Le Décret n° 2023-1249 du 22 décembre 2023

Le Décret n° 2023-1249 du 22 décembre 2023 encadre les traitements de données à caractère personnel gérés par l’Agence française de lutte contre le dopage modifiant diverses dispositions réglementaires relatives à la lutte contre le dopage.

Ce décret est pris dans le cadre de la mise en conformité du droit français au code mondial antidopage et du renforcement de l’efficacité de la lutte contre le dopage, dans la continuité de l’ordonnance n° 2021-488 du 21 avril 2021 et des décrets n° 2021-1028 et 2021-1029 du 2 août 2021.

Ainsi, il modifie, d’une part, certaines dispositions relatives aux traitements de données existants gérés par l’AFLD relatifs aux autorisations d’usage à des fins thérapeutiques et au profil biologique des sportifs, et, d’autre part, offre à cette agence deux nouvelles possibilités de création de traitements liés aux données recueillies sur le procès-verbal de contrôle et à l’utilisation de caméras individuelles fournies aux agents du contrôle du dopage, telle que cela a été prévu par l’ordonnance précitée dans l’objectif de renforcer l’efficacité de la lutte contre le dopage par l’attribution de nouveaux pouvoirs d’enquête à l’AFLD.

Pouvoirs des agents du ministère des sports

Par ailleurs, en vue de parfaire le renforcement de l’efficacité de la lutte contre le dopage, il redéfinit les modalités d’habilitation des agents du ministère des sports exerçant une mission de lutte contre le trafic de substances interdites et prend acte de la séparation du laboratoire antidopage et de l’AFLD afin d’élargir la dérogation à l’obligation d’autorisation de détention de substances psychotropes aux laboratoires accrédités par l’Agence mondiale antidopage. 

L’Agence française de lutte contre le dopage (AFLD)

L’Agence française de lutte contre le dopage (AFLD) est une autorité publique indépendante, qui définit et met en œuvre les actions de lutte contre le dopage énumérées par les dispositions de l’article L. 232-5 du code du sport.

A cette fin, elle coopère avec d’autres organismes : l’Agence mondiale antidopage (AMA) et les organisations antidopage signataires du code mondial antidopage (notamment organisations nationales antidopage, fédérations sportives internationales, comités nationaux olympiques et paralympiques).

Les quatre traitements en cause

Le décret encadre la mise en œuvre de quatre traitements de données à caractère personnel utilisés par l’AFLD au titre de ses compétences légales, potentiellement exercées dans le cadre de coopérations avec les autres autorités compétentes en matière de lutte contre le dopage. Sont concernés :

– le traitement automatisé de données à caractère personnel visant à établir le profil biologique des sportifs mentionnés à l’article L. 230-3 du code du sport, qui est modifié par le projet de décret ;
– le traitement automatisé de données à caractère personnel visant à mettre en œuvre le dispositif de caméras individuelles mentionnées à l’article L. 232-12 du code du sport, qui est créé par le projet de décret ;
– le traitement automatisé des données à caractère personnel portées sur le procès-verbal de contrôle antidopage visant à assurer la coordination des contrôles entre les organisations antidopage signataires du code mondial antidopage et de mettre en œuvre les enquêtes et procédures disciplinaires conduites par l’AFLD, qui est créé par le projet de décret ;
– le traitement automatisé de données à caractère personnel visant à faciliter les échanges d’informations relatives aux demandes d’autorisations d’usage à des fins thérapeutiques entre l’AFLD, l’AMA et les organisations antidopage signataires du code mondial antidopage, qui est modifié par le projet de décret.

Il est pris en application de l’article L. 232-12 du code du sport pour le traitement de données à caractère personnel constitué pour mettre en œuvre le dispositif de caméras individuelles.

S’agissant des trois autres traitements de données à caractère personnel mentionnés dans le projet de décret, bien qu’une autorité publique indépendante est en principe compétente pour créer et mettre en œuvre ses traitements de données à caractère personnel, au titre de ses missions déterminées par la loi, la création et l’encadrement des traitements de l’AFLD par voie réglementaire semble en l’espèce justifiés par la convention internationale contre le dopage dans le sport, signée en 2005 sous l’égide de l’Organisation des Nations Unies pour l’éducation, la science et la culture (UNESCO), obligeant les Etats signataires « à adopter les mesures appropriées aux niveaux national et international conformes aux principes énoncés par le code mondial antidopage » ainsi que par les dispositions du code mondial antidopage.

