Le décret n° 2026-726 du 1er août 2026 autorise le ministre de l’Intérieur à mettre en œuvre le traitement de données personnelles qui supporte le téléservice de déclaration des financements étrangers des cultes^[1]. Ce fichier enregistre l’affiliation religieuse de l’organisme bénéficiaire et admet que d’autres données puissent faire apparaître les convictions religieuses des personnes^[2]. Un décret en Conseil d’État précédé d’un avis publié de la Commission nationale de l’informatique et des libertés (ci-après « CNIL ») s’imposait pour ce motif^[3].

Un téléservice de déclaration rangé parmi les fichiers intéressant la sûreté de l’État

 

Toute association cultuelle qui bénéficie d’avantages ou de ressources provenant d’un État étranger, d’une personne morale étrangère ou d’une personne physique non résidente en France doit les déclarer à l’autorité administrative au-delà d’un seuil fixé par décret^[4]. Le manquement est puni d’une amende de 3 750 euros, portée, le cas échéant, au quart de la somme en cause^[5]. Cette obligation déclarative procède de la loi n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République^[6].

 

Préalablement à l’édiction du décret, la CNIL a relevé que l’obligation déclarative a pour objet la prévention des ingérences étrangères et peut permettre la détection d’infractions pénales^[7]. Le traitement des données intéresse, à ce titre, la sûreté de l’État et relève de l’article 31 de la loi n° 78-17 du 6 janvier 1978, dont le II impose l’édiction d’un décret en Conseil d’État pour les fichiers de données sensibles^[8].

 

L’affiliation religieuse enregistrée et les destinataires que le décret désigne

 

Les catégories de données collectées

Le fichier enregistre, sur l’organisme bénéficiaire, sa dénomination, son affiliation religieuse, sa forme juridique, son numéro identifiant, l’adresse du siège social et ses coordonnées^[9]. Au-delà de 15 300 euros de financements octroyés, s’y ajoutent l’identité, la nationalité et les coordonnées de la personne qui consent le financement et des intermédiaires^[10]. Le décret admet que ces informations fassent apparaître, directement ou indirectement, des données sensibles au sens du I de l’article 6 de la loi du 6 janvier 1978^[11]. Le même article interdit de sélectionner dans le traitement une catégorie particulière de personnes à partir de ces seules données^[12].

 

Un cercle de destinataires resserré

L’accès au fichier est réservé aux agents des services centraux du ministère de l’intérieur chargés de l’instruction, individuellement désignés et spécialement habilités, cercle que la CNIL a jugé adapté à la sensibilité des données^[13]. Le projet de décret soumis à la CNIL désignait les destinataires par leur intervention en vue d’établir l’existence d’une menace réelle, actuelle et suffisamment grave affectant un intérêt fondamental de la société^[14]. La CNIL a estimé que cette désignation devait viser des catégories de personnes dont la mission consiste explicitement à établir cette menace, comme les services spécialisés de renseignement^[15]. Le décret publié désigne désormais comme destinataires :

« les agents des services de l’Etat, individuellement désignés et dûment habilités, qui contribuent à la mise en œuvre des dispositions prévues au III de l’article 19-3 de la loi du 9 décembre 1905 […] »^[16].

 

Ce que le décret change pour les personnes inscrites au fichier

 

Le décret est applicable depuis le 5 août 2026, lendemain de sa publication, sans mesure transitoire^[17]. Le droit d’opposition de l’article 21 du règlement (UE) 2016/679, à savoir le règlement général sur la protection des données (ci-après « RGPD »), est écarté, ce que la CNIL a jugé légitime^[18]. Les droits d’accès, de rectification et de limitation s’exercent auprès du responsable de traitement^[19]. Le décret reste muet sur l’information des personnes inscrites par une association déclarant pour le compte d’autres associations, alors que la CNIL avait invité le ministère à bâtir une procédure d’information de toutes les personnes concernées^[20].

 

Ce que les organismes déclarants ont à engager, et pour quand

 

Les organismes qui déclarent pour le compte d’autres associations ou qui transmettent l’identité des personnes mises à leur disposition informent eux-mêmes ces personnes, pour toute déclaration déposée depuis le 5 août 2026^[21]. Le délégué à la protection des données de ces organismes inscrit la déclaration au registre des traitements et vérifie que la mention d’information couvre les destinataires et la conservation de six ans^[22].

 

_______

[1] Décret n° 2026-726 du 1er août 2026 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel permettant le dépôt et l’instruction par voie dématérialisée au moyen d’un téléservice des déclarations relatives au financement étranger des cultes et relatif à diverses dispositions portant sur le droit des cultes, article 1er, JORF n° 0180 du 4 août 2026, texte n° 3, https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054608297

[2] Décret n° 2026-726, article 2, I, 2°, et article 3.

[3] Article 31, II, de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, version consultée le 20 août 2026, https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000037822860

[4] Article 19-3, I, de la loi du 9 décembre 1905 concernant la séparation des Eglises et de l’Etat, version consultée le 20 août 2026, https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000043972458

[5] Article 19-3, IV, de la même loi.

[6] Délibération n° 2025-115 du 27 novembre 2025 de la Commission nationale de l’informatique et des libertés, I, A, JORF n° 0180 du 4 août 2026, texte n° 118, https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054609527

[7] Délibération n° 2025-115, I, B.

[8] Délibération n° 2025-115, I, B. Article 31, I et II, de la loi n° 78-17 du 6 janvier 1978.

[9] Décret n° 2026-726, article 2, I, 2°.

[10] Décret n° 2026-726, article 2, II, 2°.

[11] Décret n° 2026-726, article 3, premier alinéa.

[12] Décret n° 2026-726, article 3, second alinéa.

[13] Décret n° 2026-726, article 4, I. Délibération n° 2025-115, II, B.

[14] Délibération n° 2025-115, II, B, citant le II de l’article 4 du projet de décret soumis à la Commission.

[15] Délibération n° 2025-115, II, B.

[16] Décret n° 2026-726, article 4, II.

[17] Décret n° 2026-726, notice, JORF n° 0180 du 4 août 2026, texte n° 3.

[18] Décret n° 2026-726, article 6, I. Délibération n° 2025-115, II, C, 1. Règlement (UE) 2016/679 du 27 avril 2016, article 21, https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679

[19] Décret n° 2026-726, article 6, II. Délibération n° 2025-115, II, C, 2.

[20] Délibération n° 2025-115, II, C, 2.

[21] Décret n° 2026-726, article 10, 2° et 4°. Délibération n° 2025-115, II, C, 2. Règlement (UE) 2016/679, article 14.

[22] Décret n° 2026-726, article 5, I.