LA COMMISSION NATIONALE DE L’INFORMATIQUE ET DES LIBERTÉS,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ) ;

Vu l’article L. 232-12-2 du code du sport ;

Sur la proposition de M^me Aminata NIAKATE, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement adjoint,

ADOPTE LA DÉLIBÉRATION SUIVANTE :

I. La saisine

A. Le contexte

L’article L. 232-12-2 du code du sport, introduit par la loi n° 2023-380 du 19 mai 2023 relative aux jeux Olympiques et Paralympiques de 2024, autorise le laboratoire accrédité en France (laboratoire antidopage français (LADF)) par l’Agence mondiale antidopage (AMA) à procéder à de nouvelles analyses à des fins de lutte contre le dopage. Réalisées à partir de prélèvements sanguins ou urinaires, ces analyses consistent en une comparaison d’empreintes génétiques et en un examen des caractéristiques génétiques des sportifs.

De telles analyses sont exclusivement limitées aux hypothèses dans lesquelles les autres techniques ne permettent pas de mettre en évidence l’usage par un sportif d’une substance ou d’une méthode interdites, en application de l’article L. 232-9 du code du sport. Elles interviennent en vue de la recherche :

• d’une administration de sang homologue ;
• d’une substitution d’échantillons prélevés ;
• d’une mutation génétique dans un ou plusieurs gènes impliqués dans la performance induisant une production endogène de substances interdites ;
• d’une manipulation génétique pouvant modifier les caractéristiques somatiques aux fins d’augmentation de la performance.

Ces analyses :

• sont effectuées sur des échantillons pseudonymisés et portent sur les seules parties pertinentes du génome ;
• doivent faire l’objet d’une information particulière du sportif contrôlé, préalablement au prélèvement ;
• et sont réalisées à la demande des organisations signataires du code mondial antidopage, responsables de l’organisation des contrôles (organisations nationales antidopage, fédérations internationales, organisations responsables de grandes manifestations).

Les données génétiques analysées ne peuvent ni conduire à révéler l’identité du sportif, ni servir à son profilage ou à sa sélection à partir d’une caractéristique génétique donnée. Elles sont détruites :

• sans délai lorsqu’elles ne révèlent la présence d’aucune substance ou l’utilisation d’aucune méthode interdites ;
• ou au terme des poursuites disciplinaires, lorsqu’elles révèlent la présence d’une substance ou l’usage d’une méthode interdites.

Les analyses et le traitement des données qui en sont issues sont réalisés dans des conditions et selon des modalités précisées par décret en Conseil d’État, pris après avis de la CNIL.

B. L’objet de la saisine

Le projet de décret procède à des ajustements rédactionnels en ce qui concerne le passeport biologique du sportif. Il vise à intégrer, dans le code du sport, les dernières évolutions qui découlent des modifications apportées au Standard international pour la gestion des résultats, entrées en vigueur le 1^er janvier 2023. Ce point n’appelle pas d’observation de la part de la CNIL.

Surtout, le projet de décret encadre réglementairement le traitement de données à caractère personnel constitué par le LADF aux fins de comparer les empreintes génétiques et d’examiner les caractéristiques génétiques des sportifs afin de répondre aux obligations internationales en matière de lutte contre le dopage du code mondial antidopage et des Standards internationaux. Ce traitement a pour finalité de renforcer l’efficacité de la lutte contre le dopage et de sanctionner, le cas échéant, le sportif au plan disciplinaire et non de constater des violations et infractions aux dispositions pénales du code du sport (articles L. 232-25 et suivants) ou de poursuivre leurs auteurs. Il relève donc du RGPD.

II. L’avis de la CNIL

A. Sur le droit à l’information

En application des dispositions de l’article L. 232-12-2 du code du sport, le sportif est expressément informé, préalablement à tout prélèvement, de la nature et des finalités des analyses génétiques autorisées par la loi dans le cadre de contrôles relatifs à la lutte contre le dopage, ainsi que du traitement de données à caractère personnel qui en découle.

La fédération sportive concernée délivre ces informations au sportif, au moment de la prise ou du renouvellement de la licence ouvrant l’accès aux compétitions qu’elle organise ou autorise.

