(Demande d’autorisation n° 1769850)
La Commission nationale de l'informatique et des libertés,
Saisie par le groupement d’intérêt économique Pari Mutuel Urbain (PMU) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité de lutter contre les conflits d’intérêts;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu la loi n° 2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne, et notamment son article 32-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le Pari mutuel urbain (ou PMU) est un groupement d'intérêt économique (GIE), constitué de 58 sociétés de courses, toutes associations à but non lucratif. Il a pour activités la conception, la promotion, la commercialisation et le traitement des paris sur les courses de chevaux. Depuis la loi sur l’ouverture du marché des jeux en ligne en mai 2010, cette entreprise propose également des paris sportifs et des jeux de poker en ligne.
Sur la finalité
La Commission a été saisie, le 28 mai 2014, par le Pari Mutuel Urbain (PMU) d’un dossier de formalités préalables portant sur une interconnexion de son fichier de gestion des ressources humaines (SIRH) avec son fichier clients (CRM) afin d’identifier
les salariés disposant d’un compte joueur sur le site web pmu.fr et de désactiver ce dernier.
Aux termes de l’article 32-I de la loi n° 2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne, le personnel d’un opérateur de jeux ou de paris en ligne agréé par l’ARJEL ne peut engager, à titre personnel, directement ou par personne interposée, des mises sur des jeux ou des paris proposés par cet opérateur.
La Commission considère dès lors que cette finalité est déterminée, explicite et légitime. Elle considère qu’il y a lieu de faire application des dispositions du 3° du I de l’article 25 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, qui soumet à autorisation les traitements automatisés ou non portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur les données traitées
Les données traitées sont relatives à l’identification des salariés et des clients. Elles comprennent :
la date et le lieu de naissance.

le prénom,
l’adresse,
La procédure d’interconnexion des fichiers ressources humaines (SIRH) et clients (CRM) est mise en œuvre mensuellement. La Commission relève que le traitement a été présenté au comité d’entreprise du PMU le 24 avril 2014.
Sur les destinataires et les personnes habilitées
Les seules personnes habilitées au sein du PMU à accéder aux données sont :
La Commission considère que ces personnes présentent un intérêt légitime à connaître de ces données.
le responsable de la division BI Campagne pour la Direction du marketing et du client (DMC) ;
l’administrateur du fichier des ressources humaines (SIRH) et le responsable de relations humaines par direction pour la Direction des ressources humaines (DRH) ;
le responsable du département de la régulation, de la concurrence et des affaires européennes pour le Secrétariat Général (qui entretient des relations avec l’ARJEL).
Sur les durées de conservation
Les données à caractère personnel du présent traitement sont conservées un mois.
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Sur l’information et les droits des personnes
Les salariés concernés par le présent traitement sont informés  via le règlement intérieur du PMU de l’interdiction de disposer d’un compte joueur. En cas de blocage ou de clôture du compte joueur d’un salarié, ce dernier en est informé par courrier.
En outre, les salariés sont informés, conformément à l’article 32 de la loi, par une mention sur le site intranet du PMU.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’accès et de rectification s’exercent  auprès du groupement d’intérêt économique Pari Mutuel Urbain (PMU), 2 rue du Professeur Florian Delbarre, 75734 Paris Cedex 15.
Sur les mesures de sécurité
Conformément à l’article 34 de la loi du 6 janvier 1978 modifiée, des mesures de protection physique et logique doivent être mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
La Commission constate que l’authentification des utilisateurs est assurée par des mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des lettres minuscules et majuscules, des chiffres et des caractères spéciaux pour les deux applications SIRH et CRM interconnectées.
Elle rappelle que les habilitations d’accès au système d’information doivent être définies en fonction des attributions des utilisateurs.
Les échanges de données effectués sur internet doivent être sécurisés par des procédés de chiffrement du transport des données.
Autorise, conformément à la présente délibération, le Pari Mutuel Urbain à interconnecter son fichier ressources humaines avec son fichier clients dans le cadre de la lutte contre les conflits d’intérêts.
La Présidente
I. FALQUE-PIERROTIN