Match Nul entre la Cnil, les ultras et le PSG

Le plus grand club de football français se permet de sélectionner ses supporters «?dans l’illégalité la plus totale?». Telle est l’appréciation de Cyril Dubois, lui-même fervent supporter du PSG et avocat engagé aux côtés de l’Adajis, Association de défense et d’assistance juridique des intérêts des supporters. L’argument principal opposé par le Paris Saint-Germain?: garantir la
sécurité dans le stade. Le litige s’est conclu par deux arrêts du Conseil d’État du 13?juin dernier, signe de l’impossible équilibre entre sécurité et traitement des données personnelles.

Hors-jeu

Le conflit entre le PSG et ses ultras remonte à 2006, date à laquelle l’un d’entre eux, Julien Quemener, décède au terme du match de Coupe d’Europe opposant le PSG au club israélien Hapoël Tel-Aviv. La tribune basse de Boulogne est fermée et le club entame sa première purge pour évincer les supporters les plus violents. La bataille juridique relative au traitement des données personnelles commence quant à elle en 2012. Le club avait constitué deux listes de personnes à qui la vente de billets était refusée afin de garantir la sécurité dans le stade. La première liste concernait les interdits de stade présents dans le fichier national. La seconde, des supporters qui ne respectaient ni «?les valeurs du club?», ni le règlement intérieur du Parc des Princes. Plusieurs personnes exclues du stade sans raison apparente déposent alors des plaintes à la Cnil. En conséquence, le régulateur de la gestion des données informatiques lance une série de contrôles dans les locaux du PSG à partir de novembre?2012. L’existence des blacklists est confirmée. Selon Mathias Moulin, directeur adjoint à la protection des sanctions de la Cnil, «?la première liste n’est pas illégale en soi, mais le club aurait dû demander la permission de la constituer?». Il ajoute que «?des contrôles ont été effectués dans d’autres clubs, mais le problème d’une liste d’exclusion ne s’est posé qu’avec le PSG?».

Faute

L’institution met alors en demeure le club de lui soumettre une demande d’autorisation pour le traitement de ces données. Le PSG s’exécute. La première demande concerne les interdictions de stade administratives et judiciaires?: le traitement est autorisé par la Cnil. Pour la seconde, fondée sur la violation des valeurs du club, des conditions générales de vente et du règlement du Parc, l’autorité ne donne qu’une autorisation partielle. Le PSG peut collecter des données, mais dans un champ bien plus limité et précis que celui sollicité. Les quatre cas sont précis?: existence d’un impayé, non-respect des règles de billetterie, activité commerciale et paris sportifs dans l’enceinte sportive. Selon Hélène Lebon, associée chez PDGB et conseil du PSG?: «?Ce que la Cnil avait interdit au PSG, elle l’autorisait pour des acteurs du logement social, les banques, les loueurs de voitures, les centres commerciaux… Cette décision est une anomalie juridique.?»

« Cette décision est une anomalie juridique?» Hélène Lebon

Fin du match

Le club, mécontent de cette autorisation partielle, saisit le Conseil d’État en référé. Ce dernier rend deux arrêts le 13?juin, qui satisfont toutes les parties. Le club et ses conseils sont ravis de l’annulation des deux mises en demeure prononcées par la Cnil. Ils considèrent que le PSG est le grand champion de cette finale et peut désormais enregistrer des données sur ses cocontractants lorsque ceux-ci violent le règlement intérieur. Cependant, la première décision est sans effet?: les mises en demeure avaient déjà pris fin dès l’instant où le club avait effectué les demandes d’autorisation.

Pierre Barthélemy (Jones Day), avocat de l’Adajis, complète?: «?Le Conseil d’État a rejeté l’ensemble des moyens invoqués par le PSG sauf un?; il a annulé le point de la délibération de la Cnil relatif à la durée de conservation des données en matière d’impayés.?» Selon lui, l’interprétation ne pourrait pas être plus claire?: le PSG ne pourra constituer des listes que dans les cas prévus par la Commission.

Temps réglementaire

Le seul point en suspend reste donc le délai de conservation des données relatives aux impayés. La Cnil estime qu’elles doivent être supprimées immédiatement après le paiement complet par le supporter. Le Conseil d’État enjoint à cette dernière de revoir sa position. C’est chose faite depuis août?2016?: le PSG - et l’ensemble des clubs français - pourront conserver les noms des mauvais payeurs pendant douze mois après paiement de la somme. La décision finale provient d’un consensus entre les deux parties?: elle ne sera probablement pas contestée par le PSG.

Prolongations

Il reste un point de la deuxième décision du Conseil d’État à éclaircir et dont les parties font une lecture divergente. Lorsque les hauts magistrats précisent que «?la Commission n’a pas entendu interdire que les données nominatives relatives aux violations du règlement intérieur n’ayant pas donné lieu à des sanctions ou procédures pénales fassent l’objet du traitement?», que veulent-ils dire?? Avec son confrère Guillaume Tapie, également conseil du PSG, Hélène Lebon déduit que «?le club ne peut traiter des données personnelles de supporters pour toutes violations de ses conditions générales de vente, tant qu’elles n’ont pas donné lieu à une procédure pénale?». Les partisans des supporters contestent ce point de vue en estimant que si le Conseil d’État avait réellement voulu ouvrir cette voie, il aurait été plus explicite. Une incertitude bientôt écartée par la loi du 10?mai 2016.

La loi se fait arbitre

En effet, à la suite de cette affaire, une loi en date du 10?mai 2016 a été adoptée pour lutter contre le hooliganisme. Selon Pierre Barthélemy, «?pour l’avenir, ce ne sont ni cette décision du Conseil d’État ni cette délibération de la Cnil qui vont réguler la pratique, mais la nouvelle loi?». Le projet, mené par le député de l’Yonne Guillaume Larrivé, a d’abord cédé aux sirènes du PSG souhaitant des moyens législatifs pour protéger son stade. Il avait alors fait face à une opposition fervente de la part des amateurs du ballon rond, entraînant l’aménagement du texte lors de la navette parlementaire. La version adoptée par l’Assemblée nationale laissait une liberté totale aux clubs quant au choix des personnes exclues de stade. Le texte final y met des barrières?: ce refus ne peut s’appliquer qu’aux personnes «?qui ont contrevenu ou contreviennent aux dispositions des conditions générales de vente ou du règlement intérieur relatives à la sécurité de ces manifestations [sportives]?». Malgré cette restriction, le projet qualifié de «?loi PSG?» reste toujours insatisfaisant pour les supporters.

L’avenir des supporters

Pour l’avocat Cyril Dubois, «?il faut que les décrets d’application rétablissent la situation et que le but ne soit pas d’accepter les listes noires?». Sauf que le décret publié le 12?juillet dernier est taisant sur le traitement des données personnelles. Le PSG aura démontré sa force de persuasion. Il a le droit de constituer des listes de supporters. Si la bataille entre la Cnil et le club n’aura pas été vaine, l’absence de précision dans le décret est susceptible d’élargir le champ d’application désigné par le Conseil d’État dans sa décision du 13?juin?: alors que ce dernier ne reprend que les quatre situations énoncées par l’Autorité, le texte pourra faire l’objet d’une interprétation plus large.

Le danger?: que les autres clubs, chez qui les contrôles de la Cnil n’ont révélé aucune liste noire, soient tentés d’en créer, jusqu’à sélectionner les catégories sociales de leurs supporters. Au risque de retirer au football sa qualification de sport populaire.

Émilie Smelten