La Présidente de la Commission nationale de l’informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu le code du sport ;
Vu le code de la sécurité intérieure ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu les saisines reçues par la CNIL ;
Vu la décision n° 2014-260C du 15 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés de procéder à une mission de vérification auprès de la société X ;
Vu les procès-verbaux n° 2014-260 et 2014-260/2, respectivement des 20 octobre 2014 et 4 novembre 2014.
I- Constate les faits suivants
La société X (ci-après X ou la Société ) est une Société Anonyme Sportive Professionnelle (SASP) dont l’activité principale est d’organiser des manifestations sportives dans le cadre des compétitions de football masculin et féminin initiées notamment par la Fédération Française de Football, la Ligue de Football Professionnel et l’UEFA. Cette Société emploie environ 200 salariés. Elle loue le Parc […] à Y.
Depuis le mois de mars 2012, X est détenu à 100 % par la société Z.
L’attention de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été appelée, depuis le mois d’août 2012, à la suite de la publication de nombreux articles de presse relatifs à la mise en œuvre d’une supposée liste d’exclusion de certains supporters du club de football X.
La Commission a, en outre, été saisie de nombreuses plaintes qui dénonçaient la création d’une liste d’exclusion de supporters par X, avec pour effet l’annulation de billets achetés pour des matchs et l’impossibilité d’en commander d’autres.
La Commission a procédé à une mission de contrôle auprès de X les 8 et 9 novembre 2012, puis la Présidente de la CNIL a mis en demeure X par une décision du 29 août 2013, qui a été rendue publique, de procéder notamment à deux demandes d’autorisation auprès de la CNIL relatives à la gestion, par X, des interdictions de stade, d’une part, et d’une liste d’exclusion des clients, d’autre part.
La mise en demeure a été close le 7 novembre 2013, X ayant déposé deux demandes d’autorisation auprès de la CNIL concernant les traitements visés par la mise en demeure.
X a été autorisé par la délibération n° 2013-340 du 7 novembre 2013 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative.
Il a également été autorisé par la délibération de la CNIL n° 2014-043 du 30 janvier 2014 à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’une liste d’exclusion de clients.
La Commission a été saisie de nouvelles plaintes relatives à l’exclusion, par X, de supporters, interdits ou non de stade, à l’annulation de leurs billets pour des matchs et à l’impossibilité de commander d’autres billets pendant une période librement déterminée par X. De nombreux articles de presse ont également été publiés à ce sujet.
En application de la décision n° 2014-260C du 15 octobre 2014 de la Présidente de la Commission nationale de l’informatique et des libertés, une délégation de la CNIL a procédé à une mission de contrôle sur place les 20 octobre 2014 et 4 novembre 2014 auprès de X.
Dans le cadre de la mission de contrôle, la délégation s’est attachée à examiner les différents traitements mis en œuvre au sein de la société, en particulier les traitements ayant pour finalité la gestion de la billetterie et le contrôle d’accès au stade du club de football X.
La délégation a été informée que X reçoit environ deux fois par mois la liste des interdits administratifs de stade par courrier postal du quatrième bureau de la préfecture de police de […], d’une part, et la liste des interdits administratifs et judiciaires par courriel de la part de la cellule Stade de ladite préfecture, d’autre part.
Il a été indiqué qu’à la réception de ces listes, une mention de cette interdiction est portée dans l’application BackOffice Billetterie. Si nécessaire, un compte est créé dans cette application au nom de la personne interdite, lorsque celle-ci n’est pas connue de la base de données.
La délégation a été informée que, dans le champ commentaires de l’application BackOffice Billetterie, sont renseignées la date de fin de la mesure d’interdiction de stade ainsi que la date de fin de non-vente décidée par X en conséquence de la mesure d’interdiction de stade.
En effet, X a indiqué avoir décidé sur le fondement de ses Conditions Générales de Vente (CGV) que le prononcé d’une mesure administrative ou judiciaire d’interdiction de stade entraînerait systématiquement, à l’issue de cette mesure d’interdiction, une prolongation de l’exclusion de la personne concernée pour une durée librement fixée par X.
