La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 25-I-3° ;
Vu la loi n°2010-476 du 12 mai 2010 relative à l’ouverture à la concurrence et à la régulation du secteur des jeux d’argent et de hasard en ligne, notamment ses articles 15, 21 et 43 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n°2010-482 du 12 mai 2010 fixant les conditions de délivrance des agréments d’opérateur de jeux en ligne, et notamment son article 12 ;
Sur le rapport de M. Dominique RICHARD, commissaire, et les observations de  Mme Elisabeth ROLIN, commissaire du Gouvernement ;
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par l’Autorité de Régulation des Jeux en Ligne (ARJEL) d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel relatives aux condamnations pénales des entreprises sollicitant l’agrément d’opérateur de jeux en ligne, et de leurs propriétaires, dirigeants et mandataires sociaux.
L’ARJEL a notamment pour mission d’instruire les dossiers de demande d’agrément des opérateurs de jeux ou de paris en ligne et de délivrer les agréments en veillant au respect des objectifs de la politique des jeux d’argent et de hasard.
A ce titre et en vertu de l’article 15 de la loi n°2010-476, l’ARJEL peut demander à l’opérateur sollicitant l’agrément de l’informer s’il a été frappé d’une des sanctions prévues à l’article 43 de ladite loi. L’ARJEL doit également savoir si l’entreprise, son propriétaire ou, s’il s’agit d’une personne morale, un de ses dirigeants ou de ses mandataires sociaux a fait l’objet d’une condamnation pénale devenue définitive relevant des catégories énumérées à l’article 12 du décret n°2010-482 du 12 mai 2010.
Aux termes de l’article 21 de ladite loi, l’ARJEL peut refuser d’agréer tout opérateur ayant fait l’objet d’une telle condamnation ou sanction.
La Commission constate que le traitement envisagé relève des dispositions du 1° de l’article 9 de la loi du 6 janvier 1978 modifiée qui prévoit que les traitements de données à caractère personnel relatives aux infractions, condamnations et mesure de sûreté ne peuvent être mis en œuvre que par « les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ».
La Commission considère, dès lors, qu’il y a lieu de faire application des dispositions du 3° du I de l’article 25 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, qui soumet à autorisation les traitements automatisés ou non portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
La seule finalité autorisée sera de permettre le traitement par l’ARJEL des condamnations pénales des entreprises sollicitant l’agrément d’opérateur de jeux en ligne, et de leurs propriétaires, dirigeants et mandataires sociaux.
Les données enregistrées seront les suivantes :
les nom et prénom,
l’adresse,
la date et le lieu de naissance,
la fonction,
les sanctions administratives prévues à l’article 43 de la loi n°2010-476 du 12 mai 2010, à savoir :
1° Avertissement ;
2° Réduction d’une année au maximum de la durée de l’agrément ;
3° Suspension de l’agrément pour trois mois au plus ;
4° Retrait de l’agrément,
5° Interdiction de solliciter un nouvel agrément pendant un délai maximal de trois ans,
6° Sanction pécuniaire ;
7° Publication de la décision prononcée au Journal officiel ;
8° Affichage ou la diffusion de cette décision dans les conditions prévues par l’article 131-35 du code pénal.
