Sur la proposition de. M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement,
Emet l'avis suivant :
La commission a été saisie, par le ministre des finances et des comptes publics, d'un dossier de formalité préalable relatif à la mise en oeuvre, par la direction générale des douanes et droits indirects (DGDDI), d'un traitement automatisé dénommé « SIDECAR ». Ce traitement vise à permettre le dépôt en ligne des demandes de remboursement partiel ou d'exonération de la taxe intérieure de consommation (TIC) ainsi que le traitement de ces dossiers par les agents des douanes.
Il prend notamment la forme d'un téléservice, accessible via le site internet ProDouanes, à destination des opérateurs agréés chargés d'effectuer des relevés de consommation sur les systèmes dédiés aux opérateurs possédant un Système de Comptabilisation de la Consommation de Carburant (SCCC) et des transporteurs routiers nationaux de marchandises et de voyageurs.
Dans la mesure où le traitement envisagé constitue un téléservice de l'administration électronique mis à la disposition des usagers, sa création doit être autorisée par arrêté ministériel pris après avis motivé et publié de la commission, en application des dispositions de l'article 27-ll-4°de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
Le traitement géré par l'application SIDECAR permet d'assurer le traitement, par les agents des douanes, des demandes de remboursement partiel de la taxe intérieure de consommation sur les produits pétroliers (TIC). En effet, les produits pétroliers soumis à la TIC, prévue à l'article 265 du code des douanes, peuvent bénéficier de régimes d'exonération, de réduction de taux et de franchises, en fonction de la nature des produits ou de leur utilisation finale.
L'ensemble des organismes suivants peuvent demander le remboursement partie de la TIC :
les exploitants de taxis ;
les transports publics routiers en commun de voyageurs,
les transporteurs routiers de marchandises,
les opérateurs possédant un système de comptabilisation de la consommation
de carburant (SCCC).
Le SCCC est un système embarqué agréée par les douanes qui permet de comptabiliser avec précision les consommations de gazole de véhicules industriels hors propulsion. Un enregistreur permet de distinguer et de gérer les consommations de carburant susceptibles de bénéficier des remboursements du différentiel de TIC.
L'application SIDECAR est également destinée à la gestion des demandes d'exonération de TIC pour les biocarburants, au profit des destinataires enregistrés ou des entrepositaires agréés de produits énergétiques. Il s'agit des compagnies pétrolières, des grands magasins et grandes surfaces et d'autres opérateurs de plus petite importance qui commercialisent des carburants. Ces opérateurs ont le statut d'entrepositaire agréé (EA) de produits énergétiques (article 158 octies du code des douanes) ou de destinataire enregistré (DE) de produits énergétiques (article 158 nonies du code des douanes).
Ces opérateurs bénéficient d'une réduction du taux de la TICPE pour les biocarburants mis à la consommation en France dans les carburants auxquels ils sont incorporés.
Le traitement SIDECAR vise donc à permettre la simplification des démarches administratives pour l'ensemble de ces usagers ainsi que la rationalisation du traitement de ces demandes pour l'administration.
Dès lors, la commission prend acte de ces finalités, qui apparaissent déterminées, explicites et légitimes, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
L'article 3 du projet d'arrêté liste les données à caractère personnel qui seront traitées dans l'application projetée.
Ces données sont relatives, pour tous les régimes de remboursement, à l'identification des contacts et de la personne morale ainsi qu'aux coordonnées postales, électroniques et bancaires du demandeur.
Des données supplémentaires sont collectées pour les demandes d'exonération de TIC pour les biocarburants (numéros d'accises et informations relatives aux sites et aux agréments) ainsi que pour les transporteurs routiers de marchandises (code APE).
Des données relatives à la vie professionnelle sont également enregistrées dans le traitement. Elles varient en fonction des organismes demandeurs et concernent l'activité de chacun de ces organismes (parc de véhicules déclarés pour les transporteurs routiers, autorisations de stationnement pour les taxis, etc.) ainsi que le type et la consommation de carburants ou de biocarburants.
Toutes ces données sont nécessaires au traitement des demandes de remboursement destinées aux agents des douanes, et en particulier à la liquidation et au pré-mandatement des remboursements partiels de taxe intérieure de consommation.
Enfin, des données de connexion des utilisateurs du traitement sont collectées.
La commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (-3°) de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
L'article 4 du projet d'arrêté prévoit que les données sont conservées pendant trois ans et l'année en cours à compter de leur enregistrement.
Le ministère précise que cette durée correspond au droit de reprise de l'administration fiscale défini par l'article 354 du code des douanes, qui peut en effet s'exercer pendant un délai de trois ans à compter du fait générateur.
Les données techniques de connexion sont conservées un mois.
La commission estime que dès lors que ces durées sont conformes aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires du traitement :
L'article 5 du projet d'arrêté prévoit que seuls ont accès, à raison de leurs attributions et dans la limite du besoin d'en connaître, à la totalité ou à une partie des données et informations :
- les agents des bureaux de la direction générale des douanes et droits indirects ;
- les agents des services d'enquête de la direction générale des douanes et droits indirects ;
- les agents des directions interrégionales des douanes et droits indirects ;
- les agents de l'administration centrale de la direction générale des douanes et droits indirects.
SIDECAR est accessible par une connexion Intranet pour les agents des douanes affectés aux missions de liquidation et de pré-mandatement des remboursements partiels de TIC.
L'article 5 du projet d'arrêté prévoit enfin que les agents de la direction générale des finances publiques en fonction dans les directions régionales des finances publiques pourront également être destinataires des données du traitement (comptables assignataires de la dépense).
Dans la mesure où l'ensemble de ces agents sont individuellement habilités et où des profils d'accès spécifiques permettant d'assurer un accès limité aux seules informations nécessaires à l'exercice des missions de chacun de ces agents, cette liste n'appelle pas d'observations particulières de la part de la commission.
Sur les droits des personnes :
Le droit d'information des personnes concernées par le traitement se matérialise par des mentions sur le site web dédié â SIDECAR, par affichage de l'arrêté et sur les formulaires de demandes de remboursement. L'information est également présentée dans la charte d'utilisation de la téléprocédure.
La commission considère que ces modalités d'information des personnes sont satisfaisantes.
La direction générale des douanes et droits indirects est en charge des droits d'accès et de rectification tels que prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée.
La commission observe en outre qu'une procédure alternative au téléservice mis en oeuvre permet aux usagers d'effectuer des demandes des remboursements de carburant auprès des services des douanes.
Sur la sécurité des données et la traçabilité des actions:
Concernant la sécurité mise en oeuvre dans le cadre du traitement SIDECAR, la commission estime que les éléments ci-après permettent d'assurer le respect de la confidentialité et de l'intégrité des données traitées.
Ainsi, seuls les utilisateurs dûment habilités et authentifiés auront accès à cette application. La commission prend acte du fait que l'authentification des utilisateurs se fera par le biais d'un certificat client.
Un flux chiffré sera mis en oeuvre pour assurer tant la transmission sécurisée des données entre les différents sites, que les accès des utilisateurs à l'application.
La commission constate que la traçabilité des actions effectuées par les utilisateurs du traitement est assurée.
Elle rappelle néanmoins que la mise ligne des téléservices doit respecter les dispositions relatives au référentiel général de sécurité (RGS), conformément au décret n° 2010-112 du 2 février 2010 susvisé.
Sous cette réserve, les mesures de sécurité décrites par le responsable de traitement sont dès lors conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.