(Décision de dispense de déclaration n°12)
La Commission nationale de l’informatique et des libertés,
Vu l’article 88-3 de la Constitution du 4 octobre 1958 modifiée ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code électoral, notamment ses articles L. 9 à L. 40 et L. 227-1 à 227-5 ;
Vu ensemble la loi n° 77-729 du 7 juillet 1977 modifiée relative à l’élection des représentants au Parlement européen et le décret n° 79-160 du 28 février 1979 modifié portant application de la loi susvisée ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 24 - II ;
Vu ensemble la loi organique n°98-404 du 25 mai 1998 déterminant les conditions d’application de l’article 88-3 de la Constitution relatif à l’exercice par les citoyens de l’Union Européenne résidant en France, autres que les ressortissants français, du droit de vote et d’éligibilité aux élections municipales et le décret n° 98-1110 du 8 décembre 1998 modifiant le code électoral et relatif à l’exercice par les citoyens de l’Union Européenne résidant en France, autres que les ressortissants français, du droit de vote et d’éligibilité aux élections municipales ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu ensemble les délibérations n° 81-103 du 15 septembre 1981 modifiée concernant les traitements automatisés d’informations nominatives relatifs à la gestion du fichier électoral des communes (norme simplifiée n° 24), n° 87-119 du 1er décembre 1987 relative aux traitements automatisés d’informations nominatives mis en œuvre par les communes dont la population ne dépasse pas 2 000 habitants pour la gestion de leur population (norme simplifiée n° 32) et n° 94-027 concernant les traitements automatisés d’informations nominatives relatifs à la gestion de la liste électorale complémentaire constituée par les communes pour l’exercice en France du droit de vote des ressortissants d’un Etat membre de l’Union européenne autre que la France pour l’élection des représentants de la France au Parlement européen (norme simplifiée n° 38) ;
Vu l’instruction interministérielle du 5 janvier 2004 concernant le traitement et la conservation des archives relatives aux élections politiques postérieures à 1945 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
Le fichier électoral d’une commune comporte la liste électorale sur laquelle figurent les citoyens de nationalité française et les listes électorales complémentaires sur lesquelles figurent les ressortissants d’un Etat membre de l’Union européenne autre que la France appelés à participer à l’élection des représentants de la France au Parlement européen ou à celle des conseillers municipaux et des membres du conseil de Paris.
Les traitements de données à caractère personnel relatifs à la gestion du fichier électoral des communes ne paraissant pas susceptibles de porter atteinte à la vie privée ou aux libertés des personnes dans le cadre de leur utilisation régulière, la Commission estime en conséquence qu’il y a lieu de faire application des dispositions de l’article 24 - II de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable.
La Commission rappelle à cette occasion que sont déjà exonérés de déclaration :
- les fichiers de communication politique constitués à partir des seules informations figurant sur les listes électorales, depuis un jugement du 17 octobre 1994 du tribunal de grande instance de Paris ;
- les fichiers d’information et de communication municipale constitués à partir des listes électorales lorsqu’ils satisfont à l’ensemble des conditions posées par la dispense de déclaration n° 7, adoptée par la délibération n° 2006-138 du 9 mai 2006 de la Commission.
La Commission rappelle également que tous les tris et sélections à partir des informations figurant sur les listes électorales ne peuvent être effectués dans les mêmes conditions :
- aucune disposition légale n’interdit d’effectuer une sélection sur l’âge ou l’adresse des électeurs : il est en conséquence possible de s’adresser à des populations spécifiques (jeunes, personnes âgées, résidents d’un quartier…), déterminées à partir de ces critères ;
- compte tenu des risques de discrimination qu’ils comportent, les tris opérés sur la consonance des noms, susceptibles de faire apparaître les origines raciales, ethniques ou les appartenances religieuses réelles ou supposées, des intéressés sont en revanche interdits (article 226-19 du code pénal) ;
- la Commission considère enfin que les tris opérés sur le lieu de naissance des électeurs ne sont pas justifiés au regard du principe de finalité : en effet, cette information figure uniquement sur les listes électorales pour s’assurer de l’identité de l’électeur et éviter les fraudes lors du scrutin.

