Répertoire électoral : la CNIL se donne les moyens de freiner la dérive de surveillance d’État

Depuis sa création, le répertoire électoral unique (REU) cristallise les craintes de Revue Libre : un fichier centralisé regroupant les données de 48 millions de Français, libre d’accès pour certains opérateurs, soumis aux mêmes risques de détournement que tout fichier administratif. La Commission nationale de l’informatique et des libertés (CNIL) a décidé de ne pas laisser dormir cette menace.

Un contrôle massif pour débusquer les abus

La CNIL a annoncé que ses contrôles en 2026 viseront à vérifier les utilisations faites du répertoire électoral unique et à identifier les éventuels détournements d’usage. Ce choix de priorité ne tombe pas du ciel : il traduit une inquiétude réelle, partagée par les organisations vigilantes face au pouvoir croissant des administrations.

La cybersécurité a été érigée en priorité absolue par la CNIL, qui consacrera la moitié de ses contrôles en 2026 à la sécurité des données, notamment auprès des organismes ayant connu une violation ou des plaintes, ainsi que ceux traitant massivement des données, y compris sensibles ou hautement personnelles. Or, le REU entre précisément dans cette dernière catégorie.

Le poids des violations passées

L’année 2024 a été marquée par une recrudescence de fuites de données massives, concernant plusieurs millions de personnes. L’année 2025 a enregistré un nombre record de plaintes reçues par la CNIL, plus de 20 000, portant principalement sur les traitements liés au travail, au commerce, à l’immobilier et aux réseaux sociaux. Face à cette accumulation d’incidents, la fréquence croissante des violations justifie de renforcer la sécurité des traitements concernant de grands volumes de données personnelles.

Le fichier électoral n’avait jamais échappé à la vigilance, mais les autorités ont compris qu’il fallait passer à la vitesse supérieure. La CNIL demande à toutes les entreprises et organismes publics possédant des bases de données comptant plusieurs millions de personnes de s’assurer que des mesures adaptées aux risques soient déployées, en particulier une authentification multifacteur pour les employés, partenaires, sous-traitants et autres intervenants accédant à distance à la base.

Un précédent troublant

Rappelons que le REU est une évolution directe du projet SAFARI de 1974, que le journal Le Monde avait révélé comme un système qui visait à interconnecter les fichiers de l’administration autour d’un identifiant unique, suscitant une émoi provoquée par cette “chasse aux Français” qui conduit le législateur à réagir. Le spectre de cette centralisation sans frein n’a jamais vraiment disparu ; il s’est juste modernisé. Aujourd’hui, la CNIL tente de s’assurer que cet immense fichier citoyen ne devienne pas l’outil de surveillance interne que redoutaient les legislateurs de 1978.

En 2026, la Commission ne se contentera plus de rappels formels. La CNIL renforcera en 2026 sa politique de contrôle pour s’assurer de la mise en place de l’authentification multifacteur pour ces grandes bases de données, et l’absence de cette mesure pourra justifier que soit initiée une procédure de sanction. Pour Revue Libre, c’est un signal : la surveillance du surveillant commence enfin à se prendre au sérieux.