Règlement d’exécution (UE) 2024/3084 de la Commission du 4 décembre 2024 relatif au fonctionnement du système d’information prévu par le règlement (UE) 2023/1115 du Parlement européen et du Conseil relatif à la mise à disposition sur le marché de l’Union et à l’exportation à partir de l’Union de certains produits de base et produits associés à la déforestation et à la dégradation des forêts

Le présent règlement établit les règles de fonctionnement du système d’information, y compris les règles relatives à la protection des données à caractère personnel et à l’échange de données avec d’autres systèmes informatiques.

1 La Commission: a) développe le système d’information en tant que module indépendant de la plateforme Traces; b) assure le fonctionnement et la maintenance du système d’information, fournit une assistance et procède aux mises à jour ou développements requis.

2 Le système d’information est utilisé par les opérateurs et les commerçants et, le cas échéant, par leurs mandataires, aux fins de la présentation et de la gestion des déclarations de diligence raisonnée et de la vérification de la validité des numéros de référence, ainsi que par les autorités compétentes, les autorités douanières et la Commission en vue d’accéder aux déclarations de diligence raisonnée et d’agir à leur égard, y compris en ce qui concerne l’échange d’informations contenant des données à caractère personnel entre les autorités compétentes, les autorités douanières et la Commission en lien avec la mise en œuvre et le contrôle de l’application du règlement (UE) 2023/1115. Tout échange d’informations de ce type est conforme aux règles relatives à la protection des données à caractère personnel énoncées dans le règlement (UE) 2016/679 et le règlement (UE) 2018/1725.

3 Les déclarations de diligence raisonnée sont attribuées dans le système d’information aux autorités compétentes dans l’ordre suivant: a) si l’utilisateur du système d’information fournit des informations indiquant l’État membre dans lequel le produit en cause entre sur le marché de l’Union ou à partir duquel il le quitte, ou, à défaut, lorsque le produit en cause est mis sur le marché ou mis à disposition sur le marché, les déclarations de diligence raisonnée sont attribuées aux autorités compétentes de cet État membre; b) en l’absence des informations requises au point a), les déclarations de diligence raisonnée sont attribuées aux autorités compétentes de l’État membre dans lequel l’utilisateur du système d’information est établi. Si l’utilisateur du système d’information est établi en dehors de l’Union, les déclarations de diligence raisonnée sont attribuées aux autorités compétentes de l’État membre auquel l’utilisateur du système d’information est associé en fonction de son identifiant fourni lors de l’enregistrement dans le système d’information.

Aux fins du présent règlement, outre les définitions figurant à l’article 2 du règlement (UE) 2023/1115, à l’article 4 du règlement (UE) 2016/679 et à l’article 3 du règlement (UE) 2018/1725, on entend par: a) «système d’information»: le système d’information mis en place par la Commission et dont la Commission assure la maintenance conformément à l’article 33 du règlement (UE) 2023/1115; b) «acteur du système d’information»: les autorités compétentes et les autorités douanières visées par le règlement (UE) 2023/1115, ainsi que la Commission, en ce qu’elles accomplissent les tâches qui leur sont confiées conformément au règlement (UE) 2023/1115; c) «utilisateur du système d’information»: les opérateurs et les commerçants, ainsi que leurs mandataires, le cas échéant, visés par le règlement (UE) 2023/1115, qui sont identifiés par un enregistrement individuel dans EU Login, le service d’authentification des utilisateurs de la Commission européenne; d) «déclaration de diligence raisonnée»: la déclaration de diligence raisonnée présentée par l’utilisateur du système d’information conformément au règlement (UE) 2023/1115; e) «numéro de référence»: le numéro de référence attribué par le système d’information à la déclaration de diligence raisonnée présentée par l’utilisateur du système d’information conformément au règlement (UE) 2023/1115; f) «numéro de vérification»: un numéro de sécurité attribué par le système d’information à la déclaration de diligence raisonnée présentée par l’utilisateur du système d’information afin d’assurer une sécurité supplémentaire des données contenues dans la déclaration de diligence raisonnée; g) «profilage des risques»: l’identification des risques de non-conformité d’un produit en cause relevant du champ d’application du règlement (UE) 2023/1115 au sein du système d’information, sur la base de critères de risque, aux fins de l’attribution à chaque déclaration de diligence raisonnée présentée dans le système d’information, y compris après une éventuelle modification de celle-ci, d’un statut de risque.

