Publicité politique ciblée : les règles RGPD en 2026

Les municipales des 15 et 22 mars 2026 ont été les premières élections françaises soumises au règlement sur la transparence de la publicité à caractère politique. Bilan de l’observatoire des élections de la CNIL, publié le 8 avril 2026 : 739 signalements, dont 63 % pour des SMS, 81 plaintes instruites, quatre contrôles engagés et une procédure de sanction simplifiée contre un candidat qui n’avait pas répondu à une demande de droits.

Le message est clair. Le régime de la publicité politique ciblée n’est plus une question théorique, et il ne concerne pas que les partis : agences de communication, régies, plateformes, associations et entreprises qui font du plaidoyer y sont exposées. Voici ce qui a changé, et ce qu’il faut vérifier avant la prochaine campagne.

Ce que change le règlement 2024/900

Le règlement (UE) 2024/900 du 13 mars 2024 relatif à la transparence et au ciblage de la publicité à caractère politique — le « RPP » dans le vocabulaire de la CNIL, « TTPA » dans celui de la Commission — est pleinement applicable depuis le 10 octobre 2025.

Il ne remplace pas le RGPD : il s’y superpose. Deux blocs coexistent donc désormais.

Bloc	Contenu	Autorité compétente en France
Transparence (art. 11 à 17 RPP)	Marquage de l’annonce, avis de transparence, registre des publicités, rapports périodiques	ARCOM (et CNCCFP pour les données financières)
Ciblage et diffusion (art. 18 et 19 RPP)	Consentement, collecte directe, interdictions, registre interne, mentions d’information	CNIL

La répartition découle de l’article 22 du règlement. Le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE), adopté en première lecture par le Sénat le 18 février 2026, en tire les conséquences dans notre droit interne : nouveau titre IV quinquies dans la loi Informatique et Libertés, nouvel article 20-11 dans la loi du 30 septembre 1986, ajout à l’article L. 52-1 du code électoral pour la CNCCFP. La CNIL a rendu son avis sur ce texte (délibération n° 2025-084 du 25 septembre 2025), en demandant notamment que les sous-traitants soient explicitement visés.

Attention à ne pas s’y tromper : un règlement européen est directement applicable. Les obligations des articles 18 et 19 s’imposent depuis le 10 octobre 2025, que la loi d’adaptation soit promulguée ou non. Le texte national organise la compétence et les pouvoirs de sanction, pas la naissance de l’obligation.

Qu’est-ce qu’une « publicité à caractère politique » ?

C’est la question qui pose le plus de difficultés en pratique, parce que la définition de l’article 3 du règlement est nettement plus large que l’intuition.

Relève de la publicité à caractère politique l’élaboration, le placement, la promotion, la publication, la distribution ou la diffusion, par tout moyen, d’un message, normalement contre rémunération ou au travers d’activités internes :

• soit par, pour ou pour le compte d’un acteur politique, sauf message purement privé ou commercial ;
• soit susceptible et conçu dans le but d’influencer le résultat d’une élection ou d’un référendum, un comportement de vote, ou un processus législatif ou réglementaire, au niveau de l’Union, national, régional ou local.

Le second critère est celui qui surprend. Il n’exige pas d’acteur politique. Les orientations de la Commission du 8 octobre 2025 le disent explicitement : « l’identité du parrain ou de l’initiateur du message n’est pas décisive ». Une entreprise, une fédération professionnelle, une ONG, une fondation, une association peuvent parfaitement parrainer de la publicité à caractère politique sans jamais s’être pensées comme des acteurs politiques.

Trois exemples issus des orientations de la Commission

• Une campagne lancée en réaction à un amendement précis examiné dans un processus législatif : publicité à caractère politique (exemple 40).
• Une association qui milite pour une législation plus restrictive sur la publicité de certaines denrées alimentaires : publicité à caractère politique, parce que la campagne vise à provoquer l’adoption d’une législation (exemple 42).
• Un opérateur télécom qui promeut ses offres pendant un débat parlementaire sur la régulation des télécoms : publicité purement commerciale, hors champ (exemple 45).

