Délibération n° 2025-084 du 25 septembre 2025 portant avis sur un projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne en matière de transparence de la publicité politique ciblée
| Numéro | 2025-084 |
| Date | jeudi 25 septembre 2025 |
| Nature | Délibération |
| État | En vigueur |
| Référence | CNILTEXT000052377482 |
|
N° de demande d’avis : 25013264 |
Thématiques : règlement européen sur la transparence de la publicité politique ciblée, techniques de ciblage et de diffusion d’annonce à caractère politique. |
|
Organisme(s) à l’origine de la saisine : ministère de la culture |
Fondement de la saisine : Article 8, I, 4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés |
L’essentiel :
La CNIL a été saisie, par le ministère de la culture, des dispositions d’un projet de loi portant diverses adaptations au droit de l’Union européenne qui concernent la transparence de la publicité politique ciblée.
Le règlement 2024/900 relatif à la transparence de la publicité politique ciblée (RPP) prévoit la désignation de la CNIL comme autorité compétente pour le contrôle des obligations prévues en son chapitre III qui concerne l’utilisation de techniques de ciblage et de diffusion d’annonce à caractère politique en ligne.
La CNIL accueille favorablement le projet de disposition législative prévoyant l’établissement d’une convention entre les autorités compétentes, destinée à préciser, organiser et coordonner l’accomplissement de leurs missions respectives.
Elle estime que le projet devrait à des fins de lisibilité, mentionner dans certains articles les sous-traitants ainsi que le caractère "en ligne" du ciblage et de diffusion d’annonce à caractère politique .
___________________
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le règlement (UE) 2024/900 relatif à la transparence et au ciblage de la publicité à caractère politique ;
Après avoir entendu le rapport de Mme Laurence Franceschini, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. La saisine
A. Le contexte
Le ministère de la culture a saisi la CNIL des dispositions du projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne, qui vise à adapter le règlement 2024-900 relatif à la transparence de la publicité politique ciblée (RPP) au droit national.
Ce règlement instaure un cadre harmonisé de transparence pour la publicité politique ciblée dans l’Union européenne. Il concerne principalement trois catégories d’acteurs :
L’objet du règlement est de permettre l’identification claire des publicités à caractère politique, des personnes pour le compte desquelles elles sont diffusées, le processus électoral auxquelles elles se rapportent et l’utilisation éventuelle de techniques de ciblage ou de diffusion d’annonces à caractère politique.
Il impose également de nouvelles obligations aux responsables de traitement dans le cadre de l’utilisation des techniques de ciblage et/ou de diffusion d’annonces publicitaires, qui impliquent le traitement de données à caractère personnel, dans le contexte de la publicité à caractère politique en ligne.
B. L’objet de la saisine
En vertu du premier alinéa de l’article 22 de ce règlement, la CNIL est compétente pour contrôler l’application des articles 18 et 19. En conséquence, le projet de loi modifie certaines dispositions de la loi n° 78-17 du 76 janvier 1978 relative à l’informatique et aux libertés (ci-après "LIL").
L’article 8 relatif aux missions de la CNIL est modifié pour prévoir que la CNIL est l'autorité compétente au sens de l'article 22 du RPP.
Un titre IV quinquies intitulé "Dispositions applicables aux responsables de traitement relevant du règlement (UE) 2024/900 du parlement et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique" est également ajouté.
Au titre de ces dispositions, la CNIL veille au respect des obligations prévues à l’article 18 du RPP, pour l’utilisation de techniques de ciblage ou de diffusion d’annonces à caractère politique en ligne.
En particulier :
A ce titre, elle assure les missions de contrôle et de sanction dont elle est investie par le RGPD.
L’article 16 de la LIL est modifié pour donner compétence à la formation restreinte de la CNIL pour prendre les mesures et prononcer les sanctions à l’encontre des responsables de traitement et sous-traitants qui ne respecteraient pas les exigences du RPP. De même, l’article 20 de la LIL relatif aux pouvoirs propres du président de la CNIL est modifié pour y inclure le RPP.
