« Je vous souhaite à tous une excellente rentrée, et que cette année vous réserve à tous de belles réussites ! » C’est le message qu’ont reçu mardi 4 septembre de nombreux lycéens de la région Auvergne-Rhône-Alpes sur leurs téléphones portables personnels. Un SMS signé « Laurent Wauquiez, Président de la Région. »
Ce message a été révélé sur Twitter par Jean-François Debat, maire PS de Bourg-en-Bresse et conseiller régional, après que sa fille l’ait elle-même reçu. Si celui-ci ne trouve rien à redire au message envoyé, il se pose la question de l’utilisation de numéros de téléphone, recueillis dans le cadre de la mise en oeuvre du Pass’Région (qui permet aux 15-25 ans d’obtenir des réductions dans les domaines du sport et de la culture notamment), dans un objectif de communication politique.
Message reçu ce matin par ma fille lycéenne à #BourgEnBresse. C’est trop gentil mais comment @laurentwauquiez peut il avoir LÉGALEMENT accès au portable de tous les lycéens sauf via le PassRegion?? Ce fichier n’est pas destiné à cela. Je demande des explications @auvergnerhalpes pic.twitter.com/mUdIu4OR0Z
— Jean-François Debat (@JFDebat) September 4, 2018
Une réglementation en vigueur depuis 1978
Une interrogation légitime. Depuis 1978 et la loi « informatique et libertés », les choses sont claires : il est interdit d’utiliser un fichier qui contient des données personnelles de manière incompatible avec la finalité qui en a justifié la collecte. De manière générale, les données personnelles ne doivent donc pas être réutilisées dans un objectif non prévu à l’origine. Ce que rappelle la Commission nationale de l’informatique et des libertés (Cnil) dans une décision du 31 juillet, dans laquelle elle prononce une sanction de 30 000 euros à l’encontre de l’office public de l’habitat (OPH) de Rennes (Ille-et-Vilaine).
Dans cette affaire, la présidente de l’OPH, également maire (PS) de Rennes, a utilisé le fichier des locataires pour leur adresser un courrier critiquant l’annonce du gouvernement de diminuer le montant des aides personnalisées au logement. La Cnil, ayant estimé qu’il ne s’agissait pas d’un simple courrier d’information, en a conclu que ces données avaient été utilisées à d’autres fins que celle initialement prévue, à savoir la gestion de l’habitat social.
La nécessité d’un objectif précis
Ceci vaut, bien évidemment, pour les données détenues par les collectivités. Marie Ferte, juriste au sein des affaires régaliennes et des collectivités territoriales de la Cnil, synthétise ainsi : « Les collectivités détiennent une multitude de données personnelles. Pour autant, elles ne doivent pas y voir un vivier qu’elles peuvent utiliser sans limites, sans certaines règles. Les données doivent être recueillies pour un objectif précis, qui doit être défini avant la collecte. Elles ne peuvent pas ensuite être réutilisées pour un autre objet. »
Interdite donc la réutilisation des listes électorales afin de communiquer après les élections. Interdite aussi la réutilisation des documents de l’état civil pour identifier les parents d’enfants de 2 ans et les informer des modalités d’inscription à l’école maternelle ou aux activités périscolaires.
Anne Le Hénanff, adjointe au maire de Vannes (53 200 hab., Morbihan), qui a réalisé une étude concernant les usages actuels des données personnelles dans les collectivités, évoque le cas d’une commune du département « dans laquelle les services techniques sont les mieux informés sur les coordonnées des citoyens. Des agents chargés de l’organisation de réunions de quartier ont demandé ces fichiers pour pouvoir contacter les habitants à ce sujet. » Ce qui est donc prohibé par la loi.
L’importance du contexte
Seule marge de manœuvre : la notion de compatibilité. Une notion « qui reste floue » selon Yvon Goutal, avocat. L’article 6 du règlement européen sur la protection des données (RGPD) la définit comme « un lien entre les finalités pour lesquelles les données personnelles ont été collectées et les finalités du traitement ultérieur envisagé ».
Cette même disposition indique que le responsable du traitement doit tenir compte du contexte dans lequel ces données ont été collectées pour déterminer s’il y a compatibilité ou non. Yvon Goutal estime que la décision « OPH de Rennes » montre que la Cnil « sera attentive à cette notion de compatibilité et qu’il y aura des limites. Et l’une des lignes rouges qui se dessine, c’est la réexploitation de données personnelles pour faire de la propagande politique. Si, dans cette affaire, l’OPH s’était contenté de faire un point informatif par son courrier, il n’aurait pas été sanctionné ».
Afin d’éviter tout risque de mauvaise utilisation des données personnelles, Marie Ferte conseille de créer une cartographie des fichiers mis en œuvre par la collectivité, qui doit de toute façon être réalisée dans le cadre de l’instauration du RGPD. « Il faut fixer l’objectif de chaque traitement, ainsi que sa base légale, pour cerner le périmètre dans lequel peuvent être utilisées les données personnelles qu’il contient. »
Une précaution importante. Puisque, comme le rappelle Jérôme Deroulez, avocat : « N’oublions que les données des administrés leur appartiennent. S’ils les confient à quelqu’un, ils doivent pouvoir leur faire confiance quant à leur utilisation.
Quid des SMS envoyés par Laurent Wauquiez ?
Dans l’affaire du SMS envoyé par Laurent Wauquiez aux lycéens qui ont souscrits au Pass’Région, la ligne semble avoir été franchie. Au moment du recueil des données personnelles nécessaires à la réception de carte, il est indiqué qu’il est « fortement recommandé de renseigner le n° de téléphone mobile du jeune bénéficiaire ainsi que son email afin de recevoir les offres et bons plans liés au Pass’Région». Il s’agit bien là de la motivation initiale qui a justifié le recueil des numéros de téléphone, qui ne peuvent donc être utilisés que dans ce but.
Autre spécificité de cette affaire : le fait qu’il s’agisse de données personnelles de personnes mineures. Le RGPD pose en effet que « les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel. Cette protection spécifique devrait, notamment, s’appliquer à l’utilisation de données à caractère personnel relatives aux enfants à des fins de marketing ou de création de profils de personnalité ou d’utilisateur et à la collecte de données à caractère personnel relatives aux enfants lors de l’utilisation de services proposés directement à un enfant. »
Si la Cnil n’a pour l’instant pas reçue de plainte concernant cette affaire, elle a annoncé de demander des précisions à la Région Auvergne-Rhône-Alpes.
Cet article est en relation avec le dossier
Domaines juridiques
