Conseil d'État · 10ème - 9ème chambres réunies — 13 juin 2016

Vu la procédure suivante :
1° Sous le n° 373063, par une requête, un mémoire en réplique et un mémoire complémentaire, enregistrés les 30 octobre 2013, 18 avril 2014 et 29 avril 2016 au secrétariat du contentieux du Conseil d'Etat, la SASP Paris Saint-Germain Football demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision n° 2013-015 du 29 août 2013 par laquelle la présidente de la Commission nationale de l'informatique et des libertés a mis en demeure la SASP PSG Football, sous un délai d'un mois à compter de la notification de la décision, et sous réserve des mesures qu'elle aurait déjà pu adopter, d'une part, de procéder auprès de la Commission à une demande d'autorisation concernant le traitement ayant pour finalité l'exclusion des personnes frappées d'une peine complémentaire d'interdiction de stade et à une demande d'autorisation concernant le traitement ayant pour finalité l'exclusion des personnes jugées indésirables à l'occasion des rencontres sportives du PSG Football, d'autre part, de cesser de communiquer au PSG Handball des informations relatives aux interdictions de stade et, enfin, de justifier auprès de la Commission que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti ;
2°) d'annuler la décision n° 2013-235 du 12 septembre 2013 par laquelle le bureau de la Commission a décidé la publication de la décision précitée de mise en demeure du 29 août 2013 ;
3°) de mettre à la charge de la Commission nationale de l'informatique et des libertés la somme de 5 000 euros sur le fondement de l'article L. 761-1 du code de justice administrative.
2° Sous le n° 373072, par une requête, un mémoire en réplique et un mémoire complémentaire, enregistrés les 30 octobre 2013, 18 avril 2014 et 29 avril 2016 au secrétariat du contentieux du Conseil d'Etat, la SASP Paris Saint-Germain Handball demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir la décision n° 2013-030 du 29 août 2013 par laquelle la présidente de la Commission nationale de l'informatique et des libertés a mis en demeure la SASP PSG Handball, sous un délai d'un mois à compter de la notification de la décision, et sous réserve des mesures qu'elle aurait déjà pu adopter, d'une part, de mettre en oeuvre des mesures permettant d'assurer la confidentialité et la sécurité des données des clients, en particulier en cessant de communiquer ces données au Paris Saint-Germain Football, d'autre part, de procéder auprès de la Commission à une demande d'autorisation concernant le traitement ayant pour finalité l'exclusion des personnes frappées d'une peine complémentaire d'interdiction de stade et à une demande d'autorisation concernant le traitement ayant pour finalité l'exclusion des personnes jugées indésirables à l'occasion des rencontres sportives du PSG Handball et, enfin, de justifier auprès de la Commission que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti ;
2°) de mettre à la charge de la Commission nationale de l'informatique et des libertés la somme de 5 000 euros en application de l'article L. 761-1 du code de justice administrative.
....................................................................................
Vu les autres pièces du dossier ;
Vu :
- le code pénal ;
- le code de la sécurité intérieure ;
- le code du sport ;
- la loi n° 78-17 du 6 janvier 1978 ;
- le décret n° 2005-1309 du 20 octobre 2005 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de M. Jacques Reiller, conseiller d'Etat,
- les conclusions de Mme Aurélie Bretonneau, rapporteur public ;
La parole ayant été donnée, avant et après les conclusions, à la SCP Rousseau, Tapie, avocat de la société SASP Paris Saint-Germain Football et à la SCP Rousseau, Tapie, avocat de la société SASP Paris Saint-Germain Handball ;
1. Considérant que les deux requêtes visées ci-dessus présentent à juger des questions semblables ; qu'il y a lieu de les joindre pour statuer par une seule décision ;
2. Considérant qu'à la suite de la décision n° 2012-358C du 26 octobre 2012 de la présidente de la Commission nationale de l'informatique et des libertés de procéder à la vérification de la conformité à la loi du 6 janvier 1978 de tout traitement de données à caractère personnel relatif à la gestion des manifestations sportives du Paris Saint-Germain, une délégation de la Commission a procédé à une mission de contrôle les 8 et 9 novembre 2012 auprès du Paris Saint-Germain SASP ; que,  par deux décisions n° 2013- 015 et n° 2013-030 du 29 août 2013, la présidente de la Commission nationale de l'informatique et des libertés a mis en demeure respectivement les sociétés PSG Football et PSG Handball, sous un délai d'un mois à compter de la notification de la décision, et sous réserve des mesures qu'elles auraient déjà pu adopter, d'une part, de procéder auprès de la Commission à une demande d'autorisation concernant tous traitements ayant pour finalité l'exclusion des personnes frappées d'une peine complémentaire d'interdiction de stade prononcée par l'autorité judiciaire et/ou d'une mesure de sûreté décidée par l'autorité administrative et à une demande d'autorisation concernant tous traitements ayant pour finalité l'exclusion des personnes jugées indésirables à l'occasion des rencontres sportives du PSG Football et du PSG Handball, d'autre part, de cesser de se communiquer mutuellement des informations relatives aux interdictions de stade et, enfin, de justifier auprès de la Commission que l'ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti ; que, par une décision du 12 septembre 2013, le bureau de la Commission nationale de l'informatique et des libertés a décidé la publication de la décision de mise en demeure prise à l'encontre de la société PSG Football ; que les deux sociétés requérantes demandent l'annulation pour excès de pouvoir de ces décisions de la Commission ;
