Les outils de communication politique

Lorsqu’il implique un traitement de données personnelles, le recours à des techniques de ciblage ou de diffusion de publicité à caractère politique en ligne doit être conforme au RPP et au RGPD.

Qu’est-ce qu’une technique de ciblage et de diffusion de publicité à caractère politique ?

Le RPP prévoit des règles strictes pour les publicités impliquant le ciblage et la diffusion de la publicité à caractère politique en ligne (réseaux sociaux, messagerie instantanée, courriels, etc.) reposant sur le traitement de données personnelles.

Ces règles ne sont pas applicables pour les communications des partis avec leurs membres, anciens membres ou abonnés.

Les techniques de ciblage :

• sont utilisées pour adresser une annonce publicitaire à une personne ou un groupe de personnes spécifiques ou pour les exclure, sur la base d’un traitement de données personnelles automatisé ou non ;
   
• ne consistent pas nécessairement en la prédiction d’un comportement ou d’un choix des personnes et ne se limitent pas à la notion de profilage au sens du RGPD.

Exemples :

Un candidat utilisant un logiciel pour réaliser un tri en fonction de la zone géographique afin d’envoyer un courriel à des personnes résidant dans une zone où son parti a réalisé de bons scores.

Un candidat envoyant un message sur un réseau social uniquement à des personnes appartenant à une certaine catégorie socio-professionnelle.

Les techniques de diffusion d’annonce à caractère politique :

• sont utilisées pour accroître la circulation, la portée ou la visibilité d’une annonce publicitaire à caractère politique sur la base du traitement automatisé de données personnelles ;
   
• peuvent servir à diffuser une annonce auprès d’une personne spécifique ou d’un groupe de personnes spécifiques et donc reposer sur des techniques de ciblage ;
   
• impliquent généralement l’utilisation d’un algorithme.

Exemple de technique de diffusion d’annonce à caractère politique : un candidat utilisant une application basée sur un algorithme capable d’identifier des sympathisants potentiels pour envoyer des messages sur un réseau social.

Les obligations du responsable de traitement

Collecte directe des données

Lorsqu’il a recours à ces techniques (ciblage ou diffusion d’annonces en ligne), le responsable de traitement doit collecter les données directement auprès de la personne concernée.

En conséquence, il ne peut pas utiliser les données collectées en mairie (sur les listes électorales par exemple) ou des données personnelles accessibles en ligne, collectées par moissonnage (web scraping). De même, l’utilisation de données achetées ou louées auprès d’un courtier en données (data broker) apparaît exclue.

Recueil du consentement obligatoire

Pour la mise en œuvre de traitements de données impliquant l’utilisation des techniques de ciblage ou de diffusion d’annonces, le responsable de traitement doit collecter le consentement des personnes concernées.

Ce consentement doit être collecté dans le respect des dispositions du RGPD et être libre, éclairé et univoque.

En particulier, le responsable de traitement doit veiller à ce que :

• la personne concernée ne soit pas sollicitée si elle a déjà indiqué par des moyens automatisés qu'elle ne consentait pas au traitement de données à des fins de publicité à caractère politique (à moins que la demande ne soit justifiée par un changement substantiel de circonstances) ;
   
• la personne concernée, qui ne donne pas son consentement, se voit proposer une ou plusieurs alternatives équivalentes pour utiliser le service en ligne sans recevoir de publicité à caractère politique.

Interdiction de cibler les personnes dont l’âge est inférieur d’au moins un an à l’âge électoral

Le RPP précise que ces techniques ne peuvent pas être utilisées pour cibler les personnes dont l’âge est inférieur d’au moins un an à l’âge électoral (en France, 17 ans).

Tenue d’un registre spécifique

Les responsables de traitement sont désormais dans l’obligation de tenir un registre spécifique pour l’utilisation de ces techniques dans le cadre de la publicité politique. Ce registre devra notamment décrire l'utilisation qui est faite de ces techniques et des mécanismes et paramètres pertinents appliqués (catégories de données personnelles utilisées pour le ciblage, utilisation de systèmes d’IA etc.).

Mentions d’information spécifiques

Le règlement a pour effet d’imposer aux acteurs de la publicité politique de nouvelles règles en matière d’information des personnes. Ces règles sont détaillées dans la partie sur les règles générales pour les traitements de données dans le cadre de la publicité à caractère politique.

D’autres techniques de prospection politique en ligne (par exemple l’envoi d’une lettre d’information à des abonnés ayant volontairement fourni leur adresse mail à cette fin) ou encore des techniques de prospection politique hors ligne (par exemple l’envoi postal d’informations à des personnes inscrites dans une base d’adhérents ou des appels téléphoniques à des contacts ayant demandé à être informés d’événements) peuvent être mises en œuvre.

