La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'intérieur, le 16 juillet 2009, d'un projet d'arrêté relatif à la mise en œuvre par la direction centrale de la police judiciaire d'un fichier des courses et jeux, modifié le 25 février 2010 ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 26 ;
Vu la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, notamment son article 17-1 ;
Vu le décret n° 85-1057 du 2 octobre 1985 modifié relatif à l'organisation de l'administration centrale du ministère de l'intérieur et de la décentralisation, notamment son article 13 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n° 2007-401 du 25 mars 2007 ;
Vu le décret n° 2008-631 du 27 juin 2008 portant modification du décret n° 91-1051 du 14 octobre 1991 relatif aux fichiers gérés par les services des renseignements généraux ;
Vu le décret n° 2009-1250 du 16 octobre 2009 portant création d'un traitement automatisé de données à caractère personnel relatif aux enquêtes administratives liées à la sécurité publique ;
Vu l'arrêté du 19 mai 1993 autorisant la création au ministère de l'intérieur et de l'aménagement du territoire d'un fichier automatisé des casinos et des exclus des salles de jeux ;
Vu l'arrêté du 19 mai 2006 relatif aux missions et à l'organisation en sous-directions de la direction centrale de la police judiciaire et portant création de services à compétence nationale, modifié par les arrêtés des 2 janvier et 27 mai 2008 ;
Après avoir entendu MM. Jean-Marie Cotteret et Dominique Richard, commissaires, en leur rapport et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministère de l'intérieur d'une demande d'avis relative à un projet d'arrêté portant création par la direction centrale de la police judiciaire (DCPJ) d'un fichier des courses et jeux, en application des dispositions de l'article 26 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004.
La création de ce traitement de données à caractère personnel au profit de la DCPJ résulte de la réorganisation des services de renseignement, effective depuis le 1er juillet 2008. A la suite de cette réforme, la DCPJ s'est vue attribuer les missions anciennement dévolues à la direction centrale des renseignements généraux (DCRG) en matière de courses et jeux.
Dorénavant, le service central des courses et jeux de la DCPJ a vocation à exercer cette mission de surveillance dans le cadre des procédures suivantes :
― agrément des personnes physiques exerçant une activité professionnelle en rapport avec les établissements de jeux, les champs de courses hippiques et de lévriers et la pelote basque (employés des comités de direction des casinos et cercles de jeux, commissaires et juges des courses, entraîneurs et jockeys, arbitre de la pelote basque, etc.) ;
― délivrance des autorisations de jeux et des agréments des machines à sous et des sociétés qui les commercialisent (autorisation de jeux pour les casinos et cercles de jeux, agrément des sociétés de fourniture et de maintenance des machines à sous) ;
― surveillance générale des établissements de jeux, des champs de courses, des cynodromes et de la pelote basque (contrôle des prises de paris et de la régularité et de la sincérité des jeux) ;
― exclusion volontaire, administrative ou judiciaire des salles de jeux et interdiction administrative ou judiciaire des hippodromes.
Pour ce faire, la DCPJ entend disposer d'un outil supplémentaire pour exercer sa mission, à savoir le « fichier des courses et jeux », composé d'un traitement central d'indexation et de traitements et fichiers locaux.
Ce traitement est composé, d'une part, d'un système central indexant les différents dossiers automatisés et manuels d'enquêtes administratives existant dans le service central des courses et jeux et dans les services territoriaux de police judiciaire et, d'autre part, des traitements locaux alimentés par les fonctionnaires affectés au service central des courses et jeux et par les fonctionnaires des services territoriaux de police judiciaire chargés des courses et jeux qui détiennent les dossiers complets des enquêtes administratives diligentées.
Sur les finalités :
Aux termes de l'article 1er du projet d'arrêté initial, il était indiqué que le directeur général de la police nationale (DGPN - DCPJ) était autorisé à mettre en œuvre les traitements automatisés et les fichiers de données à caractère personnel dénommés « fichier des courses et jeux » ayant pour finalité « d'assurer la surveillance des établissements de jeux et des champs de courses ».
Au cours de l'instruction, des précisions ont été sollicitées auprès du ministère de l'intérieur quant à la finalité du traitement afin que l'acte réglementaire portant création dudit traitement puisse rendre compte des fonctions qui lui sont précisément assignées.
En réponse, le ministère de l'intérieur a modifié l'article 1er du projet d'arrêté pour préciser que la finalité du traitement est « d'assurer la surveillance de la régularité et de la sincérité des jeux, des courses et des paris par la conservation des données recueillies notamment à l'occasion des enquêtes administratives d'agrément et d'autorisation de jeux ou relatives aux personnes faisant l'objet d'une mesure d'interdiction ou d'exclusion des salles de jeux ou des champs de courses ».
