Les apps de suivi solaire collectent des données techniques, parfois de la géolocalisation et des identifiants d’équipements. Sans vigilance vous risquez le profilage énergétique, la revente de données ou une sanction CNIL. Ce guide vous donne une checklist pratique, les preuves à demander au fournisseur et des vérifications post‑installation pour agir immédiatement. Pour les problèmes de collecte et de perte de données, voir aussi monitoring solaire : comment résoudre une perte de données Wi‑Fi de production.
Pourquoi les apps de suivi solaire posent‑elles un risque pour la vie privée ?
Les applications métier collectent : production horaire, consommation, identifiants d’onduleur, horaires de présence, et parfois la position GPS. Ces données permettent le monitoring, la maintenance et l’optimisation. Mais elles peuvent aussi être corrélées (profilage énergétique), vendues ou exposées lors d’une fuite.
La géolocalisation est particulièrement sensible : un suivi continu peut révéler les habitudes de vie. Le RGPD exige une base légale claire (consentement explicite ou exécution du contrat) et des garanties techniques (chiffrement, minimisation). Référence pratique : recommandations CNIL sur permissions et géolocalisation et guide FranceNum pour l’évaluation de conformité. Pour vérifier des problèmes d’intégration et de compatibilité (ex. remontée Linky), consultez comment vérifier la compatibilité des applications de monitoring avec Linky et éviter les erreurs.
« La règle d’or est de toujours demander la preuve technique, pas seulement la promesse dans la politique. »
Anne Dupont, consultante en sécurité des données
Quels documents et preuves demander au fournisseur (checklist pré‑contrat)
Demandez ces éléments avant toute signature. Pour chaque item, utilisez la question prête à l’emploi indiquée.
- Registre des traitements ou résumé opérationnel
- Question modèle : « Pouvez‑vous fournir un extrait du registre des traitements décrivant les finalités liées à l’app ? »
- Preuve attendue : extrait signé/horodaté.
- Analyse d’impact (DPIA) si traitements à risque
- Question modèle : « Avez‑vous réalisé une DPIA pour ce service ? joignez‑la. »
- Preuve attendue : DPIA complète ou résumé des risques et mesures.
- Politique de confidentialité claire et localisée
- Question modèle : « Fournissez la politique de confidentialité et indiquez la base légale pour chaque finalité. »
- Contrat article 28 avec sous‑traitants
- Question modèle : « Fournissez les clauses article 28 et la liste des sous‑traitants concernés. »
- Localisation des serveurs et transferts hors UE
- Question modèle : « Où sont hébergées les données ? utilisez‑vous des SCC pour transferts hors UE ? »
- Liste des SDKs et prestataires tiers (analytics, pub, firmware)
- Question modèle : « Listez tous les SDKs intégrés (analytics, crash, monétisation). »
- Plan de réponse aux incidents et délais de notification
- Question modèle : « Quel est votre processus de notification en cas de violation et quels sont les délais ? »
7 vérifications techniques rapides à faire sur l’app (post‑installation)
Ces contrôles peuvent être réalisés par l’installateur ou un technicien en 15–30 minutes. Pour les erreurs courantes et procédures de dépannage applicatif, reportez‑vous à résoudre les erreurs fréquentes d’une application photovoltaïque mobile rapidement.
- Vérifiez les permissions demandées (iOS/Android)
- Assurez‑vous qu’elles sont proportionnées (ex. accès localisation uniquement si nécessaire). ✅
- Confirmez le chiffrement en transit et au repos
- Preuve : indication TLS (HTTPS), mention chiffrement au repos (AES) ou documentation technique. ✅
- Consultez la liste des transferts et logs
- Vérifiez durée de rétention des logs et qui y a accès. ⚠️
- Testez l’anonymisation/aggrégation possible
- Vérifiez si l’app propose d’agréger données de production par anonymisation.
- Contrôles d’accès aux dashboards
- Qui peut voir les données clients ? demandez une matrice des accès.