S’agissant des sportifs soumis aux obligations de localisation, en vertu de l’article L. 232-15 du code du sport, l’Agence française de lutte contre le dopage (AFLD) les informe lors de leur inclusion dans le groupe cible, ou à l’occasion de la demande de fournir des renseignements sur leur localisation.

Dans le cadre des événements sportifs internationaux, les organismes sportifs internationaux et les organisations antidopage étrangères s’assurent par tout moyen que cette information a été portée à la connaissance du sportif.

En outre, l’information des sportifs sur la mise en œuvre du traitement est inscrite sur le procès-verbal de contrôle mentionné à l’article R. 232-58 du code du sport.

Le dispositif ainsi mis en place, détaillé dans le projet d’annexe II-2 du code du sport joint au projet de décret, doit permettre de s’assurer que les conditions dans lesquelles cette information est délivrée au sportif sont de nature à garantir que, en décidant de prendre part à la compétition, il consent également à ce que les échantillons prélevés puissent faire l’objet d’analyses génétiques , conformément à la réserve émise par le Conseil constitutionnel dans sa décision de conformité n° 2023-850 du 17 mai 2023.

Les modalités d’information des sportifs envisagées par le projet de décret offrent, en théorie, et sous réserve de leur application par l’ensemble des acteurs concernés, les garanties préconisées par la CNIL, dans sa délibération n° 2022-118 du 8 décembre 2022.

B. Sur les transferts de données hors UE

Selon le projet d’article R. 232-67-25 du code du sport, le LADF procède à des transferts de données à caractère personnel auprès de l’AMA et des organisations signataires du code mondial antidopage, à partir du traitement mentionné au projet d’article R. 232-67-20 du code du sport dont il est responsable de traitement. Ces transferts peuvent comporter des données génétiques au sens de l’article 4-13) du RGPD et des données concernant la santé au sens de l’article 4-15) du RGPD.

La nécessité de réaliser ces transferts n’est pas remise en cause par la CNIL.

Concernant les transferts de données réalisés par le LADF pour alimenter la plateforme internationale ADAMS dont l’AMA, située au Canada, est responsable de traitement, une décision d’adéquation 2002/2/CE du 20 décembre 2001 autorise les transferts de données à caractère personnel vers ce pays, dans le cadre d’activités commerciales.

Elle prend note que le laboratoire s’appuiera sur un courrier du Comité européen de la protection des données (CEPD) à destination de la présidence du Conseil de l’Europe en date du 9 octobre 2019, qui considère que les transferts depuis une organisation européenne de lutte contre le dopage vers ADAMS sont valides dans le cadre de cette adéquation. La CNIL souligne que les décisions d’adéquation, adoptées avant l’entrée en application du RGPD, sont actuellement en cours de révision par la Commission européenne et restent valables tant qu’elles n’ont pas été modifiées à la suite de cette révision.

Concernant les transferts de données réalisés par le LADF auprès d’autres organisations signataires du code mondial antidopage via la plateforme internationale ADAMS , très rares en pratique compte tenu des exigences de l’AMA liées aux conditions de réalisation et de transport des analyses, ils peuvent s’effectuer quant à eux vers des pays situés en dehors de l’Union européenne.

Certains pays peuvent bénéficier d’une décision d’adéquation couvrant ces transferts. Pour d’autres, le LADF, comme tout exportateur et conformément à l’arrêt Schrems II de la Cour de justice de l’Union européenne du 16 juillet 2020, devra évaluer au cas par cas la législation et les pratiques des pays vers lesquels sont transférées les données et mettre en place l’instrument d’encadrement approprié pour garantir que ces données font l’objet d’une protection substantiellement équivalente à celle offerte par l’Union européenne. Le LADF pourra s’appuyer sur les instruments prévus par le RGPD, comme les clauses contractuelles types de la Commission européenne, le cas échéant, complétés de mesures supplémentaires au sens des recommandations n° 01/2020 du CEPD du 10 novembre 2020, ou éventuellement de recourir à l’application des dérogations prévues à l’article 49 du RGPD, éclairé par son considérant 112.

Les autres dispositions du projet de décret n’appellent pas d’observations.

La présidente

Marie-Laure DENIS