La CNIL face au ciblage politique des municipales 2026 : l'autorité administrative indépendante au cœur de la régulation numérique des campagnes électorales
La Commission nationale de l'informatique et des libertés (CNIL) a publié, le 8 avril 2026, le bilan de son observatoire des élections relatif aux scrutins municipaux des 15 et 22 mars 2026. Entre la mise en ligne de la plateforme de signalement le 30 janvier 2026 et le second tour, l'autorité a enregistré 739 signalements, dont 405 (63 %) liés à de la prospection par SMS, 98 (16 %) à des courriers, 85 (13 %) à des courriels, 45 (7 %) à des appels téléphoniques et 9 (1 %) à du démarchage sur les réseaux sociaux. Parallèlement, 81 plaintes ont été instruites, motivées principalement par l'origine douteuse des données et, pour certains candidats sortants, par des suspicions de détournement de finalité de fichiers publics. Quatre contrôles et une procédure de sanction simplifiée ont été engagés à l'encontre d'un candidat n'ayant pas répondu à une demande d'exercice des droits. Le volume de signalements est en baisse significative par rapport à 2020, scrutin lors duquel la CNIL avait reçu 3 948 signalements dans 329 communes. Ces élections étaient les premières soumises au règlement (UE) 2024/900 du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique, pleinement applicable depuis le 10 octobre 2025, qui impose la collecte directe des données par le responsable de traitement, le consentement explicite comme seule base légale admise, l'interdiction du profilage à partir de données sensibles et l'interdiction du ciblage des mineurs de moins de 17 ans.
Le statut d'autorité administrative indépendante consolidé par la loi du 20 janvier 2017
Créée par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, dans le sillage de l'affaire SAFARI, la CNIL constitue la première autorité administrative indépendante (AAI) française dans le champ numérique. Son statut a été consolidé par la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et autorités publiques indépendantes, qui dresse la liste limitative des AAI et garantit leur indépendance organique et fonctionnelle. Le Conseil constitutionnel, dans sa décision n° 2017-746 DC du 19 janvier 2017, a validé cette loi en rappelant que la création d'une AAI relève de la compétence exclusive du législateur. La composition collégiale de la CNIL (18 membres), l'irrévocabilité de ses membres et l'autonomie budgétaire concourent à garantir son indépendance, exigée par l'article 52 du RGPD pour toutes les autorités de contrôle nationales.
Le triptyque normatif applicable à la prospection politique : RGPD, loi de 1978 et règlement 2024/900
Le cadre juridique de la prospection politique repose désormais sur trois étages. Au niveau européen, le règlement (UE) 2016/679 (RGPD) impose, en son article 6, qu'un traitement repose sur une base légale, et en son article 9, l'interdiction de principe du traitement des données dites sensibles, parmi lesquelles figurent expressément les opinions politiques. La CNIL considère, conformément aux lignes directrices du Comité européen de la protection des données (CEPD), que la seule base légale admissible pour le démarchage politique est le consentement libre, spécifique, éclairé et univoque au sens de l'article 4, paragraphe 11, du RGPD. Au niveau national, la loi du 6 janvier 1978 modifiée, notamment par la loi n° 2018-493 du 20 juin 2018, transpose et adapte le RGPD. Enfin, le règlement (UE) 2024/900 introduit une lex specialis applicable à la publicité politique : ses articles 18 et 19, dont la CNIL est désignée autorité compétente, encadrent les techniques de ciblage et de diffusion d'annonces, interdisent le profilage fondé sur des données sensibles et le ciblage des mineurs, et imposent des obligations de transparence renforcées aux plateformes en ligne.