La commission prend donc acte des modifications que le ministère de l'intérieur a apportées sur ce point.
Sur les personnes concernées :
Conformément aux dispositions de l'article 2 du projet d'arrêté, trois catégories de personnes physiques sont concernées par la collecte de données à caractère personnel dans le cadre du « fichier des courses et jeux » :
― les personnes exerçant ou ayant exercé, directement ou indirectement, une activité professionnelle en rapport avec les établissements de jeux et les champs de courses hippiques, les cynodromes et les terrains de pelote basque et soumises à agrément, que ce dernier ait été accordé ou refusé ;
― les personnes ayant des intérêts ou des responsabilités liées aux activités ou aux personnes morales dont l'activité est liée directement ou indirectement aux établissements de jeux et aux champs de courses ou ayant des intérêts dans ces domaines ;
― les personnes faisant ou ayant fait l'objet d'une exclusion de salles de jeux ou de champs de courses.
En premier lieu, la commission observe que le projet d'arrêté prévoit l'enregistrement des personnes soumises à une procédure d'enquête administrative en vue de l'obtention d'un agrément en rapport avec l'exercice d'activités liées aux courses et jeux alors que ces mêmes personnes sont d'ores et déjà susceptibles d'être enregistrées dans le traitement relatif aux enquêtes administratives liées à la sécurité publique, dès lors qu'elles ressortissent aux dispositions du 1° de l'article 17-1 de la loi du 21 janvier 1995.
Dans la mesure où le fichier relatif aux enquêtes administratives liées à la sécurité publique est réservé aux SDIG et où la police des courses et jeux relève des attributions de la DCPJ, conformément à l'article 13 du décret du 2 octobre 1985 modifié relatif à l'organisation du ministère de l'intérieur, le ministère estime qu'un fichier de courses et jeux distinct est nécessaire.
La commission prend acte de ces précisions et suggère que l'article 1er du décret n° 2009-1250 du 16 octobre 2009 portant sur le traitement automatisé de données à caractère personnel relatif aux enquêtes administratives liées à la sécurité publique soit prochainement modifié afin d'indiquer que ledit traitement ne concerne pas les enquêtes administratives liées aux activités de courses et jeux, lesquelles relèvent du seul fichier des courses et jeux de la DCPJ.
En deuxième lieu, la commission s'est interrogée sur la distinction qui est faite dans le projet d'arrêté entre les personnes ayant exercé directement une activité professionnelle en rapport avec les établissements de jeux et les champs de courses et celles exerçant ou ayant exercé indirectement une telle activité. A cet égard, elle considère que, afin de lever toute ambiguïté, il serait préférable qu'il ne soit fait mention que des « personnes exerçant ou ayant exercé une activité professionnelle en rapport avec les établissements de jeux et les champs de courses hippiques, les cynodromes et les terrains de pelote basque, et soumises à agrément, que ce dernier ait été accordé ou refusé » et a proposé que le 1° de l'article 2 du projet d'arrêté soit modifié en ce sens.
De la même façon, la commission considère que la rédaction du 2° de l'article 2 du projet d'arrêté devrait être modifiée afin de lever l'ambiguïté liée à l'utilisation du vocable « indirectement ». Il conviendrait ainsi de faire uniquement référence aux « personnes ayant des intérêts ou des responsabilités liées aux activités ou aux personnes morales dont l'activité est liée aux établissements de jeux et aux champs de courses ou ayant des intérêts dans ces domaine ».
Dans ces conditions, la commission prend acte de la modification finalement apportée à la rédaction du 1° de l'article 2 du projet d'arrêté mais considère que la même modification pourrait être apportée à la rédaction du 2° du même article.
Sur les données enregistrées :
Conformément aux dispositions de l'article 3 du projet d'arrêté, les données collectées sur les personnes précitées sont les suivantes : identité (nom, nom marital, nom d'emprunt officiel, prénoms, sexe) ; surnom, alias ; photographie (le traitement ne comporte pas de dispositifs de reconnaissance faciale) ; date et lieu de naissance ; filiation ; nationalité ; situation familiale, nom du conjoint ou du concubin ; adresses physiques, numéros de téléphone et adresses électroniques ; professions ; mandats électifs (à l'exclusion de toute mention des opinions politiques) ; situation patrimoniale et financière ; motif de l'enregistrement des données.
