Décision 2009/917/JAI du Conseil du 30 novembre 2009 sur l’emploi de l’informatique dans le domaine des douanes

Article 1

1. Un système d’information automatisé commun qui répond aux besoins des douanes (ci-après dénommé «système d’information des douanes») est institué.

2. La finalité du système d’information des douanes, conformément à la présente décision, est d’aider les autorités compétentes des États membres dans la prévention et la détection des infractions pénales prévues par les lois nationales, et les enquêtes et poursuites en la matière, en rendant les données plus rapidement disponibles et en renforçant ainsi l’efficacité des procédures de coopération et de contrôle des administrations douanières des États membres.

Article 2

Aux fins de la présente décision, on entend par:

1. «lois nationales», les dispositions législatives ou réglementaires d’un État membre, dont l’application relève en tout ou en partie de la compétence de l’administration douanière de cet État membre en ce qui concerne:

a) la circulation des marchandises faisant l’objet de mesures d’interdiction, de restriction ou de contrôle, notamment celles visées aux articles 30 et 296 du traité instituant la Communauté européenne (ci-après dénommé le «traité CE»);

b) les mesures visant à contrôler les mouvements d’argent liquide au sein de la Communauté, lorsque ces mesures sont prises conformément à l’article 58 du traité CE;

c) le transfert, la conversion, la dissimulation ou le déguisement de la nature des biens ou produits qui ont été directement ou indirectement acquis ou obtenus par un trafic international illicite de stupéfiants ou en infraction:

i) à des dispositions législatives, réglementaires ou administratives d’un État membre, dont l’application relève en tout ou en partie de la compétence de l’administration douanière de cet État membre en ce qui concerne la circulation transfrontalière des marchandises faisant l’objet de mesures d’interdiction, de restriction ou de contrôle, notamment celles visées aux articles 30 et 296 du traité CE, ainsi que les accises non harmonisées;

ii) à l’ensemble des dispositions communautaires et des dispositions prises en application de la réglementation communautaire régissant l’importation, l’exportation, le transit et le séjour des marchandises faisant l’objet d’échanges entre les États membres et les pays tiers, ainsi qu’entre les États membres pour ce qui concerne les marchandises qui n’ont pas le statut communautaire au sens de l’article 23 du traité CE ou pour lesquelles les conditions d’acquisition du statut communautaire font l’objet de contrôles ou d’enquêtes complémentaires;

iii) à l’ensemble des dispositions arrêtées au niveau communautaire dans le cadre de la politique agricole commune et des réglementations spécifiques prises à l’égard des marchandises résultant de la transformation de produits agricoles; ou

iv) à l’ensemble des dispositions arrêtées au niveau communautaire en ce qui concerne les accises harmonisées et la taxe sur la valeur ajoutée frappant les importations, ainsi que les dispositions nationales qui les mettent en œuvre, ou qui ont été utilisés dans ce cadre;

2. «données à caractère personnel», les données à caractère personnel au sens de l’article 3, point 1, de la directive (UE) 2016/680 du Parlement européen et du Conseil;

3. «État membre fournisseur», l’État membre qui introduit des données dans le système d’information des douanes;

4. «analyse opérationnelle», l’analyse des opérations qui constituent ou paraissent constituer des infractions aux lois nationales, par la réalisation des phases suivantes:

a) le recueil d’informations, y compris de données à caractère personnel;

b) l’évaluation de la fiabilité de la source des informations et des informations elles-mêmes;

c) la recherche, la mise en évidence méthodique et l’interprétation de relations entre ces informations ou entre ces informations et d’autres données significatives;

d) la formulation de constatations, d’hypothèses ou de recommandations qui sont directement exploitables, en tant qu’informations sur les risques, par les autorités compétentes pour prévenir et détecter d’autres opérations contraires aux lois nationales et/ou pour identifier avec précision les personnes ou entreprises impliquées dans ces opérations;

5. «analyse stratégique», la recherche et la mise en évidence des tendances générales des infractions aux lois nationales par une évaluation de la menace, de l’ampleur et de l’impact de certaines formes d’opérations contraires aux lois nationales, en vue de déterminer des priorités, de mieux appréhender le phénomène ou la menace, de réorienter les actions de prévention et de détection de la fraude et de revoir l’organisation des services. Seules les données rendues anonymes peuvent être utilisées pour l’analyse stratégique;

6. «autorité de contrôle nationale», une autorité de contrôle au sens de l’article 3, point 15), de la directive (UE) 2016/680.

