AgentPublic/cnil huggingface dataset:
procès-verbal de contrôle après prise d’empreinte numérique.
Sur le fond, la formation restreinte relève que la société a apporté des éléments d’explication sur les
 dysfonctionnements constatés lors du contrôle et considère qu’elle met en œuvre une procédure de gestion des
 désabonnements de nature à garantir une correcte prise en compte du droit d’opposition des personnes de sorte
 que le manquement n’est pas caractérisé.
Sur le manquement à l’obligation de définir et de respecter une durée de conservation proportionnée à la finalité
 du traitement
L’article 6-5° de la loi du 6 janvier 1978 modifiée dispose que les données à caractère personnel sont conservées
 sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée
 nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Lors du contrôle sur place du 6 mars 2014, la société a indiqué que les données des internautes ayant souscrit à
 une lettre d’information sont supprimées par déclenchement manuel d’un script SQL, qui prévoit une anonymisation
 des données à l’expiration d’un délai de 760 jours d’inactivité (soit 2 ans et 30 jours). Elle a précisé que le
 point de départ de la durée de conservation est l’ouverture de la lettre d’information ou le clic sur un lien
 proposé dans cette lettre par les personnes concernées.
Dans le cadre de la mise en demeure, il a été enjoint à la société de se conformer à la norme simplifiée n° 48,
en référence à laquelle elle a souscrit un engagement de conformité le 23 juillet 2011, et qui prévoit que Les
 données à caractère personnel relatives à un prospect non client peuvent être conservées pendant un délai de
 trois ans à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect
 (demande de documentation par exemple) . A cet égard, la mise en demeure a précisé que ni l’ouverture d’une
 lettre d’information ni le clic sur un lien hypertexte contenu dans une telle lettre ne peuvent constituer un
 contact au sens de cette norme.
En défense, la société a indiqué que, en ouvrant une lettre d’information, l’abonné effectue une action lui
 permettant de consommer le contenu de la lettre et donc d’être en contact avec l’éditeur du contenu. Elle
 considère a fortiori que le clic sur un lien hypertexte contenu dans la lettre d’information constitue un
 contact émanant de l’internaute.
La formation restreinte considère que le clic de l’abonné sur un lien hypertexte peut constituer un contact au
 sens de la norme simplifiée n° 48 dans la mesure où il manifeste sa volonté d’interagir avec la société. Elle
 estime toutefois que la simple ouverture de la lettre d’information, qui peut arriver par inadvertance, ne peut
 constituer le point de départ de la durée de conservation.
Dès lors, elle considère que le manquement à la durée de conservation est caractérisé.
Sur la sanction et la publicité
Les manquements commis par la société ont persisté au-delà du délai imparti par la mise en demeure et n’ont été
 régularisés, pour partie, que dans le cadre de la présente procédure justifiant le fait que soit prononcée à son
 encontre une sanction.
En outre, la société ne pouvait ignorer ses obligations en sa qualité de responsable de traitement compte tenu de
 l’existence de procédures antérieures portant sur des manquements similaires.
La formation restreinte décide en conséquence de fixer le montant de la sanction à la somme de 15000 € et de
 rendre publique sa délibération.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
De prononcer une sanction pécuniaire de 15.000 € à l’encontre de la société X ;
De rendre publique sa délibération.
Le Président,
Jean-François CARREZ
Cette décision peut faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de
 sa notification.
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 8 juin 2015 sous la présidence de Mme Isabelle FALQUE-PIERROTIN ;
Etant aussi présents Mme Marie-France MAZARS, Vice-présidente déléguée, et M. Eric PERES, Vice-président ;
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 45 et 46 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la décision n° 2015-046 du 21 mai 2015 de la Présidente de la Commission mettant en demeure la société X.
A adopté la délibération suivante : 
Par décision du 21 mai 2015, la Présidente de la Commission a, sur le fondement de l’article 45 de la loi du 6 janvier 1978 modifiée, mis en demeure la société X, sise […], de faire cesser sous un délai d’un mois les manquements constatés à cette même loi.
En application de l’article 46 deuxième alinéa de la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 8 juin 2015.
Après en avoir délibéré, le bureau estime que la publicité de la décision de mise en demeure se justifie par la mise en œuvre de traitements automatisés conduisant à l’exclusion des personnes des rencontres sportives du club X qui ne respectent pas les autorisations n° 2013-340 et n° 2014-043 respectivement délivrées les 7 novembre 2013 et 30 janvier 2014 par la CNIL.
