Délibération n° 2023-112 du 19 octobre 2023 portant avis sur un projet d'arrêté portant création par la direction générale des douanes et droits indirects d'un traitement automatisé dénommé « Système d'Information du Renseignement des Navires et des Équipages » (SIRENE)
Type : Avis
Date : 2023-10-19
État juridique : VIGUEUR

Date de l'avis : 19 octobre 2023 N° de la délibération : 2023-112 N° de demande d'avis : 23008254 Texte concerné : projet d'arrêté portant création par la direction générale des douanes et droits indirects d'un traitement automatisé dénommé Système d'Information du Renseignement des Navires et des Équipages (SIRENE) Thématiques : fraude douanière, renseignement maritime douanier, trafics internationaux, contrôles des navires et de leurs équipages, infractions douanières Fondement de la saisine : articles 31 et 89 de la loi n° 78-17 du 6 janvier 1978 modifiée L'essentiel : La CNIL considère que le traitement est licite dans son principe. Elle estime que la distinction entre les données à caractère personnel des différentes catégories de personnes inscrites dans le traitement ne reflète pas correctement celle de la loi informatique et libertés et devrait également inclure les statuts de victimes et de tiers à une infraction. Elle relève que le ministère limite et encadre la collecte des données relatives aux personnes mineures de manière appropriée. La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 1° et 2° du I et du II de son article 31 ; Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte de la saisine La direction générale des douanes et des droits indirects (ci-après DGDDI ) exerce une mission de lutte contre les fraudes douanières et les trafics notamment dans l'espace maritime. Dans le cadre de sa mission de lutte contre la fraude et les grands trafics internationaux, la douane est en charge de la protection du territoire et des citoyens, et des intérêts économiques et financiers nationaux ou communautaires (mobilisation contre les trafics de stupéfiants, de contrefaçons, de tabacs, d'armes, lutte contre le terrorisme et le financement des activités criminelles, lutte contre les menaces environnementales, sanitaires et protection du consommateur, des patrimoines culturels et naturels). Le fichier SIRENE est utilisé pour recenser toutes les personnes contrôlées sur les navires en mer ou à quai et lutter contre la fraude. Il recense des informations sur les passagers des navires contrôlés, ainsi que les informations relatives à la propriété ou à la location du navire et leur géolocalisation. Il contient également des copies de titres d'identité et la mention d'infractions pénales (telles trafic de stupéfiants, contrefaçon, travail dissimulé, refus d'obtempérer). B. - L'objet de la saisine En application de l'article 31 de la loi informatique et libertés , la CNIL a été saisie, le 29 juin 2023, par le ministre de l'économie, des finances et de la souveraineté industrielle et numérique d'un projet d'arrêté portant création par la DGDDI d'un traitement automatisé dénommé SIRENE . La saisine est accompagnée d'une analyse d'impact à la protection des données (AIPD). Le traitement SIRENE permet de faciliter le partage des informations relatives aux personnes présentes, en mer ou à quai, sur les navires contrôlés afin de rechercher, constater et réprimer les fraudes douanières sur le domaine maritime, y collecter des informations se rapportant à des risques de fraude, mutualiser le partage des informations relatives aux personnes présentes, en mer ou à quai, sur les navires contrôlés. II. - L'avis de la CNIL A. - Sur les finalités du traitement et son régime juridique Le projet d'arrêté prévoit que le traitement SIRENE poursuit trois finalités sur le vecteur maritime : - contribuer à la recherche, la constatation et la répression de fraudes douanières ; - collecter et fiabiliser des informations se rapportant à des risques de fraudes douanières ; - fiabiliser l'intégration, l'enrichissement et la conservation du renseignement maritime douanier. L'article 87 de la loi informatique et libertés prévoit que le régime de la directive police-justice s'applique aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommés autorité compétente . Dans la mesure où le traitement vise, d'une part, à prévenir et détecter des infractions pénales (par exemple, en contribuant à la recherche, la constatation et la répression de fraudes douanières) et d'autre part, à enquêter ou poursuivre en matière de fraude, la Commission estime que les finalités poursuivies relèvent du régime du titre III de la loi informatique et libertés (directive police-justice ). La CNIL estime que les finalités sont légitimes et déterminées. B. - Sur les catégories de données traitées 1. Concernant les données de la fiche personne a. La distinction entre les données des différentes catégories de personnes Le projet d'arrêté prévoit notamment la collecte : - pour les personnes physiques, des données relatives à l'état civil tels les nom, prénom, sexe, nationalité, et date de naissance permettant l'identification du propriétaire, du locataire, du loueur du navire, des membres d'équipage, et de toute personne à bord ; - pour les personnes