(Dossier n° 1 240 407)
 La Commission nationale de l'informatique et des libertés,
 Saisie par le ministère de l'intérieur d'une demande d'avis portant sur le projet d'arrêté créant le fichier national des interdits de stade (FNIS) ;
 Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 Vu le code du sport, notamment ses articles L. 322-11 et L. 332-16 ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004, relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
 Vu la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
 Vu le décret n° 2006-288 du 15 mars 2006 fixant les modalités d'application de l'article 42-12 de la loi n° 84-610 du 16 juillet 1984 relative à l'organisation et à la promotion des activités physiques et sportives ;
 Vu le décret n° 2006-1549 du 8 décembre 2006 pris pour l'application de l'article 3 de la loi n° 2006-784 du 5 juillet 2006 relative à la prévention des violences lors des manifestations sportives ;
 Après avoir entendu M. François Giquel, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire adjointe du Gouvernement, en ses observations,
      Emet l'avis suivant :
 La commission a été saisie par le ministère de l'intérieur d'une demande d'avis relative au projet d'arrêté créant le traitement automatisé de données à caractère personnel relatif aux personnes interdites de stade (FNIS).
 La commission considère que ce traitement relève de l'article 26 de la loi du 6 janvier 1978 modifiée dans la mesure où il intéresse la sécurité publique et qu'il a pour objet la prévention, la recherche et l'exécution de condamnations pénales.
   Sur la finalité du traitement :
 La commission prend acte des indications du commissaire du Gouvernement selon lesquelles l'article 1er du projet d'arrêté précisant que la finalité du traitement est de « prévenir et lutter contre les violences lors des manifestations sportives, en garantissant la pleine exécution des mesures d'interdictions administratives et judiciaires de stade, en facilitant les contrôles aux abords et dans les enceintes sportives et en réalisant des statistiques » sera complété des termes suivants : « en facilitant le suivi et la surveillance des supporteurs à risque ayant déjà fait l'objet d'une mesure d'interdiction, en permettant à l'autorité préfectorale, le cas échéant, de mieux apprécier le comportement d'ensemble adopté par les intéressés à l'occasion de différentes manifestations sportives et en réalisant des statistiques ».
 Elle considère qu'au regard des précisions ajoutées la finalité du traitement est légitime.
   Sur les données enregistrées dans le traitement :
 Les données enregistrées sont relatives à la personne interdite de stade (identité, date et lieu de naissance, nationalité, adresse, photographie) et à la mesure d'interdiction (nature administrative ou judiciaire, date, durée, champ géographique, type de manifestations concernées, obligation de pointage, lieu du pointage...).
 Parmi les données, figure également l'enregistrement du club de football, du championnat ou de l'association de supporters fréquentés par la personne. La commission considère qu'il convient de préciser l'origine et le statut de cette information et d'ajouter, en conséquence, un 2° à l'article 2 du projet d'arrêté, rédigé comme suit : « 2° Données relatives au club de football, au championnat ou à l'association de supporters fréquentés par la personne, telles qu'elles ressortent des déclarations de l'intéressé ou de la procédure ».
 La commission prend acte, s'agissant de la photographie, que le dernier alinéa du 1° de l'article 2 du projet d'arrêté précise qu'il n'y aura pas de dispositif de reconnaissance faciale à partir de l'image numérisée de la photographie.
   Sur l'origine des données :
 Les données sont extraites du fichier des personnes recherchées (FPR), qui, depuis l'arrêté modificatif du 2 septembre 2005, peut enregistrer les photographies des personnes concernées.
 Toutefois, le projet d'arrêté créant le FNIS prévoit aussi l'enregistrement « des photographies extraites des moyens de vidéosurveillance implantés dans les enceintes sportives ».
 Si le III de l'article 10 de la loi du 21 janvier 1995 permet effectivement un accès des services de police et de gendarmerie aux systèmes de vidéosurveillance dans le cadre de leurs missions, l'alimentation définitive du fichier à partir d'images consultées sur la bande vidéo et qui en seraient extraites pour être affectées à un nom dans le fichier constituerait une opération nouvelle et d'une nature différente.
 La commission constate que les modalités de prise en compte de ces photographies et de leur rattachement à une personne nommément inscrite dans le FNIS ne sont pas précisées, s'agissant en particulier des mesures prises pour garantir l'authentification de la personne.
 Dans ces conditions, la commission estime qu'il y a lieu en l'état de disjoindre le second alinéa de l'article 4 du projet d'arrêté. Elle prend acte, conformément aux engagements du commissaire du Gouvernement, qu'une circulaire, sur laquelle la CNIL sera préalablement consultée, définira les modalités d'utilisation des photos qui seraient, le cas échéant, extraites des moyens de vidéosurveillance.
 Par ailleurs, l'article 3 du projet d'arrêté dispose que « dans le cadre des engagements internationaux, le fichier est également constitué des données à caractère personnel issues des traitements gérés par des organismes de coopération internationale en matière de police judiciaire ou des services de police étranger qui présentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux ».
