Le contexte

La CNIL a reçu plusieurs plaintes concernant les difficultés rencontrées par des personnes dans la prise en compte, par le producteur et fournisseur d’énergies français, TOTALENERGIES ÉLECTRICITÉ ET GAZ FRANCE, de leurs demandes d’accès à leurs données et d’opposition à recevoir des appels de prospection commerciale.

Sur la base des constatations effectuées lors des contrôles, la formation restreinte – organe de la CNIL chargé des sanctions – a prononcé à l’encontre de la société TOTALENERGIES ÉLECTRICITÉ ET GAZ FRANCE uneamende de 1 million d’euros rendue publique.

Le montant de cette amende a été décidé au regard des manquements retenus ainsi qu’en tenant compte de l’ensemble des mesures prises par la société au cours de la procédure pour se mettre en conformité.

Les manquements sanctionnés

Un manquement à l’obligation de permettre aux personnes de s’opposer à de la prospection commerciale

La société proposait, sur son site web, un formulaire de souscription à un contrat d’énergie dans lequel l’utilisateur reconnaissait donner son accord pour l’utilisation de ses données personnelles afin de recevoir ultérieurement des offres commerciales, sans avoir la possibilité de s’y opposer.

En remplissant ce formulaire, l’utilisateur ne disposait donc pas de moyen d’opposition à la réutilisation de ses données à des fins de prospection commerciale pour des produits ou services analogues, ce qui est contraire à la réglementation (article L. 34-5 du code des postes et des communications électroniques ou CPCE).

Des manquements à l’obligation d’information et au respect de l’exercice des droits

Les vérifications effectuées par la CNIL ont également permis de mettre en évidence quatre autres manquements retenus dans la décision de sanction :

• Un manquement à l’obligation d’information des personnes démarchées téléphoniquement (article 14 du RGPD). En effet, les informations essentielles concernant le traitement de leurs données n’étaient pas communiquées aux personnes contactées qui ne se voyaient pas non plus offrir la possibilité d’accéder à plus d’informations, par exemple en activant une touche de leur clavier de téléphone.
• Un manquement à l’obligation de respecter le droit d’accès aux données (article 15 du RGPD) et le droit d’opposition des personnes concernées (article 21 du RGPD). La société n’a pas pris en compte les demandes des plaignants souhaitant accéder à leurs données personnelles et à ne plus recevoir aucun appel de prospection commerciale.
• Un manquement aux obligations relatives aux modalités d’exercice des droits (article 12 du RGPD). La société n’a pas répondu aux demandes d’exercice de droit dans le délai d’un mois prévu par les textes.