Confidentialité des données maritimes : RGPD, Schrems II et la charge de conformité de l'armateur

Dans le shipping, la conformité aux règles de protection des données est encore souvent traitée comme une formalité de back-office, une page du système de gestion de la sécurité signée une fois par an. C'est un postulat de plus en plus difficile à défendre. Un navire commercial moderne est un émetteur continu de données : les dossiers d'équipage rejoignent les agents de manning, les dossiers médicaux les autorités sanitaires portuaires, les identifiants biométriques les systèmes d'immigration, la télémétrie les motoristes, les routes ECDIS les affréteurs, et la vidéosurveillance dort sur un enregistreur que personne n'a documenté. Chacun de ces flux constitue un traitement de données personnelles au sens du Règlement UE 2016/679 (RGPD), et la plupart franchissent au moins une frontière avant midi.

Cet article s'adresse aux personnes qui portent réellement le sujet chez un armateur : le délégué à la protection des données (DPO), le RSSI, le fleet manager qui signe les contrats et le service juridique interne qui les revoit. L'objectif n'est pas de répéter le texte du RGPD, mais de le projeter sur la réalité opérationnelle du shipping commercial en 2026, où l'arrêt Schrems II, les nouvelles clauses contractuelles types, le règlement européen sur les données et un nombre croissant de dérogations nationales ont rendu le terrain juridique plus exigeant qu'il y a cinq ans.

Quelles données circulent réellement dans une opération maritime commerciale

Avant toute analyse juridique, il est utile d'inventorier ce qui est effectivement traité sur une ligne régulière, un ferry ou un tramper typique. La liste est plus longue que la plupart des armateurs ne le prévoient.

• Données administratives d'équipage : nom complet, date de naissance, nationalité, numéros de passeport et de livret de marin, personne à prévenir, IBAN, résidence fiscale, conditions contractuelles.
• Données de catégories particulières au sens de l'article 9 du RGPD : visites médicales d'aptitude, vaccinations, résultats de tests de stupéfiants et d'alcool, restrictions alimentaires révélant la religion, appartenance syndicale lorsque s'applique la négociation collective au titre de la MLC 2006.
• Données biométriques : photographies du visage et empreintes pour les cartes d'identification du marin, le contrôle d'accès ISPS et, de plus en plus, les bornes d'immigration portuaire.
• Données d'affréteurs et de chargeurs : coordonnées, bénéficiaires effectifs collectés pour le criblage sanctions, manifestes pouvant identifier des destinataires nommés.
• Données de passagers pour les opérateurs de ferry : API et PNR au titre des Directives UE 2004/82 et UE 2016/681, plus l'historique d'achat à bord.
• Télémétrie opérationnelle qui devient donnée personnelle : enregistrements audio VDR, CCTV, audio de passerelle, capteurs de fatigue, journaux de gestion machine rattachables à un officier de quart identifiable.

La question décisive pour chaque flux est de savoir si l'armateur agit en qualité de responsable du traitement ou de sous-traitant. Un armateur exploitant sa propre plateforme de crewing est responsable des données d'équipage. Un opérateur de ferry transmettant des données API à une autorité frontalière étrangère est un responsable transférant à un autre responsable. Un armateur de marchandises utilisant une plateforme de maintenance tierce capable de lire de la télémétrie associée à des officiers nommés est responsable assisté d'un sous-traitant, et a besoin d'un accord au titre de l'article 28. Ces distinctions ne sont pas académiques : elles déterminent qui répond à la personne concernée, qui notifie la CNIL et qui paie l'amende.

Le problème des catégories particulières

Les dossiers d'équipage sont inhabituellement riches en données de l'article 9. Les visites médicales préalables à l'embarquement sont obligatoires en vertu de la STCW et de la norme A1.2 de la MLC 2006. Les vaccinations sont exigées sur de nombreuses routes. Les tests de stupéfiants et d'alcool sont contractuels sous la plupart des pavillons. Les préférences alimentaires d'origine religieuse et la composition familiale figurent en routine sur les manifestes catering et les fiches personne à prévenir. Les identifiants biométriques, autrefois une curiosité, sont aujourd'hui standard dans tout port ayant numérisé l'immigration.

Sous le RGPD, le principe est l'interdiction du traitement de ces catégories, sauf à invoquer une base spécifique de l'article 9, paragraphe 2. Les bases les plus pertinentes pour le shipping sont le consentement explicite (point a, rarement défendable en contexte d'emploi en raison du déséquilibre), les obligations en matière de droit du travail et de sécurité sociale (point b), la sauvegarde d'intérêts vitaux (point c), l'intérêt public important fondé sur le droit d'un État membre (point g) et la médecine préventive du travail (point h). La plupart des opérateurs s'appuieront sur le point b pour les visites et la biométrie liée à l'ISPS, mais cette base ne tient que si l'obligation sous-jacente est ancrée dans le droit de l'Union ou national et si le traitement est proportionné. La documentation compte : l'analyse d'impact relative à la protection des données, prévue à l'article 35, n'est pas optionnelle pour le suivi systématique des marins ni pour l'identification biométrique, et plusieurs autorités de contrôle, dont la CNIL, l'ont rappelé explicitement.

