Sur la finalité du traitement :
Le traitement NCVI a vocation à permettre aux exploitants vitivinicoles de saisir et de déposer par voie électronique leurs déclarations de récoltes, de production, de stock et de pratiques œnologiques ainsi que de consulter leurs obligations de distillation des sous-produits de la vinification.
Il vise également à répondre au principe posé par l'organisation communautaire des marchés agricoles dans le secteur vitivinicole, à savoir disposer d'une connaissance appropriée de la production, avec transmission des informations ainsi recueillies à la Commission européenne conformément aux règlements communautaires en vigueur.
En outre, le traitement permet à la DGDDI et la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) de consulter et de modifier (sous certaines conditions), les données télédéclarées par les exploitants vitivinicoles ainsi que de saisir les déclarations reçues sur formulaire papier.
Plus précisément, les téléservices concernés sont les suivants :
― le téléservice dénommé « Déclaration de récolte » permet aux récoltants de raisin de déposer leur déclaration de récolte et aux récoltants producteurs de vins de déposer leurs déclarations de récolte et de production. Il permet également aux caves coopératives de déposer, au nom et pour le compte des récoltants qui leur ont donné mandat, tout ou partie de leur déclaration de récolte. Il permet enfin au comité interprofessionnel du vin de Champagne (CIVC), au conseil interprofessionnel des vins d'Alsace (CIVA) et au Bureau national interprofessionnel du Cognac (BNIC) de transférer à l'administration des douanes, les déclarations de récolte spécifiques qu'ils ont recueillies auprès de leurs ressortissants en application de l'article 4 de l'arrêté du 4 avril 2005 susvisé ;
― le téléservice dénommé « SV11 » permet aux caves coopératives de déposer leur déclaration de production ;
― le téléservice dénommé « SV12 » permet aux négociants vinificateurs et aux élaborateurs de produits dérivés de déposer leur déclaration de production ;
― le téléservice dénommé « OENO » permet aux récoltants de vinificateurs, aux caves coopératives, aux négociants vinificateurs et aux entreprises de négoce de déposer leurs déclarations de pratiques œnologiques ;
― le téléservice dénommé « Déclaration de stock » permet aux récoltants producteurs de vins et de produits vitivinicoles, aux caves coopératives et aux bailleurs stockeurs de déposer leur déclaration de stock ;
― le téléservice dénommé « DOSPROV » permet aux récoltants, aux récoltants vinificateurs, aux négociants vinificateurs, aux élaborateurs de produits dérivés et aux caves coopératives de consulter en ligne leurs obligations de distillation des sous-produits de la vinification, le détail du mode de calcul des quantités et de transmettre ces informations à la ou les distilleries agréées de leur ressort territorial. Il permet également aux récoltants d'éditer les notifications pour leurs bailleurs à fruits et bailleurs à stockeurs qui ne disposent pas d'un accès au téléservice.
Au regard de ce qui précède, la commission estime que les finalités du traitement sont déterminées, explicites et légitimes au sens de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les données traitées :
Les données traitées pour chacun des téléservices sont mentionnées à l'article 3 du projet d'arrêté.
Pour les données d'identification des professionnels concernés, sont principalement concernés : le nom ou la raison sociale, le numéro SIREN, le numéro de casier viticole informatisé (CVI), les caractéristiques des parcelles viticoles et la nature des exploitations.
Des données d'ordre économique et financier relatives par exemple aux volumes récoltés, aux stocks et plus généralement aux productions de richesses sont également recueillies.
La commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les destinataires :
Ont accès à la totalité ou à une partie des données mentionnées à l'article 3, à raison de leurs attributions :
― les agents de la DGDDI, de la DGCCRF et de la DGFIP ;
― les agents des services du ministère de l'agriculture, de l'alimentation, de la pêche et de la ruralité (MAAPR) chargés d'études économiques et statistiques et du suivi du secteur vitivinicole ;
― les agents de la direction générale des politiques économiques, européenne et internationale du ministère de l'agriculture contribuent à assurer la cohérence du NCVI avec les réglementations communautaires ;
― les agents de rétablissement national des produits de l'agriculture et de la mer (FranceAgriMer) et les agents de l'Institut national de l'origine et de la qualité (INAO).
La commission relève que tous ces agents font l'objet d'une désignation individuelle et d'une habilitation spéciale par leur responsable hiérarchique et que les personnes chargées du recueil et du traitement sont en nombre limité.
Elle considère que ces destinataires ont un intérêt légitime à accéder aux données du traitement dénommé « NCVI ».
Sur la durée de conservation des données :
Conformément aux prescriptions communautaires, les données des déclarations de récolte, de production, de pratiques œnologiques et de stock sont conservées durant les quatre campagnes vitivinicoles qui suivent la date de dépôt de la déclaration correspondante par l'exploitant vitivinicole.
De même, les données relatives à la distillation obligatoire des sous-produits de la vinification sont conservées durant les trois campagnes vitivinicoles qui suivent la date de notification des quantités à distiller.
La commission considère que les durées de conservation sont proportionnées au regard des finalités du traitement.
Sur les droits des personnes concernées :
La commission relève qu'une mention d'information, conforme aux dispositions de l'article 32 de la loi du B janvier 1978 modifiée, est portée sur les formulaires d'adhésion et que la page « webmestre » du portail PRODOUANE.
Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du service de la DGDDI chargés de la gestion des activités vitivinicoles dans le ressort duquel se situe le siège de l'exploitation ou de l'entreprise.
Le droit d'opposition prévu par l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au présent traitement.
Sur la sécurité des données et la traçabilité des actions :
La commission constate que la traçabilité des actions effectuées par les utilisateurs du traitement est assurée, de même que la sécurité des postes de travail et du réseau ainsi que des sauvegardes.
Elle relève en outre que la connexion aux applications « NCVI » est effectuée via un protocole sécurisé de type HTTPS, ce qui garantit la confidentialité des données échangées, et que seuls les agents spécifiquement habilités ont accès au traitement.
La commission rappelle néanmoins que la mise en ligne des téléservices doit respecter les dispositions relatives au référentiel général de sécurité (RGS), créé par l'article 9 de l'ordonnance n° 2005-1516 du 8 décembre 2005. En particulier, en matière d'authentification, un système de hachage avec clé secrète (dit HMAC) doit être mis en place conformément au RGS.
La commission prend acte que les données contenues dans le NCVI circulent exclusivement sur le territoire français et ne sont communicables qu'à des destinataires établis sur le territoire français, et que le sous-traitant ne dispose pas d'un accès aux données traitées par les applications hébergées sur son serveur.
Enfin, elle observe que l'usager se connecte aux téléservices au moyen d'une authentification forte, en l'espèce en utilisant un mot de passe composé d'un minimum de huit caractères et d'une complexité suffisante.
L'ensemble de ces mesures visent à empêcher toute utilisation détournée ou frauduleuse des données ou que des tiers non autorisés y aient accès et sont conformes aux dispositions de l'article 34 de loi du 6 janvier 1978 modifiée.