1.1. L’arrêté du 15 juillet 2026, publié au Journal officiel de la République française du 18 juillet 2026 (Texte 27 sur 108), procède à la codification des dispositions relatives au traitement de données à caractère personnel dénommé « CEZAR » au sein du code des transports, en remplaçant intégralement la section 6 du chapitre II du titre III du livre III de la cinquième partie de la Partie réglementaire – Arrêtés. Ce texte s’inscrit dans un ensemble normatif comprenant notamment le règlement (CE) no 725/2004 relatif à l’amélioration de la sûreté des navires et des installations portuaires, le règlement (UE) 2016/679 (RGPD), la directive 2005/65/CE relative à l’amélioration de la sûreté des ports, le code de la sécurité intérieure (articles L. 114-1, R. 114-2, R. 114-4), le code des transports (articles L. 5332-16 à L. 5332-18 et R. 5332-62 à R. 5332-69), la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, la loi no 2025-532 du 13 juin 2025 visant à sortir la France du piège du narcotrafic, ainsi que les décrets no 84-810 du 30 août 1984 et no 2026-524 du 18 juin 2026 relatifs à la sûreté portuaire.
1.2. Le nouvel article A. 5332-600 définit les finalités du traitement « CEZAR ». Il s’agit, d’une part, du dépôt dématérialisé par les personnes morales mentionnées à l’article R. 5332-62 des demandes d’autorisation, d’agrément et d’habilitation pour le compte des personnes physiques concernées. D’autre part, le traitement permet l’instruction de ces demandes par les services du préfet de département, en lien avec les services enquêteurs, puis l’édiction des décisions correspondantes. Il assure également le suivi et la gestion de la validité des décisions et des titres d’accès matérialisant les autorisations d’accès aux zones concernées. Enfin, il autorise la production de statistiques départementales et nationales relatives aux demandes (déposées, en instruction, sans suite, abandonnées, validées, refusées, retirées) et aux décisions en cours de validité, afin de calculer des ratios et des délais moyens d’instruction.
1.3. L’arrêté abroge l’arrêté du 15 avril 2009 qui avait créé un premier traitement « CEZAR (Contrôle d’entrée en zone d’accès restreint) » relatif à la délivrance d’habilitations, d’agréments et au suivi de la validité des titres de circulation dans les zones d’accès restreint des ports maritimes. Le nouveau dispositif codifié modernise et sécurise ce traitement, en l’alignant sur les exigences du RGPD et de la loi « informatique et libertés », tout en l’intégrant dans l’architecture du code des transports.
2.1. L’article A. 5332-601 détaille de manière exhaustive les données à caractère personnel enregistrées dans le traitement. Les données d’identification de la personne physique pour laquelle une décision est sollicitée comprennent la civilité, le sexe, le nom de famille, le nom d’usage, les prénoms, le type et le numéro du document d’identité, ainsi que, si nécessaire pour l’instruction, les noms et prénoms des parents. Les données relatives à la naissance (nom de naissance, date, ville, code postal, département, pays, nationalité) et les coordonnées (adresse du domicile principal, numéro de téléphone facultatif, adresse électronique nominative professionnelle ou personnelle facultative) complètent ce socle d’identification.
2.2. Des données relatives à l’activité professionnelle sont également collectées : profession du bénéficiaire, description du poste, date de début d’activité. S’y ajoutent les données relatives à la personne morale employant le bénéficiaire : dénomination ou raison sociale, adresse, numéro de SIRET (vérifié via l’API SIRENE), ainsi que le nom, prénom et adresse électronique nominative professionnelle de la personne chargée du dépôt de la demande pour le compte de la personne morale mentionnée à l’article R. 5332-62.
2.3. Le traitement enregistre aussi les données relatives aux décisions d’autorisation, d’agrément ou d’habilitation : identité de la personne en charge de l’instruction sous l’autorité du préfet de département, numéro d’ordre de la décision, type de décision sollicitée au sens de l’article R. 5332-62, dates de début et de fin de validité, sens de la décision (favorable/défavorable) et, pour les décisions défavorables, la portée (refusée, suspendue, retirée), sans mention du motif. Enfin, des données relatives aux titres d’accès délivrés consécutivement aux décisions sont conservées : numéro d’ordre du titre, date de délivrance, date d’échéance, identification du port ou de l’installation portuaire ayant délivré le titre.
2.4. Le II de l’article A. 5332-601 précise les mentions relatives à la détention de documents prévus à l’article R. 5332-63, nécessaires à l’instruction des demandes. Pour les demandes d’agréments prévues aux 4o et 5o de l’article R. 5332-62, il s’agit de la mention de la détention d’un diplôme ou d’une attestation équivalente justifiant d’un niveau de maîtrise de la langue française au moins égal au niveau B1, ainsi que de la détention d’un document équivalent à une copie du bulletin no 2 du casier judiciaire. Pour les demandes d’agrément prévues au 6o de l’article R. 5332-62, la mention porte sur la détention d’une attestation d’inscription au concours de la station de pilotage. Dans tous les cas, le traitement ne conserve que des mentions (oui/non, intitulé), à l’exclusion de tout original ou copie numérique ou papier des documents eux‑mêmes, ce qui limite la sensibilité des données stockées.
