(autorisation n°1436565)
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-4° ;
Vu la loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne, notamment ses articles 17, 18 et 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2010-509 du 18 mai 2010 relatif aux obligations imposées aux opérateurs agréés de jeux ou de paris en ligne en vue du contrôle des données de jeux par l’ARJEL ;
Vu le décret n°2010-518 du 19 mai 2010 relatif à la mise à disposition de l’offre de jeux et de paris par les opérateurs agréés de jeux ou de paris en ligne ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la société Partouche Gaming France SAS d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé des données à caractère personnel visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme.
La société Partouche Gaming France SAS a été agréée par l’Autorité de régulation des jeux en ligne (ARJEL) le 25 juin 2010 pour exploiter le site www.partouche.fr, dédié aux jeux de cercles en ligne (notamment le poker).
La loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne impose aux opérateurs de jeux en ligne, agréés par l’ARJEL, de mettre en place des mesures visant à lutter contre la fraude, le blanchiment de capitaux et le financement du terrorisme. Elle assujettie notamment les opérateurs de jeux en ligne agréés aux obligations prévues par les dispositions des sections 2 à 7 du chapitre 1er du titre VI du livre V du Code monétaire et financier (CMF).
Les traitements ainsi mis en œuvre par les opérateurs de jeux en ligne agréés peuvent conduire ces derniers à souhaiter rompre toute relation contractuelle avec certains joueurs et donc à l’exclusion de personnes du bénéfice d’un droit ou d’un contrat, nonobstant l’absence de toute disposition légale le prévoyant.
La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions de l’article 25-I-4° pour les traitements mis en place par les opérateurs de jeux en ligne agréés ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le terrorisme, et qui conduisent à la clôture du compte du joueur.
Les traitements mis en place par la société Partouche Gaming France SAS, objets de la présente autorisation, sont les suivants :
Traitement automatisé de données ayant pour finalité la vérification de l’identité du joueur à l’ouverture des comptes joueur
Conformément à l’article L. 561-5 du CMF, la société identifie le joueur avant d’entrer en relation d’affaires et donc de lui créer un compte joueur sur son site.
Pour ce faire, aux termes de l’article 2-1° du décret n°2010-518 du 19 mai 2010 la société Partouche Gaming France SAS demande à toute personne qui sollicite l’ouverture d’un compte joueur de lui communiquer ses nom, prénom, date et lieu de naissance, adresse postale, adresse email et références d’un compte de paiement. La fourniture de l’ensemble de ces informations entraîne la création d’un compte provisoire. En revanche, en l’absence de ces informations, la société refuse l’ouverture du compte joueur.
En outre et conformément à l’article 4 de ce décret, la société demande à toute personne sollicitant l’ouverture d’un compte joueur de lui fournir, dans le délai maximum d’un mois à compter de la demande d’ouverture dudit compte :
1° La copie d’une carte nationale d’identité, d’un passeport ou d’un permis de conduire, en cours de validité, justifiant de son identité et de sa date de naissance ;
2° Un document portant références du compte de paiement et attestant que ce compte est ouvert à son nom et auprès d’un prestataire de services de paiement établi dans un Etat membre de la Communauté européenne ou un Etat partie à l’accord sur l’Espace économique européen ayant conclu avec la France une convention contenant une clause d’assistance administrative en vue de lutter contre la fraude et l’évasion fiscales et sur lequel la société reversera, le cas échéant, les avoirs du joueur.
Ce n’est que lorsque la société a reçu ces documents qu’un code secret est adressé par courrier postal au joueur pour vérifier la réalité de l’adresse qu’il a communiquée lors de son inscription. La saisie de ce code secret permet de confirmer que le joueur habite bien au domicile indiqué, conformément l’article 1 de l’arrêté du 2 septembre 2009 pris en application de l’article R. 561-12 du CMF, et ainsi de mettre fin au statut provisoire du compte.
La société désactive le compte du joueur qui ne lui a pas transmis les pièces justificatives dans le délai d’un mois à compter de l’ouverture de son compte provisoire. Elle clôture le compte si le joueur ne lui a pas adressé ces pièces dans un délai de deux mois à compter de la demande d’ouverture de compte ou n’a pas saisi le code secret dans un délai de six semaines à compter de l’envoi du code.
