3°) de mettre à la charge de la Commission la somme de 5 000 euros au titre de l'article L. 761-1 du code de justice administrative.
Vu les autres pièces du dossier ;
Vu :
- la Déclaration des droits de l'homme et du citoyen ;
- le code du sport ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2005-1309 du 20 octobre 2005 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Jacques Reiller, conseiller d'Etat,
- les conclusions de Mme Aurélie Bretonneau, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la SCP Rousseau, Tapie, avocat de la société SASP Paris Saint-germain Football ;
1. Considérant que par une demande en date du 2 octobre 2013, la SASP PSG Football a demandé à la Commission nationale de l'informatique et des libertés de l'autoriser, en application de l'article 25 de la loi du 6 janvier 1978, à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour objet de recueillir les données nominatives relatives à des violations des conditions générales de vente et du règlement intérieur du Parc des Princes par les abonnés et acheteurs de billets, afin de procéder sur leur fondement à des suspensions, résiliations et refus de renouvellement d'abonnements ou d'achats de billets ; que, par une délibération du 30 janvier 2014, la Commission a autorisé partiellement ce traitement ; que la SASP PSG Football demande l'annulation pour excès de pouvoir de cette délibération en tant qu'elle n'a pas intégralement fait droit à sa demande ;
Sur la légalité externe :
En ce qui concerne les moyens tirés de l'irrégularité de la procédure d'adoption de la délibération attaquée :
2. Considérant qu'il ressort des pièces du dossier que les moyens tirés de ce que la délibération attaquée serait entachée d'irrégularité à défaut d'avoir été adoptée à la majorité absolue de ses membres ou parce que les documents utiles n'auraient pas été communiqués au commissaire du gouvernement dans les délais prévus à l'article 4 du décret du 20 octobre 2005, manquent en fait ;
En ce qui concerne le moyen tiré de l'insuffisance de motivation de la délibération attaquée :
3. Considérant que la délibération attaquée mentionne expressément, contrairement à ce qui est soutenu, la violation du règlement intérieur parmi les objectifs du traitement et se prononce sur sa conformité à la loi ; qu'ainsi le moyen tiré de ce que la délibération serait insuffisamment motivée manque en fait et ne peut qu'être écarté ;
Sur la légalité interne :
En ce qui concerne les moyens tirés des erreurs de droit et de l'erreur manifeste d'appréciation relatives à la légitimité de la finalité du traitement :
4. Considérant qu'aux termes du 2° de l'article 6 de la loi du 6 janvier 1978, " un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : / (...) 2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. " ; que l'article 9 de cette même loi, dispose que " les traitements de données à caractère personnel relatives aux infractions, condamnations et mesures de sûreté ne peuvent être mis en oeuvre que par : / 1° Les juridictions, les autorités publiques et les personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ; / 2° Les auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi ; / 3° [Dispositions déclarées non conformes à la Constitution par décision du Conseil constitutionnel n° 2004-499 DC du 29 juillet 2004 ;] / 4° Les personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits. " ;
5. Considérant que, d'une part, pour interdire au PSG Football de traiter des données à caractère personnel relatives à des infractions, condamnations et mesures de sûreté aux fins de refuser l'accès au stade des personnes concernées, la Commission nationale de l'informatique et des libertés s'est fondée à bon droit sur l'exigence de légitimité des finalités du traitement, posée par l'article 6 de la loi du 6 janvier 1978, et sur l'article 9 de la même loi qui réserve de tels traitements de données à des personnes strictement énumérées ; que, d'autre part, la circonstance que la Commission n'autorise pas, eu égard à ces motifs, le PSG Football à traiter de telles données, ne saurait avoir pour effet de lui interdire de prendre en compte des violations des dispositions de son règlement intérieur ; que, par suite, le moyen tiré de ce que la Commission aurait commis des erreurs de droit en limitant les données qu'elle a autorisé le PSG Football à traiter, ne peut qu'être écarté ;