Sur la régularité de la procédure :
3. Considérant qu'aux termes du I de l'article 26 de la loi du 6 janvier 1978 : " Sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en oeuvre pour le compte de l'Etat et : 1° Qui intéressent la sûreté de l'Etat, la défense ou la sécurité publique ; / 2° Ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté " ; qu'aux termes du deuxième alinéa de l'article 84 du décret n° 2005-1309 du 20 octobre 2005 : " Les agents de la commission et les personnes lui prêtant leur concours, appelés à effectuer les visites ou les vérifications portant sur les traitements relevant de l'article 26 de la loi du 6 janvier 1978 susvisée, doivent y être habilités par le Premier ministre, sur proposition du président de la commission, après une enquête administrative, dans les conditions prévues par la loi du 21 janvier 1995 susvisée, vérifiant que la moralité ou le comportement de ces personnes n'est pas incompatible avec l'exercice de leurs missions et la consultation de ces fichiers " ;
4. Considérant que ces dispositions, qui constituent des garanties pour toute personne dont les données nominatives font l'objet du traitement en cause, mais aussi pour le gestionnaire du fichier et pour ses utilisateurs, pour lesquels la limitation d'accès des personnes qualifiées garantit la confidentialité et l'intégrité du fichier concerné, impliquent que toutes les personnes participant à des vérifications à la demande de la Commission, disposent de cette habilitation spécifique, soit que les vérifications ordonnées aient pour objet un traitement relevant de l'article 26 de la loi du 6 janvier 1978, soit que les agents découvrent des données issues d'un  traitement de ce type alors que de telles données n'étaient pas initialement visées par les vérifications ; que toutefois, dans ce dernier cas, la régularité des opérations de vérification ne sera pas viciée si le procès- verbal contradictoire des opérations signé des agents et du représentant de la personne objet de la vérification atteste que les agents dépourvus de l'habilitation requise, ont immédiatement cessé de participer aux opérations de vérification ;
5. Considérant qu'il est constant que M.A..., ingénieur informatique expert et l'un des quatre membres de la délégation de la Commission nationale de l'informatique et des libertés, qui a procédé à la mission de contrôle les 8 et 9 novembre 2012 auprès du Paris Saint-Germain SASP, ne disposait pas de l'habilitation requise pour des vérifications portant spécifiquement sur les traitements relevant de l'article 26 de la loi du 6 janvier 1978, alors même que cette mission de contrôle avait été diligentée à la suite de plaintes faisant état de la communication par la préfecture de police, aux sociétés Paris Saint-Germain Football et Paris Saint-Germain Handball, d'informations relatives aux personnes ayant fait l'objet d'une interdiction judiciaire ou administrative de stade ; que les deux sociétés requérantes sont donc fondées à soutenir que le défaut d'habilitation d'un des quatre membres de la délégation de la Commission qui a effectué les vérifications à leur siège a entaché d'irrégularité cette procédure ; qu'il suit de là que, sans qu'il soit besoin d'examiner les autres moyens de la requête, les décisions du 29 août 2013 par lesquelles la présidente de la Commission a procédé aux mises en demeure des sociétés Paris Saint-Germain Football et Paris Saint-Germain Handball, ainsi que la décision du 12 septembre 2013 par laquelle le bureau de la Commission a décidé la publication de la décision précitée de mise en demeure du 29 août 2013 visant la société Paris Saint-Germain Football, doivent être annulées ;
Sur les conclusions présentées au titre des dispositions de l'article L. 761-1 du code de justice administrative :
6. Considérant qu'il y a lieu, dans les circonstances de l'espèce, de mettre à la charge de l'Etat la somme de 2 500 euros à verser à la société Paris Saint-Germain Football et celle de 2 500 euros à verser à la société Paris Saint-Germain Handball, au titre des dispositions de l'article L. 761-1 du code de justice administrative ;
D E C I D E :
--------------
Article 1er : Les décisions n° 2013-015 et n° 2013-030 du 29 août 2013 de la présidente de la Commission nationale de l'informatique et des libertés, ainsi que la décision n° 2013-235 du 12 septembre 2013 du bureau de la Commission sont annulées.
Article 2 : L'Etat versera à la SASP Paris Saint-Germain Football une somme de 2 500 euros et à la SASP Paris Saint-Germain Handball une somme de 2 500 euros au titre de l'article L. 761-1 du code de justice administrative.
Article 3 : La présente décision sera notifiée à la SASP Paris Saint-Germain Football, à la SASP Paris Saint-Germain Handball et à la Commission nationale de l'informatique et des libertés.