Douanes et données de transport : nouveau cadre de ciblage des risques

1. Finalités du décret no 2026-724 du 31 juillet 2026

1.1. Le décret no 2026-724 du 31 juillet 2026, publié au Journal officiel de la République française du 2 août 2026 (Texte 33 sur 85), porte application des articles L. 412-3 à L. 412-7 du code des douanes. Il s’adresse aux agents de l’administration des douanes, aux opérateurs de transport et aux prestataires de services postaux. Son objet est de préciser les modalités selon lesquelles l’administration des douanes, après autorisation du Premier ministre, peut accéder aux données contenues dans les traitements automatisés mis en œuvre par ces opérateurs, et collecter et exploiter les données qu’ils contiennent.

1.2. Le traitement automatisé de données à caractère personnel mis en œuvre par l’administration des douanes a pour finalités l’analyse de risque et le ciblage pour la recherche et la prévention des infractions relevant de la criminalité organisée, conformément à l’article L. 412-3. Le décret définit les finalités du traitement, les catégories de données susceptibles d’être collectées et exploitées, ainsi que leurs modalités de mise à disposition. Il précise également le contenu de la demande d’autorisation et de l’autorisation du Premier ministre, les règles de conservation et de destruction des données, la traçabilité des opérations, l’exercice des droits des personnes concernées et leur information.

1.3. Le texte est pris pour l’application des articles L. 412-3 à L. 412-7 du code des douanes et s’inscrit dans le cadre de la directive (UE) 2016/680 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales. Il se réfère également à la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (titre III) et à la loi no 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, notamment son article 6. Le décret abroge le décret no 2016-1064 du 3 août 2016 relatif à l’exploitation des données transmises par les entreprises de fret express et les prestataires de services postaux.

2. Mise en œuvre du traitement automatisé de données (article R. 412-1)

2.1. L’article R. 412-1 du code des douanes, créé par le décret, confie au ministre chargé des douanes la mise en œuvre du traitement automatisé de données à caractère personnel mentionné à l’article L. 412-5. Ce traitement a pour finalités l’analyse de risque et le ciblage pour la recherche et la prévention des infractions mentionnées au premier alinéa de l’article L. 412-3, par l’accès aux traitements automatisés des opérateurs et prestataires concernés, ainsi que par la collecte et l’exploitation des données qu’ils contiennent.

2.2. Le traitement permet d’établir une cartographie des risques de commission de ces infractions, d’évaluer et de suivre l’évolution des tendances de ces infractions, et d’améliorer la connaissance des schémas d’infraction afin d’orienter les contrôles douaniers. L’accent est mis sur la traçabilité des déplacements des marchandises, des moyens de transport et des personnes, dans une logique de lutte contre la criminalité organisée et de ciblage des contrôles.

3. Catégories de données traitées (article R. 412-2)

3.1. L’article R. 412-2 énumère les catégories de données concernées par le traitement. Il s’agit d’abord des données d’identification de chaque opérateur ou prestataire mentionné à l’article L. 412-3, ainsi que des entités juridiquement liées : raison sociale et éléments d’identification au sein du traitement recensant les opérateurs bénéficiant d’agréments ou d’autorisations délivrés par la direction générale des douanes et droits indirects, ou exerçant une activité dans le cadre d’un statut ou d’une profession relevant de sa compétence.

3.2. Sont ensuite visées les données relatives à l’identification et à la traçabilité des marchandises : caractéristiques de la marchandise, origine, provenance et destination, documents produits à l’occasion du transport, ainsi que les informations relatives aux bagages, accompagnés ou non. Ces données permettent de suivre les flux de marchandises et de détecter des schémas d’infraction liés notamment au narcotrafic et à d’autres formes de criminalité organisée.

3.3. L’article mentionne également les données relatives à l’identification et à la traçabilité des moyens de transport : caractéristiques du moyen de transport, activité du moyen de transport, modalités du transport. Ces informations contribuent à la cartographie des risques et à l’orientation des contrôles douaniers sur les opérations de transport jugées sensibles.

3.4. Enfin, sont traitées les données nécessaires à l’identification des personnes physiques et les données relatives à la traçabilité de leurs déplacements : données d’état civil nécessaires à l’identification des personnes transportées par voie aérienne ou des personnes liées aux opérations de transport de personnes ou de marchandises, à l’exclusion de toute donnée relative à leur vie familiale. Peuvent également être traitées, le cas échéant, leurs coordonnées, les références de leurs documents d’identité ou de voyage et des documents afférents à l’opération de transport ou à la marchandise, ainsi que le lien de ces personnes avec l’opération de transport ou la marchandise et le suivi des flux de personnes.