Le projet de loi prévoit également la répartition des compétences entre la CNIL, l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) et la Commission nationale des comptes de campagne et des financements politiques (CNCCFP).
II. L’avis de la CNIL
A. Observations générales
L’entrée en application du RPP conduisant à une augmentation de ses missions et ses compétences, la CNIL estime indispensable de disposer de ressources techniques, financières et humaines suffisantes. Cette condition apparaît nécessaire pour apporter de la sécurité juridique aux acteurs et les accompagner vers la conformité. Comme précisé à l’article 22.3 du RPP, les États membres doivent s’assurer que les autorités disposent de ressources techniques, financières et humaines suffisantes (y compris d’un personnel en nombre suffisant possédant les compétences et l’expertise requises).
Les autorités compétentes au titre de l’article 22 du règlement et désignées par le projet de loi sont la CNIL et l’ARCOM. Le projet de loi mentionne aussi la CNCCFP au titre des articles 14 et 16 du RPP :
- l’ARCOM est compétente pour contrôler le respect des nouvelles obligations de transparence (en dehors des dispositions concernant la protection des données personnelles) : notamment la tenue, par les prestataires, d’un registre des publicités, la publication d’un avis de transparence.
- la CNCCFP est rendue destinataire des rapports périodiques sur les services de publicité à caractère politique qui contiennent notamment des informations sur les montants ou la valeur des avantages perçus par les prestataires.
La compétence de la CNCCFP est insérée après le premier alinéa de l’article L.52-1 du code électoral. Le nouvel article 20-11 de la Loi n°86-1067 du 30 septembre 1986 relative à la liberté de communication organise la répartition des compétences entres la CNIL et l’ARCOM.
Il prévoit que les autorités compétentes au sens du règlement coopèrent entre elles et peuvent se communiquer librement les informations dont elles disposent et se consulter mutuellement. Il prévoit que les modalités de mise en œuvre de cet article sont précisées par voie de convention entre ces autorités.
La CNIL accueille favorablement la mise en place d’une convention entre les autorités compétentes, qui leur permettra de préciser et d’organiser l’articulation de leurs compétences de manière cohérente.
B. Observations particulières
Le projet de titre IV quinquies et d’article 124-13 (nouveau) du projet de loi ne font pas mention des sous-traitants. Ces derniers sont pourtant mentionnés par la suite au projet l’article 124-12 (nouveau) qui prévoit que la CNIL "en tant qu'autorité compétente au sens de l'article 22, paragraphe 1er du règlement (UE) 2024/900 du Parlement européen et du Conseil du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique, sous réserve des exemptions prévues au paragraphe 3, veille au respect par les responsables de traitement et des sous-traitants qui ont leur établissement principal en France ou dont le représentant légal réside ou est établi en France des obligations énoncées".
La CNIL rappelle que le RPP s’applique sans préjudice du RGPD qui s’applique tant aux responsables de traitements qu’aux sous-traitants. Plus généralement, le RPP est applicable à des acteurs qui peuvent être des sous-traitants au sens du RGPD et notamment les prestataires ou éditeurs de publicité à caractère politique.
Elle estime à des fins de clarté que le projet de titre IV quinquies et d’article L. 124-13 devraient mentionner également les sous-traitants.
Le 1e du projet d’article 124-12 (nouveau) de la loi informatique et libertés dispose que les responsables de traitement ou sous-traitants relevant du règlement 2024/900 sont tenus de respecter les obligations les concernant énoncées au 1 de l’article 18 du RPP relatif aux "techniques de ciblage et de diffusion d’annonce publicitaires impliquant le traitement de données personnelles dans la publicité politique".
Le chapitre III du règlement concerne les techniques de ciblage et de diffusion d’annonces à caractère politiques "en ligne".
La CNIL estime qu’a des fins de clarté, le terme "en ligne" devrait figurer dans les dispositions du projet de loi et notamment à l’alinéa 1° du projet d’article 124-12.
