La Commission nationale de l'informatique et des libertés,
Saisie par la Commission nationale des comptes de campagne et des financements politiques d'une demande d'autorisation concernant la mise en œuvre des traitements automatisés de données à caractère personnel nécessaires à l'exercice de ses missions ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code électoral, notamment ses articles L. 52-4 à L. 52-17, L. 334-4 et L. 388 ;
Vu la loi n° 62-1292 du 6 novembre 1962 modifiée relative à l'élection du Président de la République au suffrage universel ;
Vu la loi n° 77-729 du 7 juillet 1977 modifiée relative à l'élection des représentants au Parlement européen ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi n° 88-227 du 11 mars 1988 modifiée relative à la transparence financière de la vie politique ;
Vu la loi n° 90-55 du 15 janvier 1990 modifiée relative à la limitation des dépenses électorales et à la clarification du financement des activités politiques ;
Vu la loi n° 2011-412 du 14 avril 2011 portant simplification de dispositions du code électoral et relative à la transparence financière de la vie politique ;
Vu la loi n° 2013-403 du 17 mai 2013 relative à l'élection des conseillers départementaux, des conseillers municipaux et des conseillers communautaires, et modifiant le calendrier électoral ;
Vu la loi n° 2013-907 du 11 octobre 2013 relative à la transparence de la vie publique ;
Vu le décret n° 79-160 du 28 février 1979 modifié portant application de la loi n° 77-729 du 7 juillet 1977 relative à l'élection des représentants au Parlement européen ;
Vu le décret n° 90-606 du 9 juillet 1990 modifié pris pour l'application de la loi n° 90-55 du 15 janvier 1990 relative à la limitation des dépenses électorales et à la clarification du financement des activités politiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n°2007-1041 du 20 juin 2007 relatif aux traitements automatisés de données à caractère personnel mis en œuvre par la Commission nationale des comptes de campagne et des financements politiques ;
Vu la délibération n° 2007-043 du 8 mars 2007 autorisant la mise en œuvre de deux traitements de données à caractère personnel de la Commission nationale des comptes de campagne et des financements politiques permettant la gestion des reçus délivrés aux personnes ayant apporté leur soutien financier à un candidat aux élections ou à un parti ou groupement politique, d'une part, et celle de l'examen des comptes de campagne des candidats aux élections et des partis politiques, d'autre part ;
Après avoir entendu Mme Dominique CASTERA, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par la Commission nationale des comptes de campagne et des financements politiques (CNCCFP), le 26 mars 2014, d'une demande d'autorisation relative à la mise en œuvre des traitements automatisés de données à caractère personnel nécessaires à l'exercice de ses missions. Cette demande vise à mettre jour, notamment au regard des nouvelles missions de la CNCCFP, les traitements de la CNCCFP déjà autorisés par la délibération n° 2007-043 du 8 mars 2007 de la Commission.
Certaines données enregistrées dans les traitements de la CNCCFP relèvent de l'article 8 de la loi du 6 janvier 1978 modifiée, et notamment la  nuance politique  attribuée aux élus et candidats par le ministère de l'intérieur et dont le traitement est justifié par l'intérêt public. Ce traitement doit dès lors faire l'objet d'une autorisation de la Commission, en application des dispositions de l'article 25-I-1° de la loi du 6 janvier 1978 modifiée.
Sur la finalité des traitements :
Les traitements mis en œuvre par la CNCCFP ont pour finalité générale la gestion des missions dont elle a la charge dans le cadre des élections politiques, à savoir : les élections présidentielles, législatives, sénatoriales (depuis la loi du 14 avril 2011 susvisée), européennes, régionales, provinciales, territoriales, départementales (depuis la loi du 17 mai 2013 susvisée) et municipales.
Plus précisément, le dispositif comprend trois applications informatiques, ayant pour finalités respectives :
1°) la gestion et l'authentification des reçus délivrés aux personnes physiques ayant apporté leur soutien financier aux candidats aux élections politiques, ainsi qu'aux partis et groupements politiques. Cette application est dénommée  GARDONS  ;
2°) l'enregistrement des candidats aux élections politiques, des déclarations des mandataires financiers personnes physiques ou des associations de financement électoral, aux fins du suivi des opérations de contrôle des comptes de campagne des candidats. Cette application est dénommée  PERICLES  ;
3°) la vérification du respect, par les partis ou groupements politiques de leurs obligations comptables et financières, la délivrance de l'agrément des associations de financement, le suivi des déclarations des mandataires financiers personnes physiques ainsi que le contrôle des justificatifs des recettes de leur compte. Cette application est dénommée  PARTHENON .
Les deux premières applications ont déjà été autorisées par la Commission par la délibération n° 2007-043 du 8 juin 2007 précitée. Toutefois, une partie des finalités est désormais prise en charge par une troisième application et certaines catégories de données traitées ont été modifiées.
