Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Au sens de la loi du 6 janvier 1978 modifiée, les interdictions de stade prononcées par l'autorité judiciaire à titre de peine complémentaire, ainsi que les mesures d'interdiction de stade décidées par l'autorité administrative, sont des données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté.
L'article 9 de la loi du 6 janvier 1978 modifiée, tel qu'interprété par le Conseil constitutionnel dans sa décision n° 2004-499 DC du 29 juillet 2004, réserve la faculté de créer un traitement de données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté :
- aux juridictions, aux autorités publiques et aux personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ;
- aux auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi ;
- aux personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits ;
- aux personnes physiques ou morales victimes d'une infraction dans le cadre de l'exercice d'un recours juridictionnel.
En dehors de ces hypothèses, il est impossible de mettre en œuvre un traitement de données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté, sauf en présence d'une disposition légale spécifique permettant de déroger à l'article 9 de la loi du 6 janvier 1978 modifiée.
Sans préjudice des missions de service public confiées aux fédérations sportives agréées, deux dispositions légales spécifiques figurant au code du sport permettent à la commission d'autoriser la mise en œuvre de traitements de données à caractère personnel relatives à des condamnations ou à des mesures de sûreté, en dehors des hypothèses prévues par l'article 9 de la loi du 6 janvier 1978 modifiée, pour permettre aux organisateurs de manifestations sportives de préserver la sécurité des participants et des spectateurs.
L'article L. 332-15 du code du sport prévoit en effet que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes physiques ayant été condamnées à une peine complémentaire d'interdiction de stade par l'autorité judiciaire.
L'article L. 332-16 du même code prévoit, quant à lui, des dispositions analogues s'agissant des personnes physiques faisant l'objet d'une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l'autorité administrative, par arrêté motivé, en raison de l'existence d'une menace pour l'ordre public.
En application du 3° du I de l'article 25 de la loi du 6 janvier 1978 modifiée, la mise en œuvre d'un traitement de données à caractère personnel, automatisé ou non, portant sur des données relatives à des infractions, condamnations ou mesures de sûreté doit être autorisée par la commission.
Toutefois, en application du II de l'article 25 de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.
Les traitements automatisés de données à caractère personnel visant à permettre la mise en œuvre des interdictions de stade prononcées par l'autorité judiciaire ou administrative sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.
Les responsables de traitement qui adressent à la commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.
Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une demande d'autorisation spécifique.