Ports de plaisance : nouveau cadre CNIL et pénal pour les données passagers

1. Objet et fondement du décret no 2026-753 relatif aux données dans les ports de plaisance

1.1. Le décret no 2026-753 du 8 août 2026, publié au Journal officiel de la République française, porte application de l’article L. 232-9 du code de la sécurité intérieure et autorise des traitements de données à caractère personnel relatifs à la collecte d’information dans les ports de plaisance. Il vise les particuliers plaisanciers ou propriétaires d’un navire de plaisance, les services de l’Etat chargés de la prévention et de la répression de certaines infractions, ainsi que les autorités portuaires et les autorités investies du pouvoir de police portuaire.

1.2. Le texte précise les modalités selon lesquelles l’autorité portuaire ou l’autorité investie du pouvoir de police portuaire collecte et conserve les informations permettant d’identifier les navires de plaisance s’amarrant dans un port qui n’est pas leur port d’attache, le propriétaire de ces navires, les personnes transportées ainsi que leur itinéraire. Il encadre également les conditions de vérification de l’identité civile des personnes concernées et la transmission des données aux services de l’Etat chargés de prévenir et de réprimer le terrorisme, la criminalité organisée, les infractions de contrebande d’importation ou d’exportation commises en bande organisée et les infractions prévues par les articles 414 et 415 du code des douanes.

1.3. Le décret entre en vigueur le lendemain de sa publication et est pris pour l’application de l’article 14 de la loi no 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, qui a créé l’article L. 232-9 du code de la sécurité intérieure. Il s’appuie sur le règlement (UE) 2016/679 du 27 avril 2016 (RGPD), la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, le code des transportsarrêté du 4 septembre 2017 portant application de l’article L. 2241-10 du code des transports. Il tient compte de l’avis du Conseil national d’évaluation des normes du 23 juillet 2026 et de l’avis no 2026-076 de la Commission nationale de l’informatique et des libertés du 9 juillet 2026, après consultation du Conseil d’Etat (section de l’intérieur).

2. Désignation de l’autorité responsable et vérification de l’identité

2.1. L’article R. 232-24, inséré par le décret dans le code de la sécurité intérieure au sein d’un nouveau chapitre II bis – Recueil des données relatives aux navires de plaisance, désigne l’autorité portuaire comme autorité chargée de la collecte et de la vérification des données. Cette autorité peut déléguer ces missions à l’autorité investie du pouvoir de police portuaire, lorsque celle-ci est distincte, par une convention, et peut confier l’exercice de cette mission à son délégataire, y compris la mise en œuvre des mesures prévues au II de l’article.

2.2. Lors de la collecte des informations relatives aux personnes à bord et au propriétaire (2o et 3o du IV), l’autorité portuaire, son délégataire ou l’autorité investie du pouvoir de police portuaire vérifie les données d’identité par la présentation de l’un des documents listés par l’arrêté conjoint du ministre de l’intérieur et du ministre chargé des transports pris pour l’application de l’article L. 2241-10 du code des transports. En cas de doute sur les données déclarées, l’autorité portuaire informe le service de police, de gendarmerie ou douanier localement compétent.

3. Nature des traitements de données et catégories d’informations collectées

3.1. Pour les finalités prévues à l’article L. 232-9, les autorités mentionnées au I de l’article R. 232-24 sont autorisées à mettre en œuvre des traitements de données à caractère personnel. Le IV de cet article énumère de manière détaillée les données enregistrées.

3.2. Les données permettant l’identification du navire comprennent : le numéro d’identification, le nom, le pavillon, le port d’enregistrement, l’identifiant utilisateur (Maritime Mobile Service Identity, indicatif d’appel radioélectronique ou AIS, le cas échéant), la longueur, la marque, le modèle, l’année de mise à l’eau et l’année de construction.

3.3. Les données permettant l’identification du propriétaire du navire diffèrent selon qu’il s’agit d’une personne physique ou d’une personne morale. Pour une personne physique, sont collectés : nom, nom d’usage le cas échéant, prénom, date de naissance, lieu de naissance, adresse mél et téléphone, type et numéro du document présenté aux fins de justification de l’identité le cas échéant, et nationalité. Pour une personne morale, sont enregistrés : nom de la société, nationalité et SIRET ou SIREN, le cas échéant.

3.4. Les données permettant l’identification des personnes à bord du navire reprennent la même structure : nom, nom d’usage le cas échéant, prénom, date de naissance, lieu de naissance, adresse mél et téléphone, type et numéro du document présenté aux fins de justification de l’identité le cas échéant, et nationalité.

