Règlement (UE) 2024/868 du Parlement européen et du Conseil du 13 mars 2024 modifiant la décision 2009/917/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l’Union relatives à la protection des données à caractère personnel

«2 La finalité du système d’information des douanes, conformément à la présente décision, est d’aider les autorités compétentes des États membres dans la prévention et la détection des infractions pénales prévues par les lois nationales, et les enquêtes et poursuites en la matière, en rendant les données plus rapidement disponibles et en renforçant ainsi l’efficacité des procédures de coopération et de contrôle des administrations douanières des États membres.».

«1 Les États membres décident des éléments à introduire dans le système d’information des douanes correspondant à chacune des catégories visées à l’article 3, paragraphe 1, dans la mesure où cette action est nécessaire pour atteindre la finalité de ce système. Des données à caractère personnel ne doivent en aucun cas être introduites dans la catégorie visée à l’article 3, paragraphe 1, point e).»

«5 En aucun cas, les catégories particulières de données à caractère personnel visées à l’article 10 de la directive (UE) 2016/680 ne sont introduites dans le système d’information des douanes.».

«2 Aux fins des actions visées au paragraphe 1, les données à caractère personnel qui entrent dans les catégories visées à l’article 3, paragraphe 1, ne peuvent être introduites dans le système d’information des douanes que si des motifs raisonnables, en particulier sur la base d’activités illégales préalables, portent à croire que la personne en question a commis, est en train de commettre ou commettra une infraction pénale prévue par les lois nationales.».

«1 L’accès direct aux données du système d’information des douanes est réservé aux autorités nationales désignées par chaque État membre. Lesdites autorités nationales sont des administrations douanières, mais peuvent également inclure d’autres autorités habilitées, conformément aux lois, réglementations et procédures de l’État membre en question, à agir pour atteindre la finalité énoncée à l’article 1er, paragraphe 2.»

«1 Les autorités nationales désignées par chaque État membre conformément à l’article 7, Europol et Eurojust peuvent traiter des données à caractère personnel provenant du système d’information des douanes dans le but d’atteindre la finalité énoncée à l’article 1er, paragraphe 2, conformément au droit de l’Union ou au droit national applicable à la protection des données à caractère personnel, avec l’autorisation préalable des autorités nationales désignées de l’État membre qui ont introduit les données à caractère personnel dans ce système et sous réserve du respect de toute condition imposée par celles-ci. Les autorités nationales désignées par chaque État membre, Europol et Eurojust peuvent traiter des données à caractère non personnel provenant du système d’information des douanes afin d’atteindre la finalité énoncée à l’article 1er, paragraphe 2, ou à d’autres fins, y compris administratives, dans le respect des conditions imposées par les autorités nationales désignées de l’État membre qui ont introduit les données à caractère non-personnel dans ce système.

2 Sans préjudice des paragraphes 1 et 4 du présent article, et des articles 11 et 12, les données provenant du système d’information des douanes ne peuvent être exploitées que par les autorités nationales dans chaque État membre désignées par l’État membre concerné, qui sont compétentes pour agir afin d’atteindre la finalité visée à l’article 1er, paragraphe 2, conformément aux lois, réglementations et procédures dudit État membre.»

«4 Les données à caractère personnel provenant du système d’information des douanes peuvent, avec l’autorisation préalable des autorités nationales désignées de l’État membre qui les ont introduites dans le système et sous réserve du respect des conditions qu’elles ont imposées, être: a) transmises à des autorités nationales autres que celles désignées au titre du paragraphe 2 et traitées ultérieurement par celles-ci, conformément au droit de l’Union ou au droit national applicable à la protection des données à caractère personnel; ou b) transférées aux autorités compétentes de pays tiers ainsi qu’à des organisations internationales ou régionales et traitées ultérieurement par celles-ci, conformément au droit de l’Union ou au droit national applicable à la protection des données à caractère personnel. Les données à caractère non-personnel provenant du système d’information des douanes peuvent être transférées à des autorités nationales autres que celles désignées en vertu du paragraphe 2, des pays tiers ainsi qu’à des organisations internationales ou régionales, et traitées ultérieurement par ces entités, dans le respect des conditions imposées par les autorités nationales désignées de l’État membre qui a introduit les données à caractère non personnel dans ce système.».

