Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia - 3

F

O

L

C

U

S

e Parlement européen, qui
a adopté la législation la
plus protectrice au monde
en matière de données
personnelles, a été épinglé par le
Contrôleur européen de la protection
des données. Il lui a infligé deux
blâmes pour ne pas avoir respecté le
RGPD dans le cadre de son recours
aux prestations de BuilderNation pour
les élections européennes de 2018.
Il s'agit de la première sanction jamais
donnée par le CEDP à une institution
de l'UE. Le Contrôleur lui reproche
la violation de l'article 29 du RGPD
quant à la sélection et à l'absence
d'agrément des sous-traitants de
NationBuilder et l'omission de la
publication de la politique relative à
la protection de la vie privée de son
site Thistimeimvoting.eu, destiné à
inciter les Européens à voter. Le CEPD
devait poursuivre son enquête jusqu'à
la fin de l'année et rendre publiques
ses conclusions.
Le Parlement européen est loin d'être
le seul à recourir à la plateforme
américaine NationBuilder. Elle a
été choisie par Donald Trump mais
aussi par Jean-Luc Mélenchon,
Emmanuel Macron, François Fillon,
Alain Juppé, Bruno Le Maire, Anne
Hidalgo, François Hollande, Jacques
Cheminade, etc. Au Royaume-Uni, la
plateforme est utilisée aussi bien par
les travaillistes que les conservateurs,
par les indépendantistes écossais ou
gallois ou Acinda Ardern, la Première
ministre Néo-Zélandaise.
NationBuilder permet de créer
une communauté pour gérer une
campagne électorale comme on
mène une campagne marketing avec
des prospects, des clients, des leads,
du branding, du storytelling. La plateforme est un Content Management
System (CMS), un système de gestion
de contenus, qui se présente sous
la forme d'une suite logicielle, une
sorte de couteau suisse avec quatre
grandes fonctions : gestion de site
web de campagne, construction
d'une communauté grâce à une base
de données regroupant adhérents,
sympathisants et prospects, collecte
de dons en ligne et gestion des relations avec les internautes, grâce
à l'envoi systématique de SMS ou
de courriels.

DONNÉES PERSONNELLES

Le Parlement européen
sanctionné par le CEDP
La Contrôleur européen à la protection des
données a infligé deux blâmes à l'Europarlement
qui n'a pas respecté le RGPD quand il a utilisé
NationBuilder pour les élections européennes.
Cet outil de l'empowerment militant,
qui est diffusé en mode SaaS, se
nourrit de la collecte massive de
données personnelles des membres
de l'organisation mais aussi de
données de sources extérieures
publiques (Insee, résultats électoraux,
etc.), de fichiers loués, mais aussi de la
captation des informations provenant
des réseaux sociaux, y compris les
likes, les retweets, les adresses emails
des signataires de pétitions en ligne.
Ces informations sont croisées afin
de profiler et de cibler les électeurs
potentiels pour envoyer le meilleur
message. Sauf que l'Europe n'est pas
les Etats-Unis, et ce qui est possible
et accepté outre-Atlantique n'est pas
toujours permis de l'autre côté de
l'océan.
Le 8 novembre 2016, la Cnil est
intervenue dans le cadre de la
campagne présidentielle de 2017,
pour rappeler les règles en matière
d'utilisation des données issues
des réseaux sociaux, obligeant de
facto NationBuilder à supprimer, en
France, la fonctionnalité qui permet
d'agréger en base les informations
personnelles publiques extraites des
réseaux sociaux. Le Royaume-Uni
y a par la suite renoncé, comme le
Parlement européen.
La Cnil a en effet rappelé que le
caractère public des informations
sur les réseaux sociaux ne leur fait
pas perdre le statut de données
personnelles. Par conséquent, elles
doivent être collectées de façon loyale
et licite. Par ailleurs, la Cnil opère une
distinction entre contacts réguliers et
contacts occasionnels. La personne
qui fait une démarche positive auprès
d'un parti politique doit être informée
du traitement de ses données et de la
possibilité de s'y opposer.
EXPERTISES Janvier 2020

Quant aux contacts occasionnels
(par exemple, la personne ayant liké,
partagé, commenté ou retweeté
du contenu), le parti doit recueillir
son consentement pour lui envoyer
des messages de communication
publique. «  Ces logiciels posent ainsi
la question des limites à apporter
à la combinaison de données, à
l'exploitation de données relatives
au comportement, aux goûts et aux
interactions sociales en ligne des
personnes, ainsi qu'aux conséquences
de ces opérations sur les personnes
concernées ».
L'autre point sensible du recours
à NationBuilder réside dans le fait
que les données personnelles sont
stockées aux Etats-Unis, donc à
l'extérieur de l'Union européenne. Ce
transfert de données est cependant
conforme au RGPD dans la mesure
où NationBuilder a adhéré aux
principes du Privacy Shield. La
plateforme indique même avoir
désigné un délégué à la protection
des données. Cette certification est
censée nous rassurer alors que les
garanties et les recours sont bien
en deça des standards européens.
D'ailleurs, la Cour de justice de l'UE
doit se prononcer sur l'accord du
Privacy Shield, suite à une action
de Max Schrems qui avait été à
l'origine de l'invalidation du Safe
Harbor. C'est aussi toute la question
de la souveraineté numérique
qui est justement pointée par son
concurrent français DigitaleBox qui
héberge les données des personnes
sur le territoire national. D'autant
plus quand les données traitées
révèlent les opinions politiques
des personnes.

Sylvie ROZENFELD

3
http://www.Thistimeimvoting.eu
Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2020 - N°453 - Le mensuel du droit de l'informatique et du multimédia