Le critère décisif n’est donc pas le secteur mais la finalité : le message cherche-t-il à peser sur l’élaboration, la négociation, l’adoption ou la mise en œuvre d’une norme ? Les orientations précisent que cela couvre les processus formellement engagés, mais aussi leur phase préparatoire lorsqu’ils sont en cours ou imminents (consultation publique ouverte, communiqué annonçant une proposition, consultations de parties prenantes), et même les messages destinés à empêcher le lancement d’un tel processus.

Ce qui reste hors champ

La CNIL rappelle trois exclusions utiles :

• les actions de campagne dans les espaces publics, par exemple les panneaux d’affichage électoraux ;
• les opinions politiques exprimées dans un média contrôlé par une rédaction éditoriale, sauf paiement spécifique en vue de la publication ;
• les opinions politiques exprimées à titre personnel, par exemple le message d’un particulier sur un réseau social.

Ce dernier point mérite d’être manié avec précaution. Les orientations de la Commission distinguent l’influenceur qui commente une réforme de sa propre initiative — hors champ — et celui qui publie un message à la demande d’un responsable politique contre rémunération, en numéraire ou en nature : là, on bascule dans la publicité à caractère politique (exemples 13 et 14). Le marketing d’influence politique n’échappe pas au règlement.

En ligne ou hors ligne : la ligne de partage qui commande tout

Le chapitre III du règlement — celui qui relève de la CNIL — ne vise que le ciblage et la diffusion d’annonces à caractère politique en ligne. La distinction est structurante.

Sont « en ligne », selon la CNIL :

• les services disponibles sur internet : pages web, réseaux sociaux, applications ;
• les dispositifs de communication interpersonnelle : courriels, SMS, messageries instantanées.

Cette dernière précision est capitale et souvent ignorée. La CNIL a explicitement retenu, dans sa communication puis dans sa délibération n° 2025-084, que les courriels, SMS et messageries instantanées entrent dans le champ des articles 18 et 19 — sous réserve d’une clarification de la Commission européenne et des lignes directrices en cours d’élaboration au sein du CEPD. Quand on sait que 63 % des signalements reçus lors des municipales portaient sur des SMS, on mesure l’enjeu.

Sont « hors ligne » les autres techniques : presse écrite, radio, télévision, courrier postal, appel téléphonique. Elles restent soumises au RGPD, mais échappent aux règles renforcées des articles 18 et 19.

Les cinq obligations de l’article 18

Lorsque vous utilisez une technique de ciblage ou de diffusion d’annonce politique en ligne impliquant un traitement de données personnelles, cinq règles s’appliquent cumulativement.

1. Collecte directe obligatoire

Les données doivent avoir été collectées directement auprès de la personne concernée. Cette règle, à elle seule, condamne une partie substantielle des pratiques de campagne.

Sont dès lors exclues, selon la CNIL :

• les listes électorales obtenues en mairie ;
• les données collectées par moissonnage en ligne (web scraping) ;
• les fichiers achetés ou loués auprès d’un courtier en données (data broker).

Autrement dit, la pratique de l’achat de fichier de prospection reste possible pour certaines opérations hors ligne, mais ne peut plus alimenter un ciblage politique en ligne. Même chose pour le scraping de données personnelles, déjà fragile sous le RGPD, désormais frontalement interdit dans ce cas d’usage.

2. Consentement explicite

Le responsable de traitement doit recueillir le consentement des personnes. La CNIL, dans son avis sur le projet de loi, parle de « consentement explicite au sens de l’article 6(1)(a) du RGPD » ; dans sa fiche pratique, elle exige un consentement libre, éclairé et univoque, dans les conditions habituelles.

