Protection des données électorales et contrôle des accès aux fichiers administratifs

La CNIL rappelle que les articles 15 et 16 de la loi du 6 janvier 1978 imposent une déclaration ou un avis préalable pour les traitements automatisés d’informations nominatives. Plusieurs traitements préfectoraux avaient été mis en œuvre sans l’avis requis, notamment la déduplication des listes électorales et divers fichiers de gestion.

L’article 31 interdit, sauf accord exprès, la conservation de données faisant apparaître les opinions politiques. La création d’une liste d’abstentionnistes, susceptible de révéler une opinion politique et réalisée à l’insu des intéressés, excédait la norme simplifiée n° 24. La CNIL relève également que la police municipale ne figurait pas parmi les destinataires habilités du fichier des cartes grises, contrairement aux autorités judiciaires, à la police nationale et à la gendarmerie.

L’article 29 imposait enfin des précautions suffisantes pour préserver la sécurité et la confidentialité des informations. Malgré la suppression de la fonction litigieuse, l’arrêt des consultations non autorisées et l’engagement de régularisation, la Commission a adressé un avertissement en application de l’article 21-4° de la loi du 6 janvier 1978. Les articles L. 17, L. 20, L. 25 et R. 16 du Code électoral encadraient par ailleurs le contrôle préfectoral des listes électorales.

⬇️Télécharger la décision version officielle

Un contrôle a révélé dans une préfecture plusieurs traitements non déclarés, dont une fonction recensant les abstentionnistes et une opération détectant les inscriptions électorales multiples. La police municipale consultait également sans habilitation le fichier des cartes grises. Le préfet a demandé la suppression de la fonction, l’arrêt des consultations et la régularisation des traitements.

La Commission nationale de l’informatique et des libertés a effectué un contrôle dans une préfecture après avoir décidé une vérification auprès d’une mairie. Elle a constaté que plusieurs traitements automatisés avaient été mis en œuvre sans avis préalable, concernant notamment les associations, les cartes grises, les collectivités locales, la taxe d’apprentissage, la paie et les fournisseurs.

Le contrôle a révélé l’existence d’une fonction permettant d’établir une liste d’abstentionnistes à partir des listes électorales, ainsi qu’une opération de déduplication destinée à repérer les inscriptions multiples. La fonction pouvait révéler les opinions politiques des personnes concernées.

La police municipale consultait également le fichier des cartes grises alors qu’elle ne figurait pas parmi les autorités habilitées. Les mesures de sécurité ont été jugées insuffisantes. Le préfet a ensuite demandé la suppression de la fonction litigieuse, fait cesser les consultations et promis de régulariser les traitements.

• Identifier les traitements automatisés d’informations nominatives mis en œuvre
• Vérifier l’accomplissement de la déclaration ou de l’avis préalable requis
• Contrôler l’absence de données révélant des opinions politiques sans accord exprès
• Comparer les utilisateurs du fichier avec la liste des destinataires habilités
• Évaluer les mesures de sécurité et de confidentialité des données
• Prendre en compte les mesures correctrices intervenues après le contrôle

• Compte rendu de la visite effectuée par la Commission
• Interrogation du fichier électoral révélant la fonction de liste d’abstentionnistes
• Constat de l’absence d’avis préalable pour plusieurs traitements
• Constat des consultations du fichier des cartes grises par la police municipale
• Réponses écrites du responsable préfectoral et engagement de régularisation

La préfecture reçoit un avertissement en raison de traitements irréguliers, d’une fonction révélant potentiellement des opinions politiques et d’accès non habilités. Les mesures correctrices annoncées réduisent la persistance des manquements, sans effacer les irrégularités constatées lors du contrôle.

• Supprimer la fonction de constitution des listes d’abstentionnistes
• Cesser les accès municipaux non habilités au fichier des cartes grises
• Régulariser les traitements soumis à déclaration ou avis préalable
• Renforcer les mesures de sécurité et de confidentialité
• Vérifier les destinataires autorisés avant toute consultation de fichier

À faire

• Recenser tous les traitements automatisés d’informations nominatives
• Déposer les déclarations ou demandes d’avis nécessaires
• Supprimer toute fonction recensant les abstentionnistes
• Contrôler les habilitations des utilisateurs de chaque fichier
• Renforcer les mesures de confidentialité et de sécurité

À éviter

• Mettre en œuvre un traitement sans formalité préalable
• Conserver des données révélant une opinion politique sans accord exprès
• Autoriser la police municipale à consulter le fichier des cartes grises
• Utiliser une norme simplifiée au-delà de son champ d’application
• Négliger la vérification des destinataires habilités

La déclaration préalable des traitements automatisés

Les articles 15 et 16 de la loi du 6 janvier 1978 imposent une déclaration ou un avis préalable pour les traitements automatisés d’informations nominatives. La CNIL a relevé l’absence d’avis préalable pour plusieurs traitements préfectoraux, notamment la déduplication des listes électorales. L’engagement ultérieur de régularisation n’a pas supprimé le manquement constaté.

Les listes d’abstentionnistes et les données politiques

L’article 31 de la loi du 6 janvier 1978 interdit, sauf accord exprès, la conservation de données faisant apparaître les opinions politiques. La fonction permettant d’établir une liste d’abstentionnistes avait été créée à l’insu des intéressés et n’était pas autorisée par la norme simplifiée n° 24. Sa suppression a été demandée après le contrôle.

Les accès habilités au fichier des cartes grises

L’arrêté du 11 octobre 1983 n’habilitait pas la police municipale à consulter le fichier des cartes grises. Les autorités judiciaires, la police nationale et la gendarmerie pouvaient y accéder dans le cadre de leurs compétences. La CNIL a donc constaté l’absence d’autorisation des consultations effectuées par la police municipale.

Article 1 de la loi n° 78-17 du 6 janvier 1978, Articles 15, 16, 21-4°, 29 et 31 de la loi n° 78-17 du 6 janvier 1978, Articles L. 17, L. 20, L. 25 et R. 16 du Code électoral, Loi du 24 juin 1970 concernant la centralisation de la documentation relative à la circulation routière