AgentPublic/cnil huggingface dataset:
Date de l’avis : 6 juillet 2023
N° de la délibération : 2023-061
N° de demande d’avis : 23006953
 
Organisme(s) à l’origine de la saisine : ministère des sports et des jeux Olympiques et Paralympiques
Textes concernés : projet de décret en Conseil d’État relatif aux procédures d’analyses génétiques par le laboratoire antidopage français et portant diverses modifications de la partie réglementaire du code du sport relative au passeport biologique des sportifs
Thématiques : passeport biologique des sportifs, laboratoire accrédité par l’Agence mondiale antidopage en France, comparaison d’empreintes génétiques et examen des caractéristiques génétiques à des fins de lutte contre le dopage
 
Fondement de la saisine : article L. 232-12-2 du code du sport
 
L’essentiel :
 
La CNIL estime que les modalités d’information des sportifs concernés par un traitement de leurs données issues d’une comparaison de leurs empreintes génétiques ou un examen de leurs caractéristiques génétiques, à des fins de lutte contre le dopage, offrent des garanties satisfaisantes. 
 
 
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;
 
Vu l’article L. 232-12-2 du code du sport ;
 
Sur la proposition de Mme Aminata NIAKATE, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement adjoint,
 
ADOPTE LA DÉLIBÉRATION SUIVANTE :
 
I. La saisine
 
A. Le contexte
 
L’article L. 232-12-2 du code du sport, introduit par la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024, autorise le laboratoire accrédité en France (laboratoire antidopage français (LADF)) par l’Agence mondiale antidopage (AMA) à procéder à de nouvelles analyses à des fins de lutte contre le dopage. Réalisées à partir de prélèvements sanguins ou urinaires, ces analyses consistent en une comparaison d’empreintes génétiques et en un examen des caractéristiques génétiques des sportifs.
 
De telles analyses sont exclusivement limitées aux hypothèses dans lesquelles les autres techniques ne permettent pas de mettre en évidence l’usage par un sportif d’une substance ou d’une méthode interdites, en application de l’article L. 232-9 du code du sport. Elles interviennent en vue de la recherche :
 
d’une administration de sang homologue ;
d’une substitution d’échantillons prélevés ;
d’une mutation génétique dans un ou plusieurs gènes impliqués dans la performance induisant une production endogène de substances interdites ;
d’une manipulation génétique pouvant modifier les caractéristiques somatiques aux fins d’augmentation de la performance.
 
Ces analyses :
sont effectuées sur des échantillons pseudonymisés et portent sur les seules parties pertinentes du génome ;
doivent faire l’objet d’une information particulière du sportif contrôlé, préalablement au prélèvement ;
et sont réalisées à la demande des organisations signataires du code mondial antidopage, responsables de l’organisation des contrôles (organisations nationales antidopage, fédérations internationales, organisations responsables de grandes manifestations).
 
Les données génétiques analysées ne peuvent ni conduire à révéler l’identité du sportif, ni servir à son profilage ou à sa sélection à partir d’une caractéristique génétique donnée. Elles sont détruites :
sans délai lorsqu’elles ne révèlent la présence d’aucune substance ou l’utilisation d’aucune méthode interdites ;
ou au terme des poursuites disciplinaires, lorsqu’elles révèlent la présence d’une substance ou l’usage d’une méthode interdites.
 
Les analyses et le traitement des données qui en sont issues sont réalisés dans des conditions et selon des modalités précisées par décret en Conseil d’État, pris après avis de la CNIL.
 
B. L’objet de la saisine
Le projet de décret procède à des ajustements rédactionnels en ce qui concerne le passeport biologique du sportif. Il vise à intégrer, dans le code du sport, les dernières évolutions qui découlent des modifications apportées au Standard international pour la gestion des résultats, entrées en vigueur le 1er janvier 2023. Ce point n’appelle pas d’observation de la part de la CNIL.
 
