N° de demande d’avis : 25013264	Thématiques : règlement européen sur la transparence de la publicité politique ciblée, techniques de ciblage et de diffusion d’annonce à caractère politique.
Organisme(s) à l’origine de la saisine : ministère de la culture	Fondement de la saisine : Article 8, I, 4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés

L’essentiel :

La CNIL a été saisie, par le ministère de la culture, des dispositions d’un projet de loi portant diverses adaptations au droit de l’Union européenne qui concernent la transparence de la publicité politique ciblée.

Le règlement 2024/900 relatif à la transparence de la publicité politique ciblée (RPP) prévoit la désignation de la CNIL comme autorité compétente pour le contrôle des obligations prévues en son chapitre III qui concerne l’utilisation de techniques de ciblage et de diffusion d’annonce à caractère politique en ligne.

La CNIL accueille favorablement le projet de disposition législative prévoyant l’établissement d’une convention entre les autorités compétentes, destinée à préciser, organiser et coordonner l’accomplissement de leurs missions respectives.

Elle estime que le projet devrait à des fins de lisibilité, mentionner dans certains articles les sous-traitants ainsi que le caractère « en ligne » du ciblage et de diffusion d’annonce à caractère politique .

___________________

La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu le règlement (UE) 2024/900 relatif à la transparence et au ciblage de la publicité à caractère politique ;

Après avoir entendu le rapport de M^me Laurence Franceschini, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,

Adopte la délibération suivante :

I. La saisine

A. Le contexte

Le ministère de la culture a saisi la CNIL des dispositions du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne, qui vise à adapter le règlement 2024-900 relatif à la transparence de la publicité politique ciblée (RPP) au droit national.

Ce règlement instaure un cadre harmonisé de transparence pour la publicité politique ciblée dans l’Union européenne. Il concerne principalement trois catégories d’acteurs :

• Les parraineurs : à la demande desquels ou pour le compte desquels une annonce publicitaire à caractère politique est élaborée, placée, promue, publié, distribuée ou diffusée ;
• Les prestataires de services de publicité à caractère politique : qui fournissent des services de publicité à caractère politique, à l’exception des services purement accessoires ;
• Les éditeurs de publicité à caractère politique : qui publient, distribuent ou diffusent de la publicité à caractère politique sur tout type de support.

L’objet du règlement est de permettre l’identification claire des publicités à caractère politique, des personnes pour le compte desquelles elles sont diffusées, le processus électoral auxquelles elles se rapportent et l’utilisation éventuelle de techniques de ciblage ou de diffusion d’annonces à caractère politique.

Il impose également de nouvelles obligations aux responsables de traitement dans le cadre de l’utilisation des techniques de ciblage et/ou de diffusion d’annonces publicitaires, qui impliquent le traitement de données à caractère personnel, dans le contexte de la publicité à caractère politique en ligne.

B. L’objet de la saisine

En vertu du premier alinéa de l’article 22 de ce règlement, la CNIL est compétente pour contrôler l’application des articles 18 et 19. En conséquence, le projet de loi modifie certaines dispositions de la loi n° 78-17 du 76 janvier 1978 relative à l’informatique et aux libertés (ci-après « LIL »).

L’article 8 relatif aux missions de la CNIL est modifié pour prévoir que la CNIL est l’autorité compétente au sens de l’article 22 du RPP.

Un titre IV quinquies intitulé "Dispositions applicables aux responsables de traitement relevant du règlement (UE) 2024/900 du parlement et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique" est également ajouté.

Au titre de ces dispositions, la CNIL veille au respect des obligations prévues à l’article 18 du RPP, pour l’utilisation de techniques de ciblage ou de diffusion d’annonces à caractère politique en ligne.

En particulier :

• le responsable de traitement doit avoir collecté les données auprès de la personne concernée ;
• la personne concernée a donné son consentement explicite au sens de l’article 6 . 1. a) du RGPD ;
• le profilage au sens de l’article 4.4) du RGPD est interdit s’il implique des données sensibles ;
• ces techniques ne doivent pas porter sur les données de personnes dont l’âge est inférieur d’au moins 1 an à l’âge électoral.

A ce titre, elle assure les missions de contrôle et de sanction dont elle est investie par le RGPD.

L’article 16 de la LIL est modifié pour donner compétence à la formation restreinte de la CNIL pour prendre les mesures et prononcer les sanctions à l’encontre des responsables de traitement et sous-traitants qui ne respecteraient pas les exigences du RPP. De même, l’article 20 de la LIL relatif aux pouvoirs propres du président de la CNIL est modifié pour y inclure le RPP.

Le projet de loi prévoit également la répartition des compétences entre la CNIL, l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) et la Commission nationale des comptes de campagne et des financements politiques (CNCCFP).

