| Date de l'avis : 20 juillet 2023 | N° de la délibération : 2023-073 | |:-----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------|:--------------------------------------------------------------------------| | N° de demande d'avis : 22012948 | Texte concerné : projet de décret | | Thématiques : tabac ; lutte contre la fraude ; habilitation |Fondement de la saisine : article 31-I de la loi du 6 janvier 1978 modifiée| |L'essentiel :
1. Le projet décret fixe les modalités d'habilitation des agents de la direction générale des douanes et droits indirects (DGDDI) pour l'accès au dispositif européen en matière de traçabilité et la sécurité des produits du tabac.
2. Le projet de décret intervient dans le champ de la répression des fraudes d'opérateurs économiques. Il comporte un nombre limité de données à caractère personnel et n'appelle pas d'observations substantielles.| |

La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie, des finances et de la souveraineté industrielle et numérique d'une demande d'avis concernant un projet de décret fixant les modalités d'accès aux données mentionnées à l'article L. 3512-24 du code de la santé publique par les agents des douanes, en application de l'article L. 80 N du livre des procédures fiscales ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, ci-après la loi « informatique et libertés », notamment ses articles 89-I et 31-I ;
Sur la proposition de M. Philippe Pierre CABOURDIN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement.

I. - La saisine
A. - Contexte

Un dispositif européen de contrôle de la traçabilité des produits du tabac est prévu par la directive 2014/40/UE et le règlement d'exécution (UE) 2018/574 du 15 décembre 2017. Ce dispositif permet de tracer les produits du tabac, de la fabrication jusqu'au point de vente en détail, via un identifiant unique qui est attribué à chaque produit. Les informations relatives aux mouvements de ces produits et aux opérations les concernant sont enregistrées dans un système d'entrepôts de stockage. Ce dispositif est mis en place à l'échelle européenne. Il consiste en une articulation d'entrepôts de données, à l'initiative obligatoire des importateurs et des fabricants, alimentant un entrepôt tiers, géré par un fournisseur désigné par la Commission européenne, lequel permet de répliquer l'ensemble des données en un lieu.
Ce système est composé :

- d'entrepôts primaires, garantissant l'hébergement des données relatives aux fabricants et aux importateurs ;
- d'un entrepôt secondaire, contenant une copie des données stockées dans les entrepôts primaires.

Le contrôle de la traçabilité des produits du tabac est réalisé par la consultation de l'entrepôt secondaire. L'entrepôt est géré par un fournisseur désigné par la Commission européenne. Son accès est ouvert à chaque autorité compétente des États membres, à savoir, pour la France, la DGDDI.
Les contrôles ainsi réalisés permettront de détecter et sanctionner les infractions relatives à la fabrication, la détention, la vente et le transport illicites de tabac mais également les infractions relatives à l'importation, la vente et la distribution des produits du tabac, et, enfin, de sanctionner la fraude aux autres exigences prévues par les textes.

B. - Objet de la saisine

Le projet de décret a pour objet de fixer les modalités suivant lesquelles les agents habilités de la DGDDI peuvent accéder aux données à caractère personnel issues du traitement prévu par l'article L. 3512-24 du code de la santé publique (CSP). Il s'agit d'un traitement automatisé de contrôle des identifiants de la traçabilité des produits du tabac dont la création est prévue par un projet d'arrêté soumis concomitamment pour avis à la Commission.
Le projet de décret participe à l'organisation du contrôle des identifiants attachés aux produits du tabac. Il encadre l'accès aux données contenues dans l'entrepôt secondaire par les agents des douanes habilités à des fins de recherche et de constatation des infractions prévues par le code général des impôts, le code des douanes et le code de la santé publique en ses articles L. 3512-24 à L. 3512-25.

II. - L'avis de la CNIL
A. - Sur la qualité de l'agent ayant accès aux données de l'entrepôt secondaire

Le projet de décret limite l'accès aux données contenues dans l'entrepôt secondaire en prévoyant que seuls les agents des douanes habilités pourront y accéder.
L'accès à ces données sera supervisé par un administrateur national, agent des douanes de catégorie A désigné par le ministre chargé des douanes dans les conditions prévues au k de l'article 25 du règlement d'exécution (UE) 2018/574 de la Commission du 15 décembre 2017.
L'administrateur national sera notamment compétent pour habiliter les agents des douanes à se connecter aux interfaces, standard ou avancée, afin d'accéder à distance aux données de l'entrepôt secondaire de stockage des données de traçabilité. A cet égard, l'interface de consultation standard permet la consultation, l'extraction et la mise en place d'alerte automatique. L'interface avancée permet l'accès à des fonctions supplémentaires que sont la création de listes, l'établissement de statistiques, la comparaison d'identifiants et d'informations ainsi que leur recoupement. L'administrateur national peut créer, gérer et retirer les droits d'accès utilisateurs. Il peut également déléguer certaines tâches telles que le suivi des habilitations ainsi que l'habilitation des utilisateurs pour la seule interface standard. Cette dernière délégation peut se faire au bénéfice d'administrateurs techniques, qui sont des agents des douanes de catégorie A désignés par les directeurs régionaux des douanes et droits indirects ou les chefs de service à compétence nationale de la DGDDI.
Les catégories d'agents susceptibles d'être habilités est définie dans leur principe par l'article L. 80 N du Livre des procédures fiscales (LPF).
Aucune précision n'a été apportée quant :

- aux critères sur lesquels se fondera l'administrateur national pour habiliter les agents des douanes à accéder aux données ;
- à la qualité justifiant l'accès d'un agent à l'interface avancée ;
- à la limite en nombre de ces habilitations ;
- à la restriction explicite des accès aux seuls agents ayant une mission en phase avec les finalités du traitement.

Par conséquent, la CNIL invite le ministère à préciser ces points ainsi qu'à détailler les possibilités d'usage de l'interface avancée au regard des recoupements de données qu'elle permet.

B. - Sur la sécurité des données de l'entrepôt secondaire

L'article 1 du projet de décret indique que seuls les agents habilités peuvent accéder aux données et l'article 2 prévoit que « les agents des douanes visés au I de l'article L. 80 N du LPF accèdent aux informations mentionnées aux I et III de l'article L. 3512-24 du CSP à l'aide des outils mis à leur disposition par la Commission européenne, après authentification sécurisée ».
A cette présentation succincte des accédants, le ministère a indiqué apporter des précisions quant aux mesures de sécurité encadrant l'accès aux données de l'entrepôt secondaire dans l'arrêté de création du traitement soumis concomitamment. La CNIL constate que ces informations ne figurent pas dans l'arrêté en question et rappelle la nécessité de les définir dans l'un au moins de ces deux textes se rapportant à ce traitement.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.