Orientations de la Commission relatives à l'application du droit de l'UE en matière de protection des données dans le contexte électoral La contribution de la Commission européenne à la réunion des chefs d'État et de gouvernement à Salzbourg les 19 et 20 septembre 2018

Orientations de la Commission relatives à l’application du droit de l’UE en matière de protection des données dans le contexte électoral

Communiquer avec les électeurs est un fondement du processus démocratique. Les partis politiques adaptent constamment leur communication électorale en fonction du public, en tenant compte de ses intérêts particuliers. Il est donc tout naturel que les acteurs participant à des élections étudient les possibilités d’utiliser des données en vue de remporter des votes. L’expansion des outils numériques et des plateformes en ligne a offert bon nombre de nouvelles opportunités d’amorcer un débat politique avec les citoyens.

Par contre, le développement du microciblage des électeurs sur la base d’un traitement illicite de données à caractère personnel, comme en témoignent les révélations de l’affaire Cambridge Analytica, est d’une tout autre nature. Il illustre les problèmes posés par les technologies modernes, mais démontre également l’importance particulière de protéger les données dans le contexte électoral. C’est devenu un enjeu essentiel non seulement pour les citoyens, mais également pour le fonctionnement de nos démocraties, parce que cela constitue une grave menace pour un processus électoral régulier et démocratique et est susceptible de nuire à l’ouverture des débats, à la régularité et à la transparence, qui sont essentielles à une démocratie. La Commission considère qu’il est de la plus haute importance de s’attaquer à cette problématique pour rétablir la confiance du public dans la régularité du processus électoral.

Les premières conclusions de l’autorité britannique de protection des données (Information Commissioner’s Office – ICO) relatives au recours à l’analyse de données dans les campagnes politiques et l’avis du Contrôleur européen de la protection des données concernant la manipulation en ligne et les données à caractère personnel ont confirmé l’importance croissante du microciblage, développé initialement à des fins commerciales, dans le contexte électoral.

D’une manière plus générale, plusieurs autorités de protection des données ont traité la question de la protection des données dans le contexte électoral.

Le règlement (UE) 2016/679 du Parlement européen et du Conseil (règlement général sur la protection des données), qui est devenu directement applicable dans l’Union le 25 mai 2018, fournit à l’Union les outils nécessaires pour faire face aux cas d’utilisation illicite de données à caractère personnel dans le contexte électoral. Toutefois, seule une application stricte et systématique des règles contribuera à protéger l’intégrité d’une politique démocratique. Étant donné que c’est la première fois que ces règles seront appliquées dans le contexte électoral européen à l’occasion des prochaines élections du Parlement européen, il est important d’apporter de la clarté aux acteurs participant aux processus électoraux - tels que les autorités électorales nationales, les partis politiques, les courtiers en données et les analystes de données, les plateformes de médias sociaux et les réseaux d’annonces en ligne. Les présentes orientations visent donc à mettre l’accent sur les obligations de protection des données à prendre en considération pour les élections. Les autorités nationales de protection des données, en leur qualité d’autorités chargées de veiller au respect du règlement général sur la protection des données, doivent faire pleinement usage de leurs pouvoirs renforcés pour remédier à d’éventuelles infractions, en particulier celles liées au microciblage des électeurs.

1.Le cadre de l’Union relatif à la protection des données

La protection des données à caractère personnel est un droit fondamental inscrit dans la Charte des droits fondamentaux de l’Union européenne (article 8) et dans les traités (article 16 du TFUE). Le règlement général sur la protection des données renforce le cadre dans ce domaine, ce qui permettra à l’Union d’être mieux armée pour traiter les cas d’utilisation abusive de données à caractère personnel à l’avenir et à tous les acteurs d’être davantage comptables de leur action et plus responsables quant à la manière dont ils traitent les données à caractère personnel.

Il confère aux personnes physiques de l’Union des droits supplémentaires et renforcés qui sont particulièrement pertinents dans le contexte électoral. Le régime de protection des données en place dans l’Union au cours des vingt dernières années souffrait plus particulièrement d’une application fragmentée des règles dans les États membres, de l’absence de mécanisme formel de coopération entre les autorités nationales de protection des données et du champ limité des pouvoirs d’exécution de ces autorités. Le règlement général sur la protection des données remédie à ces lacunes: se fondant sur les principes éprouvés de la protection des données, il harmonise des notions essentielles telles que le consentement, renforce les droits des personnes physiques à obtenir des informations sur le traitement de leurs données, clarifie les conditions dans lesquelles les données à caractère personnel peuvent être traitées ultérieurement, introduit des règles relatives aux violations des données à caractère personnel, établit un mécanisme de coopération entre les autorités de protection des données dans les cas transfrontières et renforce les pouvoirs d’exécution de ces dernières. En cas d’infraction aux règles de l’UE en matière de protection des données, les autorités de protection des données ont le pouvoir d’enquêter (par exemple, en ordonnant la fourniture d’informations, en menant des inspections dans les locaux de responsables du traitement des données et de sous-traitants de données) et de mettre un terme à des comportements (par exemple, en adressant des avertissements et des rappels à l’ordre ou en imposant une suspension temporaire ou définitive du traitement). Elles ont également le pouvoir d’infliger des amendes pouvant atteindre 20 millions d’EUR ou, dans le cas d’une entreprise, pouvant représenter jusqu’à 4 % de son chiffre d’affaires mondial. Lorsqu’elles décident d’infliger des amendes et de fixer leur montant, les autorités de protection des données prendront en considération les circonstances de l’espèce et des facteurs tels que la nature, l’étendue ou la finalité du traitement, le nombre de personnes concernées et le niveau de dommage qu’elles ont subi. Dans le contexte électoral, il est probable que le niveau de gravité de l’infraction et le nombre de personnes concernés seront élevés, ce qui pourrait donnait lieu à des amendes conséquentes, en particulier si l’on tient compte de l’importance de la question de la confiance des citoyens dans le processus démocratique.