Article 1er
Sont dispensés de déclaration les traitements de données à caractère personnel relatifs à la gestion du fichier électoral des communes qui répondent aux conditions suivantes :
Article 2 : Finalités du traitement
Les traitements concernés doivent avoir pour seules finalités l’établissement et la mise à jour des listes électorales, ainsi que l’édition de tout document nécessaire à l’exécution des opérations électorales visées par la présente délibération (listes électorales, carte d’électeur, listes d’émargement, envoi de la propagande, traitement des procurations, etc.) dans les conditions prévues par le code électoral et les lois spéciales qui les régissent.
Article 3 : Données traitées
Les données à caractère personnel collectées et traitées pour la réalisation des finalités décrites à l’article 2 sont celles fixées par le code électoral et les lois et règlements spéciaux applicables aux opérations électorales visées par la présente délibération.
Elles sont notamment relatives à l’identité des personnes concernées (noms, prénoms, sexe, date et lieu de naissance), à leurs coordonnées personnelles (adresse, téléphone, adresse électronique), à la nature et à la date de leur inscription sur les listes électorales et des pièces justificatives présentées à l’appui de leur demande d’inscription, ainsi qu’à leur participation aux scrutins concernés et à ses modalités (lieu de vote, numéro du bureau de vote, numéro d’ordre sur la liste).
Est en outre collectée et traitée, en application des textes susvisés, la nationalité et l’absence d’incapacité électorale dans l’Etat dont ils sont ressortissants s’agissant des ressortissants d’un Etat membre de l’Union européenne autre que la France inscrits sur au moins une liste électorale complémentaire.
Article 4 : Destinataires des données
Les données traitées ne peuvent être communiquées qu’aux organismes et personnes déterminées par le code électoral, les lois spéciales régissant les opérations électorales visées par la présente délibération et leurs textes d’application, et dans les conditions posées par ces textes.
En application des dispositions législatives et réglementaires spéciales régissant les élections au Parlement européen, l’identité de leurs ressortissants inscrits sur une liste électorale complémentaire est communiquée aux autres Etats membres de l’Union européenne.
Article 5 : Durée de conservation
Les données à caractère personnel traitées doivent être conservées selon les dispositions du code électoral et des lois spéciales régissant les opérations électorales visées ; en tout état de cause, elles ne sauraient être conservées au-delà de la durée d’utilité administrative de ces documents, qui est fixée à trois années par l’instruction interministérielle visée.
Article 6 : Information et consentement des personnes concernées
Lors de leur demande d’inscription sur les listes électorales, les requérants sont informés par tout moyen approprié (affichette, mention d’information, plaquette sur support distinct…) de l’identité du responsable de traitement (mairie de…), des finalités poursuivies par le traitement (gestion de la liste électorale et/ou de la liste électorale complémentaire, gestion des opérations électorales), du caractère obligatoire ou facultatif de la collecte de ces données et de l’existence de leurs droits d’accès et de rectification, ainsi que des modalités d’exercice de ces droits.
Article 7 : Sécurité
Le responsable de traitement est tenu de prendre toutes précautions utiles pour préserver la sécurité des données et, notamment, empêcher qu’elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.
L’accès des utilisateurs autorisés au traitement se fait au moyen d’un mot de passe individuel régulièrement renouvelé ou par tout autre dispositif au moins équivalent.
Le recours éventuel à un sous-traitant doit se faire dans le respect des dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée.
Article 8 : Transmissions de données vers des pays tiers à l’Union européenne
Ne peuvent prétendre au bénéfice de l’exonération les traitements automatisés comportant la transmission de données à caractère personnel vers des pays tiers à l’Union européenne, y compris lorsque cette transmission est réalisée à des fins de sous-traitance. Ces traitements font l’objet de formalités déclaratives préalables auprès de la CNIL dans les conditions prévues par la loi du 6 janvier 1978 modifiée.
Article 9 : Effets de la dispense de déclaration
Les traitements répondant aux conditions posées par les articles 2 à 8 ci-dessus peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL.
La dispense de déclaration n’exonère le responsable de ces traitements d’aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel.
Article 10
Les normes simplifiées n° 24 et 38, établies respectivement par les délibérations n° 81-103 du 15 septembre 1981 et n° 94-027 du 26 avril 1994, sont abrogées ; le 2° de l’article 2 et le mot « électeur » au 1 de l’article 3 de la norme simplifiée n° 32, établie par la délibération n° 87-119 du 1er décembre 1987, sont supprimés.
Article 11
La présente délibération sera publiée au Journal officiel de la République française.