les condamnations pénales prévues à l’article 12 du décret n°2010-482 du 12 mai 2010, à savoir :
« 1° Infractions prévues au livre deuxième de la première partie du code pénal :
Trafic de stupéfiants, prévu par la section IV du chapitre II du titre II ;
Proxénétisme ou l'une des infractions prévues par les sections II et II bis du chapitre V du titre II ;
Conditions de travail et hébergement contraires à la dignité de la personne, prévus par la section III du chapitre V du titre II ;
2° Infractions prévues au livre troisième de la première partie du code pénal :
Vol, prévu par les sections I et II du chapitre Ier du titre Ier ;
Extorsion, prévue par la section I du chapitre II du titre Ier ;
Chantage, prévu par la section II du chapitre II du titre Ier ;
Escroquerie, prévue par la section I du chapitre III du titre Ier ;
Abus de confiance, prévu par la section I du chapitre IV du titre Ier ;
Détournement de gage ou d'objet saisi, prévu par la section II du chapitre IV du titre Ier ;
Organisation frauduleuse d'insolvabilité, prévue par la section III du chapitre IV du titre Ier ;
Recel et non-justification de ressources, prévus par les sections I et II du chapitre Ier du titre II ;
Atteintes aux systèmes de traitement automatisé de données, prévues au chapitre III du titre II ;
Blanchiment, prévu par la section I du chapitre IV du titre II ;
3° Infractions prévues au livre quatrième de la première partie du code pénal :
a) Manquement au devoir de probité, prévu par la section III du chapitre II du titre III ;
Corruption active, trafic d'influence, soustraction ou détournement de biens publics, prévus par les sections I et III du chapitre III du titre III ;
Entraves à la saisine et à l'exercice de la justice, prévues par les sections I et II du chapitre IV du titre III ;
Atteintes à l'administration publique ou à l'action de la justice, prévues par les sections I et II du chapitre V du titre III ;
Violation d'interdiction de gérer ou d'interdiction professionnelle, prévue par l'article L. 434-40 ;
Faux, falsification de titres ou autres valeurs fiduciaires émises par l'autorité publique, falsification des marques de l'autorité et usage de tel faux, prévus par les chapitre Ier à IV du titre IV ;
Participation à une association de malfaiteurs, prévue par le titre V ;
4° Infractions de travail illégal prévues par le chapitre unique du titre Ier au chapitre IV du titre II, le chapitre IV du titre III, le chapitre III du titre IV et le chapitre VI du titre V du livre deuxième de la huitième partie du code du travail ;
5° Infractions prévues aux livres deuxième et sixième du code de commerce :
Distribution de dividendes fictifs, présentation de comptes inexacts, abus de biens sociaux et abus de pouvoirs, prévus par le chapitre Ier, la section II du chapitre II, le chapitre III, le chapitre IV, le chapitre IV bis et le chapitre VI du titre IV du livre deuxième ;
Banqueroute, détournement d'actifs et violation d'une interdiction de gérer, prévus par les sections I et II du chapitre IV du titre V du livre sixième ;
6° Infraction de pratique de prêt usuraire, prévue par la section I du chapitre III du titre Ier du livre troisième du code de la consommation ;
7° Infractions à législation et à la réglementation des relations financières avec l'étranger, prévues par le chapitre IV du titre XIV du code des douanes ;
8° Infraction de fraude fiscale, prévue par la section I du chapitre II du livre II de la troisième partie du code général des impôts ;
9° Infractions aux dispositions portant prohibition :
Des loteries, prévues par la loi du 21 mai 1836 susvisée ;
De l'offre publique de paris hippiques, prévues par la loi du 2 juin 1891 susvisée ;
De la tenue de maisons de jeux de hasard, prévues par la loi du 12 juillet 1983 susvisée ;
De l'offre publique de jeux ou de paris en ligne, prévues par la loi du 12 mai 2010 susvisée ».
Ces informations seront conservées au maximum pendant la durée de l’agrément, soit cinq ans renouvelables.
Les destinataires des données seront les agents habilités de l’ARJEL.
L’information des personnes quant à l’existence du traitement et aux droits des personnes se fera via une mention sur le site Internet de l’ARJEL. Les droits d’accès et de rectification s’exerceront auprès de la direction juridique de l’ARJEL - 99-101 rue Leblanc, 75015 Paris.
Un dispositif de traçabilité des consultations des traitements sera mis en œuvre. Ces consultations feront l’objet d’un enregistrement comprenant les identifiants de l’utilisateur et du poste de travail, ainsi que la date et l’heure des consultations.
Dans ces conditions, la Commission autorise l’ARJEL à mettre en œuvre un traitement automatisé de données à caractère personnel relatives aux condamnations pénales des entreprises sollicitant l’agrément d’opérateur de jeux en ligne, et de leurs propriétaires, dirigeants et mandataires sociaux.