Respecter les droits des électeurs sur leurs données personnelles

Les grands principes qui régissent la protection des données personnelles sont prévues par le règlement général sur la protection des données (RGPD) et la loi Informatique et Libertés.

Depuis octobre 2025, le règlement européen relatif à la transparence de la publicité politique (RPP) est venu ajouter des obligations supplémentaires en matière de prospection politique.

L’information des personnes contactées

Le candidat ou le parti politique qui traite des données personnelles concernant les électeurs dans un but de prospection doit les informer du traitement qui est fait de leurs données. À cet égard, le RGPD distingue les mentions à fournir selon que les données ont été collectées directement auprès des électeurs ou de manière indirecte. De nouvelles mentions sont également prévues par le règlement relatif à la transparence de la publicité politique (RPP).

La CNIL met à disposition des acteurs de la publicité à caractère politique, un tableau sur les mentions d’information obligatoires.

Dans tous les cas, vous devez informer clairement les destinataires des messages sur :

• l’identité et les coordonnées du responsable de traitement ;
• les coordonnées du délégué à la protection des données (DPO) s’il vous en avez désigné un ;
• la source des données ; 
• les finalités (objectifs) du traitement ainsi que sa base légale ;
• les destinataires des données personnelles ;
• la possibilité d’un transfert des données hors de l’Union européenne ou à une organisation internationale ;
• la durée de conservation des données ;
• l’existence des droits Informatique et Libertés (droit d’accès, de rectification et d’effacement, droit à la limitation du traitement, droit à la portabilité, droit d’opposition) et les modalités pratiques pour les exercer (coordonnées, postales ou électroniques ou tout moyen de contact utile, justificatifs à présenter) ;
• la possibilité pour l’électeur de retirer son consentement à tout moment, lorsque le traitement est fondé sur le consentement ;
• le droit d’adresser une plainte à la CNIL ;
• l’existence éventuelle d’une prise de décision automatisée, y compris un profilage.

Si le candidat ou le parti utilise des techniques de ciblage ou de diffusion d’annonce à caractère politique en ligne (réseaux sociaux, courriels, messagerie instantanée, etc.), la mention d’information devrait aussi contenir :

• des informations supplémentaires pour permettre à la personne concernée de comprendre la logique sous-jacente et les principaux paramètres des techniques employées (ciblage ou diffusion), (y compris l’utilisation d’un système d'intelligence artificielle) ;
• les groupes spécifiques de destinataires ciblés, (y compris les paramètres utilisés pour déterminer les personnes auxquelles la publicité est diffusée) ;
• les catégories de données personnelles utilisées pour les techniques de ciblage ou les techniques de diffusion d'annonces à caractère politique ;
• les objectifs, les mécanismes et la logique de ciblage, y compris les paramètres d'inclusion et d'exclusion, et les raisons du choix de ces paramètres ;
• des informations utiles sur l'utilisation de systèmes d'intelligence artificielle dans le ciblage ou la diffusion d'annonces publicitaires à caractère politique ;
• la période de diffusion de l'annonce publicitaire à caractère politique et le nombre de personnes auxquelles l'annonce publicitaire est diffusée ;
• un lien vers les informations sur les techniques utilisées, ou une indication claire de l'endroit où il est possible de les consulter aisément.

À savoir : l’information délivrée aux personnes doit être concise, transparente, compréhensible et aisément accessible. En ce sens, selon le mode de communication, il est possible de proposer un premier niveau d’information (en priorisant dans tous les cas l’identité du responsable de traitement, les finalités et les droits des personnes, une éventuelle prise de décision automatisée), suivi d’un lien ou une touche de téléphone redirigeant vers un second niveau d’information complet.

Dans l’hypothèse où le candidat ou le parti politique a l’intention d’effectuer un traitement ultérieur des données personnelles pour une finalité autre que celle pour laquelle les données ont été collectées, le candidat ou le parti en informe au préalable la personne concernée, en lui précisant la finalité de ce traitement secondaire. Pour rappel, en cas d’utilisation de techniques de ciblage et de diffusion d’annonce à caractère politique en ligne, le RPP impose de recueillir le consentement des personnes concernées.

Ex. : les données de l’électeur sont collectées dans le cadre de l’organisation de primaires ouvertes et le parti politique organisateur souhaite pouvoir réutiliser les données de l’électeur ultérieurement à des fins de communication ou d’information.

La collecte des données

Dès lors que les responsables de traitement utilisent des techniques de ciblage ou de diffusion d’annonce à caractère politique, le RPP leur impose de collecter les données directement auprès de la personne concernée.

Dans le cas d’une collecte au moyen d’un formulaire, outre les mentions d’information prévues par la règlementation, la CNIL recommande également que le candidat ou le parti politique informe les personnes concernées du caractère obligatoire ou facultatif des réponses et les conséquences de l’absence de réponse (par exemple : le recueil de l’adresse postale des personnes pour réaliser de la prospection par mail n’est pas forcément obligatoire).

Dans l’hypothèse d’une collecte indirecte (sans usage de technique de ciblage ou de diffusion d’annonce à caractère politique en ligne), le candidat ou le parti politique devra en outre fournir d’autres informations, notamment la source des données personnelles et, le cas échéant, l’indication qu’elles sont issues ou non de sources accessibles au public (les listes électorales, par exemple).

Ex. : en cas d’utilisation d’automates d’appel, les messages préenregistrés doivent également contenir toutes les mentions d’information prévues par le RGPD (voir la partie l’information des personnes contactées).

Les données sensibles (données qui révèlent les opinions politiques ou l’appartenance syndicale de la personne, notamment) ne peuvent, par principe, être collectées, sauf dans l’une des exceptions énumérées à l’article 9.2 du RGPD. En vertu du RPP, elles ne peuvent pas être utilisées à des fins de profilage.

L’exercice des droits Informatique et Libertés

Le RGPD prévoit expressément que le responsable de traitement doit faciliter l’exercice des droits conférés à la personne concernée par le RGPD et traiter les demandes d’exercice des droits dans les meilleurs délais, et au plus tard dans un délai d’un mois.

• Le droit au retrait du consentement

Des lors que le responsable de traitement se fonde sur le consentement pour la mise en œuvre de son traitement de données, la personne concernée peut retirer son consentement à tout moment.

Le RPP prévoit désormais que tout traitement à des fins de publicité politique pour lequel le responsable de traitement utilise des techniques de ciblage ou de diffusion en ligne doit reposer sur le consentement explicite de la personne concernée. Dès lors, le responsable de traitement doit également garantir la possibilité de retirer son consentement.

• Article 7 du RGPD

• Le droit d’accès

Tout personne concernée peut écrire directement à un candidat ou parti politique pour :

• savoir si celui-ci détient des données personnelles le concernant ;
• obtenir des informations sur les finalités du traitement, les données collectées, les destinataires, la durée de conservation des données ;
• obtenir des informations sur ses droits Informatique et Libertés ;
• l'interroger sur l’origine des données lorsque celles-ci n’ont pas été collectées auprès de l’électeur ;
• demander une copie de ses données.

L'exercice du droit d’accès permet de contrôler l'exactitude des données et, au besoin, de les faire rectifier ou effacer.

• Article 15 du RGPD
• Répondre à une demande de droit d’accès
• Pour les électeurs - Le droit d'accès : connaître les données qu’un organisme détient sur vous

• Les droits de rectification et d’effacement

Les personnes peuvent également demander au candidat ou au parti politique de faire corriger les données le concernant lorsqu’elles sont inexactes ou incomplètes. Il peut obtenir la suppression de ses données, notamment si celles-ci ne sont plus nécessaires, si le traitement est fondé sur le consentement et que le consentement est retiré, ou si le traitement est illicite. Lorsqu’un candidat ou parti politique a rendu publiques des données puis les a effacées, il doit informer de leur effacement tous les responsables du traitement qui traitent ces données.

• Articles 16 et 17 du RGPD
• Pour les électeurs - Le droit de rectification : corriger vos informations

• Le droit d’opposition

Toute personne concernée dispose du droit de s’opposer à l’utilisation de ses données personnelles à des fins de communication politique, sans avoir à justifier des raisons de sa démarche.

Le droit d’opposition peut s’exercer à tout moment. La prise en compte de l'opposition doit intervenir dès la première demande.

• Article 21 du RGPD
• Pour les électeurs - Le droit d'opposition : refuser l’utilisation de vos données

• Le droit à la limitation du traitement

La personne concernée peut demander à un candidat ou parti politique la limitation du traitement, c’est-à-dire de « geler » le traitement dans l’état où il se trouve, en cas de manquement au respect des obligations Informatique et Libertés (inexactitude des données, traitement illicite), si les données lui sont nécessaires pour l’exercice ou la défense d’un droit en justice ou s’il a exercé son droit d’opposition pour motifs légitimes. Ce droit permet de conserver la donnée le temps de traiter la situation litigieuse.

• Article 18 du RGPD
• Pour les électeurs - Le droit à la limitation du traitement : geler l’utilisation de vos données

• Le droit à la portabilité

Chaque personne concernée peut recevoir les données personnelles le concernant qu’il a fournies à un candidat ou un parti politique, dans un format structuré, couramment utilisé et lisible par machine, et les transmettre à un autre candidat ou parti politique sans que le candidat ou parti politique qui traitait initialement les données y fasse obstacle. Pour exercer ce droit, le traitement doit être fondé sur le consentement et le traitement doit être effectué à l’aide de procédés automatisés.

• Article 20 du RGPD
• Pour les électeurs - le droit à la portabilité des données : obtenir et réutiliser une copie de vos données