Deux conditions spécifiques s’ajoutent :

• la personne ne doit pas être sollicitée si elle a déjà indiqué par des moyens automatisés qu’elle ne consentait pas au traitement de ses données à des fins de publicité politique — sauf changement substantiel de circonstances ;
• la personne qui refuse doit se voir proposer une ou plusieurs alternatives équivalentes pour utiliser le service en ligne sans recevoir de publicité à caractère politique.

Cette seconde condition est l’équivalent, pour la publicité politique, de l’interdiction du tracking wall. Un service qui conditionnerait l’accès à l’acceptation de publicité politique serait hors des clous. Si vous avez besoin d’un point de départ, notre modèle de consentement RGPD et notre article sur les conditions d’un consentement valable donnent les formulations utilisables.

Notez bien : dans ce cas de figure, le consentement n’est pas une option parmi d’autres. L’intérêt légitime, qui reste mobilisable pour la prospection politique hors ligne, ne peut pas fonder un ciblage politique en ligne.

3. Interdiction du profilage sur données sensibles

Les techniques de ciblage et de diffusion ne doivent pas porter sur des données sensibles lorsqu’elles impliquent un profilage au sens de l’article 4(4) du RGPD. Sont visées les catégories particulières de l’article 9(1) : origine ethnique, opinions politiques, convictions religieuses, appartenance syndicale, santé, vie ou orientation sexuelle, données génétiques et biométriques.

Le piège est le profilage indirect. Cibler sur un code postal correspondant à un quartier fortement identifié, sur une consonance de nom, sur une affinité déduite d’une page suivie : la sensibilité des données ne se juge pas sur l’étiquette du champ mais sur ce que le traitement révèle. La CNIL le rappelle depuis longtemps en matière de prospection : aucun tri ne doit être opéré sur la base de la consonance du nom ou du lieu de naissance, qui laisserait apparaître l’origine ethnique.

4. Interdiction de cibler les quasi-mineurs

Ces techniques ne peuvent pas viser les personnes dont l’âge est inférieur d’au moins un an à l’âge électoral. En France, la barre est donc à 17 ans, pas à 18. C’est une règle de sécurité : elle évite qu’un ciblage large n’attrape des mineurs proches de la majorité.

En pratique, cela suppose de savoir ce que vous savez de l’âge de votre audience — question qui rejoint celle du traitement des données de mineurs. Une audience personnalisée importée depuis un CRM sans donnée d’âge n’est pas exempte de l’obligation ; elle vous prive simplement du moyen de la respecter.

5. Registre spécifique

Le responsable de traitement doit tenir un registre dédié à l’utilisation de ces techniques. Il ne se confond pas avec le registre des activités de traitement de l’article 30 du RGPD, même s’il peut y être adossé.

Ce registre doit notamment décrire l’usage fait des techniques ainsi que les mécanismes et paramètres pertinents appliqués : catégories de données personnelles utilisées pour le ciblage, critères et logique de segmentation, recours éventuel à un système d’IA, sources des données et preuve de leur collecte directe.

Mon conseil, tiré de la pratique : construisez ce registre au moment du paramétrage de la campagne, pas après. Les paramètres d’audience d’une plateforme publicitaire ne sont pas conservés durablement, et reconstituer a posteriori la logique d’un ciblage devant un contrôle relève de l’exercice impossible.

Les mentions d’information : trois niveaux à ne pas confondre

C’est le point le plus mal maîtrisé. Le règlement crée trois régimes d’information cumulatifs avec ceux du RGPD, que la CNIL a résumés ainsi.

Situation	Mentions requises
Simple publicité à caractère politique	Art. 11 et 12 RPP
Publicité politique impliquant un traitement de données personnelles	Art. 11 et 12 RPP + art. 13 et 14 RGPD
Publicité politique avec techniques de ciblage ou de diffusion	Art. 11, 12 et 19 RPP + art. 13 RGPD

Le socle des articles 11 et 12 (compétence ARCOM) impose que chaque annonce soit accompagnée, de manière claire, non ambiguë et mise en évidence :

1. d’une déclaration indiquant qu’il s’agit d’une annonce publicitaire à caractère politique ;
2. de l’identité du parraineur et, le cas échéant, de l’entité qui le contrôle en dernier ressort ;
3. le cas échéant, de l’élection, du référendum ou du processus législatif auquel elle se rattache ;
4. le cas échéant, d’une déclaration indiquant que des techniques de ciblage ou de diffusion ont été utilisées ;
5. d’un avis de transparence, ou d’une indication claire de l’endroit où il peut être récupéré.