Article 3

1. Le système d’information des douanes se compose d’une base de données centrale accessible à partir de terminaux placés dans chacun des États membres. Il comprend exclusivement les données, y compris les données à caractère personnel, nécessaires à l’accomplissement de sa finalité, telle que visée à l’article 1er, paragraphe 2, regroupées dans les catégories suivantes:

a) les marchandises;

b) les moyens de transport;

c) les entreprises;

d) les personnes;

e) les tendances de la fraude;

f) les compétences disponibles;

g) les retenues, saisies ou confiscations d’articles;

h) les retenues, saisies ou confiscations d’argent liquide.

2. La Commission assure la gestion technique de l’infrastructure du système d’information des douanes conformément aux règles prévues par les dispositions d’application adoptées par le Conseil.

La Commission rend compte de la gestion au comité visé à l’article 27.

3. La Commission communique audit comité les modalités pratiques adoptées pour la gestion technique.

Article 4

1. Les États membres décident des éléments à introduire dans le système d’information des douanes correspondant à chacune des catégories visées à l’article 3, paragraphe 1, dans la mesure où cette action est nécessaire pour atteindre la finalité de ce système. Des données à caractère personnel ne doivent en aucun cas être introduites dans la catégorie visée à l’article 3, paragraphe 1, point e).

2. En ce qui concerne les catégories visées à l’article 3, paragraphe 1, points a) à d), les informations à caractère personnel introduites dans le système se limitent aux informations suivantes:

a) nom, nom de jeune fille, prénoms, noms de famille antérieurs et noms d’emprunt;

b) date et lieu de naissance;

c) nationalité;

d) sexe;

e) numéro, lieu et date d’émission des documents d’identité (passeports, cartes d’identité, permis de conduire);

f) adresse;

g) tous les signes particuliers effectifs et permanents;

h) le motif d’introduction des données;

i) l’action suggérée;

j) le code d’alerte avertissant que la personne a déjà porté une arme, fait usage de violence ou échappé aux autorités;

k) le numéro d’immatriculation du moyen de transport.

3. En ce qui concerne la catégorie visée à l’article 3, paragraphe 1, point f), les informations à caractère personnel introduites dans le système se limitent aux noms et prénoms des experts.

4. En ce qui concerne les catégories visées à l’article 3, paragraphe 1, points g) et h), les informations à caractère personnel introduites dans le système se limitent aux informations suivantes:

a) nom, nom de jeune fille, prénoms, noms de famille antérieurs et noms d’emprunt;

b) date et lieu de naissance;

c) nationalité;

d) sexe;

e) adresse.

5. En aucun cas, les catégories particulières de données à caractère personnel visées à l’article 10 de la directive (UE) 2016/680 ne sont introduites dans le système d’information des douanes.

Article 5

1. Les données relatives aux catégories visées à l’article 3, paragraphe 1, points a) à g), sont introduites dans le système d’information des douanes uniquement à des fins d’observation et de compte rendu, de surveillance discrète, de contrôles spécifiques et d’analyse stratégique ou opérationnelle.

Les données relatives aux catégories visées à l’article 3, paragraphe 1, point h), sont introduites dans le système d’information des douanes à des fins d’analyse stratégique ou opérationnelle uniquement.

2. Aux fins des actions visées au paragraphe 1, les données à caractère personnel qui entrent dans les catégories visées à l’article 3, paragraphe 1, ne peuvent être introduites dans le système d’information des douanes que si des motifs raisonnables, en particulier sur la base d’activités illégales préalables, portent à croire que la personne en question a commis, est en train de commettre ou commettra une infraction pénale prévue par les lois nationales.

Article 6

1. Si les actions visées à l’article 5, paragraphe 1, sont mises en œuvre, les informations suivantes peuvent, en totalité ou en partie, être recueillies et transférées à l’État membre fournisseur:

i) le fait que la marchandise, les moyens de transport, l’entreprise ou la personne en question ont été localisés;

ii) le lieu, l’heure et la raison du contrôle;

iii) l’itinéraire suivi et la destination du voyage;

iv) les personnes accompagnant l’individu en question ou les occupants des moyens de transport utilisés;

v) les moyens de transport utilisés;

vi) les objets transportés;

vii) les conditions dans lesquelles la marchandise, les moyens de transport, l’entreprise ou la personne ont été découverts.

Dans le cas où ce type d’informations est recueilli au cours d’une opération de surveillance discrète, des mesures doivent être prises pour assurer que la nature secrète de la surveillance n’est pas compromise.

2. Dans le cadre des contrôles spécifiques visés à l’article 5, paragraphe 1, les personnes, moyens de transport et objets peuvent être fouillés dans la limite de ce qui est permis et conformément aux lois, réglementations et procédures de l’État membre dans lequel la fouille a lieu. Si les contrôles spécifiques ne sont pas autorisés par la législation d’un État membre, ils sont automatiquement transformés en observation et compte rendu ou en surveillance discrète par ledit État membre.

