Réponse publiée le 4 juin 2024

La collecte et l'utilisation des adresses mails des élus locaux, régionaux et nationaux constituent un traitement de données à caractère personnel. Le caractère public ou librement accessible des données disponibles sur des sites internet ne leur fait pas perdre ce statut de données personnelles. Le cadre juridique en matière de protection des données personnelles est donc pleinement applicable, en particulier les règles énoncées dans le RGPD et la loi informatique et libertés (LIL), et la CNIL y apporte une vigilance particulière. Elle rappelle notamment régulièrement qu'en tant que candidat ou élu, il n'est pas autorisé d'utiliser les fichiers auxquels les fonctions institutionnelles, associatives ou professionnelles permettent d'accéder à des fins de prospection politique. Le traitement de ces données doit ainsi être loyal et licite. En ce qui concerne la licéité du traitement, il appartient au responsable de traitement qui souhaite collecter les données d'identifier la base légale appropriée au traitement envisagé. Pour cela, si la collecte du consentement est exclue, il est possible de se fonder sur l'intérêt légitime du responsable du traitement, à condition que cet intérêt ne soit pas préjudiciable aux droits et libertés fondamentaux des personnes concernées. Cet intérêt légitime doit être évalué au cas par cas, en prenant en compte notamment la nature des données traitées, les finalités du traitement, les droits des personnes concernées ainsi que tout autre élément pertinent. Il convient ainsi, comme le rappelle la CNIL, de respecter certaines conditions, notamment : Justifier du respect de la condition de nécessité en s'assurant notamment qu'il n'existe pas de moyen moins intrusif pour le respect de la vie privée des personnes concernées, en l'espèce les élus, d'atteindre cet objectif que de mettre en œuvre le traitement envisagé ; Déterminer de façon suffisamment claire et précise l'intérêt poursuivi, qui devra être réel et présent, et non fictif ; S'assurer que le traitement ne heurte pas les droits et les intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables. A ce stade, il convient en pratique d'effectuer une mise en balance entre les droits et intérêts en cause ; Mettre en œuvre des mesures additionnelles adéquates pour limiter les impacts du traitement sur les personnes concernées. Le RGPD impose également une obligation de transparence et d'information renforcée à l'égard des personnes concernées. A cet égard, le lien permettant d'être radié du fichier peut constituer une modalité d'information et d'exercice des droits. Par ailleurs, le responsable du fichier doit garantir la sécurité et la confidentialité des données qu'il collecte et traite. Enfin, la formalité de déclaration des fichiers a disparu avec le RGPD. En revanche, il convient de conserver une documentation relative à la mise en œuvre de ce traitement de données pour attester de sa conformité aux règles en vigueur.