L'essentiel :

1. Le projet de décret précise les conditions de mise en œuvre du dispositif autorisant l'administration douanière à accéder aux données des opérateurs de transport et prestataires de service postaux afin de faciliter la recherche et la prévention d'infractions liées à la criminalité organisée.
2. Afin d'assurer le respect du principe de minimisation, la CNIL invite le ministère à limiter les informations permettant d'identifier les personnes physiques à ce qui est strictement nécessaire.
3. Elle accueille favorablement la gestion stricte des habilitations et la mise en œuvre d'une authentification multifacteur pour les agents accédants au traitement CIRCE.

La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (« loi informatique et libertés ») ;
Après avoir entendu le rapport de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :

I. - La saisine
A. - Le contexte

La loi du 13 juin 2025 visant à sortir la France du piège du narcotrafic (dite « loi contre le narcotrafic ») a renforcé les compétences de l'administration douanière en matière de lutte contre la fraude, la criminalité organisée, et contre le narcotrafic en particulier. Cette réforme dote les douanes de nouvelles compétences pour lutter contre les réseaux criminels organisés, et vise à améliorer leurs capacités de détection des infractions.
L'article 6 de cette loi a modifié les dispositions de l'article 67 sexies du code des douanes qui, du fait de la recodification entrée en vigueur le 1^er mai 2026, sont désormais inscrites aux articles L. 412-3 à L. 412-7 du code des douanes.
Ces dispositions créent la possibilité pour la direction générale des douanes et des droits indirects (DGDDI) d'accéder, sur autorisation préalable du Premier ministre, aux données relatives à l'identification et à la traçabilité du trafic international des marchandises, des moyens de transport et des personnes qui sont contenues dans les traitements automatisés des opérateurs de transports et des prestataires de services postaux. La loi précise que l'autorisation du Premier ministre, prise après proposition motivée du ministre en charge des douanes, établit la liste des entreprises auxquelles l'administration douanière peut demander la communication de ces informations. Seuls les agents des douanes individuellement habilités sont autorisés à accéder au traitement.
Le code des douanes autorise la DGDDI à mettre en œuvre, à partir de ces données, des traitements pour la recherche et la prévention de délits douaniers généralement commis par des réseaux criminels concevant des schémas de fraudes particulièrement complexes :

- délit de contrebande et l'importation ou l'exportation sans déclaration commis en bande organisée (article L. 513-5 du code des douanes) ;
- délit de fausse déclaration ou non communication de document pour obtenir un remboursement, une exonération, un droit réduit ou un avantage financier attachés à une importation ou une exportation commis en bande organisée (article L. 513-9 du code des douanes) ;
- délit de blanchiment douanier commis en bande organisée (article L. 513-14 du code des douanes) ;
- délits d'infraction à la législation relative aux relations financières avec l'étranger (articles L. 542-1, L. 542-2 et L. 542-5 du code des douanes).

La loi prévoit également, d'une part, l'interdiction de mise en relation de ces dispositifs avec tout autre traitement de données et, d'autre part, proscrit la possibilité de fonder un acte de poursuite ou une décision individuelle automatisée à partir de ces seuls résultats.
Enfin, elle prévoit qu'un décret en Conseil d'Etat, pris après avis de la CNIL, détermine les modalités d'application des articles L. 412-3 à L. 412-5 du code des douanes.

B. - L'objet de la saisine

La CNIL a été saisie pour avis, par le ministère de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique d'un projet de décret portant application des articles susvisés.
Le projet de décret crée le traitement CIRCE (Collecte d'Informations pour la Recherche et le Ciblage des Échanges). Ce traitement a pour finalité de faciliter la recherche et la prévention des infractions douanières (mentionnées aux articles L. 513-5, L. 513-9, L. 513-14, L. 542-1, L. 542-2 et L. 542-5 du code des douanes) en s'appuyant sur deux axes principaux : l'accès et la collecte de données des opérateurs de transport et de logistique (données d'identification et de traçabilité des marchandises, moyens de transport et personnes) et l'exploitation de ces données à des fins d'analyse de risque et de ciblage.
Ces analyses permettraient d'établir une cartographie de la fraude douanière intervenant sur les vecteurs (modes de transports) concernés par le narcotrafic avec des indicateurs permettant d'évaluer et de suivre l'évolution des tendances de cette fraude. Les résultats contribueraient à l'amélioration de la connaissance des schémas de fraude par la DGDDI et à l'orientation des contrôles douaniers.
Enfin, le projet de décret détermine :

• les catégories de données traitées ;
• les modalités d'exercice du droit d'accès et du droit des rectification par les personnes concernées ;
• les conditions de mise en œuvre de la procédure d'autorisation d'accès aux données des opérateurs de transports et des prestataires de services postaux ;
• les modalités d'accès et d'utilisation de ces données par les agents de la DGDDI ;

- les modalités de destruction des données à l'expiration de la durée de conservation maximale, qui a été fixée à deux ans comme l'a autorisé le législateur (article L. 412-5 du code des douanes).

