(Demande d’autorisation n°1822058)
La Commission nationale de l'informatique et des libertés,
Saisie par la société NRJ GROUP d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre les fraudes au sein des jeux-concours organisés par les différentes filiales du groupe ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-1-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. François PELLEGRINI, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
La société NRJ GROUP est un des principaux groupes de médias privés français, exerçant les métiers d’éditeur, de producteur, de diffuseur tout en assurant la commercialisation de ses propres espaces médias.
Sur la finalité
La société NRJ GROUP a saisi la Commission d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la lutte contre les fraudes au sein des jeux-concours organisés par différentes antennes radiophoniques du groupe.
Le traitement porte sur la mise en place d’un système automatisé et manuel de contrôle permettant de détecter une fraude ou une tentative de fraude. Les fraudes recherchées correspondent aux situations dans lesquelles un gagnant entreprend volontairement de contourner la période d’abstention prévue par les règlements des jeux, en participant à une nouvelle session de jeu avant l’expiration de cette période, en renseignant, le cas échéant, de fausses informations.
Ce traitement permet à la société NRJ GROUP de s’assurer que les gagnants respectent la période d’abstention entre deux gains. En effet, tout participant ayant remporté un lot dans le cadre d’une session de jeu organisée par la société NRJ GROUP et les antennes du groupe NRJ (Chérie FM, NRJ, Nostalgie et Rire et chansons), n’est pas autorisé à participer à un autre jeu organisé par ces antennes pendant une période de six mois à compter de la participation gagnante, et ce quel que soit le lot remporté. Pour certains jeux particuliers, cette période d’abstention peut être portée jusqu'à un an, voire quatre ans.
Le traitement de données à caractère personnel vise à effectuer des vérifications à l’égard des gagnants, et non de l’ensemble des participants aux jeux.
Les personnes sont informées de la mise en œuvre de ce traitement de données à caractère personnel, ainsi que des règles applicables aux jeux et du délai d’abstention à respecter, à différentes étapes et par le biais de différentes modalités. Les informations figurent sur le formulaire de collecte permettant l’inscription aux jeux, dans les règlements des jeux et dans le courrier de félicitation qui est adressé au gagnant du jeu après sa victoire.
En cas de fraude avérée, résultant de la fourniture de fausses informations, les personnes sont informées par courrier de la nullité de leur participation et de l’interdiction qui leur est faite de participer à un jeu pendant une période de deux ans.
Lorsque le non-respect du délai d’abstention ne correspond pas à une tentative volontaire de contournement des règlements des jeux, la personne est informée par courrier de la nullité de sa participation au jeu et de l’annulation de son gain.
Au vu de ce qui précède, la Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée, selon lesquelles « sont mis en œuvre après autorisation de la Commission nationale de l’informatique et des libertés (…) les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou règlementaire ».
La Commission observe que les contrôles sont effectués à partir des noms, prénoms, adresses postales et adresses électroniques des gagnants. Lorsque les contrôles automatiques révèlent une fraude potentielle, une vérification manuelle est effectuée au cas par cas, au besoin en collectant des pièces justificatives d’identité et / ou de domicile.
Ces vérifications sont opérées exclusivement par le service jeux, et s’effectuent dans le cadre d’une procédure interne décrivant les différentes actions à conduire et les délais à respecter en cas de détection d’une fraude potentielle. Le service jeux saisit éventuellement la direction juridique lorsque cela est nécessaire.
La fraude est avérée lorsque le contrôle manuel des gagnants, à partir de leurs justificatifs d’identité et / ou de domicile, permet de confirmer que les personnes concernées n’ont effectivement pas respecté les règlements des jeux en participant à un nouveau jeu avant l’expiration de la période d’abstention.
La Commission considère que cette finalité est déterminée, explicite et légitime au sens de l’article 6-2°de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les vérifications sont effectuées à partir du traitement mis en œuvre par la société NRJ GROUP relatif à la gestion des participants et des gagnants aux jeux des quatre antennes radiophoniques du groupe (NRJ, Nostalgie, Chérie FM, Rire et Chanson), pour lesquels les modes de participation peuvent varier (téléphone, SMS, Internet).
Les données collectées et traitées sont relatives :
à l’identité des gagnants : nom, prénom, adresse postale, adresse électronique, numéros de téléphone portable et / ou fixe, date de naissance ;
aux documents d’identité : dans le seul cas de détection d’une fraude potentielle, le service jeux collecte auprès du gagnant des pièces justificatives d’identité et / ou de domicile ;
aux zones de commentaires : cette zone sert à garder trace des étapes de l’avancement des contrôles manuels, telles que les dates de demandes de pièces justificatives envoyées et reçues et la nature du gain.
La Commission rappelle que des précautions doivent être observées pour répondre aux exigences de la loi du 6 janvier 1978 modifiée, éviter l’enregistrement de commentaires inappropriés et garantir que les données contenues dans ces zones commentaires soient pertinentes, adéquates et non excessives au regard de la finalité du traitement.
La Commission considère, compte tenu de la finalité poursuivie, que la collecte de ces données est pertinente, adéquate et non excessive au sens de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Dans la limite de leurs attributions respectives, peuvent avoir accès aux données à caractère personnel :
le personnel habilité du service jeux (NRJ Group), qui est chargé d’envoyer les gains aux gagnants des jeux organisés par NRJ Groupe et d’effectuer les vérifications manuelles dans le cadre du système de lutte contre la fraude ;
le personnel habilité de la direction des systèmes d’information (NRJ Audio), qui administre l’outil ;
le personnel habilité du service audit interne de NRJ Group, en charge de vérifier la performance du paramétrage des contrôles automatiques permettant de lutter contre la fraude ;
le personnel habilité de la direction juridique de NRJ Group, lorsqu’elle est saisie par le service jeux.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
Les participants aux jeux sont informés de ce traitement lors de la collecte de leurs données, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée. L’identité du responsable de traitement, la finalité poursuivie par celui-ci ainsi que les modalités d’exercice du droit d’accès et de rectification sont mentionnées sur le formulaire de collecte, dans les règlements des jeux et dans le courrier adressé aux gagnants.
La Commission considère que les modalités d’information des personnes concernées sont satisfaisantes au regard des dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée.
S’agissant des modalités d’exercice des droits des personnes, les droits d’accès, de rectification et d’opposition s’exercent dans les conditions légales auprès de la société E-NRJ, filiale de NRJ Group, en charge de l’édition et de la gestion des sites web du groupe, 22 rue Boileau, 75016 Paris.
Ces modalités d’exercice des droits des personnes n’appellent pas d’observation de la part de la Commission.
Sur les mesures de sécurité
Les flux de données sont exclusivement effectués sur le réseau local de la société NRJ GROUP par l’ensemble des services accédant à l’application.
Les postes de travail disposent d'un pare-feu et d'un logiciel antivirus. Les logiciels et systèmes d’exploitation sont régulièrement mis à jour.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnelle.
Des sauvegardes régulières sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.
Les profils utilisateurs (consultation et / ou modification) sont attribués par la direction des systèmes d’information via un processus ad hoc. Chaque demande doit être approuvée au préalable par le supérieur hiérarchique de l’utilisateur en ayant fait la demande.
La Commission observe que l’authentification des utilisateurs du traitement respecte ses préconisations et, notamment, que les mots de passe utilisés sont d’un niveau de complexité suffisant.
Le traitement comporte une fonctionnalité de journalisation des opérations de consultation, création, modification et suppression des données à caractère personnel.
Les mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Autorise, conformément à la présente délibération, la société NRJ GROUP à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS