(Demande d’autorisation n° 1857334)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Autorité de régulation des jeux en ligne (ARJEL) d’une demande d’autorisation concernant la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité une étude relative au jeu problématique et pathologique ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL ;
Vu la délibération n°2010-123 de la CNIL du 12 mai 2010 ;
Après avoir entendu  Monsieur Alexandre LINDEN, commissaire, en son rapport, et  Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par l’Autorité de régulation des jeux en ligne (ci-après, l’ARJEL), sur le fondement des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée (ci-après, la loi Informatique et Libertés) d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité une étude relative au jeu problématique et pathologique.
Sur la licéité du traitement, sa finalité et les formalités applicables:
La loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne confie à l’ARJEL la mission de faire respecter la politique de l’Etat en matière de jeux d’argent et de hasard. L’article 3 de la loi prévoit que cet encadrement a notamment pour finalité de « Prévenir le jeu excessif ou pathologique et protéger les mineurs ».
Le contrôle permanent exercé par l’ARJEL, au titre des missions qui lui sont dévolues par la loi, porte sur l’activité des opérateurs agréés par cette autorité. Ce contrôle est exercé au regard du rapport que lui adresse annuellement chaque opérateur agréé. Ce rapport porte sur les actions menées et les moyens consacrés au jeu responsable et à la lutte contre le jeu excessif ou pathologique par chacun de ces opérateurs.
Par ailleurs, chaque opérateur met à la disposition permanente de l’ARJEL les données de jeu dont il dispose  dont les modalités sont fixées par le décret en Conseil d’Etat n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL.
Ceci permet à l’ARJEL de formuler des recommandations aux opérateurs afin d’améliorer les dispositifs existants.
La demande d’autorisation de l’ARJEL porte sur une étude réalisée à partir d’une analyse des pratiques de jeu notamment issues des données recueillies auprès des opérateurs de jeux ou de paris en ligne.
Dans un premier temps, un échantillon de joueurs en ligne sera constitué par l’ARJEL, à partir des données recueillies auprès des opérateurs, selon les deux critères objectifs cumulatifs suivants : d’une part, avoir été actif sur un compte joueur au cours des douze derniers mois (c’est-à-dire avoir eu au moins une activité de jeu en ligne pendant cette période) et d’autre part, disposer d’au moins un compte joueur depuis plus d’un mois.
Dans un deuxième temps, l’ARJEL adressera un questionnaire aux personnes sélectionnées à partir l’échantillon de joueurs ainsi constitué.
Dans un troisième temps, les données recueillies auprès des opérateurs  et celles issues des réponses apportées aux questionnaires seront rapprochées. Ce procédé vise à permettre l’évaluation par l’Observatoire des jeux (ci-après, l’ODJ), agissant en qualité de sous-traitant de l’ARJEL, du risque de jeu pathologique et l’élaboration de modèles de repérage du jeu problématique et pathologique.
Dès lors, la Commission estime que la finalité du traitement tendant à permettre la prévention du jeu pathologique est déterminée, explicite et légitime.
Elle relève que le traitement s’inscrit dans le cadre des missions dévolues à l’ARJEL par le législateur. Dès lors, la Commission considère la condition de licéité prévue à l’article 6 de la loi Informatique et Libertés est satisfaite.
Enfin, dans la mesure où ce traitement impliquera la collecte et l’analyse de données relatives à la santé des joueurs, dans un but de santé publique de lutte contre les addictions au jeu, la Commission estime qu’il y a lieu de faire application des dispositions combinées prévues aux articles 8-IV et 25-I-1°de la loi Informatique et Libertés qui soumettent à autorisation les traitements portant sur des données relatives à la santé des personnes justifiés par l’intérêt public.
Sur la nature des données collectées et traitées :
Les données recueillies auprès des opérateurs de jeux ou de paris en ligne traitées pour cette étude sont les suivantes :
les données d’identification des joueurs (nom, prénom, date et lieu de naissance, adresse de courrier électronique, identifiant unique permettant l’accès au compte joueur) ;
les données relatives à l’activité de jeu en termes de montant et de fréquence (mises, dépôts, pertes, gains) ;
les caractéristiques du jeu pratiqué (type de jeu, niveau de risque);
les informations relatives aux comptes des joueurs (auto-exclusions et auto-limitations de jeu) ;
les identifiants de connexion ;
les informations d’horodatage.
Font également l’objet d’un traitement les données issues du questionnaire complété par le joueur.
La Commission considère que le traitement des données précédemment listées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur les destinataires des données :
La Commission prend acte de ce que seules les personnes habilitées à traiter les données y auront accès, de sorte qu’aucun destinataire, au sens de l’article 3 de la loi Informatique et Libertés, n’est prévu.
Sur la durée de conservation des données :
Les données de l’étude sont conservées pendant la durée nécessaire à la création des modèles de repérage du jeu problématique et pathologique dont il est prévu qu’elle soit de 18 mois maximum.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement des finalités poursuivies par le responsable de traitement.
Sur l’information des personnes et les modalités d’exercice de leurs droits :
L’ARJEL adresse, par l’intermédiaire d’une société de publipostage agissant comme sous-traitant, un courriel aux personnes sélectionnées afin de présenter l’étude et leur proposer d’y participer.
Ce courriel les informe de leurs droits selon des modalités conformes à l’article 32 de la loi Informatique et Libertés.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du service de la direction juridique de l’ARJEL.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
La collecte des données sera opérée par l’ARJEL et les postes utilisés pour cette collecte seront placés sur un réseau compartimenté.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Le réseau de l’entreprise fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
Le responsable de traitement a mis en place une politique de mot de passe conforme aux recommandations de l’Agence nationale de sécurité des systèmes d’information. Par ailleurs, une journalisation des opérations de consultation du traitement est réalisée.
Les services web sont sécurisés au moyen du protocole TLS.
S’agissant des données adressées à l’ODJ :
une clause spécifique couvre les interventions des sous-traitants en matière d'accès aux données personnelles. La Commission prend acte de l’engagement du responsable de traitement de fixer contractuellement des objectifs de sécurité à ses sous-traitants ;
les données transmises à l’ODJ, sous traitant de l’ARJEL, en charge de l’analyse statistique sont des données pseudonymisées, expurgées de l’identité des personnes ;
-préalablement à leur transmission à l’ODJ, les données seront chiffrées au moyen d’un algorithme de chiffrement conforme au Référentiel Général de Sécurité. Les données chiffrées et le secret permettant de les déchiffrer seront transmis par des canaux de communication distincts.
S’agissant des données adressées à la société de publipostage :
l’ARJEL adresse également à la société en charge de l’envoi des courriels, également sous-traitant, un fichier de données comportant exclusivement les données d’identification des joueurs permettant le publipostage ;
préalablement à leur transmission au prestataire chargé du publipostage, les données seront chiffrées au moyen d’un algorithme de chiffrement conforme au Référentiel Général de Sécurité. Les données chiffrées et le secret permettant de les déchiffrer seront transmis par des canaux de communication distincts.
La Commission prend acte de ce que la présente demande d’autorisation concerne la première phase du projet et de ce que les  phases suivantes feront l’objet de formalités ultérieures.
Dans ces conditions, la Commission autorise l’ARJEL à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité une étude relative au repérage du jeu problématique et pathologique.
La Présidente
I. FALQUE-PIERROTIN