1.   La Commission:

2.   Le système d’information est utilisé par les opérateurs et les commerçants et, le cas échéant, par leurs mandataires, aux fins de la présentation et de la gestion des déclarations de diligence raisonnée et de la vérification de la validité des numéros de référence, ainsi que par les autorités compétentes, les autorités douanières et la Commission en vue d’accéder aux déclarations de diligence raisonnée et d’agir à leur égard, y compris en ce qui concerne l’échange d’informations contenant des données à caractère personnel entre les autorités compétentes, les autorités douanières et la Commission en lien avec la mise en œuvre et le contrôle de l’application du règlement (UE) 2023/1115. Tout échange d’informations de ce type est conforme aux règles relatives à la protection des données à caractère personnel énoncées dans le règlement (UE) 2016/679 et le règlement (UE) 2018/1725.

3.   Les déclarations de diligence raisonnée sont attribuées dans le système d’information aux autorités compétentes dans l’ordre suivant:

1.   Sauf lorsque la déclaration de diligence raisonnée est mise à disposition par l’intermédiaire de l’interface électronique visée à l’article 28, paragraphe 2, du règlement (UE) 2023/1115, les utilisateurs du système d’information présentent et gèrent les déclarations de diligence raisonnée des produits en cause dans le système d’information.

2.   Lorsqu’un produit en cause contient du bois ou a été fabriqué avec du bois, les utilisateurs du système d’information indiquent dans la déclaration de diligence raisonnée les noms communs et les noms scientifiques complets des essences de bois que les produits en cause contiennent ou avec lesquels ils ont été fabriqués.

1.   Le système d’information permet à ses utilisateurs de modifier ou de retirer les déclarations de diligence raisonnée dans les 72 heures suivant la mise à disposition dans le système d’information du numéro de référence de la déclaration de diligence raisonnée.

2.   Les déclarations de diligence raisonnée ne peuvent pas être modifiées ou retirées durant la période fixée au paragraphe 1 après que la déclaration de diligence raisonnée a été utilisée comme référence dans une déclaration de diligence raisonnée présentée par le même utilisateur ou par un autre utilisateur du système d’information.

3.   La déclaration de diligence raisonnée n’est ni modifiée ni retirée par un utilisateur du système d’information après que:

4.   Sans préjudice des paragraphes 2 et 3, sur demande individuelle et motivée d’un utilisateur du système d’information, les autorités compétentes peuvent prolonger le délai visé au paragraphe 1, uniquement après que celui-ci a expiré. Cette prolongation n’excède pas huit jours civils. La demande est fondée sur des raisons indépendantes de la volonté de l’utilisateur du système d’information, qui, dans sa demande motivée, indique que le paragraphe 3 du présent article n’est pas applicable. Cette prolongation est également possible avec effet rétroactif après l’expiration du délai visé au paragraphe 1.

5.   Une déclaration de diligence raisonnée modifiée fait l’objet d’un profilage des risques conformément à l’article 6. Le profilage des risques s’applique à l’ensemble de la déclaration de diligence raisonnée modifiée.

1.   Le système d’information permet aux autorités compétentes de recenser, au sein du système d’information, les situations dans lesquelles des produits en cause présentent un risque si élevé de non-conformité qu’une action immédiate est nécessaire avant que ces produits soient mis sur le marché, mis à disposition sur le marché ou exportés, conformément à l’article 17 du règlement (UE) 2023/1115, et de s’informer afin de déterminer les contrôles à effectuer et d’accomplir les tâches qui leur sont confiées au titre du chapitre 3 du règlement (UE) 2023/1115.

2.   Aux fins du paragraphe 1, le système d’information permet aux autorités compétentes d’établir des profils de risque dans le système d’information afin de faciliter une prise de décision éclairée pour sélectionner les opérateurs, les commerçants ou les produits en cause associés aux déclarations de diligence raisonnée sur lesquels effectuer des contrôles. Ces profils de risque sont fondés, entre autres, sur les critères de risque énoncés dans leur plan annuel de contrôle, conformément à l’article 16, paragraphe 5, du règlement (UE) 2023/1115, lequel plan est établi conformément à une approche fondée sur les risques, conformément au paragraphe 3 du même article.

3.   Lorsqu’elle est présentée dans le système d’information, chaque déclaration de diligence raisonnée fait l’objet d’un profilage des risques électronique automatisé. Le système d’information attribue un statut de risque à chaque déclaration de diligence raisonnée.

