(demande d’autorisation n° 1751004)
La Commission nationale de l'informatique et des libertés,
Saisie par la société par actions simplifiée CASINO BARRIERE DE TROUVILLE d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions d’accès au casino Barrière de Trouville ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure, notamment ses articles L. 321-1 à L. 321-7 et R. 321-1 à R. 321-39 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-3° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 19 mai 1993 modifié autorisant la création au ministère de l’intérieur et de l’aménagement du territoire d’un fichier automatisé des casinos et des exclus des salles de jeux ;
Vu l’arrêté du 14 mai 2007 modifié relatif à la réglementation des jeux dans les casinos ;
Vu la délibération n° 2010-277 du 1er juillet 2010 portant avis sur un projet d’arrêté modifiant l’arrêté du 19 mai 1993 autorisant la création au ministère de l’intérieur d’un fichier des casinos et des exclus des salles de jeux ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et  M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie, par la société par actions simplifiée (SAS) CASINO BARRIERE DE TROUVILLE, d’une demande d’autorisation concernant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la gestion des interdictions d’accès au casino Barrière de Trouville.
Les personnes concernées par le traitement projeté sont celles qui font l’objet d’une mesure administrative d’interdiction d’accéder aux salles de jeux d’un casino prononcée par le ministère de l’intérieur, celles qui ont volontairement sollicité une limitation de leur nombre d’entrée au casino auprès du casinotier, ainsi que celles qui font l’objet d’une décision d’exclusion de ces mêmes salles par le directeur responsable du casino de Trouville et qui sont considérées comme « à ne plus recevoir » (« ANPR »). Dans ce contexte, le traitement projeté repose en partie sur des informations issues du fichier automatisé des casinos et des exclus des salles de jeux du ministère de l’intérieur.
Le traitement projeté porte sur des données susceptibles de faire apparaître des données relatives à des infractions, des condamnations ou des mesures de sûreté au sens de l’article 9 de la loi du 6 janvier 1978 modifiée et a vocation à constituer un traitement d’exclusion mis en œuvre par le CASINO BARRIERE DE TROUVILLE. Il doit dès lors être autorisé par la Commission, en application des articles 25-I-3° et 25-I-4° de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement
Le traitement projeté a pour finalité de vérifier que « les personnes entrant dans les salles de jeux ne sont pas mineures, ne sont pas interdites de jeux, ne figurent pas dans la liste des personnes à ne pas recevoir (ANPR) et n’excèdent pas le nombre d’entrées mensuelles qu’elles se sont imposé (limitation volontaire d’accès) ».
En application des dispositions du code de la sécurité intérieure (CSI) et de l’arrêté du 14 mai 2007 susvisé, l’accès aux salles de jeux des casinos est strictement réglementé.
L’article R. 321-27 du CSI prévoit ainsi que l’accès aux salles de jeux des casinos est interdit aux mineurs, même émancipés, aux personnes dont le ministre de l’intérieur a prononcé l’exclusion en application de l’article R. 321-28 du même code, aux personnes en état d’ivresse, aux personnes susceptibles de provoquer des incidents ainsi qu’aux fonctionnaires en uniforme et militaires en uniforme, en dehors de l’exercice de leurs missions. En application des dispositions de l’article R. 321-28 du CSI, le ministre de l’intérieur prononce l’exclusion des salles de jeux des catégories de personnes suivantes :
celles qui ont volontairement sollicité cette mesure, pour une durée de trois ans, renouvelable tacitement ;
celles qui sont placées sous mesure de protection juridique lorsque la personne en charge de leur protection en fait la demande ;
celles qui ont été condamnées et bénéficient de sursis avec mise à l’épreuve à l’égard desquelles a été prononcée l’interdiction d’accès aux casinos et maisons de jeux prévue par l’article R. 59 du code de procédure pénale, sur la demande du juge de l’application des peines ;
celles qui ont été admises au bénéfice de la libération conditionnelle sous condition de ne pas fréquenter les casinos et maisons de jeux, sur la demande du juge de l’application des peines ;
celles dont la présence dans les salles serait de nature à troubler l’ordre, la tranquillité ou le déroulement normal des jeux.
L’arrêté du 14 mai 2007 précité prévoit en outre que le directeur du casino peut refuser l’accès aux personnes ayant fait l’objet d’une limitation volontaire d’accès à son établissement (restriction du nombre d’entrée) ainsi qu’à toute personne qu’il estime susceptible de troubler l’ordre, la tranquillité ou la régularité des jeux.