4. Modalités d’obtention des données et autorisation du Premier ministre

4.1. L’article R. 412-3 précise que les données sont obtenues par l’administration des douanes « par tout moyen adapté et sécurisé », éventuellement défini par une convention conclue en application du sixième alinéa de l’article L. 412-5. L’opérateur ou le prestataire concerné doit soit transmettre les données contenues dans ses traitements automatisés, soit, à défaut, fournir un accès direct à ces traitements aux agents de l’administration des douanes habilités.

4.2. L’article R. 412-4 encadre la demande d’autorisation prévue à l’article L. 412-4. La demande doit indiquer l’identité des opérateurs ou prestataires concernés, la motivation de la demande (pertinence de l’accès aux données au regard des objectifs poursuivis, et, en cas de renouvellement, justification de celui-ci), ainsi que les dates de validité et d’échéance de l’autorisation. L’autorisation du Premier ministre comporte ces mêmes mentions et motivations, fixe ses dates de validité et d’échéance, et est communiquée sans délai au ministre chargé des douanes. La demande et l’autorisation sont enregistrées par les services du Premier ministre, ce qui assure une traçabilité institutionnelle de l’accès aux traitements automatisés des opérateurs.

5. Conservation, destruction et traçabilité des opérations (articles R. 412-5 et R. 412-6)

5.1. L’article R. 412-5 prévoit qu’à l’expiration du délai de deux ans mentionné à l’article L. 412-5, les données sont automatiquement détruites de manière sécurisée, dans des conditions permettant d’assurer la traçabilité de cette opération. Cette limitation temporelle de la conservation des données répond aux exigences de la loi no 78-17 du 6 janvier 1978 et de la directive (UE) 2016/680 en matière de protection des données à caractère personnel.

5.2. L’article R. 412-6 impose que les opérations de collecte, de modification, de consultation, de communication et d’effacement des données fassent l’objet d’un enregistrement. Cet enregistrement porte sur la date, l’heure et le motif de l’opération, et permet l’identification de son auteur et, le cas échéant, des destinataires des données communiquées. Ces informations sont conservées pendant la durée de conservation des données sur lesquelles elles portent, garantissant une traçabilité complète des accès et des traitements.

6. Droits des personnes concernées et restrictions possibles (article R. 412-7)

6.1. L’article R. 412-7 rappelle que les droits d’accès, de rectification, d’effacement des données et de limitation du traitement, prévus par les articles 105 et 106 de la loi no 78-17 du 6 janvier 1978, s’exercent directement auprès de l’administration des douanes. Les personnes concernées peuvent ainsi demander la communication des données les concernant, leur correction ou, dans certains cas, leur effacement.

6.2. Ces droits peuvent toutefois faire l’objet de restrictions en application de l’article 107 de la même loi, notamment lorsque l’exercice de ces droits est susceptible de compromettre la prévention et la détection des infractions pénales, les enquêtes, les poursuites ou l’exécution de sanctions pénales. Le décret articule ainsi la protection des données à caractère personnel avec les impératifs de lutte contre la criminalité organisée.

7. Obligation d’information des personnes par les opérateurs (article R. 412-8)

7.1. L’article R. 412-8 impose aux opérateurs et prestataires d’informer les personnes concernées que les données recueillies à l’occasion d’une opération de transport, et relevant des catégories définies à l’article R. 412-2, sont susceptibles d’être transmises à l’administration des douanes et de faire l’objet d’un traitement automatisé pour les finalités mentionnées à l’article R. 412-1. L’information doit être aisément accessible sur le site internet des opérateurs, rédigée en des termes clairs et simples, et comporter un renvoi à l’information relative aux traitements automatisés de données opérés par l’administration des douanes, mise en ligne sur le site de cette dernière.

7.2. L’administration des douanes doit s’assurer du respect de cette obligation d’information. À cette fin, elle peut procéder à des vérifications sur pièces, y compris par voie dématérialisée, pour s’assurer du caractère effectif, clair et compréhensible de l’information délivrée. Elle vérifie notamment que l’information est fournie dans une langue compréhensible par les personnes concernées et qu’elle mentionne expressément la législation en matière de protection des données à caractère personnel. Elle peut également demander la communication des supports d’information et de tout élément attestant des modalités de diffusion. En cas de manquements, l’administration met en demeure l’opérateur ou le prestataire de se conformer aux règles applicables dans un délai qu’elle fixe.