Article 7

1. L’accès direct aux données du système d’information des douanes est réservé aux autorités nationales désignées par chaque État membre. Lesdites autorités nationales sont des administrations douanières, mais peuvent également inclure d’autres autorités habilitées, conformément aux lois, réglementations et procédures de l’État membre en question, à agir pour atteindre la finalité énoncée à l’article 1er, paragraphe 2.

2. Chaque État membre envoie à chacun des autres États membres et au comité visé à l’article 27 une liste des autorités compétentes désignées conformément au paragraphe 1 du présent article, qui sont autorisées à accéder directement aux données du système d’information des douanes en précisant, pour chaque autorité, à quelles données elle peut avoir accès et à quelles fins.

Article 8

1. Les autorités nationales désignées par chaque État membre conformément à l’article 7, Europol et Eurojust peuvent traiter des données à caractère personnel provenant du système d’information des douanes dans le but d’atteindre la finalité énoncée à l’article 1er, paragraphe 2, conformément au droit de l’Union ou au droit national applicable à la protection des données à caractère personnel, avec l’autorisation préalable des autorités nationales désignées de l’État membre qui ont introduit les données à caractère personnel dans ce système et sous réserve du respect de toute condition imposée par celles-ci.

Les autorités nationales désignées par chaque État membre, Europol et Eurojust peuvent traiter des données à caractère non personnel provenant du système d’information des douanes afin d’atteindre la finalité énoncée à l’article 1er, paragraphe 2, ou à d’autres fins, y compris administratives, dans le respect des conditions imposées par les autorités nationales désignées de l’État membre qui ont introduit les données à caractère non-personnel dans ce système.

2. Sans préjudice des paragraphes 1 et 4 du présent article, et des articles 11 et 12, les données provenant du système d’information des douanes ne peuvent être exploitées que par les autorités nationales dans chaque État membre désignées par l’État membre concerné, qui sont compétentes pour agir afin d’atteindre la finalité visée à l’article 1er, paragraphe 2, conformément aux lois, réglementations et procédures dudit État membre.

3. Chaque État membre envoie à chacun des autres États membres, ainsi qu’au comité visé à l’article 27, une liste des autorités compétentes qu’il a désignées conformément au paragraphe 2 du présent article.

4. Les données à caractère personnel provenant du système d’information des douanes peuvent, avec l’autorisation préalable des autorités nationales désignées de l’État membre qui les ont introduites dans le système et sous réserve du respect des conditions qu’elles ont imposées, être:

a) transmises à des autorités nationales autres que celles désignées au titre du paragraphe 2 et traitées ultérieurement par celles-ci, conformément au droit de l’Union ou au droit national applicable à la protection des données à caractère personnel; ou

b) transférées aux autorités compétentes de pays tiers ainsi qu’à des organisations internationales ou régionales et traitées ultérieurement par celles-ci, conformément au droit de l’Union ou au droit national applicable à la protection des données à caractère personnel.

Les données à caractère non-personnel provenant du système d’information des douanes peuvent être transférées à des autorités nationales autres que celles désignées en vertu du paragraphe 2, des pays tiers ainsi qu’à des organisations internationales ou régionales, et traitées ultérieurement par ces entités, dans le respect des conditions imposées par les autorités nationales désignées de l’État membre qui a introduit les données à caractère non personnel dans ce système.

Article 9

1. L’introduction de données dans le système d’information des douanes est soumise aux lois, réglementations et procédures de l’État membre qui les fournit, à moins que la présente décision ne prévoie des dispositions plus strictes.

2. L’emploi des données provenant du système d’information des douanes, y compris l’accomplissement de toute action visée à l’article 5, paragraphe 1, et suggérée par l’État membre qui a fourni les données, est soumis aux lois, réglementations et procédures de l’État membre qui utilise ces données, à moins que la présente décision ne prévoie des dispositions plus strictes.

Article 10

1. Chaque État membre désigne une administration douanière compétente chargée, à l’échelle nationale, du système d’information des douanes.

2. L’administration visée au paragraphe 1 est responsable du bon fonctionnement du système d’information des douanes sur le territoire de l’État membre et prend les mesures nécessaires pour veiller au respect de la présente décision.

3. Les États membres se communiquent le nom de l’administration visée au paragraphe 1.

Article 11

1. Europol a le droit, dans les limites de son mandat et aux fins de l’accomplissement de ses tâches, d’accéder aux données introduites dans le système d’information des douanes conformément aux articles 1er, 3 à 6 et 15 à 19 et de les consulter.

2. Lorsqu’il ressort d’une consultation du système par Europol qu’il existe une correspondance entre les informations traitées par Europol et les données introduites dans le système d’information des douanes, Europol en informe l’État membre qui a introduit les données, par le biais des canaux définis dans la décision 2009/371/JAI du Conseil du 6 avril 2009 portant création de l’Office européen de police (Europol).

