L'Office de protection des données personnelles (UODO) demande l'encadrement du traitement des données personnelles dans le cadre de la procédure du budget participatif ; le président de l'Office a adressé une demande au ministre de l'intérieur et de l'administration le 2026-04-15.

L'Office relève que, dans la mise en œuvre du budget participatif, le traitement de données personnelles intervient non seulement par les autorités publiques mais aussi par des citoyens qui collectent et transmettent des listes de soutien. Des difficultés pratiques et des doutes juridiques ont été signalés tant par les autorités organisatrices des consultations que par les personnes concernées, en raison de l'absence de règles précises et globales régissant ce traitement. L'Office identifie comme points à préciser dans les lois relatives aux collectivités locales : qui est le responsable du traitement ; l'étendue des données traitées ; la vérification du statut des personnes habilitées à voter ; et les mesures de sécurisation des données. Il rappelle la nécessité de garantir les principes de protection des données prévus par article 5 RGPD.

L'Office note que la loi sur l'autonomie communale (art. 5a ust. 7) renvoie aux conseils municipaux la fixation, par résolution, des exigences pour les projets de budget participatif, sans préciser les critères de traitement des données que ces résolutions doivent contenir, ce qui confère une grande liberté aux autorités locales. En pratique, l'exigence du numéro PESEL lors des votes exclut des résidents (par exemple des étrangers ou des citoyens nés à l'étranger titulaires seulement d'un passeport) ; l'Office indique que l'obtention et le traitement du numéro PESEL devraient découler directement d'une disposition légale et que la jurisprudence administrative tend à considérer que l'exigence du numéro PESEL n'est pas légalement justifiée.

Sur la transformation numérique, l'Office propose d'envisager des règles pour le vote électronique garantissant la sécurité de l'institution du budget participatif, en signalant que les autorités locales n'assument pas toujours la responsabilité de la sécurité des données avant la transmission des listes et que les personnes récoltant les soutiens ne sont pas toujours conscientes de leurs obligations. Il souligne l'absence de règles sur la soumission et le soutien électroniques des projets et préconise de définir des critères minimaux pour les plateformes informatiques utilisées, dans le respect du RGPD (notamment en cas de transferts hors de l'Espace économique européen) et des réglementations nationales et européennes en matière de cybersécurité et d'identité numérique, notamment la directive NIS2 sur la sécurité des réseaux et des systèmes d'information (NIS2) et le règlement révisé sur l'identification électronique et les services de confiance (eIDAS2). Les solutions proposées doivent respecter le principe de minimisation, assurer la transparence et la vérifiabilité du scrutin, et permettre l'audit et la vérification du comptage des voix.