| N° de demande d'avis : 23007637. | Textes concernés : code des douanes, livre des procédures fiscales. | |:---------------------------------------------------------------------------------------------------------|:-------------------------------------------------------------------------------------------------------------------------------------------------------------| |Thématiques : droit de communication, recherche de manquements et d'infractions, administration douanière.|Fondement de la saisine : a du 4° du I de l'article 8 de la loi du 6 janvier 1978 modifiée.|

L'essentiel :

1. La CNIL a été saisie pour avis par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique du décret fixant les conditions d'exercice du droit de communication mentionné à l'article 65 bis A du code des douanes. Les évolutions portent, en particulier, sur le ciblage de la demande de ce droit de communication, sur les agents habilités à exercer un tel droit ainsi que sur le mode de transmission des informations demandées et son niveau de sécurité ;
2. De manière générale, la CNIL considère le dispositif légitime et assorti de garanties ;
3. La CNIL rappelle que le droit de communication s'exerce toujours de manière ponctuelle et motivée afin de limiter les atteintes importantes qu'il est susceptible de porter à la vie privée des personnes ;
4. La CNIL recommande une vigilance particulière sur le ciblage des demandes de communication, notamment en utilisant, dans la mesure du possible, au moins deux des critères de recherche prévus par le décret. Il revient également à l'administration de préciser systématiquement dans la demande de communication les informations recherchées.

La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique d'une demande d'avis concernant un projet de décret fixant les conditions d'exercice du droit de communication mentionné à l'article 65 bis A du code des douanes ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Philippe-Pierre CABOURDIN, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :

I. - La saisine
A. - Le contexte

La lutte contre la fraude douanière est un objectif de valeur constitutionnelle qui légitime certaines actions du Gouvernement et de l'administration en faveur d'une détection efficiente des manquements et des infractions prévus par le code des douanes. Ces actions s'inscrivent dans la feuille de route gouvernementale de lutte contre toutes les fraudes aux finances publiques, présentée en juin 2023.
Le droit de communication s'entend de la faculté reconnue à l'administration de prendre connaissance et, au besoin, copie des informations, documents et données détenus par diverses personnes limitativement énumérées par la loi, aux fins de s'assurer de la sincérité des déclarations des contribuables et, le cas échéant, de déclencher un contrôle.
En vertu des articles 65 et suivants du code des douanes, un droit de communication spécifique à l'administration douanière est aménagé lui permettant d'exiger la communication des papiers et documents, de toute nature, relatifs aux opérations intéressant leur service, et ce quel qu'en soit le support. Ce droit s'exerce dans les lieux listés au 1° de l'article 65, notamment dans les gares de chemin de fer ou les compagnies de navigation aérienne ou maritime.
L'article 81 de la loi de finances pour 2023, créant l'article 65 bis A du code des douanes, a ouvert le champ d'application de l'article 65 précité. L'administration douanière a désormais la possibilité, pour l'établissement de l'assiette et le contrôle des impôts, droits et taxes relevant de la compétence de cette administration, et en vue de la recherche de la fraude, d'obtenir des « informations relatives à des personnes non identifiées ».

B. - L'objet de la saisine

La CNIL a été saisie pour avis, sur le fondement du a du 4° du I de l'article 8 de la loi du 6 janvier 1978 modifiée, par le ministère de l'économie, des finances et de la souveraineté industrielle et numérique, du projet de décret fixant les conditions d'exercice du droit de communication mentionné à l'article 65 bis A du code des douanes telles que prévues par cet article.
Le projet de décret :

- définit les agents habilités à exercer un tel droit de communication ;
- précise les éléments objectifs permettant de cibler la demande de communication formulée par l'administration ;
- détermine le mode de transmission des informations demandées et son niveau de sécurité ;
- fixe les délais de transmission et de conservation de ces informations.

II. - L'avis de la CNIL

A titre liminaire, la CNIL rappelle que le droit de communication prévu à l'article L. 81 du livre des procédures fiscales, dont les caractéristiques sont sensiblement similaires à celles du dispositif prévu aux articles 65 et suivants du code des douanes, s'exerce de manière ponctuelle et motivée afin de limiter les atteintes importantes qu'il est susceptible de porter à la vie privée des personnes. La CNIL considère que l'exercice du droit de communication prévu par l'article 65 bis A du code des douanes est régi par des principes équivalents.