Surtout, le projet de décret encadre réglementairement le traitement de données à caractère personnel constitué par le LADF aux fins de comparer les empreintes génétiques et d’examiner les caractéristiques génétiques des sportifs afin de répondre aux obligations internationales en matière de lutte contre le dopage du code mondial antidopage et des Standards internationaux. Ce traitement a pour finalité de renforcer l’efficacité de la lutte contre le dopage et de sanctionner, le cas échéant, le sportif au plan disciplinaire et non de constater des violations et infractions aux dispositions pénales du code du sport (articles L. 232-25 et suivants) ou de poursuivre leurs auteurs. Il relève donc du RGPD.
 
II. L’avis de la CNIL
A. Sur 
le droit à l’information
En application des dispositions de l’article L. 232-12-2 du code du sport, le sportif est expressément informé, préalablement à tout prélèvement, de la nature et des finalités des analyses génétiques autorisées par la loi dans le cadre de contrôles relatifs à la lutte contre le dopage, ainsi que du traitement de données à caractère personnel qui en découle.
 
La fédération sportive concernée délivre ces informations au sportif, au moment de la prise ou du renouvellement de la licence ouvrant l’accès aux compétitions qu’elle organise ou autorise.
 
S’agissant des sportifs soumis aux obligations de localisation, en vertu de l’article L. 232-15 du code du sport, l’Agence française de lutte contre le dopage (AFLD) les informe lors de leur inclusion dans le groupe cible, ou à l’occasion de la demande de fournir des renseignements sur leur localisation.
 
Dans le cadre des événements sportifs internationaux, les organismes sportifs internationaux et les organisations antidopage étrangères s’assurent par tout moyen que cette information a été portée à la connaissance du sportif.
 
En outre, l’information des sportifs sur la mise en œuvre du traitement est inscrite sur le procès-verbal de contrôle mentionné à l’article R. 232-58 du code du sport.
Le dispositif ainsi mis en place, détaillé dans le projet d’annexe II-2 du code du sport joint au projet de décret, doit permettre de s’assurer que les conditions dans lesquelles cette information est délivrée au sportif sont de nature à garantir que, en décidant de prendre part à la compétition, il consent également à ce que les échantillons prélevés puissent faire l’objet d’analyses génétiques , conformément à la réserve émise par le Conseil constitutionnel dans sa décision de conformité n° 2023-850 du 17 mai 2023.
 
Les modalités d’information des sportifs envisagées par le projet de décret offrent, en théorie, et sous réserve de leur application par l’ensemble des acteurs concernés, les garanties préconisées par la CNIL, dans sa délibération n° 2022-118 du 8 décembre 2022.
B. Sur les transferts de données hors UE
Selon le projet d’article R. 232-67-25 du code du sport, le LADF procède à des transferts de données à caractère personnel auprès de l’AMA et des organisations signataires du code mondial antidopage, à partir du traitement mentionné au projet d’article R. 232-67-20 du code du sport dont il est responsable de traitement. Ces transferts peuvent comporter des données génétiques au sens de l’article 4-13) du RGPD et des données concernant la santé au sens de l’article 4-15) du RGPD.
La nécessité de réaliser ces transferts n’est pas remise en cause par la CNIL.
Concernant les transferts de données réalisés par le LADF pour alimenter la plateforme internationale ADAMS dont l’AMA, située au Canada, est responsable de traitement, une décision d’adéquation 2002/2/CE du 20 décembre 2001 autorise les transferts de données à caractère personnel vers ce pays, dans le cadre d’activités commerciales.
 