6. Considérant que la société requérante soutient qu'au regard des responsabilités qui lui incombent en matière de sécurité et de bon ordre des manifestations sportives, la Commission nationale de l'informatique et des libertés aurait commis une erreur manifeste d'appréciation dans son évaluation de la légitimité des finalités poursuivies ; que, cependant, d'une part, la commission n'a pas entendu interdire que les données nominatives relatives aux violations du règlement intérieur n'ayant pas donné lieu à des sanctions ou procédures pénales fassent l'objet du traitement, dès lors que leur utilité à la mission de préservation de l'ordre public lors des rencontres qu'ils organisent, impartie aux clubs par le code du sport, en légitime la collecte ; que, d'autre part, si la Commission devait prendre en compte ces missions légales, telles qu'énoncées par le code du sport, elle ne pouvait pas pour autant méconnaître, en ce qui concerne les données nominatives mentionnant des sanctions ou procédures pénales, les dispositions de l'article 9 de la loi du 6 janvier 1978 ; que, par suite, le moyen ne peut qu'être écarté ;
En ce qui concerne le moyen tiré de la violation du principe de la liberté du commerce et de l'industrie :
7. Considérant qu'il ressort des pièces du dossier que si la Commission nationale de l'informatique et des libertés a, par la délibération attaquée, apporté des restrictions au traitement dont la SASP PSG Football sollicitait l'autorisation, celles-ci n'empêchent nullement la société de poursuivre son activité commerciale et, dans ce cadre, de subordonner le renouvellement ou la vente d'un abonnement ainsi que la vente d'un billet à des acheteurs ayant auparavant connu des difficultés de paiement, à des conditions particulières de règlement ; que, par suite, la société requérante n'est pas fondée à soutenir que les restrictions en cause porteraient atteinte au principe de la liberté du commerce et de l'industrie ;
En ce qui concerne le moyen portant sur l'exigence de proportionnalité de la durée de conservation du traitement pour la collecte de données relatives à des impayés :
8. Considérant que le 5° de l'article 6 de la loi du 6 janvier 1978 dispose qu'un traitement ne peut porter que sur des données à caractère personnel qui " sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées " ; que, tout en estimant dans sa délibération attaquée, qu'en règle générale, une durée de conservation de trois ans des données collectées " n'excède pas celle qui est nécessaire à l'accomplissement de la finalité poursuivie ", la Commission nationale de l'informatique et des libertés a entendu excepter le cas où, " lorsque l'exclusion est justifiée par l'existence d'un impayé, une mesure de suspension ou d'exclusion doit cesser à compter du complet paiement de la somme due par le débiteur " ; que, cependant, les conséquences ou les risques résultant de la commission d'un impayé ne peuvent être réputés avoir disparu dès le règlement de la dette et qu'il n'est dès lors pas disproportionné de prévoir une conservation des données relatives aux incidents de cette nature pendant une durée suffisante, au-delà du règlement de la somme due, pour prévenir le renouvellement de tels incidents ; que, par suite, la dernière phrase citée ci-dessus de la partie de la délibération attaquée, portant sur les durées de conservation, doit être annulée ;
Sur les autres conclusions de la requête :
9. Considérant qu'il y a lieu, en l'espèce, d'enjoindre à la Commission nationale de l'informatique et des libertés de procéder au réexamen de la demande de la société requérante, dans le mois suivant la notification de la présente décision, portant, comme il a été dit au point 8, sur la durée de conservation des données relatives aux incidents de paiement ;
10. Considérant qu'il n'y a pas lieu, dans les circonstances de l'espèce, de faire droit aux conclusions présentées par la société requérante au titre des dispositions de l'article L. 761-1 du code de justice administrative ;
D E C I D E :
--------------
Article 1er : La phrase de la délibération du 30 janvier 2014 de la Commission nationale de l'informatique et des libertés " En particulier, lorsque l'exclusion est justifiée par l'existence d'un impayé, une mesure de suspension ou d'exclusion doit cesser à compter du complet paiement de la somme due par le débiteur. " est annulée.
Article 2 : Il est enjoint à la Commission nationale de l'informatique et des libertés de réexaminer dans le mois suivant la notification de la présente décision la demande de la société relative à la durée de conservation des données relatives aux incidents de paiement.
Article 3 : Le surplus des conclusions de la requête de la SASP PSG Football est rejeté.
Article 4: La présente décision sera notifiée à la SASP Paris Saint-Germain Football et à la Commission nationale de l'informatique et des libertés.