La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu la loi n°2010-476 du 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne, notamment ses articles 17, 18 et 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l'ARJEL ;
Vu le décret n°2010-518 du 19 mai 2010 relatif à la mise à disposition de l'offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par la société BES SAS d'une demande d'autorisation relative à la mise en œuvre d'un traitement automatisé des données à caractère personnel visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
La société BES SAS a été agréée par l'Autorité de régulation des jeux en ligne (ARJEL) pour exploiter le site www.bwin.fr, dédié aux jeux de cercles en ligne (notamment le poker) et aux paris sportifs.
La loi n°2010-476 du 12 mai 2010 relative à l'ouverture à la concurrence et à la régulation du secteur des jeux d'argent et de hasard en ligne impose aux opérateurs de jeux en ligne, agréés par l'ARJEL, de mettre en place des mesures visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme. Elle les assujettie aux obligations prévues par les dispositions des sections 2 à 7 du chapitre 1er du titre VI du livre V du Code monétaire et financier (CMF).
Les traitements ainsi mis en œuvre par les opérateurs de jeux en ligne agréés peuvent conduire ces derniers à souhaiter rompre toute relation contractuelle avec certains joueurs et donc à l'exclusion de personnes du bénéfice d'un droit ou d'un contrat, nonobstant l'absence de toute disposition légale le prévoyant.
La Commission considère, dès lors, qu'il y a lieu de faire application des dispositions de l'article 25-I-4° pour les traitements mis en place par les opérateurs de jeux en ligne agréés ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le terrorisme, et qui conduisent à la suspension ou la clôture du compte du joueur.
Le traitement, objet de la présente autorisation, que la société BES SAS souhaite mettre en place a pour finalité la surveillance des comptes joueur. En vertu de l'article L. 561-6 du CMF, la société doit exercer, pendant toute la durée de la relation d'affaires, une vigilance constante et pratiquer un examen attentif des opérations de jeux effectuées sur son site en veillant à ce qu'elles soient cohérentes avec la connaissance actualisée que la société a de ses joueurs.
A ce titre, la société souhaite notamment pouvoir demander aux joueurs de lui fournir un relevé de compte bancaire, en cas de suspicion de blanchiment de capitaux. Elle considère qu'une telle collecte lui permettrait de s'assurer de la provenance des fonds au sens de l'arrêté du 2 septembre 2009 pris en application de l'article R. 561-12 du CMF et définissant des éléments d'information liés à la connaissance du client et de la relation d'affaires aux fins d'évaluation des risques de blanchiment de capitaux et de financement du terrorisme.
Lors de l'instruction de la présente demande d'autorisation, il a été indiqué à la société qu'une telle collecte paraissait contraire à l'article 6-3° de la loi du 6 janvier 1978 modifiée. Néanmoins, la société a maintenu sa demande.
La Commission rappelle que l'article 6-3° de la loi du 6 janvier 1978 modifiée prévoit que les données traitées doivent être  adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs .
La Commission considère que le relevé de compte bancaire d'un joueur ne permet pas de s'assurer de la provenance des fonds au sens de l'arrêté du 2 septembre 2009 et souligne que ce relevé contient un nombre important d'informations sur la vie privée des joueurs (remboursements de crédits, montant du loyer, charges diverses, habitudes de consommation, etc.).
La Commission considère, dès lors, que la collecte de ces données par la société n'est ni pertinente ni proportionnée à la finalité de lutte contre le blanchiment de capitaux et le financement du terrorisme.
Dans ces conditions, la Commission n'autorise pas en l'état la société BES SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
Le Président