Le présent décret précise les obligations de conservation de données qui, en vertu du II de l'article 6 de la loi du 21 juin 2004 susvisée, incombent aux personnes mentionnées aux 1 et 2 du I du même article, dans les conditions prévues aux II bis, III et III bis de l'article L. 34-1 du code des postes et communications électroniques.

Les informations relatives à l'identité civile de l'utilisateur, au sens du 1° du II bis de l'article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l'article 1er sont tenues de conserver jusqu'à l'expiration d'un délai de cinq ans à compter de la fin de validité du contrat de l'utilisateur, sont les suivantes :
1° Les nom et prénom, la date et le lieu de naissance ou la raison sociale, ainsi que les nom et prénom, date et lieu de naissance de la personne agissant en son nom lorsque le compte est ouvert au nom d'une personne morale ;
2° La ou les adresses postales associées ;
3° La ou les adresses de courrier électronique de l'utilisateur et du ou des comptes associés le cas échéant ;
4° Le ou les numéros de téléphone.

Les autres informations fournies par l'utilisateur lors de la souscription d'un contrat ou de la création d'un compte, mentionnées au 2° du II bis de l'article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l'article 1er sont tenues de conserver jusqu'à l'expiration d'un délai d'un an à compter de la fin de validité du contrat de l'utilisateur ou de la clôture de son compte, sont les suivantes :
1° L'identifiant utilisé ;
2° Le ou les pseudonymes utilisés ;
3° Les données destinées à permettre à l'utilisateur de vérifier son mot de passe ou de le modifier, le cas échéant par l'intermédiaire d'un double système d'identification de l'utilisateur, dans leur dernière version mise à jour.

Les informations relatives au paiement, mentionnées au 2° du II bis de l'article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l'article 1er sont tenues de conserver, pour chaque opération de paiement, jusqu'à l'expiration d'un délai d'un an à compter de la fin de validité du contrat de l'utilisateur ou de la clôture de son compte, sont les suivantes :
1° Le type de paiement utilisé ;
2° La référence du paiement ;
3° Le montant ;
4° La date, l'heure et le lieu en cas de transaction physique.

Les données techniques permettant d'identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, mentionnées au 3° du II bis de l'article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l'article 1er sont tenues de conserver jusqu'à l'expiration d'un délai d'un an à compter de la connexion ou de l'utilisation des équipements terminaux, sont les suivantes :
1° Pour les personnes mentionnées au 1 du I de l'article 6 de la loi du 21 juin 2004 susvisée et pour chaque connexion de leurs abonnés :
a) L'identifiant de la connexion ;
b) L'identifiant attribué par ces personnes à l'abonné ;
c) L'adresse IP attribuée à la source de la connexion et le port associé ;
2° Pour les personnes mentionnées au 2 du I de l'article 6 de la loi du 21 juin 2004 susvisée et pour chaque opération de création d'un contenu telle que définie à l'article 6 :
a) L'identifiant de la connexion à l'origine de la communication ;
b) Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus.
Le délai mentionné au premier alinéa du présent article court à compter du jour de la connexion ou de la création d'un contenu, pour chaque opération contribuant à cette création.

Les catégories de données de trafic et de localisation mentionnées au III de l'article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l'article 1er sont tenues de conserver pour une durée d'un an en cas d'injonction du Premier ministre, sont les suivantes :
1° Pour les personnes mentionnées au 1 du I de l'article 6 de la loi du 21 juin 2004 susvisée et pour chaque connexion de leurs abonnés :
a) Les dates et heure de début et de fin de la connexion ;
b) Les caractéristiques de la ligne de l'abonné ;
2° Pour les personnes mentionnées au 2 du I de l'article 6 de la loi du 21 juin 2004 susvisée et pour chaque opération de création d'un contenu :
a) L'identifiant attribué par le système d'information au contenu, objet de l'opération ;
b) La nature de l'opération ;
c) Les date et heure de l'opération ;
d) L'identifiant utilisé par l'auteur de l'opération lorsque celui-ci l'a fourni.
Le délai mentionné au premier alinéa du présent article court à compter du jour de la connexion ou de la création d'un contenu, pour chaque opération contribuant à cette création.

La contribution à une création de contenu mentionnée au dernier alinéa des articles 5 et 6 du présent décret comprend les opérations portant sur :
1° Des créations initiales de contenus ;
2° Des modifications des contenus et de données liées aux contenus ;
3° Des suppressions de contenus.

Les données mentionnées aux articles 2 à 6 ne doivent être conservées que dans la mesure où elles sont collectées par les personnes mentionnées aux 1 et 2 du I de l'article 6 de la loi du 21 juin 2004 susvisée lorsqu'elles assurent la mise en œuvre des services de communication au public en ligne.

Le décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne est abrogé.

Le code de procédure pénale est ainsi modifié :
1° Au b de l'article R. 40-43, la référence : « décret n° 2011-219 du 25 février 2011 » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 » :
2° Au 3° de l'article R. 40-46, la référence : « décret n° 2011-219 du 25 février 2011 » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 » ;
3° Aux I, II et III de l'article R. 251, la référence mentionnée entre les mots : « dans sa rédaction résultant du » et les mots : « sous réserve des adaptations » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 ».

Le code de la sécurité intérieure est ainsi modifié :
1° A l'article R. 851-5, la référence : « article 1er du décret n° 2011-219 du 25 février 2011 modifié relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne » est remplacée par la référence : « article 1er du décret n° 2021-1362 du 20 octobre 2021 » ;
2° Aux articles R. 895-1, R. 896-1 et R. 897-1, la ligne :
« R. 851-5 à R. 851-10 Résultant du décret n° 2016-67 du 29 janvier 2016 relatif aux techniques de recueil de renseignement »
est remplacée par les lignes :
« R. 851-5 Résultant du décret n° 2021-1362 du 20 octobre 2021 » ;
« R. 851-6 à R. 851-10 Résultant du décret n° 2016-67 du 29 janvier 2016 ».

Les dispositions du présent décret sont applicables en Nouvelle-Calédonie, en Polynésie française et à Wallis-et-Futuna.

Le ministre de l'économie, des finances et de la relance et le ministre des outre-mer sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française et entrera en vigueur immédiatement.