Ces techniques sont exclues du champ d’application du RPP, mais doivent être conforme au RGPD car elles reposent sur le traitement des données personnelles.

Bases légales

Seules deux bases légales apparaissent possibles pour la prospection politique (hors utilisation de techniques de ciblage et de diffusion d’annonce à caractère politique en ligne) : le consentement des personnes ou l’intérêt légitime de l’organisme qui va traiter les données.

Si les données ont été collectées directement, ce consentement peut, par exemple, se matérialiser par une case à cocher sur le formulaire :

 J’accepte de recevoir des informations de la part de [nom du parti ou/et de tel candidat].

À défaut de recueillir un consentement valable (libre, spécifique, éclairé et univoque), le responsable du traitement pourra mettre en avant son intérêt légitime à procéder à un tel traitement sous réserve de remplir certaines conditions cumulatives.

Il devra ainsi :

• justifier du respect de la condition de « nécessité » en s’assurant notamment qu’il n’existe pas de moyen moins intrusif pour la vie privée d’atteindre cet objectif que de mettre en œuvre le traitement envisagé ;
   
• déterminer de façon suffisamment claire et précise l’intérêt qu’il poursuit, qui devra être réel et présent, et non fictif ;
   
• s’assurer que le traitement ne heurte pas les droits et les intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables. En pratique, cela revient à répondre à la question suivante : les personnes concernées pouvaient-elles s’attendre à un tel traitement et à ses conséquences (dans ce cas, la collecte de leurs données à des fins de démarchage politique) ? Pour y répondre, le responsable de traitement doit opérer une mise en balance entre les droits et intérêts en cause ;
   
• mettre en œuvre des mesures compensatoires ou additionnelles pour limiter les impacts du traitement sur les personnes concernées.

Collecte des données

Les cas de collecte

En pratique, les données sont collectées de plusieurs manières :

• le citoyen a lui-même communiqué volontairement ses données de contact (adresse email, numéro de téléphone, etc.) à un candidat ou à un parti politique ;
   
• le citoyen a renseigné ses données de contact dans une base de données établie par un prestataire à des fins commerciales ou politiques, laquelle a été achetée ou louée par le candidat ou le parti politique auteur du message ;
   
• la collecte des données a été faite par l’intermédiaire d’un tiers (parrainage) ;
   
• la réutilisation de données publiquement accessibles.
   

Les règles à respecter en cas de collecte indirecte

Lors d’une collecte indirecte, les partis, élus ou candidats récupèrent les données issues d’un premier traitement.

La CNIL considère que la réutilisation, à l’occasion d’une nouvelle élection, de données déjà utilisées à des fins de prospection pour une élection spécifique, constitue un nouveau traitement de données.

Ainsi les conditions suivantes doivent être réunies :

1. Au moment de la collecte initiale : les clients et prospects ont été avertis de la possible réutilisation de leurs données à des fins de communication politique.
    
2. L’origine des données a été vérifiée : seuls peuvent être utilisés les fichiers de clients ou de prospects et non un fichier de gestion des ressources humaines, comme le fichier de gestion de la paye, un fichier administratif ou encore l’annuaire interne d’un organisme, par exemple.
    
3. Aucun tri n’est opéré sur la base de la consonance du nom des personnes concernées ou de leur lieu de naissance, qui laisserait apparaître leur origine ethnique.

En tout état de cause, le citoyen dispose du droit de s’opposer à l’utilisation de ses données de contact à des fins de communication politique ou peut, à tout moment, retirer son consentement, sans avoir à justifier des raisons de sa démarche.
 

Bonnes pratiques

Les modalités de mise en œuvre du traitement dont sont issues les données ne sont pas nécessairement connues des partis politiques ni adaptées à la prospection politique (s’agissant notamment de l’information délivrée, du consentement à la prospection par des tiers partenaires ou du droit de s’y opposer).

• Exemple 1 : un citoyen a indiqué son numéro de téléphone sur un formulaire à destination d’un parti politique ou d’un candidat.
  
  La CNIL recommande, de formaliser le consentement de la personne à l’utilisation de son numéro téléphone pour de la prospection politique, par exemple, par une case à cocher sur le formulaire :
  
  J’accepte de recevoir des informations de la part de [nom du parti ou/et de tel candidat].
  ​​​​​​​
• Exemple 2 : un candidat ou un parti politique a acheté ou loué une base de données contenant des numéros de téléphone ou des adresses mails, ou le numéro a été transmis à l’occasion d’un parrainage.
  
  La CNIL recommande qu’un premier message soit adressé aux personnes concernées afin de recueillir leur consentement à être démarchées, par courriel, SMS/MMS ou appel téléphonique spécialement à des fins de communication politique.
  
