16.4.2018

FR

Journal officiel de l'Union européenne

L 96/1

---

RÈGLEMENT DÉLÉGUÉ (UE) 2018/573 DE LA COMMISSION

du 15 décembre 2017

relatif aux éléments essentiels des contrats de stockage de données devant être conclus dans le cadre d'un système de traçabilité des produits du tabac

(Texte présentant de l'intérêt pour l'EEE)

LA COMMISSION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne,

vu la directive 2014/40/UE du Parlement européen et du Conseil du 3 avril 2014 relative au rapprochement des dispositions législatives, réglementaires et administratives des États membres en matière de fabrication, de présentation et de vente des produits du tabac et des produits connexes, et abrogeant la directive 2001/37/CE (1), et notamment son article 15, paragraphe 12,

considérant ce qui suit:

(1)

L'article 15, paragraphe 8, de la directive 2014/40/UE dispose que tous les fabricants et tous les importateurs, dans le cadre du système de traçabilité des produits du tabac, précisé dans le règlement d'exécution (UE) 2018/574 de la Commission (2), doivent conclure un contrat avec un fournisseur tiers indépendant dans le but d'héberger les informations relatives à leurs produits du tabac. L'article 15, paragraphe 12, de la directive 2014/40/UE habilite la Commission à définir les éléments essentiels de ces contrats.

(2)

Pour assurer le fonctionnement efficace du système de traçabilité des produits du tabac en général et l'interopérabilité du système d'entrepôts de stockage des données en particulier, il est opportun de définir les éléments essentiels des contrats de stockage de données, afin d'y inclure des spécifications relatives à l'exploitabilité, à la disponibilité et à la performance des services devant être fournis par les fournisseurs chargés du stockage des données. Afin d'assurer l'efficacité et la continuité du fonctionnement du système de traçabilité et du système de stockage de données qu'il comprend, il est nécessaire que les fournisseurs établissent des conditions claires concernant la portabilité des données pour les cas où un fabricant ou un importateur déciderait de changer de fournisseur. Les contrats devraient dès lors comporter des dispositions exigeant l'utilisation d'une technologie facilement disponible sur le marché et d'usage courant dans le secteur pour garantir un transfert efficace et ininterrompu de données entre l'actuel et le nouveau fournisseur.

(3)

Afin d'assurer le degré nécessaire de flexibilité, il devrait être possible de demander au fournisseur chargé du stockage des données d'assurer, moyennant une redevance, des services techniques accessoires liés à la gestion de l'entrepôt primaire de stockage des données, tels que l'extension des fonctionnalités opérationnelles des interfaces utilisateur, pour autant que les services additionnels contribuent au bon fonctionnement du système d'entrepôts de stockage des données et ne soient pas incompatibles avec l'une des exigences définies par le règlement d'exécution (UE) 2018/574. En conséquence, le contrat devrait prévoir une telle possibilité.

(4)

Afin de garantir le fonctionnement indépendant du système de traçabilité à tout moment, la Commission devrait être en mesure de révoquer l'approbation d'un fournisseur ayant déjà conclu des contrats de stockage de données, lorsqu'une évaluation ou une réévaluation de la capacité technique ou de l'indépendance de ce fournisseur aboutit à une conclusion défavorable quant à son adéquation.

(5)	Pour assurer une organisation efficace du fonctionnement quotidien du système, il y a lieu que les fournisseurs d'entrepôts primaires de stockage des données coopèrent entre eux, ainsi qu'avec les autorités compétentes des États membres et la Commission,

A ADOPTÉ LE PRÉSENT RÈGLEMENT:

Article premier

Objet

Le présent règlement définit les éléments essentiels devant figurer dans les contrats de stockage de données visés à l'article 15, paragraphe 8, de la directive 2014/40/UE.