Elle prend note que le laboratoire s’appuiera sur un courrier du Comité européen de la protection des données (CEPD) à destination de la présidence du Conseil de l’Europe en date du 9 octobre 2019, qui considère que les transferts depuis une organisation européenne de lutte contre le dopage vers ADAMS sont valides dans le cadre de cette adéquation. La CNIL souligne que les décisions d’adéquation, adoptées avant l’entrée en application du RGPD, sont actuellement en cours de révision par la Commission européenne et restent valables tant qu’elles n’ont pas été modifiées à la suite de cette révision.
Concernant les transferts de données réalisés par le LADF auprès d’autres organisations signataires du code mondial antidopage via la plateforme internationale ADAMS , très rares en pratique compte tenu des exigences de l’AMA liées aux conditions de réalisation et de transport des analyses, ils peuvent s’effectuer quant à eux vers des pays situés en dehors de l’Union européenne.
Certains pays peuvent bénéficier d’une décision d’adéquation couvrant ces transferts. Pour d’autres, le LADF, comme tout exportateur et conformément à l’arrêt Schrems II de la Cour de justice de l’Union européenne du 16 juillet 2020, devra évaluer au cas par cas la législation et les pratiques des pays vers lesquels sont transférées les données et mettre en place l’instrument d’encadrement approprié pour garantir que ces données font l’objet d’une protection substantiellement équivalente à celle offerte par l’Union européenne. Le LADF pourra s’appuyer sur les instruments prévus par le RGPD, comme les clauses contractuelles types de la Commission européenne, le cas échéant, complétés de mesures supplémentaires au sens des recommandations n° 01/2020 du CEPD du 10 novembre 2020, ou éventuellement de recourir à l’application des dérogations prévues à l’article 49 du RGPD, éclairé par son considérant 112.
 
Les autres dispositions du projet de décret n’appellent pas d’observations.
 
