Les entreprises ne sont pas les seules prises en faute par la CNIL pour avoir constituées des fichiers illégaux recensant des données personnelles. Le ministère de l'Economie et plus exactement les Douanes ont été prises la main dans le sac à la suite d'un signalement relatif à son système d'information du renseignement des navires et équipages (SIRENE). Destiné à recenser toutes les personnes contrôlées en mer ou à quai par les douanes afin de lutter contre la fraude, ce système a en fait été élaboré et mis en production alors que, selon la Cnil, il ne repose sur aucun texte légal et n'est pas conforme à la loi sur plusieurs points.

Le contrôle a été effectué sur le service garde-côtes des douanes Manche-Mer du Nord-Atlantique et des vérifications ont permis de constater que le recours à ce système n'était pas conforme à la loi Informatique et Libertés. Ce SI recense en effet des informations sur les navires contrôlés ainsi que leurs passagers, incluant des données personnelles dont l'état civil, l'adresse, la profession et des copies d'identités ainsi que des mentions d'infractions pénales (trafic de drogue, contrefaçon, travail dissimulé, refus d'obtempérer, agressions sexuelles, détention d'armes prohibées, homicide volontaire ou assassinat).

6 mois pour se mettre en conformité avant sanction éventuelle

En tout, 45 793 personnes - dont 392 mineurs - sont intégrées à SIRENE. « La création et l’utilisation du fichier SIRENE ne sont prévues par aucun texte (par exemple une loi ou un décret). De plus, la Cnil n’a pas été saisie d’une demande d’avis concernant sa mise en place, en violation de la loi Informatique et Libertés (articles 87 et 89) », explique la commission. D'autres griefs ont également été retenus contre le ministère de l'Economie comme l'absence d'envoi d'une analyse d'impact relative à la protection des données personnelles, le manque de distinction claire entre les données des différentes catégories de personnes concernées. Ou encore le fait que ces dernières n'ont pas été mises au courant que leurs données sont ainsi intégrées.

Suite à cette mise en demeure de la Cnil qui a souhaité rendre sa décision publique compte-tenu de la nature de l'infraction, le ministère de l'Economie a 6 mois pour se mettre en conformité. Le cas échéant, une sanction pourra être alors prononcée par la formation restreinte de la commission.