La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie, des finances et de la souveraineté industrielle et numérique d'une demande d'avis concernant un projet d'arrêté relatif à la mise en œuvre par la direction générale des douanes et droits indirects d'un traitement automatisé de contrôle des identifiants de la traçabilité des produits du tabac ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (Directive « police-justice ») ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, ci-après la loi « informatique et libertés », notamment ses articles 89-I et 31-I ;
Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,

I. - La saisine
A. - Le contexte

Un dispositif européen de contrôle de la traçabilité des produits du tabac est prévu par la directive 2014/40/UE et le règlement d'exécution (UE) 2018/574 du 15 décembre 2017. Ce dispositif permet de tracer les produits du tabac, de la fabrication jusqu'au point de vente en détail, via un identifiant unique qui est attribué à chaque produit. Ainsi, les informations relatives aux mouvements des produits et aux opérations les concernant sont enregistrées dans un système d'entrepôts de stockage. Ce dispositif est mis en place à l'échelle européenne. Il consiste en une articulation d'entrepôts de données à l'initiative obligatoire des importateurs et des fabricants alimentant un entrepôt tiers, géré par un fournisseur désigné par la Commission européenne, lequel permet de répliquer l'ensemble des données en un lieu unique.
Ce système est donc composé :

- d'entrepôts primaires, garantissant l'hébergement des données relatives aux fabricants et aux importateurs qui concluent avec un fournisseur tiers indépendant, en vue de l'hébergement de ces données conformément au règlement délégué (UE) 2018/573 de la Commission européenne ;
- d'un entrepôt secondaire, contenant une copie des données stockées dans les entrepôts primaires, géré par un fournisseur désigné par la Commission européenne.

Le contrôle de la traçabilité des produits du tabac est réalisé par la consultation de l'entrepôt secondaire. Son accès est ouvert à chaque autorité compétente des Etats membres, à savoir, pour la France, la DGDDI.
Les contrôles ainsi réalisés permettront de détecter et sanctionner les infractions relatives à la fabrication, la détention, la vente et le transport illicites de tabac mais également les infractions relatives à l'importation, la vente et la distribution des produits du tabac et, enfin, de sanctionner la fraude aux autres exigences prévues par les textes.

B. - L'objet de la saisine

La CNIL est saisie d'une demande d'avis sur un projet d'arrêté relatif à la création d'un traitement automatisé de contrôle des identifiants de la traçabilité des produits du tabac. Ce projet d'arrêté s'inscrit dans le cadre du dispositif européen de contrôle de la traçabilité des produits du tabac prévu par la directive 2014/40/UE.
Ce projet d'arrêté encadre le traitement résultant de l'accès par les agents de la DGDDI à l'entrepôt secondaire du dispositif européen. La DGDDI et la Commission européenne sont responsables de traitement conjoints. A cet égard, sont responsables conjoints l'ensemble des représentants de chaque Etat membre compétents. Le ministère a communiqué à la CNIL l'accord de responsabilité conjointe conclu.
Ce traitement a pour finalité la lutte contre la fraude. Il est dès lors soumis au régime juridique de la directive « police-justice », transposée aux articles 87 et suivants de la loi « informatique et libertés » modifiée.

II. - L'avis de la CNIL
A. - Sur les finalités

L'article 1er du projet d'arrêté énumère les finalités du traitement. Elles sont :

- le contrôle des identifiants à des fins de recherche et de constatation des infractions en matière de tabac prévues par le code général des impôts, le code des douanes et le code de la santé publique ;
- l'extraction de données à des fins statistiques ;
- l'analyse de risque et le ciblage de fraudes.

A la demande de la CNIL, le ministère a ajouté les deux dernières finalités afin de rendre compte des finalités exactes du traitement comprenant l'accès à l'entrepôt de données, puis l'analyse des données pour permettre un ciblage de la lutte contre la fraude. La CNIL regrette toutefois l'absence de précision du dossier de présentation concernant la poursuite de ces deux finalités.

B. - Sur les données collectées

L'article 2 énumère les catégories de données collectées, à savoir :

- données relatives à l'identification des opérateurs économiques (fabricant, distributeurs, premiers points de vente au détail) ;
- données relatives à la vie professionnelle des opérateurs économiques ;
- données relatives aux installations de production et de stockage ;
- données relatives aux produits du tabac.

Le ministère a précisé que les données à caractère personnel concernées sont les suivantes :

- nom et prénoms du représentant de l'opérateur économique ;
- adresse électronique de l'opérateur économique ;
- adresse postale de l'opérateur économique ;
- plaque d'immatriculation du transport utilisé lors des livraisons.

Le ministère a précisé que l'objectif de cet outil est de surveiller les opérations de la chaîne d'approvisionnement et, le cas échéant, de détecter les produits non conformes et les activités frauduleuses potentielles. Ainsi, les données collectées et utilisées sont principalement relatives à des personnes morales. La collecte de données relatives à des personnes physiques sera résiduelle ou indirecte, notamment lorsque la raison sociale d'une personne morale correspond à un patronyme ou, plus communément, pour enregistrer l'identité du mandataire social désigné.
La CNIL recommande de préciser le projet d'arrêté afin d'indiquer plus explicitement les catégories de données à caractère personnel concernées.

C. - Sur les interconnexions

Le ministère a confirmé l'absence de toute interconnexion ou de mise en relation avec les données d'un autre traitement.
La CNIL prend acte de cette absence d'interconnexion.
Les autres dispositions du projet d'arrêté n'appellent pas d'observations de la part de la CNIL.