Dans ce cadre, le traitement projeté par le CASINO BARRIERE DE TROUVILLE poursuit trois objectifs distincts. Il s’agit en premier lieu de s’assurer que les personnes qui font l’objet d’une interdiction ministérielle à leur demande, d’une mesure de sûreté ou d’une mesure d’interdiction judiciaire ne peuvent accéder aux salles de jeux des casinos.
Le casino doit dès lors pouvoir utiliser la liste des personnes inscrites sur le fichier automatisé des casinos et des exclus des salles de jeux qui lui est transmise périodiquement par le ministère de l’intérieur, conformément aux dispositions de l’arrêté du 19 mai 1993 susvisé.
La Commission relève que, bien que les casinos ne soient destinataires que de la liste nominative des personnes exclues, sans mention du motif d’exclusion, ces données sont relatives à des personnes ayant fait l’objet d’une mesure de sûreté prise en vertu d’un impératif d’ordre public ou d’une mesure judiciaire prononcée par le juge d’application des peines. Elle considère dès lors, tant au regard des conditions initiales de la collecte des données que des finalités poursuivies par le traitement projeté par le casino, que les données transmises doivent être considérées comme des données relevant de l’article 9 de la loi « Informatique et Libertés ». Or, les traitements portant sur de telles données ne peuvent être mis en œuvre que par les personnes et organismes limitativement énumérés à l’article 9 de la loi du 6 janvier 1978 modifiée, parmi lesquels figurent « les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ».
A cet égard, l’article L. 321-1 du CSI permet aux casinos de bénéficier d’une autorisation temporaire d’ouvrir au public des locaux où sont pratiqués certains jeux de hasard, sous réserve du respect d’un cahier des charges établi par le conseil municipal de la ville concernée et approuvé par le ministère de l’intérieur. La Commission relève que les conventions obligatoirement conclues pour l’installation et l’exploitation des casinos ont le caractère de délégation de service public, dont le non-respect peut entraîner le retrait temporaire ou définitif de l’autorisation délivrée. Elle rappelle que cette délégation est subordonnée à la communication, aux représentants de l’Etat concernés, d’un programme de prévention à l’abus de jeux.
La Commission relève également que, conformément aux dispositions de l’article  R. 321-29 du CSI, le directeur responsable et les membres du comité de direction des casinos sont tenus de se conformer aux clauses du cahier des charges, aux prescriptions de l'autorisation et à la réglementation applicable. Il incombe notamment aux exploitants de casinos de mettre en place un contrôle généralisé des joueurs aux entrées de casinos et de refuser l’accès des personnes visées aux articles R. 321-27 et R. 321-28 du CSI.
Par ailleurs, les conditions de création, d’organisation et de fonctionnement des casinos, les obligations imposées aux exploitants ainsi que les mesures de contrôle auxquels ils sont astreints sont strictement définies par les dispositions du CSI et de l’arrêté du 14 mai 2007 susvisé. Ce dernier prévoit notamment que le directeur du casino doit faire tenir un ou des fichiers des exclus des jeux, participant ainsi à l’application des mesures d’interdiction de jeux décidées par le ministère de l’intérieur et à la mise en œuvre d’une politique contrôlée du jeu sur le territoire national.
Au regard de ce qui précède, la Commission considère que les casinos, délégataires d’une concession de service public, sont investis d’une mission d’intérêt général en tant qu’ils sont tenus de mettre en œuvre une politique de prévention de l’abus de jeux et de participer, sur le territoire national et sous le contrôle du ministère, au développement d’une politique contrôlée du jeu. Elle estime dès lors qu’en application des dispositions de l’article 9-1° de la loi du 6 janvier 1978 modifiée, il leur est possible de traiter, dans ce cadre, des données relatives aux infractions, condamnations et mesures de sûreté.
Dans le cadre de la mise en œuvre d’une politique contrôlée du jeu, le traitement projeté vise en deuxième lieu à permettre au directeur du casino de refuser l’accès aux personnes ayant volontairement entendu limiter leur nombre d’entrée à cet établissement, par le biais d’une convention avec le casino. En effet, l’article 23 de l’arrêté du 14 mai 2007 modifié prévoit à cet égard que la direction du casino peut « de même refuser l’entrée aux personnes ayant fait l’objet d’une limitation volontaire d’accès avec cet établissement ».
Compte tenu de ces éléments, la Commission estime que l’interdiction des accès au casino Barrière de Trouville de ces catégories de personnes poursuit une finalité déterminée, explicite et légitime.
