I. - Le directeur général de l'Agence nationale de la sécurité des systèmes d'information est autorisé à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé : « Données opérationnelles de cyberdéfense ».
II. ‒ Ce traitement a pour finalités :
1° L'évaluation et l'amélioration du niveau de sécurité des systèmes d'information ainsi que son suivi dans le temps ;
2° La supervision et l'analyse des événements affectant ou susceptibles d'affecter la sécurité des systèmes d'information ainsi que son suivi dans le temps ;
3° La qualification, le traitement, l'analyse et le suivi dans le temps des incidents de sécurité affectant les systèmes d'information ;
4° La prévention et l'analyse des activités malveillantes affectant ou susceptibles d'affecter la sécurité des systèmes d'information.

I. - Peuvent être enregistrées dans le traitement mentionné au I de l'article 1er les catégories de données à caractère personnel suivantes :
1° Au titre de l'évaluation et de l'amélioration du niveau de sécurité des systèmes d'information, dans le périmètre de systèmes d'information défini entre l'Agence nationale de la sécurité des systèmes d'information et les bénéficiaires de ses services et dans la stricte mesure de cette finalité :
a) Données relatives aux personnes physiques interrogées dans le cadre des audits de sécurité ou des contrôles d'évaluation de la sécurité du système d'information :
i) Nom, nom marital, prénoms, surnom, alias ;
ii) Fonction ;
iii) Adresse professionnelle ;
iv) Adresse de courrier électronique professionnelle ;
v) Numéro de téléphone professionnel ;
b) Données relatives aux personnes physiques liées à un bénéficiaire d'un service d'expertise automatisé :
i) Nom, nom marital, prénoms, surnom, alias ;
ii) Fonction ;
iii) Adresse de courrier électronique professionnelle ;
iv) Numéro de téléphone professionnel ;
c) Documents fournis par l'entité contrôlée ou auditée ;
d) Données relatives à la configuration des équipements de l'entité contrôlée ou auditée ;
e) Données relatives aux annuaires informatiques de l'entité contrôlée ou auditée ;
2° Au titre de la supervision et de l'analyse des événements affectant ou susceptibles d'affecter la sécurité des systèmes d'information, dans le périmètre de systèmes d'information défini entre l'Agence nationale de la sécurité des systèmes d'information et les bénéficiaires de ses services et dans la stricte mesure de cette finalité :
a) Adresses IP ou url ;
b) Données techniques d'authentification ;
c) Données de navigation ;
d) Données de messagerie ;
e) Données d'activités des réseaux ou des systèmes supervisés ;
f) Données de communications réseau reliées à une menace ;
g) Traces d'activité sur le système ;
3° Au titre de la qualification, du traitement et de l'analyse d'un incident de sécurité affectant les systèmes d'information dans le périmètre de systèmes d'information défini entre l'Agence nationale de la sécurité des systèmes d'information et les bénéficiaires de ses services et dans la stricte mesure de cette finalité :
a) Données relatives aux personnes physiques impliquées dans l'incident :
i) Nom, nom marital, prénoms, surnom, alias ;
ii) Fonction ;
iii) Adresse de courrier électronique professionnelle ;
iv) Numéro de téléphone professionnel ;
b) Données relatives aux journaux de connexion du bénéficiaire ;
c) Données relatives aux paramètres de configuration du bénéficiaire ;
d) Données relatives aux annuaires informatiques du bénéficiaire ;
e) Données de navigation ;
f) Données présentes sur les systèmes compromis ou susceptibles de l'être qui sont collectées lors d'investigation numérique ;
g) Données relatives au traitement de l'incident ;
4° Au titre de la prévention et l'analyse des activités malveillantes affectant ou susceptibles d'affecter la sécurité des systèmes d'information :
a) Communications électroniques liées aux activités de l'attaquant en application de l'article L. 2321-2-1 du code de la défense ;
b) Données système liées à l'attaquant en application de l'article L. 2321-2-1 du code de la défense ;
c) Communications électroniques à destination d'un nom de domaine redirigé vers un serveur sécurisé de l'Agence nationale de la sécurité des systèmes d'information en application de l'article L. 2321-2-3 du code de la défense ;
d) Informations transmises par les opérateurs de communications électroniques mentionnées aux articles R. 9-12-3 et R. 10-15 du code des postes et des communications électroniques ;
e) Fichiers utiles à la prévention et la caractérisation de la menace, soumis dans le cadre de services opérés par l'Agence nationale de la sécurité des systèmes d'information.
Les données mentionnées au a à e du 4° peuvent contenir des données techniques d'identification de victimes.
II. - Les données intéressant la sûreté de l'Etat et la défense, de façon isolée ou groupée, font l'objet d'une identification dans le traitement.

Conformément aux dispositions du III de l'article 6 de la loi du 6 janvier 1978 susvisée, sont autorisés, pour les seules fins et dans le strict respect des conditions définies au présent décret, la collecte, la conservation et le traitement de données mentionnées au I du même article.

