Monsanto sanctionné pour avoir géré un fichier secret de personnes influentes

La Cnil a sanctionné la société Monsanto d’une amende de 400 000 € pour ne pas avoir informé les personnes dont les données étaient enregistrées dans un fichier à des fins de lobbying. Monsanto est une entreprise américaine  spécialisée dans la chimie et la biotechnologie destinées à un usage dans l’agriculture, régulièrement sous le feu des critiques pour l’impact négatif de ses produits sur la nature et sa politique commerciale. Elle a été absorbée le 7 juin 2018 par le géant allemand Bayer.

Les informations de contact de 200 personnalités

En mai 2019, plusieurs médias ont révélé que Monsanto détenait un fichier contenant les données personnelles de plus de 200 personnalités politiques, ou appartenant à la société civile tels que des journalistes, des militants écologistes, des scientifiques ou des agriculteurs susceptibles d’influencer le débat ou l’opinion publique sur le renouvellement de l’autorisation du glyphosate en Europe. Dans le même temps, la Cnil a été destinataire de sept plaintes émanant notamment de personnes concernées par ce fichier.

La Cnil a effectué des contrôles et a constaté que ce recensement de personnes à cibler et à influencer avait été réalisé pour le compte de Monsanto par des sociétés spécialisées dans les relations publiques et le lobbying, dans le cadre d’une importante campagne de représentation d’intérêts. Le fichier contenait, pour chacune des personnes, des informations telles que l’organisme de rattachement, le poste occupé, l’adresse professionnelle, le numéro de téléphone fixe professionnel, le numéro de téléphone portable, l’adresse de messagerie électronique professionnelle et, dans certains cas, le compte Twitter.

En outre, une note allait de 1 à 5 pour chaque personne afin d’évaluer sa propre influence, sa crédibilité et son soutien à Monsanto sur des sujets tels que les pesticides ou les organismes génétiquement modifiés. À l’issue de l‘enquête et après avoir entendu Monsanto, la Cnil a prononcé une amende de 400 000 €. Elle estime que Monsanto a méconnu la réglementation en n’informant pas les personnes concernées de l’enregistrement de leurs données dans ce fichier. En outre, la Cnil a sanctionné le fait que Monsanto n’avait pas mis en place les garanties contractuelles devant encadrer les relations avec un sous-traitant.

Informer les personnes présentes dans le fichier

La Cnil souligne que l’obligation d’information des personnes constitue une mesure centrale du RGPD dans la mesure où elle permet aux personnes d’exercer leurs droits, notamment le droit d’opposition. Enfin, la Cnil a relevé qu’il n’a été mis fin à ce manquement que plusieurs années après la mise en œuvre du traitement, après que plusieurs médias ont révélé son existence. La création de fichiers de contacts par les représentants d’intérêts à des fins de lobbying n’est pas, en soi, illégale, reconnaît la Cnil. En revanche, ne peuvent figurer dans ce fichier que des personnes qui peuvent raisonnablement s’attendre, en raison de leur notoriété ou de leur activité, à être l’objet de contacts du secteur.

S’il n’est pas nécessaire de recueillir le consentement de ces personnes, il faut que les données inscrites dans le fichier aient été collectées légalement et que les personnes soient informées de l’existence du fichier, afin de pouvoir exercer leurs droits, notamment leur droit d’opposition. La Cnil a relevé que les personnes dont les données personnelles avaient été collectées n’ont été informées de l’existence du fichier litigieux qu’en 2019, seulement après la révélation de son existence par les médias. Les personnes concernées auraient donc dû être informées du traitement mis en œuvre.

La Cnil a également rappelé que le fait de ne pas informer les personnes concernées de l’existence d’un traitement nuit à l’exercice de leurs droits selon le RGPD. L’information est un droit qui conditionne l’exercice des autres droits tels que les droits d’accès, d’opposition et d’effacement dont bénéficient les personnes. Dans le cas de Monsanto, elles en ont été empêchées durant plusieurs années.

Un acte juridique devait encadrer le traitement de ce fichier

La Cnil souligne qu’en tant que responsable de traitement, Monsanto avait l’obligation d’encadrer par un acte juridique la réalisation du traitement effectué pour son compte par son sous-traitant, notamment afin de prévoir des garanties concernant la sécurité des données. La Cnil a relevé qu’aucun des actes conclus entre les deux sociétés ne comportait les mentions prévues à l’article 28 du RGPD.