La CNIL (Commission nationale de l’informatique et des libertés) a reçu des signalements relatifs à la mise en place d’un système de reconnaissance faciale par un club de sport permettant d’identifier les personnes faisant l’objet d’une interdiction commerciale de stade.

Des contrôles de la CNIL ont permis d’identifier l’utilisation et le traitement de données biométriques, afin de détecter les individus concernés, ainsi que les objets abandonnés et de lutter contre le terrorisme.

Dans un communiqué du 18 février 2021, la CNIL rappelle l’interdiction de la collecte et de l’utilisation de ces données, qualifiées comme sensibles par le règlement 2016/679 du 27 avril 2016 (RGPD) et la loi n°78-17 du 6 janvier 1978 (loi informatique et libertés).

La mise en place d’une telle mesure de surveillance est donc illicite, même à des fins de lutte antiterroriste. La présidente de la CNIL a averti le club sportif du caractère illicite de leur installation en l’absence de disposition législative ou règlementaire.

 

reconnaissance faciale cnil 

 

Qu’est-ce qu’une interdiction commerciale de stade ?

 

Selon l’article L.332-1 du Code du sport, les organisateurs de manifestations sportives peuvent refuser la délivrance de titres d’accès aux personnes qui ont contrevenu ou contreviennent aux dispositions des conditions générales de ventes ou du règlement intérieur relatives à la sécurité de ces manifestations. Cet article autorise également la mise en œuvre d’« un traitement automatisé de données à caractère personnel relatives aux manquements » afin d’assurer la sécurité des manifestations sportives, s’il est prévu dans les conditions générales de vente ou dans le règlement intérieur.

Une interdiction commerciale de stade permet au système de billetterie de refuser la délivrance d’un abonnement, d’un billet nominatif ou l’accès à la manifestation, même si elle est en possession d’un titre valide.

Ces interdictions commerciales de stade sont prévues par les organisateurs de manifestations sportives et ne sont pas à confondre avec les interdictions judiciaires ou administratives, qui sont prononcées par les autorités judiciaires ou les préfets.

 

Comment ces traitements sont-ils encadrés ?

 

Les traitements d’interdictions commerciales se doivent de respecter le RGPD, car ils permettent de refuser l’accès à une enceinte sportive à toute personne ayant un comportement dangereux et à des manquements à des obligations de nature contractuelle.

Les conditions de mise en œuvre sont précisées par les articles L.332-1 et R.332-14 et suivants du Code du sport. Ces conditions spécifient notamment :

  • La finalité des traitements
  • Les données pouvant faire l’objet de traitement
  • La durée de conservation des données
  • Les destinataires des données
  • Les règles applicables en matière d’information des personnes

Même si l’article R.332-15 du Code du sport prévoit que la photographie associée à la carte d’abonnement soit traitée, il ne permet pas la mise en œuvre d’un dispositif de reconnaissance faciale.