A. - Sur les finalités du traitement et les services douaniers concernés

L'article 65 du code des douanes prévoit un droit de communication « des papiers et documents de toute nature relatifs aux opérations intéressant » les services des douanes. L'article 65 bis A prévoit que ce droit de communication peut porter sur des informations relatives à des personnes non identifiées, et ce seulement pour « l'établissement de l'assiette et le contrôle des impôts, droits et taxes relevant de la compétence de l'administration des douanes et des droits indirects et en vue de la recherche de la fraude ».
Le ministère confirme que la liste des organismes pouvant faire l'objet d'une telle demande de communication par les agents douaniers habilités est identique à celle de l'article 65 du code des douanes, de même que les papiers et documents pouvant être collectés.
Le ministère confirme que, comparé au périmètre de l'article 65, celui du droit de communication de l'article 65 bis A est restreint. A titre d'illustration, ce dernier ne peut être mis en œuvre pour les missions de recouvrement des droits, cotisations, impôts indirects, redevances et taxes de toute nature. Le ministère précise également que les services des douanes particulièrement concernés par ce droit seraient ceux pouvant réaliser des enquêtes ou chargés de collecter des renseignements au sein de l'administration douanière.
La CNIL prend acte du caractère restreint du périmètre dans lequel s'exerce le droit de communication de l'article 65 bis A du code des douanes. Elle invite cependant le ministère à préciser expressément, dans le décret d'application, les directions, les services ou les missions ponctuelles pour lesquels un tel droit est nécessaire.

B. - Sur le ciblage de la demande de communication

Le 2° de l'article 1er définit les éléments objectifs devant permettre de réaliser le ciblage nécessaire à cette demande de communication. Ces informations, cumulatives, sont :

- « La nature de la relation juridique ou économique existant entre la personne soumise au droit de communication et les personnes dont l'identification est demandée » (a) ;
- « La ou les informations demandées relatives aux personnes faisant l'objet de la recherche ; ces informations sont précisées par l'un au moins des critères de recherche suivants : - la situation géographique ; - le seuil pouvant être exprimé soit en quantité, nombre, fréquence ou montant financier ; - le mode de paiement. » (b) ;
- « La période, éventuellement fractionnée mais ne pouvant excéder vingt-quatre mois, sur laquelle porte la recherche » (c).

D'une part, la CNIL prend acte de ce qu'aucune base de données existante ne sera mobilisée pour le ciblage des demandes de communication. Elle rappelle qu'une demande de communication émanant de l'administration ne peut découler exclusivement d'une décision automatisée.
D'autre part, si la CNIL considère légitime la possibilité de fractionnement de la période sur laquelle porte la recherche, elle remarque que la limitation à vingt-quatre mois excède de six mois la disposition équivalente de l'article R.* 81-3 du livre des procédures fiscales en application du droit de communication de l'article L. 81 du même livre. Dans la mesure où ces dispositifs fonctionnent de manière similaire et en l'absence de justifications complémentaires, la CNIL invite le ministère à réduire à dix-huit mois la période totale sur laquelle porte la recherche.
Le b du 2° de l'article 1er du projet de décret prévoit que la ou les informations demandées relatives aux personnes faisant l'objet de la recherche sont précisées par l'un au moins des critères de recherche suivants : « - la situation géographique ; - le seuil pouvant être exprimé soit en quantité, nombre, fréquence ou montant financier ; - le mode de paiement. »
Si la CNIL reconnait l'intérêt ponctuel d'une demande de communication ne reposant que sur un seul de ces critères, elle invite l'administration à la plus grande vigilance quant au ciblage de telles demandes de communication. Elle prend acte de la déclaration de l'administration d'utiliser, en règle générale, au moins deux de ces critères, pratique à laquelle la CNIL est favorable.

