La Commission nationale de l'informatique et des libertés,
Vu la convention no 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement
automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection
des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces
données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi
no 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitement de
données à caractère personnel, et notamment son article 26-1 (2°) ;
Vu le code rural et de la pêche maritime, notamment son livre IX ;
Vu le décret no 2005-1309 du 20 octobre 2005 pris pour l'application de la loi no 78-17 du 6 janvier 1978
relative à l'informatique, aux fichiers et aux libertés, modifié par le décret no 2007-451 du 25 mars 2007 ;
Après avoir entendu M. Claude Domeizel, commissaire, en son rapport, et Mme Elisabeth Rolin,
commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministère de l'agriculture, de l'alimentation, de la pêche, de la ruralité et
de l'aménagement du territoire (MAAPRAT) d'une demande d'avis portant sur la création d'un registre
national des infractions à la politique commune de la pêche (RNIP).
La création du RNIP est prévue par l'article 93 du règlement (CE) 1221/2009 du Conseil du
20 novembre 2009 instituant un régime communautaire de contrôle afin d'assurer le respect des règles de la
politique commune de la pêche.
L'objet de ce registre est de recenser l'ensemble des infractions aux règles de la politique commune de la
pêche commises par des navires battant pavillon français ou par des ressortissants français ainsi que les
sanctions qui leur sont infligées. Il doit permettre l'instruction des demandes de licence de pêche et le suivi du
système de points de pénalité pour les infractions graves prévu à l'article 92 du règlement précité.
Ce registre doit également permettre l'exploitation des données à des fins de recherches statistiques.
Sur les données collectées :
Les données enregistrées sont les suivantes :
identité (nom, nom marital, nom d'emprunt officiel, prénoms, sexe) ;
date et lieu de naissance ;
nationalité ; adresse(s) ;
profession(s) ;
nom, numéro d'immatriculation et pavillon du navire ;
titre de navigation permettant l'exercice du commandement du navire ;
nature, date de l'infraction et suite donnée ;
points de pénalité attribués.
Sur les destinataires des données :
Sont destinataires des données du traitement les personnels habilités :
de la direction des pêches maritimes et de l'aquaculture (DPMA) ;
des directions interrégionales de la mer (DIRM) et du Centre national de surveillance des pêches (CNSP) ;
des directions de la mer (DM) ;
des directions départementales interministérielles (DDI) ;
des directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi
(DIRECCTE) ;
les présidents des juridictions de jugement ;
les juges de la liberté et de la détention ;
les magistrats instructeurs ;
les magistrats du parquet.
Sur la durée de conservation des données :
Les données sont conservées pendant un délai de cinq ans à compter de la date de la dernière décision
judiciaire ou administrative ou, à défaut, de la constatation des faits.
Sur l'information et les droits des personnes :
La commission rappelle qu'il appartient au responsable de traitement, conformément à l'article 32 de la loi
du 6 janvier 1978 modifiée, d'informer les personnes concernées préalablement à la mise en oeuvre du
traitement :
de l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ;
de la finalité poursuivie par le traitement auquel les données sont destinées ;
des destinataires ou catégories de destinataires des données, et notamment, en l'espèce, les organisations
interprofessionnelles ;
de l'existence des droits d'accès, de rectification et d'opposition.
Interrogé sur les modalités d'information des personnes concernées, le ministère a indiqué que ces dernières
sont informées de la façon suivante :
pour les sanctions administratives : via le courrier de notification de la sanction ;
pour les sanctions judiciaires : via le procès-verbal établi lors du contrôle donnant lieu à sanction.
Le droit d'accès prévu à l'article 39 de la loi du 6 janvier 1978 modifiée s'exerce auprès de la direction des
pêches maritimes et de l'aquaculture (DPMA).
Le droit d'opposition prévu à l'article 38 de ladite loi ne s'applique pas au présent traitement.
Sur les sécurités :
La commission prend acte de la décision du ministère de mettre en place un système de journalisation des
opérations de consultation et de modification du fichier.
Concernant les finalités statistiques du traitement, la commission recommande de mettre en place des
mesures techniques permettant de garantir le caractère anonyme des données traitées (utilisation d'algorithmes
de hachage recommandés par l'ANSSI...).
La commission relève que la complexité des mots de passe que le ministère prévoit d'utiliser ne suit pas ses
recommandations, elle demande donc au ministère de se conformer à ses recommandations.
Enfin, elle constate que si l'arrêté prévoit la possibilité de transmettre des données aux autorités compétentes
des autres pays de l'Union européenne, le ministère n'a apporté aucune précision sur les modalités techniques
de cette transmission. La commission rappelle donc que ces transmissions de données doivent être faites de
façon chiffrée, afin de garantir la confidentialité des données échangées.
Pour la présidente et par délégation :
Le vice-président délégué,
EMANNUEL DE GIVRY