3.5. Les données relatives à l’itinéraire du navire et aux points de mouillage incluent : la date, le lieu de stationnement, les heures de début et de fin de l’escale, le port de départ et la précédente escale du voyage, ainsi que le port d’arrivée et l’escale suivante prévue. Ces données sont conservées 2 ans à compter de leur collecte, ce qui fixe une durée de conservation limitée mais significative pour les besoins de prévention et de répression.

4. Accès, destinataires et traçabilité des opérations

4.1. Le V de l’article R. 232-24 encadre strictement l’accès aux données. Seuls les agents de l’autorité portuaire, ou le cas échéant de son délégataire ou de l’autorité investie du pouvoir de police portuaire, individuellement désignés et spécialement habilités, peuvent consulter les données pour les besoins de leur mission de collecte et de transmission définie à l’article L. 232-9.

4.2. Sont destinataires de ces données, à leur demande ou en cas de doute sur les données déclarées, les personnels de la police nationale, de la gendarmerie nationale, ainsi que les agents des douanes et de l’Office national anti-fraude, individuellement désignés par leur chef de service, et ce uniquement pour les besoins de leurs missions.

4.3. Le VI impose une traçabilité des opérations lorsque les données font l’objet d’un traitement automatisé. Les opérations de collecte, modification, consultation, communication et effacement sont enregistrées. Les journaux des opérations permettent d’établir l’identifiant de l’auteur, la date, l’heure, le motif de l’opération et, le cas échéant, les destinataires des données. Ces informations sont conservées trois ans, ce qui renforce la responsabilité et le contrôle des accès.

5. Droits des personnes et limitations prévues par le RGPD et la loi de 1978

5.1. Le VII de l’article R. 232-24 organise l’information et les droits des personnes concernées, en conformité avec le règlement (UE) 2016/679. Les informations prévues à l’article 14 du règlement sont mises à disposition des personnes concernées.

5.2. Conformément aux articles 15, 16 et 18 du règlement (UE) 2016/679, les droits d’accès, de rectification et à la limitation des données s’exercent directement auprès de l’autorité responsable du traitement mentionnée au III. Toutefois, afin d’éviter de gêner des enquêtes, des recherches, des procédures administratives ou judiciaires, ou de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes, aux poursuites ou à l’exécution de sanctions pénales, ou encore pour protéger la sécurité publique, ces droits peuvent faire l’objet de restrictions en application de l’article 23 du règlement.

5.3. La personne concernée par ces restrictions exerce ses droits auprès de la Commission nationale de l’informatique et des libertés dans les conditions prévues à l’article 52 de la loi du 6 janvier 1978 modifiée. En outre, conformément à l’article 23 du règlement (UE) 2016/679, le droit d’opposition ne s’applique pas au présent traitement, ce qui reflète la prééminence des objectifs de sécurité intérieure et de lutte contre le terrorisme, la criminalité organisée et la contrebande.

6. Adaptations réglementaires et entrée en vigueur

6.1. L’article 2 du décret modifie plusieurs articles du code de la sécurité intérieure (R. 285-1, R. 286-1, R. 287-1 et R. 288-1) pour y insérer la référence au nouvel article R. 232-24, en précisant qu’il résulte du décret no 2026-753 du 8 août 2026. Ces insertions assurent la cohérence des renvois internes au code.

6.2. Des adaptations spécifiques sont prévues pour les territoires ultramarins : à l’article R. 285-3, le numéro SIRET est remplacé par la référence au répertoire Tahiti ; à l’article R. 286-3, par le numéro RIDET ; et à l’article R. 287-3, par le numéro du répertoire des entreprises applicable dans les îles Wallis et Futuna. Ces dispositions (7o ter et 9o ter) garantissent l’adéquation du dispositif aux systèmes d’identification des entreprises dans les différentes collectivités.

6.3. L’article 3 précise que les dispositions du décret entrent en vigueur en même temps que l’arrêté prévu au deuxième alinéa de l’article L. 232-9 du code de la sécurité intérieure, ce qui conditionne l’effectivité du dispositif à l’adoption de cet arrêté d’application. L’article 4 confie l’exécution du décret au ministre de l’intérieur, à la ministre des outre-mer et au ministre des transports, et prévoit sa publication au Journal officiel de la République française. Le texte est signé par SÉBASTIEN LECORNU, Premier ministre, et contresigné par LAURENT NUNEZ, NAÏMA MOUTCHOU et PHILIPPE TABAROT.