C. - Sur les données collectées

Le ministère affirme qu'il ne serait pas possible de préciser, en amont et de manière exhaustive, les données ou les catégories de données à caractère personnel collectées au titre de l'exercice du droit de communication prévu à l'article 65 bis A du code des douanes.
En premier lieu, la CNIL considère qu'il revient à l'administration des douanes de préciser systématiquement, dans sa demande de communication auprès des organismes visés, les informations sur les personnes physiques ou morales qu'elle souhaite recueillir. À titre d'illustration, l'administration douanière devrait indiquer qu'elle recherche des données d'état civil pour les personnes physiques ou des numéros d'identification pour les personnes morales. En tout cas, la précision systématique des informations recherchées par l'administration douanière constitue une garantie essentielle du ciblage de la demande de communication et, a fortiori, de la proportionnalité du dispositif.
En deuxième lieu, la CNIL prend acte de ce que la collecte de données sensibles au sens de l'article 9 du RGPD n'est pas envisagée par l'administration douanière. Afin de prévenir tout risque de transmission de ce type de données, la CNIL recommande à l'administration de préciser systématiquement dans la demande de communication qu'elles ne doivent, en aucun cas, être transmises par les organismes.
En troisième lieu, il revient au ministère de s'assurer que les données transmises par les organismes faisant l'objet de la demande sont exactes. La CNIL invite le ministère à porter la plus grande attention à l'exactitude des données transmises et prend acte, pour les personnes physiques, de l'existence de recherches complémentaires pour éviter tout risque d'homonymie.
En dernier lieu, le ministère affirme qu'il ne serait pas toujours en capacité de préciser, a priori et de manière exhaustive, les catégories de personnes susceptibles de faire l'objet d'une telle recherche par l'administration douanière. La CNIL reconnait cette limite intrinsèque au droit de communication créé par le législateur et la considère donc légitime.

D. - Sur la conservation des données et les traitements afférents

Le 4° de l'article 1er prévoit :

- que l'administration fixe les délais dans lesquels lui sont communiquées les informations demandées ;
- que celles-ci sont conservées pendant un délai de trois ans à compter de leur réception à l'exception de celles conservées dans le cadre des procédures du livre IV du titre II du code des douanes.

Le ministère précise que les données issues de l'article 65 bis A du code des douanes « n'ont pas vocation à être enregistrées dans des fichiers douaniers ». La CNIL s'interroge sur les conditions de stockage des données à caractère personnel communiquées par les organismes interrogés. En tout état de cause, le ou les traitements recueillant ces données devront respecter les principes de la protection des données.
La CNIL recommande au ministère, quel que soit le régime juridique applicable aux traitements dans lesquels s'inscriront les données transmises, d'établir une distinction claire dans les bases de données concernées entre les différentes catégories de personnes. Il peut, à titre d'illustration, s'agir de différencier, d'une part, les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction et, d'autre part, les victimes ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction.

E. - Sur les droits des personnes concernées

Le ministère précise que, dans la mesure où ce projet de texte ne vise pas la création d'un traitement, et que l'information des personnes concernées contreviendrait aux objectifs de l'exercice du droit de communication de l'article 65 bis A du code des douanes, aucune politique d'information n'est envisagée.
La CNIL recommande, en application des principes de loyauté et de transparence des traitements, qu'une information générale soit mise en œuvre en ligne afin d'expliquer l'existence et les finalités poursuivies par un tel droit de communication. Une politique d'information pourrait également apparaître lorsque les organismes visés par ce droit recueillent, en premier lieu, les données à caractère personnel auprès de leurs usagers. Cette politique viserait à s'assurer que ces derniers ont conscience qu'une telle collecte de leurs données à caractère personnel par l'administration douanière est possible, sans qu'elle soit certaine.

F. - Sur la sécurité du dispositif de transmission

Le 3° de l'article 1er prévoit que les informations obtenues au titre d'un tel droit à la communication sont communiquées « sur un support informatique, par un dispositif sécurisé. »
En application du 6° de l'article 4 de la loi du 6 janvier 1978 modifiée, l'administration douanière devra s'assurer de la mise en œuvre de solutions permettant d'assurer le respect des règles générales de sécurité en termes de disponibilité, d'intégrité et de confidentialité tout en conservant les traces nécessaires à la détection et à l'historique de toute action, malveillante ou non, sur les données traitées.
La CNIL rappelle que les données à caractère personnel doivent être chiffrées à l'aide d'algorithmes réputés forts, aussi bien durant leur transfert qu'au repos.