La troisième application est nouvelle. Elle permettra, outre la finalité décrite au 3°) ci-dessus, d'assurer la gestion et le suivi des sollicitations adressées par des personnes souhaitant obtenir des explications s'agissant des modalités de financement de telle candidature ou souhaitant informer la CNCCFP de faits susceptibles de constituer une infraction. Ces personnes sont dites  lanceurs d'alerte . S'agissant de la gestion et du suivi des alertes, la Commission prend acte que cette modification ne résulte pas d'une évolution du cadre juridique actuel, mais vise à encadrer plus strictement des pratiques préexistantes.
La Commission considère que les finalités poursuivies par ces traitements sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
Seules des données concernant des personnes physiques sont enregistrées dans les traitements mis en œuvre par la CNCCFP.
Outre les données collectées directement par la CNCCFP lors des dépôts des comptes de campagnes et de financement des acteurs de la vie politique, la CNCCFP est destinataire de certaines données collectées directement par le ministère de l'intérieur auprès des élus et candidats à l'occasion des déclarations de candidatures et du suivi des mandats. Il s'agit des données suivantes : numéro de dépôt de candidature à la préfecture ; civilité, nom, prénom, date de naissance, profession (code CSP) et coordonnées des candidats ; désignation de liste (selon le type de scrutin, nuance politique attribuée par le ministère de l'intérieur), parti politique de rattachement (celui identifié pour l'aide publique aux formations politiques) ; civilité, nom et prénom du suppléant ; nombre de voix obtenues au 1er et 2nd tour, élu (oui ou non).
S'agissant de l'application  GARDONS , les données traitées concernent les personnes physiques ayant apporté leur soutien financier aux candidats, aux partis et groupements politiques.
Pour le soutien financier des candidats, il s'agit des catégories suivantes :
-	les nom, prénom et adresse du donateur ;
-	le nom du candidat, du candidat tête de liste et des membres du binôme de candidats bénéficiaires du don ;
-	l'identification du mandataire ayant perçu le don ;
-	le montant du don ;
-	le mode et la date de versement du don.
Pour le soutien financier des partis et groupements politiques, il s'agit des catégories suivantes :
-	les nom, prénom et adresse des donateurs et cotisants ;
-	pour les élus, les nom, prénom, adresse et indication du mandat électoral ou de la fonction élective détenue ;
-	le parti ou groupement politique bénéficiaire du soutien financier ;
-	l'identification du mandataire ayant perçu le don ou la cotisation ;
-	le montant du don ou de la cotisation ;
-	le mode, la nature et la date de versement de la contribution.
Pour la gestion des  lanceurs d'alerte , il s'agit :
-	des différents documents échangés entre un citoyen et la CNCCFP,
-	des suites données à cette dénonciation ou demande d'information.
S'agissant de l'application  PERICLES , les données traitées concernent l'enregistrement des candidats aux élections politiques, des mandataires financiers personnes physiques ou des associations de financement électoral, ainsi que le suivi des opérations de contrôle des comptes de campagne. Il s'agit des catégories de données suivantes :
-	les nom, prénom, date et lieu de naissance, coordonnées postales, téléphoniques et électroniques (courriel et télécopie) des candidats, des candidats tête de liste, des membres du binôme de candidats, des mandataires financiers, des dirigeants d'associations de financement électoral et des  lanceurs d'alerte  ;
-	l'étiquette, le parti politique, le groupe parlementaire déclaré du candidat, de la liste ou du binôme ;
-	la nuance politique attribuée par le ministère de l'intérieur ;
-	les noms et prénoms des colistiers, le cas échéant ;
-	les nom, prénom, coordonnées postales, téléphoniques et électroniques (courriel et télécopie) des suppléants ou remplaçants selon les cas.
S'agissant de l'application  PARTHENON , relative au respect des obligations comptables et financières des partis et groupements politiques, des associations de financement et des mandataires financiers, les catégories de données personnelles suivantes sont enregistrées :
-	les nom, prénom, coordonnées postales, téléphoniques et électroniques (courriel et télécopie) des dirigeants des partis ou groupements politiques ;
-	les nom, prénom, coordonnées postales, téléphoniques et électroniques (courriel et télécopie) des mandataires financiers et dirigeants d'associations de financement électoral.
La Commission considère ces données comme adéquates, pertinentes et non excessives au regard des finalités poursuivies pour lesquelles elles sont collectées.
Sur la durée de conservation des données :
Les données traitées dans l'application GARDONS sont conservées jusqu'à l'expiration de la troisième année qui suit celle au cours de laquelle ont été produits le compte de campagne ou les copies de justificatifs de recette du mandataire du parti ou groupement politique concerné. A l'issue de ce délai, les données nominatives ainsi que les coordonnées sont détruites, à l'exception du code postal, conservé à des fins statistiques.
La Commission prend acte que cette durée est justifiée par la nécessité pour la CNCCFP de pouvoir répondre aux demandes de l'administration fiscale en application de l'article L. 84 A du Livre des procédures fiscales.
Les données traitées dans l'application PERICLES sont conservées jusqu'à l'expiration de la septième année qui suit celle au cours de laquelle a été produit le compte de campagne auquel les données se rattachent. Les coordonnées personnelles sont quant à elles détruites dès lors que les voies de recours contre les décisions de la CNCCFP sont épuisées ou que les décisions du juge de l'élection sont devenues définitives.
