Dans chaque département ministériel, il est tenu, par le haut fonctionnaire de défense et de sécurité ou par les autorités ayant reçu délégation à cet effet, pour chacun des deux niveaux de classification, un répertoire des dossiers d'habilitation en cours d'instruction ou de validité.
Le traitement automatisé de données à caractère personnel mis en œuvre à cet effet a pour seule finalité la gestion des habilitations au secret de la défense nationale.

Les catégories de données à caractère personnel enregistrées comprennent tout ou partie des données relatives :
― à l'identité des personnes physiques candidates à l'habilitation ou habilitées (nom, prénoms, sexe, date et lieu de naissance, nationalité et références des documents d'identité présentés) ;
― à la vie professionnelle (organisme d'affectation, fonctions occupées, titre ou grade, coordonnées professionnelles) ;
― aux éléments techniques de gestion du dossier (identification, instruction, durée de validité et suivi de la décision d'habilitation).
La durée de conservation des données à caractère personnel ainsi enregistrées est d'un an après la fin de validité de l'avis de sécurité émis par le service enquêteur.

En fonction de leurs attributions respectives et du besoin d'en connaître, sont seuls autorisés à accéder aux données mentionnées à l'article 2 les services du haut fonctionnaire de défense et de sécurité du ministère concerné et les autorités ayant reçu délégation à cet effet.
Les services du haut fonctionnaire de défense et de sécurité et les autorités ayant reçu délégation à cet effet ne peuvent communiquer le résultat de la procédure d'habilitation, dans la limite du besoin d'en connaître, qu'aux seuls services de ressources humaines et informatiques ainsi qu'à la chaîne hiérarchique du candidat à l'habilitation.

Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas aux présents traitements.

Conformément aux dispositions du dernier alinéa de l'article 41 de la loi du 6 janvier 1978 susvisée, les droits d'accès et de rectification s'exercent directement auprès du service gestionnaire du fichier.

Les consultations du traitement automatisé font l'objet d'un enregistrement comprenant l'identifiant du consultant, la date, l'heure et l'objet de la consultation. Ces informations sont conservées dans un délai de trois ans.

La mise en œuvre des traitements mentionnés à l'article 1er par les ministères est subordonnée à l'envoi préalable à la Commission nationale de l'informatique et des libertés, en application des dispositions du IV de l'article 26 de la loi du 6 janvier 1978 susvisée, d'un engagement de conformité aux dispositions du présent arrêté, qui précise la dénomination du traitement concerné, le lieu exact d'implantation du traitement, la désignation du service gestionnaire, les mesures prises pour assurer la sécurité des données ainsi que le service compétent pour traiter des demandes de droit d'accès.

Le présent arrêté sera publié au Journal officiel de la République française.