EDF sanctionné pour l’envoi d’e-mails de prospection, un manque de transparence et des manquements de sécurité

La CNIL a sanctionné la société EDF, le 24 novembre 2022, pour n’avoir pas respecté la législation en matière de prospection commerciale et pour des manquements au RGPD.

La société EDF réalisait des opérations de prospection commerciale par e-mail au cours de l’année 2020. Les adresses e-mails des prospects n’étaient toutefois pas obtenues par EDF directement auprès des prospects, mais étaient achetées auprès d’une société tierce, un « courtier en données ».

La CNIL a rappelé à l’électricien français que la législation interdisait l’envoi de prospection commerciale, sauf si le consentement des personnes avait été préalablement obtenu^[1]. En l’espèce, il s’est avéré qu’EDF n’était « pas en mesure de communiquer de pièces démontrant l’obtention d’un consentement valablement recueilli auprès des personnes », car la société rencontrait « des difficultés à obtenir du courtier en données concerné des éléments de preuve concernant le recueil du consentement ».

EDF a néanmoins fourni « deux exemples de formulaire type de collecte de données des prospects mis à disposition par le courtier en données », mais la Commission a relevé que ces formulaires ne mentionnaient « aucune liste de partenaires - incluant EDF ». De plus, la CNIL a considéré que les mesures prises par EDF pour s’assurer que le consentement était valablement obtenu étaient « insuffisantes », car la société se contentait d’« échanges informels » et d’un engagement contractuel à respecter la législation, mais elle n’exerçait « aucun contrôle sur les formulaires de recueil utilisés » et ne réalisait pas d’audits.

Par ailleurs, la CNIL reproche également à EDF le manque de transparence de sa « charte de protection des données personnelles » :

• la source des données^[2], concernant les opérations de prospection par courrier (papier), n’était pas « suffisamment précise », car le document indiquait que les données étaient collectées auprès d’un « organisme spécialisé dans l’enrichissement de données » ;
• la durée de conservation des données était « vague et imprécise », car le document indiquait, par exemple pour les utilisateurs d’un compteur Linky, que les données étaient conservées « pendant la durée nécessaire à leur traitement selon la finalité qui a été fixée » ;
• la base légale de chaque traitement n’était pas indiquée.

Enfin, la CNIL reproche également de nombreux manquements de sécurité, notamment l’utilisation de la fonction de hachage MD5^[3] pour conserver les mots de passe des clients « prime énergie » et l’utilisation de la fonction de hachage SHA-256 sans sel^[4] pour conserver 20% des mots de passe des clients d’EDF, « EDF.FR ».

Une amende de 600 000 euros a été prononcée à l’encontre d’EDF, soit 0,0007 % de son chiffre d’affaires.

Lire :

• La décision de la CNIL n° SAN-2022-021 du 24 novembre 2022 concernant la société ÉLECTRICITÉ DE FRANCE

Ma réaction à cette décision

Après TOTAL^[5] et ACCOR^[6], c’est au tour d’EDF d’être sanctionné pour de la prospection commerciale. La CNIL semble faire de la prospection commerciale sa priorité de l’année 2022. On peut toutefois douter de l’efficacité de ces procédures, car les sanctions sont bien trop faibles. 600 000 € représente une goutte d’eau lorsqu’on réalise un chiffre d’affaires de 84 milliards d’euros.

En lisant cette délibération, on se rend vite compte qu’il y a un « éléphant dans la pièce » : les courtiers en données. Bien que leur cœur de métier soit le traitement de données personnelles, la CNIL ne s’est, pour le moment et à ma connaissance, jamais attaquée publiquement à ces sociétés. On peut pourtant douter de la licéité de beaucoup de leurs traitements, réalisés, pour la plupart, discrètement, sans que les personnes s’en rendent compte et sans même qu’ils connaissaient leur existence. Ces sociétés devraient être la priorité de la Commission, car ce sont elles qui alimentent les entreprises traditionnelles comme EDF.

Enfin, je ne peux pas ne pas mentionner certains arguments mis en avant par EDF pour tenter de se justifier. Concernant les durées de conservation « vagues et imprécises » par exemple, EDF ose indiquer que « la société procédait, à la date du contrôle en ligne, à une large refonte des durées de conservation ». Oui, comme par hasard, le jour du contrôle, ils étaient justement en train de les réétudier. EDF « considère qu’il n’était donc pas possible d’indiquer l’ensemble des durées de conservation, puisque celles-ci étaient en cours de revue et de modification ». Je ne sais pas vous, mais moi j’appelle ça se foutre de la gueule du monde, enfin surtout de la CNIL.