Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement de données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu le code des postes et des communications électroniques, et notamment son article L.34-5 ;
Vu le code électoral, et notamment ses articles L. 28 et R. 16 ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu la loi n° 88-227 du 11 mars 1988 modifiée relative à la transparence financière de la vie politique ;
Vu la loi n° 90-55 du 15 janvier 1990 modifiée relative à la limitation des dépenses électorales et à la clarification du financement des activités politiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Après avoir entendu Mme Isabelle Falque-Pierrotin, commissaire, en son rapport et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Les partis ou groupements à caractère politique, élus ou candidats à des fonctions électives recourent à des traitements de données à caractère personnel pour gérer leurs fichiers de membres, de sympathisants ou de personnes s'étant mises en relation avec eux, organiser des élections internes ou réaliser des opérations de communication politique. Compte tenu du caractère sensible des données traitées, la Commission estime nécessaire de préciser les modalités selon lesquelles les principes de protection des données à caractère personnel doivent s'appliquer à ces traitements afin de garantir pleinement le respect des droits et libertés des personnes. Tel est l'objet de la présente recommandation, qui abroge et remplace la délibération du 3 décembre 1996.
Au regard de la loi, les partis ou groupements à caractère politique, élus et candidats sont responsables des traitements qu'ils mettent en œuvre et ce, quand bien même ils feraient appel à des prestataires extérieurs. A ce titre, ils doivent veiller au respect de l'ensemble des dispositions de la loi "informatique et libertés" du 6 janvier 1978 modifiée en août 2004 et, en particulier, celles prévues à l'article 8 qui garantit une protection spécifique au traitement des données relatives aux opinions politiques des personnes.
Lorsque ces traitements sont susceptibles de faire apparaître les opinions politiques, réelles ou supposées, des personnes, la loi impose le recueil de leur consentement écrit. L'ensemble des traitements mis en œuvre par un parti, un groupement à caractère politique, un élu ou un candidat doit respecter les conditions suivantes en manière d'information des personnes, d'exercice de droits des personnes et de confidentialité des informations traitées.
Ces mentions doivent figurer sur les bulletins d'adhésion et sur l'ensemble des supports (tracts, pages web, etc.) permettant un recueil de données à caractère personnel. En outre, les sites web peuvent utilement comporter une rubrique « informatique et libertés/ protection des données personnelles » accessible dès la page d'accueil.
Les personnes doivent pouvoir exercer facilement, et dans des délais rapides, les droits qui leur sont reconnus par la loi. En particulier, le droit :
L'exercice de ces droits doit être facilité par la mise en place d'une adresse postale ou d'une adresse de courrier électronique spécifiquement dédiée à cet effet dont l'existence aura été portée clairement à la connaissance des personnes intéressées sur les différents supports de collecte des données. Enfin, les données recueillies ne peuvent être cédées à des tiers, sauf accord écrit des personnes concernées.
La loi impose une obligation de sécurité qui doit conduire le responsable du traitement à prendre toutes précautions utiles pour empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès. La Commission appelle l'attention des élus, candidats, partis ou groupements à caractère politique sur le respect de cette obligation, en particulier au regard de la nature sensible des données collectées.
Ainsi, la Commission recommande que l'accès aux fichiers, et la communication éventuelle des listes des adhérents, soient réservés aux seuls responsables du parti. En effet, eux seuls peuvent, dans le cadre de leur fonction au plan national ou local, légitimement y prétendre, aux côtés des personnels administratifs habilités à gérer ces traitements.
Les conditions de ces accès devraient être précisées dans les statuts du parti ou du groupement à caractère politique.
Un parti, un groupement à caractère politique, un élu ou un candidat peut utiliser, à des fins de communication politique, les fichiers qu'il détient dès lors que les données ont été collectées en conformité avec les principes rappelés ci-dessus et sous réserve de permettre aux personnes démarchées de s'opposer à tout moment à la réception de nouveaux messages et de se faire radier, le cas échéant, du fichier utilisé.