En troisième lieu, le traitement projeté vise à s’assurer que les personnes susceptibles de porter atteinte au déroulement normal des jeux ne puissent accéder au casino Barrière de Trouville. Ce traitement repose dès lors uniquement sur la décision du directeur du casino qui peut décider d’interdire l’accès des salles de jeux à certaines personnes, considérées comme étant « à ne plus recevoir ». En effet, conformément aux dispositions de l’article 24 de l’arrêté du 14 mai 2007 susvisé, la direction du casino « peut refuser l’accès à son établissement à toute personne qu’elle estime susceptible de troubler l’ordre, la tranquillité ou la régularité des jeux ».
Le traitement projeté a dès lors pour finalité d’exclure des personnes du bénéfice d’un droit et d’une prestation au sens de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée.
De manière générale, la Commission relève que la constitution de cette liste d’exclusion contribue à s’assurer du respect de l’obligation, pour les exploitants de casinos, de refuser l’accès aux catégories de personnes mentionnées à l’article R. 321-27 du CSI. Cette liste doit également permettre de matérialiser la faculté qui leur est offerte en application des dispositions de l’article 24 de l’arrêté du 14 mai 2007 précité.
Elle rappelle néanmoins que la mise en œuvre de traitements reposant sur la constitution de fichiers d’exclusion ne peut s’effectuer que sous réserve que des garanties suffisantes et appropriées soient prévues.
Dans ces conditions, la Commission estime la poursuite d’une telle finalité est déterminée, explicite et légitime, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données à caractère personnel traitées dans le cadre du présent traitement sont relatives :
à l’identification des personnes figurant sur la liste des exclus des jeux du ministère (nom et prénom) ;
à l’identification des personnes ayant demandé à faire l’objet d’une limitation volontaire d’accès auprès du casino (nom, prénom, adresse, photographie, date et lieu de naissance) ;
à l’identification des personnes considérées comme « à ne plus recevoir » (ANPR) (nom, prénom, adresse, photographie, date et lieu de naissance) ;
aux motifs d’exclusion des personnes figurant sur la liste ANPR sous la forme : « tricherie, usurpation d’identité, vol, état d’ébriété, violences verbales, injures, propos racistes, comportements contraires à l’ordre public et aux bonnes mœurs, comportement agressif physique léger, comportement agressif physique grave, activité illégale exercée au sein du casino, menace sur le personnel, sollicitation de prêt d’argent auprès du personnel du casino, destruction de biens matériels du casino, comportement importunant la clientèle, tentative d’accès aux salles de jeux en essayant de se soustraire à la vérification d’identité, tout autre comportement de nature à troubler l’ordre, la tranquillité ou la régularité des jeux au sein du casino ».
S’agissant des données d’identification, la Commission relève qu’aucun dispositif de biométrie n’est mis en œuvre à partir de la photographie collectée. En outre, elle observe qu’aucun signalement physique de la personne ne peut donner lieu à une mise en « ANPR ». A ce titre, la Commission relève qu’aucune donnée sensible au sens de l’article 8 de la loi du 6 janvier 1978 modifiée n’est collectée.
En ce qui concerne les motifs d’exclusion, elle relève qu’ils concordent avec l’obligation générale qui incombe, en application de l’article R. 321-27 du CSI, aux exploitants de casinos de refuser l’accès aux salles de jeux des personnes « en état d’ivresse » ou « susceptibles de provoquer des incidents », ainsi qu’avec la possibilité qui leur est offerte de refuser l’accès à certaines catégories de personnes. La Commission prend acte que ces motifs correspondent aux situations les plus fréquemment rencontrées et que, à l’exception des motifs « tricherie, usurpation d’identité et état d’ébriété », ils donneront lieu à une qualification précise du comportement de la personne pour laquelle la mise en « ANPR » est demandée.
Concernant la catégorie relative à « tout autre comportement de nature à troubler l’ordre, la tranquillité ou la régularité des jeux au sein du casino », elle prend acte qu’il s’agit de pouvoir tenir compte de comportements marginaux qui témoignent du non-respect de la réglementation générale applicable au sein du casino et qui justifient également qu’une personne puisse être mise en « ANPR ».
En tout état de cause, la Commission estime qu’un tel traitement doit être assorti de garanties suffisantes afin de s’assurer du bien-fondé de l’inscription décidée par le Comité de Direction et le directeur du casino. A cet égard, elle prend acte des différentes mesures qui entourent la mise en œuvre du traitement projeté.