Cette prolongation d’exclusion se traduit par la non vente de billets ou d’abonnements à la personne concernée pendant une durée qui dépend de la gravité supposée des seuls faits à l’origine de la mesure administrative ou judiciaire d’interdiction de stade, et de la durée de la mesure initiale d’interdiction.
Il a ainsi été spécifié que :
- pour une interdiction de stade de 1 à 6 mois, la prolongation de la non vente est de 6 mois ;
- pour une interdiction de stade de 6 mois à 1 an, la prolongation de la non vente est de 1 an ;
- pour une interdiction de stade de 1 à 2 ans, la prolongation de la non vente est de 2 ans ;
- pour une interdiction de stade supérieure à 2 ans, la prolongation de la non vente est de 3 ans.
La délégation a constaté que les plaignants, MM. A, B, C, D, E, F et G ont fait l’objet d’une interdiction de stade décidée par les autorités compétentes. À l’issue de la mesure d’interdiction de stade, celle-ci a été prolongée par X par une interdiction de vente de billets et d’abonnements pour une durée librement déterminée par X, équivalente ou supérieure à la durée d’interdiction de stade décidée par les autorités compétentes.
Enfin, la délégation a constaté qu’un client dénommé H a fait l’objet d’une interdiction de stade jusqu’au 22 mars 2015. En conséquence, X lui a indiqué par courrier daté du 3 octobre 2014 que son abonnement avait été résilié, conformément à l’article 19 b) des Conditions Générales de Vente des abonnements de X. X a ajouté que cette résiliation était étendue jusqu’au 22 septembre 2015 sur le fondement de l’article 19 g) de ses CGV qui stipule qu’ en cas de résiliation d’un abonnement par X, [il] ne délivrera plus aucun abonnement, aucune place de billetterie, aucune prestation de relations publiques ni aucun titre donnant accès à ses matchs à toute personne concernée par ces faits pendant une durée déterminée librement par X selon leur gravité.
II- Sur les manquements constatés au regard des dispositions de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation de respecter les autorisations délivrées par la Commission
A titre liminaire, il est rappelé que le législateur a défini un cadre légal précis pour les dispositifs d’exclusion des stades.
L’article L. 332-15 du code du sport prévoit que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu’aux fédérations sportives agréées, l’identité des personnes ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire.
L’article L. 332-16 du même code prévoit des dispositions analogues s’agissant des personnes faisant l’objet d’une mesure d’interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l’ordre public.
Ainsi, la société X, lorsqu’elle agit en qualité d’organisateur de manifestations sportives à but lucratif, est tenue d’y assurer la sécurité, conformément aux articles L. 332-1 et suivants du code du sport, notamment en empêchant les personnes frappées d’une interdiction judiciaire ou administrative d’y accéder.
A cette fin, la CNIL a délivré une autorisation à X visant à assurer l’effectivité des interdictions de stade prononcées par les autorités légales compétentes. En effet, la délibération n° 2013-340 du 7 novembre 2013 autorise cette société à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative.
Par ailleurs, la CNIL a délivré une autorisation n° 2014-043 le 30 janvier 2014 à X visant à exclure des clients pour des motifs autres que des mesures d’interdiction de stade prises par les autorités judiciaires et administratives, ainsi que des motifs autres que la commission d’infractions pénales ou le prononcé de condamnations pénales.
A cet égard, X avait sollicité une autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité de recenser d’une part, les violations aux conditions générales de vente et au règlement intérieur par les abonnés et acheteurs de billets et, d’autre part, de gérer les actions contractuelles associées (suspension, résiliation, impossibilité de souscrire un nouvel abonnement).
Au regard du cadre légal existant, à savoir les dispositions susmentionnées issues du code du sport, la Commission a accordé à X le 30 janvier 2014 une autorisation partielle de mise en œuvre de ce traitement.
