Données de campagne : connaître l’origine, limiter l’usage, organiser les droits

Lister les formulaires, boîtes de contact, listes d’inscription, espaces partagés, feuilles de calcul et outils de prestataires. Pour chaque ensemble : pourquoi existe-t-il, qui décide de son usage, qui y accède et où se trouve la copie principale ? Une base exportée dans un téléphone personnel reste un traitement à examiner ; changer de support ne fait pas disparaître la responsabilité.

Le registre interne doit permettre de comprendre les opérations réelles. Éviter les descriptions vagues comme « communication » : répondre à une demande, gérer une inscription et envoyer une lettre d’information correspondent à des finalités à distinguer. Le RGPD impose notamment finalité, minimisation, limitation de conservation et sécurité.

La CNIL rappelle que les fichiers administratifs constitués pour un service public ne peuvent, par principe, servir à la communication politique. Des régimes spécifiques existent pour certaines données, notamment les listes électorales. La présence d’un fichier dans le dossier d’un élu ne prouve donc pas que sa campagne peut l’utiliser.

Avant un import, demander le formulaire initial, les informations fournies aux personnes, la date et le contexte de collecte, les conditions de transmission et les droits déjà exercés. Si ces éléments manquent, isoler le fichier et suspendre son usage. Il ne faut pas améliorer sa présentation pour masquer une origine incertaine.

Les opinions politiques sont des données sensibles au sens de l’article 9 du RGPD. Une base légale de l’article 6 ne suffit pas, à elle seule, à autoriser leur traitement : le régime de l’article 9 doit également être respecté. Une étiquette déduite d’une visite de page ou d’une participation peut révéler une opinion sans que la personne l’ait déclarée.

La doctrine CNIL distingue la prospection ordinaire des techniques de ciblage ou de diffusion d’annonces politiques en ligne, soumises à des exigences supplémentaires depuis le 10 octobre 2025. Il faut qualifier le dispositif avant de l’utiliser. Un abonnement volontaire ne permet pas d’inférer librement des opinions ni de constituer des audiences individualisées.

L’information doit présenter notamment le responsable, les finalités, les destinataires, la base légale, la conservation et les droits ; en cas de collecte indirecte, elle précise aussi la source des données. L’article 12 du RGPD prévoit une réponse sans tarder et au plus tard un mois après réception. Une prolongation de deux mois est possible selon la complexité et le nombre de demandes, si la personne en est informée et reçoit les motifs dans le premier mois.

Désigner une boîte suivie et un responsable de réponse. Tester une demande de suppression comme un parcours réel : réception, vérification proportionnée de l’identité lorsque nécessaire, décision et confirmation. Répercuter l’opposition dans les outils concernés sans créer une nouvelle liste de diffusion. Conserver uniquement les éléments nécessaires pour respecter et démontrer le traitement de la demande.

Un contrat de sous-traitance conforme à l’article 28 encadre notamment les instructions, la confidentialité, la sécurité et le sort des données à la fin de la prestation. Identifier les sous-traitants et les éventuels transferts ; une marque connue ou un hébergement présenté comme « européen » ne remplace pas cet examen.

Préparer un tableau de conservation avant le scrutin : données encore utiles à une demande, justificatifs soumis à conservation, fichiers de prospection et sauvegardes. La CNIL indique que les données collectées pour une campagne doivent en principe être supprimées à son issue, sous réserve des autres finalités valablement établies. Il faut aussi organiser la suppression chez les prestataires.

Un courriel envoyé avec les destinataires visibles ou un lien de dossier rendu public peuvent constituer une violation de données. Faire remonter l’incident, préserver les faits utiles, interrompre l’exposition et évaluer ses conséquences. La procédure doit permettre au responsable de traitement de décider des notifications appropriées, sans attendre que toutes les investigations soient terminées.