morales, des données relatives aux identifiant société, nom et nationalité permettant l'identification du propriétaire, du locataire ou du loueur du navire. Il ressort de l'AIPD que différentes catégories de personnes inscrites dans le traitement sont prévues. Une case à cocher, au sein de la fiche personne , permet de distinguer si la personne considérée est contrôlée, soupçonnée, ou s'est vu notifier une infraction. Or, aux termes de l'article 98 de la loi informatique et libertés , le responsable de traitement établit, dans la mesure du possible et le cas échéant, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que : 1° Les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale ; 2° Les personnes reconnues coupables d'une infraction pénale ; 3° Les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale ; 4° Les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales ou des contacts ou des associés de l'une des personnes mentionnées aux 1° et 2° . La CNIL prend acte de ce qu'une distinction des données susceptibles d'être collectées selon le statut de la personne concernée est opérée. Elle considère néanmoins que cette distinction ne reflète pas correctement celle de la loi informatique et libertés . En effet, les catégories prévues ne permettent pas de caractériser clairement les personnes soupçonnées ou à l'égard desquelles une fraude a été constatée d'un côté et les personnes reconnues coupables de fraude dans le cadre d'une procédure judiciaire de l'autre. Cette distinction devrait prendre également en compte le statut de tiers à une infraction pénale , conformément à ce même article 98 de la loi informatique et libertés . b. Les données relatives aux contrôles, condamnations pénales et infractions Le projet d'arrêté autorise l'enregistrement de données relatives à la catégorie données relatives aux contrôles, y compris données relatives à des condamnations pénales et des infractions . Le ministère a indiqué que les informations collectées au titre de cette catégorie de données sont les suivantes : - données relatives aux déroulement du contrôle ; - compte-rendu de visite du navire ; - conduite à tenir ; - contentieux douanier et contentieux autres ; - numéro de référence du contentieux ; - libellé de l'infraction relevée ; - renseignements complémentaires et indices de suspicion. Des copies des pièces d'identité des personnes physiques contrôlées peuvent occasionnellement être enregistrées dans le traitement afin de procéder à des vérifications ultérieures de l'authenticité du document et ainsi prévenir toute usurpation d'identité entre les contrôles. Le ministère précise que les recherches sur des personnes ne pourront être faites que sur la base des éléments d'état-civil. Aucune recherche n'est possible à partir d'infractions douanières ni à partir des photos présentes sur les copies des pièces d'identité collectées. La CNIL relève toutefois que dans la fiche personne, des zones de commentaires libres facultatifs sont prévues s'agissant du libellé de l'infraction relevée et des renseignements complémentaires et indices de suspicion. La CNIL estime que la collecte de ces données est légitime. Elle rappelle néanmoins que ces zones de commentaires libres présentent un risque de renseigner des informations inappropriées ou non pertinentes, possiblement en lien avec la vie privée des personnes concernées. A défaut de les remplacer par des menus déroulants, la CNIL souligne que ces champs devront comporter exclusivement des informations dénuées de toute appréciation d'ordre personnel et limitées à ce qui est strictement nécessaire à l'instruction du dossier de fraude douanière. Par ailleurs, aucune donnée sensible au sens de l'article 6 de la loi informatique et liberté ne pourra y figurer. Elle considère qu'un bandeau d'information apparaissant au sein des champs libres permettrait de rappeler aux agents les préconisations d'emploi de ce type de zone de saisie libre et le cadre juridique applicable. Des contrôles stricts et réguliers devront également être opérés afin de s'assurer que seuls les éléments utiles aux finalités du traitement sont effectivement renseignés. 2. Concernant les données relatives à des personnes mineures Le projet d'arrêté prévoit au 3° de l'article 2 l'intégration des données relatives à l'identification de mineurs dans SIRENE lorsqu'ils ont commis une infraction ou sont soupçonnés d'en avoir commis une. Concernant la présence de données relatives à des personnes mineures dans le traitement antérieurement à la publication de l'arrêté, la mesure n° 6 du plan d'action 4. 1. 