Prise sur le fondement de l’article 137 de la loi n° 2019-486 du 22 mai 2019 relative à la croissance et à la transformation des entreprises, l’ordonnance n° 2019-1015 du 2 octobre 2019 a redéfini les modalités d’exercice du pouvoir de contrôle et de police administrative de l’Etat sur l’ensemble du secteur des jeux d’argent et de hasard. Faisant application de ces dispositions législatives, le nouveau Décret n° 2020-494 du 28 avril 2020 précise les modalités de mise à disposition de l’offre de jeux des opérateurs de jeux ou de paris en ligne et des opérateurs titulaires de droits exclusifs mais aussi de leurs données de jeux. Sont impactés tous les opérateurs de jeux (l’Autorité nationale des jeux, les opérateurs de jeux et de paris en ligne agréés par l’ANJ, La Française des jeux, le Pari mutuel urbain).   

Compte joueur identifié

Le décret élargit les dispositions déjà prévues, puisqu’elles ne concernent plus uniquement les offres de jeux et de paris en ligne, mais également les offres de jeux des opérateurs titulaires de droits exclusifs. La loi a introduit l’obligation de création d’un « compte joueur identifié » pour les jeux sur les terminaux physiques sans intermédiation humaine, c’est-à-dire sur les bornes de jeux en réseau physique de distribution.  De nombreuses nouvelles mentions d’information devront être portées à la connaissance des joueurs. Les règlements portant conditions générales de l’offre de jeux ou de paris doivent être conformes au RGPD : l’information du joueur sur le traitement de ses données personnelles doit être concise, transparente, compréhensible, aisément accessible et exprimée en des termes clairs et simples.

Vérifications des interdits de jeux par l’opérateur de jeux

La vérification par l’opérateur des interdits de jeux devra intervenir non pas « au moins tous les huit jours » mais tous les « sept jours » et se fera par l’intermédiaire du système d’information de l’ANJ. Les modalités de cette vérification, ainsi que les modalités techniques de connexion au système d’information de l’Autorité Nationale des Jeux, seront déterminées par l’ANJ. Ces opérations de vérification constituent un traitement de données à caractère personnel soumis au RGDP.

 
Mécanismes de lutte contre le jeu excessif ou pathologique

Le décret conserve le mécanisme d’autolimitation prévu par le décret de 2010, qui consiste à demander au joueur qui ouvre un compte d’encadrer sa capacité de jeu en fixant le montant total maximal des dépôts et mises qu’il pourra réaliser sur une période de sept jours. Il ajoute que le joueur peut modifier ces limites à tout moment « par un dispositif aisément accessible », sans toutefois préciser lequel. Ce mécanisme d’autolimitation est étendu aux jeux de cercle en ligne. L’opérateur doit également afficher en permanence un compteur du temps de jeu effectif déjà réalisé sur la période considérée. Il avertit le joueur que cette limite sera bientôt atteinte par l’affichage d’un message d’alerte lorsque 75 % du temps de jeu s’est écoulé ou au plus tard 30 minutes avant l’échéance, puis de nouveau dix minutes avant celle-ci.

Identification des joueurs excessifs ou pathologiques

Un nouveau dispositif d’identification et d’accompagnement des joueurs excessifs ou pathologiques par les opérateurs de jeux devra être mis en place par l’ANJ. Par sa Délibération CNIL n° 2020-019 du 30 janvier 2020, la CNIL a mis en garde sur le risque de profilage des joueurs. En effet, la possibilité de prendre des décisions exclusivement automatisées, sans qu’un humain n’intervienne dans le processus, doit être « autorisée par le droit de l’Union ou le droit de l’Etat membre auquel le responsable du traitement est soumis et qui prévoit également des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée », conformément à l’article 22 du RGPD. A ce jour, il n’apparaît pas que le droit positif autorise le recours à de telles décisions automatisées. Au surplus, de telles décisions ne pourraient être fondées sur des données dites « sensibles » visées à l’article 9.1 du RGPD, sauf si les articles 9.2.a) ou 9.2.g) du RGPD trouvaient à s’appliquer et que des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes de la personne concernée soient en place.

De manière générale, la Commission relève que le traitement induit par ce dispositif réunit trois critères sources de risques pour les personnes concernées, à savoir : (i) un potentiel profilage des personnes, (ii) afin de détecter des états « pathologiques », (iii) et pouvant aboutir à une prise de décision affectant les joueurs de manière significative.

Toujours pour lutter contre les addictions aux jeux, l’article L. 131-16-1 du code du sport prévoit désormais que les fédérations sportives délégataires peuvent, en plus d’interroger l’ANJ pour les opérations de jeux en ligne enregistrées par un opérateur agréé, interroger la FDJ pour les autres opérations de jeu dans le cadre desquelles elle identifie et vérifie l’identité des parieurs et s’assure que ces derniers ont respecté leur interdiction de parier.

Droits des personnes

Les droits d’accès et de rectification des personnes concernées, qui s’exerçaient jusqu’alors uniquement à l’égard de l’ancienne ARJEL devenue ANJ, peuvent désormais s’exercer également auprès du délégué à la protection des données de la FDJ. Le droit d’opposition prévu à l’article 56 de la loi ne s’applique pas, dans la mesure où les traitements mis en œuvre par l’ANJ ou la FDJ sont issus d’obligations légales.