Par une délibération du 26 juillet 2021, la formation restreinte de la CNIL a infligé à la société MONSANTO COMPANY une amende administrative de 400 000 € pour avoir violé les articles 14 et 28 du RGPD.

Dans cette affaire, MONSANTO avait confié à deux cabinets de représentants d’intérêts la constitution d’un fichier répertoriant les données à caractère personnel de plus de 200 personnalités politiques françaises et européennes. Parmi ces données figuraient : le poste occupé, l’adresse professionnelle, le numéro de téléphone portable, le compte Twitter, et une note attribuée à chaque personnalité afin d’évaluer son positionnement dans le débat lié au glyphosate.

• La condamnation sur le fondement de l’article 28 du RGPD : constatant que MONSANTO, en tant que donneur d’ordre aux deux cabinets de lobbying, déterminait les finalités et les moyens du traitement, la CNIL considère qu’il doit être regardé comme le responsable de traitement du fichier. La délibération rappelle utilement que la CNIL n’est pas liée par la qualification choisie par les parties, celles-ci indiquaient que l’un des deux cabinets agissait comme responsable du traitement. La CNIL condamne ainsi MONSANTO pour défaut d’encadrement contractuel du traitement avec ses sous-traitants conformément à l’article 28 du RGPD.

• La condamnation sur le fondement de l’article 14 du RPGD :
  • Dans un premier temps, la CNIL valide la base légale de l’intérêt légitime : selon l’autorité, les personnalités figurant dans le fichier litigieux pouvaient raisonnablement s’attendre à ce que la société MONSANTO traite leurs données professionnelles et les informations relatives à leur positionnement politique.
  • La CNIL énonce ensuite qu’aucune dérogation à l’obligation d’informer les personnes n’était applicable. Selon l’autorité, la mise en œuvre de cette obligation n’était, en l’espèce, ni impossible ou exigeant des efforts disproportionnés, ni n’avait pour effet de compromettre la réalisation des objectifs du traitement. La CNIL s’appuie notamment sur une décision « Pages Jaunes » du 12 mars 2014 dans laquelle le Conseil d’Etat a considéré que l’information par le responsable de traitement de 25 millions de personnes n’était pas impossible et ne supposait pas un effort disproportionné.

Pour juger que cette obligation d’information ne compromettait pas les objectifs du fichier constitué, la CNIL souligne encore que, de manière générale, « l’activité de représentant d’intérêts tend à évoluer vers une transparence accrue tant au niveau européen que national ».

En ce sens, l’on relèvera la proposition de loi à venir renforçant l’encadrement des activités de lobbying, faisant suite à un rapport d’information sur la loi dite « Sapin II ».