Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 13 avril 2023 sous la présidence de Madame Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur François PELLEGRINI, Vice-président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2023-018 du 3 avril 2023 de la Présidente de la Commission mettant en demeure
le ministère de l’économie, des finances et de la souveraineté industrielle et numérique (ministère de l’économie)
A adopté la délibération suivante :
Par décision du 3 avril 2023, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure le ministère de l’économie, sis 139, rue de Bercy à Paris (75572 cedex 12), de faire cesser sous un délai de 6 (six) mois les manquements constatés à cette même loi relatifs à la licéité du traitement, à la distinction entre les données de différentes catégories de personnes concernées et à l’information des personnes.
En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 13 avril 2023.
Après en avoir délibéré, le bureau estime que la publicité se justifie tout d’abord par l’illicéité flagrante d’un fichier mis en œuvre pour le compte de l’État et ayant notamment pour objet la recherche d’infractions : le système d’information du renseignement des navires et équipages (SIRENE) utilisé par l’unité locale garde-côtes " Manche-Mer du Nord-Atlantique " (MMNA) qui y inscrit de manière systématique les personnes contrôlées en mer ou à quai.
En outre, le bureau note le nombre particulièrement important de personnes susceptibles d’être touchées par le traitement en cause et cette surveillance systématique dès lors que les garde-côtes MMNA ont automatiquement accès à de nombreuses informations lorsqu’elles se trouvent à proximité de navires équipés d’un transpondeur AIS (" automatic identification system "). C’est le cas de la plupart des navires de commerce, et s’agissant des navires de plaisance, seul le propriétaire est intégré au fichier SIRENE, mais les agents participant au contrôle peuvent aléatoirement intégrer au fichier tous les occupants. La délégation a constaté que 45 973 personnes dont 392 mineurs étaient intégrés au fichier SIRENE.
En outre, la publicité de la décision de mise en demeure se justifie par la nature et la grande sensibilité du traitement concerné qui présente un risque particulier au regard de la vie privée et a pour objet notamment la recherche d’infractions. En effet, l’unité locale garde-côtes MMNA collecte et intègre au fichier SIRENE des données en lien avec l’identité et les déplacements des passagers des navires contrôlés, notamment des informations sur leur état civil, leur adresse, leur profession, leur fonction à bord du navire, les informations relatives à la propriété ou à la location du navire, et leur géolocalisation. La délégation a constaté que le fichier SIRENE contenait les copies de 9 646 passeports et de 3051 cartes nationales d’identité.
Le bureau estime également nécessaire d’informer le public sur les manquements constatés et de le sensibiliser, ainsi que les pouvoirs publics, sur la protection des données à caractère personnel dans un contexte de collecte de données à large échelle.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2023-018 de la Présidente de la CNIL mettant en demeure le ministère de l’économie.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. Si l’organisme se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément l’organisme à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
Marie-Laure DENIS