Législatives anticipées : la CNIL poursuit ses actions pour protéger les données des électeurs

Le contexte 

La communication et la prospection politiques reposent sur une utilisation croissante de données personnelles et n’échappent pas à la numérisation accélérée de notre société. De nouveaux usages en ligne se développent depuis plusieurs années, notamment au travers des réseaux sociaux.

Le respect des règles en matière de protection des données est devenu une question centrale dans le processus électoral et, plus généralement, dans la vie démocratique. De plus en plus de personnes sollicitent la CNIL sur les mauvaises pratiques qu’elles observent et n’hésitent pas à les dénoncer publiquement.

Afin de faire face à ces différents enjeux et de s’assurer que les partis politiques et les candidats prennent en compte la législation sur la protection des données dans leurs pratiques, la CNIL a mis en place un observatoire des élections depuis 2012. Il permet notamment d’assurer le suivi des sollicitations adressées à la CNIL dans le cadre des campagnes électorales telles que les demandes de conseil des candidats ou les signalements des mauvaises pratiques.  

Le bilan des élections européennes

Pour rappel, en amont des élections, des courriers ont été adressés en mars dernier aux têtes de liste, chefs de parti et prestataires pour les alerter sur le respect de la protection des données personnelles. La CNIL a également participé, aux côtés de plusieurs autorités et services de l’État chargés de contrôler le déroulement de la campagne, à la session de sensibilisation des formations politiques organisée le 29 mars par le Secrétariat général de la défense et de la sécurité nationale (SGDSN).  

Au cours de la campagne, la CNIL a enregistré 167 signalements et 2 plaintes. En réaction, elle a adressé quatre rappels à la loi aux partis concernés. Une procédure de contrôle est par ailleurs en cours concernant un candidat. Les signalements reçus permettent de constater un changement radical dans le canal de prospection utilisé. Les appels téléphoniques automatisés représentaient 93% des signalements en 2019, ils sont désormais largement dépassés par l’envoi de SMS (88% des signalements en 2024).

Par ailleurs, la CNIL avait annoncé qu’elle porterait une attention particulière à l’impact de l’intelligence artificielle sur les stratégies de communication politique.

Le service de l’intelligence artificielle de la CNIL a observé :

• le recours à l’IA, en tant que générateur de contenus officiels (information des citoyens sur les élections, génération de matériel de campagne, prospection politique) et les risques que cette utilisation comporte en matière « d'hallucinations », de discriminations, de biais culturels ou encore de sécurité des données ;
• la multiplication des hypertrucages, qui posent des questions relatives à l’utilisation de l’image et des voix des personnes concernées, démontrant la nécessité d’un marquage  des contenus artificiels tel que prévu par les lignes directrices de la Commission européenne et le règlement européen sur l’intelligence artificielle ;
• une montée en intensité dans l’analyse, le profilage et le ciblage des électeurs avec des systèmes de recommandations de plus en plus sophistiqués, d’où la nécessité d’auditer ces algorithmes.

Les actions pour les législatives anticipées de 2024

Une nouvelle série de courriers ont été adressés aux chefs de parti pour les alerter sur la nécessité de respecter la protection des données personnelles des électeurs. Ils indiquent les contenus à consulter sur le site de la CNIL pour assurer la conformité de leurs traitements, notamment de prospection politique.

Ces courriers indiquent également que la CNIL effectuera des contrôles formels auprès des partis qui susciteront le plus de plaintes et de signalements au cours de la campagne, en vue notamment d’adopter des mesures correctrices (sanctions ou mises en demeure).

Elle précise également qu’elle publiera ce courrier type ainsi que le nombre de signalements reçus.

Enfin, dans le but de pouvoir répondre aux demandes des personnes concernées et d’anticiper au mieux les actions à mener pour garantir la protection des données des électeurs, la CNIL demande aux partis de lui indiquer, avant le 22 juin 2024,  un point de contact et de répondre à certaines questions dont les suivantes :

• votre parti et les fédérations locales vont-ils mettre à disposition des candidats des outils en vue de procéder à des opérations de prospection politique par voie électronique ?
• quelles sont les mesures prévues pour informer les personnes sur les traitements mis en œuvre à des fins de prospection politique ?
• auprès de qui/comment les personnes concernées peuvent-elles exercer leurs droits ?  

À l’issue de cette séquence électorale, la CNIL dressera un bilan des pratiques observées ainsi que des actions qu’elle a menées.

La plateforme de signalement pour les électeurs

En parallèle de sa mission d’accompagnement des candidats et partis, la CNIL met à disposition des électeurs :

• une fiche pratique rappelant leurs droits dans le cadre des élections ;
• un formulaire pour leur permettre de signaler à la CNIL des pratiques qu’ils considèrent comme contraires au RGPD.