Dans la mesure où les traitements de données à caractère personnel visés par le projet de décret sont susceptibles d’engendrer un risque élevé pour les droits et les libertés des personnes physiques concernées, notamment parce qu’ils portent sur des données sensibles (données de santé), l’AFLD a réalisé pour chacun d’eux une analyse d’impact relative à la protection des données (AIPD), conformément aux exigences de l’article 35 du RGPD et de l’article 90 de la loi n° 78-17 du 6 janvier 1978 modifiée (ci-après la loi « informatique et libertés »).

La CNIL a formulé plusieurs observations importantes sur le nouveau dispositif :

Dans le cadre de l’examen de la légalité de la mesure fondant l’introduction du dispositif de caméras individuelles pour lutter contre le dopage, le Conseil d’Etat a considéré que « cette mesure était justifiée par un motif d’intérêt général lié à la protection de la santé publique dans le domaine sportif et ne présentait pas un caractère disproportionné par rapport aux finalités qui lui sont assignées » (CE, 6 et 13 avril 2021, section de l’intérieur, note, n° 402566).

Selon le ministère, le déploiement de ce dispositif entend répondre au besoin de renforcer l’efficacité de la lutte contre le dopage en ne limitant pas celle-ci à la détection de substances interdites dans l’organisme des sportifs. La majorité des violations aux règles antidopage ne seraient en effet pas d’origine analytique mais résulteraient d’incidents survenus au cours du déroulement des opérations de contrôle (p. ex. : soustraction au prélèvement d’échantillons, refus de prélèvement, falsification des éléments de contrôle).

Aussi, au regard de ces éléments, la Commission estime que les finalités du traitement telles que définies dans le projet de décret sont déterminées, explicites et légitimes, conformément à l’article 4-2° de la loi « informatique et libertés ».

En deuxième lieu, s’agissant du périmètre du dispositif, les caméras individuelles peuvent également être utilisées pour toute autre phase du contrôle (p. ex. : fourniture de renseignements à inscrire sur le procès-verbal de contrôle, scellé des échantillons), « lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances de ces opérations ou au comportement des personnes concernées ». Seul l’acte de prélèvement biologique est exclu du dispositif.

Le projet de décret n’apporte pas de précisions quant aux situations dans lesquelles les agents chargés des contrôles sont autorisés à activer leurs caméras. Néanmoins, la Commission prend acte de ce que l’AFLD s’est engagée à établir à l’attention des préleveurs « une liste des situations qui justifient qu’on déclenche l’enregistrement » comme par exemple « les cas dans lesquels un sportif allègue qu’il doit s’absenter du poste du contrôle, les situations de tension ou encore les situations dans lesquelles un tiers intervient et perturbe le bon déroulement du contrôle ».

De ce point de vue, la doctrine que l’AFLD doit construire pour déterminer les conditions d’utilisation des caméras doit garantir une collecte proportionnée des données à caractère personnel conformément aux dispositions de l’article 4-3° de la loi « informatique et libertés ». La Commission invite par conséquent l’AFLD, comme celle-ci s’y est engagée, à formaliser cette doctrine dans les délibérations encadrant la formation des agents en charge des contrôles et le déroulement de ces contrôles.

Par ailleurs, les agents chargés des contrôles antidopage peuvent utiliser les caméras individuelles dans tous les lieux où se déroulent des opérations de contrôle antidopage, y compris au domicile du sportif. Selon le ministère, ces agents sont particulièrement sensibilisés à l’exigence de respecter l’intimité et la vie privée du sportif et ne doivent pas déclencher l’enregistrement et / ou doivent mettre un terme au contrôle, si certaines garanties ne sont pas remplies.
Il appartient dès lors à l’AFLD de déterminer des règles particulières pour encadrer, de manière stricte, l’utilisation des caméras individuelles au sein de lieux particulièrement sensibles tels que les lieux d’habitation, notamment en restreignant leur utilisation à des circonstances précisément identifiées en amont.