 Les données du traitement auront, notamment, pour origine les pays signataires du traité de Prüm (visé par l'arrêté, bien qu'il ne soit pas encore ratifié par la France) c'est-à-dire l'Allemagne, l'Espagne, la France, le Luxembourg, les Pays-Bas et l'Autriche mais aussi tout autre pays dans le cadre de conventions particulières. L'article 14 de ce traité prévoit que les parties contractantes se transmettent mutuellement des données relatives à des personnes, lorsque des condamnations définitives ou d'autres faits justifient la présomption que ces personnes vont commettre des infractions pénales dans le cadre de manifestations de grande envergure transfrontalière, en particulier dans le domaine sportif, ou présentent un danger pour l'ordre ou la sécurité publics. La commission a demandé, dans son avis du 28 septembre 2006 sur le projet de loi de ratification du traité de Prüm, que les catégories de personnes concernées soient précisées.
 S'il est légitime que les autorités françaises aient connaissance des personnes faisant l'objet d'une mesure d'interdiction prise par l'autorité compétente d'un Etat étranger, compte tenu de la mobilité et du caractère international des manifestations sportives, il serait cependant utile que le ministère précise l'usage exact de ces données, quel que soit le cadre conventionnel qui en constitue la base, car ces mesures ne sont applicables a priori que sur le territoire de l'Etat qui a prononcé l'interdiction.
 La commission estime donc que l'article 3 du projet d'arrêté devrait être précisé afin qu'il indique les catégories de personnes concernées ainsi que les usages exacts qui seront faits des données.
   Sur la durée de conservation :
 La commission constate que la durée de conservation fixée par l'article 5 du projet d'arrêté est de cinq ans « à compter de l'expiration de la dernière mesure prononcée », alors que dans le FPR la durée de conservation est toujours limitée à la durée de l'interdiction.
 Le ministère de l'intérieur a précisé que les services de police doivent pouvoir disposer de toutes les informations sur les mesures administratives et judiciaires d'interdiction de stade prononcées à l'égard d'une personne, en cours ou antérieures, afin de permettre à l'autorité judiciaire ou préfectorale d'éclairer sa décision sur le comportement passé de l'intéressé en la matière et d'adapter en conséquence les nouvelles mesures. Ainsi il est prévu de conserver dans la base de données les informations à l'issue de la durée de validité de la mesure. Le ministère considère que cette durée est nécessaire et proportionnée au comportement de certains supporters.
 La commission considère, que compte tenu des précisions apportées à l'article 1er du projet d'arrêté, la durée de conservation des informations enregistrées de cinq ans peut être admise.
   Sur les destinataires :
 Le I de l'article 6 du projet d'arrêté mentionne comme destinataires, tout d'abord, les agents qui accèdent directement au FNIS, c'est-à-dire les fonctionnaires de la sécurité publique et des renseignements généraux individuellement désignés et dûment habilités, qui constituent les « référents hooligan » de sécurité.
 En deuxième lieu, le II de l'article 6 du projet d'arrêté précise que « peuvent également accéder à la totalité, ou, à raison de leurs attributions ou de leur droit à en connaître pour l'exercice de leur mission, à une partie des données mentionnées aux articles 2 et 3 (...) » les autres autorités (préfectures, justice) ou partenaires institutionnels de sécurité (autres services de police, gendarmerie).
 La commission considère qu'il est nécessaire de modifier la rédaction de l'article 6 du projet d'arrêté afin d'indiquer avec précision les données auxquelles accèdent les destinataires précédemment énumérés ainsi que le caractère indirect et ponctuel de cette communication, comme le prévoient les annexes du dossier.
 En ce qui concerne les fédérations sportives, qui figurent aux termes du II de l'article 6 du projet d'arrêté dans la liste des destinataires qui « peuvent accéder à la totalité ou (...) à une partie des données » du fichier, la commission rappelle que le décret n° 2006-1549 du 8 décembre 2006, pris pour l'application de l'article 3 de la loi du 5 juillet 2006, encadre la possibilité donnée aux préfets de « communiquer » aux fédérations sportives et aux associations de supporters agréées un certain nombre d'informations limitativement énumérées concernant les personnes faisant l'objet d'une interdiction administrative, ce qui semble exclure un accès, même limité, de ces fédérations au FNIS lui-même.
 Le projet d'arrêté prévoit également que les organismes de coopération internationale peuvent être destinataires d'une partie des données à caractère personnel, dans les conditions énoncées à l'article 24 de la loi du 18 mars 2003 pour la sécurité intérieure (c'est-à-dire à des organismes présentant, pour la protection des données personnelles, des garanties équivalentes à celles du droit interne), « sans préjudice des dispositions conventionnelles particulières ». La commission demande que cette formulation du projet d'arrêté soit précisée.
   Sur l'information des personnes :
 La commission prend acte que le droit d'accès aux données à caractère personnel s'exercera indirectement, dans les conditions prévues par l'article 41 de la loi du 6 janvier 1978.
 Elle demande que les personnes faisant l'objet d'un arrêté préfectoral ou d'un jugement qui doit leur être notifié au terme d'une procédure contradictoire soient informées de l'enregistrement de leurs données dans le FNIS et des autres informations concernant le traitement.
   Sur les sécurités :
 La commission prend acte qu'il est prévu la mise en place d'un protocole https pour les accès à l'application. Elle demande que cette modification soit réalisée dans les plus brefs délais afin de renforcer les sécurités du système.