En premier lieu, la commission a interrogé le ministère de l'intérieur quant aux raisons susceptibles de justifier l'enregistrement d'informations relatives à la filiation et à la situation familiale des personnes.
En réponse, il a été indiqué que ces informations étaient « en lien direct avec la nécessité de vérifier les assertions de déclarants souhaitant acquérir des points de vente PMU (donations de sommes importantes par des parents, héritage de personnes membres de la famille résidant à l'étranger) ».
La commission observe que les éléments nécessaires au contrôle des ressources des déclarants sont d'ordre financier et que les informations relatives à l'origine des ressources (parents ou autres membres de la famille) ne sont pas pertinentes au regard de la finalité du traitement. Par conséquent, elle considère que, en l'état des informations dont elle dispose, rien ne justifie que soient enregistrées dans le traitement des informations ayant trait à la filiation ou à la vie familiale des personnes concernées.
En deuxième lieu, la commission a interrogé le ministère de l'intérieur quant aux raisons susceptibles de justifier l'enregistrement d'informations relatives aux mandats électifs.
En réponse, le ministère de l'intérieur a indiqué que les services avaient besoin de savoir si une personne occupe des fonctions électives, compte tenu de l'incompatibilité énoncée à l'article 12- V de l'arrêté du 14 mai 2007 relatif à la réglementation des jeux dans les casinos.
La commission observe néanmoins que la collecte de telles informations ne saurait concerner l'ensemble des catégories de personnes visées par le projet d'arrêté. C'est pourquoi elle prend acte de la précision finalement apportée aux termes de l'article 3 du projet d'arrêté, selon laquelle les informations concerneront les « mandats électifs exercés dans la commune siège de l'établissement (à l'exclusion de toute mention relative aux opinions politiques) ».
En troisième lieu, la commission a demandé à ce que soient précisées la nature des informations concernées par la catégorie dénommée « situation patrimoniale et financière », ainsi que les conditions dans lesquelles lesdites informations pouvaient être obtenues.
Le ministère de l'intérieur a indiqué que les éléments relatifs à la situation patrimoniale et financière étaient fournis au service central des courses et jeux de manière volontaire « pour lui permettre d'émettre un avis sur la capacité financière des personnes concernées d'entretenir les chevaux faisant l'objet de leur demande (demande de couleurs ou demande faire courir notamment) et en garantie de la sauvegarde de la profession d'entraîneur (paiement des pensions pour les chevaux) ». Il a également été indiqué à la commission que, en matière judiciaire, l'accès aux données détenues par les services fiscaux relève du cadre général des échanges d'information entre services de police et services fiscaux, tel qu'il est défini notamment par l'article L. 135 du livre des procédures fiscales.
La commission prend acte de ces précisions. Au cours de l'instruction, il a cependant été indiqué que, s'agissant des informations patrimoniales, il serait opportun de préciser aux termes du projet d'arrêté que lesdites informations seront enregistrées en conséquence des déclarations volontaires effectuées par les personnes concernées. Elle prend donc acte des modifications apportées en ce sens au projet d'arrêté.
Enfin, la commission prend acte de ce que la catégorie dénommée « motif de l'enregistrement des données » correspond à la nature de l'enquête menée par le service.
Sur les durées de conservation :
L'article 5 du projet d'arrêté initial prévoyait deux durées de conservation différentes s'agissant des données relatives aux personnes physiques :
― les données relatives aux personnes bénéficiant d'un agrément ou ayant des intérêts ou des responsabilités dans le domaine des courses et jeux devraient être conservées dix ans après la cessation des activités professionnelles de la personne concernée ou la cessation de ses intérêts dans le domaine des courses et jeux ;
― les données des personnes ayant fait l'objet d'un refus d'agrément ou faisant l'objet d'une exclusion des salles de jeux ou des champs de courses devraient, quant à elles, être conservées pendant trente ans à compter de la date du refus de l'agrément ou de la décision d'exclusion.
Le ministère de l'intérieur a indiqué que, dans la mesure où il était nécessaire de pouvoir s'assurer de l'authenticité d'une autorisation ou d'un agrément délivré à une personne exerçant une profession réglementée, la durée de conservation des données devait correspondre à la durée de sa vie professionnelle. Il a également précisé qu'une durée de conservation plus courte ne couvrirait pas l'ensemble des besoins des services en matière d'information.
En outre, le ministère a indiqué que les données relatives aux personnes ayant des intérêts dans le domaine des courses et jeux via des sociétés exploitantes, des groupes de casinos, des sociétés de courses, des sociétés de fourniture et de maintenance (SFM), etc., devaient être conservées pendant une durée significative, soit dix ans après la cessation des intérêts dans le domaine des courses et jeux.
