Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant : 
La Commission nationale de l'informatique et des libertés a été saisie d'une demande d'avis portant sur un projet d'arrêté modifiant l'arrêté du 9 mars 2012 autorisant la création d'un traitement automatisé dénommé « BANACO ».
Ce traitement est mis en œuvre par la direction générale des douanes et droits indirects (DGDDI). Il permet, d'une part, la centralisation de l'ensemble des données relatives aux contrôles opérés par l'administration des douanes, qu'ils aboutissent ou non à la constatation d'une infraction douanière et, d'autre part, l'orientation des contrôles douaniers afin de lutter contre la fraude douanière. Il relève dès lors des dispositions de l'article 26 de la loi du 6 janvier 1978 modifiée et les modifications apportées à l'arrêté du 9 mars 2012 nécessitent un avis motivé et publié de la commission.
L'article 1er du projet d'arrêté vise à modifier les catégories de données à caractère personnel enregistrées dans BANACO en y ajoutant les données relatives aux contrôles ex post en matière de dédouanement, aux contrôles en matière de taxe spéciale sur certains véhicules routiers (TSVR, dite « taxe à l'essieu ») ainsi qu'au traitement des demandes de vérification des mouvements intracommunautaires (DVMI). Ces informations s'ajoutent aux données relatives aux contrôles ex ante que contient le traitement BANACO, réalisés au moment du dédouanement.
Plus précisément, il s'agit de collecter les données relatives :
- à l'opérateur contrôlé au sens de l'article 1er du code des douanes communautaire, à la déclaration en douane et au déroulement et conclusions du contrôle s'agissant des contrôles ex post réalisés en matière de dédouanement ;
- au même opérateur, au déroulement et conclusions du contrôle s'agissant des contrôles réalisés en matière de TSVR ;
- aux demandes de vérification reçues des autres Etats membres et des réponses apportées par la douane française, aux demandes de vérification émises par la France et aux réponses correspondantes pour le traitement des DVMI.
La collecte de ces nouvelles données s'inscrit dans le cadre des prérogatives confiées aux agents des douanes, lesquels peuvent procéder à un contrôle a posteriori des documents commerciaux relatifs aux opérations concernées et constater les infractions aux dispositions législatives ou réglementaires relatives à la TSVR.
Le traitement des DVMI permet aux agents des douanes de s'assurer du respect de la législation relative aux droits d'accise et de lutter contre la fraude et les distorsions qui en découlent sur le marché intérieur de l'Union européenne, conformément aux dispositions du règlement du Conseil du 2 mai 2012 susvisé.
L'article 2 (4°) de l'arrêté du 9 mars 2012 fera désormais référence aux données issues des déclarations en douane, au sens de l'article 4 (point 17) du code des douanes communautaire, aux données relatives à la liquidation et au paiement de la taxe spéciale sur certains véhicules routiers ainsi qu'aux données relatives aux demandes de vérification de mouvements intracommunautaires de produits soumis à accise.
La commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Par ailleurs, l'article 3 de l'arrêté du 9 mars 2012 en vigueur indique que les données sont conservées :
- trois ans à compter de la date de l'avis de fin de contrôle ou de l'avis de résultat de contrôle lorsque le contrôle est conforme ;
- dix ans à compter de la date du certificat de contrôle lorsque le contrôle est non conforme.
L'article 2 du projet d'arrêté modifie ces dispositions afin de faire référence à la seule clôture du dossier.
La commission prend acte des précisions apportées par le ministère des finances et des comptes publics, selon lesquelles les documents précités (avis de fin de contrôle, avis de résultat de contrôle et certificat de contrôle) sont spécifiques aux contrôles ex ante réalisés en matière de dédouanement et ne sont donc pas émis lors des contrôles ex post, TSVR ou DVMI. Dès lors, ce changement de terminologie vise uniquement à retenir un point de départ du délai de conservation commun à l'ensemble des dossiers de contrôle et n'appelle pas d'observation particulière.
L'article 3 du projet d'arrêté précise que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent désormais auprès du bureau de la DGDDI chargé de la politique des contrôles.
De manière générale, la commission considère que les mesures de sécurité décrites et prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue à l'article 34 de la loi du 6 janvier 1978 modifiée. Elle relève ainsi qu'une gestion stricte des habilitations est mise en oeuvre afin de s'assurer notamment que des tiers non autorisés n'aient pas accès aux données contenues dans BANACO et qu'une traçabilité de tous les événements affectant la vie d'un dossier de contrôle est réalisée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.