Par un arrêt du 13 juin 2016, le Conseil d’Etat a validé une décision de la CNIL à l’encontre de la SASP Paris-Saint-Germain suite à une plainte des supporters du PSG concernant des allégations relatives à l’établissement par le club de listes noires de personnes indésirables.  Suite à ses investigations, la CNIL avait mis en demeure le PSG de lui adresser une demande d’autorisation relativement aux traitements mis en œuvre à des fins d’exclusion de certaines personnes, de cesser la communication de ces informations à ses partenaires et de lui apporter la preuve de sa mise en conformité. Le club s’exécutait mais se voyait uniquement  autorisé à mettre en œuvre le traitement relatif aux interdictions de stade ainsi que le traitement visant à l’obtention de données à caractère personnel relatives à la violation des conditions générales de vente et du règlement du stade par les abonnés et acheteurs de billets.

Sur recours, le Conseil d'Etat confirme la décision de la CNIL estimant que l’Autorité n’avait pas interdit que les données nominatives ayant seulement trait à des violations du règlement intérieur ne fassent l’objet d’un traitement dès lors que celles-ci participaient de la mission de protection de l’ordre public des clubs sportifs. Pour ce qui est des traitements portant sur des données relatives à des infractions et condamnations pénales donc des données dites sensibles, le Conseil d’état rappelle que ceux-ci doivent se faire conformément à l’article 9 de la loi informatique et libertés.

Le PSG obtient ainsi l’annulation de l’interdiction qui lui a été faite de conserver les données relatives aux impayés au-delà de la date de remboursement ainsi que l’annulation des décisions de la CNIL portant mises en demeure du club au regard des irrégularités de la procédure.

Cette décision rappelle la nécessité pour les responsables de traitement, jusqu’à l’entrée en vigueur du règlement européen sur la protection des données, abolissant le régime des formalités, de documenter tous les traitements de données à caractère personnel mis en œuvre afin de se conformer à la législation informatique et libertés.

Conseil d’État, 10ème et 9ème ch., décision du 13 juin 2016, PSG Football