4. Risques de malveillance 
4.1. Généralités 4.1.3. Informatique et libertés
4.1. Généralités 4.1.3. Informatique et libertés
Décret n°2021-1362 du 20 octobre 2021 relatif à la conservation des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne, pris en application du II de l’article 6 de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique
| Date de signature : | 20/10/2021 | Statut du texte : | En vigueur |
| Date de publication : | 21/10/2021 | Emetteur : | Premier ministre |
| Consolidée le : | Source : | JO du 21 octobre 2021 | |
| Date d'entrée en vigueur : | 21/10/2021 |
Décret n°2021-1362 du 20 octobre 2021 relatif à la conservation des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne, pris en application du II de l’article 6 de la loi n°2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique
NOR : PRMD2127502D
Publics concernés : fournisseurs d’accès à des services de communication au public en ligne, fournisseurs de services d’hébergement de contenus en ligne, autorités disposant d’un accès aux données conservées.
Objet : détermination des catégories de données devant être conservées afin de permettre l’identification de toute personne ayant contribué à la création d’un contenu mis en ligne.
Entrée en vigueur : le texte entre en vigueur immédiatement.
Notice : le décret abroge et remplace le décret no 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne. Il vise à préciser les catégories de données de connexion devant être conservées par les personnes visées aux 1 et 2 du I de l’article 6 de la loi pour la confiance dans l’économie numérique. Il détermine ainsi les informations relatives à l’identité civile de l’utilisateur, les informations fournies par l’utilisateur lors de la souscription d’un contrat et les informations relatives au paiement, les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés ainsi que les autres données de trafic et les données de localisation.
Références : le décret est pris pour l’application du II de l’article 6 de la loi no 2004-575 du 21 juin 2004 modifiée pour la confiance dans l’économie numérique, dans sa rédaction modifiée par l’article 17 de la loi no 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement. Il peut être consulté sur le site Légifrance (https://www.legifrance.gouv.fr).
Le Premier ministre,
Sur le rapport du ministre de l’économie, des finances et de la relance, Vu le code civil, notamment son article 1er ;
Le Conseil d’Etat (section de l’intérieur) entendu,
Décrète :
Article 1er
Le présent décret précise les obligations de conservation de données qui, en vertu du II de l’article 6 de la loi du 21 juin 2004 susvisée, incombent aux personnes mentionnées aux 1 et 2 du I du même article, dans les conditions prévues aux II bis, III et III bis de l’article L. 34-1 du code des postes et communications électroniques.
Article 2
Les informations relatives à l’identité civile de l’utilisateur, au sens du 1° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de validité du contrat de l’utilisateur, sont les suivantes :
1° Les nom et prénom, la date et le lieu de naissance ou la raison sociale, ainsi que les nom et prénom, date et lieu de naissance de la personne agissant en son nom lorsque le compte est ouvert au nom d’une personne morale ;
2° La ou les adresses postales associées ;
3° La ou les adresses de courrier électronique de l’utilisateur et du ou des comptes associés le cas échéant ;
4° Le ou les numéros de téléphone.
Article 3
Les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte, mentionnées au 2° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai d’un an à compter de la fin de validité du contrat de l’utilisateur ou de la clôture de son compte, sont les suivantes :
1° L’identifiant utilisé ;
2° Le ou les pseudonymes utilisés ;
3° Les données destinées à permettre à l’utilisateur de vérifier son mot de passe ou de le modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur, dans leur dernière version mise à jour.
Article 4
Les informations relatives au paiement, mentionnées au 2° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver, pour chaque opération de paiement, jusqu’à l’expiration d’un délai d’un an à compter de la fin de validité du contrat de l’utilisateur ou de la clôture de son compte, sont les suivantes :
1° Le type de paiement utilisé ;
2° La référence du paiement ;
3° Le montant ;
4° La date, l’heure et le lieu en cas de transaction physique.