La présidente
 
Marie-Laure DENIS
Date de l'avis : 19 octobre 2023
			N° de la délibération : 2023-112
			N° de demande d'avis : 23008254
			Texte concerné : projet d'arrêté portant création par la direction générale des douanes et droits indirects d'un traitement automatisé dénommé Système d'Information du Renseignement des Navires et des Équipages (SIRENE)
			Thématiques : fraude douanière, renseignement maritime douanier, trafics internationaux, contrôles des navires et de leurs équipages, infractions douanières
			Fondement de la saisine : articles 31 et 89 de la loi n° 78-17 du 6 janvier 1978 modifiée
			L'essentiel :
			La CNIL considère que le traitement est licite dans son principe. Elle estime que la distinction entre les données à caractère personnel des différentes catégories de personnes inscrites dans le traitement ne reflète pas correctement celle de la loi informatique et libertés et devrait également inclure les statuts de victimes et de tiers à une infraction.
			Elle relève que le ministère limite et encadre la collecte des données relatives aux personnes mineures de manière appropriée.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 1° et 2° du I et du II de son article 31 ;
Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte de la saisine
La direction générale des douanes et des droits indirects (ci-après DGDDI ) exerce une mission de lutte contre les fraudes douanières et les trafics notamment dans l'espace maritime. Dans le cadre de sa mission de lutte contre la fraude et les grands trafics internationaux, la douane est en charge de la protection du territoire et des citoyens, et des intérêts économiques et financiers nationaux ou communautaires (mobilisation contre les trafics de stupéfiants, de contrefaçons, de tabacs, d'armes, lutte contre le terrorisme et le financement des activités criminelles, lutte contre les menaces environnementales, sanitaires et protection du consommateur, des patrimoines culturels et naturels).
Le fichier SIRENE est utilisé pour recenser toutes les personnes contrôlées sur les navires en mer ou à quai et lutter contre la fraude. Il recense des informations sur les passagers des navires contrôlés, ainsi que les informations relatives à la propriété ou à la location du navire et leur géolocalisation. Il contient également des copies de titres d'identité et la mention d'infractions pénales (telles trafic de stupéfiants, contrefaçon, travail dissimulé, refus d'obtempérer).
B. - L'objet de la saisine
En application de l'article 31 de la loi informatique et libertés , la CNIL a été saisie, le 29 juin 2023, par le ministre de l'économie, des finances et de la souveraineté industrielle et numérique d'un projet d'arrêté portant création par la DGDDI d'un traitement automatisé dénommé SIRENE . La saisine est accompagnée d'une analyse d'impact à la protection des données (AIPD).
Le traitement SIRENE permet de faciliter le partage des informations relatives aux personnes présentes, en mer ou à quai, sur les navires contrôlés afin de rechercher, constater et réprimer les fraudes douanières sur le domaine maritime, y collecter des informations se rapportant à des risques de fraude, mutualiser le partage des informations relatives aux personnes présentes, en mer ou à quai, sur les navires contrôlés.
II. - L'avis de la CNIL
A. - Sur les finalités du traitement et son régime juridique
Le projet d'arrêté prévoit que le traitement SIRENE poursuit trois finalités sur le vecteur maritime :
- contribuer à la recherche, la constatation et la répression de fraudes douanières ;
- collecter et fiabiliser des informations se rapportant à des risques de fraudes douanières ;
- fiabiliser l'intégration, l'enrichissement et la conservation du renseignement maritime douanier.
L'article 87 de la loi informatique et libertés prévoit que le régime de la directive police-justice s'applique aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommés autorité compétente .
Dans la mesure où le traitement vise, d'une part, à prévenir et détecter des infractions pénales (par exemple, en contribuant à la recherche, la constatation et la répression de fraudes douanières) et d'autre part, à enquêter ou poursuivre en matière de fraude, la Commission estime que les finalités poursuivies relèvent du régime du titre III de la loi informatique et libertés (directive police-justice ).
La CNIL estime que les finalités sont légitimes et déterminées.
B. - Sur les catégories de données traitées
1. Concernant les données de la fiche personne
a. La distinction entre les données des différentes catégories de personnes
Le projet d'arrêté prévoit notamment la collecte :
- pour les personnes physiques, des données relatives à l'état civil tels les nom, prénom, sexe, nationalité, et date de naissance permettant l'identification du propriétaire, du locataire, du loueur du navire, des membres d'équipage, et de toute personne à bord ;
- pour les personnes morales, des données relatives aux identifiant société, nom et nationalité permettant l'identification du propriétaire, du locataire ou du loueur du navire.
Il ressort de l'AIPD que différentes catégories de personnes inscrites dans le traitement sont prévues. Une case à cocher, au sein de la fiche personne , permet de distinguer si la personne considérée est contrôlée, soupçonnée, ou s'est vu notifier une infraction. Or, aux termes de l'article 98 de la loi informatique et libertés , le responsable de traitement établit, dans la mesure du possible et le cas échéant, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :
1° Les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale ;
2° Les personnes reconnues coupables d'une infraction pénale ;
3° Les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale ;
4° Les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales ou des contacts ou des associés de l'une des personnes mentionnées aux 1° et 2° .
