REU et données sensibles : l’avis CNIL qui sécurise les listes électorales

1. Objet de la délibération de la CNIL sur le répertoire électoral unique

1.1 La délibération no 2026-020 du 5 mars 2026 de la Commission nationale de l’informatique et des libertés (CNIL), publiée au Journal officiel de la République française du 13 juin 2026, porte avis sur un projet de décret d’application de l’article L. 37 du code électoral et modifiant diverses dispositions relatives au traitement automatisé de données à caractère personnel permettant la gestion du répertoire électoral unique (REU).

1.2 La saisine émane du ministère de l’intérieur et de l’Institut national de la statistique et des études économiques (INSEE), sur le fondement de l’article 8-I (4o a) de la loi no 78-17 du 6 janvier 1978 modifiée. Le projet de décret vise notamment l’intégration dans le REU de données relatives aux bénéficiaires d’une ordonnance judiciaire de protection et aux personnes frappées d’une interdiction de droit de vote, ainsi que l’abrogation de mesures obsolètes et l’adaptation de dispositions concernant les outre-mer.

2. Nouvelles données personnelles intégrées au REU

2.1 Les articles 3 et 4 du projet de décret modifient les articles 2 et 3 du décret no 2018-343 du 9 mai 2018 créant le traitement automatisé du REU. Ils prévoient l’enregistrement de nouvelles catégories de données pour :

2.1.1 Les personnes concernées par des ordonnances de protection délivrées au titre de l’article 515-11 du code civil ;

2.1.2 Les personnes faisant l’objet d’une peine entraînant la perte du droit de vote.

2.2 Les données enregistrées comprennent : l’état civil (nom, nom d’usage, prénoms, sexe, date et lieu de naissance), les dates de début et de fin de l’ordonnance de protection, les dates de début et de fin de la peine d’interdiction de droit de vote, la filiation (pour les personnes privées de droit de vote) et un identifiant non-signifiant permettant la correspondance avec le répertoire national d’identification des personnes physiques (RNIPP).

2.3 La CNIL considère que la collecte de ces nouvelles données est légitime et proportionnée au regard des finalités du traitement : protection des victimes (occultation de l’adresse sur les listes électorales) et prévention de l’inscription de personnes privées de droit de vote. Elle insiste toutefois sur la sensibilité particulière de ces données, qui concernent des personnes vulnérables et des infractions pénales.

3. Durées de conservation et apurement des données

3.1 L’article 4 du projet de décret prévoit que l’ensemble des données relatives aux ordonnances de protection et aux interdictions de droit de vote sont conservées « jusqu’au 31 décembre de l’année suivant la fin de l’ordonnance de protection ou de la peine d’interdiction de droit de vote ».

3.2 L’apurement des données est lancé manuellement chaque année par les techniciens de l’INSEE, ce qui conduit à une durée maximale de conservation inférieure à deux ans. Le ministère de l’intérieur et l’INSEE justifient cette durée par la nécessité de :

3.2.1 Appliquer l’occultation de l’adresse lorsque la décision de justice est postérieure à l’inscription sur les listes électorales ;

3.2.2 Appliquer l’interdiction de droit de vote en cas de tentative d’inscription postérieure à la condamnation.

3.3 La CNIL estime ces durées « proportionnées et adaptées » au temps nécessaire à l’administration, tout en invitant l’INSEE à « étudier la possibilité d’automatiser intégralement l’apurement des données au 31 décembre de chaque année » afin de réduire les risques liés aux traitements manuels.

4. Mesures de sécurité et authentification multifacteur

4.1 Le REU est décrit comme un traitement « à grande échelle » contenant une « quantité importante de données ». L’authentification en vigueur est une authentification monofacteur basée sur un facteur de connaissance (mot de passe).

4.2 La CNIL rappelle ses recommandations antérieures sur les mots de passe (délibération no 2017-012 du 19 janvier 2017, abrogée et remplacée par la recommandation no 2022-100 du 21 juillet 2022) et invite l’INSEE à poursuivre la mise en conformité sur cette base, notamment en :

4.2.1 Réservant la modification périodique des mots de passe aux seuls administrateurs ;

4.2.2 Renforçant les exigences de robustesse des secrets partagés.

4.3 Compte tenu de « l’accroissement de la menace cyber » et de la présence de données relatives à des condamnations pénales et à des personnes vulnérables protégées, la CNIL estime « nécessaire de mettre en œuvre une authentification multifacteur (MFA) pour l’ensemble des utilisateurs du REU hormis le service de consultation en ligne », conformément à sa recommandation no 2025-019 du 20 mars 2025.

4.4 La Commission souligne que le niveau de garantie des solutions d’authentification multifacteur doit être « adapté au niveau de risque » et prend acte de l’inscription du chiffrement des bases de données au programme de travail de l’INSEE pour 2026, ainsi que du projet d’outil centralisé de gestion des journaux.

5. Protection des données dès la conception et accès des chercheurs

5.1 Un fichier correspondant à la base de données du REU doit être mis à disposition des chercheurs chaque année via la plateforme sécurisée du centre d’accès sécurisé aux données (CASD). Ce projet n’est pas encore mis en œuvre, mais la CNIL anticipe les risques associés.

5.2 Elle invite l’INSEE à renforcer les techniques de pseudonymisation, « allant au-delà de la simple suppression des noms et prénoms », afin de limiter les risques de mésusage ou de violation de données. Cette exigence s’inscrit dans la logique de la protection des données dès la conception (privacy by design) prévue par le règlement (UE) 2016/679 (RGPD).

6. Gouvernance, accès et points de vigilance

6.1 La CNIL insiste sur la nécessité de limiter l’accès aux nouvelles données du REU aux seules « personnes strictement habilitées ». L’INSEE indique que l’identifiant non-signifiant et la table de correspondance avec le RNIPP ne seront accessibles qu’à un « nombre réduit d’administrateurs techniques », les mises à jour étant automatisées.

6.2 La Commission relève un « point de vigilance » majeur : l’intégration d’infractions pénales dans « un des plus vastes traitements mis en œuvre par l’administration ». Elle appelle à « toutes les mesures nécessaires en matière de sécurité et de confidentialité » pour protéger ces données, en particulier celles relatives aux bénéficiaires d’ordonnances de protection.