Ports de plaisance : l’avis clé de la CNIL sur le contrôle d’identité

Dispositif de surveillance des ports de plaisance et garanties en matière d’informatique et libertés

1. La délibération n° 2026-076 du 9 juillet 2026 de la Commission nationale de l’informatique et des libertés (CNIL), publiée au Journal officiel de la République française le 9 août 2026, porte avis sur un projet de décret d’application de l’article L. 232-9 du code de la sécurité intérieure (CSI). Ce dispositif, créé par l’article 14 de la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, organise une surveillance des navires et des passagers en transit dans les ports de plaisance. Il prévoit la collecte et la vérification, par l’autorité portuaire ou l’autorité investie du pouvoir de police portuaire, des données permettant d’identifier les navires de plaisance ayant un autre port d’attache, leur propriétaire, les personnes transportées ainsi que leur itinéraire, et en organise la transmission aux autorités compétentes. La CNIL, saisie en urgence sur le fondement de l’article 8-I (4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, examine la conformité de ce traitement de données aux exigences de la loi « informatique et libertés ».

2. Sur le périmètre du dispositif, le projet de décret désigne comme autorité chargée de la collecte et de la vérification des données l’autorité portuaire ou son délégataire. Un arrêté doit fixer la liste des ports concernés sur la base de critères en cours d’étude, notamment le nombre d’anneaux accueillis par les ports de plaisance, avec une assujettissement initial des principaux ports de plaisance et une possible extension ultérieure. La CNIL relève que les objectifs et moyens essentiels du traitement (finalités, catégories de données, durée de conservation, catégories de destinataires) sont déterminés par le ministère de l’intérieur via le projet de décret, tandis que le périmètre exact des entités soumises à l’obligation de collecte reste incertain. Elle en déduit que le ministère de l’intérieur doit être considéré comme le responsable du traitement et l’invite à préciser le périmètre du dispositif, notamment au regard des autorités portuaires et de leurs délégataires.

3. S’agissant des finalités et du régime juridique applicable, le traitement est mis en œuvre pour les finalités prévues par l’article L. 232-9 du CSI : prévenir et réprimer le terrorisme, faciliter la constatation des infractions qui s’y rattachent, faciliter la constatation des infractions liées à la criminalité organisée au sens des articles 706-73 et 706-73-1 du code de procédure pénale, des infractions de contrebande, d’importation ou d’exportation commises en bande organisée prévues et réprimées par le dernier alinéa de l’article 414 du code des douanes, ainsi que la constatation des opérations financières définies à l’article 415 du code des douanes lorsqu’elles portent sur des fonds provenant de ces infractions, et enfin le rassemblement des preuves et la recherche des auteurs. La CNIL rappelle le principe de limitation des finalités : les données ne peuvent être traitées ultérieurement de manière incompatible avec ces objectifs. Elle invite le ministère à garantir que les données collectées par les autorités portuaires ne seront pas utilisées pour la gestion ordinaire des ports de plaisance et prend acte de la modification annoncée du projet de décret pour limiter l’accès des agents de l’autorité portuaire aux seuls besoins de leur mission de collecte et de transmission définie à l’article L. 232-9 du CSI.

4. Sur les destinataires, le projet de décret prévoit que les services de l’État chargés de la prévention et de la répression des infractions mentionnées au I de l’article L. 232-9 du CSI sont destinataires des données, à leur demande. Compte tenu de la vocation de ces données à permettre la constatation d’infractions et à contribuer au rassemblement de preuves en matière pénale, la CNIL prend acte de l’intention de préciser l’article 1er (IV) du projet de décret, notamment quant à la liste des destinataires ou catégories de destinataires habilités, aux modalités de transmission des données, aux garanties d’encadrement des droits, au niveau d’habilitation requis et au périmètre des données concernées. Ces précisions sont jugées nécessaires pour assurer la proportionnalité et la sécurité juridique du dispositif.

5. En matière de droits des personnes, le projet de décret renvoie au titre III de la loi « informatique et libertés » et prévoit un exercice des droits directement auprès du responsable de traitement. La CNIL estime que le texte devrait préciser le ou les responsables de traitement auprès desquels s’exerce le droit d’accès prévu aux articles 105 et 119 de la loi « informatique et libertés ». Elle relève également l’absence de dispositions relatives à l’information des personnes et recommande au ministère de détailler les modalités d’information, conformément à l’article 104 de la même loi. Sur les mesures de sécurité, la CNIL rappelle l’obligation de traiter les données à caractère personnel de manière à garantir leur sécurité par des mesures techniques ou organisationnelles appropriées, en insistant sur la maîtrise du risque pour l’intégrité des données compte tenu de leur usage en matière pénale. Elle souligne la nécessité de s’assurer que seuls les agents autorisés ont accès aux données, en particulier lorsque celles-ci ne font pas l’objet d’un traitement automatisé et ne bénéficient pas de l’obligation de journalisation prévue au V de l’article 1er. Enfin, en l’absence d’informations sur les modalités de transmission des données aux autorités répressives compétentes, la CNIL invite le ministère à garantir que les autorités portuaires pourront authentifier l’origine des demandes de communication émanant des services de l’État compétents, condition essentielle à la traçabilité et à la protection des données dans ce dispositif de contrôle d’identification dans les ports de plaisance.