3. L’utilisation des informations obtenues lors de la consultation du système d’information des douanes est soumise à l’accord de l’État membre qui a introduit les données dans le système. Si ledit État membre autorise l’utilisation de ces informations, leur traitement est régi par la décision 2009/371/JAI. Europol ne peut transférer ces informations à des pays ou instances tiers qu’avec le consentement de l’État qui a introduit les données dans le système.

4. Europol peut demander d’autres informations aux États membres concernés, conformément à la décision 2009/371/JAI.

5. Sans préjudice des paragraphes 3 et 4, il n’appartient pas à Europol de connecter les parties du système d’information des douanes auxquelles il a accès à un système informatisé de collecte des données exploitées par Europol ou en son sein, de transférer les données qu’elles contiennent vers un tel système, ni de télécharger ou de copier de toute autre manière une quelconque partie du système d’information des douanes.

Europol limite l’accès aux données introduites dans le système d’information des douanes au personnel dûment autorisé d’Europol.

Europol autorise l’autorité de contrôle commune, instituée par l’article 34 de la décision 2009/371/JAI, à contrôler les activités d’Europol dans l’exercice de son droit d’accès aux données introduites dans le système d’information des douanes et de consultation desdites données.

6. Aucune disposition du présent article ne doit être interprétée comme affectant les dispositions de la décision 2009/371/JAI relatives à la protection des données et à la responsabilité du fait d’un traitement non autorisé ou incorrect de données par le personnel d’Eurojust, ni comme affectant les prérogatives de l’organe de contrôle commun institué conformément à ladite décision.

Article 12

1. Les membres nationaux d’Eurojust, leurs adjoints, leurs assistants et le personnel dûment autorisé ont le droit, dans les limites de leur mandat et aux fins de l’accomplissement des tâches d’Eurojust, d’accéder aux données introduites dans le système d’information des douanes conformément aux articles 1er, 3 à 6 et 15 à 19, et de les consulter.

2. Lorsqu’il ressort d’une consultation du système par un membre national d’Eurojust, ses adjoints, ses assistants ou des agents dûment autorisés qu’il existe une correspondance entre les informations traitées par Eurojust et les données introduites dans le système d’information des douanes, celui-ci en informe l’État membre qui a introduit les données. Les informations obtenues lors d’une telle consultation ne peuvent être communiquées à des pays ou instances tiers qu’avec le consentement de l’État membre qui a introduit les données.

3. Aucune disposition du présent article ne doit être interprétée comme affectant les dispositions de la décision 2009/426/JAI du Conseil du 16 décembre 2008 sur le renforcement d’Eurojust portant modification de la décision 2002/187/JAI instituant Eurojust afin de renforcer la lutte contre les formes graves de criminalité relatives à la protection des données et à la responsabilité du fait d’un traitement non autorisé ou incorrect de données par les membres nationaux d’Eurojust, leurs adjoints, leurs assistants ou le personnel dûment autorisé, ni comme affectant les prérogatives de l’organe de contrôle commun institué conformément à ladite décision.

4. Aucune des parties du système d’information des douanes auxquelles les membres nationaux d’Eurojust, leurs adjoints, leurs assistants ou le personnel dûment autorisé ont accès ne peut être connectée à un système informatique destiné à la collecte et au traitement des données exploitées par Eurojust ou en son sein, et aucune des données contenues dans les premières ne peut être transférée vers le second, ni aucune partie du système d’information des douanes téléchargée.

5. L’accès aux données introduites dans le système d’information des douanes est limité aux membres nationaux d’Eurojust, à leurs adjoints, à leurs assistants et au personnel dûment autorisé, et ne s’étend pas à d’autres membres du personnel d’Eurojust.

Article 13

1. Seul l’État membre fournisseur a le droit de modifier, de compléter, de rectifier ou d'effacer les données qu’il a introduites dans le système d’information des douanes.

2. Si un État membre fournisseur s’aperçoit ou apprend que les données qu’il a introduites sont de fait inexactes ou qu’elles ont été introduites ou qu’elles sont conservées contrairement à la présente décision, il modifie, complète, rectifie ou efface ces données comme il convient, et en informe les autres États membres, Europol et Eurojust.

3. Si un État membre, Europol ou Eurojust dispose de preuves suggérant qu’un élément des données est de fait inexact ou a été introduit ou est conservé dans le système d’information des douanes contrairement à la présente décision, il en informe dès que possible l’État membre fournisseur. Ce dernier vérifie les données en question et, si nécessaire, rectifie ou efface sans tarder l’élément en cause. L’État membre fournisseur informe les autres États membres, Europol et Eurojust de toute correction ou suppression qu’il a effectuée.

