Article L3512-24 of the French Public Health Code

I.-Tobacco product manufacturers and importers shall enter into a contract for the storage of data accessible through the unique identifier with an independent third party, for the purpose of hosting the data storage facility in compliance with the provisions laid down in Commission Delegated Regulation (EU) 2018/573 of 15 December 2017 on the essential elements of data storage contracts to be concluded in the context of a tobacco traceability system and Commission Implementing Regulation (EU) 2018/574 of 15 December 2017 on technical standards for the establishment and operation of a tobacco traceability system.

This independent third party shall be approved by the European Commission, in particular with regard to its independence and technical capabilities. The same applies to the data storage contract.

II-The information referred to in I shall be recorded in automated personal data processing systems under the conditions laid down in Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 on the protection of individuals with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC. They cannot be modified or deleted by a person involved in the trade of tobacco products.

III – The data storage facility is physically located within the territory of the European Union. The European Commission has full access to this facility. Authorised officials from the Ministries responsible for health and customs have full access to the components of this facility located on French territory. They shall have electronic access to the information mentioned in I, by means of a link to the unique identifier.

A provider, designated by the European Commission in accordance with Part B of Annex I to the aforementioned Commission Implementing Regulation (EU) 2018/574 of 15 December 2017 from among the providers of primary data warehouses that have been approved in accordance with Part A of the same Annex I, shall be responsible for managing the secondary data warehouse for the purpose of performing the services provided for in Chapter V of the same Regulation.

IV – The activities of the independent third party are monitored by an external auditor proposed and paid for by the manufacturer or importer and approved by the European Commission. The external auditor submits an annual report to the Minister for Health, the Minister for Customs and the European Commission, in which any irregularities relating to access to data stored by the independent third party are assessed.

Original in French 🇫🇷

Article L3512-24

I.-Les fabricants et les importateurs de produits du tabac concluent un contrat de stockage des données accessibles grâce à l’identifiant unique avec un tiers indépendant, dans le but d’héberger l’installation de stockage des données dans le respect des dispositions prévues par le règlement délégué (UE) 2018/573 de la Commission du 15 décembre 2017 relatif aux éléments essentiels des contrats de stockage de données devant être conclus dans le cadre d’un système de traçabilité des produits du tabac et le règlement d’exécution (UE) 2018/574 de la Commission du 15 décembre 2017 relatif aux normes techniques pour la mise en place et le fonctionnement d’un système de traçabilité des produits du tabac.

Ce tiers indépendant est agréé par la Commission européenne, au regard notamment de son indépendance et ses capacités techniques. Il en va de même pour le contrat de stockage de données.

II.-Les informations mentionnées au I sont enregistrées dans des traitements automatisés de données à caractère personnel dans les conditions prévues par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/ CE. Elles ne peuvent pas être modifiées ou effacées par une personne concernée par le commerce des produits du tabac.

III.-L’installation de stockage de données est physiquement située sur le territoire de l’Union européenne. La Commission européenne a pleinement accès à cette installation. Les agents habilités des ministères chargés de la santé et chargés des douanes ont pleinement accès aux composantes de cette installation situées sur le territoire français. Ils ont accès électroniquement aux informations mentionnées au I, au moyen d’un lien vers l’identifiant unique.

Un fournisseur, désigné par la Commission européenne conformément à la partie B de l’annexe I au règlement d’exécution (UE) 2018/574 de la Commission du 15 décembre 2017 précité parmi les fournisseurs des entrepôts primaires de stockage des données qui ont été approuvés conformément à la partie A de la même annexe I, est chargé de la gestion de l’entrepôt secondaire de stockage des données aux fins de l’exécution des services prévus au chapitre V du même règlement.

IV.-Les activités du tiers indépendant sont contrôlées par un auditeur externe, proposé et rémunéré par le fabricant ou l’importateur, et agréé par la Commission européenne. L’auditeur externe soumet au ministre chargé de la santé, au ministre chargé des douanes et à la Commission européenne un rapport annuel dans lequel sont en particulier évaluées les irrégularités éventuelles liées à l’accès aux données stockées par le tiers indépendant.