Article 5
Les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, mentionnées au 3o du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux, sont les suivantes :
1° Pour les personnes mentionnées au 1 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque connexion de leurs abonnés :
a) L’identifiant de la connexion ;
b) L’identifiant attribué par ces personnes à l’abonné ;
c) L’adresse IP attribuée à la source de la connexion et le port associé ;
2° Pour les personnes mentionnées au 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque opération de création d’un contenu telle que définie à l’article 6 :
a) L’identifiant de la connexion à l’origine de la communication ;
b) Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus.
Le délai mentionné au premier alinéa du présent article court à compter du jour de la connexion ou de la création d’un contenu, pour chaque opération contribuant à cette création.
Article 6
Les catégories de données de trafic et de localisation mentionnées au III de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver pour une durée d’un an en cas d’injonction du Premier ministre, sont les suivantes :
1° Pour les personnes mentionnées au 1 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque connexion de leurs abonnés :
a) Les dates et heure de début et de fin de la connexion ;
b) Les caractéristiques de la ligne de l’abonné ;
2° Pour les personnes mentionnées au 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque opération de création d’un contenu :
a) L’identifiant attribué par le système d’information au contenu, objet de l’opération ;
b) La nature de l’opération ;
c) Les date et heure de l’opération ;
d) L’identifiant utilisé par l’auteur de l’opération lorsque celui-ci l’a fourni.
Le délai mentionné au premier alinéa du présent article court à compter du jour de la connexion ou de la création d’un contenu, pour chaque opération contribuant à cette création.
Article 7
La contribution à une création de contenu mentionnée au dernier alinéa des articles 5 et 6 du présent décret comprend les opérations portant sur :
1° Des créations initiales de contenus ;
2° Des modifications des contenus et de données liées aux contenus ;
3° Des suppressions de contenus.
Article 8
Les données mentionnées aux articles 2 à 6 ne doivent être conservées que dans la mesure où elles sont collectées par les personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée lorsqu’elles assurent la mise en œuvre des services de communication au public en ligne.
Article 9
Le décret no 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne est abrogé.
Article 10
Le code de procédure pénale est ainsi modifié :
1° Au b de l’article R. 40-43, la référence : « décret n° 2011-219 du 25 février 2011 » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 » :
2° Au 3° de l’article R. 40-46, la référence : « décret n° 2011-219 du 25 février 2011 » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 » ;
3° Aux I, II et III de l’article R. 251, la référence mentionnée entre les mots : « dans sa rédaction résultant du » et les mots : « sous réserve des adaptations » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 ».
Article 11
Le code de la sécurité intérieure est ainsi modifié :
1° A l’article R. 851-5, la référence : « article 1er du décret n° 2011-219 du 25 février 2011 modifié relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne » est remplacée par la référence : « article 1er du décret n° 2021-1362 du 20 octobre 2021 » ;
2° Aux articles R. 895-1, R. 896-1 et R. 897-1, la ligne : « R. 851-5 à R. 851-10 Résultant du décret n° 2016-67 du 29 janvier 2016 relatif aux techniques de recueil de renseignement »
est remplacée par les lignes :
« R. 851-5 Résultant du décret n° 2021-1362 du 20 octobre 2021 » ;
« R. 851-6 à R. 851-10 Résultant du décret no 2016-67 du 29 janvier 2016 ».
Article 12
Les dispositions du présent décret sont applicables en Nouvelle-Calédonie, en Polynésie française et à Wallis-et-Futuna.
Article 13
Le ministre de l’économie, des finances et de la relance et le ministre des outre-mer sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française et entrera en vigueur immédiatement. Fait le 20 octobre 2021.
JEAN CASTEX
Par le Premier ministre :
Le ministre de l’économie,
des finances et de la relance,
BRUNO LE MAIRE
Le ministre des outre-mer,
SÉBASTIEN LECORNU
Source Légifrance
NOR : PRMD2127502D
Publics concernés : fournisseurs d’accès à des services de communication au public en ligne, fournisseurs de services d’hébergement de contenus en ligne, autorités disposant d’un accès aux données conservées.
Objet : détermination des catégories de données devant être conservées afin de permettre l’identification de toute personne ayant contribué à la création d’un contenu mis en ligne.
Entrée en vigueur : le texte entre en vigueur immédiatement.