4. Si, au moment où il introduit des données dans le système d’information des douanes, un État membre remarque que son rapport contredit un rapport précédent au niveau des faits ou de l’action requise, il en informe immédiatement l’État membre qui a fait le rapport précédent. Les deux États membres s’efforcent alors de régler l’affaire. En cas de désaccord, le premier rapport est conservé, mais les éléments du nouveau rapport qui ne sont pas en contradiction avec le premier sont introduits dans le système.

5. Sous réserve de la présente décision, quand, dans un État membre, un tribunal ou une autre autorité compétente relevant de cet État membre, prend la décision définitive de modifier, de compléter, de rectifier ou d’effacer des données dans le système d’information des douanes, les États membres s’engagent mutuellement à exécuter cette décision. En cas de conflit entre de telles décisions des tribunaux ou autres autorités compétentes, y compris les autorités de contrôle nationales, qui concernent la rectification ou l’effacement, l’État membre qui a introduit les données en question efface ces données dans le système.

Article 14

Les données à caractère personnel introduites dans le système d’information des douanes ne sont conservées que le temps nécessaire pour atteindre la finalité énoncée à l’article 1er, paragraphe 2, et ne peuvent être conservées plus de cinq ans. Toutefois, à titre exceptionnel, lesdites données peuvent être conservées pendant une période supplémentaire pouvant aller jusqu’à deux ans, lorsque et dans la mesure où une stricte nécessité de le faire pour atteindre cette finalité est établie dans un cas individuel.

Article 15

1. Le système d’information des douanes comprend, outre les données visées à l’article 3, les données relevant du présent chapitre, dans une base de données spéciale (ci-après dénommée «le fichier d’identification des dossiers d’enquêtes douanières»). Sans préjudice des dispositions du présent chapitre et des chapitres VII et VIII, les dispositions de la présente décision s’appliquent également au fichier d’identification des dossiers d’enquêtes douanières. Cependant, l’exception visée à l’article 21, paragraphe 2, n’est pas applicable.

2. La finalité du fichier d’identification des dossiers d’enquêtes douanières est de permettre aux autorités nationales compétentes en matière d’enquêtes douanières, désignées conformément à l’article 7, lorsqu’elles ouvrent un dossier sur une ou plusieurs personnes ou entreprises ou qu’elles enquêtent sur celles-ci, ainsi qu’à Europol et à Eurojust, d’identifier les autorités compétentes des autres États membres qui enquêtent ou ont enquêté sur ces personnes ou entreprises, afin d’atteindre, par le biais d’informations sur l’existence de dossiers d’enquêtes, la finalité visée à l’article 1er, paragraphe 2.

3. Aux fins du fichier d’identification des dossiers d’enquêtes douanières, chaque État membre transmet aux autres États membres, à Europol et à Eurojust, ainsi qu’au comité visé à l’article 27, une liste des infractions pénales prévues par ses lois nationales.

Cette liste ne comprend que les infractions pénales qui sont punies:

a) d’une peine privative de liberté ou d’une mesure de sûreté privative de liberté d’un maximum d’au moins douze mois; ou

b) d’une amende d’au moins 15 000 EUR.

4. Si l’État membre effectuant une recherche dans le fichier d’identification des dossiers d’enquêtes douanières a besoin de plus amples renseignements sur les dossiers d’enquêtes enregistrés concernant une personne ou une entreprise, il demande l’assistance de l’État membre fournisseur, sur la base des instruments en vigueur relatifs à l’assistance mutuelle.

Article 16

1. Les données provenant des dossiers d’enquêtes ne seront introduites dans le fichier d’identification des dossiers d’enquêtes douanières des données qu’aux fins définies à l’article 15, paragraphe 2. Ces données se limitent aux catégories suivantes:

a) une personne ou une entreprise qui fait l’objet ou a fait l’objet d’un dossier d’enquête mené par une autorité compétente d’un État membre, et qui:

i) conformément au droit national de l’État membre concerné, est soupçonnée de commettre, d’avoir commis, de participer ou d’avoir participé à la commission d’une infraction grave aux lois nationales;

ii) a fait l’objet d’une constatation établissant l’une de ces infractions; ou

iii) a fait l’objet d’une sanction administrative ou judiciaire pour une de ces infractions;

b) le domaine concerné par le dossier d’enquête;

c) le nom, la nationalité et les coordonnées de l’autorité de l’État membre traitant, ainsi que le numéro de dossier.

Les données visées aux points a), b) et c) sont introduites dans un registre de données séparément pour chaque personne ou entreprise. La création de liens entre les registres de données n’est pas autorisée.