Enfin, en ce qui concerne les personnes exclues des salles de jeux ou des champs de courses, le ministère de l'intérieur a précisé qu'elles pouvaient apparaître des années plus tard dans le milieu des jeux à titre professionnel.
Nonobstant ces éléments de précision, la commission a considéré que les durées de conservation, extrêmement longues, étaient excessives au regard des finalités du traitement.
Au terme de l'instruction, le ministère de l'intérieur a décidé de modifier le projet d'arrêté afin d'indiquer que les données relatives aux personnes faisant l'objet d'une exclusion ne seront conservées que le temps de la mesure considérée et que celles relatives aux personnes faisant l'objet d'un refus d'agrément seront conservées pendant vingt ans.
Si la commission prend acte de ces modifications, elle observe néanmoins que les données relatives aux personnes physiques bénéficiant d'un agrément ou ayant des intérêts ou des responsabilités dans le domaine des courses et jeux devraient être conservées dix ans après la cessation des activités professionnelles des personnes concernées ou la cessation de leurs intérêts dans le domaine des courses et jeux, ce qui constitue une période particulièrement longue.
Sur les destinataires :
Au titre de l'article 4 du projet d'arrêté, peuvent accéder aux informations contenues dans les traitements et fichiers les fonctionnaires individuellement désignés et spécialement habilités par le directeur central de la police judiciaire ou, le cas échéant, par un fonctionnaire ayant reçu délégation à cet effet, affectés au service central des courses et jeux de la DCPJ ou dans les services territoriaux de la DCPJ pour les besoins de leur mission de surveillance des établissements de jeux et des champs de courses.
Outre ces destinataires, le projet d'arrêté prévoit la transmission des données à tout service de la police ou de la gendarmerie nationale, à raison de leurs attributions ou de leur droit à en connaître pour l'exercice de leurs missions. Cette transmission est alors subordonnée à une demande écrite, formulée sous le timbre de l'autorité hiérarchique, qui précise l'identité du consultant, l'objet et les motifs de la consultation.
Sur l'architecture du traitement et les sécurités :
La commission estime que, dans un souci de transparence vis-à-vis des citoyens, il serait souhaitable que le projet d'arrêté fasse brièvement mention de l'architecture du traitement, lequel comporte un traitement national automatisé d'indexation ainsi que des traitements automatisés et des fichiers mécanographiques locaux.
En outre, il serait souhaitable que le projet d'arrêté comporte des dispositions relatives aux mécanismes de traçabilité des consultations et des demandes de communication, similaires à celles qui sont énoncées dans les décrets portant sur le traitement relatif aux enquêtes administratives liées à la sécurité publique et sur celui relatif à la prévention des atteintes à la sécurité publique.
La commission prend donc acte de ce que le ministère de l'intérieur a modifié le projet d'arrêté en ce sens.
Sur les droits des personnes :
Outre que le droit d'opposition ne s'applique pas au présent traitement, le ministère de l'intérieur n'envisage pas de mettre en œuvre un dispositif d'information des personnes.
La commission estime cependant que les personnes soumises à une procédure d'agrément devraient être informées de l'existence même du traitement et des modalités d'exercice de leurs droits. A cet égard, il convient de rappeler que le décret portant sur le fichier relatif aux enquêtes administratives liées à la sécurité publique prévoit des mesures d'information des personnes. A cet égard, il convient de rappeler que le décret n° 2009-1250 du 16 octobre 2009 portant sur le fichier relatif aux enquêtes administratives liées à la sécurité publique prévoit des mesures d'information des personnes. En effet, l'article 9 du décret considéré dispose que « les personnes faisant l'objet d'une enquête administrative sont informées que celle-ci peut donner lieu à une insertion dans le traitement prévu par le présent décret ».
S'agissant du régime de droit d'accès, précisé aux termes de l'article 6 du projet d'arrêté, la commission considère que si la procédure de droit d'accès indirect se justifie pour l'essentiel des personnes enregistrées dans le traitement, le régime de droit d'accès direct paraît devoir s'imposer pour les personnes « exclues volontaires ».
Sur le contrôle du traitement :
La commission estime que le projet d'arrêté devrait être complété afin de prévoir que le directeur général de la police nationale lui remette un rapport annuel sur ses activités de vérification, de mise à jour et d'effacement des données enregistrées dans le traitement. Ce rapport annuel indiquerait également les procédures suivies par le service gestionnaire pour que les données enregistrées soient en permanence exactes, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.