3 figurant dans l'AIPD prévoit : - la suppression en base des données des fiches relatives à des personnes mineures dans le traitement lors du déploiement de la purge, prévue au dernier trimestre 2023 ; - la création d'une case à cocher présence de mineur à bord (O/N) . Lorsque cette case est cochée, le ministère s'est engagé à empêcher techniquement l'intégration de données à caractère personnel correspondant à une personne mineure qui n'aurait pas commis d'infraction ni ne serait soupçonnée d'en avoir commis. Concernant les données relatives à des personnes mineures présentes dans la base antérieurement : - la CNIL accueille favorablement l'engagement du ministère de supprimer les données des mineurs contrôlés sans lien avec une infraction, collectées antérieurement à la publication du projet d'arrêté ; - elle rappelle que les copies des pièces d'identité de ces personnes devront également être supprimées dans SIRENE. Concernant les dispositions du projet d'arrêté relatives aux données des mineurs : - la CNIL accueille favorablement la mention du projet d'arrêté selon laquelle les données relatives à des mineurs ne peuvent être traitées que si elles ont un lien avec une infraction ; - elle prend acte de ce que le ministère s'est engagé à bloquer techniquement la collecte des données des mineurs lorsqu'elles n'ont aucun lien avec une infraction. 3. Concernant les données de localisation des navires Le projet d'arrêté prévoit la collecte des données relatives à la localisation du navire. Si la CNIL est consciente de l'intérêt de cette collecte pour la recherche et la détection de fraudes, elle s'interroge néanmoins sur les modalités d'utilisation des données de localisation postérieurement aux contrôles des navires et des personnes à bord. En effet, le croisement des données de localisation des navires avec les données à caractère personnel des personnes à bord s'avérerait très attentatoire aux droits et libertés et notamment, au droit à la vie privée et à la libre circulation des personnes. Il induit un risque de surveillance générale et à grande échelle de ces personnes. Sous réserve de l'engagement du ministère de ne pas croiser les données de localisation avec celles des personnes à bord, la CNIL considère que la collecte des données de localisation des navires est conforme et proportionnée aux finalités du traitement. Un cloisonnement des données de localisation devrait permettre de garantir l'absence de croisement avec celles des personnes enregistrées dans SIRENE à l'issue d'un contrôle. C. - Sur les durées de conservation des données 1. S'agissant de la durée de conservation de principe Le projet d'arrêté prévoit que les informations et données à caractère personnel traitées sont conservées dans l'application SIRENE pour une durée de cinq ans à compter de leur intégration dans le système. Selon le ministère, cette durée est nécessaire à l'enrichissement des données sur le navire afin de déterminer son degré de sensibilité et ainsi orienter les contrôles. Il s'agit notamment de disposer de l'historique des contrôles réalisés sur un navire pour pouvoir lever ou confirmer une suspicion. Ce délai s'applique malgré l'absence de commission d'infraction afin d'établir le profil d'un navire, en établissant, par exemple, que ses passagers ne présentent pas de risque de se livrer à des activités illicites. A l'issue de ce délai, les données contenues dans l'application sont supprimées de manière automatique. La CNIL estime que cette durée est justifiée au regard de la finalité de renseignement maritime permettant d'orienter les contrôles, en vue de la prévention et de la recherche de fraude douanière. Elle accueille favorablement la mise en œuvre d'un mécanisme de purge automatique permettant de garantir le respect de cette durée de conservation. 2. S'agissant des durées de conservation d'exception Une exception à la durée de cinq ans est prévue si la suspicion de fraude est confirmée notamment lorsque les douaniers relèvent une infraction pénale (contravention ou délit douanier). Les données seront alors conservées pour une période de quinze ans selon deux cas de figure distincts : - en cas de constatation par les douaniers d'une ou plusieurs infractions pénales sur un navire, le délai court à partir de la date de notification de l'infraction ; - pour les navires pour lesquels il existe un ou plusieurs indices sérieux permettant de soupçonner l'existence d'une infraction réprimée par le code des douanes (information issue du renseignement maritime et lorsque le champ conduite à tenir a été renseigné). Il s'agit concrètement des instructions formulées à l'attention des services de terrain en cas de localisation du navire ( contrôler / ne pas contrôler ). Le ministère justifie ces durées par : - la spécificité du vecteur maritime, qui se caractérise par une grande flexibilité liée à la fréquence élevée des changements d'équipages et de propriétaires de navire, ainsi qu'une grande liberté dans le choix des trajets offerte par le transport maritime ; - l'inscription du renseignement maritime dans le temps long pour son enrichissement : il s'agit de conserver l'ensemble des données d'historique, dans la perspective d'une procédure judiciaire, présente ou à venir, voire après une condamnation. En effet, les organisations criminelles qui investissent dans des navires les conservent parfois pendant plus d'une dizaine d'années avant de les utiliser à nouveau, notamment dans le cadre du trafic international de stupéfiants. Le ministère rappelle qu'en dehors de la lutte contre le trafic de stupéfiants, la douane participe à des opérations de sauvetage, veille au respect de la réglementation pour la protection de l'environnement marin, effectue des contrôles de navires de pêche pour lutter contre la pêche illicite, participe à des missions auprès de