# Article unique

Le chapitre II du titre V du livre II du code de sécurité xxx intérieure est complété par un article L. 252‑8 ainsi rédigé :

« Les personnes autorisées à exploiter un système de vidéoprotection au sein d'un magasin de vente ou d'un centre commercial particulièrement exposé à des risques d'agression ou de vol, peuvent utiliser des technologies d'analyse automatique des images captées par le système de vidéoprotection au sein de ces établissements, aux fins d'y assurer la sécurité des personnes et des biens, à condition que cet usage soit légitime et proportionné.

« Lorsque les personnes autorisées font usage des technologies décrites au premier alinéa, elles sont tenues au strict respect de la loi n° 78‑17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Les technologies d'analyse automatique des images captées par le système de vidéoprotection ne peuvent pas être utilisées pour le traitement de catégories spéciales de données à caractère personnel au sens de la loi n° 78‑17 du 6 janvier 1978 précitée, ni aux fins d'identifier une personne de manière unique.

« Conformément à l'article 56 de la loi n° 78‑17 du 6 janvier 1978 précitée, les autorités publiques compétentes peuvent, par voie réglementaire, limiter la portée des droits d'accès, de rectification, d'opposition ainsi que des droits à l'effacement et à la limitation, des personnes concernées, à condition qu'une telle limitation respecte l'essence des libertés et droits fondamentaux et qu'elle constitue une mesure nécessaire et proportionnée dans une société démocratique. »

« Les données à caractère personnel issues des traitements mis en œuvre en application du présent article sont conservées pour une durée strictement proportionnée aux finalités poursuivies, conformément aux principes de minimisation et de limitation de la conservation prévus par la loi n° 78‑17 du 6 janvier 1978 précitée et par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données). « En l'absence de détection d'un événement susceptible de constituer une atteinte à la sécurité des personnes ou des biens, ces données sont automatiquement supprimées dans un délai maximal de quarante-huit heures à compter de leur collecte. « Lorsqu'un tel événement est détecté, seules les données strictement nécessaires à sa caractérisation peuvent être extraites et conservées pour une durée maximale de soixante-douze heures, exclusivement aux fins de permettre leur mise à disposition en cas de réquisition judiciaire. « Les modalités d'application du présent alinéa, notamment les conditions d'extraction, de sécurisation, de traçabilité, de transmission et d'effacement des données, sont précisées par décret en Conseil d'État pris après avis public et motivé de la Commission nationale de l'informatique et des libertés. »