La Commission nationale de l’informatique et des libertés,

Saisie par la ministre chargée des sports d’une demande d’avis concernant un projet de de décret modifiant diverses dispositions relatives à des traitements de données à caractère personnel de l’Agence française de lutte contre le dopage, portant création de traitements de données à caractère personnel dans le cadre des contrôles antidopage et renforçant l’efficacité de la lutte contre le dopage,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision cadre 2008/977/JAI du Conseil (dite directive police-justice ) ;

Vu le code du sport, notamment ses articles L. 232-1 et s. et D. 232-1 et s. ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-I-4°a ;

Après avoir entendu le rapport de M^me Aminata NIAKATE, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,

Etant rappelés les éléments de contexte suivants :

L’Agence française de lutte contre le dopage (AFLD) est une autorité publique indépendante, qui définit et met en œuvre les actions de lutte contre le dopage énumérées par les dispositions de l’article L. 232-5 du code du sport. A cette fin, elle coopère avec d’autres organismes : l’Agence mondiale antidopage (AMA) et les organisations antidopage signataires du code mondial antidopage (notamment organisations nationales antidopage, fédérations sportives internationales, comités nationaux olympiques et paralympiques).

Le projet de décret, dont est saisie la Commission, est destiné à mettre en conformité le droit français avec la nouvelle version du code mondial antidopage, adoptée en novembre 2019 et entrée en vigueur le 1er janvier 2021 pour ce qui concerne les traitements de données à caractère personnel déployés aux fins de lutter contre le dopage.

Il encadre la mise en œuvre de quatre traitements de données à caractère personnel utilisés par l’AFLD au titre de ses compétences légales, potentiellement exercées dans le cadre de coopérations avec les autres autorités compétentes en matière de lutte contre le dopage. Sont concernés :

— le traitement automatisé de données à caractère personnel visant à établir le profil biologique des sportifs mentionnés à l’article L. 230-3 du code du sport, qui est modifié par le projet de décret ;

- le traitement automatisé de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l’article L. 232-12 du code du sport, qui est créé par le projet de décret ;

- le traitement automatisé des données à caractère personnel portées sur le procès-verbal de contrôle antidopage visant à assurer la coordination des contrôles entre les organisations antidopage signataires du code mondial antidopage et de mettre en œuvre les enquêtes et procédures disciplinaires conduites par l’AFLD, qui est créé par le projet de décret ;

- le traitement automatisé de données à caractère personnel visant à faciliter les échanges d’informations relatives aux demandes d’autorisations d’usage à des fins thérapeutiques entre l’AFLD, l’AMA et les organisations antidopage signataires du code mondial antidopage, qui est modifié par le projet de décret.

Il est pris en application de l’article L. 232-12 du code du sport pour le traitement de données à caractère personnel constitué pour mettre en œuvre le dispositif de caméras individuelles. S’agissant des trois autres traitements de données à caractère personnel mentionnés dans le projet de décret, bien qu’une autorité publique indépendante est en principe compétente pour créer et mettre en œuvre ses traitements de données à caractère personnel, au titre de ses missions déterminées par la loi, la création et l’encadrement des traitements de l’AFLD par voie réglementaire semble en l’espèce justifiés par la convention internationale contre le dopage dans le sport, signée en 2005 sous l’égide de l’Organisation des Nations Unies pour l’éducation, la science et la culture (UNESCO), obligeant les Etats signataires à adopter les mesures appropriées aux niveaux national et international conformes aux principes énoncés par le code mondial antidopage ainsi que par les dispositions du code mondial antidopage.

Dans la mesure où les traitements de données à caractère personnel visés par le projet de décret sont susceptibles d’engendrer un risque élevé pour les droits et les libertés des personnes physiques concernées, notamment parce qu’ils portent sur des données sensibles (données de santé), l’AFLD a réalisé pour chacun d’eux une analyse d’impact relative à la protection des données (AIPD), conformément aux exigences de l’article 35 du RGPD et de l’article 90 de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi informatique et libertés ).

Emet l’avis suivant sur le projet de décret :

Observations d’ordre général communes à l’ensemble des traitements de données à caractère personnel visés par le projet de décret :

A titre liminaire, la Commission relève que la création de ces traitements, dont certains ont été prévus par la loi, ne soulèvent pas de difficulté dans leur principe.

