Protection des données : l’interdiction d’utiliser un fichier administratif pour une communication politique

L’article 5, paragraphe 1, b), du RGPD impose que les données soient collectées pour des finalités déterminées, explicites et légitimes et qu’elles ne soient pas ultérieurement traitées d’une manière incompatible avec ces finalités. La formation restreinte rappelle que, lorsqu’un traitement est encadré par un acte réglementaire, ses finalités sont limitées à celles autorisées par cet acte.

Le fichier concerné avait été institué par un décret afin de fournir aux agents publics un espace numérique sécurisé et des services personnalisés relatifs notamment aux pensions, à la paye et aux élections professionnelles. Il permettait seulement l’envoi de courriels liés à ces services administratifs. L’utilisation des adresses électroniques pour diffuser une vidéo et un message présentant et défendant une réforme des retraites constituait une communication politique, étrangère à la finalité réglementaire du traitement.

La responsabilité conjointe a été retenue sur le fondement des articles 4, point 7, et 26 du RGPD, chacun des organismes ayant participé à la détermination des finalités et des moyens du traitement. La CNIL a prononcé un rappel à l’ordre sur le fondement du III de l’article 20 de la loi du 6 janvier 1978. L’article 20, III, 7° exclut l’amende administrative lorsque le traitement est mis en œuvre par l’État. La décision a également été rendue publique, compte tenu du nombre considérable de personnes concernées et de la nécessité de sensibiliser les administrations à l’usage conforme des fichiers publics.

⬇️Télécharger la décision version officielle

Après l’envoi d’un courriel présentant une réforme des retraites à plus de deux millions d’agents publics, la CNIL a reçu 1 590 plaintes. Elle a considéré que les deux organismes ayant défini le contenu et assuré l’envoi étaient responsables conjoints du traitement. Le fichier administratif utilisé, destiné à des services relatifs notamment aux pensions et à la paye, ne pouvait servir à une communication politique. Deux rappels à l’ordre ont été prononcés.

La CNIL a reçu 1 590 plaintes après l’envoi, le 26 janvier 2023, d’un courriel à des agents publics actifs. Le message, signé par une autorité publique, comportait un lien vers une vidéo présentant une réforme des retraites et un support de présentation. Les adresses électroniques provenaient d’un fichier administratif recensant les agents actifs, utilisé pour 2 346 303 destinataires.

L’instruction a établi qu’un organisme avait demandé la communication, défini son contenu et souhaité obtenir des statistiques de consultation, tandis qu’un autre avait réalisé les opérations techniques d’envoi. La CNIL les a donc considérés comme responsables conjoints du traitement.

Le fichier avait été créé pour fournir des services personnalisés relatifs notamment aux pensions, à la paye et aux élections professionnelles. La formation restreinte a estimé que le message, présentant et défendant la réforme, constituait une communication politique incompatible avec cette finalité administrative. Elle a prononcé deux rappels à l’ordre et ordonné la publication de la décision.

• Identifier les organismes déterminant conjointement les finalités et les moyens
• Vérifier les finalités limitativement prévues par l’acte réglementaire
• Comparer l’usage concret des données avec leur finalité de collecte
• Qualifier le contenu diffusé au regard de sa portée politique
• Constater l’incompatibilité du traitement ultérieur avec la finalité initiale
• Évaluer le nombre de personnes concernées pour la mesure correctrice

• Échanges de courriels définissant le contenu et les destinataires
• Instructions relatives au format et aux statistiques de consultation
• Tests techniques et validation fonctionnelle de l’envoi massif
• Extraction du fichier recensant les agents publics actifs
• Courriel, vidéo et support présentant la réforme des retraites

Les responsables conjoints du traitement ont fait l’objet d’un rappel à l’ordre pour avoir utilisé un fichier administratif à une finalité politique étrangère à son cadre réglementaire. La décision est rendue publique, sans amende administrative en raison de la mise en œuvre du traitement par l’État.

• Exclusion de toute communication politique via le fichier administratif
• Respect strict des finalités fixées par le décret constitutif
• Documentation préalable des finalités et moyens du traitement
• Vérification du contenu, du format et des destinataires
• Anticipation des risques liés aux traitements massifs

À faire

• Identifier précisément la finalité réglementaire du fichier
• Vérifier la compatibilité du message avec cette finalité
• Documenter les rôles respectifs des responsables du traitement
• Contrôler les destinataires avant tout envoi massif
• Conserver les échanges et validations techniques

À éviter

• Utiliser un fichier administratif à des fins politiques
• Élargir une finalité fixée par décret
• Confondre information administrative et communication persuasive
• Envoyer un contenu politique hors des canaux prévus
• Négliger le risque lié au volume de destinataires

La responsabilité conjointe au sens du RGPD

Les articles 4, point 7, et 26 du RGPD qualifient de responsables conjoints les organismes qui déterminent ensemble les finalités et les moyens d’un traitement. La formation restreinte a retenu cette qualification parce que l’un avait défini l’objectif et le contenu de la communication, tandis que l’autre avait participé à sa mise en œuvre technique et utilisé le fichier administratif.

Le principe de finalité des données administratives

L’article 5, paragraphe 1, b), du RGPD interdit un traitement ultérieur incompatible avec les finalités de collecte. Lorsque ces finalités sont fixées par un acte réglementaire, elles ne peuvent être étendues. Le fichier permettait des communications personnalisées relatives aux services administratifs prévus par le décret, mais non la diffusion d’une communication politique présentant et défendant une réforme des retraites.

Le rappel à l’ordre applicable à l’État

Le III de l’article 20 de la loi du 6 janvier 1978 permet à la formation restreinte de prononcer un rappel à l’ordre après une procédure contradictoire. Son 7° exclut l’amende administrative lorsque le traitement est mis en œuvre par l’État. Le nombre très élevé de destinataires et la nécessité de sensibiliser les administrations ont justifié le rappel à l’ordre et la publicité de la décision.

Article 4, point 7, du règlement (UE) 2016/679, Article 5, paragraphe 1, b), du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 26 du règlement (UE) 2016/679, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40, III, du décret n° 2019-536 du 29 mai 2019