Protection des fichiers nominatifs contre l’usage électoral non déclaré

La loi n° 78-17 du 6 janvier 1978 impose au responsable d’un traitement d’informer les personnes concernées des destinataires des informations recueillies, conformément à son article 27. L’article 29 exige également toutes les précautions utiles pour préserver la sécurité des données et empêcher leur communication à des tiers non autorisés. L’article 44 sanctionne le détournement des informations de leur finalité, y compris lors de la cession ou de la location de fichiers de prospection.

La Commission retient que la finalité déclarée d’un fichier doit être appréciée au regard de l’activité du détenteur. Un fichier constitué pour la prospection commerciale ne peut être utilisé à des fins de propagande électorale sans information adéquate des personnes et sans précautions suffisantes. Le détenteur demeure responsable du respect de cette finalité lors de la transmission à des tiers, y compris lorsque l’exploitation est matériellement effectuée par un prestataire.

Un avertissement est adressé au détenteur du fichier et au prestataire, sur le fondement de l’article 21, alinéa 4, de la loi. La bonne foi de l’utilisateur final est toutefois reconnue lorsqu’il a attiré l’attention des professionnels sur les exigences applicables. La régularisation ultérieure des déclarations et de l’information des personnes n’efface pas le manquement initial, mais constitue un élément pris en compte dans la procédure.

⬇️Télécharger la décision version officielle

Une société avait cédé à des fins de propagande électorale des adresses issues d’un fichier déclaré pour la prospection commerciale, sans informer les personnes de cette utilisation politique. La CNIL a estimé que cette finalité excédait l’activité déclarée et que des précautions suffisantes n’avaient pas été prises. Des avertissements ont été adressés au détenteur du fichier et au prestataire.

Une société avait déclaré auprès de la CNIL un fichier de clients et de prospects destiné à la prospection commerciale, en indiquant que les données pouvaient être cédées, louées ou échangées. Elle a reçu une commande d’adresses destinée à l’envoi de documents de propagande électorale et l’a transmise au prestataire chargé de gérer le fichier.

Les personnes enregistrées n’avaient pas été informées que leurs données pouvaient être cédées à des tiers. La CNIL a considéré que la finalité déclarée, appréciée au regard de l’activité commerciale de la société, excluait une utilisation politique. Le détenteur du fichier et le prestataire n’avaient pas pris les précautions nécessaires pour empêcher cet usage.

Après un premier avertissement, le détenteur a modifié sa déclaration et prévu l’information des personnes. L’utilisateur de la liste, qui avait attiré l’attention des professionnels sur les règles applicables, a été considéré comme de bonne foi. Un nouvel avertissement a été adressé au détenteur et au prestataire.

• Finalité initialement déclarée limitée à la prospection commerciale
• Absence d’information des prospects sur la cession à des tiers
• Utilisation du fichier pour une finalité politique non déclarée
• Défaut de précautions suffisantes lors de la transmission
• Responsabilité maintenue du détenteur du fichier
• Obligation du prestataire de limiter l’exploitation autorisée

• Déclaration de traitement déposée auprès de la CNIL
• Rubrique prévoyant la cession, location ou échange des données
• Commande d’adresses destinée à la propagande électorale
• Transmission de la commande au prestataire de gestion
• Nouvelle déclaration prévoyant les finalités politique et commerciale

Le détenteur du fichier et le prestataire reçoivent un nouvel avertissement en raison de l’utilisation non maîtrisée des données. La régularisation ultérieure du fichier ne supprime pas le manquement initial, tandis que l’utilisateur final bénéficie de la reconnaissance de sa bonne foi.

• Avertissement du détenteur du fichier
• Avertissement du prestataire de gestion
• Maintien de la responsabilité du détenteur lors des cessions
• Information obligatoire des personnes sur les destinataires
• Limitation des usages à la finalité déclarée

À faire

• Déclarer précisément toutes les finalités du traitement
• Informer les personnes des cessions à des tiers
• Contrôler la finalité de chaque commande d’adresses
• Encadrer contractuellement l’intervention des prestataires
• Conserver les alertes et vérifications effectuées

À éviter

• Utiliser un fichier commercial pour une propagande non déclarée
• Confondre déclaration administrative et information individuelle
• Transmettre des données sans contrôle de la finalité
• Laisser un prestataire exploiter librement le fichier
• Négliger une alerte relative à la conformité

L’information des personnes sur les destinataires des données

L’article 27 de la loi n° 78-17 du 6 janvier 1978 impose d’informer les personnes concernées des destinataires des informations nominatives recueillies. La Commission relève que le détenteur du fichier n’avait pas précisé aux prospects que leurs noms et adresses pouvaient être cédés à des tiers. La déclaration administrative autorisant la cession, la location ou l’échange ne supplée donc pas l’information effectivement due aux personnes enregistrées.

La limitation de la finalité d’un fichier nominatif

La finalité déclarée doit être interprétée au regard de l’objet social du détenteur. Un fichier constitué pour vendre des systèmes de protection correspond à une prospection commerciale et ne couvre pas l’utilisation par des partis politiques à des fins de propagande électorale. L’article 44 réprime le détournement des informations de leur finalité, notamment en cas de cession ou de location de fichiers de prospection.

La responsabilité du détenteur et du prestataire

En application de l’article 29, le responsable du traitement doit prendre toutes les précautions utiles pour empêcher la communication ou l’exploitation non autorisée des informations. Le détenteur reste responsable du respect de la finalité lors de la cession à des tiers, tandis que le prestataire doit limiter l’exploitation du fichier. La bonne foi de l’utilisateur final est retenue lorsqu’il a alerté les professionnels sur les règles applicables.

Article 21, alinéa 4, de la loi n° 78-17 du 6 janvier 1978, Article 27 de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978