- Identifiez les SDKs actifs
- Si des analytics / pub sont présents, évaluez le risque de revente.
- Paramètres utilisateur de confidentialité
- Vérifiez qu’un mode « vie privée » ou la désactivation du partage existe.
Comment évaluer la conformité juridique (rapide)
Parcourez ces points sans être juriste.
- Base légale : vérifiez si la collecte repose sur le consentement explicite ou l’exécution du contrat.
- DPO / contact RGPD : l’éditeur doit fournir un contact pour les questions RGPD.
- Mentions obligatoires : finalités, durée de conservation, droits, transferts et droit d’opposition.
- DPIA : exigez une DPIA si traitement à risque élevé (suivi continu, géolocalisation).
- Clauses contractuelles : demandez les clauses article 28 et, en cas de transferts hors UE, les SCC (clauses contractuelles standard).
📝 À retenir
- Demandez des preuves écrites : DPIA, extrait du registre, schéma d’architecture, liste des SDKs.
- Sans preuves satisfaisantes, reportez le déploiement.
Scénario pratique : questionnaire modèle à envoyer au fournisseur
Copiez‑collez et envoyez ce texte en pré‑contrat : Pour des choix d’outils ou si vous gérez plusieurs installations, voir aussi quelle application pour gérer production solaire multi-sites d’un artisan.
- Fournissez l’extrait du registre des traitements lié à l’app.
- Avez‑vous réalisé une DPIA ? joignez le document.
- Où sont hébergées les données (pays, datacenter) ? utilisez‑vous SCC si hors UE ?
- Quelle est la durée de conservation des données de production et des logs ?
- Listez les SDKs et prestataires tiers intégrés et leurs finalités.
- Fournissez vos clauses article 28 et la liste des sous‑traitants.
- Quel est votre plan de notification en cas de violation et vos délais ?
- Qui a accès aux dashboards clients (noms de rôles) ? fournissez la matrice d’accès.
Que faire en cas de violation ou d’usage non déclaré ?
- Coupez les accès techniques et suspendez les intégrations concernées.
- Demandez un rapport d’incident détaillé et les mesures correctives.
- Si risque élevé pour les personnes, notifiez les personnes concernées.
- Alertez la CNIL si les conditions de notification sont remplies (72 heures pour la notification de la violation).
- Lancez un audit externe si la réponse du fournisseur est insuffisante.
Bonnes pratiques pour l’utilisateur et l’installateur
- Paramétrez l’app en mode minimum de collecte par défaut. 💡
- Formez vos équipes sur les droits des personnes (accès, suppression).
- Incluez une clause de conformité RGPD dans le contrat d’installation.
- Planifiez un audit annuel et une revue des sous‑traitants.
Glossaire rapide
- RGPD : règlement général sur la protection des données (2016/679).
- DPIA : analyse d’impact relative à la protection des données.
- Article 28 : obligations contractuelles du responsable envers ses sous‑traitants.
- SCC : clauses contractuelles standard pour les transferts hors UE.
- SDK : kit de développement tiers intégré à l’application.
FAQ
L’app a‑t‑elle besoin de ma localisation pour suivre la production ?
Pas forcément. La géolocalisation n’est justifiée que si elle sert une finalité (ex. corrélation météo). Demandez une justification technique.
Que demander pour vérifier qu’il n’y a pas de revente de mes données ?
Exigez la liste des finalités et des sous‑traitants et une clause contractuelle interdisant la revente sans consentement explicite.
Quid des transferts hors UE ?
Exigez la localisation des serveurs et l’application de SCC ou garanties équivalentes.
L’éditeur doit‑il faire une DPIA ?
Si le traitement présente un risque élevé (suivi continu, géoloc fine), oui. Demandez la preuve.
Que faire si la politique est floue ?
Demandez des précisions écrites et des preuves techniques. Si les réponses ne sont pas satisfaisantes, reportez le déploiement.
—
