articles/article-unique.md

@@ -32,6 +32,8 @@ VII (nouveau). – Le traitement algorithmique doit satisfaire aux exigences sui
 
 Lorsque le traitement est développé ou fourni par un tiers, celui-ci fournit une documentation technique complète et présente des garanties de compétence, de continuité, d'assistance et de contrôle humain en vue notamment de procéder à la correction d'erreurs ou de biais éventuels lors de sa mise en œuvre et de prévenir leur réitération.
 
+Les données à caractère personnel issues des traitements mis en œuvre en application du présent article sont conservées pour une durée strictement proportionnée aux finalités poursuivies, conformément aux principes de minimisation et de limitation de la conservation prévus par la loi n° 78‑17 du 6 janvier 1978 précitée et par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). « En l'absence de détection d'un événement susceptible de constituer une atteinte à la sécurité des personnes ou des biens, ces données sont automatiquement supprimées dans un délai maximal de quarante-huit heures à compter de leur collecte. « Lorsqu'un tel événement est détecté, seules les données strictement nécessaires à sa caractérisation peuvent être extraites et conservées pour une durée maximale de soixante-douze heures, exclusivement aux fins de permettre leur mise à disposition en cas de réquisition judiciaire. « Les modalités d'application des huitième, neuvième et dixième alinéas du présent VII, notamment les conditions d'extraction, de sécurisation, de traçabilité, de transmission et d'effacement des données, sont précisées par décret en Conseil d'État pris après avis public et motivé de la Commission nationale de l'informatique et des libertés. »
+
 Le respect des exigences énoncées au présent VII fait l'objet d'une attestation de conformité établie par l'autorité administrative compétente. Cette attestation est publiée avant que le traitement soit mis à la disposition des services mentionnés au II qui demandent l'autorisation de l'utiliser dans les conditions prévues au VIII.
 
 VIII (nouveau). – Toute demande d'emploi du traitement doit être accompagnée d'une analyse d'impact relative à la protection des données personnelles, qui expose :