La Présidente de la Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la saisine de la Commission nationale de l’informatique et des libertés n°22005568 ;
Vu la décision n° 2022-122C du 21 juin 2022 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données mis en œuvre par la direction générale des douanes et des droits indirects (DGDDI) ;
Vu le procès-verbal de contrôle sur place n° 2022-122/1 du 9 août 2022 ;
Vu les autres pièces du dossier ;
I- Le contexte
Rattachée au Ministère de l’économie, des finances et de la souveraineté industrielle et numérique (ci-après ministère de l’économie), la Direction générale des douanes et des droits indirects (ci-après " la DGDDI ") est située 11, rue des Deux-Communes, à Montreuil (93). Le contrôle a eu lieu dans les locaux de l’unité locale garde-côtes " Manche-Mer du Nord-Atlantique " (MMNA) située 8 rue Eugène Varlin à Nantes (44), laquelle unité appartient au service à compétence nationale dénommé " Direction nationale garde-côtes des douanes " (DNGCD).
Après un signalement du 18 mars 2022 faisant état de l’utilisation du système d’information du renseignement des navires et équipages (SIRENE) pour recenser tous les individus contrôlés en mer ou à quai et sur décision n°2022-122C du 21 juin 2022 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après " CNIL "), une délégation de la CNIL a procédé, le 9 août 2022, à une mission de contrôle sur place auprès de l’unité garde-côtes des douanes Manche-Mer du Nord-Atlantique afin de contrôler le respect des dispositions de la loi Informatique et Libertés du 6 janvier 1978 (ci-après " loi Informatique et Libertés ") et de la directive 2016/680 du 27 avril 2016 (ci-après " directive police justice ").
L’unité locale garde-côtes MMNA participe à l’action de l’Etat en mer (AEM) et principalement aux missions de police douanière, de police de la pêche, de sauvetage en mer et de protection de l’environnement marin. Elle inscrit de manière systématique les personnes contrôlées en mer ou à quai par les douanes dans le fichier SIRENE sans que ces personnes n’en soient informées.
La DGDDI a produit des pièces complémentaires les 26 août et 27 septembre 2022.
II- Sur l’identification du responsable de traitement
La Direction nationale garde-côtes des douanes, qui utilise le fichier SIRENE, est rattachée à la DGDDI.
La délégation de la CNIL a constaté qu’une fiche relative au fichier SIRENE était intégrée au registre des activités de traitement de la DGDDI, qui vise cette dernière comme responsable de traitement.
Par ailleurs, la DGDDI a informé la délégation avoir entrepris des démarches de mise en conformité avec le RGPD, en désignant un responsable de traitement opérationnel, une maitrise d’ouvrage et un service chargé de traiter les demandes de droit. La DGDDI a également informé la CNIL qu’une analyse d’impact relative à la protection des données (AIPD) était en cours de finalisation et qu’un projet d’acte règlementaire de création du traitement avait été rédigé.
Dès lors, le ministère de l’économie, auquel est rattaché la DGDDI, doit être considéré responsable du traitement, s’agissant du fichier SIRENE mis en œuvre pour le compte de l’Etat et concerné par la présente procédure.
III- Sur la loi applicable
Le premier paragraphe de l’article 87 de la loi Informatique et Libertés, premier article du titre III de la loi, dispose que : "
le présent titre s'applique, sans préjudice du titre I

Le titre III de la loi Informatique et Libertés s’applique aux traitements de données à caractère personnel qui répondent à une double caractéristique relative à leur finalité, d’une part, et à la qualité du responsable de traitement, d’autre part [1].
S’agissant des finalités poursuivies par le fichier SIRENE
contribuer à la recherche, la constatation et la répression des fraudes douanières sur le vecteur maritime dans le cadre des compétences de la direction générale des douanes et droits indirects en matière de protection de l’espace national et communautaire
collecter des informations se rapportant à des risques de fraude sur le vecteur maritime, en présence d’une ou plusieurs raisons plausibles de soupçonner l’existence d’une infraction douanière, sur la base d’informations recueillies par les services douaniers ou de contrôles réalisés
fiabiliser l’intégration, l’enrichissement et la conservation du renseignement maritime douanier à des fins de mutualisation entre services douaniers chargés de la lutte contre la fraude
Les missions précitées entrent ainsi dans le champ des finalités visées par l’article 87 de la loi Informatique et Libertés, en ce qu’elles visent d’une part, à prévenir ou détecter des infractions pénales (par exemple, en contribuant à la recherche, la constatation et la répression des fraudes) ; d’autre part, à enquêter ou poursuivre en matière pénale (par exemple en collectant des informations) ; enfin, à assurer une protection contre les menaces pour la sécurité publique et la prévention de telles menaces (par exemple en mutualisant le renseignement maritime douanier entre services chargés de la lutte contre la fraude).
La délégation a constaté plusieurs mentions à des infractions pénales dans le fichier SIRENE, relatives notamment à des faits de trafic de drogue, de contrefaçon, de travail dissimulé, de refus d’obtempérer, d’agressions sexuelles, de détention d’armes prohibées, d’homicide volontaire ou d’assassinat.