1 Sauf lorsque la déclaration de diligence raisonnée est mise à disposition par l’intermédiaire de l’interface électronique visée à l’article 28, paragraphe 2, du règlement (UE) 2023/1115, les utilisateurs du système d’information présentent et gèrent les déclarations de diligence raisonnée des produits en cause dans le système d’information.

2 Lorsqu’un produit en cause contient du bois ou a été fabriqué avec du bois, les utilisateurs du système d’information indiquent dans la déclaration de diligence raisonnée les noms communs et les noms scientifiques complets des essences de bois que les produits en cause contiennent ou avec lesquels ils ont été fabriqués.

1 Le système d’information permet à ses utilisateurs de modifier ou de retirer les déclarations de diligence raisonnée dans les 72 heures suivant la mise à disposition dans le système d’information du numéro de référence de la déclaration de diligence raisonnée.

2 Les déclarations de diligence raisonnée ne peuvent pas être modifiées ou retirées durant la période fixée au paragraphe 1 après que la déclaration de diligence raisonnée a été utilisée comme référence dans une déclaration de diligence raisonnée présentée par le même utilisateur ou par un autre utilisateur du système d’information.

3 La déclaration de diligence raisonnée n’est ni modifiée ni retirée par un utilisateur du système d’information après que: a) l’utilisateur du système d’information a été informé de l’intention d’effectuer un contrôle concernant la déclaration de diligence raisonnée ou le produit en cause associé à la déclaration de diligence raisonnée, pendant la durée du contrôle; b) le produit en cause a été mis sur le marché de l’Union ou mis à disposition sur le marché de l’Union conformément au règlement (UE) 2023/1115; c) le numéro de référence de la déclaration de diligence raisonnée a été fourni aux autorités douanières ou mis à la disposition de celles-ci avant la mise en libre pratique ou l’exportation d’un produit en cause entrant sur le marché ou quittant le marché dans le cadre des procédures établies au chapitre 4 du règlement (UE) 2023/1115.

4 Sans préjudice des paragraphes 2 et 3, sur demande individuelle et motivée d’un utilisateur du système d’information, les autorités compétentes peuvent prolonger le délai visé au paragraphe 1, uniquement après que celui-ci a expiré. Cette prolongation n’excède pas huit jours civils. La demande est fondée sur des raisons indépendantes de la volonté de l’utilisateur du système d’information, qui, dans sa demande motivée, indique que le paragraphe 3 du présent article n’est pas applicable. Cette prolongation est également possible avec effet rétroactif après l’expiration du délai visé au paragraphe 1.

5 Une déclaration de diligence raisonnée modifiée fait l’objet d’un profilage des risques conformément à l’article 6. Le profilage des risques s’applique à l’ensemble de la déclaration de diligence raisonnée modifiée.

1 Le système d’information permet aux autorités compétentes de recenser, au sein du système d’information, les situations dans lesquelles des produits en cause présentent un risque si élevé de non-conformité qu’une action immédiate est nécessaire avant que ces produits soient mis sur le marché, mis à disposition sur le marché ou exportés, conformément à l’article 17 du règlement (UE) 2023/1115, et de s’informer afin de déterminer les contrôles à effectuer et d’accomplir les tâches qui leur sont confiées au titre du chapitre 3 du règlement (UE) 2023/1115.

2 Aux fins du paragraphe 1, le système d’information permet aux autorités compétentes d’établir des profils de risque dans le système d’information afin de faciliter une prise de décision éclairée pour sélectionner les opérateurs, les commerçants ou les produits en cause associés aux déclarations de diligence raisonnée sur lesquels effectuer des contrôles. Ces profils de risque sont fondés, entre autres, sur les critères de risque énoncés dans leur plan annuel de contrôle, conformément à l’article 16, paragraphe 5, du règlement (UE) 2023/1115, lequel plan est établi conformément à une approche fondée sur les risques, conformément au paragraphe 3 du même article.

