Retour au blogIllustration : CNIL données personnelles
Actualités
11 août 2026Rédaction ADN Politique

Données personnelles et campagnes : comment la CNIL encadre les municipales 2026

Un SMS de campagne reçu d'un candidat que vous n'avez jamais contacté, un courriel politique dont vous ignorez comment il a obtenu votre adresse : à l'approche des élections municipales des 15 et 22 mars 2026, ces situations vont se multiplier.

Or les règles ont changé. En décembre 2025, la CNIL a sanctionné cinq candidats des élections de 2024 pour des manquements à la protection des données, et un règlement européen sur la publicité politique s'applique depuis octobre 2025. Candidats, partis, mais aussi électeurs et militants : chacun est concerné.

Dans cet article, vous allez découvrir ce que la CNIL a sanctionné en décembre 2025, le plan d'action qu'elle déploie pour les municipales 2026, et les droits concrets dont disposent électeurs et adhérents sur leurs données.

Cinq candidats sanctionnés en décembre 2025 : ce que la CNIL a constaté

La CNIL a prononcé le 18 décembre 2025 cinq sanctions contre des candidats aux élections européennes et législatives de 2024, pour un montant cumulé de 23 500 euros d'amendes. Selon la CNIL (18/12/2025), ces sanctions ont été prises en procédure simplifiée, à la suite de signalements d'électeurs recueillis via son observatoire des élections.

Les contrôles portaient sur des SMS, courriels ou courriers de prospection politique. Les manquements constatés couvrent un large éventail d'obligations du RGPD :

Manquement constatéBase juridique (RGPD)
Impossibilité de justifier la licéité du traitementArticle 5-2
Données utilisées hors de leur finalité de collecteArticle 5-1-b
Information incomplète des personnesArticles 12, 13 et 14
Droit d'opposition non facilité (pas de « STOP SMS »)Articles 12 et 21
Demandes d'accès ou d'effacement restées sans réponseArticles 12, 15 et 17
Confidentialité insuffisante des donnéesArticle 32

Le cas le plus marquant, rapporté par la CNIL (18/12/2025) : un candidat, professionnel de santé, a utilisé les numéros de téléphone de ses patients — collectés pour le suivi médical — afin de leur envoyer un SMS de campagne. Autre exemple : un candidat a adressé un courriel de prospection à plusieurs centaines de destinataires sans copie carbone invisible, exposant toutes les adresses. Le cabinet Landot Avocats (19/12/2025) souligne que quatre des cinq candidats n'avaient pas fourni les informations obligatoires prévues par les articles 13 et 14 du RGPD dans leurs messages.

Municipales 2026 : le plan d'action annoncé par la CNIL

Le 30 janvier 2026, la CNIL a annoncé la réactivation de son observatoire des élections pour les municipales des 15 et 22 mars 2026. Ses missions, selon la CNIL (30/01/2026) : surveiller les pratiques de communication politique, dialoguer avec les partis et les candidats, et informer les électeurs sur leurs droits.

L'enjeu est dimensionné par le précédent de 2020 : lors des dernières municipales, la CNIL avait reçu 3 948 signalements (3 034 au premier tour, 914 au second), portant principalement sur des SMS (45 %), des appels téléphoniques (36 %) et des courriels (12 %).

Concrètement, le plan d'action prévoit :

  • un rappel des règles aux partis et aux éditeurs de logiciels électoraux ;
  • des actions de sensibilisation des élus locaux, en partenariat avec l'association des maires ;
  • des outils et conseils pratiques pour les équipes de campagne ;
  • l'examen des signalements et plaintes pendant la campagne, avec un formulaire de signalement ouvert aux électeurs jusqu'au 25 mars à minuit ;
  • des mesures correctrices (mises en demeure, sanctions) en cas de manquement.

Le Centre de gestion de la fonction publique territoriale de l'Hérault (CDG34, 18/02/2026) confirme ce dispositif et rappelle que ses délégués à la protection des données accompagnent les collectivités pour mettre les pratiques électorales en conformité.

Les données des élus eux-mêmes font l'objet d'un autre chantier de transparence : notre décryptage Casier judiciaire des élus : ce qui est vraiment public en 2026 détaille ce que chacun peut légalement savoir sur les condamnations des responsables politiques.

Publicité politique : ce que change le règlement européen 2024/900

Depuis le 10 octobre 2025, le règlement européen sur la transparence de la publicité politique (règlement UE 2024/900, dit « RPP ») ajoute des obligations nouvelles à la prospection politique. Selon la CNIL (30/01/2026) et le CDG34 (18/02/2026), il impose notamment :

  • la collecte directe des données auprès des personnes concernées ;
  • le consentement comme unique base légale de la prospection politique ciblée ;
  • l'interdiction du profilage fondé sur des données sensibles, comme les opinions politiques ;
  • l'interdiction de cibler les mineurs de moins de 17 ans.

Une dérogation est maintenue pour les communications internes d'un parti, d'une fondation ou d'une association avec ses membres et anciens membres : un parti peut donc continuer d'écrire à ses adhérents sans tomber sous ces nouvelles règles de ciblage publicitaire. En revanche, les fichiers d'adhérents et de militants restent soumis au RGPD : les opinions politiques comptent parmi les données sensibles dont le profilage est expressément interdit par le RPP, et leur confidentialité doit être garantie (article 32 du RGPD, l'un des manquements sanctionnés en décembre 2025).

Électeurs et militants : les droits concrets sur vos données

Tout destinataire d'un message de campagne dispose de droits directement opposables au candidat ou au parti expéditeur. Les sanctions de décembre 2025 en donnent la liste en creux :

  • être informé de l'origine de ses données et de l'identité du responsable du traitement (articles 13 et 14 du RGPD) ;
  • s'opposer à recevoir de nouveaux messages, par un dispositif simple type « STOP SMS » ou lien de désinscription (article 21) ;
  • accéder à ses données et en demander l'effacement (articles 15 et 17), le candidat devant répondre ;
  • signaler un manquement à la CNIL, via la plateforme dédiée ouverte jusqu'au 25 mars 2026 à minuit.

Pour les militants et adhérents, la protection porte surtout sur la finalité : un fichier constitué pour la vie interne du parti ne peut pas être réutilisé librement à d'autres fins, comme l'illustre la sanction du candidat qui avait détourné son fichier de patients (CNIL, 18/12/2025).

Ce qu'il faut retenir

La séquence est cohérente : sanctions ciblées en décembre 2025, plan d'action publié en janvier 2026, sensibilisation relayée par les acteurs territoriaux en février. La CNIL n'a pas adopté de nouvelle doctrine, mais elle applique désormais un corpus renforcé — RGPD plus règlement européen 2024/900 — à une campagne municipale qui s'annonce numérique. Les candidats connaissent les règles ; les électeurs disposent d'un canal de signalement direct. Les chiffres de la campagne 2026, comparés aux 3 948 signalements de 2020, diront si la pédagogie a porté. Pour suivre le calendrier politique de la rentrée, voir notre article sur la rentrée parlementaire 2026.

Sources