La commission a été saisie par le ministère de l'économie et des finances d'un projet d'arrêté relatif à la création à la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) d'un téléservice comportant un traitement de données à caractère personnel dénommé « Téléprocédure pour l'exportation de fruits et légumes ». Cette téléprocédure est composée de deux modules, le premier accessible par internet aux professionnels, le second accessible exclusivement aux agents de la DGCCRF sur son réseau interne.
Ce traitement, qui permet aux opérateurs effectuant des opérations d'exportation d'envoyer des notifications et de se voir délivrer, sous certaines conditions, un certificat de conformité, s'intègre dans le cadre des contrôles visant à s'assurer que les fruits et légumes frais exportés sont conformes aux normes de commercialisation.
Dans la mesure où le premier module constitue un téléservice de l'administration électronique mis à la disposition des usagers, le traitement envisagé doit être autorisé par arrêté ministériel pris après avis motivé et publié de la commission en application des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée.

Sur la finalité du traitement

La DGCCRF est l'unique service de contrôle désigné au niveau national pour assurer le contrôle des normes de commercialisation de la filière « fruits et légumes » en a application du règlement d'exécution 543/2011 du 7 juin 2011 portant modalités d'application du règlement (CE) n° 1234/2007 du Conseil en ce qui concerne les lecteurs des fruits et légumes et des fruits et légumes transformés.
A ce titre, la DGCCRF désire mettre en œuvre une téléprocédure, dont le premier module a pour but d'intégrer les notifications d'exportations de fruits et légumes normalisés déposées par les opérateurs fruits et légumes « exportateurs de fruits et légumes » et le second module de produire les certificats administratifs pour l'exportation de fruits et légumes.
Dans ce cadre, la DGCCRF a pour mission de conduire une procédure de vérification et de contrôle visant à s'assurer que les exportations des fruits et de légumes frais vers les pays tiers sont conformes aux normes de commercialisation.
Le traitement a donc une double finalité de gestion des notifications et de délivrance de certificats, d'une part, et de contrôle, d'autre part.
Au regard de ces éléments, la commission considère que la finalité assignée au traitement est déterminée, explicite et légitime, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.

Sur les modalités de fonctionnement du téléservice

Le premier module dénommé « TELEXPORT » est accessible par internet sur le site de la DGCCRF et est destiné aux professionnels « exportateurs de fruits et légumes » vers les pays tiers, pour leur propre compte ou en tant que transitaires.
Ce module leur permettra d'effectuer leurs formalités d'enregistrement d'une demande d'adhésion, de gérer des notifications d'exportation dématérialisée et de consulter des notifications et des certificats administratifs à l'exportation. Les fonctionnalités du traitement permettent en outre aux agents habilités de gérer les notifications, de rechercher et d'émettre des notifications et/ou certificats administratifs, d'effectuer des recherches sur tout adhérent et de radier un adhérent.
Alors que TELEXPORT a un rôle de « Front Office », le second module, dénommé « FELEX », est présenté comme le « Back Office » accessible exclusivement par le réseau interne de la DGCCRF et aux seuls agents exerçant des missions en matière de traitement des demandes de notification et de délivrance, sous conditions, des certificats de conformité. Il constitue donc l'intranet professionnel.
Ses principales fonctionnalités sont la gestion des demandes d'adhésion, l'enregistrement et la gestion des notifications à l'exportation de fruits et de légumes, l'émission de certificats administratifs dématérialisés et signés électroniquement ou l'impression de certificats papier complétés et remis à l'issue d'un contrôle physique des marchandises sur leur lieu de chargement et destiné aux organismes de contrôle.
En cas de conventionnement de l'opérateur, c'est-à-dire si l'opérateur bénéficie d'une procédure administrative qui lui octroie un assouplissement des contrôles à l'expédition et donc à la délivrance de certificats à l'exportation sans contrôle physique systématique, une interrogation de l'application SORA est réalisée par le module FELEX.
SORA contient les informations permettant de vérifier que la convention du télédéclarant est en cours de validité pour permettre au télédéclarant de bénéficier éventuellement d'un contrôle sur dossier au lieu d'un contrôle physique obligatoire.
Les données de ces deux modules peuvent être extraites aux fins d'établissement des statistiques et tableaux de bord.

