Prospection électorale et données personnelles : l’éclairage du Conseil d’état
À l’approche des élections municipales, vous envisagez une campagne ciblée pour toucher vos électeurs ? Attention : le traitement de données personnelles à des fins de prospection électorale est strictement encadré. La récente décision du Conseil d’État (12 avril 2025), confirmant une sanction de la CNIL contre l’association Reconquête, en fournit une illustration précieuse.
Voici les 5 grandes questions que tout candidat pourrait se poser avant de collecter ou utiliser des données électorales.
1. Puis-je recourir à un prestataire pour ma prospection électorale ?
Oui, mais… Vous restez responsable du traitement au sens du RGPD. Cela signifie que même si la prospection est techniquement confiée à un prestataire (call-center, imprimeur, agence web…), vous décidez des finalités et des moyens du traitement.
Dans l’affaire Reconquête, l’association avait confié l’envoi de mails et de SMS à des sous-traitants. Le Conseil d’État a confirmé qu’elle restait pleinement responsable, car elle organisait la campagne et pilotait les opérations.
2. Quelles précautions dois-je prendre en amont de la prospection ?
Informer, encadrer, documenter.
- Informez les personnes de manière claire, accessible et transparente (article 13 du RGPD) sur l’utilisation de leurs données.
- Encadrez contractuellement vos sous-traitants.
- Tenez à jour votre registre des traitements.
- Évaluez si une analyse d’impact (PIA) est nécessaire.
- Prévoyez les modalités d’exercice des droits des personnes (accès, opposition, effacement…).
Dans la décision du Conseil d’État ci-dessus évoquée, la CNIL a reproché à Reconquête de ne pas avoir suffisamment informé les personnes concernées sur la collecte de leurs données, notamment dans le cadre d’opérations postales massives.
3. Puis-je traiter les données de sympathisants, donateurs ou électeurs sans information explicite ?
Non. Le RGPD impose une obligation d’information préalable. Sans cela, même une base de données « politique » ou « militante » n’est pas licite.
La CNIL a sanctionné l’association Reconquête pour manquements aux articles 12 à 14 du RGPD. Ces articles exigent d’informer les personnes, y compris si les données ont été collectées indirectement (ex. : via un partenaire ou un achat de base).
4. Puis-je refuser l’effacement des données des électeurs ?
Pas sans motif légitime. Les électeurs peuvent exercer leur droit à l’effacement (article 17 RGPD), notamment après la fin de la campagne. Vous devez motiver un éventuel refus (ex. : obligation légale de conservation, contentieux en cours…).
Reconquête a été sanctionnée pour ne pas avoir répondu aux demandes d’effacement de données, en violation de l’article 17.
5. En cas d’infraction, la CNIL peut-elle me sanctionner rapidement sans passer par une longue procédure ?
Oui. La CNIL peut recourir à la procédure simplifiée (article 22-1 de la loi de 1978) .
La procédure de sanction simplifiée est une méthode de traitement accéléré pour les dossiers de non-conformité jugés simples. Elle est appliquée lorsque :
- Le dossier est simple,
- Il existe une jurisprudence établie,
- L’amende envisagée n’excède pas 20 000 €.
Dans l’affaire Reconquête, la CNIL a engagé une procédure simplifiée, validée par le Conseil d’État, jugeant l’affaire non complexe malgré le nombre de données concernées.
En résumé :
La communication politique numérique n’échappe pas aux règles du RGPD. À défaut, vous vous exposez à des amendes, même par voie simplifiée.