| N° de demande d’avis : 2243161 | Thématiques : ports de plaisance ; contrôle d’identification |
| Organisme(s) à l’origine de la saisine : ministère de l’intérieur | Fondement de la saisine : article 8-I (4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés |
L’essentiel :
1. La CNIL invite le ministère à préciser le périmètre du dispositif envisagé ainsi que les responsabilités des autorités portuaires chargées de mettre en œuvre le traitement.
2. Compte tenu des finalités poursuivies par le traitement, la CNIL estime que le projet décret devrait préciser la liste des destinataires habilités à recevoir communication des données, les garanties appropriées relatives aux modalités de leur transmission aux autorités répressives compétentes ainsi que les modalités d’exercice du droit d’accès et du droit à l’information.
La Commission nationale de l’informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« loi informatique et libertés »), notamment son article 8-I (4°, a) ;
Sur la proposition de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. – La saisine
A. – Le contexte
Créé par l’article 14 de la loi n° 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, l’article L. 232-9 du code de la sécurité intérieure (CSI) met en place un dispositif de surveillance des navires et des passagers en transit dans les ports de plaisance.
Cet article prévoit la collecte et la vérification, par l’autorité portuaire ou l’autorité investie du pouvoir de police portuaire, des données permettant d’identifier les navires de plaisance qui ont un autre port d’attache, leur propriétaire, les personnes qu’ils transportent ainsi que leur itinéraire. Il organise également les modalités de transmission de ces données aux autorités compétentes.
B. – L’objet de la saisine
La CNIL a été saisie pour avis, en urgence, par le ministère de l’intérieur, d’un projet de décret portant application de l’article L. 232-9 du CSI, créant l’article R. 232-24 au sein du même code.
Ce projet de décret fixe les modalités principales selon lesquelles l’autorité portuaire ou l’autorité investie du pouvoir de police portuaire collecte et conserve les données relatives à l’identification des navires de plaisance et des personnes concernées, vérifie les données d’identité civile de ces personnes et transmet ces données aux autorités répressives compétentes.
II. – L’avis de la CNIL
A. – Sur le périmètre du dispositif envisagé
Le projet de décret prévoit que pour l’application de l’article L. 232-9 du CSI, l’autorité chargée de la collecte et de la vérification des données est l’autorité portuaire ou son délégataire.
Il est prévu qu’un arrêté fixe la liste des ports concernés par l’obligation de collecte, de vérification et de transmission sur la base de critères actuellement à l’étude (nombre d’anneaux accueillis par les ports de plaisance). Cette liste a vocation à assujettir, dans un premier temps, les principaux ports de plaisance aux obligations prévues par le dispositif. Elle pourra ensuite être révisée afin d’en élargir le périmètre.
La CNIL prend acte du choix du ministère de privilégier la mise en œuvre d’un dispositif local reposant sur les autorités portuaires ou leur délégataire. Dans ce contexte, elle observe que :
– d’une part, les objectifs et les moyens essentiels du traitement sont déterminés par le ministère qui fixe, par l’intermédiaire du projet de décret, la finalité du traitement, les catégories de données collectées, leur durée de conservation ou encore les catégories de destinataires auxquels elles peuvent être communiquées ;
– d’autre part, à ce stade, le périmètre du traitement, notamment eu égard aux entités concernées par l’obligation de collecte, n’est pas clairement déterminé.
Au regard de ces éléments, elle estime que le ministère de l’intérieur doit être considéré comme le responsable du traitement envisagé et l’invite à en préciser le périmètre.
B. – Sur les finalités et le régime juridique applicable
Le projet de décret prévoit que le traitement est mis en œuvre pour les finalités prévues par l’article L. 232-9 du CSI.
Cet article précise que les données relatives à l’identification des navires de plaisance et des personnes concernées sont collectées afin de :
– prévenir et réprimer le terrorisme, de faciliter la constatation des infractions s’y rattachant ;
– faciliter la constatation des infractions liées à la criminalité organisée, au sens des articles 706-73 et 706-73-1 du code de procédure pénale (CPP), et des infractions de contrebande, d’importation ou d’exportation commises en bande organisée, prévue et réprimées par le dernier alinéa de l’article 414 du code des douanes ;
– faciliter la constatation, lorsqu’elles portent sur des fonds provenant de ces mêmes infractions, de la réalisation ou de la tentative de réalisation des opérations financières définies à l’article 415 du code des douanes ;
– permettre le rassemblement des preuves de ces infractions et la recherche de leurs auteurs.
S’agissant des finalités, la CNIL rappelle qu’en vertu du principe de limitation des finalités, les données collectées ne peuvent pas être traitées ultérieurement d’une manière incompatible avec ces finalités. Elle invite par conséquent le ministère à s’assurer que les données collectées par les autorités portuaires ne pourront pas être utilisées dans le cadre d’activités relatives à la gestion ordinaire des ports de plaisance. Elle prend acte de ce que le projet de décret sera modifié afin de préciser que les agents de l’autorité portuaire auront accès aux données pour les seuls besoins de leur mission de collecte et de transmission définie à l’article L. 232-9 du CSI.
C. – Sur les destinataires
Le projet de décret prévoit que sont destinataires des données, à leur demande, les services de l’Etat chargés de la prévention et de la répression des infractions mentionnées au I de l’article L. 232-9 du CSI.
Dans la mesure où les données à caractère personnel susceptibles de faire l’objet d’une transmission ont vocation à permettre la constatation d’infractions et à contribuer au rassemblement de preuves en matière pénale, la CNIL prend acte de ce que les dispositions de l’article 1er (IV) du projet de décret seront précisées, s’agissant notamment :
– de la liste des destinataires ou catégories de destinataires habilités à recevoir communication des données ;
– des modalités de transmission des données, en particulier des garanties relatives à l’encadrement des droits et du niveau d’habilitation requis ainsi que du périmètre des données concernées.
D. – Sur les droits des personnes
Le projet de décret prévoit que les droits des personnes se fondent sur le titre III de la loi « informatique et libertés » et doivent s’exercer directement auprès du responsable de traitement.
Au regard des finalités poursuivies par le traitement, la CNIL estime que le projet de décret devrait préciser le ou les responsables de traitement auprès desquels s’exerce le droit d’accès prévu aux article 105 et 119 de la loi « informatique et libertés ».
En l’absence de dispositions relatives à l’information des personnes dans le projet de décret, la CNIL recommande au ministère de préciser la manière dont les personnes sont informées, conformément à l’article 104 de la loi « informatique et libertés ».
E. – Sur les mesures de sécurité
La CNIL rappelle que les données à caractère personnel, dès lors qu’elles font l’objet d’opérations de traitement effectuées ou non à l’aide de procédés automatisés, doivent être traitées de façon à garantir leur sécurité à l’aide de mesures techniques ou organisationnelles appropriées.
Elle souligne en particulier le besoin de maîtriser le risque pour l’intégrité des données dès lors que celles-ci ont vocation à permettre la constatation d’infractions et à contribuer au rassemblement de preuves. Elle appelle à cet égard l’attention sur la nécessité que les autorités portuaires mettent en place les moyens adéquats pour s’assurer que seuls les agents autorisés auront accès aux données, a fortiori lorsque ces données ne font pas l’objet d’un traitement automatisé et de l’obligation de journalisation prévue au V de l’article 1er.
Au regard de l’absence d’information quant aux modalités de transmission des données du traitement aux autorités répressives compétentes, la CNIL invite également le ministère à s’assurer que les autorités portuaires seront en mesure d’authentifier l’origine des demandes de communication de données qui leurs seront adressées par les services de l’Etat compétents.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.