II. - L'avis de la CNIL
A. - Sur les données collectées auprès des opérateurs de transport et des prestataires de service postaux

S'agissant de la procédure d'autorisation préalable par le Premier ministre
La procédure d'autorisation préalable qui permet à l'administration douanière d'accéder et de collecter des données des opérateurs prévue par les articles L. 412-3 et L. 412-4 du code des douanes est précisée dans le projet de décret (projet d'article R. 412-6 du code des douanes).
La CNIL prend acte que ces dispositions imposent que les demandes d'autorisation soient formulées par écrit par le ministre chargé des douanes, et qu'elles précisent expressément la liste des entreprises qui intéressent la DGDDI et auprès desquelles celle-ci souhaite obtenir l'accès aux données, ainsi que les éléments qui permettent d'« apprécier [pour chaque entreprise] la pertinence de la collecte au regard des objectifs poursuivis ». Lorsque le Premier ministre accorde son autorisation, il désigne individuellement chaque opérateur de transport et prestataire de services postaux auprès duquel la DGDDI a le droit d'obtenir l'accès et la communication des données pendant 3 mois. La liste des données auxquelles l'administration douanière aura le droit d'accéder pour chaque entreprise ne sera pas indiquée dans l'autorisation du Premier ministre mais dans les conventions de mise à disposition conclue entre la DGDDI et chaque opérateur ou prestataire, comme le permet l'article L. 4412-5 du code des douanes.
Les demandes de renouvellement sont possibles mais doivent être réalisées dans les mêmes conditions que la demande d'autorisation initiale et préciser la motivation de cette demande de prolongation.
La CNIL considère que cette procédure est bien de nature à limiter les entreprises concernées, et in fine à mieux cibler les données collectées, en tenant compte de leur pertinence aux regards des objectifs poursuivis par le traitement.
S'agissant des catégories de données collectées
Le projet de décret précise les catégories de données pouvant être traitées dans CIRCE. La loi exclut expressément la collecte de données mentionnées au I de l'article 6 de la loi informatique et libertés, et de toute information pouvant porter atteinte au secret des correspondances. Cette interdiction est reprise dans le projet d'article R. 412-4, et constitue une garantie du respect du principe de minimisation.
L'article L. 412-3 du code des douanes autorise la DGDDI à traiter des « données relatives à l'identification et à la traçabilité du trafic international des marchandises, des moyens de transport et des personnes qui sont contenues dans les traitements automatisés des opérateurs et des prestataires », sous réserve de l'autorisation préalable du Premier ministre.
Le projet de décret précise que, pour le trafic international de marchandises, l'administration douanière peut obtenir pour tous les vecteurs de transport (aérien, ferroviaire, routier, maritime et fluvial) les données relatives à l'identification, aux caractéristiques, et au trajet parcouru par les marchandises et moyens de transport afin de retracer la chaîne logistique empruntée par les marchandises. Ces informations sont complétées, pour chaque opération de transport ou de livraison de marchandises, par la collecte de données permettant d'identifier la personne qui a réalisé cette opération (« données d'état civil et d'identification », « lien avec la marchandise, l'opération de transport ou la livraison »).
Pour le secteur aérien spécifiquement, le législateur a autorisé l'administration douanière à collecter des données concernant les personnes empruntant les vols commerciaux : la DGDDI peut ainsi accéder et collecter toutes les données permettant d'identifier ces personnes (« données d'état civil et d'identification »), connaître le trajet emprunté (« lien avec la marchandise, l'opération de transport ou la livraison ») et les « informations relatives à leurs bagages ».
A titre liminaire, la CNIL relève que les données à caractère personnel ne constitueront pas la majorité des données traitées sauf sur les vols commerciaux pour lesquels le nombre de personnes concernées sera potentiellement important.
La CNIL constate que pour ces vols, le législateur a permis le traitement de données révélant les déplacements effectués dans le cadre privé de nombreuses personnes. Afin d'assurer le respect du principe de minimisation, la CNIL invite le ministère à limiter la collecte d'informations permettant d'identifier une personne physique à ce qui est strictement nécessaire.
Dans cette perspective, la CNIL constate que le projet de décret précise les catégories de données, comme le prescrit le 2° de l'article L. 412-6 du code des douanes. Elle relève toutefois que ces catégories demeurent définies de manière insuffisamment précise. Elle estime en particulier que le recours au terme « données d'état civil » recouvre un large spectre d'informations qui concerne l'identité mais également la vie familiale des personnes concernées, alors que la pertinence et la nécessité de ces dernières ne sont pas, à ce stade, établies.
Le terme « données d'identification » correspond aussi à un champ de données large et insuffisamment limité. Selon les précisions apportées, cette formulation recouvre toutes les coordonnées et informations collectées (numéro de téléphone, courriel, type et numéro de document d'identité) par les opérateurs de transport et les prestataires de services postaux afin d'identifier une personne individuellement.
La CNIL reconnaît la difficulté de fixer, au niveau du décret, une typologie précise des données d'identification, notamment en raison de la diversité des pratiques des entreprises impliquées. Elle estime néanmoins que, telles que formulées dans le projet de décret, la définition de ces catégories de données reste insuffisamment limitée et permet de collecter des informations sans lien direct avec l'objet du traitement.
Aussi, afin de garantir le respect du principe de minimisation et assurer le traitement des seules données pertinentes, adéquates et limitées à ce qui est nécessaire, la CNIL invite le ministère à :
préciser dans le décret que, concernant l'état civil des personnes, seules les données permettant leur identification pourront être collectées et traitées. Sur ce point la CNIL prend acte de l'engagement du ministère de modifier le texte afin d'exclure la collecte des données relatives à la vie familiale des personnes concernées ;
définir dans l'analyse d'impact une liste limitative des données d'identification, strictement limitée à ce qui est nécessaire à l'identification des personnes et correspondant aux données habituellement collectées par les opérateurs économiques concernés.