«5 Sous réserve de la présente décision, quand, dans un État membre, un tribunal ou une autre autorité compétente relevant de cet État membre, prend la décision définitive de modifier, de compléter, de rectifier ou d’effacer des données dans le système d’information des douanes, les États membres s’engagent mutuellement à exécuter cette décision. En cas de conflit entre de telles décisions des tribunaux ou autres autorités compétentes, y compris les autorités de contrôle nationales, qui concernent la rectification ou l’effacement, l’État membre qui a introduit les données en question efface ces données dans le système.».

Les données à caractère personnel introduites dans le système d’information des douanes ne sont conservées que le temps nécessaire pour atteindre la finalité énoncée à l’article 1er, paragraphe 2, et ne peuvent être conservées plus de cinq ans. Toutefois, à titre exceptionnel, lesdites données peuvent être conservées pendant une période supplémentaire pouvant aller jusqu’à deux ans, lorsque et dans la mesure où une stricte nécessité de le faire pour atteindre cette finalité est établie dans un cas individuel.».

Sauf dispositions contraires dans la présente décision: a) les dispositions nationales adoptées en vertu de la directive (UE) 2016/680 s’appliquent au traitement des données à caractère personnel effectué en vertu de la présente décision par les autorités nationales désignées par chaque État membre conformément à l’article 7 de la présente décision; b) le règlement (UE) 2018/1725 du Parlement européen et du Conseil s’applique au traitement des données à caractère personnel effectué par la Commission en vertu de la présente décision; c) le règlement (UE) 2016/794 du Parlement européen et du Conseil s’applique au traitement de données à caractère personnel effectué par Europol en vertu de la présente décision; et d) le règlement (UE) 2018/1727 du Parlement européen et du Conseil s’applique au traitement des données à caractère personnel effectué par Eurojust en vertu de la présente décision.

1 Le Contrôleur européen de la protection des données est chargé de contrôler le traitement des données à caractère personnel par la Commission en vertu de la présente décision et de veiller à ce qu’il soit effectué conformément à la présente décision. Les tâches et pouvoirs visés aux articles 57 et 58 du règlement (UE) 2018/1725 s’appliquent en conséquence.

2 Le Contrôleur européen de la protection des données réalise tous les cinq ans au minimum, un audit du traitement des données à caractère personnel par la Commission en vertu de la présente décision, répondant aux normes internationales d’audit. Un rapport sur cet audit est communiqué au Parlement européen, au Conseil, à la Commission et aux autorités de contrôle nationales.

3 Le Contrôleur européen de la protection des données et les autorités de contrôle nationales, agissant chacun dans les limites de leurs compétences respectives, coopèrent activement dans le cadre de leurs responsabilités afin d’assurer un contrôle coordonné du fonctionnement du système d’information des douanes conformément à l’article 62 du règlement (UE) 2018/1725.».

L’administration douanière compétente visée à l’article 10, paragraphe 1, est responsable des mesures de sécurité visées à l’article 28, en ce qui concerne les terminaux situés sur le territoire de l’État membre concerné, des examens visés aux articles 14 et 19, ainsi que, par ailleurs, de la bonne application de la présente décision, dans la mesure nécessaire au regard des lois, réglementations et procédures dudit État membre.».

Au plus tard le 9 octobre 2025, sans préjudice de l’application du présent règlement, les données à caractère personnel introduites dans le système d’information des douanes avant le 8 avril 2024 sont réexaminées par les États membres qui les ont introduites et, si nécessaire, mises à jour ou supprimées afin de s’assurer que leur traitement est conforme à la décision 2009/917/JAI telle qu’elle est modifiée par le présent règlement.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.