Règlement d’exécution (UE) 2024/3210 de la Commission du 18 décembre 2024 portant modalités d’application du règlement (UE) 2023/956 du Parlement européen et du Conseil en ce qui concerne le registre MACF

Le présent règlement établit les règles applicables à l’infrastructure et aux processus et procédures spécifiques du registre MACF.

Aux fins du présent règlement, on entend par: 1) «composante nationale»: une composante des systèmes électroniques élaborée au niveau national et accessible à l’État membre qui l’a créée; 2) «système transeuropéen»: un ensemble de systèmes collaboratifs dont les responsabilités sont réparties entre les administrations nationales et la Commission et qui est élaboré en coopération avec la Commission; 3) «demandeur»: un importateur, ou un représentant en douane indirect, qui demande à obtenir le statut de déclarant MACF autorisé.

1 Le registre MACF est une base de données électronique normalisée et sécurisée qui contient des éléments de données des comptes MACF, des déclarations MACF, des demandes d’octroi du statut de déclarant MACF, de l’enregistrement des exploitants, des rapports de vérification rédigés par les vérificateurs accrédités et qui permet d’accéder aux données, de traiter les dossiers et d’assurer la confidentialité.

2 Le registre MACF permet la communication, la notification, l’enregistrement, les contrôles et les échanges d’informations entre la Commission, les autorités compétentes, les autorités douanières et les déclarants MACF autorisés, les demandeurs, les personnes dont le statut de déclarant MACF autorisé a été révoqué et les exploitants.

3 Le registre MACF permet d’accomplir les tâches analytiques inhérentes aux fonctions d’analyse des risques du MACF que la Commission exécute.

4 La Commission est le propriétaire du système pour le registre MACF.

1 Le registre MACF comporte les composantes suivantes: a) le portail MACF destiné aux déclarants (MACF PD); b) le portail MACF destiné aux autorités nationales compétentes (MACF ANC); c) le portail MACF destiné à la Commission européenne (MACF COM); d) le portail MACF destiné aux exploitants (MACF Exploitant).

2 L’autorité compétente de l’État membre d’établissement du déclarant MACF autorisé et l’autorité compétente dont relève une personne autre qu’un déclarant MACF autorisé qui introduit des marchandises sur le territoire douanier de l’Union dans les cas prévus à l’article 26, paragraphe 2, du règlement (UE) 2023/956, communiquent à la Commission les décisions relatives aux sanctions au moyen du registre MACF.

1 Le registre MACF est interopérable avec les systèmes suivants: a) le système de gestion uniforme des utilisateurs et de signature numérique (UUM&DS) permettant de gérer l’enregistrement et l’accès des utilisateurs, visé à l’article 16 du règlement d’exécution (UE) 2023/1070, pour les États membres, la Commission, les déclarants MACF autorisés, les demandeurs et les personnes dont l’autorisation a été révoquée; b) le système d’enregistrement et d’identification des opérateurs économiques (EORI), visé à l’article 30 du règlement d’exécution (UE) 2023/1070, permettant la vérification croisée des données EORI figurant à l’annexe I du présent règlement; c) le système Surveillance, développé par l’intermédiaire du projet Surveillance 3 (SURV3) dans le cadre du CDU, visé à l’article 99 du règlement d’exécution (UE) 2023/1070; d) le tarif intégré de l’Union européenne (TARIC), visé dans le règlement (CEE) no 2658/87; e) le système de gestion des risques en matière douanière visé à l’article 36 du règlement d’exécution (UE) 2015/2447 et à l’article 69 du règlement d’exécution (UE) 2023/1070.

2 Le registre MACF permet une coopération numérique par l’intermédiaire de l’environnement de guichet unique de l’UE pour les douanes, visé à l’article 3 du règlement (UE) 2022/2399.

La Commission et les autorités compétentes désignent, pour chacune des composantes et chacun des systèmes visés aux articles 4 et 5, des points de contact chargés d’échanger des informations afin d’assurer la coordination de la conception, de l’exploitation et de la maintenance de ces composantes. Les autorités compétentes peuvent recourir aux points de contact existants. La Commission et les États membres se transmettent les coordonnées des points de contact et s’informent mutuellement et sans délai de toute modification des coordonnées de ceux-ci.

La Commission propose les conditions de collaboration, l’accord de niveau de service et un plan de sécurité, qui sont soumis à l’approbation des autorités compétentes. La Commission exploite le registre MACF conformément aux conditions de collaboration.

