Le ministère de l'environnement, de l'énergie et de la mer, en charge des relations internationales sur le climat, et le ministère du logement et de l'habitat durable sont autorisés à mettre en œuvre les traitements de données à caractère personnel définis ci-après et mis en place au sein des locaux des services et établissements publics des ministères non ouverts au public présentant des risques particuliers en matière de sécurité. Ils visent, notamment, les zones et locaux abritant le système d'information ISIS (messagerie et portail étatique de niveau Secret) ou abritant des biens équivalents. Il est prévu que ces traitements puissent être mis en œuvre au sein de centres serveurs, d'un point d'importance vitale ou encore d'une zone de haute sécurité.
Ces traitements ont pour finalités d'assurer la protection des locaux mentionnés au premier alinéa en contrôlant leur accès au moyen de dispositifs d'authentification des personnes, de détecteurs d'intrusion et de l'emploi de caméras de vidéosurveillance.
Le contrôle d'accès et la vidéosurveillance peuvent être mis en œuvre de manière dissociée ou intégrée. Néanmoins, ne peuvent être filmés les lieux d'intimité (toilettes, vestiaires, salles de repos, etc.), ceux destinés aux activités syndicales ainsi que leurs accès et les endroits dans lesquels peuvent se tenir des échanges couverts par le secret professionnel.

I. - Les données à caractère personnel et informations enregistrées dans les traitements mentionnés à l'article 1er sont les suivantes :
1° Nom et prénoms, date et lieu de naissance ;
2° Nom de l'agent chargé de la délivrance des droits d'accès ;
3° Données relatives aux entrées et sorties ;
4° Date d'établissement, période de validité, niveau et numéro d'enregistrement de l'autorisation d'accès ;
5° Zones d'accès et points d'entrée et de sortie autorisés ;
6° Données relatives aux incidents, liés notamment au non-respect d'une interdiction d'accès ou à une tentative d'intrusion ;
7° Photographie d'identité ;
8° Images capturées par le dispositif de vidéosurveillance.
II. - Outre les données mentionnées au 1°, sont également enregistrées dans les traitements mentionnés à l'article 1er les données suivantes :
1° Concernant les agents des ministères et des établissements publics mentionnés à l'article 1er : sexe, nationalité, numéro d'identification, adresse professionnelle, matricule, grade ou qualité, fonction et service d'affectation ;
2° Concernant les prestataires habilités : sexe, nationalité, type de prestation, nom et adresse de la société d'emploi, direction donneuse d'ordre ;
3° Concernant les visiteurs : motif de la visite ; nom de la personne visitée et service d'affectation.
III. - Les contrôles d'accès par reconnaissance faciale sont interdits.
La captation du son et son enregistrement, dans le cadre des dispositifs mis en œuvre, ne sont pas autorisés en heures ouvrées.

I. - Dans la limite de leurs attributions respectives et de leurs besoins d'en connaître, ont seuls accès aux données mentionnées à l'article 2 :
1° