I. - A titre expérimental et pour une durée de trois ans à compter de l'entrée en vigueur du décret mentionné au III du présent article, pour la seule finalité de prévention et de constatation des infractions de contrebande, d'importation ou d'exportation commises en bande organisée, prévues et réprimées au dernier alinéa de l'article 414 du code des douanes, ainsi que de la constatation de la réalisation ou de la tentative de réalisation des opérations financières définies à l'article 415 du même code lorsqu'elles portent sur des fonds provenant de ces mêmes infractions, et afin de permettre le rassemblement des preuves de ces infractions et la recherche de leurs auteurs, l'administration des douanes et des droits indirects peut exploiter les données collectées au titre de l'article L. 233-1 du code de la sécurité intérieure au moyen d'un traitement de données à caractère personnel destiné exclusivement à détecter des mouvements de véhicules susceptibles de révéler les infractions précitées.
Ce traitement est soumis à la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
Dans le cadre de l'expérimentation, par dérogation à l'article L. 233-2 du code de la sécurité intérieure, les données collectées sont conservées pendant un délai maximal de quatre mois, sous réserve de la nécessité de leur conservation pour les besoins d'une procédure pénale ou douanière. L'expérimentation permet d'évaluer, dans les conditions prévues au II du présent article, l'efficacité comparée de différentes durées de conservation des données, comprises entre deux et quatre mois.
La mise en œuvre du traitement est réservée aux agents des douanes affectés au sein d'un service spécialisé de renseignement, individuellement désignés et spécialement habilités par le ministre chargé des douanes.
Ce traitement exclut toute exploitation de la photographie des occupants des véhicules.
Il ne peut procéder à aucune interconnexion ou mise en relation automatisée avec d'autres traitements de données à caractère personnel que ceux mentionnés à l'article L. 233-2 du code de la sécurité intérieure.
Il procède exclusivement à un signalement d'attention, strictement limité à la détection des mouvements de véhicules qu'il a été programmé à détecter. Il ne peut fonder, par lui-même, aucune décision individuelle ni aucun acte de poursuite.
L'Etat assure la collecte, le traitement et la conservation des données à caractère personnel ainsi recueillies ; il assure la conception du traitement ou la confie à un tiers.
II. - L'expérimentation fait l'objet de rapports d'évaluation transmis au Parlement et à la Commission nationale de l'informatique et des libertés dans les délais suivants :
1° Dix-huit mois à compter de l'entrée en vigueur du décret mentionné au III ;
2° Six mois avant le terme de l'expérimentation.
Ces rapports évaluent la pertinence des données utilisées dans le cadre du traitement prévu au I aux fins de détecter des mouvements de véhicules mentionnés au même I. Ils établissent la liste des garanties mises en place pour assurer la protection des données personnelles et le respect de la vie privée et analysent leur effectivité. Ils évaluent l'efficacité de durées de conservation inférieures à quatre mois et présentent les éléments permettant d'apprécier le caractère proportionné des différentes durées retenues au cours de l'expérimentation ; à ce titre, ils intègrent des indications statistiques permettant notamment, pour chaque durée expérimentée, de rendre compte de la quantité totale de données collectées, de la quantité de données conservées au delà du délai maximal expérimenté pour les besoins d'une procédure pénale ou douanière, du nombre de mouvements de véhicules détectés ainsi que du nombre de procédures d'enquête engagées sur le fondement desdites détections.
Les rapports d'évaluation comprennent une partie, établie par les services du ministère de la justice, sur l'utilité du dispositif en matière de réponse pénale apportée aux infractions mentionnées au premier alinéa dudit I.
III. - Par dérogation à l'article 31 de la loi n° 78-17 du 6 janvier 1978 précitée, un décret en Conseil d'Etat, pris après avis motivé de la Commission nationale de l'informatique et des libertés, fixe les modalités de mise en œuvre du présent article. Il autorise le traitement et détermine notamment les critères de recherche utilisés par ce dernier, les catégories de données traitées, les mesures mises en œuvre pour écarter l'exploitation des photographies des occupants des véhicules et pour assurer la sécurité des données stockées, le nombre maximal de dispositifs de contrôle automatisé des données signalétiques des véhicules concernés ainsi que les axes de circulation où ils sont installés sur le territoire.
Par dérogation à l'article 31 de la loi n° 78-17 du 6 janvier 1978 précitée, la demande d'avis adressée à la Commission nationale de l'informatique et des libertés est accompagnée d'une analyse d'impact relative à la protection des données à caractère personnel conformément à l'article 90 de la même loi.
Ce décret n'est pas publié. Toutefois, le sens de l'avis émis par la Commission nationale de l'informatique et des libertés est rendu public.