1 L’authentification et la vérification de l’accès des déclarants MACF autorisés, des demandeurs et des personnes dont le statut de déclarant MACF autorisé a été révoqué, aux fins de l’accès aux composantes du registre MACF, sont effectuées au moyen du système UUM&DS.

2 La Commission fournit les services d’authentification permettant aux utilisateurs du registre MACF d’y accéder de manière sécurisée.

3 La Commission utilise le système UUM&DS pour autoriser et octroyer l’accès au registre MACF à son personnel.

4 L’autorité compétente d’un État membre utilise le système UUM&DS pour autoriser et octroyer l’accès au registre MACF à son personnel, aux déclarants MACF autorisés, aux demandeurs et aux personnes dont le statut de déclarant MACF autorisé a été révoqué, qui sont établis dans cet État membre.

5 L’autorité compétente d’un État membre peut utiliser un système de gestion de l’identification et de l’accès mis en place dans son État membre (système douanier national eIDAS) pour fournir les authentifiants nécessaires afin d’accéder au registre MACF.

6 Le demandeur, le déclarant MACF autorisé ou les personnes dont le statut de déclarant MACF autorisé a été révoqué peuvent déléguer l’accès au registre MACF à des personnes agissant pour leur compte. Les délégataires restent responsables de l’exécution des obligations qui leur incombent en vertu du règlement (UE) 2023/956.

1 Le portail MACF destiné aux déclarants constitue le point d’entrée unique dans le registre MACF pour les déclarants MACF autorisés et pour les demandeurs. Il est accessible depuis l’internet.

2 Le portail MACF destiné aux déclarants est utilisé pour les actions suivantes: a) les demandes d’octroi du statut de déclarant MACF autorisé et de révocation de ce statut; b) les présentations des déclarations MACF; c) les notifications et la communication liées aux obligations découlant du MACF, y compris la gestion des déclarations MACF.

3 L’accès au portail MACF destiné aux déclarants est géré conformément à l’article 8.

1 Le portail MACF destiné aux exploitants constitue le point d’entrée unique dans le registre MACF pour les exploitants. Il est accessible depuis l’internet.

2 Le portail MACF destiné aux exploitants est utilisé par les exploitants conformément à l’article 10 du règlement (UE) 2023/956 pour les actions suivantes: a) enregistrer les informations relatives aux exploitants et à leurs installations; b) enregistrer les informations relatives aux marchandises produites par une installation; c) enregistrer les données d’émission et les rapports de vérification; d) recevoir des notifications et des communications relatives à leur enregistrement et à leur utilisation des informations dans le registre MACF.

3 Un exploitant qui souhaite obtenir l’accès au portail MACF destiné aux exploitants présente à la Commission une demande d’attribution de profil. Cette demande est accompagnée des documents justificatifs attestant l’enregistrement légal de l’exploitant ou d’une preuve d’activité dans le pays tiers d’établissement, y compris le nom, l’adresse, les coordonnées et le numéro national d’enregistrement de société ou d’activité. Cette demande est accompagnée d’éléments de preuve démontrant que la personne qui présente la demande est autorisée à agir pour le compte de l’exploitant et de documents prouvant l’identité de cette personne. Lorsque les documents justificatifs sont suffisants pour attester l’exactitude des informations présentées, la Commission attribue le profil demandé à l’exploitant qui en a fait la demande.

4 L’exploitant utilise le service central d’accès de l’UE géré par la Commission pour demander l’accès au registre MACF.

1 Le portail MACF destiné aux autorités nationales compétentes constitue le point d’entrée unique dans le registre MACF pour les autorités compétentes. Il est accessible depuis l’internet.

2 Le portail MACF destiné aux autorités nationales compétentes est utilisé pour accomplir les tâches prévues par le règlement (UE) 2023/956, y compris les notifications et la communication.

3 Le registre MACF permet de transférer les données nécessaires dans le registre et à partir de celui-ci pour permettre aux autorités compétentes de remplir leurs obligations.

4 L’accès au portail MACF destiné aux autorités compétentes est géré conformément à l’article 8.

1 Le portail MACF destiné à la Commission européenne constitue le point d’entrée unique dans le registre MACF pour la Commission.

2 Le portail MACF destiné à la Commission européenne est utilisé par la Commission pour accomplir les tâches prévues par le règlement (UE) 2023/956.