En effet, la sanction des comportements pénalement répréhensibles et le maintien de l’ordre public sont des attributions régaliennes qui relèvent de la compétence exclusive des pouvoirs publics et des juridictions. La CNIL a ainsi considéré que l’exclusion des clients n’ayant pas respecté des dispositions des CGV ou du règlement intérieur constitue une finalité explicite, déterminée et légitime, sous réserve que les motifs d’exclusion ne méconnaissent pas les attributions des autorités publiques pour sanctionner la commission d’infractions pouvant justifier une interdiction judiciaire ou administrative de stade, une telle finalité n’étant pas légitime.
Dès lors, l’autorisation partielle permet à X de procéder à un traitement automatisé d’exclusion des personnes uniquement pour les motifs suivants : existence d’un impayé, non-respect des règles de billetterie (prêt et revente d’un abonnement ou d’un titre d’accès en violation des conditions générales de vente), activité commerciale dans l’enceinte sportive en violation des conditions générales de vente, paris dans l’enceinte sportive sur le match en cours.
Or, en l’espèce, la mission de contrôle a permis de constater que X ne respecte pas le champ d’application des autorisations délivrées par la Commission.
En effet, dans le cadre de la gestion des interdictions judiciaires ou administratives de stade, X ne respecte pas la durée de conservation des données à caractère personnel prévue par la délibération de la Commission n° 2013-340 du 7 novembre 2013, qui est limitée à la durée de l’interdiction de stade décidée par un juge ou un préfet. En effet, la société prolonge la conservation des données personnelles relatives à la mesure d’interdiction pour une durée qu’elle détermine librement, au moins équivalente à celle de la mesure d’interdiction de stade.
Cette prolongation, qui se fonde sur les CGV de X, conduit à l’exclusion des clients supporters du club au-delà de la fin de la mesure d’interdiction de stade décidée par les autorités légales compétentes.
X s’autorise ainsi, a minima, à doubler la durée des interdictions de stade dont le régime est fixé par la loi, ce que seul le législateur pourrait prévoir. La durée de conservation en base active, des données des personnes faisant l’objet d’une interdiction de stade, ne peut donc pas s’étendre au-delà de la durée fixée par les législateurs.
En outre, la circonstance selon laquelle une personne, qui a fait l’objet d’une interdiction administrative ou judicaire de stade, connaîtra une prolongation de la durée de celle-ci sur le fondement des CGV de X, ne fait pas partie des 4 motifs d’exclusion prévus par la délibération n° 2014-043 du 30 janvier 2014 de la CNIL.
Or, il est rappelé qu’aucune disposition législative ou réglementaire ne permet à la société de mettre en œuvre, et encore moins de maintenir, un traitement d’exclusion des personnes qui poursuivrait les mêmes finalités que le dispositif légal prévu par le code du sport.
Ce faisant, X méconnaît les dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée dès lors que la société ne peut se prévaloir d’aucune des dérogations qui y sont prévues. La société méconnaît en outre le champ d’application des autorisations délivrées par la CNIL les 7 novembre 2013 et 30 janvier 2014.
Ces faits constituent un manquement aux obligations du chapitre IV de la loi n° 78-17 du 6 janvier 1978 relatif aux formalités préalables.
Il est rappelé qu’en application des articles 121-2, 131-37, 131-38 et 226-16 du code pénal combinés, le fait pour une personne morale, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de 1 500 000 euros d’amende.
En conséquence, X, sise […], est mise en demeure, sous un délai d’un mois à compter de la notification de la présente décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de :
- Respecter le champ d’application de l’autorisation délivrée par la CNIL le 7 novembre 2013 ; à défaut, cesser de mettre en œuvre le traitement automatisé de données à caractère personnel ayant pour finalité la gestion des interdictions de stade prononcées par l’autorité judiciaire ou administrative ;
- Respecter le champ d’application de l’autorisation délivrée par la CNIL le 30 janvier 2014 ; à défaut, cesser de mettre en œuvre le traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’une liste d’exclusion de clients pour des motifs fixés par cette délibération ;
- Justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si X s’est conformée à la présente mise en demeure, il sera considéré que la procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si X ne s’est pas conformée à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente,
Isabelle FALQUE-PIERROTIN