Article 2

Définitions

Aux fins du présent règlement, outre les définitions figurant dans la directive 2014/40/UE et dans le règlement d'exécution (UE) 2018/574, on entend par:

1)   «contrat»: un accord contractuel conclu entre un fabricant ou un importateur de produits du tabac et un fournisseur de systèmes de stockage de données, conformément à l'article 15, paragraphe 8, de la directive 2014/40/UE et au règlement d'exécution (UE) 2018/574;

2)   «fournisseur»: toute personne morale engagée par contrat par un fabricant ou un importateur de produits du tabac aux fins de la mise en place et de la gestion de son entrepôt primaire de stockage des données et des services connexes;

3)   «portabilité des données»: la possibilité de transférer des données d'un entrepôt de stockage des données à l'autre, par l'utilisation d'une technologie facilement disponible sur le marché et d'usage courant dans le secteur.

Article 3

Principales responsabilités au titre du contrat

1.   Le contrat précise les services essentiels qui doivent être assurés par le fournisseur, à savoir notamment:

1)	la mise en place et la gestion d'un entrepôt primaire de stockage des données, conformément à l'article 26 du règlement d'exécution (UE) 2018/574;

2)

lorsque l'opérateur de l'entrepôt primaire de stockage des données est désigné en tant que fournisseur de l'entrepôt secondaire de stockage des données, la mise en place et la gestion de l'entrepôt secondaire de stockage des données et du routeur, conformément aux articles 27, 28 et 29 du règlement d'exécution (UE) 2018/574;

3)	la fourniture, sur demande, d'autres services techniques accessoires liés à la gestion de l'entrepôt primaire de stockage des données qui contribuent au bon fonctionnement du système d'entrepôts de stockage des données.

2.   Lorsqu'il définit les services essentiels visés au paragraphe 1, points 1) et 2), le contrat contient des spécifications relatives à l'exploitabilité, à la disponibilité et aux performances des services répondant aux prescriptions minimales énoncées dans le présent règlement et définies dans le règlement d'exécution (UE) 2018/574, chapitre V.

Article 4

Expertise technique

Le contrat stipule que les fournisseurs sont tenus de délivrer au fabricant ou à l'importateur une déclaration écrite indiquant qu'ils possèdent — ou qu'ils ont à leur disposition — l'expertise technique et opérationnelle nécessaire pour assurer les services visés à l'article 3 et se conformer aux prescriptions énoncées dans le règlement d'exécution (UE) 2018/574, chapitre V.

Article 5

Disponibilité de l'entrepôt primaire de stockage des données

1.   Le contrat prévoit une durée de fonctionnement et une disponibilité mensuelles garanties de 99,5 % pour l'entrepôt primaire de stockage des données.

2.   Le contrat stipule que des mécanismes de sauvegarde appropriés doivent être mis en place par le fournisseur afin de prévenir toute perte des données stockées, reçues ou transférées lorsque l'entrepôt primaire de stockage des données est indisponible.

Article 6

Droits d'accès

Le contrat définit les conditions dans lesquelles un accès physique et virtuel à l'entrepôt primaire de stockage des données, au niveau du serveur et de la base de données, est accordé aux administrateurs nationaux des États membres, à la Commission et aux auditeurs externes désignés, conformément à l'article 25 du règlement d'exécution (UE) 2018/574.

Article 7

Sous-traitance

1.   Lorsque le contrat stipule que le fournisseur peut sous-traiter certaines obligations au titre du contrat, il contient une disposition précisant que le contrat de sous-traitance n'a pas d'incidence sur la responsabilité principale du fournisseur pour l'exécution du contrat.

2.   Le contrat prévoit en outre que le fournisseur:

a)	doit veiller à ce que le sous-traitant proposé ait l'expertise technique nécessaire et remplisse les conditions d'indépendance énoncées à l'article 35 du règlement d'exécution (UE) 2018/574;

b)	doit soumettre à la Commission un exemplaire de la déclaration visée à l'article 8 du présent règlement, signée par chaque sous-traitant.

