Les supporters du Paris Saint Germain football club (PSG) peuvent profiter d’un moment de répit.
En effet, cinq associations ont obtenu du juge des référés du Conseil d’Etat la suspension de l’exécution de l’arrêté du 15 avril 2015 portant autorisation d’un traitement automatisé de données à caractère personnel dénommé « fichier STADE » (signifiant « Service Transversal d’Agglomération Des Evénements », qui n’est autre que le nom d’une cellule de la direction de la sécurité de proximité de l’agglomération parisienne de la préfecture de police).
Le fichier STADE a pour but de prévenir les troubles à l’ordre public, les atteintes à la sécurité des personnes et des biens ainsi que les infractions susceptibles d’être commises à l’occasion des manifestations sportives se déroulant dans les stades de la région parisienne et auxquelles participe le PSG au-delà de la simple région parisienne. sportives précitées. Il a également pour finalité de faciliter la constatation de ces infractions et la recherche de leurs auteurs.
A l’origine de l’arrêté préfectoral créant ce fichier, le PSG tenait une liste des supporters interdits de stade, et une liste des supporters « ayant un comportement non conforme aux valeurs du club », suspendus à l’initiative du PSG.
Mis en demeure par la CNIL de mettre en conformité cette liste « noire » de ses supporters avec les exigences de la Loi Informatique et Libertés du 6 janvier 1978, modifiée en 2004 (Décision n°2013-015 du 29 août 2013 accessible sur le site de la CNIL, le PSG avait demandé à la CNIL l’autorisation de mettre en œuvre son traitement de données à caractère personnel  relatif à la gestion et/à l’exclusion de ces supporters jugés indésirables.
Si la CNIL a autorisé ce traitement par délibération n°2014-043 du 30 janvier 2014, elle a considérablement réduit l’étendue des traitements pouvant être mis en œuvre par le PSG quant aux supporters suspendus. En effet, la notion de « comportement non conforme aux valeurs du club » avait été abandonnée et seuls les motifs suivants pouvaient donner lieu à un traitement automatisé de données à caractère personnel : existence d’un impayé, non-respect des règles de billetterie (prêt et revente d’un abonnement ou d’un titre d’accès en violation des conditions générales de vente), activité commerciale dans l’enceinte sportive en violation des conditions générales de vente, ou bien encore paris dans l’enceinte sportive sur le match en cours.
Parallèlement, l’arrêté préfectoral du 15 avril 2015 créant le fichier STADE, pris sur la base de l’article 26 de la Loi Informatique et Libertés après avis de la CNIL, prévoyait que
les associations, sociétés et fédérations sportives agréées pouvaient être rendues destinataires des données collectées dans le cadre de ce fichier.
Dans son avis rendu par Délibération n° 2014-483 du 4 décembre 2014, la CNIL avait émis de nombreuses réserves quant à la légalité de cet arrêté. En particulier, elle soulignait la double finalité – judiciaire et administrative –  du traitement qui nécessiterait alors selon elle d’être autorisé par une loi, comme c’est le cas pour les fichiers d’antécédents judiciaires utilisés à des fins d’enquête administrative. Elle pointait également du doigt la large définition donnée aux personnes concernées par ce fichier, à savoir « les personnes se prévalant de la qualité de supporter d’une équipe ou se comportant comme tel » (sic).
Malgré ces réserves, l’arrêté est pris sans aucune modification majeure, ce qui a conduit cinq associations à saisir le Conseil d’Etat d’une requête en annulation dudit Arrêté dans le cadre de la procédure de référé suspension telle que prévue par l’article L. 521-1 du Code de la justice administrative.
Pour prononcer la suspension de l’exécution de l’Arrêté, deux conditions devaient être réunies : l’urgence et l’existence d’un doutesérieux quant à sa légalité.
La motivation de l’Ordonnance rendue par le Conseil d’Etat conduisant à la suspension de l’exécution de l’arrêté fait écho aux réserves présentées par la CNIL lors de son avis.
D’une part, l’imprécision dans la définition des catégories de données, « dont certaines pourraient d’ailleurs relever du I de l’article 8 » (sic) et des personnes concernées conduit le Conseil d’Etat à considérer que le traitement ne porte pas sur des données adéquates, pertinentes et non excessives au sens de l’article 6 de la Loi informatique et Libertés, ce qui est de nature à créer un doute sérieux quant à la légalité de l’Arrêté.
D’autre part, l’atteinte grave et immédiate au droit au respect de la vie privée résultant de la nature des données collectées et de leur transmission sans garantie suffisante aux clubs sportifs lui permet de caractériser l’urgence.
En revanche, la question de l’autorisation législative d’un traitement à double finalité, judiciaire et administrative, soulevée par la CNIL dans son avis et par les associations requérantes, n’est pas abordée par le Conseil d’Etat.
Il faudra attendre la décision du Conseil d’Etat sur le recours en annulation pour que le sort de l’arrêté soit définitivement scellé, mais cette décision de suspension en référé alourdit l’épée de Damoclès pesant sur lui.