[Brèves] Fichier de lobbying : sanction de 400 000 euros à l’encontre de la société Monsanto

► La CNIL a sanctionné la société Monsanto d’une amende de 400 000 euros pour ne pas avoir informé les personnes dont les données étaient enregistrées dans un fichier à des fins de lobbying et pour ne pas avoir mis en place les garanties contractuelles devant normalement encadrer les relations avec un sous-traitant.

Contexte. En mai 2019, plusieurs médias ont révélé que la société Monsanto détenait un fichier contenant les données personnelles de plus de 200 personnalités politiques, ou appartenant à la société civile (par exemple des journalistes, militants de la cause écologiste, scientifiques ou encore agriculteurs) susceptibles d’influencer le débat ou l’opinion publique sur le renouvellement de l’autorisation du glyphosate en Europe. Dans le même temps, la CNIL a été destinataire de sept plaintes émanant notamment de personnes concernées par ce fichier.

Les contrôles effectués par la CNIL ont révélé que ce recensement avait été réalisé pour le compte de la société Monsanto par plusieurs sociétés spécialisées dans les relations publiques et le lobbying, dans le cadre d’une importante campagne de représentation d’intérêts.

Le fichier en question contenait, pour chacune de ces personnes, des informations telles que l’organisme de rattachement, le poste occupé, l’adresse professionnelle, le numéro de téléphone fixe professionnel, le numéro de téléphone portable, l’adresse de messagerie électronique professionnelle et, dans certains cas, le compte Twitter. En outre, une note allant de 1 à 5 était attribuée à chaque personne, afin d’évaluer son influence, sa crédibilité et son soutien à la société Monsanto sur divers sujets tels que les pesticides ou les organismes génétiquement modifiés.

Un manquement à l’obligation d’information des personnes (« RGPD », art. 14). La CNIL a estimé que la société avait méconnu la réglementation en n’informant pas les personnes concernées de l’enregistrement de leurs données dans ce fichier.

La création de fichiers de contacts par les représentants d’intérêts à des fins de lobbying n’est pas, en soi, illégale. En revanche, ne peuvent figurer dans ce fichier que des personnes qui peuvent raisonnablement s’attendre, en raison de leur notoriété ou de leur activité, à être l’objet de contacts du secteur. S’il n’est pas nécessaire de recueillir le consentement de ces personnes, il faut que les données inscrites dans le fichier aient été collectées légalement et que les personnes soient informées de l’existence du fichier, afin de pouvoir exercer leurs droits, notamment leur droit d’opposition.

La CNIL a relevé que les personnes dont les données personnelles avaient été collectées n’ont été informées de l’existence du fichier litigieux qu’en 2019, seulement après la révélation de son existence par les médias. Or, aucune des exceptions à l’obligation d’information des personnes prévues par le « RGPD »  (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I) n’était applicable en l’espèce. Les personnes concernées auraient donc dû être informées du traitement mis en œuvre. Sur ce point, la CNIL a notamment relevé que la société Monsanto disposait pour la quasi-totalité des personnes d’une information de contact (adresse, numéro de téléphone ou adresse de messagerie électronique) qu’elle aurait pu aisément utiliser.

La CNIL a également rappelé que le fait de ne pas informer les personnes concernées de l’existence d’un traitement nuit nécessairement à l’exercice des droits qui leur sont conférés par le « RGPD ». L’information est un droit essentiel qui conditionne l’exercice des autres droits (droits d’accès, d’opposition, d’effacement…) dont bénéficient les personnes : dans ce cas, elles en ont été empêchées durant plusieurs années.

La CNIL a relevé qu’il n’a été mis fin à ce manquement que plusieurs années après la mise en œuvre du traitement, après que plusieurs médias ont révélé son existence.

Un manquement à l’obligation d’encadrer les traitements effectués pour le compte du responsable de traitement par un acte juridique formalisé (« RGPD », art. 28). La CNIL a sanctionné le fait que la société n’avait pas mis en place les garanties contractuelles devant normalement encadrer les relations avec un sous-traitant.

En tant que responsable de traitement, la société Mosanto avait l’obligation d’encadrer par un acte juridique la réalisation du traitement effectué pour son compte par son sous-traitant, notamment afin de prévoir des garanties concernant la sécurité des données.

La CNIL a relevé qu’aucun des actes conclus entre les deux sociétés ne comportait les mentions prévues à l’article 28 du « RGPD ».

Sanction. La formation restreinte a prononcé une amende de 400 000 euros à l’encontre de la société Monsanto et a décidé de rendre publique sa décision.

© Reproduction interdite, sauf autorisation écrite préalable