Article 8

Indépendance juridique et financière

Le contrat prévoit que les fournisseurs et, le cas échéant, leurs sous-traitants doivent délivrer au fabricant ou à l'importateur, outre le contrat de stockage de données, une déclaration écrite indiquant qu'ils remplissent les conditions d'indépendance juridique et financière prévues à l'article 35 du règlement d'exécution (UE) 2018/574.

Article 9

Protection des données et confidentialité

1.   Le contrat précise que le fournisseur met en place toutes les mesures appropriées nécessaires pour assurer la confidentialité, l'intégrité et la disponibilité de toutes les données stockées dans le cadre de l'exécution du contrat. Ces mesures incluent des contrôles administratifs, techniques, de sécurité physique et de sûreté.

2.   Le contrat stipule que les données à caractère personnel traitées dans le cadre du contrat doivent l'être conformément à la directive 95/46/CE du Parlement européen et du Conseil (3).

Article 10

Gestion de la sécurité de l'information

Le contrat prévoit que les fournisseurs doivent déclarer que l'entrepôt primaire de stockage des données et, le cas échéant, l'entrepôt secondaire de stockage des données sont gérés conformément aux normes reconnues au niveau international en matière de gestion de la sécurité de l'information. Les fournisseurs certifiés selon la norme ISO/IEC 27001:2013 sont réputés satisfaire à ces normes.

Article 11

Coûts

Le contrat stipule que les coûts facturés par le fournisseur au fabricant ou à l'importateur conformément à l'article 30 du règlement d'exécution (UE) 2018/574 doivent être justes, raisonnables et proportionnés:

a)	aux services rendus;

b)	au nombre d'identifiants uniques demandés au cours d'une période de temps donnée par le fabricant ou l'importateur concerné.

Article 12

Participation au système d'entrepôt secondaire de stockage des données

1.   Le contrat prévoit que le fournisseur doit participer à la mise en place du système d'entrepôt secondaire de stockage des données (lorsque celui-ci n'a pas encore été mis en place à la date de la conclusion du contrat) si cela s'avère nécessaire conformément aux règles énoncées au chapitre V du règlement d'exécution (UE) 2018/574.

2.   Le contrat contient une disposition qui permet aux fournisseurs de répercuter sur les fabricants et les importateurs de produits du tabac les coûts liés à la mise en place, à la gestion et à la tenue à jour de l'entrepôt secondaire de stockage des données et du routeur visés au chapitre V du règlement d'exécution (UE) 2018/574.

Article 13

Durée

Le contrat est conclu pour une durée minimale de cinq ans, reconductible moyennant l'accord des parties, à condition que le fournisseur continue de satisfaire aux exigences de la directive 2014/40/UE et du règlement d'exécution (UE) 2018/574.

Article 14

Communication avec les autres parties

Le contrat prévoit que les fournisseurs sont tenus de coopérer entre eux ainsi qu'avec les autorités compétentes des États membres, dans la mesure nécessaire pour assurer la bonne organisation du fonctionnement quotidien du système d'entrepôts de stockage des données.

Article 15

Contrôles

1.   Le contrat fixe les conditions permettant aux auditeurs externes approuvés par la Commission, conformément à l'article 15, paragraphe 8, de la directive 2014/40/UE, de procéder à des contrôles annoncés et à des contrôles inopinés concernant l'entrepôt primaire de stockage des données et, le cas échéant, l'entrepôt secondaire de stockage des données, y compris une évaluation du respect, par le fournisseur et, le cas échéant, les sous-traitants, des prescriptions législatives pertinentes.

2.   Le contrat précise que les auditeurs externes obtiennent, pendant la durée du contrôle, un accès physique et virtuel illimité à l'entrepôt primaire de stockage des données et, le cas échéant, à l'entrepôt secondaire de stockage des données, ainsi qu'aux services connexes.

Article 16

Responsabilité

Le contrat contient des dispositions précisant la responsabilité des parties, y compris en ce qui concerne les dommages directs et indirects susceptibles de survenir dans le cadre du contrat, conformément au droit applicable. Sans préjudice du droit applicable, le contrat précise en outre qu'aucune limitation de responsabilité n'existe en cas de violation de la confidentialité ou de non-respect des règles en matière de protection des données.

