Dispositif douanier CIRCE : l’avis clé de la CNIL sur les données de transport

Accès douanier aux données de transport et protection des données personnelles : analyse de la délibération n° 2026-073 de la CNIL

1. La délibération n° 2026-073 du 9 juillet 2026 de la Commission nationale de l’informatique et des libertés (CNIL), publiée au Journal officiel de la République française du 2 août 2026 (Texte 57 sur 85), porte avis sur un projet de décret relatif portant application des articles L. 412-3 à L. 412-7 du code des douanes. Cette saisine, enregistrée sous le n° de demande d’avis 26011264, émane du ministère de l’économie, des finances et de la souveraineté industrielle, énergétique et numérique, sur le fondement de l’article 8-I 4) a de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« loi informatique et libertés »). Les textes concernés sont la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic et le code des douanes.

2. L’essentiel de la délibération est structuré en trois points. D’abord, le projet de décret précise les conditions de mise en œuvre du dispositif autorisant l’administration douanière à accéder aux données des opérateurs de transport et prestataires de service postaux afin de faciliter la recherche et la prévention d’infractions liées à la criminalité organisée. Ensuite, pour assurer le respect du principe de minimisation, la CNIL invite le ministère à limiter les informations permettant d’identifier les personnes physiques à ce qui est strictement nécessaire. Enfin, elle accueille favorablement la gestion stricte des habilitations et la mise en œuvre d’une authentification multifacteur pour les agents accédant au traitement CIRCE (Collecte d’Informations pour la Recherche et le Ciblage des Échanges).

3. Dans la partie I consacrée à la saisine, la CNIL rappelle le contexte de la loi du 13 juin 2025 visant à sortir la France du piège du narcotrafic, dite « loi contre le narcotrafic », qui a renforcé les compétences de l’administration douanière en matière de lutte contre la fraude, la criminalité organisée et le narcotrafic. L’article 6 de cette loi a modifié l’article 67 sexies du code des douanes, désormais recodifié aux articles L. 412-3 à L. 412-7 du code des douanes. Ces dispositions permettent à la direction générale des douanes et des droits indirects (DGDDI), sur autorisation préalable du Premier ministre, d’accéder aux données relatives à l’identification et à la traçabilité du trafic international des marchandises, des moyens de transport et des personnes contenues dans les traitements automatisés des opérateurs de transports et des prestataires de services postaux.

4. La loi précise que l’autorisation du Premier ministre, prise après proposition motivée du ministre en charge des douanes, établit la liste des entreprises auxquelles l’administration douanière peut demander la communication de ces informations. Seuls les agents des douanes individuellement habilités sont autorisés à accéder au traitement. Le code des douanes autorise la DGDDI à mettre en œuvre, à partir de ces données, des traitements pour la recherche et la prévention de délits douaniers généralement commis par des réseaux criminels concevant des schémas de fraudes particulièrement complexes, notamment le délit de contrebande et l’importation ou l’exportation sans déclaration commis en bande organisée (article L. 513-5), le délit de fausse déclaration ou non communication de document pour obtenir un avantage financier (article L. 513-9), le délit de blanchiment douanier commis en bande organisée (article L. 513-14) et les délits d’infraction à la législation relative aux relations financières avec l’étranger (articles L. 542-1, L. 542-2 et L. 542-5).

5. La loi prévoit également l’interdiction de mise en relation de ces dispositifs avec tout autre traitement de données et proscrit la possibilité de fonder un acte de poursuite ou une décision individuelle automatisée à partir de ces seuls résultats. Elle impose qu’un décret en Conseil d’Etat, pris après avis de la CNIL, détermine les modalités d’application des articles L. 412-3 à L. 412-5 du code des douanes. C’est dans ce cadre que la CNIL est saisie d’un projet de décret créant le traitement CIRCE, dont la finalité est de faciliter la recherche et la prévention des infractions douanières mentionnées aux articles L. 513-5, L. 513-9, L. 513-14, L. 542-1, L. 542-2 et L. 542-5, en s’appuyant sur l’accès et la collecte de données des opérateurs de transport et de logistique (données d’identification et de traçabilité) et sur leur exploitation à des fins d’analyse de risque et de ciblage.

