L'autorité de protection des données française (CNIL) a publié cinq décisions de sanction à l'encontre de candidats aux élections européennes et législatives de 2024, comprenant le prononcé d'une amende cumulée de 23 500 €, pour des manquements en lien avec l'envoi de messages de prospection politique.

Cette affaire débute par des signalements de citoyens via un téléservice mis en place par la Commission Nationale de l'Informatique et des Libertés (CNIL) durant les élections de 2024, concernant la réception de messages de prospection politique.

L’enquête menée par l’autorité a permis de constater :
* Obligation de limitation des finalités (article 5, paragraphe 1, point b du RGPD) : Un candidat, professionnel de santé, a utilisé les numéros de téléphone de ses patients, collectés pour le suivi médical, afin de leur adresser des messages de campagne. L'autorité a jugé cet usage incompatible avec la finalité initiale de la collecte des données.

* Obligation d'information des personnes (articles 12, 13 et 14 du RGPD) : Quatre des cinq candidats sanctionnés n'ont pas fourni l'ensemble des informations obligatoires dans leurs communications. Cette obligation s'applique que les données soient collectées directement ou obtenues auprès de tiers comme des sociétés spécialisées ou des listes électorales.

* Obligation de faciliter l'exercice du droit d'opposition (articles 12 et 21 du RGPD) : Il a été constaté que deux candidats n'avaient mis en place aucun moyen simple et effectif pour permettre aux destinataires de s'opposer à la réception de futurs messages, tel qu'un lien de désinscription ou un dispositif « STOP SMS ».

* Obligation de répondre à une demande d'exercice des droits (articles 12, 15 et 17 du RGPD) : Un candidat a été sanctionné pour ne pas avoir donné suite à une demande d'accès, portant sur l'origine des données et la base légale du traitement, ainsi qu'à une demande d'effacement formulée par un plaignant.

* Obligation d'assurer la confidentialité des données (article 32 du RGPD) : Un candidat a envoyé un courriel de prospection à plusieurs centaines de destinataires sans utiliser la fonction de copie carbone invisible (cci), exposant ainsi leurs adresses électroniques. L'autorité a souligné la gravité de ce manquement, car ces données révélaient les opinions politiques des personnes, constituant des données sensibles au sens de l'article 9 du RGPD.

En conséquence, l’autorité a imposé une amende cumulée de 23 500 € aux candidats concernés.
En outre, l’autorité a ordonné à l'un des candidats de répondre à la demande d'exercice de droits qu'il avait reçue.