4.   À tout moment après la présentation d’une déclaration de diligence raisonnée, les autorités compétentes peuvent examiner une déclaration de diligence raisonnée afin de déterminer si un produit en cause est conforme à l’article 3 du règlement (UE) 2023/1115. Dans ce cas, elles peuvent attribuer un nouveau statut de risque à la déclaration de diligence raisonnée à l’issue de l’examen. Si l’autorité compétente attribue un nouveau statut de risque à une déclaration de diligence raisonnée, ce nouveau statut prévaut sur un statut de risque attribué en vertu du paragraphe 3 du présent article.

1.   Le système d’information attribue dans les meilleurs délais un numéro de référence et un numéro de vérification à la déclaration de diligence raisonnée présentée par l’utilisateur du système d’information à l’issue du profilage des risques visé à l’article 6.

2.   Le numéro de référence et le numéro de vérification sont mis à la disposition de l’utilisateur du système d’information à l’issue du profilage des risques visé à l’article 6.

3.   Le système d’information permet aux autorités compétentes de reporter la mise à disposition du numéro de référence afin d’établir que les produits en cause sont conformes à l’article 3 du règlement (UE) 2023/1115 et, en particulier, de vérifier que la situation détectée visée à l’article 6, paragraphe 1, du présent règlement n’est pas applicable à ce produit en cause. Ce report est aussi court que possible et n’excède pas la période fixée à l’article 17, paragraphe 3, du règlement (UE) 2023/1115. Il peut être prolongé à la discrétion de l’autorité compétente.

1.   Afin d’éviter qu’un produit en cause non conforme au règlement (UE) 2023/1115 ne soit mis sur le marché, mis à disposition sur le marché ou exporté, conformément à l’article 17 du même règlement, les autorités compétentes peuvent rejeter une déclaration de diligence raisonnée, à moins que le numéro de référence de cette déclaration n’ait déjà été mis à la disposition de l’utilisateur du système d’information.

2.   Le produit en cause déclaré dans une déclaration de diligence raisonnée rejetée est réputé ne pas faire l’objet d’une déclaration de diligence raisonnée comme requis par l’article 3, point c), du règlement (UE) 2023/1115.

3.   Le rejet est pris en compte dans le système d’information par l’attribution d’un statut spécifique à la déclaration de diligence raisonnée concernée.

1.   Seuls les utilisateurs du système d’information enregistrés ont accès au système d’information.

2.   L’authentification dans le système d’information se fait par l’intermédiaire d’EU Login, le service d’authentification de la Commission européenne.

3.   Les utilisateurs du système d’information ont accès aux informations contenues dans le système d’information qu’ils ont transmises ou auxquelles un autre utilisateur du système d’information leur a donné accès au moyen des numéros de référence et des numéros de vérification des déclarations de diligence raisonnée associées.

1.   La Commission a accès à l’ensemble des données, informations et documents du système d’information aux fins de la production de rapports et du développement, du fonctionnement et de la maintenance du système.

2.   La Commission octroie des droits d’accès aux acteurs du système d’information et les révoque, le cas échéant, à la suite des modifications concernant les autorités compétentes visées à l’article 14, paragraphe 2, du règlement (UE) 2023/1115.

3.   L’authentification dans le système d’information se fait par l’intermédiaire d’EU Login, le service d’authentification de la Commission européenne.

4.   Les acteurs du système d’information mettent en place des moyens appropriés pour garantir que les utilisateurs individuels représentant les acteurs du système d’information dans ce système ne sont autorisés à accéder aux données à caractère personnel traitées dans le système d’information que lorsque cela est strictement nécessaire à la mise en œuvre et au contrôle de l’application au titre du règlement (UE) 2023/1115.

5.   Les acteurs du système d’information ont accès à toutes les informations pertinentes contenues dans le système d’information qui sont nécessaires aux fins de l’exécution des obligations et tâches qui leur incombent en vertu du règlement (UE) 2023/1115.

1.   La transmission, la conservation et tout autre traitement de données à caractère personnel dans le système d’information ne peuvent avoir lieu que dans la mesure où cela est nécessaire et proportionné, et uniquement aux fins suivantes:

2.   Le traitement de données à caractère personnel dans le système d’information ne peut avoir lieu que pour les catégories suivantes de données à caractère personnel:

3.   Le système d’information conserve les catégories de données à caractère personnel énumérées au paragraphe 2 qui sont traitées aux fins de la mise en œuvre et du contrôle de l’application au titre du règlement (UE) 2023/1115.

