Lobbying : les cinq ingrédients d’une cartographie de parties prenantes compatible avec le RGPD

Plus de deux ans et demi se sont écoulés depuis l’amende de 400 000 euros infligée à Monsanto pour le non-respect du RGPD dans le cadre de ses activités de lobbying. Les professionnels des affaires publiques ont enfin des lignes directrices pour faire des cartographies de parties prenantes compatibles avec le règlement général sur la protection des données : les discussions de leurs quatre organisations professionnelles représentatives avec la Cnil ont accouché d’un « guide pratique » rendu public ce 13 mars.

L’AFCL (cabinets de conseil en lobbying), l’Apap (lobbyistes en entreprises et en fédérations), l’Acap (avocats lobbyistes) et le SCRP (syndicat du conseil) ont assisté à de nombreuses réunions avec la Cnil. Le collège des commissaires du gendarme des données a examiné le projet de guide en octobre.

« On est légitimes à faire notre métier d’affaires publiques et à réaliser des cartographies », se réjouit Aristide Luneau, président de l’Association française des conseils en lobbying (AFCL).

La décision de la Cnil (relire notre article) avait plongé les lobbyistes dans l’incertitude quant à la manière de travailler dans le respect des règles de protection des données personnelles.

La société Monsanto avait été accusée de « fichage » de personnalités politiques, de scientifiques, de journalistes et de membres d’ONG parce que ses prestataires FleishmanHillard et Publicis Consultants les avaient fait figurer dans des cartographies en raison de leurs positions sur le glyphosate.

La recette de la cartographie RGPD-compatible

1. Désigner explicitement le responsable du traitement des données dans les documents contractuels liant le client et le prestataire.
2. Définir précisément les objectifs de la cartographie et la problématique d’affaires publiques. La finalité du traitement permet de justifier l’intérêt légitime à collecter les données. Une cartographie « pour comprendre » un sujet qui ne comporte pas les données de contact permet de se dispenser de l’information individuelle des personnes s’il est démontrable que l’effort serait « disproportionné ».
3. Ne collecter que des données publiques ou émanant directement des personnes concernées en faisant attention à ne pas faire ingérence dans leur vie privée. Les personnes susceptibles de se retrouver dans une cartographie sont censées se douter qu’elles peuvent y figurer au vu de leur position professionnelle.
4. Prévoir une signature dans les mails (un modèle est fourni par le guide) qui renvoie vers la politique de protection des données publiée sur le site internet du responsable de traitement (un exemple figure en annexe) afin de permettre aux personnes contactées à la suite de l’élaboration d’une cartographie « pour agir » d’exercer leurs droits.
5. Supprimer les données au bout du temps imparti par le RGPD et tenir compte du fait que les contrôles de la HATVP nécessitent une conservation pendant cinq ans des documents pour justifier les actions de lobbying. Les données correspondant au « maintien des relations professionnelles » peuvent être conservées jusqu’à̀ l’exercice de son droit d’opposition par la personne concernée.