La Commission nationale de l'informatique et des libertés,
Saisie par le ministre délégué auprès du ministre de l'économie et des finances, chargé du budget, d'une demande d'avis concernant un projet d'arrêté portant création des téléservices  Déclaration de récolte ,  SV11 ,  SV12 ,  Déclaration de stock ,  OENO ,  DOSPROV , composant le traitement automatisé dénommé  NCVI  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques â l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu l'arrêté du 4 avril 2005 relatif à un système automatisé portant organisation du casier viticole informatisé en France ;
Vu l'arrêté du 24 octobre 2005 portant création d'un traitement automatisé d'informations nominatives relatif à l'ouverture d'un site internet dénommé PRODOUANE ;
Sur la proposition de M. Didier CASSE, commissaire, et après avoir entendu M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie par la direction générale des douanes et droits indirects (DGDDI) d'une demande d'avis sur un projet d'arrêté concernant la mise en œuvre d'un bouquet de six téléformulaires disponibles dans un espace dénommé  NCVI  accessible depuis le portail PRODOUANE.
La commission considère qu'il y a lieu de faire application des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation par arrêté ministériel pris après avis motivé et publié de la commission, les traitements mis en œuvre par l'Etat ou des personnes morales de droit public  aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques .
Sur la finalité du traitement :
Le traitement NCVI a vocation à permettre aux exploitants vitivinicoles de saisir et de déposer par voie électronique leurs déclarations de récoltes, de production, de stock et de pratiques œnologiques ainsi que de consulter leurs obligations de distillation des sous-produits de la vinification.
Il vise également à répondre au principe posé par l'organisation communautaire des marchés agricoles dans le secteur vitivinicole, à savoir disposer d'une connaissance appropriée de la production, avec transmission des informations ainsi recueillies à la Commission européenne conformément aux règlements communautaires en vigueur.
En outre, le traitement permet à la DGDDI et la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) de consulter et de modifier (sous certaines conditions), les données télédéclarées par les exploitants vitivinicoles ainsi que de saisir les déclarations reçues sur formulaire papier.
Plus précisément, les téléservices concernés sont les suivants :
- le téléservice dénommé  Déclaration de récolte  permet aux récoltants de raisin de déposer leur déclaration de récolte et aux récoltants producteurs de vins de déposer leurs déclarations de récolte et de production. Il permet également aux caves coopératives de déposer, au nom et pour le compte des récoltants qui leur ont donné mandat, tout ou partie de leur déclaration de récolte. Il permet enfin au comité interprofessionnel du vin de Champagne (CIVC), au conseil interprofessionnel des vins d'Alsace (CIVA) et au Bureau national interprofessionnel du Cognac (BNIC) de transférer à l'administration des douanes, les déclarations de récolte spécifiques qu'ils ont recueillies auprès de leurs ressortissants en application de l'article 4 de l'arrêté du 4 avril 2005 susvisé ;
- le téléservice dénommé  SV11  permet aux caves coopératives de déposer leur déclaration de production ;
- le téléservice dénommé  SV12  permet aux négociants vinificateurs et aux élaborateurs de produits dérivés de déposer leur déclaration de production ;
- le téléservice dénommé  OENO  permet aux récoltants de vinificateurs, aux caves coopératives, aux négociants vinificateurs et aux entreprises de négoce de déposer leurs déclarations de pratiques œnologiques ;
- le téléservice dénommé  Déclaration de stock  permet aux récoltants producteurs de vins et de produits vitivinicoles, aux caves coopératives et aux bailleurs stockeurs de déposer leur déclaration de stock ;
- le téléservice dénommé  DOSPROV  permet aux récoltants, aux récoltants vinificateurs, aux négociants vinificateurs, aux élaborateurs de produits dérivés et aux caves coopératives de consulter en ligne leurs obligations de distillation des sous-produits de la vinification, le détail du mode de calcul des quantités et de transmettre ces informations à la ou les distilleries agréées de leur ressort territorial. Il permet également aux récoltants d'éditer les notifications pour leurs bailleurs à fruits et bailleurs à stockeurs qui ne disposent pas d'un accès au téléservice.