Sur le régime juridique applicable :

A l’exception du traitement automatisé de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionné à l’article L. 232-12 du code du sport, la Commission observe que les autres traitements de données à caractère personnel objets du projet de décret relèvent du RGPD. En effet, leur finalité est de renforcer l’efficacité de la lutte contre le dopage, notamment en permettant l’établissement du profil biologique des sportifs, la coordination des contrôles entre les organisations antidopage signataires du code mondial antidopage et la mise en œuvre d’enquêtes et de procédures disciplinaires conduites par l’AFLD ainsi que les échanges d’informations relatives aux demandes d’autorisations d’usage à des fins thérapeutiques entre l’AFLD, l’AMA et les organisations antidopage signataires du code mondial antidopage.

Concernant le traitement automatisé de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionné à l’article L. 232-12 du code du sport, les enregistrements seront utilisés par les agents chargés de la lutte contre le dopage dans l’exercice de leurs missions de protection de la santé publique dans le domaine sportif et de prévention des atteintes à l’ordre public pouvant résulter de la commission des infractions en lien avec des faits de dopage . Selon le projet d’article R. 232-41-13-1-2° du code du sport, ils ont notamment pour finalité le constat des violations et infractions aux dispositions du code du sport applicables en matière de lutte contre le dopage (dont les dispositions pénales) et la poursuite de leurs auteurs par la collecte de preuves. Par ailleurs, d’après le projet d’article R. 232-41-13-4 du code du sport, la durée de conservation des données est modifiée pour les besoins d’une enquête ou d’une procédure disciplinaire .

Aussi, contrairement à l’analyse du ministère, la Commission estime que la finalité de ce traitement n’est pas simplement de vérifier le bon déroulement des opérations de contrôle antidopage. En effet, ce traitement va permettre de constater les violations et infractions aux dispositions des articles L. 232-1 et s. du code du sport et, possiblement de qualifier pénalement certains agissements entrant dans le champ des articles L. 232-25 et suivants du même code.

Au regard de ces éléments, les dispositions du projet de décret attribuent à l’AFLD de nouvelles prérogatives lui donnant la compétence de rechercher et de détecter des infractions pénales énoncées par le code du sport (en complément de ses compétences traditionnelles pour sanctionner au plan administratif les faits de dopage). A ce titre, elle apparaît comme une autorité compétente au sens de la directive police-justice .

Par conséquent, la Commission invite le ministère à appliquer le régime juridique de la directive police-justice tel qu’énoncé aux article 87 et s. de la loi informatique et libertés au seul traitement de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l’article L. 232-12 du code du sport.

Sur l’information des personnes concernées et les modalités d’exercice des droits :

En tant que responsable de traitement, l’AFLD est tenue de garantir le respect des principes du RGPD en matière d’information des personnes concernées et d’exercice des droits. En particulier, les sportifs concernés doivent être informés spécifiquement du transfert de leurs données à caractère personnel conformément aux exigences des articles 13-1-f et 14-1-f du RGPD.

Selon l’article 12 du RGPD, le responsable de traitement doit répondre à une demande d’exercice des droits, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de sa réception. Ce délai peut, au besoin, être prolongé de deux mois, compte tenu de la complexité et du nombre de demandes. Aussi, la Commission attire l’attention du ministère sur la nécessité de mettre à jour les dispositions concernées du projet de décret pour que celles-ci répondent à ces exigences.

Par ailleurs, la Commission invite l’AFLD à actualiser les AIPD et les documents d’information remis aux sportifs pour répondre aux exigences des articles 12 et s. du RGPD. Elle encourage également l’AFLD à modifier ses pratiques, en particulier pour que l’information des personnes concernées intervienne systématiquement, au plus tard au moment de la collecte des données à caractère personnel.

Sur les transferts de données à caractère personnel réalisés pour lutter contre le dopage :

Selon l’article L. 232-5 du code du sport, aux fins de lutter efficacement contre le dopage au niveau mondial, l’AFLD coopère avec d’autres organismes, en particulier l’AMA et les organisations antidopage signataires du code mondial antidopage.