8. Procédure de sanction administrative et recouvrement de l’amende (article R. 412-9)

8.1. L’article R. 412-9 désigne le ministre chargé des douanes comme l’autorité administrative compétente pour prononcer l’amende administrative prévue à l’article L. 412-7. Le procès-verbal constatant le manquement doit comporter le nom de l’opérateur ou du prestataire, les références des opérations de transport concernées, la nature des manquements aux dispositions des articles L. 412-3 et L. 412-7, l’indication du droit de garder le silence et, le cas échéant, les observations de l’opérateur, ainsi que la signature du chef de service de douane compétent ou d’un fonctionnaire désigné, titulaire au moins du grade de contrôleur des douanes. Une copie du procès-verbal est remise en main propre ou adressée par lettre recommandée avec demande d’avis de réception.

8.2. Le ministre notifie ensuite à l’opérateur ou au prestataire, par lettre recommandée avec demande d’avis de réception, le projet de sanction dans un délai de deux mois à compter de la remise ou de la réception du procès-verbal. L’opérateur est informé qu’il peut garder le silence, produire des observations écrites dans un délai d’un mois et se faire délivrer copie, à ses frais, de tout ou partie de la procédure. Après l’expiration de ce délai, le ministre arrête la décision écrite et motivée, notifiée par lettre recommandée avec demande d’avis de réception. La décision est susceptible d’un recours de pleine juridiction.

8.3. L’amende prononcée en application de l’article L. 412-7 est recouvrée dans les conditions prévues pour les créances de l’État mentionnées aux articles 112 à 124 du décret no 2012-1246 du 7 novembre 2012 relatif à la gestion budgétaire et comptable publique. Le décret assure ainsi l’articulation entre la procédure de sanction administrative et le recouvrement des créances publiques.

9. Abrogation du décret de 2016 et mise à jour du code des douanes

9.1. L’article 2 du décret abroge le décret no 2016-1064 du 3 août 2016 relatif à l’exploitation des données transmises à l’administration des douanes par les entreprises de fret express et les prestataires de services postaux. Le nouveau dispositif, fondé sur les articles L. 412-3 à L. 412-7, remplace et élargit le cadre antérieur, en intégrant les exigences renforcées de la protection des données à caractère personnel et de la lutte contre la criminalité organisée.

9.2. L’article 3 modifie le tableau figurant à l’article R. 754-1 du code des douanes, en y intégrant les références actualisées : les articles R. 411-1 à R. 411-10 et R. 411-17 à R. 411-25 dans leur rédaction issue du décret no 2026-266 du 8 avril 2026, les articles R. 412-1 à R. 412-9 dans leur rédaction issue du décret no 2026-724 du 31 juillet 2026, et les articles R. 414-1 à R. 414-6 également issus du décret du 8 avril 2026. Cette mise à jour assure la cohérence de la partie réglementaire du code des douanes.

10. Portée du décret pour les acteurs du transport et de la douane

10.1. Pour les agents de l’administration des douanes, le décret fournit un cadre détaillé pour l’accès aux traitements automatisés des opérateurs de transport et des prestataires de services postaux, la collecte et l’exploitation des données, la conservation et la destruction des informations, ainsi que la traçabilité des opérations. Il renforce les outils d’analyse de risque et de ciblage pour la recherche et la prévention des infractions relevant de la criminalité organisée.

10.2. Pour les opérateurs de transport et les prestataires de services postaux, le texte clarifie les obligations de transmission des données, les modalités d’accès aux traitements automatisés par les douanes, ainsi que les obligations d’information des personnes concernées. Il précise également la procédure de sanction administrative en cas de manquement aux articles L. 412-3 et L. 412-7, avec la possibilité d’une amende administrative prononcée par le ministre chargé des douanes.

10.3. Pour les personnes concernées par les données à caractère personnel traitées, le décret explicite les droits d’accès, de rectification, d’effacement et de limitation du traitement, ainsi que les conditions d’information par les opérateurs. Il articule ces droits avec les impératifs de prévention et de détection des infractions pénales, dans le respect de la loi no 78-17 du 6 janvier 1978 et de la directive (UE) 2016/680.