S’agissant de la qualité d’autorité compétente en matière de " police-justice " :
les missions de surveillance maritime et terrestre de l'administration des douanes nécessitant l'utilisation de moyens maritimes et aériens
" contribue à l'action de l'Etat en mer et à la fonction garde-côtes et participe, dans ce cadre, à des missions nationales et internationales
En conséquence, les traitements mis en œuvre doivent respecter les dispositions du titre III de la loi Informatique et Libertés.
IV- Les manquements au regard des dispositions de la loi du 6 janvier 1978 modifiée
A- Sur le manquement relatif à la licéité du traitement et à l’absence d’analyse d’impact
En premier lieu,
ne sont licites que si et dans la mesure où ils sont nécessaires à l'exécution d'une mission effectuée, pour l'une des finalités énoncées au premier alinéa, par une autorité compétente au sens du même premier alinéa et où sont respectées les dispositions des articles 89 et 90
Aux termes du I de l’article 89 de la loi Informatique et Libertés : "
Si le traitement est mis en œuvre pour le compte de l'État pour au moins l'une des finalités énoncées au premier alinéa de l'article 87, il est prévu par une disposition législative ou réglementaire prise dans les conditions prévues au I de l'article 31 et aux articles 33 à 36
" si le traitement porte sur des données mentionnées au I de l'article 6, il est prévu par une disposition législative ou réglementaire prise dans les conditions prévues au II de l'article 31 ".
En l’espèce, la délégation de la CNIL a constaté l’existence du SIRENE, mis en œuvre par la DGDDI et utilisé par le service à compétence nationale " Direction nationale garde-côtes des douanes ". Le SIRENE contient les données à caractère personnel des passagers des navires contrôlés, précisément des informations sur leur état civil, leur adresse, leur profession, leur fonction à bord du navire, les informations relatives à la propriété ou à la location du navire et leur géolocalisation. La délégation a constaté la présence de documents d’identité de mineurs dans le fichier SIRENE.
En outre, aucun texte législatif ou réglementaire ne vient autoriser et encadrer ce traitement de données à caractère personnel, seul un projet d’acte réglementaire ayant été rédigé par la DGDDI.
Or, le fichier SIRENE est mis en œuvre pour le compte de l’Etat pour une finalité correspondant à l’article 87 alinéa premier, à savoir la prévention, la détection et l’enquête dans le cadre d’infractions pénales. Il doit ainsi être prévu par une disposition législative ou règlementaire prise selon la procédure des articles 31 et 33 à 36 de la loi Informatique et Libertés, ce qui n’est pas le cas en l’espèce.
Le traitement de données à caractère personnel, mis en œuvre sans qu’ait été pris un acte réglementaire après avis de la Commission, est donc contraire à l’article 89 de la LIL.
En second lieu
Si le traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu'il porte sur des données mentionnées au I de l'article 6, le responsable de traitement effectue une analyse d'impact relative à la protection des données à caractère personnel.
Si le traitement est mis en œuvre pour le compte de l'Etat, cette analyse d'impact est adressée à la Commission nationale de l'informatique et des libertés avec la demande d'avis prévue à l'article 33. ".
Le fichier SIRENE contient des données relatives à la géolocalisation de tous les navires dès que le signal de leur balise est capté. La délégation a en effet été informée que le SGCD MMNA avait automatiquement accès à "
de nombreuses informations
La délégation a constaté que le registre de traitement et le projet d’AIPD estimaient qu’environ 24 000 personnes physiques étaient concernées par le traitement. La délégation a ensuite été informée que s’agissant des navires de plaisance, si a priori seul le propriétaire est intégré au fichier SIRENE, les agents participant au contrôle du navire peuvent aléatoirement intégrer tous les occupants audit fichier. S’agissant des navires de commerce, en cas de "
contentieux conséquent
La DGDDI a transmis à la délégation de contrôle le fichier SIRENE. La délégation a constaté que 45 793 personnes, dont 392 mineurs, sont intégrées au fichier SIRENE. La délégation a également constaté que le fichier contenait les copies de 9 646 passeports et de 3 051 cartes nationales d’identité.
La CNIL a constaté qu’un projet d’analyse d’impact relative à la protection des données à caractère personnel (AIPD) a été rédigé par une personne désignée par la DGDDI. La délégation a été informée que ce projet n’avait pas été adressé à la CNIL.
Or, compte tenu du traitement de données de géolocalisation des navires conduisant à une surveillance quasi systématique de leur équipage et au volume conséquent de personnes concernées, il doit être considéré que la DGDDI met en œuvre, pour le compte de l’Etat, un traitement de données de localisation à large échelle susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, lequel devait faire l’objet d’une analyse d’impact adressée à la CNIL [2].
Un manquement à l’article 90 de la loi Informatique et Libertés est ainsi constitué.