II. L’avis de la CNIL

A. Observations générales

L’entrée en application du RPP conduisant à une augmentation de ses missions et ses compétences, la CNIL estime indispensable de disposer de ressources techniques, financières et humaines suffisantes. Cette condition apparaît nécessaire pour apporter de la sécurité juridique aux acteurs et les accompagner vers la conformité. Comme précisé à l’article 22.3 du RPP, les États membres doivent s’assurer que les autorités disposent de ressources techniques, financières et humaines suffisantes (y compris d’un personnel en nombre suffisant possédant les compétences et l’expertise requises).

Les autorités compétentes au titre de l’article 22 du règlement et désignées par le projet de loi sont la CNIL et l’ARCOM. Le projet de loi mentionne aussi la CNCCFP au titre des articles 14 et 16 du RPP :

— l’ARCOM est compétente pour contrôler le respect des nouvelles obligations de transparence (en dehors des dispositions concernant la protection des données personnelles) : notamment la tenue, par les prestataires, d’un registre des publicités, la publication d’un avis de transparence.

— la CNCCFP est rendue destinataire des rapports périodiques sur les services de publicité à caractère politique qui contiennent notamment des informations sur les montants ou la valeur des avantages perçus par les prestataires.

La compétence de la CNCCFP est insérée après le premier alinéa de l’article L.52-1 du code électoral. Le nouvel article 20-11 de la Loi n°86-1067 du 30 septembre 1986 relative à la liberté de communication organise la répartition des compétences entres la CNIL et l’ARCOM.

Il prévoit que les autorités compétentes au sens du règlement coopèrent entre elles et peuvent se communiquer librement les informations dont elles disposent et se consulter mutuellement. Il prévoit que les modalités de mise en œuvre de cet article sont précisées par voie de convention entre ces autorités.

La CNIL accueille favorablement la mise en place d’une convention entre les autorités compétentes, qui leur permettra de préciser et d’organiser l’articulation de leurs compétences de manière cohérente.

B. Observations particulières

• Sur les acteurs concernés

Le projet de titre IV quinquies et d’article 124-13 (nouveau) du projet de loi ne font pas mention des sous-traitants. Ces derniers sont pourtant mentionnés par la suite au projet l’article 124-12 (nouveau) qui prévoit que la CNIL "en tant qu’autorité compétente au sens de l’article 22, paragraphe 1er du règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique, sous réserve des exemptions prévues au paragraphe 3, veille au respect par les responsables de traitement et des sous-traitants qui ont leur établissement principal en France ou dont le représentant légal réside ou est établi en France des obligations énoncées".

La CNIL rappelle que le RPP s’applique sans préjudice du RGPD qui s’applique tant aux responsables de traitements qu’aux sous-traitants. Plus généralement, le RPP est applicable à des acteurs qui peuvent être des sous-traitants au sens du RGPD et notamment les prestataires ou éditeurs de publicité à caractère politique.

Elle estime à des fins de clarté que le projet de titre IV quinquies et d’article L. 124-13 devraient mentionner également les sous-traitants.

• Sur les techniques de ciblage et de diffusion d’annonce à caractère politique en ligne

Le 1^e du projet d’article 124-12 (nouveau) de la loi informatique et libertés dispose que les responsables de traitement ou sous-traitants relevant du règlement 2024/900 sont tenus de respecter les obligations les concernant énoncées au 1 de l’article 18 du RPP relatif aux "techniques de ciblage et de diffusion d’annonce publicitaires impliquant le traitement de données personnelles dans la publicité politique".

Le chapitre III du règlement concerne les techniques de ciblage et de diffusion d’annonces à caractère politiques « en ligne ».

La CNIL estime qu’a des fins de clarté, le terme « en ligne » devrait figurer dans les dispositions du projet de loi et notamment à l’alinéa 1° du projet d’article 124-12.

Par ailleurs, s’agissant de l’interprétation de cette notion, la CNIL considère, comme elle l’avait relevé dans la communication qu’elle a adoptée concernant l’application des dispositions du règlement UE 2024/900 sur transparence de la publicité politique, que les dispositions du chapitre III intégraient dans le champ d’application des articles 18 et 19 les publicités publiées, distribuées ou diffusées par des "services d’accès à l’internet" et de l’ensemble des dispositifs de communication interpersonnelle (courriels, SMS et messageries instantanées).

Cette interprétation a été retenue sous réserve d’une clarification sur ce point par la Commission européenne, étant entendu qu’elle fait également l’objet de discussions entre homologues dans le cadre des lignes directrices en cours d’élaboration au sein du Comité européen de la protection des données, afin de garantir une application cohérente du RPP.

• Sur les compétences de contrôle

L’article 124-12 (nouveau) prévoit que la CNIL assure les missions "[…] prévues à l’article 8-I-d et dispose des pouvoirs prévus aux articles 19, 20, 22 et 22-1 de la présente loi".

A des fins de clarté, la CNIL estime que le projet d’article devrait également mentionner l’article 8-I-g qui lui confère ses missions de contrôle.

Les autres dispositions du projet de loi n’appellent pas d’observations de la part de la CNIL.

La présidente,

M.-L. Denis