Données personnelles  : des précautions pour la sécurité des évènements mais aussi sur la dimension commerciale !

Les organisateurs de manifestations sportives, commerciales, culturelles ou festives sont amenés à collecter un grand nombre de données personnelles. Elles concernent les spectateurs, sportifs, exposants, personnels ou  prestataires. Ce flux est présent sur la billetterie comme sur les accréditations.

Ce flux de datas constitue un outil de management et génère une obligation légale ou réglementaire, pour les accréditations par exemple, ou la billetterie nominative obligatoire. Ces données personnelles peuvent faire l’objet d’un criblage par les services de l’État en amont de l’attribution d’une accréditation. Par ailleurs, en cas de contact avec des enfants, une vérification peut être effectuée (« contrôle de l’honorabilité des éducateurs et exploitants bénévoles licenciés des fédérations »).

La sécurité des données personnelles et plus largement des informations liées aux manifestations est un enjeu fort, et parfois couteux. La gestion de ces données sensibles -souvent nominatives-est strictement encadrée par la législation, le règlement général de protection des données RGPD. Cette gestion comprend plusieurs aspects :

Le 1^er aspect est l’autorisation de les collecter,  soumise à un accord de la CNIL (commission nationale de l’informatique et des libertés).

Le 2^ème aspect est leur usage par l’organisateur dans le cadre de son organisation. Là encore, la loi n’autorise pas certaines pratiques, notamment les croisements avec d’autres fichiers.

Le 3^ème concerne la durée de détention des données après la manifestation. La loi prévoit généralement un délai après lequel les datas doivent disparaitre des bases.  

Le 4^ème aspect est la possibilité de céder ces informations à un tiers pour un usage autre. Cet aspect est levé en cas de procédures judiciaire , suite à des incidents, par exemple…

Cet ensemble de contraintes comprend bien évidemment une sécurisation absolue des données collectées contre les attaques extérieures. Cette cybersécurité est devenue un point d’attention majeur, dans l’évènementiel comme ailleurs.

Ces règles de base peuvent faire l’objet de contrôle par les pouvoirs publics. Ainsi, la CNIL a effectué sur les JOP en 2024 de multiples vérifications : « Des dispositifs importants de sécurité seront déployés justifiant que la CNIL vérifie le strict usage qui en sera fait. Des contrôles portant sur la mise en place de codes QR pour les zones à accès restreints, les habilitations d’accès et l’utilisation de caméras augmentées seront ainsi menés ». La CNIL ajoute que « Au-delà de cet aspect sécuritaire, la CNIL s’intéressera également au volet plus commercial des JO et notamment à la collecte de données opérée dans le cadre des services de billetterie. »

Ainsi, le régulateur public mentionne que son champs d’investigation ne se réduit pas aux seules dimensions de sécurité des données personnelles -au sens strict- mais aussi aux usages commerciaux éventuels qui en seraient fait dans le cadre de la billetterie des évènements. Cette doctrine constitue pour les organisateurs un point d’attention supplémentaire à un strict respect du RGPD, y compris dans une logique commerciale.