La CNIL prend acte de ce qu'une distinction des données susceptibles d'être collectées selon le statut de la personne concernée est opérée. Elle considère néanmoins que cette distinction ne reflète pas correctement celle de la loi informatique et libertés . En effet, les catégories prévues ne permettent pas de caractériser clairement les personnes soupçonnées ou à l'égard desquelles une fraude a été constatée d'un côté et les personnes reconnues coupables de fraude dans le cadre d'une procédure judiciaire de l'autre. Cette distinction devrait prendre également en compte le statut de tiers à une infraction pénale , conformément à ce même article 98 de la loi informatique et libertés .
b. Les données relatives aux contrôles, condamnations pénales et infractions
Le projet d'arrêté autorise l'enregistrement de données relatives à la catégorie données relatives aux contrôles, y compris données relatives à des condamnations pénales et des infractions .
Le ministère a indiqué que les informations collectées au titre de cette catégorie de données sont les suivantes :
- données relatives aux déroulement du contrôle ;
- compte-rendu de visite du navire ;
- conduite à tenir ;
- contentieux douanier et contentieux autres ;
- numéro de référence du contentieux ;
- libellé de l'infraction relevée ;
- renseignements complémentaires et indices de suspicion.
Des copies des pièces d'identité des personnes physiques contrôlées peuvent occasionnellement être enregistrées dans le traitement afin de procéder à des vérifications ultérieures de l'authenticité du document et ainsi prévenir toute usurpation d'identité entre les contrôles.
Le ministère précise que les recherches sur des personnes ne pourront être faites que sur la base des éléments d'état-civil. Aucune recherche n'est possible à partir d'infractions douanières ni à partir des photos présentes sur les copies des pièces d'identité collectées.
La CNIL relève toutefois que dans la fiche personne, des zones de commentaires libres facultatifs sont prévues s'agissant du libellé de l'infraction relevée et des renseignements complémentaires et indices de suspicion.
La CNIL estime que la collecte de ces données est légitime. Elle rappelle néanmoins que ces zones de commentaires libres présentent un risque de renseigner des informations inappropriées ou non pertinentes, possiblement en lien avec la vie privée des personnes concernées. A défaut de les remplacer par des menus déroulants, la CNIL souligne que ces champs devront comporter exclusivement des informations dénuées de toute appréciation d'ordre personnel et limitées à ce qui est strictement nécessaire à l'instruction du dossier de fraude douanière. Par ailleurs, aucune donnée sensible au sens de l'article 6 de la loi informatique et liberté ne pourra y figurer.
Elle considère qu'un bandeau d'information apparaissant au sein des champs libres permettrait de rappeler aux agents les préconisations d'emploi de ce type de zone de saisie libre et le cadre juridique applicable. Des contrôles stricts et réguliers devront également être opérés afin de s'assurer que seuls les éléments utiles aux finalités du traitement sont effectivement renseignés.
2. Concernant les données relatives à des personnes mineures
Le projet d'arrêté prévoit au 3° de l'article 2 l'intégration des données relatives à l'identification de mineurs dans SIRENE lorsqu'ils ont commis une infraction ou sont soupçonnés d'en avoir commis une.
Concernant la présence de données relatives à des personnes mineures dans le traitement antérieurement à la publication de l'arrêté, la mesure n° 6 du plan d'action 4. 1. 3 figurant dans l'AIPD prévoit :
- la suppression en base des données des fiches relatives à des personnes mineures dans le traitement lors du déploiement de la purge, prévue au dernier trimestre 2023 ;
- la création d'une case à cocher présence de mineur à bord (O/N) .
Lorsque cette case est cochée, le ministère s'est engagé à empêcher techniquement l'intégration de données à caractère personnel correspondant à une personne mineure qui n'aurait pas commis d'infraction ni ne serait soupçonnée d'en avoir commis.
Concernant les données relatives à des personnes mineures présentes dans la base antérieurement :
- la CNIL accueille favorablement l'engagement du ministère de supprimer les données des mineurs contrôlés sans lien avec une infraction, collectées antérieurement à la publication du projet d'arrêté ;
- elle rappelle que les copies des pièces d'identité de ces personnes devront également être supprimées dans SIRENE.
Concernant les dispositions du projet d'arrêté relatives aux données des mineurs :
- la CNIL accueille favorablement la mention du projet d'arrêté selon laquelle les données relatives à des mineurs ne peuvent être traitées que si elles ont un lien avec une infraction ;
- elle prend acte de ce que le ministère s'est engagé à bloquer techniquement la collecte des données des mineurs lorsqu'elles n'ont aucun lien avec une infraction.
3. Concernant les données de localisation des navires
Le projet d'arrêté prévoit la collecte des données relatives à la localisation du navire.
Si la CNIL est consciente de l'intérêt de cette collecte pour la recherche et la détection de fraudes, elle s'interroge néanmoins sur les modalités d'utilisation des données de localisation postérieurement aux contrôles des navires et des personnes à bord. En effet, le croisement des données de localisation des navires avec les données à caractère personnel des personnes à bord s'avérerait très attentatoire aux droits et libertés et notamment, au droit à la vie privée et à la libre circulation des personnes. Il induit un risque de surveillance générale et à grande échelle de ces personnes.
Sous réserve de l'engagement du ministère de ne pas croiser les données de localisation avec celles des personnes à bord, la CNIL considère que la collecte des données de localisation des navires est conforme et proportionnée aux finalités du traitement. Un cloisonnement des données de localisation devrait permettre de garantir l'absence de croisement avec celles des personnes enregistrées dans SIRENE à l'issue d'un contrôle.
C. - Sur les durées de conservation des données
1. S'agissant de la durée de conservation de principe