Bonjour le CoinCoin,
Je réagis à l'article « Le fichier dont ils se fichent » publié en Une du Canard d'aujourd'hui (16/10).
Étant membre d'une association qui œuvre dans la défense de la vie privée et l'application stricte du RGPD, j'avais mis au débat votre article « Ciotti dépouille LR » de la semaine passée dès sa parution dans l'objectif d'un signalement à la CNIL.
Il s'avère que les informations du CoinCoin sont insuffisantes pour agir.
En effet, le 11 juin 2024, Ciotti, bien qu'il venait d'annoncer une alliance avec le RN, était toujours président de LR, et, en tant que tel, il pouvait légalement se faire communiquer le fichier des adhérents. Nous entrions également dans une campagne électorale pour laquelle la présidence d'un parti politique peut légitimement avoir besoin de compter ses adhérents, de les contacter, etc. Tout au plus on peut faire grief à la DG de ne pas avoir questionné l'usage (la finalité) qu'en ferait Ciotti, mais c'est déjà limite. Le courriel du 11 juin fait-il état de la finalité sans que le Volatile en est informé ses lecteurs ?
Avec ce seul email, la violation de données à caractère personnel n'est pas établie : Ciotti a-t-il réellement emporté le fichier avec lui après son départ des LR ? N'importe quel salarié ou agent public peut connaître du fichier clients / usagers, y compris le jour de sa démission / licenciement. Dans cette incertitude, on ne peut pas lui tenir rigueur de ne pas avoir informé les adhérents de la communication de leurs données (à un parti politique qui n'existait pas encore, d'ailleurs) ni de ne pas avoir qualifié les données (s'assurer que les adhérents consentent à de futurs contacts par l'UDR et s'assurer de détenir également les oppositions antérieures).
Conclusion : c'est bien un potentiel usage futur qui fera apparaître des manquements au RGPD. À cet instant, nous n'en savons pas assez pour établir de quelconques manquements à la législation. Conséquence, les bavardages de prudence relayés ce jour par le CoinCoin ne sont pas infondés : avant d'agir, encore faut-il en être en capacité.
Un point subsidiaire interroge : toute donnée à caractère personnel doit être conservée pour une durée limitée proportionnée à la finalité poursuivie. Ainsi, les anciens membres de LR, qui n'ont pas conservés leur carte, doivent être retirés du fichier après un certain temps défini par LR. Or, le Canard, qui nous informe que le fichier du 11 juin se nomme « […] et non renouvelants », fait état d'« au moins 250 000 noms » alors que des articles de presse font état de 48 500 adhérents en 2022 et 72 000 à jour de cotisation en 2023. Un ménage portant sur les non renouvelants semble apparaître nécessaire. Mais, là encore, l'article du CoinCoin est trop flou pour envisager un signalement à la CNIL : il ne dit pas si le Canard sait, par une autre manière, que LR compte 250 000 adhérents ou si le fichier communiqué à Ciotti le 11 juin contient 250 000 lignes. Seul le deuxième cas ouvre la voie à un signalement à la CNIL. Qu'en est-il ?
Bonne journée.
