3.1. Les listes de membres et de sympathisants
La principale source de données des partis politiques et des candidats constitue les listes de membres ou sympathisants établies au fil du temps lors de leurs activités.
L’article 9 du RGPD permet à « une fondation, une association ou un autre organisme à but non lucratif et poursuivant une finalité politique » de traiter ces données « dans le cadre des activités légitimes », « à condition que le traitement porte exclusivement sur les membres ou les anciens membres […] ou sur des personnes entretenant avec lui des contacts réguliers »[1] (au sujet du traitement de données de membres et de sympathisants, voir également ci-après, point 4.2.).
3.2. Les restrictions à la réutilisation des listes électorales
Dans le passé, les listes des électeurs constituaient une source de données à laquelle les partis politiques et les candidats pouvaient en principe avoir recours à des fins de prospection politique. Les données contenues dans ces listes comprennent le nom, les prénoms, le domicile, le lieu et la date de naissance des électeurs, et le cas échéant, la nationalité et le nom et prénoms du conjoint[2] (article 13 et 14 de la loi électorale).
En effet, avant la modification de loi électorale en 2022, l’article 20, alinéa 3, de la loi électorale du 18 février 2003 prévoyait que « tout citoyen peut […] demander par écrit une copie des listes [électorales] actualisées […]. Les données des citoyens contenues dans les listes ne peuvent pas être utilisées à des fins autres qu’électorales ».
Cette disposition permettait avant tout aux partis politiques[3] d’utiliser ces listes électorales « à des fins électorales », plus précisément pour la prospection politique, mais seulement pendant les périodes électorales.
Depuis 2022, l’alinéa 3 de l’article 20 de la loi électorale prévoit que « tout citoyen peut prendre inspection des listes actualisées ainsi que des pièces mentionnées ci-dessus au secrétariat de la commune jusque et y compris le trentième jour avant le jour des élections ». Ainsi, la disposition telle que modifiée ne permet plus d’obtenir une copie des listes électorales et par conséquent les listes ne peuvent plus être utilisées pour des finalités de prospection politique par les partis politiques. Au sujet de cette modification, la commission parlementaire explique dans son rapport que « eu égard aux règles applicables en matière de protection des données à caractère général et à la tendance générale qui va de plus en plus vers un renforcement de la protection des données à caractère personnel, le maintien du droit au profit de tout citoyen de demander une copie intégrale des listes électorales n’est plus approprié de nos jours ». Ledit rapport précise que le maintien du « droit pour le citoyen de prendre inspection de la liste électorale au secrétariat de la commune […] satisfait à lui seul déjà à la finalité électorale poursuivie »[4].
Accueillant favorablement cette modification, la CNPD précise dans son avis du 1er juillet 2022 au sujet de ladite modification et de la définition de la finalité électorale que
« La finalité de la tenue des listes électorales consiste notamment en la constatation de la qualité d’électeur des personnes physiques remplissant les conditions prévues par la loi électorale modifiée du 18 février 2003. La Commission nationale estime que le droit de prendre inspection des listes électorales rentre dans le cadre de cette finalité, notamment aux fins de vérifier l’exactitude des listes électorales, sans qu’il soit forcément nécessaire de prévoir, en plus, un droit d’en prendre copie. En supprimant la possibilité de demander une copie des listes électorales, le risque d’un traitement ultérieur incompatible avec la finalité électorale est réduit. »[5]
Par conséquent, dès lors que les partis politiques ne peuvent pas obtenir copie des listes électorales et que l’article modifié restreint les finalités « aux fins de vérifier l’exactitude des listes électorales », notamment par « la constatation de la qualité d’électeur des personnes physiques », les partis politiques ne peuvent plus utiliser les données obtenues dans le cadre de la consultation des listes à des fins de prospection politique[6].
3.3. Les restrictions à la réutilisation de listes obtenues dans d’autres contextes
Si les candidats et leurs partis politiques ont bien évidemment un souci légitime d’approcher les électeurs et de leur exposer leurs programmes dans le cadre de leur campagne électorale, il convient de rappeler qu’ils ne doivent pas utiliser à cette fin des fichiers qu’ils se seraient procurés en dehors de toute base légale ou réglementaire auprès d’organismes privés ou d’institutions publiques ou qu’ils auraient collectés pour des finalités différentes.
En effet, les partis politiques ou candidats pourraient être tentés d’utiliser des sources de données personnelles issues des activités d’institutions ou d’associations dans lesquelles ils sont actifs. Toutefois, le traitement ultérieur de données à caractère personnel pour d’autres finalités que celle(s) pour laquelle (lesquelles) ces données ont été collectées initialement n’est autorisé que si ce traitement ultérieur est compatible avec les finalités pour lesquelles les données à caractère personnel ont été collectées initialement, compte tenu du lien entre les finalités pour lesquelles elles ont été collectées et les finalités du traitement ultérieur envisagé.
Dès lors, dans la majorité des cas, la réutilisation de données à caractère personnel recueillies dans un autre contexte (fichier du personnel d’une administration ou d’une entreprise, données obtenues dans le cadre de l’exercice d’un mandat public, fichier clients d’une entreprise, liste des membres d’une association ou d’un syndicat, ...) n’est pas permise. Notamment, les associations à but non lucratif ne doivent communiquer la liste de leurs membres à des tiers sans le consentement de leurs membres. Outre le probable non-respect du principe de limitation des finalités, une telle réutilisation risque de rompre l’égalité entre les candidats.
3.4. Les limitations concernant l’utilisation de sources publiques
La collecte indirecte, sur la base de sources publiques, comme par exemple des informations publiées sur un annuaire en ligne, un site internet ou un réseau social à des fins électorales est en principe incompatible avec le principe de limitation des finalités.
Lorsqu’un parti politique ou un candidat entend recourir à un prestataire de services pour ses activités de promotion politique, celui-ci pourra utiliser des données personnelles collectées initialement pour des activités de marketing, pour autant que les personnes concernées ont exprimé un consentement libre et éclairé relatif à l’utilisation de leurs données personnelles à des fins de communication politique. Les acteurs actifs dans les campagnes électorales doivent par conséquent être particulièrement vigilants en recourant à des sous-traitants comme des revendeurs de données (« data brokers ») et des sociétés d’analyse de données (« data analytics companies »).
En ce qui concerne l’utilisation de données figurant sur les réseaux sociaux, l’EDPB a publié des lignes directrices sur le ciblage des utilisateurs de médias sociaux[7].
[1] Voir plus loin, concernant les conditions de licéité.
[2] Article 13 et 14 de la loi électorale.
[3] Cette possibilité, réservée principalement aux partis politiques, reflétait le rôle particulier que l’article 32bis de la Constitution réserve aux partis politiques dans le contexte électoral, en reconnaissant qu’ils « concourent à la formation de la volonté populaire et à l’expression du suffrage universel ».
[4] Projet de loi n° 7877, Rapport de la Commission des Institutions et de la Révision constitutionnelle, Doc. Parl. 7877/17, page 17.
[5] Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7877 portant modification : 1° de la loi électorale modifiée du 18 février 2003 ; 2° de la loi modifiée du 27 juillet 1991 sur les médias électroniques. Délibération n°28/AV12/2022 de la CNPD du 1er juillet 2022.
[6] Conformément au principe de la limitation des finalités au sens de l’article 5, paragraphe 1er, lettre b), du RGPD.
[7] Comité européen de la protection des données (EDPB), Lignes directrices 8/2020 du 13 avril 2021 sur le ciblage des utilisateurs de médias sociaux. Voir aussi, points 4.3. et 5.2.1. des lignes directrices.