3.1. L’article A. 5332-602 fixe une durée de conservation unique pour l’ensemble des données mentionnées à l’article A. 5332-601 : cinq ans et six mois à compter de leur enregistrement dans le traitement CEZAR. Cette durée, relativement longue, se justifie par les besoins de suivi des décisions, de gestion des titres d’accès et de production de statistiques, tout en restant bornée dans le temps conformément aux principes de limitation de la conservation posés par le RGPD.
3.2. L’article A. 5332-603 encadre strictement les personnes autorisées à accéder aux données, « à raison de leurs attributions et pour les besoins exclusifs des missions qui leur sont confiées et dans la limite du besoin d’en connaître ». Sont visés, d’une part, les agents individuellement désignés par le ministre chargé des transports pour la maîtrise d’ouvrage, l’assistance à maîtrise d’ouvrage, la maîtrise d’œuvre du traitement ou la réalisation des audits nationaux de sûreté portuaire prévus à l’article R. 5332-21, ainsi que les agents désignés par le préfet de département. D’autre part, des personnes physiques agréées par le préfet de département peuvent accéder au traitement : agents de sûreté du port, agents de sûreté de l’installation portuaire, agents de sûreté de la compagnie, chef du service du pilotage ou personnes désignées, et dirigeant d’un organisme de sûreté habilité ou personnes désignées, chacun pour le dépôt des demandes d’autorisation, d’agrément ou d’habilitation prévues à l’article R. 5332-62.
3.3. L’article A. 5332-604 désigne comme destinataires potentiels des données les agents des services enquêteurs de la police nationale et de la gendarmerie nationale, dûment habilités et individuellement désignés, dans le cadre de leurs missions de contrôle et d’enquête. Cette ouverture répond à l’objectif de sûreté portuaire et de lutte contre des phénomènes tels que le narcotrafic, en cohérence avec la loi no 2025-532 du 13 juin 2025.
4.1. L’article A. 5332-605 précise les modalités d’exercice des droits d’accès et de rectification prévus aux articles 15 et 16 du règlement (UE) 2016/679. Ces droits s’exercent directement auprès du préfet de département ayant enregistré la demande. Le préfet devient ainsi l’interlocuteur privilégié des personnes concernées pour toute demande relative aux données enregistrées dans CEZAR, ce qui renforce la traçabilité et la responsabilité de l’autorité administrative en charge de l’instruction.
4.2. L’article A. 5332-606 indique que le droit d’opposition, prévu à l’article 21 du RGPD, ne s’applique pas au traitement CEZAR, en application de l’article 23 du même règlement. Cette exclusion se justifie par la nature du traitement, directement lié à la sûreté des ports, à la sécurité intérieure et à la prévention des atteintes à la sûreté portuaire. Permettre une opposition individuelle pourrait compromettre l’efficacité des enquêtes administratives et des contrôles préalables à la délivrance des autorisations, agréments et habilitations.
4.3. L’article A. 5332-607 prévoit enfin que le traitement CEZAR est mis en relation avec la base SIRENE pour vérifier le numéro SIRET de l’établissement employeur. Cette interconnexion illustre la logique de fiabilisation des données et de contrôle de l’authenticité des personnes morales impliquées dans les demandes, tout en restant circonscrite à une finalité précise (vérification du SIRET) et en s’appuyant sur une base de référence nationale.
5.1. L’article 2 de l’arrêté du 15 juillet 2026 abroge l’arrêté du 15 avril 2009 portant création d’un traitement de données à caractère personnel relatif à la délivrance d’habilitations, d’agréments et au suivi de la validité des titres de circulation des personnes exerçant une activité dans les zones d’accès restreint des ports maritimes, dénommé « CEZAR (Contrôle d’entrée en zone d’accès restreint) ». Cette abrogation marque le passage d’un dispositif autonome à un dispositif codifié dans le code des transports, avec une architecture plus complète (finalités, catégories de données, accès, destinataires, droits, durée de conservation, interconnexion SIRENE).
5.2. Le nouveau cadre renforce la sécurité juridique du traitement, en l’adossant explicitement au RGPD, à la loi no 78-17 et aux dispositions spécifiques du code de la sécurité intérieure et du code des transports. Il clarifie les rôles des acteurs (ministre chargé des transports, préfet de département, agents de sûreté, services enquêteurs) et précise les conditions d’accès et de destinataires des données, tout en encadrant la durée de conservation et en organisant l’exercice des droits des personnes concernées. L’ensemble contribue à concilier les impératifs de sûreté portuaire et de protection des données à caractère personnel.
Approfondir ce sujet :