CNIL, 27 novembre 2025, 2025-113

N° de demande d'avis : 25002476 Thématiques : douanes, lutte contre le trafic de stupéfiants, lutte contre la fraude Organisme(s) à l'origine de la saisine : Ministère de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique Fondement de la saisine : Article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés

L'essentiel :

Mis en œuvre par la direction générale des douanes et des droits indirects, E-manifeste constitue un traitement d'aide au ciblage des contrôles douaniers du fret maritime à travers l'analyse des manifestes de l'ensemble des navires circulant dans l'espace maritime national. La CNIL estime que les finalités de ce traitement devraient être explicitées. Tout en accueillant favorablement la définition d'un périmètre limité de données à caractère personnel pouvant être traitées et d'une durée de conservation justifiée au regard des finalités du traitement, la CNIL considère que la catégorie "données d'identification" devrait être précisée dans l'arrêté. ----------------------------___________________ La Commission nationale de l'informatique et des libertés,

Vu

la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ("loi informatique et libertés"), notamment son article 31 ; Sur la proposition de M. Philippe-Pierre Cabourdin, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante :

I. La saisine

A. Le contexte Dans le cadre de la lutte contre le trafic de stupéfiants, en application de l'article 46-2 du code des douanes de l'Union, les contrôles non-inopinés des transports maritimes sont "principalement fondés sur l'analyse de risque pratiquée à l'aide de procédés informatiques de traitement des données". A cette fin, l'Union Européenne a déployé depuis plusieurs années le "Système de contrôle des importations" (ICS2) qui réalise des analyses de risque à partir des déclarations sommaires d'entrée des transporteurs maritimes, en amont de leur entrée sur le territoire de l'union douanière. Toutefois, afin de réaliser une analyse de risque à partir de données plus fiables, la direction générale des douanes et des droits indirects (DGDDI) souhaite se doter d'un outil national analysant les manifestes maritimes (documents de transport détaillant la cargaison des navires). B. L'objet de la saisine La CNIL a été saisie pour avis, par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique, d'un projet d'arrêté autorisant la mise en œuvre par la DGDDI d'un traitement de données à caractère personnel dénommé "E-manifeste". Ce traitement constituera une aide à la décision pour le ciblage des contrôles non-inopinés des navires par les services douaniers, en complément du traitement ICS2 mis en place au niveau européen. Il se différencie en revanche du traitement SIRENE qui, bien que mis en œuvre dans le cadre de la lutte contre la fraude douanière, ne s'inscrit pas dans une perspective de ciblage à partir de données relatives aux marchandises mais permet, en aval, de recenser toutes les personnes contrôlées sur les navires en mer ou à quai (v. CNIL, SP, 19 octobre 2023, avis sur projet d'arrêté, SIRENE, n° 2023-112, publié). Ainsi, "E-manifeste" reposera sur la collecte des manifestes de tous les navires circulant dans les ports français. Une analyse de risque sera réalisée à partir de ces documents qui permettent le suivi du trajet complet de chaque conteneur maritime, de son chargement initial à son déchargement final. Ces manifestes seront également repris dans une base de données nationale, accessible à tous les agents douaniers habilités au ciblage des contrôles pour la réalisation de recherches multicritères.