Sur la nature des données traitées

L'article 3 du projet d'arrêté liste les données à caractère personnel qui seront traitées dans l'application projetée. Elles concernent l'identification des opérateurs de fruits et légumes, les éléments de notification de la déclaration d'exploitation et les certificats administratifs pour l'exportation de fruits et de légumes. Elles n'appellent pas d'observation particulière de la commission.

Sur la durée de conservation des données

L'article 4 du projet d'arrêté prévoit plusieurs durées de conservation :
― les données relatives aux opérateurs sont conservées tant que celui dispose d'un compte adhérent ;
― les données relatives aux éléments de notification de déclaration d'exportation et aux certificats administratifs pour l'exportation de fruits et légumes sont conservées durant une durée maximale de trois ans à partir de la date de délivrance du certificat.
La commission estime que ces durées de conservation sont conformes aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée. Elle prend acte que des mécanismes d'effacement automatique, seuls à même de garantir le respect des durées prévues, sont mis en œuvre par le ministère.

Sur les destinataires de données

Sont seuls habilités à accéder directement au traitement les agents de la DGCCRF, les agents habilités affectés dans les directions départementales de la protection des populations (DDPP), dans les directions départementales de la cohésion sociale et de la protection des populations (DDCSPP), dans les directions des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRECCTE), dans les directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRECCTE), en raison de leurs attributions respectives et en fonction de leur besoin d'en connaître.
Les agents des douanes sont destinataires, en raison de leurs fonctions, des informations contenues dans les certificats administratifs pour l'exportation de fruits et de légumes délivrés aux professionnels « exportateurs de fruits et légumes » qu'ils présentent lors des opérations de dédouanement.
Les certificats validés peuvent être consultés par les services douaniers en France par internet en entrant le numéro à douze chiffres du certificat afin de vérifier que le certificat papier présenté par l'opérateur est identique au numéro du certificat du dédouanement transmis par l'agent CCRF. Il s'agit donc de s'assurer de l'existence, de la validité et de la concordance du certificat de contrôle.
La commission considère que la liste des destinataires du traitement est appropriée au regard de la finalité du traitement poursuivi.

Sur les droits des personnes

Conformément aux dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée, les droits d'information, d'accès et de rectification s'exercent, pour les opérateurs de fruits et de légumes, auprès du service dont l'adresse est accessible depuis la page d'accueil de la téléprocédure et, pour les agents habilités, auprès des responsables hiérarchiques locaux.
Le droit d'opposition des personnes concernées ne s'applique pas au traitement projeté, conformément aux dispositions de l'article 38 de la loi du 6 janvier 1978 modifiée.

Sur la sécurité des données et la traçabilité des actions

La commission rappelle que ce dispositif étant un téléservice de l'administration, il appartient au ministère qui en a la charge d'attester de sa conformité au décret n° 2010-112 susvisé (référentiel général de sécurité) et de le mentionner sur le site.
L'attribution des profils (affectation ou retrait) se fait après sélection d'un ou des agents d'une unité (affectation administrative) par l'administrateur local. Seuls les agents fruits et légumes et les personnels de la DGCCRF individuellement désignés et dûment habilités en fonction de leurs attributions respectives et du besoin d'en connaître sont affichés.
L'accès sécurisé aux services est assuré par un mot de passe concernant les opérateurs de fruits et légumes adhérents à la téléprocédure et par une clé USB à chiffrement avec saisie d'un code PIN (type clé PKI) concernant les agents habilités de l'administration « FELEX ».
Les mots de passe concernant les opérateurs sont transmis par courriel et devront être modifiés par les usagers dès leur première connexion au service.
La commission observe en outre que les agents habilités disposent d'un certificat de signature agent présent dans leur clé USB à chiffrement lorsqu'ils doivent émettre des certificats administratifs signés électroniquement.
Une journalisation des accès est réalisée et l'article 3 du projet d'arrêté prévoit que les journaux applicatifs sont conservés pendant une durée maximale d'un an à compter de leur enregistrement.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.