Le bureau considère que la publicité de la mise en demeure a vocation à appeler l’attention des associations et sociétés sportives ainsi que des fédérations sportives agréées, en particulier les clubs de football, sur le dispositif légal encadrant les exclusions des personnes des enceintes sportives. En effet, il est rappelé que tout fichier d’exclusion est soumis à la délivrance d’une autorisation de la CNIL, laquelle doit être respectée. Le bureau souligne que les traitements d’exclusion des personnes pour d’autres motifs que des mesures d’interdiction administrative ou judiciaire de stade ne doivent pas conduire les organismes sportifs à mettre en œuvre, maintenir ou étendre un traitement d’exclusion des personnes qui poursuivrait les mêmes finalités que le dispositif légal prévu par le code du sport et que seules les autorités légales compétentes ont qualité et vocation à appliquer.
Le bureau considère également que la mesure de publicité se fonde sur la nécessité d’informer le public, et notamment les plaignants ayant saisi la CNIL, de la procédure applicable aux interdictions de stade, que celles-ci résultent de mesures décidées par les autorités légales compétentes ou de décisions d’organismes sportifs dans le cadre autorisé par la Commission. En outre, compte tenu du nombre de saisines reçues par la CNIL, le bureau souhaite rendre publique cette mise en demeure pour rappeler aux plaignants le cadre légal applicable ainsi que les droits qui leur sont conférés en matière d’interdictions de stade.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° 2015-046 de la Présidente de la CNIL mettant en demeure la société X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. A ce titre, aucune suite ne sera donnée à la procédure si l’organisme concerné se conforme en tous points aux exigences de la mise en demeure dans le délai imparti. Si tel est le cas, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
La Présidente,
Isabelle FALQUE-PIERROTIN
La Présidente de la Commission nationale de l’informatique et des libertés, 
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ; 
Vu le code pénal ; 
Vu le code du sport ; 
Vu le code de la sécurité intérieure ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; 
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; 
Vu les saisines reçues par la CNIL ; 
Vu la décision n° 2014-260C du 15 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de procéder à une mission de vérification auprès de la société X ; 
Vu les procès-verbaux n° 2014-260 et 2014-260/2, respectivement des 20 octobre 2014 et 4 novembre 2014. 
I- Constate les faits suivants
La société X (ci-après X ou la Société ) est une Société Anonyme Sportive Professionnelle (SASP) dont l’activité principale est d’organiser des manifestations sportives dans le cadre des compétitions de football masculin et féminin initiées notamment par la Fédération Française de Football, la Ligue de Football Professionnel et l’UEFA. Cette Société emploie environ 200 salariés. Elle loue le Parc […] à Y. 
Depuis le mois de mars 2012, X est détenu à 100 % par la société Z. 
L’attention de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été appelée, depuis le mois d’août 2012, à la suite de la publication de nombreux articles de presse relatifs à la mise en œuvre d’une supposée liste d’exclusion de certains supporters du club de football X. 
La Commission a, en outre, été saisie de nombreuses plaintes qui dénonçaient la création d’une liste d’exclusion de supporters par X, avec pour effet l’annulation de billets achetés pour des matchs et l’impossibilité d’en commander d’autres. 
La Commission a procédé à une mission de contrôle auprès de X les 8 et 9 novembre 2012, puis la Présidente de la CNIL a mis en demeure X par une décision du 29 août 2013, qui a été rendue publique, de procéder notamment à deux demandes d’autorisation auprès de la CNIL relatives à la gestion, par X, des interdictions de stade, d’une part, et d’une liste d’exclusion des clients, d’autre part.
La mise en demeure a été close le 7 novembre 2013, X ayant déposé deux demandes d’autorisation auprès de la CNIL concernant les traitements visés par la mise en demeure. 
X a été autorisé par la délibération n° 2013-340 du 7 novembre 2013 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative. 
Il a également été autorisé par la délibération de la CNIL n° 2014-043 du 30 janvier 2014 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’une liste d’exclusion de clients. 
La Commission a été saisie de nouvelles plaintes relatives à l’exclusion, par X, de supporters, interdits ou non de stade, à l’annulation de leurs billets pour des matchs et à l’impossibilité de commander d’autres billets pendant une période librement déterminée par X. De nombreux articles de presse ont également été publiés à ce sujet. 
En application de la décision n° 2014-260C du 15 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés, une délégation de la CNIL a procédé à une mission de contrôle sur place les 20 octobre 2014 et 4 novembre 2014 auprès de X.
Dans le cadre de la mission de contrôle, la délégation s’est attachée à examiner les différents traitements mis en œuvre au sein de la société, en particulier les traitements ayant pour finalité la gestion de la billetterie et le contrôle d’accès au stade du club de football X. 