Transferts hors UE : pavillon, escale, affréteur

Un seul voyage peut faire passer le même dossier de marin à travers cinq juridictions en une semaine. Le marin est embauché par une agence aux Philippines, employé par une single-ship maltaise, embarqué sur un navire battant pavillon libérien, en escale dans un port français et affrété à une contrepartie basée à Singapour. Chaque segment peut constituer un transfert au sens du chapitre V.

L'architecture applicable est celle des articles 44 à 49 du RGPD. Un transfert vers un pays couvert par une décision d'adéquation (Royaume-Uni, Suisse, Japon, Corée du Sud, EU-US Data Privacy Framework tant qu'il est en vigueur) ne nécessite pas d'instrument supplémentaire. Un transfert vers tout autre pays nécessite une garantie au titre de l'article 46, en pratique les clauses contractuelles types de 2021 (décision d'exécution UE 2021/914), complétées si nécessaire par des mesures techniques et organisationnelles supplémentaires. Les dérogations de l'article 49 existent mais s'interprètent strictement et ne peuvent être utilisées de manière systématique.

La difficulté opérationnelle propre au shipping est que la chaîne contractuelle correspond rarement à la chaîne des données. La charte-partie peut être régie par le droit anglais, le contrat d'engagement par le droit philippin, l'administration du pavillon peut tenir son propre registre des marins et l'État du port peut imposer la communication au titre de sa propre loi sur l'immigration. L'armateur doit connaître, documenter et justifier chaque transfert séparément.

Schrems II appliqué au shipping

L'arrêt de la Cour de justice Data Protection Commissioner contre Facebook Ireland et Maximillian Schrems (affaire C-311/18, 16 juillet 2020) n'a pas perdu sa pertinence du fait du EU-US Data Privacy Framework. Le raisonnement s'applique chaque fois que les données quittent l'Espace économique européen, et les Recommandations 01/2020 du CEPD sur les mesures supplémentaires demeurent la feuille de route. Pour un armateur, les implications pratiques sont concrètes.

• Les analyses d'impact des transferts sont requises vers les destinations non adéquates. L'analyse doit examiner le droit du pays destinataire, y compris le régime d'accès des autorités, et pas seulement les CCT contractuelles.
• Les mesures supplémentaires typiques sont le chiffrement avec des clés conservées dans l'EEE, la pseudonymisation, des architectures à traitement scindé et des engagements contractuels à contester les demandes d'accès.
• Les sous-traitants ultérieurs comptent autant que les sous-traitants directs. Une plateforme de crewing hébergée à Francfort qui s'appuie sur un prestataire de support américain avec accès distant exporte, en substance, les données.

Rien de tout cela n'est propre au shipping, mais le caractère multinational des équipages et la présence routinière d'affréteurs hors EEE rendent l'analyse plus fréquente et moins évitable que dans bien d'autres secteurs.

Pourquoi la résidence européenne des données compte concrètement

Résidence des données et protection des données ne sont pas la même chose, et l'hébergement européen seul ne règle pas un problème Schrems II si une maison mère hors EEE peut être contrainte de produire les données. Mais la résidence dans l'Union demeure une première ligne de défense pertinente pour les opérateurs européens. Elle réduit la surface des transferts, simplifie les TIA et s'aligne sur les attentes des autorités de contrôle, de la CNIL française à l'AEPD espagnole, en passant par le Garante italien et l'Autoriteit Persoonsgegevens néerlandaise, lesquelles ont publié des lignes directrices favorisant un traitement dans l'EEE pour les données d'emploi sensibles.

Le règlement européen sur les données, applicable depuis le 12 septembre 2025, ajoute une autre dimension. Il confère aux utilisateurs de produits connectés, y compris les actifs industriels, des droits d'accès et de portabilité sur les données qu'ils génèrent. Pour les armateurs, cela signifie un levier plus net sur les données de moteur et d'équipement détenues par les fabricants, mais aussi des obligations lorsque l'armateur lui-même conserve des données pour le compte de tiers. Une infrastructure européenne simplifie la mise en œuvre de ces droits.

L'impôt de la fragmentation

La plupart des armateurs avec lesquels nous échangeons exploitent entre quatre et huit systèmes numériques distincts touchant à des données personnelles : une plateforme de crewing ou RH, un planned maintenance, un portail achats, un outil de port call, un voyage performance, parfois une paie séparée et parfois une plateforme médicale séparée. Pris isolément, ils sont gérables. Ensemble, ils produisent ce que nous appelons l'impôt de la fragmentation.