l'agence européenne FRONTEX ou dans le cadre de la lutte contre l'immigration clandestine. Il avance qu'une analyse rétrospective sur plusieurs années permet la surveillance maritime de ces activités et la reconstitution de comportements maritimes passés considérés comme suspects. A l'issue du délai quinze ans, ces données sont automatiquement purgées par l'application. La CNIL relève que la durée de conservation de ces données est particulièrement longue lorsqu'il existe un ou plusieurs indices sérieux permettant de soupçonner l'existence d'une infraction mais également en cas de fraude avérée. Elle estime, s'agissant des cas de soupçons d'infractions et d'infractions douanières les moins graves et notamment des contraventions, que cette durée devrait être fortement réduite. Par comparaison, elle rappelle que l'article R. 40-27 du code de procédure pénale prévoit que les informations relatives à la mise en cause d'une personne pour une contravention de cinquième classe sont conservées cinq ans dans le Traitement des antécédents judiciaires. D. - Sur les droits des personnes L'article 104 de la loi informatique et libertés impose au responsable de traitement de mettre à disposition des personnes concernées une information relative au traitement de leurs données à caractère personnel. Cette obligation porte notamment sur l'identité et les coordonnées du responsable de traitement et de son délégué à la protection des données, les finalités poursuivies par le traitement et les différents droits dont disposent les personnes. Dans le cas présent, il est prévu que l'information générale du public sur le traitement sera assurée par la publication d'une fiche d'information sur le site internet de la douane. L'article 107 de la loi informatique et libertés prévoit la possibilité, pour le responsable de traitement, de restreindre les droits des personnes concernées lorsque cette restriction est une mesure nécessaire et proportionnée. Dans ces cas, l'exercice des droits, ainsi que le droit à l'information, peuvent faire l'objet de restrictions en application du II et du III de ce même article, qui imposent également que ces restrictions soient prévues par l'acte instaurant le traitement. Le responsable de traitement informe la personne concernée, dans les meilleurs délais, de tout refus ou de toute limitation d'accès, ainsi que des motifs du refus ou de la limitation. Le projet d'arrêté prévoit de mobiliser l'exception aux droits des personnes dans le cadre d'enquêtes ou de procédures administratives ou judiciaires. Les personnes dont les données sont intégrées au fichier SIRENE n'en sont pas informées individuellement, alors même que les navires contrôlés sont systématiquement intégrés au fichier. La CNIL estime que les personnes concernées devraient être informées individuellement du traitement de leurs données, lors des contrôles opérés par les douanes, sauf impératif spécifique lié aux enquêtes. E. - Sur les mises en relations avec d'autres traitements Il ressort de l'AIPD que le traitement est actuellement interconnecté à l'application de veille du trafic maritime dénommée SIAM . Le traitement SIRENE fait également l'objet d'une mise en relation avec l'outil de gestion des immatriculations PUMA (pour les navires de plaisance privés) et NAVPRO (pour les navires professionnels). De manière générale, la CNIL rappelle que l'ensemble des mises en relation doivent être prévues dans l'AIPD de ce traitement mais également dans l'AIPD de ceux qui intègrent les données issues de SIRENE. Elle souligne, par ailleurs, que chaque mise en relation doit être dûment justifiée et que les données concernées par ces mises en relation devront être strictement encadrées afin de respecter les dispositions de la loi informatique et libertés et du Règlement général sur la protection des données (RGPD). Elle ne dispose pas d'éléments lui permettant d'être en mesure de vérifier ces points au cas d'espèce. F. - Sur les mesures de sécurité La sécurité du traitement SIRENE repose principalement sur deux éléments : - la limitation de l'exposition à internet de l'application, puisque celle-ci repose sur une infrastructure interne, maîtrisée, et qu'en principe le seul flux réseau hors du système d'information de la DGDDI concerne les échanges, chiffrés, engendrés via le téléservice par des postes distants ; - le nombre défini d'utilisateurs accédant au service, individuellement habilités et dont l'authentification est assurée via une carte à puce associée à un code PIN personnel. Si ces caractéristiques du système d'information amoindrissent considérablement les risques d'atteinte à la sécurité des données des personnes concernées par le traitement, la CNIL considère qu'un chiffrement en base des données (et de leurs sauvegardes) constituerait une mesure complémentaire utile, a fortiori compte tenu du fait que ces données comprennent des copies de pièces d'identité. La CNIL prend note du fait que les durées de conservation des journaux, notamment ceux relatifs aux accès via le téléservice, ont été portées à un an. Cette durée apparaît adéquate dans le but de pouvoir détecter et analyser d'éventuelles anomalies concernant les accès. La présidente, M.-L. Denis