Il résulte de ce qui précède que le fichier SIRENE, mis en œuvre sans avoir été créé par un acte règlementaire pris après avis de la CNIL et sans réalisation d’une AIPD transmise à la Commission, est illicite au regard de l’article 87 de la LIL. Le ministère de l’économie est donc tenu de prendre un acte règlementaire après avis de la CNIL et de conduire une analyse d’impact qui lui sera adressée.
B- Sur le manquement à la distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées
Aux termes de l’article 98 de la LIL,
" Le responsable de traitement établit, dans la mesure du possible et le cas échéant, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :
1° Les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale ;
2° Les personnes reconnues coupables d'une infraction pénale ;
3° Les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale ;
4° Les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales ou des contacts ou des associés de l'une des personnes mentionnées aux 1° et 2°. "
La délégation a constaté que le fichier SIRENE comporte les données relatives aux commandants de tous les navires contrôlés et parfois celles des autres personnes présentes à bord. La délégation a constaté que si les fiches des personnes physiques sur SIRENE permettent d’établir un lien avec un navire, aucun champ ne permet de distinguer les catégories de personnes au regard des distinctions posées à l’article 98 de la loi " Informatique et libertés ".
La distinction entre les personnes soupçonnées d’une infraction, coupables, victimes ou tiers n’est pas établie. La délégation a été informée que la qualification d’un navire de […], est réalisée dans SIRENE sans toutefois distinguer les catégories de personnes sur le navire.
L’absence de distinction entre les catégories de personnes constitue un manquement à l’article 98 de la loi Informatique et Libertés. Le ministère de l’économie devra donc distinguer clairement les données à caractère personnel des différentes catégories de personnes inscrites dans le fichier SIRENE.
C- Sur le manquement relatif à l’information des personnes
L’article 104 de la loi Informatique et Libertés impose au responsable de traitement de mettre à disposition des personnes concernées une information relative au traitement de leurs données à caractère personnel. Cette obligation porte notamment sur l'identité et les coordonnées du responsable de traitement et de son délégué à la protection des données, les finalités poursuivies par le traitement et les différents droits dont disposent les personnes.
L’article 107 de la loi Informatique et Libertés prévoit la possibilité, pour le responsable de traitement, de restreindre les droits des personnes concernées lorsque cette restriction est une mesure nécessaire et proportionnée. Le même article impose que ces restrictions soient prévues par l'acte instaurant le traitement.
La délégation a été informée que les personnes intégrées au fichier SIRENE n’en sont pas informées, alors même que les navires contrôlés sont systématiquement intégrés au fichier. Par ailleurs, aucune information générale n’est mise à disposition du public concernant le fichier SIRENE, par exemple sur le portail internet de la DGDDI.
Or, la délégation a constaté qu’aucun acte ne vient encadrer les traitements nés de l’utilisation du fichier SIRENE et donc qu’aucune restriction prévue par un tel acte ne vient limiter le droit des personnes concernées à recevoir les informations prévues par le II de l’article 104 de la loi Informatique et Libertés. Par ailleurs, les personnes contrôlées et intégrées au fichier SIRENE doivent pouvoir accéder aux informations prévues par le I du même article, ce qui n’est pas le cas en l’espèce.
Les faits évoqués constituent un manquement à l’article 104 de la loi du 6 janvier 1978 modifiée quant à l’obligation pour le responsable du traitement d’informer les personnes que leurs données à caractère personnel sont traitées, ainsi qu’au principe énoncé à l’article 107 de la loi en vertu duquel un responsable de traitement ne peut restreindre les droits des personnes que dans les conditions prévues par l’acte instaurant le traitement. Le ministère de l’économie devra donc garantir l’information des personnes.
En conséquence, le ministère de l’économie, des finances et de la souveraineté industrielle et numérique, sis 139, rue de Bercy à Paris (75572 Cedex 12), est mis en demeure
sous un délai de 6 (six) mois à compter de la notification de la présente décision
édicter un acte législatif ou règlementaire après avis de la CNIL portant création du SIRENE; à défaut, cesser de procéder au traitement des données en cause ;
sous réserve de licéité du fichier SIRENE, distinguer les données des différentes catégories de personnes y étant inscrites ;
sous réserve de licéité du fichier SIRENE, informer les personnes y étant inscrites, dans les conditions prévues au chapitre III du titre III de la loi Informatique et Libertés ;
justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si le ministère de l’économie s’est conformé à la présente mise en demeure, il sera considéré que la présente procédure est close et un courrier lui sera adressé en ce sens.
À l’inverse, si le ministère de l’économie ne s’est pas conformé à la présente mise en demeure, il est rappelé qu’un rapporteur peut être désigné pour requérir que la formation restreinte prononce l’une des mesures correctrices prévues par l’article 20 de la loi du 6 janvier 1978 modifiée.
La Présidente
Marie-Laure DENIS
[1] Délibération SAN-2021-003 du 12 janvier 2021 et Délibération SAN-2021-016 du 24 septembre 2021
[2] Voir délibération de la CNIL n°2018-327 du 11 octobre 2018 portant adoption de la liste des types d'opérations de traitement pour lesquelles une analyse d'impact relative à la protection des données est requise