3 Lorsqu’elle est présentée dans le système d’information, chaque déclaration de diligence raisonnée fait l’objet d’un profilage des risques électronique automatisé. Le système d’information attribue un statut de risque à chaque déclaration de diligence raisonnée.

4 À tout moment après la présentation d’une déclaration de diligence raisonnée, les autorités compétentes peuvent examiner une déclaration de diligence raisonnée afin de déterminer si un produit en cause est conforme à l’article 3 du règlement (UE) 2023/1115. Dans ce cas, elles peuvent attribuer un nouveau statut de risque à la déclaration de diligence raisonnée à l’issue de l’examen. Si l’autorité compétente attribue un nouveau statut de risque à une déclaration de diligence raisonnée, ce nouveau statut prévaut sur un statut de risque attribué en vertu du paragraphe 3 du présent article.

1 Le système d’information attribue dans les meilleurs délais un numéro de référence et un numéro de vérification à la déclaration de diligence raisonnée présentée par l’utilisateur du système d’information à l’issue du profilage des risques visé à l’article 6.

2 Le numéro de référence et le numéro de vérification sont mis à la disposition de l’utilisateur du système d’information à l’issue du profilage des risques visé à l’article 6.

3 Le système d’information permet aux autorités compétentes de reporter la mise à disposition du numéro de référence afin d’établir que les produits en cause sont conformes à l’article 3 du règlement (UE) 2023/1115 et, en particulier, de vérifier que la situation détectée visée à l’article 6, paragraphe 1, du présent règlement n’est pas applicable à ce produit en cause. Ce report est aussi court que possible et n’excède pas la période fixée à l’article 17, paragraphe 3, du règlement (UE) 2023/1115. Il peut être prolongé à la discrétion de l’autorité compétente.

1 Afin d’éviter qu’un produit en cause non conforme au règlement (UE) 2023/1115 ne soit mis sur le marché, mis à disposition sur le marché ou exporté, conformément à l’article 17 du même règlement, les autorités compétentes peuvent rejeter une déclaration de diligence raisonnée, à moins que le numéro de référence de cette déclaration n’ait déjà été mis à la disposition de l’utilisateur du système d’information.

2 Le produit en cause déclaré dans une déclaration de diligence raisonnée rejetée est réputé ne pas faire l’objet d’une déclaration de diligence raisonnée comme requis par l’article 3, point c), du règlement (UE) 2023/1115.

3 Le rejet est pris en compte dans le système d’information par l’attribution d’un statut spécifique à la déclaration de diligence raisonnée concernée.

Outre les tâches énumérées à l’article 2, paragraphe 1, la Commission est chargée d’exécuter les tâches suivantes relatives au système d’information: a) fournir des connaissances, des formations et un soutien, y compris une assistance technique, aux utilisateurs et aux acteurs du système d’information en ce qui concerne l’utilisation de ce système; b) octroyer l’accès au système d’information aux acteurs désignés par chaque État membre; c) octroyer l’accès au système d’information à ses utilisateurs, sous la supervision des autorités compétentes; d) effectuer des opérations de traitement de données à caractère personnel dans le système d’information, lorsque le présent règlement l’exige, ou aux fins de la mise en œuvre et du contrôle de l’application au titre du règlement (UE) 2023/1115; e) fournir des services web permettant aux utilisateurs du système d’information de présenter et de gérer de manière automatisée les déclarations de diligence raisonnée dans le système d’information; f) fournir des services web permettant aux autorités compétentes des États membres d’exécuter de manière automatisée, dans le système d’information, des tâches concernant les déclarations de diligence raisonnée présentées; g) fournir l’interface électronique prévue à l’article 28 du règlement (UE) 2023/1115; h) suspendre et révoquer l’accès d’un utilisateur du système d’information, à la demande des autorités compétentes de l’État membre dans lequel il est établi ou, si l’utilisateur est établi en dehors de l’Union, des autorités compétentes de l’État membre auquel il est associé, en fonction de l’identifiant fourni lors de son enregistrement dans le système d’information.

1 Seuls les utilisateurs du système d’information enregistrés ont accès au système d’information.

2 L’authentification dans le système d’information se fait par l’intermédiaire d’EU Login, le service d’authentification de la Commission européenne.