Pouvoirs de contrôle et de sanction : un arsenal gradué sous contrôle juridictionnel
La CNIL dispose d'un pouvoir de contrôle sur pièces et sur place (article 19 de la loi de 1978) et d'un pouvoir de sanction exercé par sa formation restreinte. Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial en application de l'article 83 du RGPD. La procédure de sanction simplifiée, introduite par la loi n° 2022-52 du 24 janvier 2022, permet de traiter les manquements de moindre gravité avec des décisions non publiques plafonnées à 20 000 euros. Le Conseil constitutionnel, dans sa décision n° 2012-280 QPC du 12 octobre 2012 (Société Groupe Canal Plus), avait posé le principe selon lequel le cumul des fonctions d'instruction et de jugement au sein d'une AAI doit respecter les exigences d'impartialité tirées de l'article 16 de la Déclaration de 1789, principe transposé à la CNIL. Les décisions de sanction sont susceptibles de recours devant le Conseil d'État, juge de cassation des décisions des AAI selon une jurisprudence constante (CE, Ass., 3 décembre 1999, Didier, n° 207434, qui a appliqué l'article 6 § 1 de la Convention européenne des droits de l'homme aux procédures devant les AAI). La CJUE, dans son arrêt Schrems II du 16 juillet 2020 (C-311/18), a réaffirmé l'obligation pour les autorités nationales de contrôle d'assurer une protection effective des droits des personnes concernées.
Le rôle préventif et pédagogique : observatoire, lignes directrices et soft law
Au-delà de ses pouvoirs répressifs, la CNIL exerce une mission de régulation par le droit souple. La réactivation, à chaque échéance électorale, de l'observatoire des élections, la publication de six fiches pratiques en octobre 2025, l'envoi de courriers de rappel aux candidats et partis, et le partenariat avec l'Association des maires de France illustrent une approche de compliance fondée sur l'accompagnement. Le Conseil d'État, dans son arrêt GISTI du 12 juin 2020 (n° 418142), a précisé que les actes de droit souple des autorités de régulation peuvent faire grief et donc être déférés au juge de l'excès de pouvoir lorsqu'ils sont susceptibles d'avoir des effets notables, jurisprudence directement applicable aux lignes directrices de la CNIL. Cette dimension préventive paraît avoir porté ses fruits lors des municipales 2026 si l'on en juge par la baisse spectaculaire des signalements (de 3 948 en 2020 à 739 en 2026), même si cette comparaison doit être nuancée par l'effet d'apprentissage des partis et par l'évolution des canaux de prospection.
Enjeux pour les concours
Le candidat doit retenir que la CNIL constitue le prototype français de l'autorité administrative indépendante de régulation numérique, dont le statut est désormais codifié par la loi n° 2017-55 du 20 janvier 2017 (validée par CC, n° 2017-746 DC du 19 janvier 2017). Le cadre normatif applicable à la protection des données personnelles repose sur la loi fondatrice n° 78-17 du 6 janvier 1978 modifiée, le règlement (UE) 2016/679 (RGPD), notamment ses articles 6, 9, 52 et 83, et désormais le règlement (UE) 2024/900 du 13 mars 2024 sur la publicité politique ciblée, applicable depuis le 10 octobre 2025. Les jurisprudences essentielles à mobiliser sont la décision du Conseil constitutionnel n° 2012-280 QPC du 12 octobre 2012 sur l'impartialité des AAI, l'arrêt du Conseil d'État Didier du 3 décembre 1999 sur l'application de l'article 6 § 1 CEDH, l'arrêt GISTI du 12 juin 2020 sur le contrôle juridictionnel du droit souple, et l'arrêt Schrems II de la CJUE du 16 juillet 2020 sur les obligations des autorités nationales de contrôle. Le candidat doit savoir articuler trois dimensions : la protection d'une liberté fondamentale (le droit à la protection des données personnelles, consacré par l'article 8 de la Charte des droits fondamentaux de l'Union européenne et reconnu par le Conseil constitutionnel comme se rattachant à l'article 2 de la Déclaration de 1789, voir CC, n° 2012-652 DC du 22 mars 2012), la régulation par une AAI combinant pouvoirs répressifs et soft law, et la spécificité du contexte électoral où la prospection politique met directement en cause le secret des opinions et la sincérité du scrutin. La problématique attendue par un jury portera sur la capacité de la CNIL à garantir un équilibre entre liberté de la communication politique, protégée par l'article 11 de la Déclaration de 1789, et protection effective des données personnelles des électeurs face à la sophistication croissante des outils de ciblage algorithmique.