A l’exception du traitement visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l’article L. 232-12 du code du sport, l’AFLD procède, comme le prévoit le code mondial antidopage, à des transferts de données à caractère personnel auprès de l’AMA et des organisations de lutte contre le dopage, à partir des traitements mentionnés dans le projet de décret dont elle est responsable de traitement au sens de l’article 4-7) du RGPD. Ces transferts peuvent comporter des données concernant la santé au sens de l’article 4-15) du RGPD.

La nécessité de réaliser ces transferts n’est pas remise en cause par la Commission.

Concernant les transferts de données réalisés par l’AFLD pour alimenter la plateforme internationale ADAMS dont l’AMA, située au Canada, est responsable de traitement, la Commission rappelle qu’une décision d’adéquation de la Commission européenne 2002/2/ CE du 20 décembre 2001 autorise les transferts de données à caractère personnel vers ce pays, dans le cadre d’activités commerciales. Elle prend note que l’AFLD s’appuie sur un courrier du Comité européen de la protection des données (CEPD) à destination de la présidence du Conseil de l’Europe du 9 octobre 2019, qui considère que les transferts depuis une organisation européenne de lutte contre le dopage vers ADAMS sont valides dans le cadre de cette adéquation. La Commission souligne que les décisions d’adéquation, adoptées avant l’entrée en application du RGPD, sont actuellement en cours de révision par la Commission européenne et restent valables tant qu’elles n’ont pas été modifiées à la suite de cette révision.

Concernant, les transferts de données réalisés par l’AFLD directement auprès d’autres organisations de lutte contre le dopage, ils s’effectuent quant à eux vers des pays situés en dehors de l’Union européenne. Certains pays peuvent bénéficier d’une décision d’adéquation couvrant ces transferts. Pour d’autres, l’AFLD, comme tout exportateur et conformément à l’arrêt Schrems II de la Cour de justice de l’Union européenne du 16 juillet 2020, devra évaluer au cas par cas la législation et les pratiques des pays vers lesquels sont transférées les données et mettre en place l’instrument d’encadrement le plus approprié pour garantir que ces données font l’objet d’une protection substantiellement équivalente à celle dans l’Union européenne. L’AFLD pourra s’appuyer sur les instruments prévus par le RGPD, comme les clauses contractuelles types de la Commission européenne, le cas échéant, complétés de mesures supplémentaires au sens des recommandations n° 01/2020 du CEPD du 10 novembre 2020, ou éventuellement de recourir à l’application des dérogations prévues à l’article 49 du RGPD, éclairé par son considérant 112.

Observations propres à certains des traitements de données à caractère personnel mis en œuvre par l’AFLD :

Sur le traitement de données à caractère personnel constitué aux fins d’établir le profil biologique des sportifs :

Le projet d’article R. 232-41-3 du code du sport étend la nature des données collectées dans le traitement mis en œuvre par l’AFLD pour déterminer le profil biologique des sportifs mentionnés à l’article L. 230-3 du code du sport. Il ajoute la collecte de données à caractère personnel supplémentaires, notamment :

— mention de l’absence de participation du sportif à un entraînement ou à une compétition au cours des deux heures précédant le prélèvement sanguin ;

- mention, s’il y a lieu, du séjour ou de la participation du sportif à des stages ou à des compétitions à une altitude supérieure à 1500 mètres ou du recours à un dispositif de simulation de l’altitude au cours des deux dernières semaines ;

- mention, s’il y a lieu, de son exposition à des conditions environnementales extrêmes au cours des deux heures précédant le prélèvement de l’échantillon, y compris les séances dans une chaleur artificielle.

Selon le ministère, les données supplémentaires qui seront collectées doivent permettre d’assurer la transposition en droit interne des principes du code mondial antidopage, des standards internationaux et des lignes directrices associés.

La Commission constate que ces données correspondent aux dispositions des lignes directrices de l’AMA applicables au passeport biologique de l’athlète, dans leurs versions d’avril 2021. Dans ces conditions, elle estime que ces nouvelles données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 5-1-c du RGPD.

Sur le traitement de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l’article L. 232-12 du code du sport :

A titre liminaire, la Commission observe que l’usage des dispositifs de caméras individuelles se généralise.