3 Les utilisateurs du système d’information ont accès aux informations contenues dans le système d’information qu’ils ont transmises ou auxquelles un autre utilisateur du système d’information leur a donné accès au moyen des numéros de référence et des numéros de vérification des déclarations de diligence raisonnée associées.

1 La Commission a accès à l’ensemble des données, informations et documents du système d’information aux fins de la production de rapports et du développement, du fonctionnement et de la maintenance du système.

2 La Commission octroie des droits d’accès aux acteurs du système d’information et les révoque, le cas échéant, à la suite des modifications concernant les autorités compétentes visées à l’article 14, paragraphe 2, du règlement (UE) 2023/1115.

3 L’authentification dans le système d’information se fait par l’intermédiaire d’EU Login, le service d’authentification de la Commission européenne.

4 Les acteurs du système d’information mettent en place des moyens appropriés pour garantir que les utilisateurs individuels représentant les acteurs du système d’information dans ce système ne sont autorisés à accéder aux données à caractère personnel traitées dans le système d’information que lorsque cela est strictement nécessaire à la mise en œuvre et au contrôle de l’application au titre du règlement (UE) 2023/1115.

5 Les acteurs du système d’information ont accès à toutes les informations pertinentes contenues dans le système d’information qui sont nécessaires aux fins de l’exécution des obligations et tâches qui leur incombent en vertu du règlement (UE) 2023/1115.

1 La transmission, la conservation et tout autre traitement de données à caractère personnel dans le système d’information ne peuvent avoir lieu que dans la mesure où cela est nécessaire et proportionné, et uniquement aux fins suivantes: a) la facilitation des communications entre les acteurs du système d’information dans le cadre de la mise en œuvre et du contrôle de l’application au titre du règlement (UE) 2023/1115; b) le traitement de dossiers par les acteurs du système d’information dans l’exercice de leurs propres activités de mise en œuvre et de contrôle de l’application au titre du règlement (UE) 2023/1115; c) la conversion commerciale et technique des données énumérées dans le présent règlement, lorsque cela est nécessaire pour permettre l’échange et l’utilisation d’informations visés aux points a) et b).

2 Le traitement de données à caractère personnel dans le système d’information ne peut avoir lieu que pour les catégories suivantes de données à caractère personnel: a) données d’identification: nom et prénom, identifiant unique comprenant le numéro d’enregistrement et d’identification des opérateurs économiques («EORI»), conformément à l’article 9 du règlement (UE) no 952/2013 du Parlement européen et du Conseil , le cas échéant; b) coordonnées professionnelles: adresse électronique et postale, pays de résidence ou pays du siège statutaire, numéro de téléphone et numéro de télécopieur, le cas échéant; c) rôle de l’utilisateur du système d’information; d) données relatives à la géolocalisation conformément à l’article 2, paragraphe 28, du règlement (UE) 2023/1115, lorsque des personnes physiques peuvent être identifiées; e) authentification de l’utilisateur et données d’accès au système d’information: adresse IP et nom d’utilisateur.

3 Le système d’information conserve les catégories de données à caractère personnel énumérées au paragraphe 2 qui sont traitées aux fins de la mise en œuvre et du contrôle de l’application au titre du règlement (UE) 2023/1115.

4 La conservation des données visée au paragraphe 2 s’effectue au moyen d’infrastructures informatiques situées dans l’Espace économique européen.

5 Le système d’information conserve les données à caractère personnel contenues dans les déclarations de diligence raisonnée pour une période maximale de dix ans à compter de la date à laquelle une déclaration de diligence raisonnée est présentée dans le système d’information. La période de conservation peut être prolongée par la Commission à la demande individuelle des utilisateurs ou des acteurs du système d’information lorsque cela est nécessaire pour qu’ils s’acquittent des responsabilités et obligations qui leur incombent en vertu du règlement (UE) 2023/1115.

6 Sans préjudice des activités de traitement des données visées à l’article 14, chaque acteur du système d’information est un responsable du traitement distinct au sens des règlements (UE) 2016/679 et (UE) 2018/1725 en ce qui concerne les activités de traitement des données qu’il effectue.