Les fichiers mis en œuvre dans les administrations et les collectivités locales ne peuvent être utilisés que pour les seules finalités pour lesquelles ils ont été constitués dans le cadre des missions de service public qui leur sont imparties. Toute autre utilisation est susceptible de constituer un détournement de finalité, constitutive d'une infraction pénale. Dès lors, l'utilisation de ces fichiers à des fins de communication politique ne peut être admise. Ainsi, à titre d'exemple, les registres d'état civil, les fichiers de taxes et redevances, les fichiers d'aide sociale, les fichiers de parents d'élèves, les adresses de courrier électronique collectées à partir d'un site web institutionnel et, d'une façon générale, les fichiers d'administrés et d'usagers ne peuvent en aucun cas être utilisés à des fins de communication politique.
Aux termes de l'article L. 28 du code électoral, tout électeur, tout candidat et tout parti ou groupement politique peut prendre communication et copie de la liste électorale auprès des communes concernées, à la condition de ne pas en faire un usage commercial. Cette disposition n'interdit pas aux élus, candidats ainsi qu'aux partis et groupements politiques, d'utiliser les informations issues des listes électorales à des fins de recherche de moyens de financement. Il est possible d'opérer, à partir des listes électorales obtenues, des extractions en fonction de l'âge ou du bureau de vote de rattachement des électeurs afin d'effectuer une opération de communication politique ciblée. En revanche, la Commission estime qu'un traitement consistant à opérer des tris sur la base de la consonance du nom des électeurs, sur leur département ou leur lieu de naissance afin de s'adresser à eux en raison de leur appartenance, réelle ou supposée, à telle communauté ethnique ou religieuse, ne constitue pas, au regard des articles 6 et 8 de la loi, une collecte loyale et licite de données. Un tel traitement doit donc être proscrit car comportant un risque de sélection et de discrimination susceptible de porter atteinte aux droits et libertés des personnes. La Commission recommande que tout courrier adressé à un électeur à partir de la liste électorale indique l'origine des informations utilisées pour le lui faire parvenir.
Seuls les fichiers loués ou cédés à des fins de prospection commerciale (fichiers de clients ou de prospects) peuvent être utilisés par un candidat, un élu ou un parti politique à des fins de communication politique.
Ainsi, les fichiers de gestion interne (par exemple, les fichiers de gestion et de paie du personnel) ne peuvent être utilisés à des fins de communication politique.
L'élu, le candidat ou le parti ou le groupement à caractère politique est responsable du traitement mis en œuvre dans le cadre d'une opération de prospection politique, quand bien même l'organisation de cette campagne ne le conduit pas à traiter directement les données à caractère personnel des personnes démarchées, c'est-à-dire lorsqu'il fait appel aux services de sociétés extérieures qui gèrent elles-mêmes l'organisation et la réalisation technique de l'opération de prospection.
A ce titre, il doit procéder à la déclaration du traitement à la CNIL et s'assurer, notamment par l'insertion de clauses spécifiques dans le contrat de location du fichier dont l'utilisation est envisagée, que les personnes ont été informées de l'utilisation à des fins de prospection politique de leurs données et des droits qui leur sont ouverts au titre de la loi "informatique et libertés". Une sélection des personnes à démarcher, notamment sur la base de leur centre d'intérêt (par exemple, la politique), de leur âge ou de leur résidence géographique est possible à la condition qu'elle ne se base pas sur la consonance des noms des personnes ou sur leur lieu de naissance et qu'elle ne fasse pas apparaître, directement ou indirectement, les origines raciales, ou ethniques ou les opinions politiques, réelles ou supposées, des personnes concernées.