I. - Sont autorisés à accéder à tout ou partie des données à caractère personnel et informations mentionnées à l'article 2, dans la limite de leurs besoins et à raison de leurs attributions, les agents de l'Agence nationale de la sécurité des systèmes d'information.
II. - Au titre de l'évaluation et de l'amélioration du niveau de sécurité des systèmes d'information, sont destinataires des données à caractère personnel et informations mentionnées au 1° de l'article 2, à raison de leurs attributions, les commanditaires des audits.
III. - Au titre de la supervision et de l'analyse des événements affectant ou susceptibles d'affecter la sécurité des systèmes d'information, dans la limite de leurs besoins et de leurs attributions respectifs, sont destinataires de tout ou partie des données à caractère personnel et informations mentionnées au 2° de l'article 2, les agents de l'Etat, de l'autorité publique, le personnel de l'opérateur d'importance vitale ou celui de l'opérateur de service essentiel, les personnels de leurs prestataires ou sous-traitants qui sont les interlocuteurs du service de supervision de l'Agence nationale de la sécurité des systèmes d'information dans la chaîne de traitement des incidents.
IV. - Au titre de la qualification, du traitement et de l'analyse d'un incident de sécurité affectant les systèmes d'information, sont destinataires de tout ou partie des données à caractère personnel et informations mentionnées au 3° de l'article 2 les entités contribuant au traitement de l'incident de sécurité si le bénéficiaire a donné son accord.
V. - Les données relatives à des incidents informatiques traités ou ayant vocation à être traités en coopération avec des partenaires de l'Agence nationale de la sécurité des systèmes d'information et directement utiles à la prévention ou à la caractérisation des menaces ou relatives aux victimes potentielles, sont :
a) Les adresses IP, url ou identifiants, directement ou indirectement identifiants ;
b) Les adresses de courrier électronique ;
c) Les noms, noms maritaux, prénoms, surnoms, alias.
Les destinataires de ces données sont :
1° Les partenaires nationaux de l'Agence nationale de la sécurité des systèmes d'information à des fins de défense de leurs systèmes d'information ou des systèmes d'information de leurs clients, bénéficiaires ou partenaires ;
2° Les partenaires européens de l'Agence nationale de la sécurité des systèmes d'information, notamment le réseau des centres de réponse aux incidents de sécurité informatique, et internationaux, dans le domaine de la cybersécurité.
VI. ‒ Les données à caractère personnel et informations intéressant la sûreté de l'Etat et la défense, identifiées de façon isolée ou groupée peuvent être transmises aux mêmes catégories de destinataires.

I. - Les données à caractère personnel collectées au titre des finalités mentionnées aux 1°, à 3° du II de l'article 1er peuvent être conservées dix ans à compter de leur collecte par l'Agence nationale de la sécurité des systèmes d'information.
II. - Les données à caractère personnel collectées au titre de la finalité mentionnée au 4° du II de l'article 1er sont conservées dans les conditions suivantes :
1° Les données à caractère personnel collectées sur le fondement de l'article L. 2321-2-1 du code de la défense, qualifiées par l'Agence nationale de la sécurité des systèmes d'information comme étant directement utiles à la prévention et à la caractérisation des menaces et celles permettant d'identifier des victimes, sont conservées deux ans à compter de cette collecte.
Les données qui ne sont pas qualifiées comme étant directement utiles à la prévention et à la caractérisation des menaces sont détruites dans un délai de vingt-quatre heures à compter de leur qualification ;
2° Les données à caractère personnel collectées sur le fondement de l'article L. 2321-2-3 du code de la défense, qualifiées par l'Agence nationale de la sécurité des systèmes d'information comme étant directement utiles à la caractérisation des menaces et celles permettant d'identifier des victimes, sont conservées cinq ans à compter de cette collecte.
Les données qui ne sont pas qualifiées comme étant directement utiles à la caractérisation des menaces sont détruites dans un délai de vingt-quatre heures à compter de leur qualification ;
3° Les données à caractère personnel collectées sur le fondement du deuxième alinéa de l'article L. 2321-3 du code de la défense, sont conservées cinq ans à compter de leur collecte par l'Agence nationale de la sécurité des systèmes d'information ;
4° Les données à caractère personnel mentionnées au e du 4° du I de l'article 2 sont conservées au maximum dix ans à compter de leur collecte.

Les opérations de création, consultation, modification et suppression des données à caractère personnel du présent traitement, effectuées par les agents de l'Agence nationale de la sécurité des systèmes d'information, font l'objet d'un enregistrement comprenant l'identification de l'auteur, la date, l'heure et la nature de l'opération, à l'exclusion de ces données elles-mêmes. Ces informations sont conservées pendant un an.

I. - Les droits à l'information et d'opposition prévus respectivement aux articles 12 à 14 et 21 du règlement (UE) 2016/679 du 27 avril 2016 susvisé ne s'appliquent pas au présent traitement, conformément à l'article 23 du même règlement.
Les droits d'accès, de rectification et à l'effacement s'exercent directement auprès de l'Agence nationale de la sécurité des systèmes d'information, à l'attention de contact RGPD, 51, boulevard de La-Tour-Maubourg, 75700 Paris 07 SP.
II. - Concernant les données intéressant la sûreté de l'Etat et la défense, les droits à l'information et d'opposition prévus respectivement aux articles 116 et 117 de la loi du 6 janvier 1978 susvisée ne s'appliquent pas au présent traitement.
Les droits d'accès, de rectification et à l'effacement s'exercent de manière indirecte auprès de la Commission nationale de l'informatique et des libertés, dans les conditions prévues à l'article 118 de la loi du 6 janvier 1978 susvisée.

Le présent décret sera publié au Journal officiel de la République française et entrera en vigueur immédiatement.