La délégation a été informée que X reçoit environ deux fois par mois la liste des interdits administratifs de stade par courrier postal du quatrième bureau de la préfecture de police de […], d’une part, et la liste des interdits administratifs et judiciaires par courriel de la part de la cellule Stade de ladite préfecture, d’autre part. 
Il a été indiqué qu’à la réception de ces listes, une mention de cette interdiction est portée dans l’application BackOffice Billetterie. Si nécessaire, un compte est créé dans cette application au nom de la personne interdite, lorsque celle-ci n’est pas connue de la base de données. 
La délégation a été informée que, dans le champ commentaires de l’application BackOffice Billetterie, sont renseignées la date de fin de la mesure d’interdiction de stade ainsi que la date de fin de non-vente décidée par X en conséquence de la mesure d’interdiction de stade.
En effet, X a indiqué avoir décidé sur le fondement de ses Conditions Générales de Vente (CGV) que le prononcé d’une mesure administrative ou judiciaire d’interdiction de stade entraînerait systématiquement, à l’issue de cette mesure d’interdiction, une prolongation de l’exclusion de la personne concernée pour une durée librement fixée par X. 
Cette prolongation d’exclusion se traduit par la non vente de billets ou d’abonnements à la personne concernée pendant une durée qui dépend de la gravité supposée des seuls faits à l’origine de la mesure administrative ou judiciaire d’interdiction de stade, et de la durée de la mesure initiale d’interdiction. 
Il a ainsi été spécifié que : 
- pour une interdiction de stade de 1 à 6 mois, la prolongation de la non vente est de 6 mois ; 
- pour une interdiction de stade de 6 mois à 1 an, la prolongation de la non vente est de 1 an ; 
- pour une interdiction de stade de 1 à 2 ans, la prolongation de la non vente est de 2 ans ; 
- pour une interdiction de stade supérieure à 2 ans, la prolongation de la non vente est de 3 ans.
La délégation a constaté que les plaignants, MM. A, B, C, D, E, F et G ont fait l’objet d’une interdiction de stade décidée par les autorités compétentes. À l’issue de la mesure d’interdiction de stade, celle-ci a été prolongée par X par une interdiction de vente de billets et d’abonnements pour une durée librement déterminée par X, équivalente ou supérieure à la durée d’interdiction de stade décidée par les autorités compétentes. 
Enfin, la délégation a constaté qu’un client dénommé H a fait l’objet d’une interdiction de stade jusqu’au 22 mars 2015. En conséquence, X lui a indiqué par courrier daté du 3 octobre 2014 que son abonnement avait été résilié, conformément à l’article 19 b) des Conditions Générales de Vente des abonnements de X. X a ajouté que cette résiliation était étendue jusqu’au 22 septembre 2015 sur le fondement de l’article 19 g) de ses CGV qui stipule qu’ en cas de résiliation d’un abonnement par X, [il] ne délivrera plus aucun abonnement, aucune place de billetterie, aucune prestation de relations publiques ni aucun titre donnant accès à ses matchs à toute personne concernée par ces faits pendant une durée déterminée librement par X selon leur gravité. 
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée 
Un manquement à l’obligation de respecter les autorisations délivrées par la Commission
A titre liminaire, il est rappelé que le législateur a défini un cadre légal précis pour les dispositifs d’exclusion des stades. 
L’article L. 332-15 du code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu’aux fédérations sportives agréées, l’identité des personnes ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire. 
L’article L. 332-16 du même code prévoit des dispositions analogues s’agissant des personnes faisant l’objet d’une mesure d’interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l’ordre public. 
Ainsi, la société X, lorsqu’elle agit en qualité d’organisateur de manifestations sportives à but lucratif, est tenue d’y assurer la sécurité, conformément aux articles L. 332-1 et suivants du code du sport, notamment en empêchant les personnes frappées d’une interdiction judiciaire ou administrative d’y accéder.
A cette fin, la CNIL a délivré une autorisation à X visant à assurer l’effectivité des interdictions de stade prononcées par les autorités légales compétentes. En effet, la délibération n° 2013-340 du 7 novembre 2013 autorise cette société à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative. 
Par ailleurs, la CNIL a délivré une autorisation n° 2014-043 le 30 janvier 2014 à X visant à exclure des clients pour des motifs autres que des mesures d’interdiction de stade prises par les autorités judiciaires et administratives, ainsi que des motifs autres que la commission d’infractions pénales ou le prononcé de condamnations pénales. 