La Commission rappelle que le traitement projeté relève des dispositions de la directive police-justice telle que transposée aux articles 87 et s. de la loi informatique et libertés .

En premier lieu, s’agissant des finalités du dispositif, l’article L. 232-12 du code du sport a ouvert la possibilité aux agents chargés des contrôles antidopage visés par l’article L. 232-11 de ce code d’utiliser des caméras individuelles pour procéder à l’enregistrement de la notification du contrôle.

D’après le projet d’article R. 232-41-13-1 du code du sport, l’enregistrement des données a pour objet de :

— prévenir les incidents au cours des opérations de contrôle ;

- constater les violations aux dispositions du code du sport applicables en matière de lutte contre le dopage sur les plans administratif et pénal et poursuivre leurs auteurs par la collecte de preuves ;

- former les personnes chargées des contrôles.

Dans le cadre de l’examen de la légalité de la mesure fondant l’introduction du dispositif de caméras individuelles pour lutter contre le dopage, le Conseil d’Etat a considéré que cette mesure était justifiée par un motif d’intérêt général lié à la protection de la santé publique dans le domaine sportif et ne présentait pas un caractère disproportionné par rapport aux finalités qui lui sont assignées (CE, 6 et 13 avril 2021, section de l’intérieur, note, n° 402566).

Selon le ministère, le déploiement de ce dispositif entend répondre au besoin de renforcer l’efficacité de la lutte contre le dopage en ne limitant pas celle-ci à la détection de substances interdites dans l’organisme des sportifs. La majorité des violations aux règles antidopage ne seraient en effet pas d’origine analytique mais résulteraient d’incidents survenus au cours du déroulement des opérations de contrôle (p. ex. : soustraction au prélèvement d’échantillons, refus de prélèvement, falsification des éléments de contrôle).

Aussi, au regard de ces éléments, la Commission estime que les finalités du traitement telles que définies dans le projet de décret sont déterminées, explicites et légitimes, conformément à l’article 4-2° de la loi informatique et libertés .

En deuxième lieu, s’agissant du périmètre du dispositif, les caméras individuelles peuvent également être utilisées pour toute autre phase du contrôle (p. ex. : fourniture de renseignements à inscrire sur le procès-verbal de contrôle, scellé des échantillons), lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de ces opérations ou au comportement des personnes concernées . Seul l’acte de prélèvement biologique est exclu du dispositif.

Le projet de décret n’apporte pas de précisions quant aux situations dans lesquelles les agents chargés des contrôles sont autorisés à activer leurs caméras. Néanmoins, la Commission prend acte de ce que l’AFLD s’est engagée à établir à l’attention des préleveurs une liste des situations qui justifient qu’on déclenche l’enregistrement comme par exemple les cas dans lesquels un sportif allègue qu’il doit s’absenter du poste du contrôle, les situations de tension ou encore les situations dans lesquelles un tiers intervient et perturbe le bon déroulement du contrôle . De ce point de vue, la doctrine que l’AFLD doit construire pour déterminer les conditions d’utilisation des caméras doit garantir une collecte proportionnée des données à caractère personnel conformément aux dispositions de l’article 4-3° de la loi informatique et libertés . La Commission invite par conséquent l’AFLD, comme celle-ci s’y est engagée, à formaliser cette doctrine dans les délibérations encadrant la formation des agents en charge des contrôles et le déroulement de ces contrôles.

Par ailleurs, les agents chargés des contrôles antidopage peuvent utiliser les caméras individuelles dans tous les lieux où se déroulent des opérations de contrôle antidopage, y compris au domicile du sportif. Selon le ministère, ces agents sont particulièrement sensibilisés à l’exigence de respecter l’intimité et la vie privée du sportif et ne doivent pas déclencher l’enregistrement et / ou doivent mettre un terme au contrôle, si certaines garanties ne sont pas remplies.

Il appartient dès lors à l’AFLD de déterminer des règles particulières pour encadrer, de manière stricte, l’utilisation des caméras individuelles au sein de lieux particulièrement sensibles tels que les lieux d’habitation, notamment en restreignant leur utilisation à des circonstances précisément identifiées en amont.