4.   La conservation des données visée au paragraphe 2 s’effectue au moyen d’infrastructures informatiques situées dans l’Espace économique européen.

5.   Le système d’information conserve les données à caractère personnel contenues dans les déclarations de diligence raisonnée pour une période maximale de dix ans à compter de la date à laquelle une déclaration de diligence raisonnée est présentée dans le système d’information. La période de conservation peut être prolongée par la Commission à la demande individuelle des utilisateurs ou des acteurs du système d’information lorsque cela est nécessaire pour qu’ils s’acquittent des responsabilités et obligations qui leur incombent en vertu du règlement (UE) 2023/1115.

6.   Sans préjudice des activités de traitement des données visées à l’article 14, chaque acteur du système d’information est un responsable du traitement distinct au sens des règlements (UE) 2016/679 et (UE) 2018/1725 en ce qui concerne les activités de traitement des données qu’il effectue.

7.   Les autorités de contrôle nationales et le Contrôleur européen de la protection des données, agissant chacun dans le cadre de leurs compétences respectives, assurent une surveillance coordonnée du système d’information et de son utilisation par les acteurs et les utilisateurs du système d’information conformément à l’article 62 du règlement (UE) 2018/1725.

1.   La Commission est un responsable du traitement au sens de l’article 3, point 8), du règlement (UE) 2018/1725 en ce qui concerne le traitement de données à caractère personnel des utilisateurs du système d’information, y compris lors de l’enregistrement d’utilisateurs du système d’information dans ce dernier.

2.   Lorsque la Commission traite des données à caractère personnel dans le cadre du fonctionnement du système d’information pour le compte d’autres acteurs du système d’information aux fins de l’échange d’informations au titre de l’article 27 du règlement (UE) 2023/1115, elle est considérée comme un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725.

3.   La Commission est un sous-traitant au sens de l’article 3, point 12), du règlement (UE) 2018/1725 pour le traitement des données à caractère personnel effectué pour les enquêtes conjointes conduites conformément à l’article 21 du règlement (UE) 2023/1115 dans le cadre de la mise en œuvre et du contrôle de l’application au titre du règlement (UE) 2023/1115.

1.   La Commission met en place les mesures de pointe nécessaires pour garantir la sécurité des données à caractère personnel traitées dans le système d’information, y compris des mesures appropriées de contrôle de l’accès aux données et un plan de sécurité, qui est tenu à jour.

2.   La Commission met en place les mesures de pointe nécessaires en cas d’incident de sécurité, prend des mesures correctives et veille à ce qu’il soit possible de vérifier quelles données à caractère personnel ont été traitées dans le système d’information, à quel moment, par qui et à quelles fins.

3.   La Commission informe les autorités compétentes des mesures visées aux paragraphes 1 et 2 du présent article.

1.   Les États membres et la Commission appliquent chacun leurs propres règles en matière de secret professionnel, ou autres obligations de confidentialité équivalentes en ce qui concerne le système d’information conformément à leur droit national ou au droit de l’Union.

2.   Les acteurs du système d’information veillent chacun à ce que les personnes travaillant sous leur autorité respectent les demandes présentées par d’autres acteurs du système d’information visant à obtenir le traitement confidentiel d’informations échangées dans le système d’information.

1.   La Commission met le système d’information à disposition dans toutes les langues officielles de l’Union.

2.   Un acteur du système d’information peut produire et utiliser, en lien avec l’exécution de toute tâche qui lui a été confiée conformément au règlement (UE) 2023/1115, tous documents, informations, constatations, déclarations ou copies certifiées conformes qu’il a reçus dans le système d’information, sur la même base que des informations similaires obtenues dans son propre pays, à des fins compatibles avec celles pour lesquelles les données ont été initialement collectées et conformément au droit de l’Union et au droit national applicables.

1.   Les coûts engagés pour la mise en place, la maintenance et le fonctionnement du système d’information sont à la charge de la Commission.

2.   Les coûts associés au système d’information au niveau national, y compris les ressources humaines nécessaires aux activités de formation, de promotion et d’assistance technique, ainsi qu’à l’utilisation du système d’information au niveau national et à toute adaptation à apporter aux réseaux et systèmes d’information nationaux, sont à la charge de l’État membre qui les engage.