• Cinq fournisseurs signifient cinq accords de sous-traitance, chacun avec sa liste de sous-traitants ultérieurs, sa clause de notification de violation et son droit d'audit.
• Cinq listes de sous-traitants ultérieurs à surveiller. Beaucoup d'armateurs découvrent seulement après un incident qu'un sous-traitant a changé de région cloud six mois plus tôt.
• Cinq chaînes de notification de violation. L'article 33 oblige le responsable à notifier l'autorité dans les soixante-douze heures. Si le sous-traitant met quarante-huit heures à vous prévenir, il vous reste vingt-quatre.
• Cinq jeux de journaux d'accès à concilier lorsqu'une personne concernée exerce un droit des articles 15 à 22.
• Cinq socles de sécurité différents, souvent sans base de preuve comparable. ISO 27001 chez l'un, SOC 2 chez l'autre, une autodéclaration non auditée chez le troisième.

L'impôt de la fragmentation ne se paie pas en amendes. Il se paie en heures de DPO, en honoraires juridiques, en projets retardés et dans l'érosion lente de la certitude que l'armateur sait vraiment où vivent les données de son équipage.

Une checklist pratique pour les armateurs

Voici à quoi ressemble un programme crédible en 2026. Aucune de ces étapes n'est facultative au regard du RGPD, mais la profondeur des preuves attendues croît avec la sensibilité des données et la taille de l'opération.

1. Tenir un registre des activités complet au titre de l'article 30, avec chaque flux d'équipage, d'affréteurs et de télémétrie listé, base juridique identifiée, durée de conservation fixée et destinataires nommés. Le mettre à jour à chaque nouveau fournisseur.
2. Conduire une AIPD pour tout suivi systématique des marins, traitement biométrique, fatigue tracking ou traitement à grande échelle de catégories particulières. Saisir l'autorité de contrôle si le risque résiduel est élevé.
3. Réaliser des TIA pour chaque destination non adéquate, sous-traitants ultérieurs compris. Conserver l'analyse.
4. Négocier des contrats de l'article 28 alignés sur la réalité. Exiger un hébergement dans l'EEE pour les données sensibles, un chiffrement avec des clés sous contrôle de l'armateur, une procédure claire de changement de sous-traitants ultérieurs avec droit d'opposition et une notification de violation à vingt-quatre heures plutôt qu'au plafond réglementaire.
5. Documenter la base juridique de chaque traitement de l'article 9 et la norme nationale qui la fonde. Les renvois génériques au point b ne suffisent pas.
6. Construire une seule notice d'information du marin couvrant tout le cycle de vie, du recrutement au rapatriement, dans une langue comprise par le marin, et la revoir à chaque renouvellement de contrat.
7. Maintenir le registre des sous-traitants ultérieurs en temps réel, et non annuel. S'abonner aux notifications de changement et automatiser la comparaison lorsque c'est possible.
8. Tester son playbook de violation. Un exercice tabletop par an, avec les sous-traitants dans la salle, fait remonter les problèmes de calendrier avant un incident réel.
9. Consolider quand on peut. Chaque fournisseur en moins, c'est un DPA en moins, une liste de sous-traitants en moins, une chaîne de notification en moins. Consolider n'est pas une décision d'achats, c'est une décision de privacy.

À quoi ressemble une bonne posture

Un armateur qui maîtrise son programme de privacy peut répondre par écrit à quatre questions, en moins d'une journée de travail, sans panique. Où vivent chaque catégorie de données d'équipage, d'affréteurs et de télémétrie, et sous le contrôle de qui. Quelle est la base juridique de chaque traitement et quelle norme d'un État membre ou d'un pays tiers la soutient. Quels transferts quittent l'EEE, sous quelle garantie et avec quelle TIA à l'appui. Comment une violation serait détectée, contenue, communiquée à l'autorité dans les soixante-douze heures et aux marins concernés sans retard injustifié.

Si ces quatre réponses sont propres, le reste de la machinerie RGPD, des demandes des personnes concernées au registre des activités, tend à s'agencer. Si elles ne le sont pas, aucune masse de documentation de politique ne remplacera l'architecture de données sous-jacente.

L'approche de SupaMaritime

SupaMaritime est conçue pour les opérateurs commerciaux européens qui veulent moins de fournisseurs, une infrastructure résidente dans l'UE et une posture de privacy unique sur l'ensemble de l'opération. Les modules couvrent les flux ferry, mercantile et agent portuaire sur un modèle de données partagé, ce qui supprime la plupart des flux inter-systèmes qui alimentent l'impôt de la fragmentation. L'hébergement et le traitement primaire se font dans l'EEE, les clés de chiffrement sont contrôlables par l'armateur et les changements de sous-traitants ultérieurs sont notifiés, non enfouis dans une note. Notre posture de sécurité et de confiance est publiée sur /fr/security, l'aperçu de l'architecture modulaire sur /fr/modules, et les flux dédiés sur /fr/ferry, /fr/merchant et /fr/agent. Rien de tout cela ne remplace un DPO compétent, mais cela rend son travail traitable plutôt qu'héroïque.