Notice : le décret abroge et remplace le décret no 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne. Il vise à préciser les catégories de données de connexion devant être conservées par les personnes visées aux 1 et 2 du I de l’article 6 de la loi pour la confiance dans l’économie numérique. Il détermine ainsi les informations relatives à l’identité civile de l’utilisateur, les informations fournies par l’utilisateur lors de la souscription d’un contrat et les informations relatives au paiement, les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés ainsi que les autres données de trafic et les données de localisation.
Références : le décret est pris pour l’application du II de l’article 6 de la loi no 2004-575 du 21 juin 2004 modifiée pour la confiance dans l’économie numérique, dans sa rédaction modifiée par l’article 17 de la loi no 2021-998 du 30 juillet 2021 relative à la prévention d’actes de terrorisme et au renseignement. Il peut être consulté sur le site Légifrance (https://www.legifrance.gouv.fr).
Le Premier ministre,
Sur le rapport du ministre de l’économie, des finances et de la relance, Vu le code civil, notamment son article 1er ;
- Vu le code des postes et des communications électroniques, notamment son article L. 34-1 ;
- Vu le code de procédure pénale ; Vu le code de la sécurité intérieure ;
- Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
- Vu la loi n° 2004-575 du 21 juin 2004 modifiée pour la confiance dans l’économie numérique, notamment son article 6 ;
- Vu la consultation publique réalisée du 1er septembre 2021 au 1er octobre 2021 en application du V de l’article 32-1 du code des postes et des communications électroniques ;
- Vu l’avis de la Commission nationale de l’informatique et des libertés en date du 7 octobre 2021 ;
- Vu l’avis de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse en date du 7 octobre 2021 ;
- Vu l’urgence ;
Le Conseil d’Etat (section de l’intérieur) entendu,
Décrète :
Article 1er
Le présent décret précise les obligations de conservation de données qui, en vertu du II de l’article 6 de la loi du 21 juin 2004 susvisée, incombent aux personnes mentionnées aux 1 et 2 du I du même article, dans les conditions prévues aux II bis, III et III bis de l’article L. 34-1 du code des postes et communications électroniques.
Article 2
Les informations relatives à l’identité civile de l’utilisateur, au sens du 1° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai de cinq ans à compter de la fin de validité du contrat de l’utilisateur, sont les suivantes :
1° Les nom et prénom, la date et le lieu de naissance ou la raison sociale, ainsi que les nom et prénom, date et lieu de naissance de la personne agissant en son nom lorsque le compte est ouvert au nom d’une personne morale ;
2° La ou les adresses postales associées ;
3° La ou les adresses de courrier électronique de l’utilisateur et du ou des comptes associés le cas échéant ;
4° Le ou les numéros de téléphone.
Article 3
Les autres informations fournies par l’utilisateur lors de la souscription d’un contrat ou de la création d’un compte, mentionnées au 2° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai d’un an à compter de la fin de validité du contrat de l’utilisateur ou de la clôture de son compte, sont les suivantes :
1° L’identifiant utilisé ;
2° Le ou les pseudonymes utilisés ;
3° Les données destinées à permettre à l’utilisateur de vérifier son mot de passe ou de le modifier, le cas échéant par l’intermédiaire d’un double système d’identification de l’utilisateur, dans leur dernière version mise à jour.
Article 4
Les informations relatives au paiement, mentionnées au 2° du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver, pour chaque opération de paiement, jusqu’à l’expiration d’un délai d’un an à compter de la fin de validité du contrat de l’utilisateur ou de la clôture de son compte, sont les suivantes :
1° Le type de paiement utilisé ;
2° La référence du paiement ;
3° Le montant ;
4° La date, l’heure et le lieu en cas de transaction physique.