Article 17

Résiliation du contrat

1.   Le contrat définit les conditions de sa résiliation, conformément au droit applicable. Le contrat stipule que la partie résiliant le contrat est tenue d'en informer la Commission, conformément à la procédure prévue à l'annexe I du règlement d'exécution (UE) 2018/574.

2.   Le contrat dispose que les parties doivent observer un préavis minimal de cinq mois pour la résiliation du contrat.

Par dérogation au premier alinéa, le contrat prévoit que les fabricants et les importateurs sont tenus de résilier immédiatement le contrat:

a)	en cas de violation grave, par le fournisseur, de ses obligations au titre du contrat;

b)	lorsque le fournisseur est insolvable, ou qu'il existe un risque imminent qu'il le devienne en vertu du droit applicable.

3.   Aux fins du paragraphe 2, point a), on entend notamment par «violation grave»:

a)

le fait, pour le fournisseur, de ne pas s'acquitter d'obligations ou de ne pas assurer des services prévus par le contrat qui sont essentiels au bon fonctionnement du système de traçabilité, y compris, en particulier, le non-respect des prescriptions énoncées au chapitre V du règlement d'exécution (UE) 2018/574;

b)

le fait, pour le fournisseur, de ne plus remplir les conditions d'indépendance juridique et financière prévues à l'article 35, paragraphe 2, du règlement d'exécution (UE) 2018/574 lorsque, à l'expiration du délai visé à l'article 35, paragraphe 6, du règlement d'exécution (UE) 2018/574, le respect de ces exigences n'a pas pu être établi.

Article 18

Suspension des services

Le contrat précise que la suspension des services par le fournisseur en cas de retard de paiement de la part d'un fabricant ou d'un importateur est interdite, sauf si l'échéance finale fixée pour le paiement est dépassée depuis trente jours ou plus.

Article 19

Portabilité des données

1.   Le contrat prévoit que le fournisseur doit garantir la portabilité intégrale des données dans les cas où un fabricant ou un importateur charge un nouveau fournisseur de gérer son entrepôt primaire de stockage des données. Le fournisseur actuel remet au nouveau fournisseur, avant la date de résiliation du contrat, une copie actualisée de toutes les données stockées dans l'entrepôt primaire de stockage des données. Toute mise à jour ultérieure de ces données est transférée au nouveau fournisseur sans retard indu.

2.   Afin d'assurer la continuité des activités, le contrat comporte un plan de sortie applicable établissant la procédure à suivre lorsque le contrat est résilié et qu'un nouveau fournisseur est engagé par le fabricant ou l'importateur. Ce plan comporte l'obligation, pour le fournisseur actuel, de continuer à fournir ses services jusqu'à ce que le nouveau fournisseur devienne opérationnel.

3.   Le contrat comporte des dispositions garantissant que le fournisseur actuel n'a aucun droit de rétention sur des données, des informations ou tout autre matériel nécessaire lié à l'entrepôt primaire de stockage des données après la remise de ces éléments au nouveau fournisseur.

Article 20

Droit applicable et juridiction compétente

1.   Le contrat est régi par le droit de l'un des États membres de l'Union européenne, selon ce qui a été convenu par les parties au contrat.

2.   Le contrat relève de la juridiction des tribunaux de l'un des États membres de l'Union européenne, selon ce qui a été convenu par les parties au contrat.

Article 21

Entrée en vigueur

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne.

---

(1)  JO L 127 du 29.4.2014, p. 1.

(2)  Règlement d'exécution (UE) 2018/574 de la Commission du 15 décembre 2017 relatif aux normes techniques pour la mise en place et le fonctionnement d'un système de traçabilité des produits du tabac (voir page 7 du présent Journal officiel).

(3)  Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO L 281 du 23.11.1995, p. 31).

---