3 L’accès au portail MACF destiné à la Commission européenne est géré conformément à l’article 8.

Les États membres mettent en place un nouveau système UUM&DS de gestion des identités et des accès ou utilisent leur propre système douanier UUM&DS pour les fonctions suivantes: a) l’enregistrement et le stockage sécurisés des données d’identification des déclarants MACF autorisés, des demandeurs et d’autres personnes ayant accès au registre MACF; b) l’échange sécurisé des données d’identification signées et chiffrées des déclarants MACF autorisés, des demandeurs et d’autres personnes ayant accès au registre MACF.

1 Les composantes du registre MACF sont conçues, testées, déployées et gérées par la Commission et peuvent être testées par les États membres.

2 La Commission conçoit et gère les spécifications communes des interfaces énumérées aux articles 4, 5 et 11 en étroite coopération avec les États membres.

3 Lorsqu’il y a lieu, la Commission définit, en étroite coopération avec les autorités compétentes, des spécifications techniques communes qui sont soumises à révision par ces autorités, en vue de leur déploiement en temps utile. La Commission et les États membres collaborent avec les déclarants MACF, les demandeurs et d’autres parties prenantes.

4 En collaboration avec les autorités compétentes, la Commission procède à des tests et à la validation de l’interopérabilité entre le registre MACF et les systèmes visés à l’article 5 afin de garantir que les données sont vérifiées de manière précise, efficace et confidentielle.

1 La Commission assure la maintenance du registre MACF.

2 La Commission met à jour les composantes du registre MACF pour corriger des dysfonctionnements et peut ajouter de nouvelles fonctionnalités ou modifier des fonctionnalités existantes.

3 La Commission informe à l’avance les autorités compétentes, les déclarants MACF autorisés et les exploitants des modifications et mises à jour apportées aux composantes du registre MACF.

1 En cas de panne temporaire du registre MACF, les déclarants MACF et les demandeurs communiquent les informations requises pour se conformer à leurs obligations découlant du MACF au titre du règlement (UE) 2023/956 par les moyens précisés dans le plan de continuité des opérations du MACF.

2 La Commission informe les autorités compétentes de toute indisponibilité majeure du registre MACF qui aura une incidence sur les niveaux de disponibilité définis dans les accords de niveau de service visés à l’article 7.

3 La Commission informe les déclarants MACF autorisés et les exploitants des exigences, des principales mises à jour et de l’indisponibilité de longue durée du registre MACF conformément au plan de continuité des opérations du MACF.

1 La Commission soutient les autorités compétentes en ce qui concerne l’utilisation et le fonctionnement des composantes du registre MACF en fournissant le matériel de formation et de communication.

2 Les autorités compétentes fournissent un soutien au service d’assistance national destiné aux déclarants MACF autorisés et aux demandeurs.

Les données à caractère personnel enregistrées dans le registre MACF et les composantes des systèmes électroniques conçus au niveau national sont traitées par les autorités compétentes et la Commission aux fins suivantes: a) authentification et gestion des accès; b) traitement et gestion des demandes; c) présentation et gestion des déclarations MACF; d) suivi, contrôle et réexamen des déclarations MACF; e) gestion de l’exploitant et du vérificateur; f) gestion des certificats MACF; g) communications et notifications; h) respect des règles; i) fonctionnement de l’infrastructure informatique, y compris l’interopérabilité avec les systèmes nationaux et les systèmes décentralisés transeuropéens au titre du présent règlement; j) statistiques et examen du fonctionnement du règlement (UE) 2023/956; k) analyse des risques et surveillance des pratiques de contournement; l) vérification visant à contrôler que l’importation de marchandises et la réexportation de marchandises, dans les cas prévus à l’article 2, paragraphe 2, du règlement (UE) 2023/956, sont effectuées par un déclarant MACF autorisé.

1 La Commission est responsable du traitement pour: a) le traitement des données à caractère personnel aux fins de la gestion des accès au portail destiné à la Commission conformément à l’article 12 du présent règlement; b) le traitement des données à caractère personnel enregistrées sur le portail MACF destiné aux exploitants; c) l’utilisation, la validation et la consultation de données EORI ou d’autres données aux fins de l’analyse des risques et de la surveillance des pratiques de contournement conformément aux articles 15 et 27 du règlement (UE) 2023/956.