2. Les données à caractère personnel visées au paragraphe 1, point a), se limitent aux données suivantes:

a) pour les personnes: le nom, le nom de jeune fille, les prénoms, les noms de famille antérieurs et les noms d’emprunt, les date et lieu de naissance, la nationalité et le sexe;

b) pour les entreprises: la raison sociale, le nom utilisé par l’entreprise dans le cadre de son activité, son adresse, l’identifiant TVA et le numéro d’identification pour les droits d’accises.

3. Les données sont introduites pour une durée limitée, conformément à l’article 19.

Article 17

Un État membre n’est pas tenu, dans un cas concret, d’introduire les données visées à l’article 16 si et aussi longtemps que cet enregistrement porte préjudice à l’ordre public ou à d’autres intérêts essentiels, surtout s’il présente un danger immédiat et sérieux pour sa sécurité publique ou la sécurité publique d’un autre État membre ou d’un pays tiers, ou si d’autres intérêts essentiels d’importance égale sont en jeu, ou si les données introduites sont susceptibles de constituer une atteinte grave aux droits des personnes ou de nuire à une enquête en cours.

Article 18

1. L’introduction de données dans le fichier d’identification des dossiers d’enquêtes douanières et leur consultation sont réservées exclusivement aux autorités visées à l’article 15, paragraphe 2.

2. Toute interrogation du fichier d’identification des dossiers d’enquêtes douanières contient nécessairement les données à caractère personnel suivantes:

a) pour les personnes: le prénom, et/ou le nom, et/ou le nom de jeune fille, et/ou les noms de famille antérieurs, et/ou les noms d’emprunt, et/ou la date de naissance;

b) pour les entreprises: la raison sociale, et/ou le nom utilisé par l’entreprise dans le cadre de son activité, et/ou son adresse, et/ou l’identifiant TVA, et/ou le numéro d’identification pour les droits d’accises.

Article 19

1. Les délais de conservation des données sont définis conformément aux lois, réglementations et procédures de l’État membre qui les introduit. Toutefois, les délais ci-après, qui courent à compter de la date d’introduction des données dans le dossier, ne peuvent être dépassés:

a) les données relatives à des dossiers d’enquêtes en cours ne sont pas conservées au-delà d’un délai de trois ans sans qu’aucune infraction n’ait été constatée au cours dudit délai. Les données sont effacées avant l’expiration du délai de trois ans s’il s’est écoulé douze mois depuis le dernier acte d'enquête;

b) les données relatives aux dossiers d’enquêtes ayant donné lieu à la constatation d’une infraction, qui n’ont pas encore abouti à un jugement de condamnation ou au prononcé d’une amende, ne sont pas conservées au-delà d’un délai de six ans;

c) les données relatives à des dossiers d’enquêtes ayant abouti à un jugement de condamnation ou à une amende ne sont pas conservées au-delà d’un délai de dix ans.

2. À toutes les étapes d’une enquête telles que visées au paragraphe 1, points a) à c), dès qu’aux termes des lois et réglementations de l’État membre fournisseur, une personne ou une entreprise relevant de l’article 16 est mise hors de cause, toutes les données relatives à cette personne ou entreprise sont immédiatement effacées.

3. Les données sont automatiquement effacées du fichier d’identification des dossiers d’enquêtes douanières dès que les délais de conservation visés au paragraphe 1 sont dépassés.

Article 20

Sauf dispositions contraires dans la présente décision:

a) les dispositions nationales adoptées en vertu de la directive (UE) 2016/680 s’appliquent au traitement des données à caractère personnel effectué en vertu de la présente décision par les autorités nationales désignées par chaque État membre conformément à l’article 7 de la présente décision;

b) le règlement (UE) 2018/1725 du Parlement européen et du Conseil s’applique au traitement des données à caractère personnel effectué par la Commission en vertu de la présente décision;

c) le règlement (UE) 2016/794 du Parlement européen et du Conseil s’applique au traitement de données à caractère personnel effectué par Europol en vertu de la présente décision; et

d) le règlement (UE) 2018/1727 du Parlement européen et du Conseil s’applique au traitement des données à caractère personnel effectué par Eurojust en vertu de la présente décision.

Article 21

1. Les données ne peuvent être reproduites que pour des raisons techniques, à condition qu’une telle copie soit nécessaire aux fins de recherches d’informations effectuées par les autorités visées à l’article 7.

2. Sous réserve de l’article 8, paragraphe 1, les données à caractère personnel introduites par d’autres États membres ne peuvent pas être copiées du système d’information des douanes dans d’autres fichiers de données nationaux, sauf en cas de copies dans des systèmes de gestion des risques chargés d’orienter les contrôles douaniers au niveau national ou de copies dans un système d’analyse opérationnelle permettant de coordonner les actions. Ces copies ne peuvent être effectuées qu’en cas de nécessité pour une affaire ou une enquête particulière.