La désactivation d’un compte fait obstacle à ce que le joueur engage ses mises ainsi que n’ordonne le reversement de ses avoirs sur son compte de paiement.
Traitement automatisé de données ayant pour finalité la surveillance des comptes joueur
En vertu de l’article L. 561-6 du CMF, la société exerce, pendant toute la durée de la relation d’affaire, une vigilance constante et pratique un examen attentif des opérations de jeux effectuées sur son site en veillant à ce qu’elles soient cohérentes avec la connaissance actualisée que la société a de ses joueurs.
En pratique, la société Partouche Gaming France SAS a mis en place un dispositif d’alerte, qui permet, le cas échéant, de diligenter une enquête visant à contrôler l’activité d’un joueur ou une partie, lorsqu’un des événements suivants se produit :
Ouverture d’un compte : la personne sollicitant l’ouverture d’un compte enregistre des coordonnées identiques à celles correspondant à un autre compte ;
Adresse IP : plusieurs joueurs utilisant la même adresse IP tentent de jouer à la même table, l’adresse IP avec laquelle le joueur se connecte correspond à un pays différent de celui qu’il a déclaré habiter lors de l’ouverture de son compte ;
Actions de jeux suspectes : par exemple, le joueur jette une main élevée, effectue des relances multiples suspectes, gagne plus de 1000 euros ou dépose 500 euros ou plus.
Suite au déclenchement d’une alerte, le compte joueur concerné est bloqué. Le joueur ne peut plus accéder à son compte et toute demande de retrait d’argent est mise en attente (la société informe le joueur que sa demande a bien été enregistrée et qu’elle sera traitée dans un délai maximum de 72h).
La société procède alors à une série de vérifications manuelles de l’identité du joueur, de ses dépôts, de son comportement, de l’historique de ses gains (tournois, tables), etc.
A l’issue de l’enquête, si aucun acte frauduleux n’est finalement constaté, le joueur en est informé et il peut à nouveau utiliser son compte.
En revanche, si l’enquête a permis de confirmer l’acte frauduleux, la société peut clôturer le compte joueur. La société informe alors le joueur de la clôture et de ses motifs. Le joueur dispose d’un délai de 72h pour répondre aux griefs qui lui sont reprochés. A défaut de réponse du joueur dans ce délai, l’opérateur clôture le compte et conserve les sommes litigieuses.
En cas de soupçon de blanchiment de capitaux, la société fait également une déclaration de soupçon à Tracfin et s’abstient d’effectuer toute opération dont elle soupçonne qu’elle est liée au blanchiment de capitaux ou au financement du terrorisme jusqu’à ce qu’elle ait fait une telle déclaration, conformément aux articles L. 561-15 et suivant du CMF.
Les catégories de données à caractère personnel enregistrées seront relatives :
à l’identité du joueur ;
à son adresse ;
à ses références bancaires ;
à ses opérations de jeu.
La durée de conservation des informations sera de 5 ans à compter de la clôture du compte joueur, sauf si aucune opération de jeu ou de pari n'a été réalisée avant la clôture du compte. Dans ce dernier cas, les données seront supprimées dès la clôture du compte.
Les destinataires des informations seront, dans le cadre de leurs attributions respectives, l’ARJEL et Tracfin.
L’information des personnes quant à la possibilité que leur compte joueur soit clôturé s’effectuera par une mention dans les conditions générales du site Internet. Un e-mail sera, en outre, systématiquement envoyé aux joueurs pour les informer qu’une enquête est en cours et, le cas échéant, que leur compte est clôturé.
Les droits d’accès et de rectification s’exerceront auprès du GIE Institut des Métiers Clients Jeux Casinos, qui est basé à Troyes.
Cependant, le droit d’accès aux traitements mis en œuvre aux seules fins de lutte contre le blanchiment de capitaux et le financement du terrorisme s’exercera de manière indirecte, auprès de la CNIL, conformément à l’article L 561-45 du Code monétaire et financier. Ainsi, les informations susceptibles de mettre en cause la finalité de lutte contre le blanchiment de capitaux et le financement du terrorisme ou de révéler l’existence d’une déclaration de soupçon ne pourront être communiquées au requérant.
Dans ces conditions, la Commission autorise la société Partouche France SAS Gaming France SAS à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la lutte contre la fraude, le blanchiment de capitaux et le financement du terrorisme.