Cette durée n'appelle pas d'observation particulière et correspond à la durée maximale d'un mandat (six ans) augmentée d'un an, ce qui permet à la CNCCFP de disposer encore des données de l'élection précédente.
Les données traitées dans l'application PARTHENON sont conservées jusqu'à l'expiration de la septième année qui suit celle à partir de laquelle le parti ou groupement politique a cessé de relever de la loi n° 88-227 du 11 mars 1988 modifiée relative à la transparence de la vie financière de la vie politique. S'agissant des coordonnées, elles sont détruites dès lors que le parti ou groupement politique a cessé de relever de ladite loi et que les voies de recours contre les décisions de la CNCCFP sont épuisées.
Les données issues d'un signalement seront conservées uniquement le temps du traitement de l'alerte. Lorsqu'il n'est donné aucune suite à l'alerte ou que la personne s'est désistée, ces données devront être supprimées sans délai.
La Commission rappelle que la destruction de données personnelles doit intervenir de façon définitive et sécurisée, dans les conditions prévues par les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Sous ces réserves, ces durées n'appellent pas d'observation.
Sur les destinataires des données :
Peuvent seuls, dans les limites de leurs attributions respectives, être destinataires des données, les agents habilités à mettre en œuvre le dispositif de la CNCCFP pour les missions de cette dernière.
La Commission rappelle qu'en application de l'article L. 84 A du Livre des procédures fiscales, les services fiscaux sont autorisés à obtenir communication des données figurant dans le traitement relatif à la gestion et l'authentification des reçus délivrés aux personnes physiques.
Sur l'information des personnes :
Lors du dépôt de candidature auprès des services préfectoraux, les candidats et élus sont informés de la transmission de leurs données à la CNCCFP par le ministère de l'intérieur.
De plus, l'information prévue par l'article 32 de la loi du 6 janvier 1978 modifiée est portée à la connaissance des intéressés par l'intermédiaire de mention figurant sur les formulaires de dépôt des comptes de campagnes remis par les services préfectoraux.
Une information spécifique est en outre fournie aux lanceurs d'alerte, notamment pour leur permettre de se désister, de les informer sur le traitement de leurs données ainsi que sur la possibilité que leur identité ne soit pas communiquée au cours de l'instruction par la CNCCFP, dans la limite des recours contentieux susceptibles d'être initiés à l'encontre des décisions de la CNCCFP.
La Commission rappelle que l'ensemble des formulaires de la CNCCFP ainsi que les courriers adressés aux personnes concernées doivent comporter les mentions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d'accès et de rectification prévus par les articles 39 et 40 de la loi  Informatique et Libertés  s'exercent auprès du secrétaire général de la Commission nationale des comptes de campagne et des financements politiques.
La Commission rappelle que la  nuance politique  attribuée par le ministère de l'intérieur aux candidats et élus peut faire l'objet de demande de rectification auprès du ministère et des services préfectoraux en charge de gérer les candidatures et le suivi des mandats.
Pour les données issues du dispositif de gestion des élections du ministère de l'intérieur dont la CNCCFP est rendue destinataire, la Commission demande que la CNCCFP soit rendue destinataire, de façon sécurisée, systématique et sans délai, d'une part, de toute rectification de nuance politique attribuée à un élu ou candidat et, d'autre part, de toute modification de données utiles à la CNCCFP qui serait effectuée auprès des services en charge du dispositif de gestion des élections mis en œuvre par le ministère de l'intérieur.
La Commission prend acte que le droit d'opposition des intéressés à figurer dans les traitements ne s'applique pas. Ce traitement répondant à une obligation légale, cette exclusion est conforme à l'article 38 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :
Pour échanger des données à caractère personnel avec les rapporteurs chargés de l'instruction des comptes de campagne, le ministère de l'intérieur et les partis politiques, la CNCCFP précise utiliser une authentification mutuelle par certificat et le protocole SSL/TLS.
La Commission rappelle à cet égardses recommandations en matière de mécanismes cryptographiques, et notamment la nécessité de respecter les règles et recommandations des annexes B1 et B2 du référentiel général de sécurité ( RGS , cf. ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives).
Au regard des éléments communiqués par la CNCCFP, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présente autorisation abroge la délibération n° 2007-043 du 8 mars 2007 de la CNIL autorisant la mise en œuvre de deux traitements de données à caractère personnel de la Commission nationale des comptes de campagne et des financements politiques permettant la gestion des reçus délivrés aux personnes ayant apporté leur soutien financier à un candidat aux élections ou à un parti ou groupement politique, d'une part, et celle de l'examen des comptes de campagne des candidats aux élections et des partis politiques, d'autre part.
Dans ces conditions, la Commission autorise la mise en œuvre, par la Commission nationale des comptes de campagne et des financements politiques [CNCCFP], de traitements automatisés de données à caractère personnel nécessaires à l'exercice de ses missions.
Le Vice-président délégué
Marie-France MAZARS