En troisième lieu, s’agissant des mesures techniques, le projet d’article R. 232-41-13-3 du code du sport prévoit que les enregistrements réalisés au sein même du dispositif de la caméra sont transférés sur un support informatique sécurisé, propre à l’AFLD, à l’issue de la mission de contrôle. Ils ne peuvent être consultés qu’après ce transfert. Aucun système de transmission permettant de visionner les images à distance en temps réel ne peut être mis en œuvre.

La Commission estime que ces interdictions de principe doivent être accompagnées de mesures techniques de nature à garantir de respect de ces exigences. Si le modèle de caméra actuellement présélectionné semble pouvoir le garantir, le modèle de caméra finalement choisi devra permettre à la fois l’impossibilité de visionnage des enregistrements depuis la caméra, le chiffrement en local sur le support de stockage de la caméra ainsi que le contrôle d’accès du visionnage et de l’impossibilité de la modification des vidéos prises, une fois celles-ci transférées, tel que mentionné dans l’AIPD.

En quatrième lieu, s’agissant du droit à l’information des personnes concernées, l’article L. 232-12 du code du sport prévoit que les caméras sont portées de façon apparente par les agents chargés des contrôles antidopage et qu’un signal visuel spécifique indique si la caméra enregistre. Il prévoit également que le déclenchement de l’enregistrement fait l’objet d’une information des personnes filmées, « sauf si les circonstances l’interdisent ».

De plus, d’après le projet d’article R. 232-41-13-6 du code du sport, une information générale des sportifs sur l’emploi de ces caméras est délivrée sur le site web de l’AFLD.

Concernant le dispositif prévu, le ministère a précisé qu’il envisage d’améliorer les modalités d’information en intégrant une mention sur le procès-verbal de contrôle antidopage signé par le sportif concerné. Il a aussi indiqué que l’enregistrement pourrait intervenir, sans information préalable du sportif, dans les hypothèses où le sportif se soustrairait au contrôle en s’enfuyant de la compétition ou avant que sa notification n’ait pu être délivrée. En outre, aucune information particulière ne sera réalisée lorsque le contrôle sera organisé au domicile du sportif.

Au regard de ces éléments, la Commission invite l’AFLD à réfléchir à une traduction concrète et opérationnelle des termes « sauf si les circonstances l’interdisent » afin que « ces circonstances recouvrent les seuls cas où cette information est rendue impossible pour des raisons purement matérielles et indépendantes des motifs de l’intervention », comme le relève le Conseil constitutionnel, dans sa décision n° 2021-817 DC du 20 mai 2021, à propos des caméras individuelles des agents de police et gendarmerie nationales et de la police municipale.

En cinquième lieu, s’agissant de la sécurité des données et de la traçabilité des actions, le projet d’article R. 232-41-13-5 du code du sport prévoit, comme le relève la Commission, que chaque opération de consultation, d’extraction ou d’effacement de données fait l’objet d’un enregistrement dans le traitement ou, à défaut, d’une consignation dans un registre spécialement ouvert à cet effet. Ce registre comporte les nom, prénom et fonction de l’agent procédant à l’opération, la date et l’heure, le motif de l’extraction, le destinataire des données, l’identification des enregistrements audiovisuels extraits et de la caméra dont ils sont issus. La durée de conservation de ces données est fixée à six mois.

En sixième lieu, s’agissant des autres dispositions, le projet de décret précise que les enregistrements utilisés à des fins de formation sont anonymisés, préalablement à leur transmission aux agents en charge de la formation. D’après les lignes directrices n° 05/2014 du CEPD du 05/2014 du 10 avril 2014 sur les techniques d’anonymisation, un traitement de données est a priori anonyme dès lors qu’il n’est possible ni d’individualiser, ni de corréler, ni d’inférer les données. L’anonymisation devra par conséquent couvrir l’ensemble des données et notamment les éléments visuels et sonores des enregistrements.