En premier lieu, la Commission relève que l’inscription d’une personne en « ANPR » doit être fondée sur des faits objectifs et être proportionnée au comportement de la personne qui fait l’objet de cette décision. Ainsi, la Commission prend acte qu’une telle décision ne peut résulter d’un simple signalement qui lui est adressé, d’une demande d’une personne en situation d’abus de jeux qui doit dès lors faire l’objet d’une procédure de limitation volontaire d’accès ou encore d’une suspicion de triche ou de comptage mental de cartes.
En deuxième lieu, elle prend acte que le chef du service de la Direction centrale de la police judiciaire (DCPJ) territorialement compétent est informé par écrit de la mise en « ANPR » du client ainsi que du motif retenu. Une procédure identique est respectée lorsque le directeur du casino décide du renouvellement de la décision de mise en « ANPR ». La Commission considère qu’une telle mesure doit permettre aux autorités publiques d’exercer un contrôle sur les conditions de mise en « ANPR ».
En troisième lieu, elle relève que l’inscription en tant que personne « ANPR» fait l’objet d’une procédure strictement définie.
De manière générale, la Commission rappelle que l’inscription effective en « ANPR » ne saurait être concomitante à la réalisation de l’incident et qu’un délai raisonnable de plusieurs jours doit être prévu afin de permettre à la personne concernée de faire valoir ses observations.
Par ailleurs, la Commission relève que la décision de mise en « ANPR » est formalisée par le biais d’un « formulaire d’enregistrement » qui précise le motif d’exclusion, la date et la durée de l’exclusion. Ce formulaire doit nécessairement être accompagné de tout élément probant permettant effectivement d’établir l’existence du trouble ou de l’incident.
La décision du directeur du casino donne lieu à une lettre de notification de la décision et de sa durée à l’intéressé, lequel doit dès lors également pouvoir présenter, à ce moment, ses observations sur la mesure dont il fait l’objet. En cas de renouvellement de la mise en « ANPR », une procédure identique est respectée.
La Commission rappelle également que dans le cadre de la mise en œuvre du traitement projeté, le responsable de traitement doit s’assurer qu’une information spécifique est délivrée aux personnes concernées tant sur le traitement en question que sur les voies de recours dont elles disposent.
En quatrième lieu, la Commission relève que la décision de mise en « ANPR » ne peut avoir qu’un caractère conjoncturel et ponctuel. Elle prend acte que la décision d’exclusion prononcée par le directeur du casino est strictement limitée dans le temps et ne saurait en aucun cas aboutir à une interdiction d’accès de manière illimitée.
En dernier lieu, la Commission prend acte que toute transmission de fichiers de données à caractère personnel relatives à des personnes considérées comme « ANPR » entre casinos est interdite, y compris lorsqu’ils appartiennent au même groupe et ce, afin d’éviter la constitution d’un fichier centralisé des personnes à ne plus recevoir. Il en résulte que toute exclusion d’une personne dont le nom aurait été transmis par un autre casino ne peut constituer un motif valable de mise en « ANPR ».
Dans ces conditions, la Commission considère que les données précitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur la durée de conservation des données :
Les données relatives aux personnes exclues des jeux par le ministère de l’intérieur sont conservées dans le traitement tant que l’interdiction perdure.
Les données relatives aux personnes ayant fait l’objet d’une limitation volontaire d’accès sont conservées le temps de la mesure, conformément aux dispositions de la convention conclue avec la personne concernée.
Les données relatives aux personnes considérées comme « ANPR » sont conservées le temps de la mesure, laquelle ne peut en tout état de cause excéder une durée maximale de trois ans à compter de la décision prise par le directeur responsable du casino. A cet égard, la Commission rappelle qu’il lui revient de s’assurer que la durée de l’exclusion prononcée est proportionnée au regard du motif invoqué.
La Commission considère que ces durées n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le traitement projeté. En outre, elle prend acte que des mécanismes de mise à jour et de suppression automatiques des données sont mis en œuvre afin de s’assurer de l’exactitude des données relatives aux personnes exclues des jeux, aux personnes ayant fait l’objet d’une limitation volontaire d’accès ainsi qu’aux personnes ayant fait l’objet d’une mise en « ANPR ».
Sur les destinataires des données :
Les membres du Comité de Direction, le directeur responsable du casino ou la personne déléguée par lui peuvent accéder directement aux données contenues dans le traitement projeté. Cet accès doit leur permettre de décider de l’inscription des personnes ayant fait l’objet d’une limitation volontaire d’accès ou considérées comme « ANPR » ainsi que de mettre à jour les données les concernant.
