La commission nationale de l'informatique et des libertés (CNIL) a mis en demeure les sociétés EDF et ENGIE de se conformer au droit en vigueur par deux délibérations du 30 décembre 2019, rendues publiques le 11 février 2020 principalement pour deux raisons : l'obligation de disposer d'une base légale (le consentement) et l'obligation de définir une durée de conservation de ces données proportionnée à la finalité du traitement. Pour corriger ces manquements, la CNIL enjoint aux sociétés de mettre en place de nouvelles procédures de recueil du consentement, par exemple sous forme d'une case à cocher par opération de traitement. Les modifications devront s'appliquer aux clients dont les données de consommation ont déjà été enregistrées. À défaut, il conviendra de supprimer ces dernières. La CNIL exige aussi des sociétés qu'elles revoient leurs politiques de durée de conservation et qu'elles purgent, au besoin, les données non conformes aux nouvelles règles. Conformément aux dispositions du code de l'énergie (article L. 341-4 et suivants), certaines données du compteur Linky sont collectées par défaut, autrement dit sans consentement de l'utilisateur, par le gestionnaire de réseau de distribution afin notamment de lui permettre de consulter gratuitement l'historique de ses consommations. Ces données, qui permettent de déterminer la consommation globale journalière du foyer, sont nécessaires au calcul de la consommation d'électricité et à la facturation des clients. Les autres données de consommation, plus fines (horaires et/ou à la demi-heure, appelées « courbe de charge »), qui permettent de déduire des informations précises sur les habitudes du foyer, ne sont en revanche pas collectées automatiquement par le gestionnaire de réseau de distribution. Elles ne sont collectées qu'avec l'accord de l'usager ou, de manière ponctuelle, lorsqu'elles sont nécessaires à l'accomplissement des missions de service public confiées au gestionnaire du réseau (par exemple, pour l'entretien et la maintenance du réseau). Le traitement de ces données est encadré par le Règlement Général sur la Protection des Données (RGPD) applicable depuis le 25 mai 2018, ainsi que par la loi informatique et libertés du 6 janvier 1978. En amont du traitement, le consentement explicite et écrit de l'utilisateur est imposé pour la transmission des données de consommations fines à des sociétés tierces notamment à des fins commerciales. La délivrance d'une information claire et précise est exigée sur les données collectées et les finalités poursuivies, conformément aux dispositions des articles 12 et suivants du RGPD. La CNIL a défini des règles strictes relatives à la gestion des compteurs intelligents dans sa délibération du 15 novembre 2012 (n° 2012-404) où elle préconise notamment que la courbe de charge ne puisse être collectée qu'avec le consentement exprès des personnes concernées, celui-ci devant être libre, éclairé et spécifique. Les recommandations en matière de protection des données collectées par les compteurs communicants adoptées par la Commission nationale informatique et des libertés le 20 avril 2017 ont en particulier été prises en compte, notamment dans le décret du 10 mai 2017 qui précise les modalités de mise à disposition des données de comptage à des tiers avec l'accord de l'usager concerné. La protection du système de gestion de ces informations personnelles respecte le référentiel de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) établi pour les compteurs communicants. Par ailleurs, la jurisprudence administrative a régulièrement considéré que les compteurs communicants respectent les règles relatives à la protection des données personnelles et la vie privée des consommateurs, à l'appui notamment des recommandations de la Commission nationale des libertés informatiques (CNIL). En aval, l'utilisateur, à travers son espace sécurisé, dispose de la possibilité de désactiver la relève des données de consommation fines et de demander leur suppression, conformément à l'article D. 224-27 du code de la consommation.