Des coordonnées militantes circulent : ce que les alertes visant LFI et Renaissance changent pour les citoyens

Un numéro de téléphone militant accessible en ligne peut-il circuler sans conséquence dans un fichier massif ? Les alertes visant La France insoumise et Renaissance posent cette question, au-delà de la seule existence d’un piratage.

Après une première alerte concernant le Parti communiste français, FrenchBreaches, qui recense les fuites de données, affirme détenir des fichiers concernant les deux formations. Leurs directions contestent toutefois la divulgation de données personnelles non publiques. Pour comprendre cette controverse, il faut distinguer trois sujets : l’origine des fichiers, leur contenu et les risques pour les personnes.

Des millions d’enregistrements, pas des millions d’adhérents

Concernant LFI, FrenchBreaches évoque plus de 1,2 million d’enregistrements. Ce volume comprendrait des adresses, des coordonnées géographiques et des informations sur les opérations de porte-à-porte. Il ne correspond donc pas à 1,2 million d’adhérents : les deux parties s’accordent sur cette distinction essentielle.

Manuel Bompard, coordinateur du mouvement, indique sur X avoir appris la circulation de fichiers présentés comme provenant des systèmes de LFI. Il affirme avoir immédiatement engagé une vérification interne. Selon lui, aucune donnée personnelle de membres n’a circulé au-delà des informations déjà publiques.

Il attribue les 1,2 million d’enregistrements à une aspiration de données publiques, notamment disponibles auprès de l’Insee. Cette technique consiste à collecter automatiquement des informations accessibles en ligne, plutôt qu’à les recopier manuellement.

FrenchBreaches oppose un autre inventaire : 911 adresses électroniques distinctes et 5 016 numéros de téléphone distincts, dont des coordonnées d’organisateurs locaux. Il mentionne également près de 13 000 données relatives au porte-à-porte. Ces nombres ne permettent pas, à eux seuls, de déterminer combien de personnes différentes figurent dans les fichiers.

Pour Renaissance, FrenchBreaches annonce 4,1 millions de données, comprenant notamment 373 906 adresses, des coordonnées GPS et des identités d’organisateurs politiques. La direction du parti affirme que ses vérifications n’ont révélé aucune intrusion dans ses systèmes ou ses bases. Elle décrit une extraction automatisée d’informations publiques, issues de l’Insee ou de sa plateforme militante.

Une information publique peut rester une donnée personnelle

Le désaccord ne porte donc pas seulement sur la sécurité informatique. Il concerne aussi le sens des mots. Une adresse géographique ne désigne pas nécessairement un habitant identifiable. En revanche, un téléphone ou une adresse électronique permettant de reconnaître une personne relève de la protection des données personnelles.

Le caractère public d’une information ne suffit pas à écarter cette protection. La CNIL encadre ainsi la réutilisation des données diffusées publiquement. L’accessibilité d’une donnée et les conditions de sa réutilisation constituent deux questions distinctes.

Autre distinction importante : une extraction automatisée ne prouve pas une intrusion. Mais l’absence d’intrusion ne tranche pas, à elle seule, toutes les questions de confidentialité. Il faut savoir quelles informations étaient accessibles, à qui et dans quel contexte.

Les partis ont intérêt à établir que leurs fichiers internes restent protégés : la confiance des militants en dépend. FrenchBreaches défend, de son côté, la portée de son alerte en mettant en avant les coordonnées individuelles. Pour les personnes concernées, l’enjeu dépasse cette confrontation : quelles informations les identifient et avec quelles autres données circulent-elles ?

Pourquoi le contexte politique change le risque

Un contact associé à une organisation politique n’est pas un contact ordinaire. Dans ses règles sur les fichiers de communication politique, la CNIL explique que la présence dans certains fichiers peut révéler une opinion. Le RGPD, règlement européen protégeant les données personnelles, accorde une protection particulière à ces informations sensibles.

Cela ne signifie pas que toute adresse figurant dans un outil de campagne révèle une préférence électorale. Une opération de porte-à-porte peut concerner des habitants sans aucun lien militant. Il faut donc éviter d’assimiler les personnes démarchées aux sympathisants du parti.

En revanche, une identité explicitement rattachée à une fonction d’organisateur peut exposer un engagement. Les conséquences possibles diffèrent alors : un responsable national affiche déjà son appartenance, tandis qu’un bénévole local peut souhaiter séparer son activité militante de sa vie personnelle.

La centralisation peut aussi modifier l’exposition. Retrouver une coordonnée sur une page locale demande une démarche ciblée ; disposer d’un ensemble structuré facilite les recherches et les rapprochements. L’analyse doit donc porter sur les usages possibles du fichier, pas seulement sur l’origine de chaque ligne.

Parmi les risques généraux liés aux fuites, le service public Cybermalveillance.gouv.fr décrit les possibilités d’utilisation frauduleuse des données divulguées. Cela ne démontre pas qu’une fraude a eu lieu dans ces affaires.

Des outils utiles aux campagnes, des obligations pour les partis

Le porte-à-porte explique aussi la contrainte pratique : les équipes doivent organiser des parcours, répartir les secteurs et rendre les responsables joignables. Ces outils servent la mobilisation. Mais leur utilité ne dispense pas de limiter les informations collectées et de maîtriser leur accès.

L’équilibre concerne directement les citoyens démarchés. La CNIL rappelle, dans sa présentation des droits face à la prospection politique, que les partis doivent expliquer l’origine et l’utilisation des données. Les personnes disposent notamment du droit de s’opposer à de nouvelles sollicitations.

Si une violation de données personnelles présente un risque pour les droits et libertés, le responsable doit la notifier à la CNIL. Le délai maximal atteint 72 heures après en avoir pris connaissance. Si le risque est élevé, il doit aussi informer les personnes, selon les règles de notification des violations de données. Une simple revendication publique ne déclenche donc pas automatiquement les mêmes obligations qu’une violation établie.

La prochaine étape décisive sera la précision des vérifications : provenance des fichiers, nature des coordonnées et conditions d’accès avant leur collecte. Dans les prochains jours, les éventuelles notifications et informations adressées aux personnes permettront surtout de mesurer les conséquences concrètes, au-delà des volumes annoncés.