Article 5
Les données techniques permettant d’identifier la source de la connexion ou celles relatives aux équipements terminaux utilisés, mentionnées au 3o du II bis de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver jusqu’à l’expiration d’un délai d’un an à compter de la connexion ou de l’utilisation des équipements terminaux, sont les suivantes :
1° Pour les personnes mentionnées au 1 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque connexion de leurs abonnés :
a) L’identifiant de la connexion ;
b) L’identifiant attribué par ces personnes à l’abonné ;
c) L’adresse IP attribuée à la source de la connexion et le port associé ;
2° Pour les personnes mentionnées au 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque opération de création d’un contenu telle que définie à l’article 6 :
a) L’identifiant de la connexion à l’origine de la communication ;
b) Les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus.
Le délai mentionné au premier alinéa du présent article court à compter du jour de la connexion ou de la création d’un contenu, pour chaque opération contribuant à cette création.
Article 6
Les catégories de données de trafic et de localisation mentionnées au III de l’article L. 34-1 du code des postes et des communications électroniques, que les personnes mentionnées à l’article 1er sont tenues de conserver pour une durée d’un an en cas d’injonction du Premier ministre, sont les suivantes :
1° Pour les personnes mentionnées au 1 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque connexion de leurs abonnés :
a) Les dates et heure de début et de fin de la connexion ;
b) Les caractéristiques de la ligne de l’abonné ;
2° Pour les personnes mentionnées au 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée et pour chaque opération de création d’un contenu :
a) L’identifiant attribué par le système d’information au contenu, objet de l’opération ;
b) La nature de l’opération ;
c) Les date et heure de l’opération ;
d) L’identifiant utilisé par l’auteur de l’opération lorsque celui-ci l’a fourni.
Le délai mentionné au premier alinéa du présent article court à compter du jour de la connexion ou de la création d’un contenu, pour chaque opération contribuant à cette création.
Article 7
La contribution à une création de contenu mentionnée au dernier alinéa des articles 5 et 6 du présent décret comprend les opérations portant sur :
1° Des créations initiales de contenus ;
2° Des modifications des contenus et de données liées aux contenus ;
3° Des suppressions de contenus.
Article 8
Les données mentionnées aux articles 2 à 6 ne doivent être conservées que dans la mesure où elles sont collectées par les personnes mentionnées aux 1 et 2 du I de l’article 6 de la loi du 21 juin 2004 susvisée lorsqu’elles assurent la mise en œuvre des services de communication au public en ligne.
Article 9
Le décret no 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne est abrogé.
Article 10
Le code de procédure pénale est ainsi modifié :
1° Au b de l’article R. 40-43, la référence : « décret n° 2011-219 du 25 février 2011 » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 » :
2° Au 3° de l’article R. 40-46, la référence : « décret n° 2011-219 du 25 février 2011 » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 » ;
3° Aux I, II et III de l’article R. 251, la référence mentionnée entre les mots : « dans sa rédaction résultant du » et les mots : « sous réserve des adaptations » est remplacée par la référence : « décret n° 2021-1362 du 20 octobre 2021 ».
Article 11
Le code de la sécurité intérieure est ainsi modifié :
1° A l’article R. 851-5, la référence : « article 1er du décret n° 2011-219 du 25 février 2011 modifié relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne » est remplacée par la référence : « article 1er du décret n° 2021-1362 du 20 octobre 2021 » ;
2° Aux articles R. 895-1, R. 896-1 et R. 897-1, la ligne : « R. 851-5 à R. 851-10 Résultant du décret n° 2016-67 du 29 janvier 2016 relatif aux techniques de recueil de renseignement »
est remplacée par les lignes :
« R. 851-5 Résultant du décret n° 2021-1362 du 20 octobre 2021 » ;
« R. 851-6 à R. 851-10 Résultant du décret no 2016-67 du 29 janvier 2016 ».
Article 12
Les dispositions du présent décret sont applicables en Nouvelle-Calédonie, en Polynésie française et à Wallis-et-Futuna.
Article 13
Le ministre de l’économie, des finances et de la relance et le ministre des outre-mer sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française et entrera en vigueur immédiatement. Fait le 20 octobre 2021.
JEAN CASTEX
Par le Premier ministre :
Le ministre de l’économie,
des finances et de la relance,
BRUNO LE MAIRE
Le ministre des outre-mer,
SÉBASTIEN LECORNU
Source Légifrance