Par ailleurs, s’agissant de l’interprétation de cette notion, la CNIL considère, comme elle l’avait relevé dans la communication qu’elle a adoptée concernant l’application des dispositions du règlement UE 2024/900 sur transparence de la publicité politique, que les dispositions du chapitre III intégraient dans le champ d’application des articles 18 et 19 les publicités publiées, distribuées ou diffusées par des "services d’accès à l’internet" et de l’ensemble des dispositifs de communication interpersonnelle (courriels, SMS et messageries instantanées).
Cette interprétation a été retenue sous réserve d’une clarification sur ce point par la Commission européenne, étant entendu qu’elle fait également l’objet de discussions entre homologues dans le cadre des lignes directrices en cours d’élaboration au sein du Comité européen de la protection des données, afin de garantir une application cohérente du RPP.
L’article 124-12 (nouveau) prévoit que la CNIL assure les missions "[…] prévues à l’article 8-I-d et dispose des pouvoirs prévus aux articles 19, 20, 22 et 22-1 de la présente loi".
A des fins de clarté, la CNIL estime que le projet d’article devrait également mentionner l’article 8-I-g qui lui confère ses missions de contrôle.
Les autres dispositions du projet de loi n’appellent pas d’observations de la part de la CNIL.
La présidente,
M.-L. Denis
Délibération n° 2026-026 du 19 mars 2026 portant avis sur un projet de traitement à des fins de recherche scientifique relatif à la mise en oeuvre d’une analyse discursive et interactionnelle en intervention précoce en psychiatrie
L'Université de Montpellier Paul-Valéry a sollicité un avis de la CNIL sur un projet de recherche en psychiatrie impliquant le traitement de données sensibles. La Commission a émis un avis favorable, assorti de recommandations pour atténuer les risques de réidentification, notamment par la pseudonymisation et la suppression des données non pertinentes après analyse. Elle rappelle également l'obligation d'informer les personnes concernées et de vérifier l'application de la dérogation prévue pour la recherche scientifique.
19/03/2026
Délibération n° HABS-2026-001 du 19 mars 2026 habilitant des agents de la Commission nationale de l’informatique et des libertés à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi n° 78-17 du 6 janvier 1978 modifiée
La CNIL, en tant qu'organisme concerné, a adopté une délibération interne portant habilitation. Cette décision vise à habiliter vingt-cinq agents spécifiques de sa direction des contrôles et des sanctions à établir des rapports dans le cadre de ses pouvoirs de contrôle. Les habilitations sont accordées pour une durée de cinq ans et remplacent une précédente délibération. Aucune sanction n'est mentionnée, cette délibération étant un acte d'organisation interne de l'autorité.
19/03/2026
Délibération n° 2026-023 du 12 mars 2026 portant avis sur un projet de loi renforçant la sécurité du quotidien
La CNIL émet un avis sur un projet de loi du ministère de l'Intérieur visant à renforcer la sécurité du quotidien. Elle relève plusieurs manquements ou risques concernant l'élargissement de l'usage des caméras individuelles à des acteurs privés, l'expérimentation prolongée de traitements algorithmiques sur vidéosurveillance et drones, et la généralisation des dispositifs LAPI avec des durées de conservation allongées. La Commission souligne la nécessité de strictes limites, d'un meilleur encadrement et du respect du principe de proportionnalité pour ces dispositifs intrusifs, afin de protéger les libertés individuelles.
12/03/2026
Délibération n° 2026-019 du 05 mars 2026 portant avis sur un projet de traitement à des fins de recherche scientifique dont l’objectif est d’étudier l’état du droit de la filiation procréative des personnes transgenres (PROTRANS)
L'Université Lumière Lyon 2 a sollicité un avis de la CNIL pour un projet de recherche scientifique sur la filiation procréative des personnes transgenres, impliquant le traitement de données sensibles. La CNIL émet un avis favorable mais formule des recommandations, notamment sur la nécessité de clarifier la répartition des responsabilités entre les universités co-responsables du traitement. Elle souligne également les risques de collecte incidente de données lors des entretiens et de réidentification des personnes, en raison du faible nombre de participants et de la collecte d'informations telles que la commune de naissance dans les décisions de justice.
05/03/2026