Au regard de ce qui précède, la commission estime que les finalités du traitement sont déterminées, explicites et légitimes au sens de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les données traitées :
Les données traitées pour chacun des téléservices sont mentionnées à l'article 3 du projet d'arrêté.
Pour les données d'identification des professionnels concernés, sont principalement concernés : le nom ou la raison sociale, le numéro SIREN, le numéro de casier viticole informatisé (CVI), les caractéristiques des parcelles viticoles et la nature des exploitations.
Des données d'ordre économique et financier relatives par exemple aux volumes récoltés, aux stocks et plus généralement aux productions de richesses sont également recueillies.
La commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les destinataires :
Ont accès à la totalité ou à une partie des données mentionnées à l'article 3, à raison de leurs attributions :
- les agents de la DGDDI, de la DGCCRF et de la DGFIP ;
- les agents des services du ministère de l'agriculture, de l'alimentation, de la pêche et de la ruralité (MAAPR) chargés d'études économiques et statistiques et du suivi du secteur vitivinicole ;
- les agents de la direction générale des politiques économiques, européenne et internationale du ministère de l'agriculture contribuent à assurer la cohérence du NCVI avec les réglementations communautaires ;
- les agents de rétablissement national des produits de l'agriculture et de la mer (FranceAgriMer) et les agents de l'Institut national de l'origine et de la qualité (INAO).
La commission relève que tous ces agents font l'objet d'une désignation individuelle et d'une habilitation spéciale par leur responsable hiérarchique et que les personnes chargées du recueil et du traitement sont en nombre limité.
Elle considère que ces destinataires ont un intérêt légitime à accéder aux données du traitement dénommé  NCVI .
Sur la durée de conservation des données :
Conformément aux prescriptions communautaires, les données des déclarations de récolte, de production, de pratiques œnologiques et de stock sont conservées durant les quatre campagnes vitivinicoles qui suivent la date de dépôt de la déclaration correspondante par l'exploitant vitivinicole.
De même, les données relatives à la distillation obligatoire des sous-produits de la vinification sont conservées durant les trois campagnes vitivinicoles qui suivent la date de notification des quantités à distiller.
La commission considère que les durées de conservation sont proportionnées au regard des finalités du traitement.
Sur les droits des personnes concernées :
La commission relève qu'une mention d'information, conforme aux dispositions de l'article 32 de la loi du B janvier 1978 modifiée, est portée sur les formulaires d'adhésion et que la page  webmestre  du portail PRODOUANE.
Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du service de la DGDDI chargés de la gestion des activités vitivinicoles dans le ressort duquel se situe le siège de l'exploitation ou de l'entreprise.
Le droit d'opposition prévu par l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au présent traitement.
Sur la sécurité des données et la traçabilité des actions :
La commission constate que la traçabilité des actions effectuées par les utilisateurs du traitement est assurée, de même que la sécurité des postes de travail et du réseau ainsi que des sauvegardes.
Elle relève en outre que la connexion aux applications  NCVI  est effectuée via un protocole sécurisé de type HTTPS, ce qui garantit la confidentialité des données échangées, et que seuls les agents spécifiquement habilités ont accès au traitement.
La commission rappelle néanmoins que la mise en ligne des téléservices doit respecter les dispositions relatives au référentiel général de sécurité (RGS), créé par l'article 9 de l'ordonnance n° 2005-1516 du 8 décembre 2005. En particulier, en matière d'authentification, un système de hachage avec clé secrète (dit HMAC) doit être mis en place conformément au RGS.
La commission prend acte que les données contenues dans le NCVI circulent exclusivement sur le territoire français et ne sont communicables qu'à des destinataires établis sur le territoire français, et que le sous-traitant ne dispose pas d'un accès aux données traitées par les applications hébergées sur son serveur.
Enfin, elle observe que l'usager se connecte aux téléservices au moyen d'une authentification forte, en l'espèce en utilisant un mot de passe composé d'un minimum de huit caractères et d'une complexité suffisante.
L'ensemble de ces mesures visent à empêcher toute utilisation détournée ou frauduleuse des données ou que des tiers non autorisés y aient accès et sont conformes aux dispositions de l'article 34 de loi du 6 janvier 1978 modifiée.
Pour la présidente :
Le vice-président délégué,
E. de Givry