En troisième lieu, s’agissant des mesures techniques, le projet d’article R. 232-41-13-3 du code du sport prévoit que les enregistrements réalisés au sein même du dispositif de la caméra sont transférés sur un support informatique sécurisé, propre à l’AFLD, à l’issue de la mission de contrôle. Ils ne peuvent être consultés qu’après ce transfert. Aucun système de transmission permettant de visionner les images à distance en temps réel ne peut être mis en œuvre.

La Commission estime que ces interdictions de principe doivent être accompagnées de mesures techniques de nature à garantir de respect de ces exigences. Si le modèle de caméra actuellement présélectionné semble pouvoir le garantir, le modèle de caméra finalement choisi devra permettre à la fois l’impossibilité de visionnage des enregistrements depuis la caméra, le chiffrement en local sur le support de stockage de la caméra ainsi que le contrôle d’accès du visionnage et de l’impossibilité de la modification des vidéos prises, une fois celles-ci transférées, tel que mentionné dans l’AIPD.

En quatrième lieu, s’agissant du droit à l’information des personnes concernées, l’article L. 232-12 du code du sport prévoit que les caméras sont portées de façon apparente par les agents chargés des contrôles antidopage et qu’un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l’enregistrement fait l’objet d’une information des personnes filmées, sauf si les circonstances l’interdisent .

De plus, d’après le projet d’article R. 232-41-13-6 du code du sport, une information générale des sportifs sur l’emploi de ces caméras est délivrée sur le site web de l’AFLD.

Concernant le dispositif prévu, le ministère a précisé qu’il envisage d’améliorer les modalités d’information en intégrant une mention sur le procès-verbal de contrôle antidopage signé par le sportif concerné. Il a aussi indiqué que l’enregistrement pourrait intervenir, sans information préalable du sportif, dans les hypothèses où le sportif se soustrairait au contrôle en s’enfuyant de la compétition ou avant que sa notification n’ait pu être délivrée. En outre, aucune information particulière ne sera réalisée lorsque le contrôle sera organisé au domicile du sportif.

Au regard de ces éléments, la Commission invite l’AFLD à réfléchir à une traduction concrète et opérationnelle des termes sauf si les circonstances l’interdisent afin que ces circonstances recouvrent les seuls cas où cette information est rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l’intervention , comme le relève le Conseil constitutionnel, dans sa décision n° 2021-817 DC du 20 mai 2021, à propos des caméras individuelles des agents de police et gendarmerie nationales et de la police municipale. Aussi, ces circonstances pourraient être précisées par l’AFLD dans les délibérations qu’elle prend aux fins d’encadrer la formation des agents chargés des contrôles antidopage et le déroulement de ces contrôles.

Par ailleurs, la Commission encourage également à ce que les modalités d’information des sportifs, dont le domicile est filmé, soient explicitées dans les délibérations de l’AFLD encadrant la formation des agents chargés des contrôles antidopage et le déroulement de ces contrôles.

En cinquième lieu, s’agissant de la sécurité des données et de la traçabilité des actions, le projet d’article R. 232-41-13-5 du code du sport prévoit, comme le relève la Commission, que chaque opération de consultation, d’extraction ou d’effacement de données fait l’objet d’un enregistrement dans le traitement ou, à défaut, d’une consignation dans un registre spécialement ouvert à cet effet. Ce registre comporte les nom, prénom et fonction de l’agent procédant à l’opération, la date et l’heure, le motif de l’extraction, le destinataire des données, l’identification des enregistrements audiovisuels extraits et de la caméra dont ils sont issus. La durée de conservation de ces données est fixée à six mois.

En sixième lieu, s’agissant des autres dispositions, le projet de décret précise que les enregistrements utilisés à des fins de formation sont anonymisés, préalablement à leur transmission aux agents en charge de la formation. D’après les lignes directrices n° 05/2014 du CEPD du 05/2014 du 10 avril 2014 sur les techniques d’anonymisation, un traitement de données est a priori anonyme dès lors qu’il n’est possible ni d’individualiser, ni de corréler, ni d’inférer les données. L’anonymisation devra par conséquent couvrir l’ensemble des données et notamment les éléments visuels et sonores des enregistrements.

Les autres points du projet de décret n’appellent pas d’observations particulières de la Commission.

La présidente,
M.-L. Denis