Le comité européen de la protection des données nouvellement établi, qui regroupe toutes les autorités nationales de protection des données ainsi que le Contrôleur européen de la protection des données, joue un rôle essentiel dans l’application du règlement général sur la protection des données en émettant des orientations, des recommandations et des bonnes pratiques. Chargées de veiller au respect du règlement général sur la protection des données et faisant office de point de contact direct pour les parties prenantes, les autorités nationales de protection des données sont bien placées pour apporter un surcroît de sécurité juridique concernant l’interprétation du règlement. La Commission soutient activement cette tâche.

La directive «vie privée et communications électroniques» (directive 2002/58/CE du Parlement européen et du Conseil) complète le cadre de l’Union relatif à la protection des données, et elle entre en ligne de compte dans le contexte électoral car son champ d’application englobe les règles relatives à l’envoi de communications non sollicitées par voie électronique, y compris à des fins de marketing direct. La directive «vie privée et communications électroniques» établit également les règles relatives au stockage d’informations et à l’accès aux informations déjà stockées (telles que les cookies pouvant être utilisés pour suivre le comportement en ligne des utilisateurs) dans l’équipement terminal comme un téléphone intelligent ou un ordinateur. La proposition de règlement de la Commission sur la vie privée et les communications électroniques (le «règlement vie privée et communications électroniques»), qui est en cours de négociation, se fonde sur les mêmes principes que la directive «vie privée et communications électroniques». Le nouveau règlement élargira son champ d’application au-delà des opérateurs de télécommunications traditionnels afin d’englober les services de communications électroniques basés sur l’internet.

2.Principales obligations incombant aux différents acteurs

Le règlement général sur la protection des données s’applique à tous les acteurs actifs dans le contexte électoral, tels que les partis politiques européens et nationaux (ci-après les «partis politiques»), les fondations politiques européennes et nationales (ci-après les «fondations»), les plateformes, les sociétés d’analyse de données et les autorités publiques chargées du processus électoral. Ils doivent traiter les données à caractère personnel (par exemple les noms et les adresses) de manière licite, régulière et transparente, uniquement à des fins déterminées. Ils ne peuvent pas les utiliser ultérieurement d’une manière incompatible avec les finalités pour lesquelles elles ont été recueillies initialement. Le traitement à des fins journalistiques relève en principe également du règlement général sur la protection des données, mais peut bénéficier des exemptions et dérogations prévues par le droit national, compte tenu de l’importance du droit à la liberté d’expression et à l’information dans une société démocratique.

La notion de données à caractère personnel est très large. On entend par «données à caractère personnel» toute donnée concernant une personne physique identifiée ou identifiable. Les données traitées dans le contexte électoral incluront souvent des catégories spéciales de données à caractère personnel («données sensibles»), telles que des opinions politiques, l’appartenance à un syndicat, l’origine ethnique, la vie sexuelle, etc., qui bénéficient d’un régime plus protecteur. En outre, l’analyse de données permet de déduire des «données sensibles» (telles que des opinions politiques, mais aussi des convictions religieuses ou des orientations sexuelles) à partir d’ensembles de données non sensibles. Le traitement de ces données déduites relève également du règlement général sur la protection des données et doit dès lors respecter toutes les règles en matière de protection des données.

En conclusion, presque toutes les opérations de traitement de données dans le contexte électoral sont soumises au règlement général sur la protection des données.

Compte tenu de la nécessité d’apporter de la clarté aux acteurs participant au processus électoral et des premières conclusions dans l’affaire Cambridge Analytica, les sections ci-après mettent l’accent sur les obligations en matière de protection des données qui revêtent une importance particulière dans le contexte électoral. Elles sont résumées dans l’annexe.

2.1Responsables du traitement des données et sous-traitants de données

La notion d’obligation de rendre des comptes qui incombe aux responsables et responsables conjoints du traitement de données est un élément central du règlement général sur la protection des données. Le responsable du traitement des données est l’organisation qui décide, seule ou en coopération avec d’autres, pourquoi et comment les données à caractère personnel sont traitées; le sous-traitant de données traite les données à caractère personnel uniquement pour le compte et sous les directives du responsable du traitement (leur relation est fixée dans un contrat ou tout autre acte juridique contraignant). Les responsables du traitement doivent mettre en place des mesures adaptées aux risques et mettre en œuvre la protection des données dès la conception et être en mesure de démontrer la conformité du traitement par rapport au règlement général sur la protection des données (principe de responsabilité).