A cet égard, X avait sollicité une autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité de recenser d’une part, les violations aux conditions générales de vente et au règlement intérieur par les abonnés et acheteurs de billets et, d’autre part, de gérer les actions contractuelles associées (suspension, résiliation, impossibilité de souscrire un nouvel abonnement). 
Au regard du cadre légal existant, à savoir les dispositions susmentionnées issues du code du sport, la Commission a accordé à X le 30 janvier 2014 une autorisation partielle de mise en œuvre de ce traitement.
En effet, la sanction des comportements pénalement répréhensibles et le maintien de l’ordre public sont des attributions régaliennes qui relèvent de la compétence exclusive des pouvoirs publics et des juridictions. La CNIL a ainsi considéré que l’exclusion des clients n’ayant pas respecté des dispositions des CGV ou du règlement intérieur constitue une finalité explicite, déterminée et légitime, sous réserve que les motifs d’exclusion ne méconnaissent pas les attributions des autorités publiques pour sanctionner la commission d’infractions pouvant justifier une interdiction judiciaire ou administrative de stade, une telle finalité n’étant pas légitime. 
Dès lors, l’autorisation partielle permet à X de procéder à un traitement automatisé d’exclusion des personnes uniquement pour les motifs suivants : existence d’un impayé, non-respect des règles de billetterie (prêt et revente d’un abonnement ou d’un titre d’accès en violation des conditions générales de vente), activité commerciale dans l’enceinte sportive en violation des conditions générales de vente, paris dans l’enceinte sportive sur le match en cours. 
Or, en l’espèce, la mission de contrôle a permis de constater que X ne respecte pas le champ d’application des autorisations délivrées par la Commission.
En effet, dans le cadre de la gestion des interdictions judiciaires ou administratives de stade, X ne respecte pas la durée de conservation des données à caractère personnel prévue par la délibération de la Commission n° 2013-340 du 7 novembre 2013, qui est limitée à la durée de l’interdiction de stade décidée par un juge ou un préfet. En effet, la société prolonge la conservation des données personnelles relatives à la mesure d’interdiction pour une durée qu’elle détermine librement, au moins équivalente à celle de la mesure d’interdiction de stade. 
Cette prolongation, qui se fonde sur les CGV de X, conduit à l’exclusion des clients supporters du club au-delà de la fin de la mesure d’interdiction de stade décidée par les autorités légales compétentes. 
X s’autorise ainsi, a minima, à doubler la durée des interdictions de stade dont le régime est fixé par la loi, ce que seul le législateur pourrait prévoir. La durée de conservation en base active, des données des personnes faisant l’objet d’une interdiction de stade, ne peut donc pas s’étendre au-delà de la durée fixée par les législateurs. 
En outre, la circonstance selon laquelle une personne, qui a fait l’objet d’une interdiction administrative ou judicaire de stade, connaîtra une prolongation de la durée de celle-ci sur le fondement des CGV de X, ne fait pas partie des 4 motifs d’exclusion prévus par la délibération n° 2014-043 du 30 janvier 2014 de la CNIL.
Or, il est rappelé qu’aucune disposition législative ou réglementaire ne permet à la société de mettre en œuvre, et encore moins de maintenir, un traitement d’exclusion des personnes qui poursuivrait les mêmes finalités que le dispositif légal prévu par le code du sport. 
Ce faisant, X méconnaît les dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée dès lors que la société ne peut se prévaloir d’aucune des dérogations qui y sont prévues. La société méconnaît en outre le champ d’application des autorisations délivrées par la CNIL les 7 novembre 2013 et 30 janvier 2014. 
Ces faits constituent un manquement aux obligations du chapitre IV de la loi n° 78-17 du 6 janvier 1978 relatif aux formalités préalables. 
Il est rappelé qu’en application des articles 121-2, 131-37, 131-38 et 226-16 du code pénal combinés, le fait pour une personne morale, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de 1 500 000 euros d’amende. 
En conséquence, X, sise […], est mise en demeure, sous un délai d’un mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
- Respecter le champ d’application de l’autorisation délivrée par la CNIL le 7 novembre 2013 ; à défaut, cesser de mettre en œuvre le traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative ; 
- Respecter le champ d’application de l’autorisation délivrée par la CNIL le 30 janvier 2014 ; à défaut, cesser de mettre en œuvre le traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’une liste d’exclusion de clients pour des motifs fixés par cette délibération ; 
- Justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti. 
À l’issue de ce délai, si X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens. 
À l’inverse, si X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée. 
La Présidente,
Isabelle FALQUE-PIERROTIN