svolgimento delle missioni di servizio pubblico assegnate dal codice energetico (ad esempio esempio, per la manutenzione e la manutenzione della rete o l’integrazione di energie rinnovabili).

Inoltre, il codice energetico prevede che la registrazione dei dati di consumo orario possa essere effettuata “localmente”, nella memoria del contatore LINKY, senza trasmissione al gestore della rete o a terzi.

• Per quanto riguarda i fornitori (come EDF e ENGIE):

Possono disporre di dati di consumo mensili per stabilire la loro fatturazione. Tuttavia, possono raccogliere solo i consumi giornalieri, orari e / o mezz’ora senza il consenso dell’abbonato .

La trasmissione di dati dettagliati sui consumi (dati orari e / o mezz’ora) a società terze, in particolare a fini commerciali (ad esempio società che offrono lavori di isolamento) può avvenire solo con l’accordo dell’abbonato .

Le comunicazioni formali

Dalla distribuzione degli smart meter LINKY alla fine del 2015, EDF ed ENGIE possono quindi, in qualità di fornitori di energia, chiedere al gestore della rete di distribuzione di inviare loro i dati dei loro clienti corrispondenti al loro consumo giornaliero di elettricità e dati di consumo di mezz’ora.

Tuttavia, questi dati possono essere raccolti solo dopo che i fornitori di energia elettrica hanno ottenuto il consenso degli interessati. Inoltre, questo consenso deve essere, in conformità con le norme generali sulla protezione dei dati (GDPR), ”  gratuito, specifico, informato e inequivocabile  “.

Il CNIL ha organizzato ispezioni all’interno delle società EDF e ENGIE per garantire che questi sistemi siano conformi al GDPR.

Da questi controlli risulta che EDF ed ENGIE stanno seguendo un percorso globale verso la conformità . Queste due società hanno nominato un responsabile della protezione dei dati e mantengono un registro di elaborazione. Implementano inoltre procedure per consentire agli interessati di esercitare tutti i loro diritti di protezione dei dati (accesso, opposizione, cancellazione, ecc.), In particolare per quanto riguarda i loro dati sul consumo di energia.

Allo stesso modo, queste società hanno implementato procedure per ottenere il consenso delle persone prima della raccolta dei loro dati di consumo e hanno definito politiche relative al periodo di conservazione.

Tuttavia, su questi ultimi due punti, i controlli effettuati hanno rivelato che il livello di conformità era insufficiente. Sono stati quindi rilevati due guasti :

1. Metodi insoddisfacenti per ottenere il consenso in merito alla raccolta dei dati di consumo dagli smart meter LINKY

Il CNIL ha osservato che se le società EDF e ENGIE raccolgono il consenso dei loro utenti, tale consenso non è né specifico né sufficientemente informato in merito ai dati relativi al consumo orario o di mezz’ora.

Il GDPR richiede effettivamente la raccolta di un consenso specifico , vale a dire un consenso separato per ciascun obiettivo perseguito dalla raccolta di dati. Tuttavia, è stato notato che EDF e ENGIE raccolgono per consenso una sola casella di controllo per due operazioni chiaramente distinte: la visualizzazione nell’area del cliente del consumo giornaliero e la visualizzazione del consumo a metà -time.

Inoltre, per quanto riguarda EDF, il CNIL ha osservato che spuntando la casella si ottiene anche una terza operazione di elaborazione, vale a dire la fornitura di consulenza personalizzata volta a ridurre il consumo di energia della casa.

Tale consenso globale è contrario ai requisiti del GDPR. In effetti, un utente potrebbe voler consultare la cronologia dei propri consumi di giorno in giorno, senza voler trasmettere ai propri fornitori i dati “a mezz’ora”, molto più precisi sulla propria vita privata.

Allo stesso modo, potrebbe voler essere informato sul suo consumo senza ricevere consulenza personalizzata dal suo fornitore. Di conseguenza, l’utente dovrebbe essere in grado di attivare la raccolta da parte del suo fornitore di indici giornalieri, senza necessariamente dover accettare di attivare in modo correlato quello della curva di carico (entro un’ora o mezz’ora) o essere contattato per una consulenza personalizzata.

