Dans le cadre du premier alinéa de l'article L. 2321-3 du code de la défense, le directeur général de l'Agence nationale de la sécurité des systèmes d'information est autorisé à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé « Base relative à l'alerte de victimes ».
Ce traitement a pour objet la collecte et le traitement des données transmises par les personnes mentionnées au premier alinéa de l'article L. 2321-3 du code de la défense à la suite d'une demande d'identification d'un utilisateur ou d'un détenteur d'un système d'information vulnérable, menacé ou attaqué. Il a pour finalités l'alerte des utilisateurs sur la vulnérabilité ou l'atteinte de leur système d'information.

Les données ou catégories de données à caractère personnel enregistrées dans la « Base relative à l'alerte de victimes » sont les données relatives à des utilisateurs ou des détenteurs de systèmes d'information vulnérables, menacés ou attaqués suivantes :
1° Adresse IP ou nom de domaine ;
2° Identité ;
3° Adresse postale ;
4° Adresse électronique ;
5° Le cas échéant, numéro de téléphone.

Les données à caractère personnel mentionnées à l'article 2 sont conservées deux ans, à compter de leur collecte.

I. - Seuls les agents de l'Agence nationale de la sécurité des systèmes d'information, individuellement désignés et spécialement habilités, peuvent accéder à tout ou partie des données à caractère personnel mentionnées à l'article 2.
II. - Peuvent être destinataires des données mentionnées aux 1°, 4° et 5° de l'article 2, les opérateurs de communications électroniques et les personnes mentionnées au 2 du I de l'article 6 de la loi du 21 juin 2004 susvisée.

Les opérations de création, consultation, modification et suppression des données à caractère personnel du présent traitement, effectuées par les agents de l'Agence nationale de la sécurité des systèmes d'information, font l'objet d'un enregistrement comprenant l'identification de l'auteur, la date, l'heure et la nature de l'opération effectuée et sont conservées pendant un an.

Les droits à l'information et d'opposition prévus respectivement aux articles 116 et 117 de la loi du 6 janvier 1978 susvisée ne s'appliquent pas au présent traitement.
Les droits d'accès, de rectification et à l'effacement s'exercent de manière indirecte auprès de la Commission nationale de l'informatique et des libertés, dans les conditions prévues à l'article 118 de la loi du 6 janvier 1978 susvisée.

Le directeur général de l'Agence nationale de la sécurité des systèmes d'information est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.