Arrêté du 18 juin 2024 portant création d’un traitement automatisé de données à caractère personnel dénommé « Suivi des signalements de vulnérabilités par des éditeurs de logiciel »

JO du 25 juin 2024

Ce texte crée un traitement automatisé de données à caractère personnel dénommé « Suivi des remontées de vulnérabilités par les éditeurs de logiciels », sous la responsabilité du directeur général de l’Agence nationale de la sécurité des systèmes d’information.
Ce traitement a pour objet la collecte et le traitement des données transmises par les éditeurs de logiciels, aux fins de :
– suivre et gérer les notifications de vulnérabilités significatives affectant un de leurs produits ou les notifications d’incident informatique compromettant la sécurité de leurs systèmes d’information et susceptible d’affecter significativement un de leurs produits ;
– en cas d’inaction de l’éditeur, à la suite d’une mise en demeure de l’Agence nationale de la sécurité des systèmes d’information, informer les utilisateurs de ce produit ou rendre publics la vulnérabilité ou l’incident ainsi que l’injonction adressée à l’éditeur de logiciel.
Dans ce cadre, il définit :
– les catégories de données à caractère personnel et informations enregistrées dans le traitement ;
– la durée de leur conservation (fixée à trois ans à compter de la clôture du traitement de la vulnérabilité ou de l’incident) ;
– les personnes autorisées à accéder, à raison de leurs attributions, à tout ou partie des données à caractère personnel et celles pouvant en être destinataires.