Le règlement d’exécution (UE) 2025/1410 du 9 juillet 2025, publié le 16 juillet 2025 et applicable depuis le 10 octobre 2025, fixe le format de ce marquage. Ses annexes I et II sont d’une précision inhabituelle : marquage visuel présent pendant toute la durée de l’annonce ou en plein écran pendant au moins trois secondes en télévision et sur les supports numériques ; marquage audio au début ou à la fin ; pour l’imprimé, un cadre unique fortement contrasté ; et, lorsqu’un marquage en ligne renvoie vers une page web, un lien en gras ou d’une couleur différente, intitulé « Avis de transparence ». Un QR code lisible ou une mesure technique équivalente sont admis.

Le règlement d’exécution donne même le libellé type : « Ceci est une annonce publicitaire à caractère politique [faisant l’objet de techniques de ciblage et/ou de diffusion d’annonces publicitaires s’appuyant sur des données à caractère personnel]. Le parraineur est […]. L’annonce publicitaire est rattachée à [intitulé et date de l’élection]. Pour de plus amples informations, voir [lien] ». Il n’y a donc aucune excuse à improviser une formulation maison.

Pour la partie RGPD, reportez-vous à nos exemples de mentions d’information et au détail de l’article 13 du RGPD.

Faut-il une AIPD ?

Très probablement, oui.

La CNIL relève que les traitements de publicité politique ciblée cumulent plusieurs critères qui déclenchent l’obligation d’analyse d’impact : usage innovant (techniques de ciblage ou de diffusion algorithmique), traitement à large échelle, personnes vulnérables (mineurs), données sensibles (opinions politiques).

Deux critères suffisent en principe à rendre l’AIPD obligatoire au sens des lignes directrices WP248 rev.01 reprises par la CNIL. Ici, on en coche facilement trois. Et si le traitement présente un risque résiduel élevé, la consultation préalable de la CNIL au titre de l’article 36 du RGPD devient obligatoire — à anticiper très en amont d’un calendrier électoral.

Sanctions : deux régimes, deux logiques

Il faut distinguer.

Sur le volet transparence, l’article 25 du règlement charge les États membres de fixer des sanctions effectives, proportionnées et dissuasives, avec un plafond pouvant atteindre 6 % du revenu ou du chiffre d’affaires annuel du parraineur ou du prestataire de services de publicité à caractère politique. Le règlement prévoit en outre que les manquements aux articles 5, 7, 11, 12, 13, 15, 16 et 18 sont considérés comme particulièrement graves lorsqu’ils portent sur des publicités diffusées au cours du mois précédant une élection ou un référendum. En France, ces sanctions relèveront de l’ARCOM.

Sur le volet données personnelles (articles 18 et 19), la CNIL exerce les pouvoirs de contrôle et de sanction qu’elle tient du RGPD. Le projet de loi DDADUE modifie l’article 16 de la loi Informatique et Libertés pour donner compétence à sa formation restreinte, et l’article 20 pour les pouvoirs propres de la présidente. Les plafonds de l’article 83 du RGPD s’appliquent donc, y compris le plafond supérieur de 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les manquements aux conditions de licéité et de consentement. Sur le déroulé concret, voir notre article sur la procédure de sanction de la CNIL.

Un point souvent négligé : le contentieux ne viendra pas seulement de l’autorité. Les municipales 2026 l’ont montré, l’essentiel des plaintes portait sur l’origine des données, et pour les candidats sortants, sur des soupçons de détournement de finalité — un fichier de gestion communale réutilisé pour une campagne. Un élu sortant qui puise dans les bases de sa collectivité s’expose sur deux fronts à la fois, comme le rappelle notre guide sur le RGPD dans les collectivités territoriales.

Le retrait de Meta et Google : un problème, pas une solution

Google a suspendu la diffusion de publicités politiques en Europe fin 2024. Meta a annoncé le 25 juillet 2025 l’arrêt, à compter d’octobre 2025, de la vente et de la diffusion des publicités portant sur des enjeux politiques, électoraux et sociaux dans l’Union, en invoquant l’impraticabilité du nouveau cadre.

Trois conséquences pratiques.

D’abord, le champ retenu par Meta est plus large que le règlement. La catégorie « enjeux politiques, électoraux ou sociaux » couvre des campagnes de plaidoyer associatif ou de sensibilisation qui ne sont pas nécessairement de la publicité à caractère politique au sens de l’article 3. Des associations et des fondations se retrouvent privées d’un canal sans être juridiquement concernées.

Ensuite, le déplacement du budget ne fait pas disparaître l’obligation. Beaucoup d’annonceurs ont basculé vers l’emailing, le SMS et les messageries — précisément les canaux que la CNIL considère comme « en ligne » au sens du chapitre III. On ne sort pas du règlement en sortant des grandes plateformes ; on change simplement de responsable.

Enfin, le contenu organique reste intact. Les publications non sponsorisées ne sont pas de la publicité au sens du règlement. La ligne de partage se déplace donc vers la rémunération : dès qu’un avantage pécuniaire ou en nature est versé pour la diffusion d’un message, le régime bascule. C’est exactement le raisonnement retenu pour les influenceurs.

Checklist avant campagne

À dérouler avant tout lancement, que vous soyez parti, agence, régie ou annonceur institutionnel.

1. Qualifier. Le message est-il susceptible et conçu pour influencer une élection, un référendum, un comportement de vote ou un processus législatif ou réglementaire ? Documenter la réponse, motifs à l’appui.
2. Localiser le canal. En ligne (web, réseaux sociaux, applications, courriels, SMS, messageries) ou hors ligne ? Le chapitre III ne s’applique qu’au premier.
3. Auditer la source des données. Chaque base utilisée pour du ciblage en ligne doit être issue d’une collecte directe. Purger listes électorales, fichiers loués et données moissonnées.
4. Vérifier le consentement. Explicite, spécifique à la publicité politique, avec preuve horodatée et respect des refus antérieurs exprimés par voie automatisée.
5. Bloquer les critères sensibles. Auditer les segments, y compris les proxys géographiques et onomastiques susceptibles de révéler une origine ou une opinion.
6. Exclure les moins de 17 ans. Et documenter la méthode d’exclusion retenue.
7. Ouvrir le registre dédié dès le paramétrage : critères, données, logique algorithmique, sources.
8. Produire le marquage conforme au règlement d’exécution 2025/1410 et l’avis de transparence associé.
9. Réaliser l’AIPD et, si le risque résiduel reste élevé, saisir la CNIL au titre de l’article 36.
10. Prévoir la sortie. Les données collectées pour les besoins de la campagne doivent en principe être supprimées à l’issue du scrutin, y compris chez le prestataire — un point contractuel à verrouiller avant, jamais après. Voir nos repères sur les durées de conservation.
11. Organiser les droits. La sanction simplifiée engagée après les municipales visait un candidat n’ayant pas répondu à une demande de droits. Un canal de contact identifié et un délai de réponse tenu coûtent moins cher qu’une procédure. Voir le droit d’opposition.

C’est typiquement le genre de chaîne — cartographie des sources, registre, preuve de consentement, AIPD, durées — que Legiscope automatise pour éviter de reconstruire le dossier à chaque scrutin.

