8.12.1 Compétence 1) Disposition limitant expressément les finalités d'un traitement – Compétence de la formation restreinte de la CNIL pour sanctionner sa méconnaissance – 2) Application – Article L. 37 du code électoral

1) D'une part, les articles 5‑1a du RGPD et 4‑1° de la loi du 6 janvier 1978 disposent que tout traitement de données à caractère personnel doit être « licite ». D'autre part, l'article 16 de cette loi donne compétence à la formation restreinte de la Commission nationale de l'informatique et des libertés pour sanctionner les responsables de traitement ou sous‑traitants qui ne respectent pas les obligations découlant du RGPD et de la loi Informatique et Libertés. Il en résulte que, lorsqu'une disposition limite expressément les finalités d'un traitement de données à caractère personnel, que celle‑ci soit contenue dans un acte réglementaire autorisant et régissant un traitement particulier de données sur le fondement des articles 31 et suivants de la loi Informatique et Libertés ou des dispositions qui y renvoient, ou qu'elle résulte d'une disposition législative ou réglementaire spéciale limitant la ou les finalités d'un traitement ou d'une catégorie de traitement, la formation restreinte de la CNIL est compétente pour sanctionner le traitement illicite que constitue la méconnaissance de cette disposition. 2) La formation restreinte est donc compétente en l'espèce pour examiner le manquement à l'article 5‑1a du RGPD qui résulterait, selon la rapporteur, de la méconnaissance de l'article L. 37 du code électoral prohibant l'utilisation des listes électorales, qui contiennent des données personnelles, pour des finalités commerciales.