II. L'avis de la CNIL

A. Sur les finalités du traitement L'article 1er du projet d'arrêté prévoit que le traitement a pour finalités : l'analyse de risque et le ciblage en matière de prohibitions et de stupéfiants sur les données des manifestes transmis par les compagnies maritimes, l'aide à la décision pour le contrôle des marchandises. La CNIL estime ces finalités légitimes dans la mesure où elles s'inscrivent dans le cadre des missions poursuivies par la DGDDI. Selon les précisions apportées, le champ infractionnel de l'analyse de risque et du ciblage concernera la lutte contre la fraude douanière telle que prévue aux articles 414, 414-2, 415 et 459 du code des douanes. Au regard de ces éléments, le champ infractionnel apparait dépasser le cadre de la lutte contre le trafic de stupéfiants. Dès lors, la CNIL considère que l'article 1er du projet d'arrêté devrait préciser ce champ, s'agissant notamment des infractions recouvertes par le terme de "prohibitions", en visant les dispositions correspondantes du code des douanes. Elle prend acte de l'engagement du ministère de modifier l'arrêté en ce sens. B. Sur l'articulation des traitements E-manifeste et ICS2 E-manifeste sera déployé en parallèle du système européen "ICS2", dont l'une des finalités est "l'analyse de risque par les autorités douanières des États membres, principalement à des fins de sécurité et de sûreté et dans l'optique de mesures douanières visant à atténuer les risques pertinents, y compris les contrôles douaniers" (règlement d'exécution (UE) 2025/512 de la commission du 13 mars 2025, art. 42). La CNIL observe qu'E-manifeste et ICS2 présentent des finalités similaires, et sont tous deux utilisés par les services de la DGDDI dans le cadre de la recherche d'infractions dans le secteur du transport maritime. Selon les précisions apportées par le ministère, ces deux traitements portent sur les données relatives aux marchandises transportées. Néanmoins, si les analyses réalisées par ICS2 s'appuient sur des données prévisionnelles transmises peu de temps avant l'entrée des marchandises dans le territoire de l'Union européenne, E-manifeste s'appuie sur les documents contractuels et logistiques de chaque conteneur tout au long de son trajet et constitue un outil unique de collecte et d'exploitation des données contenues dans les manifestes. Il en résulte qu'E-manifeste se fonde sur des données différentes, plus fiables et disponibles sans délai. Enfin, E-manifeste constitue un traitement déployé au seul niveau national qui se limite au transport maritime, alors qu'ICS2, qui est déployé au niveau européen, concerne l'ensemble des modes de transport commerciaux. La CNIL prend acte qu'E-manifeste sera déployé en parallèle d'ICS2 et utilisé de manière complémentaire. C. Sur les catégories de données traitées L'article 2 du projet d'arrêté énumère les catégories de données à caractère personnel pouvant être enregistrées dans le traitement. A titre liminaire, la CNIL observe qu'E-manifeste portera sur périmètre et un nombre de données à caractère personnel limité. En premier lieu, le projet d'arrêté prévoit le traitement de "données d'identification" des agents du fret (prestataires de services qui agissent comme mandataires pour un transporteur maritime, et détiennent notamment le pouvoir de négocier les contrats de transport, encaisser les frets, émettre et signer les connaissements correspondants) et des agents des douanes. Or la notion de "donnée d'identification" est susceptible de faire l'objet d'une interprétation large et, ainsi, de couvrir de nombreuses catégories de données (v. par ex. CNIL, SP, 10 novembre 2022, avis sur projet d'arrêté, traitements de gestion des traces, n° 2022-110, publié). A cet égard, il ressort des précisions apportées par le ministère que seuls les nom, prénom et SIRET pourront être traités au titre des "données d'identification". Dès lors, la CNIL considère que l'arrêté devrait être précisé en ce sens - ce à quoi s'est engagé le ministère. En second lieu, le projet d'arrêté prévoit le traitement d'"autres données (contrat de transport et données relatives aux marchandises)". S'agissant en particulier des informations susceptibles d'être contenues dans les contrats de transport, la CNIL reconnait la difficulté d'anticiper et de fixer, au niveau de l'arrêté, une typologie précise des données susceptibles d'être traitées. En outre, elle prend acte de ce qu'au regard de la nature des documents collectés, le traitement de données à caractère personnel sera exceptionnel. Il apparait néanmoins que les noms des dirigeants de sociétés de transport, tels qu'inscrits sur les manifestes et qui en seront le cas échéant extraits, feront inévitablement l'objet d'un traitement. Au regard de ces éléments, il conviendra de préciser l'arrêté en ajoutant cette catégorie de personnes concernées par le traitement de ses données d'identification. La CNIL prend acte de l'engagement du ministère de modifier l'arrêté en ce sens. D.Sur les durées de conservation L'article 3 du projet d'arrêté prévoit la conservation pendant 5 ans, à compter de leur transmission aux services de la DGDDI, des données concernant les agents du fret maritime. Selon les précisions apportées, cette durée vise à permettre l'évaluation de la fréquence, la constance, la récurrence et la saisonnalité des opérations d'importation et d'exportation. Elle a été définie à la lumière d'expériences passées, afin d'atteindre les finalités du traitement par, notamment, l'identification dans le temps de flux irréguliers de marchandises. Compte-tenu de ces éléments d'une part, et de la nature des informations pouvant être enregistrées dans le traitement d'autre part, cette durée de conservation des données apparait proportionnée pour atteindre les finalités d'E-manifeste. E. Sur l'information des personnes L'article 6 du projet d'arrêté prévoit une information générale du public sur le site web de l'administration douanière. La CNIL relève qu'E-manifeste ne reposera pas sur un téléservice et qu'il est de ce fait difficile de mettre en place une information individuelle des agents du fret. Il conviendra dès lors de publier les éléments d'information requis en application de l'article 104 de la loi "informatique et libertés" sur une page dédiée au traitement, accessible à partir de la rubrique "données personnelles" du site web des douanes. Les agents des douanes - dont les données sont traitées dans le cadre de leur activité professionnelle - devront également être informés du traitement de leurs données. La CNIL prend acte de ce qu'une fiche d'information sera publiée sur l'intranet douanier. La présidente, M.-L. Denis