La Commission nationale de l'informatique et des libertés,
Saisie par l’Autorité de régulation des jeux en ligne (ARJEL) d’une demande de modification de l’autorisation d’un traitement automatisé de données à caractère personnel ayant pour finalité une étude relative au jeu problématique et pathologique ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu la loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne ;
Vu la loi n°2016-1321 du 7 octobre 2016 pour une République numérique ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL ;
Vu les délibérations n°2010-123 et 2015-188 de la CNIL des 12 mai 2010 et 25 juin 2015 ;
Vu la demande de modification relative à la prolongation de la durée de conservation des données de l’étude ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
L’Autorité de régulation des jeux en ligne (ARJEL)
La CNIL a été saisie en 2015 d’un traitement ayant pour finalité une étude relative au jeu problématique et pathologique qu’elle a autorisé par délibération du 25 juin 2015. L’ARJEL a souhaité faire évoluer son traitement en 2017 en modifiant la durée de conservation des données de l’étude.
Sur la finalité
La loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne confie à l’ARJEL la mission de faire respecter la politique de l’Etat en matière de jeux d’argent et de hasard et  notamment de prévenir le jeu excessif ou pathologique.
Les pouvoirs de l’ARJEL en la matière ont été renforcés par la loi n°2016-1321 du 7 octobre 2016 pour une République numérique.
L’ARJEL peut, en matière de prévention du jeu excessif ou pathologique, outre l’évaluation de l’action des opérateurs et la formulation de recommandations, mener des actions, seule ou avec toute personne intéressée à cette lutte, en direction notamment des opérateurs agréés ou des joueurs.
La Commission considère que la finalité poursuivie est déterminée, explicite et légitime, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données recueillies auprès des opérateurs de jeux ou de paris en ligne traitées dans le cadre de l’étude sont les suivantes :
les données d’identification des joueurs (nom, prénom, date et lieu de naissance, adresse de courrier électronique, identifiant unique permettant l’accès au compte joueur) ;
les données relatives à l’activité de jeu en termes de montant et de fréquence (mises, dépôts, pertes, gains) ;
les caractéristiques du jeu pratiqué (type de jeu, niveau de risque) ;
les informations relatives aux comptes des joueurs (auto-exclusions et auto-limitations de jeu) ;
les identifiants de connexion ;
les informations d’horodatage.
Font également l’objet d’un traitement les données issues d’un questionnaire complété par le joueur.
Les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Seules les personnes habilitées à traiter les données y auront accès, de sorte qu’aucun destinataire, au sens de l’article 3 de la loi Informatique et Libertés, n’est prévu.
Sur l’information et le droit d’accès
L’ARJEL adresse, par l’intermédiaire d’une société de publipostage agissant comme sous-traitant, un courriel aux personnes sélectionnées afin de présenter l’étude et leur proposer d’y participer.
Ce courriel les informe de leurs droits selon des modalités conformes à l’article 32 de la loi Informatique et Libertés.
Les droits d’accès, de rectification et d’opposition pour motif légitime s’exercent auprès du service de la direction juridique de l’ARJEL.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La collecte des données est opérée par l’ARJEL et les postes utilisés pour cette collecte sont placés sur un réseau compartimenté.
Les supports de stockages usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
L'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Le réseau de l’entreprise fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseaux aux machines identifiées et autorisées.
Le responsable de traitement a mis en place une politique de mot de passe conforme aux recommandations de l’Agence nationale de sécurité des systèmes d’information (ANSSI). Par ailleurs, une journalisation des opérations de consultation du traitement est réalisée.
Les services web sont sécurisés au moyen du protocole TLS.
S’agissant des données adressées à l’Observatoire des jeux (ODJ) sous-traitant de l’ARJEL, en charge de l’analyse statistique :
une clause spécifique couvre les interventions des sous-traitants en matière d'accès aux données personnelles. La Commission prend acte de l’engagement du responsable de traitement de fixer contractuellement des objectifs de sécurité à ses sous-traitants ;
les données transmises à l’ODJ en charge de l’analyse statistique sont des données pseudonymisées, expurgées de l’identité des personnes ;
-préalablement à leur transmission à l’ODJ, les données seront chiffrées au moyen d’un algorithme de chiffrement conforme au Référentiel Général de Sécurité (RGS). Les données chiffrées et le secret permettant de les déchiffrer seront transmis par des canaux de communication distincts.
S’agissant des données adressées à la société de publipostage sous-traitant en charge de l’envoi des courriels :
l’ARJEL adresse également à la société un fichier de données comportant exclusivement les données d’identification des joueurs permettant le publipostage ;
préalablement à leur transmission au prestataire chargé du publipostage, les données seront chiffrées au moyen d’un algorithme de chiffrement conforme au RGS. Les données chiffrées et le secret permettant de les déchiffrer sont transmis par des canaux de communication distincts.
Sur les autres caractéristiques du traitement
Les données de l’étude sont conservées pendant la durée nécessaire à la création des modèles de repérage du jeu problématique et pathologique dont il est prévu qu’elle soit de 36 mois à compter du mois de mai 2016 (date à laquelle l’analyse des données a pu démarrer).
La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement des finalités poursuivies par le responsable de traitement.
Autorise, conformément à la présente délibération, l’ARJEL à mettre en œuvre le traitement susmentionné et abroge la délibération du 25 juin 2015.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS