Traitements de données à caractère personnel des interdits de stade : la CNIL donne son feu vert

Une délibération de la Commission nationale de l'informatique et des libertés (CNIL) du 7 avril 2015 porte autorisation unique de traitements de données à caractère personnel mis en œuvre par les associations, sociétés et fédérations sportives aux fins de gestion des interdictions de stade prononcées par l'autorité judiciaire ou administrative.
Il est rappelé qu'au sens de la loi du 6 janvier 1978 modifiée, les interdictions de stade prononcées par l'autorité judiciaire à titre de peine complémentaire, ainsi que les mesures d'interdiction de stade décidées par l'autorité administrative, sont des données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté. L'article 9 de la loi du 6 janvier 1978 modifiée, tel qu'interprété par le Conseil constitutionnel dans sa décision n° 2004-499 DC du 29 juillet 2004, réserve la faculté de créer un traitement de données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté :
- aux juridictions, aux autorités publiques et aux personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
- aux auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi ;
- aux personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits ;
- aux personnes physiques ou morales victimes d'une infraction dans le cadre de l'exercice d'un recours juridictionnel.
En dehors de ces hypothèses, il est impossible de mettre en œuvre un traitement de données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté, sauf en présence d'une disposition légale spécifique permettant de déroger à l'article 9 de la loi du 6 janvier 1978 modifiée.
Sans préjudice des missions de service public confiées aux fédérations sportives agréées, deux dispositions légales spécifiques figurant au Code du sport permettent à la commission d'autoriser la mise en œuvre de traitements de données à caractère personnel relatives à des condamnations ou à des mesures de sûreté, en dehors des hypothèses prévues par l'article 9 de la loi du 6 janvier 1978 modifiée, pour permettre aux organisateurs de manifestations sportives de préserver la sécurité des participants et des spectateurs. D'une part, l'article L. 332-15 du Code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes physiques ayant été condamnées à une peine complémentaire d'interdiction de stade par l'autorité judiciaire. D'autre part, l'article L. 332-16 du Code du sport prévoit, quant à lui, des dispositions analogues s'agissant des personnes physiques faisant l'objet d'une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l'autorité administrative, par arrêté motivé, en raison de l'existence d'une menace pour l'ordre public.
Dans ce cadre, la délibération prévoit que seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision les traitements, automatisés ou non, mis en œuvre par les organismes mentionnés aux articles L. 332-15 et L. 332-16 du Code du sport aux fins de priver les personnes frappées d'une interdiction de stade, prononcée par une juridiction ou un préfet, de la possibilité d'accéder à une enceinte dans laquelle se déroule une manifestation sportive à laquelle il leur est interdit d'assister.
Les traitements mis en œuvre ne peuvent avoir pour finalité que la constitution de listes de personnes physiques faisant l'objet d'une interdiction de stade en vigueur, prononcée par une juridiction ou un préfet, et ce, afin de ne pas leur fournir un titre d'accès ou de pouvoir leur refuser l'accès à une enceinte dans laquelle une manifestation sportive est organisée.
La CNIL rappelle que des données à caractère personnel ne peuvent être collectées que si elles sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. Un responsable de traitement doit ainsi être en mesure de justifier du caractère nécessaire des données à caractère personnel effectivement collectées.
La CNIL estime en outre que ces responsables peuvent également traiter les adresses et les photographies des personnes concernées par une interdiction de stade, lorsque ces données ont été collectées par un moyen légitime, en particulier à l'occasion de la souscription d'un abonnement ou de l'achat d'un titre d'accès, dans la mesure où ces informations présentent un intérêt pour identifier les personnes frappées par une interdiction de stade. S'agissant des photographies éventuellement collectées, la CNIL précise que ces données ne peuvent être utilisées pour mettre en place un dispositif biométrique de reconnaissance faciale.
Sur la base de la présente décision, les responsables de traitement peuvent ainsi collecter des données relatives à :
- l'identification des personnes (nom ; prénom ; adresse ; date et lieu de naissance ; photographie) ;
- des condamnations ou mesures de sûreté, à savoir :
- en cas d'interdiction judiciaire de stade : date de la décision et durée de la peine complémentaire ;
- en cas d'interdiction administrative de stade : enceintes et abords interdits d'accès, type de manifestations sportives concernées, date et durée de validité de l'arrêté préfectoral d'interdiction, le cas échéant obligation de répondre aux convocations des autorités ou des personnes qualifiées désignées par l'autorité préfectorale.

(Droitdusport.com)