3. Dans les deux cas d’exception visés au paragraphe 2, seuls les analystes autorisés par les autorités nationales de chaque État membre sont habilités à traiter les données à caractère personnel issues du système d’information des douanes dans le cadre d’un système de gestion des risques chargé d’orienter les contrôles douaniers par les autorités nationales ou dans le cadre d’un système d’analyse opérationnelle permettant de coordonner les actions.

4. Chaque État membre envoie aux autres États membres et au comité visé à l’article 27 une liste des services de gestion des risques dont relèvent les analystes autorisés, en vertu du paragraphe 3 du présent article, à copier et à traiter les données à caractère personnel introduites dans le système d’information des douanes.

5. Les données à caractère personnel copiées du système d’information des douanes ne peuvent être conservées que durant le temps nécessaire pour atteindre le but pour lequel elles ont été copiées. La nécessité de leur détention est réexaminée au moins une fois par an par l’État membre qui a effectué la copie. Le délai de conservation n’excède pas dix ans. Les données à caractère personnel qui ne sont pas nécessaires à la poursuite de l’analyse opérationnelle sont immédiatement effacées ou rendues anonymes.

Article 22

Article supprimé.

[Article supprimé par l'acte CELEX 32024R0868]

Article 23

Article supprimé.

[Article supprimé par l'acte CELEX 32024R0868]

Article 24

Article supprimé.

[Article supprimé par l'acte CELEX 32024R0868]

Article 25

Article supprimé.

[Article supprimé par l'acte CELEX 32024R0868]

Article 26

1. Le Contrôleur européen de la protection des données est chargé de contrôler le traitement des données à caractère personnel par la Commission en vertu de la présente décision et de veiller à ce qu’il soit effectué conformément à la présente décision. Les tâches et pouvoirs visés aux articles 57 et 58 du règlement (UE) 2018/1725 s’appliquent en conséquence.

2. Le Contrôleur européen de la protection des données réalise tous les cinq ans au minimum, un audit du traitement des données à caractère personnel par la Commission en vertu de la présente décision, répondant aux normes internationales d’audit. Un rapport sur cet audit est communiqué au Parlement européen, au Conseil, à la Commission et aux autorités de contrôle nationales.

3. Le Contrôleur européen de la protection des données et les autorités de contrôle nationales, agissant chacun dans les limites de leurs compétences respectives, coopèrent activement dans le cadre de leurs responsabilités afin d’assurer un contrôle coordonné du fonctionnement du système d’information des douanes conformément à l’article 62 du règlement (UE) 2018/1725.

Article 27

1. Un comité, composé de représentants des administrations douanières des États membres, est institué. Le comité prend ses décisions à l’unanimité dans le cas du paragraphe 2, point a), et à la majorité des deux tiers dans le cas du paragraphe 2, point b). Il arrête son règlement intérieur à l’unanimité.

2. Le comité est responsable:

a) de la mise en œuvre et de la bonne application de la présente décision, sans préjudice des pouvoirs de contrôle des autorités nationales et du Contrôleur européen de la protection des données;

b) du bon fonctionnement du système d’information des douanes, en ce qui concerne les aspects techniques et opérationnels. Il prend toutes les mesures nécessaires pour assurer la bonne application des mesures définies aux articles 14 et 28 en ce qui concerne le système d’information des douanes.

Aux fins du présent paragraphe, il peut avoir un accès direct aux données introduites dans le système d’information des douanes et les utiliser directement.

3. Le comité doit faire rapport annuellement au Conseil, conformément au titre VI du traité sur l’Union européenne, en ce qui concerne l’efficacité et le bon fonctionnement du système d’information des douanes, en faisant, au besoin, des recommandations. Ledit rapport est adressé, pour information, au Parlement européen.

4. La Commission participe aux travaux du comité.

Article 28

1. Toutes les mesures administratives nécessaires au maintien de la sécurité sont prises par:

a) les autorités compétentes des États membres en ce qui concerne les terminaux du système d’information des douanes situés dans leurs États membres respectifs, ainsi que par Europol et Eurojust;

b) le comité visé à l’article 27 en ce qui concerne le système d’information des douanes et les terminaux, situés dans les mêmes locaux que le système d’information des douanes et utilisés pour des raisons techniques et pour les contrôles visés au paragraphe 3 du présent article.