2 L’autorité compétente est responsable du traitement pour: a) le traitement des données à caractère personnel pour prendre des décisions sur l’octroi et la révocation des autorisations des déclarants MACF conformément au règlement (UE) 2023/956; b) le traitement des données à caractère personnel pour prendre des décisions sur les sanctions conformément à l’article 26 du règlement (UE) 2023/956; c) le traitement des données à caractère personnel aux fins de la gestion des accès des déclarants établis dans leur État membre conformément aux articles 8, 11 et 13 du présent règlement; d) le traitement des données à caractère personnel des vérificateurs accrédités.

3 L’autorité compétente et la Commission sont les responsables conjoints du traitement pour: a) la gestion du registre MACF; b) le traitement des données à caractère personnel aux fins de la gestion des déclarations MACF conformément au règlement (UE) 2023/956; c) le traitement des données à caractère personnel aux fins de la gestion des certificats MACF conformément au règlement (UE) 2023/956.

Lorsqu’un responsable du traitement reçoit une demande d’une personne concernée qui ne relève pas de sa responsabilité conformément à l’article 19, il transmet celle-ci dans les plus brefs délais et au plus tard dans un délai de trois jours ouvrables à compter de la réception de la demande au responsable du traitement.

1 Toutes les informations contenues dans le registre MACF sont considérées comme confidentielles. Les déclarants MACF autorisés et les demandeurs peuvent accéder à leurs données à caractère personnel enregistrées dans le registre MACF après leur enregistrement dans le registre.

2 Les exploitants peuvent accéder à leurs données à caractère personnel enregistrées dans le registre MACF après leur enregistrement dans ledit registre. Conformément à l’article 10 du règlement (UE) 2023/956, les déclarants MACF autorisés peuvent accéder aux données à caractère personnel enregistrées par les exploitants dans le registre MACF ou traiter ces données d’une autre manière, lorsque l’autorisation à cet égard a été accordée par les exploitants.

3 La Commission et les autorités compétentes peuvent accéder aux données à caractère personnel et aux autres données provenant des déclarations en douane d’importation pour les marchandises ne figurant pas à l’annexe I du règlement (UE) 2023/956 et traiter ces données d’une autre manière, conformément aux articles 15, 19 et 27 du règlement (UE) 2023/956. La Commission et les autorités compétentes peuvent accéder aux données du système EORI et traiter ces données d’une autre manière, conformément aux articles 15, 19 et 27 du règlement (UE) 2023/956.

1 La Commission met en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité du système après consultation des autorités compétentes.

2 Les autorités compétentes mettent en œuvre les mesures organisationnelles appropriées pour assurer la sécurité du système.

3 Les mesures techniques et organisationnelles visées aux paragraphes 1 et 2 du présent article visent à: a) garantir la sécurité, l’intégrité, la confidentialité, la disponibilité et la continuité des données à caractère personnel traitées; b) se prémunir contre le traitement, l’altération, la perte, l’utilisation et la divulgation non autorisés ou illégaux de toute donnée à caractère personnel en leur possession ou contre l’accès non autorisé ou illégal à ces données; c) limiter la divulgation de données à caractère personnel ou l’accès à celles-ci à toute personne autre que les destinataires prévus conformément au présent règlement et au règlement (UE) 2023/956.

4 La Commission et les autorités compétentes se notifient mutuellement et se prêtent assistance en cas d’incidents de sécurité critiques déclenchant le plan de continuité des opérations du MACF lorsque ces incidents entraînent une violation de données à caractère personnel au sens de l’article 4, point 12), du règlement (UE) 2016/679 et de l’article 3, point 16), du règlement (UE) 2018/1725.

5 La Commission procède à des évaluations des composantes du registre MACF et analyse la sécurité et l’intégrité de ces composantes, ainsi que la confidentialité des données qui y sont traitées.

1 Lorsqu’elles traitent des données à caractère personnel aux fins énumérées à l’article 18, les autorités compétentes et la Commission ne conservent les données que pendant le temps nécessaire à la réalisation de l’objectif poursuivi et pendant une durée maximale de sept ans à compter de l’enregistrement des données à caractère personnel dans le registre MACF.

2 Nonobstant le paragraphe 1, lorsqu’un recours a été formé ou lorsque des procédures judiciaires ont été engagées en ce qui concerne des données stockées dans le registre MACF, lesdites données sont conservées jusqu’à la clôture de la procédure de recours ou des procédures judiciaires et ne sont utilisées qu’aux fins de la procédure de recours ou des procédures judiciaires.

Le présent règlement entre en vigueur le jour suivant celui de sa publication au Journal officiel de l’Union européenne. Il est applicable à partir du 31 décembre 2024.