Inoltre, il GDPR richiede che il consenso sia informato , vale a dire sufficientemente informato. Tuttavia, per quanto riguarda EDF, il CNIL ha osservato che la formulazione che accompagna la casella di controllo ”  Accetto  ” è particolarmente probabile che induca in errore il sottoscrittore sulla portata del suo impegno. Infatti, la società si riferisce al ”  consumo giornaliero di elettricità (ogni 30 min)  ” e pertanto presenta i dati giornalieri e di mezz’ora come equivalenti, mentre quest’ultimo è più rivelatore dello stile di vita di persone come dati giornalieri.

Per quanto riguarda ENGIE, il CNIL ha anche osservato che non sono state fornite informazioni sufficientemente precise, prima di ottenere il consenso, per consentire all’utente di comprendere la differenza di portata tra la raccolta dell ‘”indice giornaliero” (dati di consumo giornaliero) e la raccolta della “curva di carico” (dati di consumo fini di un’ora o mezz’ora).

2. Periodo di conservazione eccessivo per i dati di consumo

Inoltre, se le società EDF ed ENGIE hanno periodi di conservazione definiti a livello globale, le verifiche CNIL hanno rivelato in particolare che tali periodi di conservazione sono talvolta troppo lunghi rispetto alle finalità per le quali i dati vengono elaborati .

Per quanto riguarda EDF , la società mantiene in attivo la base (base contenente i dati di uso corrente, ad esempio per l’esecuzione del contratto) i consumi giornalieri e alla mezz’ora cinque anni dopo la risoluzione del contratto. Non esiste inoltre alcuna procedura di archiviazione.

Prima di tutto, i dati sui consumi di mezz’ora non sono necessari per stabilire la fatturazione e pertanto non devono essere conservati cinque anni dopo la risoluzione del contratto.

Successivamente, i fornitori di energia elettrica sono tenuti a mettere a disposizione dei clienti la loro cronologia dei consumi solo per un periodo di tre anni dalla data di ottenimento del consenso (articolo D. 224-26 del codice del consumo).

Per quanto riguarda ENGIE , i controlli hanno rivelato che la società conserva i dati di consumo mensile dei suoi clienti dopo la risoluzione del contratto per un periodo di tre anni su base attiva, quindi per un periodo di otto anni nell’archiviazione intermedia (database contenente dati che hanno ancora un interesse amministrativo, ad esempio in caso di contenzioso).

Tuttavia, se i dati di contatto del cliente possono essere conservati nel database attivo per tre anni dopo la risoluzione del contratto in modo che la società possa effettuare prospezioni commerciali, i dati sui consumi mensili non sono necessari a tale scopo, in modo che la loro conservazione non possa essere giustificata da questo scopo.

Inoltre, la memorizzazione di dati di consumo mensili dopo la risoluzione del contratto non è giustificata dalla fornitura di questi dati nell’area clienti dell’utente in quanto questo aggiornamento la disposizione è valida solo per un periodo di un anno dopo la risoluzione del contratto.

Il presidente della CNIL ha quindi ritenuto che la conservazione di questi vari dati da parte delle società fosse eccessiva, in violazione dell’articolo 5, paragrafo 1, lettera e), del GDPR.

Al fine di porre fine ai due suddetti fallimenti, il CNIL ha deciso di mettere in comunicazione le due società per conformarsi al GDPR entro tre mesi.

Inoltre, il CNIL ha deciso di rendere pubblici questi avvisi formali, tenendo conto della natura delle violazioni, del numero di persone interessate e delle caratteristiche del trattamento in questione.

In effetti, la raccolta di un consenso valido e il rispetto delle disposizioni del GDPR relative ai periodi di conservazione sono obblighi essenziali del responsabile del trattamento.

Anche la pubblicità dell’avviso formale appare necessaria al fine di rendere i clienti consapevoli dei diritti che hanno. Il CNIL ritiene essenziale che i clienti possano mantenere il controllo dei dati relativi ai consumi, che possono rivelare informazioni sulla loro vita privata (tempi di alzarsi e andare a letto, periodi di assenza, possibilmente il numero di persone presente nell’alloggio).

Inoltre, il numero di clienti interessati è particolarmente elevato poiché entro il 2021 dovranno essere installati 35 milioni di contatori intelligenti LINKY.

Nessun follow-up verrà dato a queste procedure se le società rispettano il GDPR entro il termine. In tal caso, anche la chiusura di ciascuna procedura sarà pubblica.

Se le società non si conformano alla loro comunicazione formale entro il termine, il presidente della CNIL può impadronirsi della formazione ristretta della CNIL, responsabile di sanzionare le violazioni del GDPR, in modo che, se necessario, si pronunci una sanzione.