  Dans le cas d’un appel téléphonique, ce consentement devrait également préciser une plage horaire pour recevoir de tels appels.
  
  Il pourrait se matérialiser de la manière suivante :
  
  J’accepte de recevoir par [moyen de communication] des informations ou des sollicitations à caractère politique, de [le cas échéant, préciser une plage horaire].

Le traitement de données sensibles

Lorsque les publicités impliquent des techniques de profilage, le traitement de données sensibles est interdit par le RPP. 

Dans les autres cas, pour envisager de traiter des données sensibles, le responsable de traitement devra :

• s’assurer qu’il peut justifier de l’une des exceptions prévues par le RGPD et la loi Informatique et Libertés ;
   
• le cas échéant, réaliser une analyse d’impact relative à la protection des données (AIPD), si besoin, soumise à consultation préalable de la CNIL.

Minimiser les données collectées

Comme pour tout traitement de données personnelles, la collecte de données dans le cadre de la publicité politique doit être réduite à ce qui est strictement nécessaire au regard de la finalité poursuivie.

Exemple : Si les données sont collectées pour ensuite être utilisées à des fins de démarchage téléphonique, il n’apparaît pas utile de collecter l’adresse postale de la personne.

Les sociétés utilisant des logiciels de démarchage doivent en particulier se montrer vigilantes pour ne pas collecter d’informations non pertinentes ou excessives, notamment si elles sont sensibles (par exemple des informations sur la santé, la religion ou l’orientation sexuelle des personnes).

Prévoir des durées de conservation adaptées

De manière générale, le parti politique, le candidat ou l’élu responsable de traitement doit conserver la maîtrise des données qu’il traite ou traitées pour son compte par son prestataire. Par exemple, les données collectées pour les besoins de la campagne électorale doivent en principe être supprimées à l’issue du scrutin, le candidat doit notamment s’assurer que l’intégralité des données concernant sa campagne pourra être supprimée, y compris les données conservées dans les bases de données du prestataire.

Les données des personnes ayant accepté que leurs informations soient utilisées à d’autres fins peuvent cependant être conservées au-delà de la période électorale.

Respecter les droits des personnes concernées, et les obligations d’’information

Quel que soit le mode de collecte (direct ou indirect) des données, il est essentiel que les personnes dont les données font l’objet d’un traitement par un parti, un élu ou un candidat puissent exercer leurs droits « Informatique et Libertés » à tout moment.

Concrètement, cela se traduit pour le responsable de traitement par :

• l’obligation de fournir aux personnes les informations sur le traitement de leurs données, qui doivent être concises, transparentes, compréhensibles et aisément accessibles, en des termes clairs et simples (notamment, en cas de collecte indirecte, le responsable de traitement est tenu de préciser la source des données) ;
   
• l’obligation de faciliter l’exercice des droits des personnes, par exemple en fournissant un moyen simple de s’opposer au traitement ou de retirer son consentement.

S’agissant de l’information des personnes :

Le RGPD impose au responsable de traitement d’informer les personnes concernées sur le traitement de leurs données, en énumérant certaines mentions obligatoires (art. 13 et 14 RGPD).

Le RPP impose quant à lui aux acteurs de la publicité politique de fournir des informations supplémentaires (art. 11, 12 et 19 RPP) en utilisant trois types de mention d’information différents, en fonction de la nature de la publicité politique :

• dans le cas d’une simple publicité à caractère politique, le responsable de traitement doit fournir une information conforme aux articles 11 et 12 du RPP ;
   
• dans le cas d’une publicité à caractère politique impliquant le traitement de données personnelles, le responsable de traitement doit fournir une information conforme aux articles 11 et 12 du RPP, en lien avec les articles 13 et 14 du RGPD ;
   
• dans le cas d’une publicité à caractère politique impliquant le traitement de données personnelles et l’utilisation de techniques de ciblage et de diffusion d’annonce à caractère politique, le responsable de traitement doit fournir une information conforme aux articles 11, 12 et 19 du RPP, en lien avec l’art. 13 du RGPD.

À cet égard, la CNIL met à disposition des responsables de traitement un tableau relatif à ces trois niveaux et aux mentions d’informations dans le cadre de la publicité politique ainsi que des informations générales sur les mentions d’information.

S’il y a lieu, réaliser une analyse d’impact relative à la protection des données (AIPD)

Dans certaines situations, une AIPD est obligataire avant la mise en œuvre du traitement. Pour la publicité politique ciblée, les traitements mis en œuvre sont susceptibles d’être des usages innovants (techniques de ciblage ou de diffusion), de se produire à large échelle voire de concerner des personnes vulnérables (mineurs) ou d’impliquer le traitement de données sensibles (opinion politique).