Le décret n° 2026-753 du 8 août 2026 organise, dans les ports de plaisance, la collecte des données identifiant les navires en escale, leur propriétaire, les personnes à bord et leur itinéraire^[1]. Le décret confie ce fichier à l’autorité portuaire, c’est-à-dire au gestionnaire du port, quand la Commission nationale de l’informatique et des libertés (ci-après « CNIL ») estimait que le ministère de l’intérieur devait en répondre^[2]. Les gestionnaires de port assumeront seuls cette charge, à une date que fixera un arrêté^[3].

La loi contre le narcotrafic appliquée aux ports de plaisance

L’article 14 de la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic a créé l’article L. 232-9 du Code de la sécurité intérieure, qui charge l’autorité portuaire, ou l’autorité investie du pouvoir de police portuaire lorsqu’elle en est distincte, de collecter et de transmettre des données aux services de l’État^[4]. Le II du même article renvoyait à un décret en Conseil d’État le soin de préciser la typologie de données, leurs destinataires et la vérification de l’identité civile^[5]. Le décret n° 2026-753 du 8 août 2026 crée à cette fin l’article R. 232-24 du même code^[6].

Afin de s’assurer que ces données seraient bien collectées et transmises, une amende à hauteur de 50 000 euros au maximum par voyage^[7] serait encourue. Lorsque le manquement devient habituel, notion que le code ne définit pas mais qui suppose sa répétition, la peine est de deux ans d’emprisonnement et de 30 000 euros d’amende^[8].

Le décret désigne l’autorité portuaire comme responsable de traitement, la CNIL avait désigné le ministère de l’intérieur

Le décret soumet ce fichier au règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (ci-après « RGPD »)^[9]. Le décret autorise l’autorité portuaire, son délégataire et l’autorité investie du pouvoir de police portuaire à mettre en œuvre le traitement^[10]. Le décret précise auprès de qui les droits s’exercent :

« […] les droits d’accès, de rectification et à la limitation des données s’exercent directement auprès de l’autorité responsable du traitement mentionnée au III du présent article »^[11].

Le décret ne désignant nommément personne, vu l’article précité, il semble donc que l’autorité portuaire qui met le fichier en œuvre en soit le responsable au sens de l’article 4, point 7, du RGPD^[12].

La CNIL avait retenu une solution distincte dans sa délibération du 9 juillet 2026, relevant que le ministère fixe la finalité, le type de données, leur durée de conservation et les destinataires, elle a considéré qu’il devait en être le responsable^[13]. Le décret publié écarte cette lecture, mais suit la CNIL sur la liste des destinataires des données, à savoir les personnels de la police nationale et de la gendarmerie nationale ainsi que les agents des douanes et de l’Office national anti-fraude^[14].

Ce que la désignation de l’autorité portuaire change, et à partir de quand

L’autorité portuaire répond de la sécurité des données, de l’information prévue à l’article 14 du RGPD et des demandes d’accès, de rectification et de limitation, le droit d’opposition étant écarté^[15]. Le décret lui impose une habilitation nominative de ses agents, c’est-à-dire leur désignation individuelle et écrite, et la journalisation de chaque opération, dont l’auteur, la date et le motif sont conservés trois ans^[16].

L’entrée en vigueur du décret reste suspendue. En effet, l’article 3 du décret la fixe à la date de l’édiction de l’arrêté conjoint déterminant les ports concernés, arrêté non publié à ce jour^[17]. La notice du décret annonce, en sens contraire, une entrée en vigueur du décret au lendemain de la publication^[18]. Toutefois, en l’absence d’arrêté visant les ports concernés et alors que la portée normative de la notice du décret est limitée, il est donc permis de considérer qu’aucun port n’est encore soumis à cette obligation de collecte de données.

Ce que les autorités portuaires ont à engager avant la parution de l’arrêté

L’autorité portuaire peut néanmoins apprécier en amont si son port peut figurer sur cette liste qui sera édictée par arrêté, la CNIL indiquant que le critère envisagé tenait au nombre d’anneaux^[19]. Elle peut également travailler à la formalisation de l’habilitation de ses agents, inscrire le traitement au registre des activités de traitement de l’article 30 du RGPD et rédiger la mention d’information de l’article 14 du même règlement^[20]. Lorsque la collecte est déléguée à l’autorité investie du pouvoir de police portuaire, la convention prévue au I de l’article R. 232-24 du Code de la sécurité intérieure est conclue avant la première escale^[21].

 

_______

[1] Décret n° 2026-753 du 8 août 2026, article 1er, créant l’article R. 232-24, IV, du Code de la sécurité intérieure, https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054646016.

[2] Délibération n° 2026-076 du 9 juillet 2026, II-A, https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000054646894.

[3] Décret n° 2026-753 du 8 août 2026, article 3.

[4] Article L. 232-9, I, du Code de la sécurité intérieure, version en vigueur depuis le 15 juin 2025, consultée le 19 août 2026, https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000051739426.

[5] Article L. 232-9, II, du Code de la sécurité intérieure.

[6] Décret n° 2026-753 du 8 août 2026, article 1er, publié au JORF n° 0185 du 9 août 2026, texte n° 1.

[7] Articles L. 232-9, III, premier alinéa, et L. 232-5 du Code de la sécurité intérieure, version en vigueur depuis le 28 janvier 2024, https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000049051118.

[8] Article L. 232-9, III, second alinéa, du Code de la sécurité intérieure.

[9] Visas du décret n° 2026-753 du 8 août 2026, et article 1er, article R. 232-24, VII, du Code de la sécurité intérieure.

[10] Décret n° 2026-753 du 8 août 2026, article 1er, article R. 232-24, I et III, du Code de la sécurité intérieure.

[11] Décret n° 2026-753 du 8 août 2026, article 1er, article R. 232-24, VII, 2°, du Code de la sécurité intérieure.

[12] Décret n° 2026-753 du 8 août 2026, article 1er, article R. 232-24, III et VII, 2°, du Code de la sécurité intérieure.

[13] Délibération n° 2026-076 du 9 juillet 2026, II-A.

[14] Décret n° 2026-753 du 8 août 2026, article 1er, article R. 232-24, V, du Code de la sécurité intérieure, à rapprocher du point II-C de la délibération n° 2026-076 du 9 juillet 2026.

[15] Décret n° 2026-753 du 8 août 2026, article 1er, article R. 232-24, V à VII, du Code de la sécurité intérieure, et article 32 du règlement (UE) 2016/679.

[16] Décret n° 2026-753 du 8 août 2026, article 1er, article R. 232-24, V et VI, du Code de la sécurité intérieure.

[17] Décret n° 2026-753 du 8 août 2026, article 3, et article L. 232-9, I, second alinéa, du Code de la sécurité intérieure.

[18] Notice du décret n° 2026-753 du 8 août 2026, rubrique « Entrée en vigueur ».

[19] Délibération n° 2026-076 du 9 juillet 2026, II-A.

[20] Article 30 du règlement (UE) 2016/679, et décret n° 2026-753 du 8 août 2026, article 1er, article R. 232-24, V et VII, 1°, du Code de la sécurité intérieure.

[21] Décret n° 2026-753 du 8 août 2026, article 1er, article R. 232-24, I, du Code de la sécurité intérieure.