7 Les autorités de contrôle nationales et le Contrôleur européen de la protection des données, agissant chacun dans le cadre de leurs compétences respectives, assurent une surveillance coordonnée du système d’information et de son utilisation par les acteurs et les utilisateurs du système d’information conformément à l’article 62 du règlement (UE) 2018/1725.

1 La Commission est un responsable du traitement au sens de l’article 3, point 8), du règlement (UE) 2018/1725 en ce qui concerne le traitement de données à caractère personnel des utilisateurs du système d’information, y compris lors de l’enregistrement d’utilisateurs du système d’information dans ce dernier.

2 Lorsque la Commission traite des données à caractère personnel dans le cadre du fonctionnement du système d’information pour le compte d’autres acteurs du système d’information aux fins de l’échange d’informations au titre de l’article 27 du règlement (UE) 2023/1115, elle est considérée comme un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725.

3 La Commission est un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725 pour le traitement des données à caractère personnel effectué pour les enquêtes conjointes conduites conformément à l’article 21 du règlement (UE) 2023/1115 dans le cadre de la mise en œuvre et du contrôle de l’application au titre du règlement (UE) 2023/1115.

Lorsque les autorités compétentes et les autorités douanières telles quelles sont définies dans le règlement (UE) 2023/1115 procèdent à la mise en œuvre et au contrôle de l’application en coopération les unes avec les autres conformément à l’article 21 du règlement (UE) 2023/1115, les autorités compétentes et les autorités douanières concernées sont responsables conjointes du traitement, au sens de l’article 26, paragraphe 1, du règlement (UE) 2016/679, pour la transmission, la conservation et tout autre traitement de données à caractère personnel dans le système d’information dans le cadre de cette coopération particulière. Lorsque l’article 26, paragraphe 1, du règlement (UE) 2016/679 l’exige, les responsables du traitement déterminent leurs responsabilités respectives en matière de respect des obligations au titre du règlement (UE) 2016/679 au moyen d’un accord entre eux.

1 La Commission met en place les mesures de pointe nécessaires pour garantir la sécurité des données à caractère personnel traitées dans le système d’information, y compris des mesures appropriées de contrôle de l’accès aux données et un plan de sécurité, qui est tenu à jour.

2 La Commission met en place les mesures de pointe nécessaires en cas d’incident de sécurité, prend des mesures correctives et veille à ce qu’il soit possible de vérifier quelles données à caractère personnel ont été traitées dans le système d’information, à quel moment, par qui et à quelles fins.

3 La Commission informe les autorités compétentes des mesures visées aux paragraphes 1 et 2 du présent article.

1 Les États membres et la Commission appliquent chacun leurs propres règles en matière de secret professionnel, ou autres obligations de confidentialité équivalentes en ce qui concerne le système d’information conformément à leur droit national ou au droit de l’Union.

2 Les acteurs du système d’information veillent chacun à ce que les personnes travaillant sous leur autorité respectent les demandes présentées par d’autres acteurs du système d’information visant à obtenir le traitement confidentiel d’informations échangées dans le système d’information.

1 La Commission met le système d’information à disposition dans toutes les langues officielles de l’Union.

2 Un acteur du système d’information peut produire et utiliser, en lien avec l’exécution de toute tâche qui lui a été confiée conformément au règlement (UE) 2023/1115, tous documents, informations, constatations, déclarations ou copies certifiées conformes qu’il a reçus dans le système d’information, sur la même base que des informations similaires obtenues dans son propre pays, à des fins compatibles avec celles pour lesquelles les données ont été initialement collectées et conformément au droit de l’Union et au droit national applicables.

1 Les coûts engagés pour la mise en place, la maintenance et le fonctionnement du système d’information sont à la charge de la Commission.

2 Les coûts associés au système d’information au niveau national, y compris les ressources humaines nécessaires aux activités de formation, de promotion et d’assistance technique, ainsi qu’à l’utilisation du système d’information au niveau national et à toute adaptation à apporter aux réseaux et systèmes d’information nationaux, sont à la charge de l’État membre qui les engage.

Le présent règlement entre en vigueur le troisième jour suivant celui de sa publication au Journal officiel de l’Union européenne.