Microciblage politique sur Facebook : l'autorité de Berlin constate une violation du RGPD par la CDU, le SPD, les Verts et Die Linke

21/10/26
👈 les autres actualités

Par quatre lettres datées du 24 septembre 2026, l'autorité de protection des données de Berlin (BlnBDI) a constaté une violation du RGPD par la CDU, le SPD, Bündnis 90/Die Grünen et Die Linke, qui avaient ciblé des électeurs sur Facebook selon leurs intérêts politiques lors des élections fédérales de 2021. noyb, à l'origine des plaintes, a rendu les décisions publiques le 21 octobre. Pour un DPO, la leçon dépasse la politique : un critère de ciblage publicitaire qui révèle une opinion fait de l'annonceur le responsable d'un traitement de données sensibles.

Ce que l'autorité de Berlin a constaté

Le 21 mars 2023, noyb a déposé des plaintes contre six partis allemands, dont l'AfD et l'ÖDP, devant les autorités de Berlin et de Bavière. Elles s'appuyaient sur des données collectées en 2021 par l'émission ZDF Magazin Royale, qui avait demandé à ses téléspectateurs d'installer une extension de navigateur enregistrant les paramètres de ciblage des publicités politiques affichées sur Facebook.

Les lettres de clôture adressées à noyb, dont l'association ne publie que la première page, caviardée, indiquent pour chaque parti que la BlnBDI a pu constater une violation du RGPD dans le traitement des données personnelles du plaignant. Le raisonnement complet de l'autorité n'est pas public. Selon noyb, l'autorité a jugé qu'il n'existait aucune base légale, comme le consentement, pour cibler des utilisateurs à des fins publicitaires en fonction de leurs intérêts politiques personnels. L'association parle de réprimandes et ne fait état d'aucune amende ni d'interdiction : « Ces affaires concernent peut-être davantage le respect des règles à l'avenir que les amendes », résume Max Schrems.

La plainte visant l'AfD reste en cours d'instruction. Le parti a contesté les pouvoirs d'enquête de la BlnBDI devant le tribunal administratif de Berlin, qui a jugé, selon noyb, qu'il était tenu de fournir les informations demandées. noyb regrette aussi qu'il ait fallu plus de trois ans à l'autorité, une autre élection fédérale ayant eu lieu entre-temps.

Pourquoi c'est important : l'intérêt déduit est une donnée sensible

Les plaintes reposaient sur l'article 9, paragraphe 1, du RGPD, qui interdit par principe le traitement des données révélant les opinions politiques, et sur le principe de licéité de l'article 5, paragraphe 1, a). L'exemple de la plainte contre Die Linke est parlant : une publicité ciblant des femmes vivant en Allemagne et présentant un intérêt pour Bündnis 90/Die Grünen. Selon noyb, c'est Facebook qui évaluait ces opinions en arrière-plan.

Deux raisonnements portent la plainte et valent bien au-delà des campagnes électorales :

  • Une catégorie déduite reste une donnée sensible. noyb cite les lignes directrices 8/2020 de l'EDPB sur le ciblage des utilisateurs de médias sociaux (version 2.0 du 13 avril 2021) : classer un utilisateur comme ayant certaines convictions politiques ou religieuses à partir de données observées est un traitement de catégories particulières, que ce classement soit exact ou non. Notre guide sur les données sensibles détaille les exceptions de l'article 9, paragraphe 2.
  • L'annonceur est responsable de traitement, sans accès aux données. La plainte s'appuie sur l'arrêt Wirtschaftsakademie de la CJUE (C-210/16, 5 juin 2018) : celui qui paramètre l'audience détermine les finalités et les moyens, sans avoir besoin d'accéder aux données de la plateforme. Sur la répartition des rôles, voir notre guide responsable de traitement, sous-traitant et co-responsable.

En France, la CNIL avait rappelé les règles du ciblage électoral avant les municipales, dans un webinaire que nous avions présenté en avril.

Ce que ça change pour les organisations

Les partis politiques ne sont pas les seuls à acheter des audiences par centres d'intérêt. Une banque, un assureur, un établissement de santé ou un éditeur SaaS qui fait de la publicité sur les réseaux sociaux peut cibler, sans y penser, un intérêt qui révèle une santé, une religion ou une opinion. Ce qu'un DPO peut vérifier :

  • la liste des critères de ciblage effectivement utilisés dans les gestionnaires de publicités, campagne par campagne, et pas seulement la politique écrite ;
  • les critères « par procuration » : noyb relevait dès février 2025 que des partis ciblaient des intérêts voisins (des groupes de musique populaires à droite, par exemple) à la place de l'opinion elle-même ; un intérêt de substitution reste à analyser au regard de l'article 9 ;
  • la fiche de registre des traitements publicitaires, avec la qualification de l'annonceur et de la plateforme ;
  • la base légale retenue : pour une donnée sensible, seul un consentement explicite ou une autre exception de l'article 9, paragraphe 2, peut fonder le traitement ;
  • le besoin d'une analyse d'impact lorsque le ciblage combine profilage et données sensibles.

Ce que Leto en pense

Ces décisions ne prononcent ni amende ni interdiction, mais elles tranchent un point que beaucoup d'équipes marketing ignorent : choisir un critère dans un menu déroulant est un acte de responsable de traitement. Le contrôle utile n'est pas juridique, il est opérationnel : relire les audiences réellement paramétrées et les rattacher à une fiche de registre qui dit pourquoi elles sont licites. Pour outiller ce suivi des traitements marketing, vous pouvez demander une démo de Leto.

Sources

Restez connecté(e).

Téléchargez notre application mobile de veille RGPD, Intelligence Artificielle et Cybersécurité. 
100% gratuite. 
Je télécharge

Discutons ensemble - et voyons comment Leto peut vous simplifier votre quotidien

Demander une démo