Les élections municipales de 2020 donnent lieu à d’importantes opérations de communication politique auprès des électeurs. Ces opérations, lorsqu’elles utilisent des données personnelles, doivent s’inscrire dans le respect des dispositions du RGPD. Le point avec la Cnil.
A la veille d’un scrutin comme les municipales, la prospection électorale peut être vécue comme intrusive, selon la Commission nationale de l’informatique et des libertés (Cnil), qui, déjà, reçoit les premiers signalements. Ceux-ci, « sont liés, à 60 %, à l’envoi de courriers électroniques. Suivis ensuite, dans une proportion moindre, par les courriers et les SMS », indique Nina Le Bonniec, juriste au service des affaires régaliennes et des collectivités territoriales au sein de la Direction de la conformité de la Cnil. Rien d’inquiétant cependant pour la Commission habituée à une recrudescence de signalements en période électorale. « Cela ne signifie pas forcément que les équipes et les candidats ne respectent pas le Règlement général sur la protection des données (RGPD). Mais il y a une sensibilité particulière des électeurs », selon Tiphaine Havel, conseillère pour les questions institutionnelles et parlementaires de la Cnil. Depuis la mise en oeuvre du RGPD, de nouvelles mesures renforcent la protection apportée au droit des citoyens. « En effet, de nouveaux droits sont apparus, comme ceux à la limitation et à la portabilité. Le premier va permettre de geler temporairement, dans certains cas, l’utilisation qui est faite de certaines données de la personne. Le second va lui permettre de récupérer, sous certaines conditions, une partie de ses données qui sont détenues par un organisme », détaille Nina Le Bonniec.
Autre évolution, l’obligation d’information qui a été renforcée, obligeant la personne qui réalise une communication politique à porter à la connaissance des personnes qu’elle démarche un certain nombre de mentions : identité, coordonnées, provenance des données si elles ne sont pas collectées directement auprès de la personne, énumération des droits des personnes et comment exercer ces droits, possibilité d’adresser une réclamation à la Cnil. Dans le cadre de sa mission d’accompagnement, celle-ci publie un ensemble de contenus à destination des élus sur les pages dédiées à la vie politique de son site Internet et va même plus loin. « Pour les municipales de 2020, nous avons envoyé un courrier aux principales formations politiques afin de leur rappeler leurs différentes obligations en matière de protection des données, précise Nina Le Bonniec. Nous les invitons aussi, après le scrutin, à restituer les principales pratiques qui auraient pu être constatées pendant ces élections. »
Pour une communication électorale respectueuse du RGPD, la Cnil présente six règles de base.
Lorsqu’un élu, candidat à sa propre réélection, utilise un fichier public auquel il a accès dans le cadre de ses fonctions institutionnelles à des fins de communication politique, il s’agit d’un détournement du fichier s’il n’est pas prévu que celui-ci puisse être utilisé pour de la communication politique. « Dans cette hypothèse, selon le Code pénal, c’est un détournement de finalité et donc une infraction pénale », confirme Nina Le Bonniec.
Dans le cas d’un fichier constitué dans le seul but d’informer les habitants de la commune, il peut être considéré comme disproportionné de collecter la date de naissance des personnes destinataires des informations. Les données collectées doivent nécessairement être utiles au regard de la finalité du fichier
Considérées comme sensibles, les données sur les opinions politiques de citoyens font l’objet d’une protection particulière dans le cadre du RGPD. Par principe, on ne peut traiter ces données sauf exception. Ces dernières sont listées à l’article 9.2 du RGPD. L’une d’entre elles est liée au recueil du consentement explicite des personnes.
Le RGPD a renforcé le droit des personnes, à savoir les droits d’accès, de rectification, d’effacement et d’opposition. Il a précisé d’autres droits tels que celui à la limitation du traitement, et en a créé de nouveaux comme le droit à la portabilité. Le RGPD a aussi mis à la charge des responsables de traitement une obligation d’information renforcée. « Respecter le droit des personnes consiste notamment à fournir à la personne un moyen simple de s’opposer au traitement, par exemple par un lien de désinscription dans le courrier électronique de prospection ou en utilisant le dispositif Stop prospection pour les SMS », explique Nina Le Bonniec.
Les données ne peuvent être conservées de manière illimitée. Il faut leur choisir une durée limitée de conservation. Nina Le Bonniec cite l’exemple d’un fichier constitué à des fins de communication politique pour les élections municipales La durée de conservation des données pourrait être celle de l’échéance de ces élections, date après laquelle le fichier devra être supprimé dans ce cas. La durée de conservation est déterminée par le responsable du traitement, en fonction des finalités du fichier.
Ceci afin de veiller à ce que seules les personnes autorisées ou habilitées aient accès à ce fichier. « Il convient de mettre en place des mesures de sécurité qui peuvent être assez simples pour certaines. Par exemple, bien choisir le champ “CCI” pour protéger l’anonymat des correspondants lors d’un mailing adressé à différentes personnes, ou bien choisir des mots de passe robustes… », conseille Nina Le Bonniec. Un guide relatif à la sécurité est disponible en ligne sur le site de la Cnil. Il détaille les mesures pouvant être mises en place facilement par le responsable de traitement.
Blandine Klaas
Inscrivez-vous dès maintenant sur le groupe Facebook Paroles de Maires pour obtenir des informations quotidiennes sur l'actualité de vos missions.