Ce qu’il faut retenir

• Le règlement (UE) 2024/900 est pleinement applicable depuis le 10 octobre 2025. En France, la CNIL contrôle les articles 18 et 19 (ciblage, données), l’ARCOM le volet transparence, la CNCCFP les données financières.
• La définition de la publicité à caractère politique ne se limite pas aux partis : toute campagne conçue pour influencer un processus législatif ou réglementaire y entre, y compris celle d’une entreprise, d’une ONG ou d’une association.
• Pour le ciblage en ligne — ce qui inclut courriels, SMS et messageries selon la CNIL — cinq règles cumulatives : collecte directe, consentement explicite, interdiction du profilage sur données sensibles, interdiction de cibler les moins de 17 ans, registre dédié.
• Fichiers achetés, listes électorales et données moissonnées sont exclus de tout ciblage politique en ligne.
• Les sanctions se cumulent : jusqu’à 6 % du chiffre d’affaires sur le volet transparence, plafonds de l’article 83 du RGPD sur le volet données, avec circonstance aggravante dans le mois précédant un scrutin.
• Les municipales 2026 ont produit 739 signalements, 81 plaintes, 4 contrôles et 1 procédure de sanction. Le motif dominant : l’origine des données.

FAQ

Une entreprise peut-elle faire de la publicité à caractère politique sans le savoir ?

Oui, et c’est le risque principal du texte. Une campagne d’influence lancée en réaction à un projet de loi ou de règlement en cours — même sans mention d’un parti ou d’un candidat — relève de la définition de l’article 3, point 2), b). Les orientations de la Commission du 8 octobre 2025 en donnent plusieurs exemples. En revanche, la promotion d’une offre commerciale pendant un débat parlementaire sur le secteur concerné reste de la publicité commerciale.

Le règlement s’applique-t-il aux emails et aux SMS de campagne ?

La CNIL considère que oui lorsqu’ils reposent sur des techniques de ciblage ou de diffusion : les dispositifs de communication interpersonnelle (courriels, SMS, messageries instantanées) entrent selon elle dans le champ des articles 18 et 19. Cette interprétation est retenue sous réserve d’une clarification de la Commission européenne et des lignes directrices en préparation au CEPD. Compte tenu du fait que 63 % des signalements des municipales 2026 concernaient des SMS, mieux vaut ne pas parier sur l’interprétation inverse.

Peut-on encore utiliser les listes électorales obtenues en mairie ?

Pas pour du ciblage ou de la diffusion d’annonces politiques en ligne : l’article 18 impose une collecte directe auprès de la personne concernée, ce qui exclut les listes électorales. Elles restent mobilisables pour des opérations hors ligne, sous réserve du respect du RGPD, des conditions posées par le code électoral et des règles rappelées par la CNIL sur l’utilisation des listes d’électeurs.

Que doit contenir le registre spécifique de l’article 19 ?

Il doit décrire l’usage effectif des techniques de ciblage et de diffusion ainsi que les mécanismes et paramètres appliqués : catégories de données utilisées, critères et logique de segmentation, recours éventuel à un système d’IA, sources des données et preuve de leur collecte directe. Il est distinct du registre de l’article 30 du RGPD, même s’il peut y être rattaché, et doit être constitué au moment du paramétrage de la campagne.

Le retrait de Meta et Google met-il les campagnes hors du règlement ?

Non. Le règlement vise la publicité à caractère politique, quel que soit le support. Reporter le budget sur l’emailing, le SMS ou les messageries maintient l’annonceur dans le champ des articles 18 et 19 selon la lecture de la CNIL, tout en lui transférant la responsabilité que la plateforme assumait auparavant. Seul le contenu organique non rémunéré échappe à la qualification de publicité.

---

Thiébaut Devergranne, docteur en droit, 20 ans d’expérience en protection des données. Cet article présente une analyse générale du cadre applicable et ne constitue pas une consultation juridique.

Vous suivez ces sujets de près ? Recevez nos analyses conformité chaque semaine — décryptages des textes européens, décisions CNIL et méthodes applicables.