(Demande d’autorisation n° 1578073)
La Commission nationale de l’informatique et des libertés,
Saisie par l’association Olympique lyonnais d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 332-15, L. 332-16, R. 332-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Monsieur Dominique RICHARD, commissaire, en son rapport, et Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Sur la finalité du traitement :
La Commission nationale de l’informatique et des libertés a été saisie par l’association Olympique lyonnais, sur le fondement de l’article 25-1-3° de la loi du 6 janvier 1978 modifiée, d’une demande d’autorisation préalablement à la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées à l’encontre de personnes physiques par l’autorité judiciaire ou l’autorité administrative.
L’association Olympique lyonnais, lorsqu’elle agit en qualité d’organisateur de manifestations sportives à but lucratif, est tenue d’y assurer la sécurité, notamment en empêchant les personnes frappées d’une interdiction judiciaire ou administrative d’y accéder.
L’article L. 332-15 du code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire.
L’article L. 332-16 du même code prévoit des dispositions analogues s’agissant des personnes faisant l'objet d’une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l'ordre public.
Au regard de ce qui précède, la Commission considère que la finalité du traitement dont elle est saisie est déterminée, explicite et légitime.
Sur la nature des données traitées :
Les données à caractère personnel collectées et traitées concernent les personnes frappées d’une peine complémentaire d’interdiction de stade prononcée par l’autorité judicaire ou d’une mesure de sûreté décidée par l’autorité administrative.
Elles sont relatives à :
l’identification des personnes (nom, prénom, adresse, date et lieu de naissance) ;
des condamnations ou mesures de sûreté (date, périmètre géographique et durée d’une interdiction de stade).
La Commission estime que les articles L. 332-15 et L. 332-16 du code du sport, par dérogation à l’article 9 de la loi du 6 janvier 1978 modifiée, permettent aux associations et sociétés sportives, au nombre desquelles figurent les clubs de football professionnels, de collecter des données relatives à des condamnations ou mesures de sûreté dans le cadre de la gestion des interdictions de stade prononcées par l’autorité judiciaire ou l’autorité administrative.
La Commission considère, dès lors, que le traitement des données précédemment visées est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Les données à caractère personnel sont conservées uniquement pendant la durée de l’interdiction de stade prononcée par l’autorité judicaire ou administrative.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie par le responsable traitement.
Elle rappelle, conformément aux articles R. 332-3 et R. 332-9 du code du sport et à l’article 34 de la loi du 6 janvier 1978 modifiée, que le responsable de traitement doit mettre à jour sans délai son traitement et supprimer les données à caractère personnel correspondantes, lorsqu’une peine complémentaire d’interdiction de stade prononcée par l’autorité judiciaire est infirmée à l’occasion d’un recours juridictionnel ou amnistiée, d’une part, ou lorsqu’une mesure administrative d'interdiction de pénétrer dans des enceintes sportives ou de se rendre à leurs abords est suspendue ou annulée par la juridiction administrative, d’autre part.
Sur les destinataires des données :
Seul le personnel habilité du service sécurité de l’association Olympique lyonnais est destinataire des données du présent traitement.
La Commission considère que ces destinataires ont un intérêt légitime à connaître des données collectées.
Sur l'information des personnes et l’exercice de leurs droits :
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par l’envoi d’un courrier postal ou électronique.
Les droits d’accès et de rectification ainsi que le droit d’opposition pour motif légitime  s’exercent par courrier ou courriel auprès du correspondant Informatique et libertés de l’association Olympique lyonnais.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
L’application est uniquement disponible sur un réseau interne disponible sur site.
La directrice de la sécurité est en charge d’effectuer les demandes d’habilitation.
Les profils d’accès aux données sont spécifiques et réservés à ce traitement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe renouvelés tous les quatre mois, différents des douze derniers mots de passe et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules ainsi que des chiffres.
Le traitement met en œuvre une journalisation d’accès à l’application, ainsi que des accès concernant l’accès au fichier de données à caractère personnel.
Les données journalisées sont les suivantes :
date/heure de connexion ;
identifiant de l’utilisateur ;
opération effectuée (consultation, création, mise à jour, suppression).
Le traitement étant uniquement accessible par l’intermédiaire de deux postes informatiques, les mesures de sécurités prévues apparaissent suffisantes. Le mécanisme d’authentification, la mise à disposition du traitement uniquement sur un réseau interne et la journalisation des accès offrent également des garanties de sécurité qui n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Dans ces conditions, la Commission autorise l’association Olympique lyonnais à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative.
La Présidente
Isabelle FALQUE-PIERROTIN