Fichier de lobbying : sanction de 400 000 euros à l’encontre de la société MONSANTO

En mai 2019, plusieurs médias ont révélé que la société MONSANTO détenait un fichier contenant les données personnelles de plus de 200 personnalités politiques, ou appartenant à la société civile (par exemple des journalistes, militants de la cause écologiste, scientifiques ou encore agriculteurs) susceptibles d’influencer le débat ou l’opinion publique sur le renouvellement de l’autorisation du glyphosate en Europe. Dans le même temps, la CNIL a été destinataire de sept plaintes émanant notamment de personnes concernées par ce fichier.

Les contrôles effectués par la CNIL ont révélé que ce recensement avait été réalisé pour le compte de la société MONSANTO par plusieurs sociétés spécialisées dans les relations publiques et le lobbying, dans le cadre d’une importante campagne de représentation d’intérêts.

Le fichier en question contenait, pour chacune de ces personnes, des informations telles que l’organisme de rattachement, le poste occupé, l’adresse professionnelle, le numéro de téléphone fixe professionnel, le numéro de téléphone portable, l’adresse de messagerie électronique professionnelle et, dans certains cas, le compte Twitter. En outre, une note allant de 1 à 5 était attribuée à chaque personne, afin d’évaluer son influence, sa crédibilité et son soutien à la société MONSANTO sur divers sujets tels que les pesticides ou les organismes génétiquement modifiés.

À l’issue de l‘enquête et après avoir entendu la société MONSANTO, la formation restreinte (organe de la CNIL en charge des sanctions) a prononcé une amende de 400 000 euros et a décidé de rendre publique sa décision. Elle a estimé que la société avait méconnu la réglementation en n’informant pas les personnes concernées de l’enregistrement de leurs données dans ce fichier. En outre, la CNIL a sanctionné le fait que la société n’avait pas mis en place les garanties contractuelles devant normalement encadrer les relations avec un sous-traitant. Elle a souligné que l’obligation d’information des personnes constitue une mesure centrale au sein de RGPD dans la mesure où elle permet à ces derniers d’exercer leurs droits, notamment le droit d’opposition. Enfin, elle a relevé qu’il n’a été mis fin à ce manquement que plusieurs années après la mise en œuvre du traitement, après que plusieurs médias ont révélé son existence.

Un manquement à l’obligation d’information des personnes (article 14 du RGPD)

La création de fichiers de contacts par les représentants d’intérêts à des fins de lobbying n’est pas, en soi, illégale. En revanche, ne peuvent figurer dans ce fichier que des personnes qui peuvent raisonnablement s’attendre, en raison de leur notoriété ou de leur activité, à être l’objet de contacts du secteur. S’il n’est pas nécessaire de recueillir le consentement de ces personnes, il faut que les données inscrites dans le fichier aient été collectées légalement et que les personnes soient informées de l’existence du fichier, afin de pouvoir exercer leurs droits, notamment leur droit d’opposition.

La CNIL a relevé que les personnes dont les données personnelles avaient été collectées n’ont été informées de l’existence du fichier litigieux qu’en 2019, seulement après la révélation de son existence par les médias. Or, aucune des exceptions à l’obligation d’information des personnes prévues par le RGPD n’était applicable en l’espèce. Les personnes concernées auraient donc dû être informées du traitement mis en œuvre. Sur ce point, la CNIL a notamment relevé que la société MONSANTO disposait pour la quasi-totalité des personnes d’une information de contact (adresse, numéro de téléphone ou adresse de messagerie électronique) qu’elle aurait pu aisément utiliser.

La CNIL a également rappelé que le fait de ne pas informer les personnes concernées de l’existence d’un traitement nuit nécessairement à l’exercice des droits qui leur sont conférés par le RGPD. L’information est un droit essentiel qui conditionne l’exercice des autres droits (droits d’accès, d’opposition, d’effacement…) dont bénéficient les personnes : dans ce cas, elles en ont été empêchées durant plusieurs années.

Un manquement à l’obligation d’encadrer les traitements effectués pour le compte du responsable de traitement par un acte juridique formalisé (article 28 du RGPD)

En tant que responsable de traitement, la société MONSANTO avait l’obligation d’encadrer par un acte juridique la réalisation du traitement effectué pour son compte par son sous-traitant, notamment afin de prévoir des garanties concernant la sécurité des données. La CNIL a cependant relevé qu’aucun des actes conclus entre les deux sociétés ne comportait les mentions prévues à l’article 28 du RGPD.