B. - Sur l'information des personnes

L'article L. 412-5 du code des douanes impose aux opérateurs de transports et prestataires de services postaux d'informer les personnes concernées de l'existence du traitement CIRCE et de ses modalités d'exécution. Le projet de décret complète ces dispositions et décrit les pouvoirs de contrôle à disposition de l'administration douanière pour faire respecter cette obligation, ainsi que les sanctions encourues en cas de manquements.
Conformément aux dispositions de l'article 104 de la loi informatique et libertés, la DGDDI prévoit également de mettre à disposition des personnes concernées une fiche descriptive du traitement sur son site internet.
La CNIL accueille favorablement ces mesures, qui participent à la mise en place d'une information effective à destination des personnes concernées. Elle recommande toutefois au ministère de préciser dans le décret que l'information délivrée par les opérateurs et prestataires concernés doit être aisément accessible, rédigée dans des termes clairs et simples, et renvoyer à la fiche de traitement mise en ligne sur le site internet de l'administration douanière.

C. - Sur l'accès aux données des opérateurs de transports et prestataires de service postaux

Les dispositions du code des douanes, complétées par le projet de décret, prévoient d'autoriser l'accès total ou partiel au traitement des agents des douanes individuellement désignés et spécialement habilités en raison de leurs attributions.
En premier lieu, la CNIL relève que les agents des douanes pourront accéder aux données, en accédant au traitement ou en accédant directement aux systèmes d'information des opérateurs de transport et prestataires de service postaux (2° du projet d'article R. 412-5 du code des douanes). Afin de s'assurer que les agents des douanes accèdent aux seules informations nécessaires pour la réalisation des finalités du traitement et limiter les risques de divulgation non autorisée, la CNIL invite le ministère à préciser dans les conventions de mise à disposition des données les modalités de cet accès et les mesures techniques et organisationnelles prévues pour éviter les violations de données dans ce contexte.
En second lieu, la CNIL prend acte de l'engagement du ministère à inclure dans ces conventions de mises à disposition que seuls les personnels ayant déjà habituellement accès à ces informations dans le cadre de leurs fonctions devront être désignés pour effectuer les transmissions à l'administration douanière. La CNIL souligne l'importance de cette mesure pour limiter les risques de violations de données.

D. - Sur les mesures de sécurité

S'agissant de la gestion des accès, la CNIL accueille favorablement la mise en œuvre d'une authentification multifacteur des agents accédants au traitement CIRCE.
Au-delà de la mise en œuvre de processus de gestion des habilitations adéquats et d'une revue annuelle des habilitations, la CNIL relève la mise en œuvre d'une suppression automatisée des droits fonctionnels accordés à un agent dès que celui-ci quitte le service.
Le ministère précise qu'il mettra en œuvre une mesure technique et organisationnelle d'analyse des journaux d'évènements. Cette mesure n'étant pas encore effective, la CNIL rappelle sa recommandation sur le déploiement d'une mesure technique de surveillance active des journaux applicatifs nécessaires, en vue de permettre la détection immédiate d'actions malveillantes au sein du traitement. Cette exigence s'impose d'autant plus que le traitement CIRCE collectera un nombre particulièrement élevé de données à caractère personnel dont la divulgation serait susceptible d'avoir d'importantes conséquences sur la vie privée des personnes concernées.