6. La CNIL souligne que les analyses réalisées dans le cadre de CIRCE doivent permettre d’établir une cartographie de la fraude douanière intervenant sur les vecteurs de transport concernés par le narcotrafic, avec des indicateurs permettant d’évaluer et de suivre l’évolution des tendances de cette fraude. Les résultats doivent contribuer à l’amélioration de la connaissance des schémas de fraude par la DGDDI et à l’orientation des contrôles douaniers. Le projet de décret détermine les catégories de données traitées, les modalités d’exercice du droit d’accès et du droit de rectification, les conditions de mise en œuvre de la procédure d’autorisation d’accès aux données des opérateurs et prestataires, les modalités d’accès et d’utilisation de ces données par les agents de la DGDDI, ainsi que les modalités de destruction des données à l’expiration de la durée de conservation maximale de deux ans, telle qu’autorisée par l’article L. 412-5 du code des douanes.

7. Dans la partie II, la CNIL formule son avis. Sur les données collectées auprès des opérateurs de transport et des prestataires de service postaux, elle examine d’abord la procédure d’autorisation préalable par le Premier ministre, précisée par le projet d’article R. 412-6 du code des douanes. Les demandes d’autorisation doivent être formulées par écrit par le ministre chargé des douanes et préciser la liste des entreprises concernées, ainsi que les éléments permettant d’apprécier pour chaque entreprise la pertinence de la collecte au regard des objectifs poursuivis. Lorsque le Premier ministre accorde son autorisation, il désigne individuellement chaque opérateur de transport et prestataire de services postaux auprès duquel la DGDDI peut obtenir l’accès et la communication des données pendant trois mois. La liste des données auxquelles l’administration douanière aura accès pour chaque entreprise est définie dans les conventions de mise à disposition conclues entre la DGDDI et chaque opérateur, conformément à l’article L. 4412-5 du code des douanes. Les demandes de renouvellement doivent être motivées et respecter les mêmes conditions que la demande initiale.

8. La CNIL considère que cette procédure d’autorisation préalable est de nature à limiter les entreprises concernées et, in fine, à mieux cibler les données collectées, en tenant compte de leur pertinence au regard des objectifs poursuivis par le traitement. S’agissant des catégories de données collectées, le projet de décret précise que la DGDDI peut obtenir, pour le trafic international de marchandises et pour tous les vecteurs de transport (aérien, ferroviaire, routier, maritime et fluvial), des données relatives à l’identification, aux caractéristiques et au trajet parcouru par les marchandises et moyens de transport, afin de retracer la chaîne logistique. Ces informations sont complétées, pour chaque opération de transport ou de livraison, par des données permettant d’identifier la personne qui a réalisé cette opération (données d’état civil et d’identification, lien avec la marchandise, l’opération de transport ou la livraison).

9. Pour le secteur aérien, le législateur a autorisé la collecte de données concernant les personnes empruntant les vols commerciaux : la DGDDI peut accéder à toutes les données permettant d’identifier ces personnes (données d’état civil et d’identification), connaître le trajet emprunté (lien avec la marchandise, l’opération de transport ou la livraison) et les informations relatives à leurs bagages. La CNIL relève que les données à caractère personnel ne constitueront pas la majorité des données traitées, sauf pour les vols commerciaux où le nombre de personnes concernées sera potentiellement important. Elle constate que, pour ces vols, le législateur a permis le traitement de données révélant les déplacements effectués dans le cadre privé de nombreuses personnes et, pour garantir le principe de minimisation, elle invite le ministère à limiter la collecte d’informations permettant d’identifier une personne physique à ce qui est strictement nécessaire.