La Commission recommande que les personnes soient averties, lors du recueil de leurs données par le prestataire détenteur du fichier dont l'utilisation est envisagée, de la possible utilisation de leurs données à des fins de prospection politique.
concernant l'organisation d'opérations de prospection par voie électronique,
La loi pour la confiance dans l'économie numérique du 21 juin 2004 a posé le principe du consentement préalable des personnes concernant la réception de messages de « prospection directe », entendu au sens de commerciale, fournis notamment au moyen de courriers électroniques, mais n'a pas abordé le cas de la prospection politique.
Face au silence de la loi, la Commission estime que ce régime devrait s'appliquer aux opérations de prospection politique opérées par voie électronique et, dès lors, appelle l'attention du Gouvernement sur l'intérêt qui s'attacherait à ce qu'une disposition législative vienne préciser le régime juridique applicable aux opérations de prospection politique opérées par voie électronique.
La Commission estime dès à présent que les opérations de prospection politiques opérées par courrier électronique devraient n'utiliser que des bases de données de personnes ayant exprimé leur consentement à être démarchées, dits fichiers « opt-in ». (exemple de recueil de consentement par une case à cocher : « Oui, j'accepte de recevoir par e-mail des sollicitations de vos partenaires commerciaux, d'associations ou de groupements à caractère politique »).
Prenant acte du fait que les personnes dont les adresses de courrier électronique sont aujourd'hui contenues dans les fichiers de prospection commerciale n'ont pas été informées de la possible utilisation de leurs données à des fins de prospection politique, la Commission recommande que les gestionnaires de bases de données souhaitant proposer la location de leur base à des fins de prospection politique adressent un courrier électronique à chacune des personnes présentes dans leur base pour les informer que leur adresse électronique est dorénavant susceptible d'être utilisée à des fins de prospection politique et de la faculté qu'elles ont de s'y opposer.
La Commission préconise que le message envoyé aux personnes sollicitées, quel que soit le support utilisé, précise de façon claire et visible :
Un parti, un groupement à caractère politique, un élu ou un candidat ne peut traiter lui-même dans un fichier (type « liste rouge ») les données des personnes ne souhaitant plus être démarchées. En effet, la constitution d'un tel fichier pourrait révéler, directement ou indirectement, les opinions politiques des personnes qui y sont inscrites. Il revient donc aux prestataires de gérer le fichier des oppositions exprimées par les personnes, en évitant toute indication susceptible de révéler indirectement les opinions politiques des personnes, à savoir la campagne à l'origine de la demande de désinscription.
Au regard du caractère particulièrement intrusif de la prospection opérée par télécopieurs ou par automates d'appel, la Commission recommande que les candidats, élus ou partis et groupements à caractère politique s'abstiennent d'utiliser ces moyens de communication pour effectuer une opération de prospection politique. La Commission relève que le format actuel des messages qui peuvent être envoyés sur les téléphones portables (SMS) ne permet généralement pas de fournir aux personnes démarchées les informations nécessaires dans le cadre d'une opération de prospection politique. En conséquence, elle préconise de ne pas utiliser ce moyen de communication afin de réaliser des opérations de communication politique.
Les partis, groupements à caractère politique, élus ou candidats peuvent vouloir organiser des opérations de parrainage leur permettant de s'adresser directement à une personne dont les données leur auront été communiquées par un tiers. Les opérations de parrainage constituant un mode de collecte indirecte de données, la Commission recommande qu'il soit adressé à la personne ainsi parrainée un seul et unique message l'informant de l'identité de la personne lui ayant transmis ses coordonnées (le parrain) et l'invitant à entrer en contact avec le parti, le groupement à caractère politique, l'élu ou le candidat à l'origine du message et, qu'à défaut, les coordonnées soient effacées à l'issue de cette opération (exemple : « Votre adresse nous a été transmise par M. X. Elle n‘est pas conservée et n'a été utilisée que pour vous faire parvenir ce message vous invitant à rentrer en contact avec nous en nous contactant à l'adresse suivante / par l'intermédiaire de notre site web).