2. Les autorités compétentes, Europol, Eurojust et le comité visé à l’article 27 prennent notamment des mesures pour:

a) empêcher toute personne non autorisée d’avoir accès aux installations utilisées pour le traitement des données;

b) empêcher que des données et des supports de données ne soient lus, copiés, modifiés ou effacés par des personnes non autorisées;

c) empêcher l’introduction non autorisée de données ainsi que toute consultation, toute modification ou tout effacement non autorisés de données;

d) empêcher toute personne non autorisée d’avoir accès aux données du système d’information des douanes au moyen de matériel de transmission de données;

e) garantir que, en ce qui concerne l’utilisation du système d’information des douanes, les personnes autorisées ne peuvent accéder qu’aux données relevant de leur compétence;

f) garantir qu’il est possible de contrôler et d’établir à quelles autorités les données peuvent être communiquées au moyen de matériel de transmission de données;

g) garantir qu’il est possible de contrôler et d’établir a posteriori quelles données ont été introduites dans le système d’information des douanes, à quel moment et par qui, et de contrôler l’interrogation;

h) empêcher toute lecture, copie, modification ou effacement non autorisés de données pendant la transmission de données et le transport de supports de données;

i) garantir que les systèmes installés puissent être rétablis en cas d’interruption;

j) garantir le bon fonctionnement du système, que les défaillances du système soient signalées et que les données à caractère personnel conservées ne puissent pas être corrompues par un dysfonctionnement du système.

3. Le comité visé à l’article 27 contrôle l’interrogation du système d’information des douanes afin de vérifier que les recherches effectuées étaient permises et ont été effectuées par des utilisateurs autorisés. Au moins 1 % de toutes les interrogations font l’objet de contrôles. Un relevé de ces interrogations et de ces contrôles est introduit dans le système et ne sert que pour la finalité susmentionnée par ledit comité, les autorités de contrôle nationales et le Contrôleur européen de la protection des données. Il est effacé après six mois.

Article 29

L’administration douanière compétente visée à l’article 10, paragraphe 1, est responsable des mesures de sécurité visées à l’article 28, en ce qui concerne les terminaux situés sur le territoire de l’État membre concerné, des examens visés aux articles 14 et 19, ainsi que, par ailleurs, de la bonne application de la présente décision, dans la mesure nécessaire au regard des lois, réglementations et procédures dudit État membre.

Article 30

2. Chaque État membre est responsable, conformément à son droit national, de tout dommage causé à une personne par l’utilisation du système d’information des douanes. Il en va de même lorsque le dommage est causé par un État membre qui a introduit des données erronées ou les a introduites ou stockées de manière illicite.

3. Si un État membre destinataire verse des dommages et intérêts pour un préjudice causé par l’utilisation de données erronées introduites dans le système d’information des douanes par un autre État membre, ce dernier rembourse à l’État membre destinataire les sommes versées à titre de dédommagements, en tenant compte de toute faute ayant éventuellement été commise par l’État membre destinataire.

4. Europol et Eurojust sont responsables conformément aux actes qui les ont institués.

Article 31

1. Les coûts afférents à l’acquisition, à l’étude, au développement et à la maintenance de l’infrastructure informatique centrale (matérielle), des logiciels et des connexions de réseaux spécialisés ainsi qu’aux services de production, de soutien et de formation y afférents, qui sont indissociables du fonctionnement du système d’information des douanes aux fins de l’application des réglementations douanière et agricole communautaires ainsi qu’à l’utilisation du système d’information des douanes par les États membres sur leur territoire, y compris les frais de communication, sont supportés par le budget général des Communautés européennes.

2. Les frais liés à la maintenance des postes de travail/des terminaux nationaux entraînés par la mise en œuvre de la présente décision sont à la charge des États membres.

Article 32

Les informations fournies en vertu de la présente décision s’échangent directement entre les autorités des États membres.

Article 33

Les États membres adoptent les dispositions de droit interne nécessaires pour se conformer à la présente décision, au plus tard le 27 mai 2011.

Article 34

1. La présente décision remplace la convention SID ainsi que le protocole du 12 mars 1999 rédigé sur la base de l’article K.3 du traité sur l’Union européenne relatif au champ d’application du blanchiment de revenus dans la convention sur l’emploi de l’informatique dans le domaine des douanes et à l’inclusion du numéro d’immatriculation du moyen de transport dans la convention, et le protocole du 8 mai 2003 établi conformément à l’article 34 du traité sur l’Union européenne, modifiant, en ce qui concerne la création d’un fichier d’identification des dossiers d’enquêtes douanières, la convention sur l’emploi de l’informatique dans le domaine des douanes, et ce à partir du 27 mai 2011.

2. Par conséquent, la convention SID et les protocoles visés au paragraphe 1 sont abrogés avec effet à la date d’application de la présente décision.

Article 35

Sauf disposition contraire de la présente décision, les mesures d’application de la convention SID et des protocoles visés à l’article 34, paragraphe 1, sont abrogées avec effet au 27 mai 2011.

Article 36

1. La présente décision entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.

2. Elle est applicable à partir du 27 mai 2011.