Les responsables de la sécurité du casino peuvent également avoir connaissance des motifs des mises en « ANPR » en tant qu’ils sont chargés de constater et de signaler l’incident à l’origine de la mesure d’interdiction et qu’ils sont ensuite rendus destinataires de la décision prise par le directeur responsable du casino à l’encontre de la personne concernée.
Le chef du service de la direction centrale de la DCPJ territorialement compétent est destinataire des informations relatives aux personnes en « ANPR », conformément aux dispositions réglementaires applicables et notamment à la mission de surveillance générale des casinos dont il est investi.
Peuvent en outre être destinataires de la seule identité de la personne ayant fait l’objet d’une limitation volontaire d’accès au casino Barrière de Trouville ou d’une mise en « ANPR » :
les employés des caisses des salles de jeux et ceux des postes de contrôle aux entrées du casino, afin de leur permettre de refuser l’entrée et le paiement des gains à une personne ayant dépassé le nombre d’entrées qu’elle s’est fixé ou mise en « ANPR » ;
les employés du service marketing en charge de la prospection commerciale, afin d’interrompre toute sollicitation ;
les employés de la direction des systèmes d’information, en tant qu’ils sont chargés de la mise à jour du système informatique.
La Commission relève que tous ces destinataires sont astreints à une obligation de confidentialité. En outre, elle prend acte que les employés des caisses des salles de jeux ainsi que ceux des postes de contrôle aux entrées du casino font l’objet d’un agrément ministériel.
La Commission considère que l’ensemble de ces destinataires présente un intérêt légitime à connaître de ces données.
Sur l’information des personnes et l’exercice de leurs droits :
Conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, les clients du casino sont informés de l’existence du traitement projeté ainsi que des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition pour motifs légitimes par le biais d’un affichage à l’entrée du casino.
La Commission relève par ailleurs que le directeur du casino notifie à toute personne visée par une mesure d’exclusion la décision prise à son encontre, le motif associé ainsi que la durée de la mesure d’exclusion. Au terme de la mesure d’exclusion, il l’informe également des conditions de son renouvellement, qui doit faire l’objet d’une procédure identique ou du fait qu’elle ne figure plus sur la liste d’exclusion.
Elle prend également acte que le responsable de traitement informe la personne concernée par la mesure d’exclusion des moyens lui permettant de contester la décision ainsi que des voies de recours existantes.
En outre, les clients du casino sont informés de la possibilité de recourir au Médiateur Tourisme et Voyage, agréé par la Commission d’Enquête et de Contrôle de la Médiation de la Consommation, dans le cadre des litiges qui pourraient les opposer au casino et notamment des contestations de mises en « ANPR ».
Les droits des personnes concernées s’exercent directement auprès de la Direction des libertés publiques et des affaires juridiques (DLPAJ) du ministère de l’intérieur s’agissant des personnes inscrites sur la liste des interdits de jeu et auprès du directeur d’établissement du casino Barrière de Trouville pour les personnes ayant fait l’objet d’une limitation volontaire d’accès ou mise en « ANPR ».
Ces modalités d’exercice des droits n’appellent pas d’observation particulière.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend acte que des mesures de protection physique et logique sont prises pour préserver la sécurité des informations enregistrées dans le traitement projeté afin d’empêcher toute utilisation détournée ou frauduleuse de celles-ci.
Les accès au traitement de données mis en œuvre reposent sur une authentification, au moyen d’un identifiant et d’un mot de passe individuels, suffisamment robustes et régulièrement renouvelés, conformément aux recommandations de la Commission en la matière.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des utilisateurs et du besoin d’en connaître. Le responsable de traitement met en œuvre un mécanisme de gestion des habilitations régulièrement mis à jour pour garantir que les personnes habilitées n’ont accès qu’aux seules données effectivement nécessaires à la réalisation de leurs missions.
La Commission rappelle la nécessaire mise en œuvre de solutions de chiffrement permettant d’assurer la confidentialité des données traitées, en complément des éléments d’authentification et de cloisonnement des environnements, qui doivent s’appuyer sur des solutions logicielles et de sécurité, notamment antivirale, régulièrement mises à jour.
Une journalisation des connexions et l’exploitation de ces journaux sont mises en place.
Ces mesures de sécurité apparaissent satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la société par actions simplifiée  CASINO BARRIERE DE TROUVILLE à mettre en œuvre un traitement de données à caractère personnel à des fins de gestion des interdictions d’accès au casino Barrière de Trouville.
La Présidente
Isabelle FALQUE-PIERROTIN