Le Préposé a reçu diverses questions de journalistes et de partis politiques sur la manière de concilier les outils de gestion de campagne avec la protection de la sphère privée et le droit à l’autodétermination informationnelle des citoyens. Le présent document vise à y répondre.
Contexte
Des groupement politiques et autres communautés d’intérêts utilisent des applications numériques pour intégrer certaines de leurs actions sur leurs pages Internet, par exemple, et pour les planifier et les exécuter en interaction avec certains groupes cibles de personnes. Les données nécessaires à ces applications proviennent de personnes qui ont manifesté un intérêt pour certains types de contenus. Après avoir saisi des informations telles que le nom et l’adresse de messagerie électronique de ces personnes, les responsables des campagnes peuvent tirer des conclusions sur leurs intérêts et affinités politiques en comparant au moyen d’un algorithme le comportement qu’ils adoptent sur des plateformes de réseaux sociaux.
L’utilisation d’outils de campagne numériques implique ainsi de traiter des données sur les convictions politiques et idéologiques des personnes, soit autant de données sensibles par excellence. En appariant les données que les personnes laissent sur des sites Internet et des plateformes de réseaux sociaux, on peut par ailleurs dresser des profils de la personnalité. Aux termes de l’article 4, al. 5, de la loi fédérale sur la protection des données (LPD), le traitement de données sensibles ou de profils de la personnalité requiert le consentement explicite de la personne concernée, à moins que la loi ou un intérêt prépondérant privé ou public le justifient (art. 13 LPD).
Considérations juridiques
Dans ce contexte, le Préposé parvient à l’évaluation juridique suivante sur la base de l’art. 4, al. 5, LPD.
- Le traitement de données personnelles au moyen d’outils de gestion de campagne n’est autorisé que si les personnes concernées ont donné leur consentement de manière explicite, que le principe d’autodétermination est respecté et que les personnes étaient suffisamment informées de l’utilisation de leurs données. Les groupements politiques et autres communautés d’intérêts ne sont autorisés à traiter des données au moyen de ces outils que pour les fins et dans la mesure prévues.
- Le consentement est explicite si la personne concernée s’est enregistrée sur le site Internet des responsables de la campagne et qu’elle a expressément déclaré (par ex. en cochant une case) qu’elle était d’accord que ses données d’utilisation soient traitées par ces outils.
- Les déclarations par lesquelles les personnes acceptent uniquement de manière générale les conditions d’utilisation ne constituent pas un consentement explicite à l’utilisation d’outils de gestion de campagne.
- Les déclarations que les personnes doivent faire pour s’abonner à des projets et contenus publiés par les responsables de campagne, par ex. sur des plateformes de réseaux sociaux, ou pour les commenter ne constituent pas davantage un consentement explicite.
- On ne peut consentir qu’à l’utilisation de ses propres données: l’utilisation d’outils de gestion de campagne pour les données de tiers requiert leur consentement.
- Le consentement respecte le principe d’autodétermination si la personne a en tout temps la possibilité de révoquer son consentement et de faire cesser le traitement de ses données par l’outil de gestion de campagne.
- Un consentement éclairé (suffisamment informé) suppose que les personnes concernées aient reçu, avant l’enregistrement sur le site, des informations complètes et transparentes sur le traitement de leurs données par l’outil de gestion de campagne et sur leurs droits, notamment celui de révoquer en tout temps leur consentement.
- Les informations sont transparentes si elles sont facilement compréhensibles, qu’elles peuvent être trouvées rapidement et que des schémas en facilitent la lecture.
- Les textes publiés en ligne sont complets s’ils expliquent, avec un degré de détails progressif adapté aux destinataires, les objectifs et le fonctionnement des outils numériques de gestion de campagne, notamment la durée du traitement et, le cas échéant, la transmission des données à des tiers. À cet effet, la page d’enregistrement doit contenir, à un endroit bien visible, des informations concises présentant les principaux aspects du traitement des données. Chacun de ces points doit contenir des liens grâce auxquels le lecteur peut consulter les passages pertinents des règlements concernant le traitement des données et des règles de protection des données applicables.
- Pour être complètes, les informations doivent par ailleurs contenir notamment des indications sur le traitement des données qui sont enrichies et évaluées au moyen d’informations tirées des réseaux sociaux (appariement avec les réseaux sociaux).
PFPDT, 18 octobre 2017