Fichage illégal des habitants : une ville française épinglée

Nouveau scandale autour de la protection des données personnelles en France. La ville de Bourg-lès-Valence vient d'être épinglée par la CNIL pour avoir illégalement fiché ses habitants. Un cas emblématique qui soulève de nombreuses questions sur les pratiques des collectivités territoriales en matière de gestion des données.

Bourg-lès-Valence : une ville sous surveillance

Tout a commencé par un contrôle de routine effectué par la CNIL. Les agents ont alors découvert l'existence d'un vaste fichier contenant des informations détaillées sur les habitants de Bourg-lès-Valence :

• Identités et coordonnées
• Composition des foyers
• Situation professionnelle
• Engagements associatifs et politiques

Ces données, en partie issues des fichiers de l'état civil et des listes électorales, ont été complétées par du profilage sans consentement, basé sur une surveillance des activités des habitants sur les réseaux sociaux et dans l'espace public.

Une collecte massive et non autorisée

En agissant de la sorte, la municipalité a violé plusieurs principes fondamentaux du RGPD. Tout d'abord, le consentement explicite des personnes concernées n'a jamais été recueilli. La collecte s'est faite à leur insu, sans les informer de leurs droits.

De plus, le périmètre des données collectées s'avère totalement disproportionné et sans lien avec les missions de service public de la ville. Rien ne peut justifier une telle intrusion dans la vie privée des administrés.

Les collectivités locales ne disposent pas d'un droit illimité de collecter des données sur leurs administrés. Le RGPD s'applique à tous, y compris aux acteurs publics.

Marie-Laure Denis, Présidente de la CNIL

Une sanction exemplaire

Pour ces manquements graves, la CNIL a prononcé une sanction administrative de 200 000 € à l'encontre de la ville, assorties d'une injonction de mettre le traitement en conformité sous 3 mois. Il s'agit de l'une des amendes les plus lourdes infligées à une collectivité territoriale depuis l'entrée en vigueur du RGPD.

Au delà de l'aspect financier, c'est un véritable camouflet pour la municipalité, qui voit sa réputation entachée. Les habitants, sous le choc, s'interrogent sur les motivations réelles de ce fichage et sur l'usage qui aurait pu être fait de leurs données personnelles.

Un électrochoc pour les collectivités

Cette affaire doit servir d'électrochoc pour l'ensemble des collectivités territoriales. Trop souvent, la protection des données est perçue comme une contrainte administrative, et non comme un droit fondamental des citoyens.

Pourtant, les risques sont réels, tant juridiques que réputationnels. Chaque traitement de données doit faire l'objet d'une analyse d'impact et d'un encadrement strict. La nomination d'un délégué à la protection des données (DPO) et la sensibilisation des agents sont également cruciales.

Il en va de la confiance des administrés dans leurs institutions locales. A l'heure de l'open data et du numérique, les collectivités doivent être exemplaires dans leur usage des données personnelles, au service de l'intérêt général et non d'une surveillance généralisée.

Pour aller plus loin

• Le RGPD pour les collectivités territoriales : guide pratique de la CNIL
• Open data et protection des données personnelles : concilier transparence et vie privée
• Panorama des sanctions de la CNIL en 2024