10. La CNIL observe que les catégories de données définies dans le projet de décret demeurent insuffisamment précises. Le recours au terme « données d’état civil » recouvre un large spectre d’informations concernant l’identité mais aussi la vie familiale des personnes, sans que la pertinence de ces dernières soit établie. Le terme « données d’identification » correspond également à un champ large (coordonnées, numéro de téléphone, courriel, type et numéro de document d’identité) collecté par les opérateurs pour identifier une personne. La CNIL reconnaît la difficulté de fixer, au niveau du décret, une typologie précise des données d’identification en raison de la diversité des pratiques des entreprises, mais estime que la définition actuelle permet de collecter des informations sans lien direct avec l’objet du traitement. Elle invite donc le ministère à préciser dans le décret que, concernant l’état civil, seules les données permettant l’identification pourront être collectées, en excluant les données relatives à la vie familiale, et à définir dans l’analyse d’impact une liste limitative des données d’identification, strictement nécessaires et correspondant aux données habituellement collectées par les opérateurs.

11. Sur l’information des personnes, la CNIL rappelle que l’article L. 412-5 du code des douanes impose aux opérateurs de transports et prestataires de services postaux d’informer les personnes concernées de l’existence du traitement CIRCE et de ses modalités d’exécution. Le projet de décret complète ces dispositions en décrivant les pouvoirs de contrôle de l’administration douanière pour faire respecter cette obligation et les sanctions encourues en cas de manquements. Conformément à l’article 104 de la loi informatique et libertés, la DGDDI prévoit de mettre à disposition des personnes une fiche descriptive du traitement sur son site internet. La CNIL accueille favorablement ces mesures, qui participent à une information effective, et recommande de préciser dans le décret que l’information délivrée doit être aisément accessible, rédigée dans des termes clairs et simples, et renvoyer à la fiche de traitement mise en ligne.

12. Sur l’accès aux données des opérateurs de transports et prestataires de service postaux, la CNIL relève que les agents des douanes pourront accéder aux données soit en accédant au traitement CIRCE, soit en accédant directement aux systèmes d’information des opérateurs (projet d’article R. 412-5 du code des douanes). Pour s’assurer que les agents n’accèdent qu’aux informations nécessaires et limiter les risques de divulgation non autorisée, la CNIL invite le ministère à préciser, dans les conventions de mise à disposition des données, les modalités d’accès et les mesures techniques et organisationnelles prévues pour éviter les violations de données. Elle prend acte de l’engagement du ministère à prévoir que seuls les personnels ayant déjà habituellement accès à ces informations dans le cadre de leurs fonctions seront désignés pour effectuer les transmissions à l’administration douanière, mesure jugée importante pour limiter les risques.

13. Sur les mesures de sécurité, la CNIL accueille favorablement la mise en œuvre d’une authentification multifacteur pour les agents accédant au traitement CIRCE, ainsi que la mise en place de processus de gestion des habilitations adéquats, incluant une revue annuelle des habilitations et une suppression automatisée des droits fonctionnels dès qu’un agent quitte le service. Le ministère indique qu’il mettra en œuvre une mesure technique et organisationnelle d’analyse des journaux d’évènements. La CNIL rappelle sa recommandation sur le déploiement d’une mesure technique de surveillance active des journaux applicatifs, nécessaire pour permettre la détection immédiate d’actions malveillantes au sein du traitement, d’autant plus que CIRCE collectera un nombre particulièrement élevé de données à caractère personnel dont la divulgation pourrait avoir d’importantes conséquences sur la vie privée des personnes concernées.

14. En conclusion, la délibération n° 2026-073, adoptée après le rapport de M. Philippe-Pierre Cabourdin, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, illustre l’équilibre recherché entre le renforcement des capacités de détection des infractions douanières dans le cadre de la lutte contre le narcotrafic et la protection des données personnelles au titre de la loi informatique et libertés. En insistant sur le principe de minimisation, la précision des catégories de données, l’information effective des personnes, la gestion stricte des habilitations, l’authentification multifacteur et la surveillance active des journaux applicatifs, la CNIL encadre la mise en œuvre du traitement CIRCE pour que l’accès aux données des opérateurs de transport et prestataires de services postaux reste proportionné aux objectifs de recherche et de prévention d’infractions liées à la criminalité organisée.