Le 21 octobre 2026, l’association noyb a rendu publiques quatre décisions de l’autorité de protection des données de Berlin, datées du 24 septembre. Elles concernent la CDU, le SPD, les Verts (Bündnis 90/Die Grünen) et Die Linke, visés par des plaintes déposées en mars 2023 au sujet de publicités diffusées sur Facebook pendant la campagne des élections fédérales de 2021. Selon noyb, l’autorité a constaté qu’aucune base légale, consentement compris, ne permettait de cibler les utilisateurs en fonction de leurs centres d’intérêt politiques. Le dossier porte sur des partis, mais le ciblage publicitaire sur les opinions politiques ou des données qui les révèlent concerne aussi les associations, les syndicats et les collectivités qui achètent de la publicité sur les réseaux sociaux.
Ce que l’autorité de Berlin a constaté
Les plaintes s’appuyaient sur les données de l’extension de navigateur « Who Targets Me », qui permet à des volontaires d’enregistrer les publicités politiques qu’ils reçoivent et les critères de ciblage retenus par l’annonceur. noyb soutenait que les partis avaient visé des personnes à partir d’opinions politiques déduites par la plateforme, sans le consentement exprès exigé par l’article 9 du RGPD.
D’après le communiqué de noyb, l’autorité a adressé un rappel à l’ordre aux quatre partis, sans amende. Les pages publiées ne contiennent pas l’intégralité du raisonnement, ce qui invite à la prudence sur le détail de la motivation. Une sixième plainte, visant l’ÖDP, n’est pas évoquée. La plainte contre l’AfD reste en cours d’instruction : le parti avait contesté les demandes d’information de l’autorité devant le tribunal administratif de Berlin et a perdu en mars 2026, selon le site PPC Land.
Max Schrems, fondateur de noyb, estime que ces affaires portent davantage sur la conformité future que sur les amendes. Le message s’adresse à tous les annonceurs qui utilisent les mêmes outils.
Ciblage publicitaire et opinions politiques : pourquoi l’article 9 s’applique
L’article 9 du RGPD interdit en principe de traiter des données qui révèlent les opinions politiques, les convictions religieuses ou philosophiques, l’appartenance syndicale, la santé ou l’orientation sexuelle. Les exceptions sont limitatives : consentement explicite, données manifestement rendues publiques par la personne, activités d’organismes à but non lucratif auprès de leurs membres, et quelques autres.
Les plateformes publicitaires proposent des catégories d’intérêts construites à partir du comportement des utilisateurs. Un intérêt pour un parti, une cause, une religion ou une pathologie peut suffire à révéler une donnée sensible. Lorsqu’un annonceur choisit ce critère, il décide d’un traitement fondé sur cette déduction. Le fait que la plateforme ait produit la catégorie ne l’exonère pas : en 2023 déjà, noyb considérait que partis et plateforme avaient tous deux méconnu le RGPD, et avait visé les partis parce qu’ils décidaient du ciblage.
L’exception prévue pour les associations, fondations et organismes à but non lucratif ne couvre que les traitements portant sur leurs membres, anciens membres ou personnes en contact régulier, et sans communication à des tiers sans consentement. Une campagne diffusée à des inconnus repérés par leurs centres d’intérêt n’entre pas dans ce cadre.
Associations, syndicats, collectivités : des pratiques à revoir
Je vois régulièrement des organismes qui n’ont jamais regardé les paramètres de ciblage de leurs campagnes, confiés à une agence ou à un chargé de communication. Les situations à risque sont faciles à repérer : un syndicat qui vise des personnes intéressées par un mouvement social, une association de malades qui cible un intérêt pour une maladie, une association cultuelle qui vise une confession, une collectivité qui segmente une campagne de concertation selon des sensibilités supposées. Les audiences similaires construites à partir d’un fichier d’adhérents posent la même question, puisque le fichier source révèle déjà une appartenance.
Pour les collectivités, la neutralité impose une prudence supplémentaire. Une campagne d’information municipale n’a pas besoin de critères qui renvoient à des opinions. En période électorale, le Code électoral encadre en outre strictement la communication des collectivités.
Ce que l’organisme doit vérifier
- Faire la liste des campagnes payantes sur les réseaux sociaux des douze derniers mois et récupérer, pour chacune, les critères de ciblage réellement utilisés.
- Écarter tout critère qui révèle une opinion politique, une conviction, une appartenance syndicale ou une donnée de santé, sauf consentement explicite démontrable.
- Examiner les audiences personnalisées et similaires : origine du fichier téléversé, information des personnes, base légale, et caractère sensible de l’appartenance au fichier.
- Encadrer l’agence ou le prestataire : instructions écrites sur les critères interdits, contrat article 28 si l’agence agit pour le compte de l’organisme, droit de contrôle.
- Inscrire le traitement au registre et analyser la responsabilité conjointe avec la plateforme, que la Cour de justice a déjà retenue pour les pages Facebook en 2018.
- Réaliser une AIPD si le ciblage repose sur des données sensibles à grande échelle ou sur du profilage.
Les DPO du réseau DPO FRANCE accompagnent les associations, syndicats et collectivités dans la revue de leurs campagnes et l’encadrement de leurs prestataires de communication. DPO SUITE tient le registre, les analyses d’impact et les contrats avec les agences, avec la trace des critères validés.
