Il est créé au ministère de la défense, à la direction générale de l'armement, un traitement automatisé de données à caractère personnel dénommé « gestion des traces » mis en œuvre par le centre technique des systèmes d'information et dont les finalités sont l'enregistrement, l'analyse et l'exploitation des traces d'accès aux données et aux ressources informatiques.

Les catégories de données à caractère personnel enregistrées sont celles relatives :
― à l'identité (nom, prénom, adresse professionnelle, numéro de téléphone professionnel, numéro de matricule) ;
― à la vie professionnelle (service ou affectation, localisation) ;
― à l'utilisation des médias et moyens de communication (internet [adresse IP du poste, date et heures de connexion, durée de la connexion, URL ou adresse IP du site visité, type de navigateur du poste, système d'exploitation du poste], messagerie [adresse d'origine de l'envoi d'un courriel, adresse de destination d'un courriel, taille des courriels], systèmes d'information [date et heure de tentative de connexion ou d'ouverture de session, résultat de la tentative [succès ou échec]).
Les données à caractère personnel ainsi enregistrées sont conservées un an maximum. Toutefois, en cas d'enquête judiciaire, les données pourront être conservées jusqu'à la fin de l'enquête.

Les destinataires des données à caractère personnel enregistrées sont, en fonction de leurs attributions respectives et du besoin d'en connaître :
― les administrateurs ;
― les responsables informatiques de site ;
― les officiers de sécurité des systèmes d'information ;
― le département central de la sécurité de défense et de l'information de la direction générale de l'armement ;
― l'Agence nationale de la sécurité des systèmes d'information du secrétariat général de la défense et de la sécurité nationale ;
― les autorités hiérarchiques ;
― le chef d'établissement.

Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne peut être invoqué dans le cadre de ce traitement.

Les droits d'accès et de rectification prévus aux articles 39 et suivants de la loi du 6 janvier 1978 susvisée s'exercent auprès du responsable informatique des établissements ayant mis en œuvre le traitement.

Le sous-directeur des systèmes d'information est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.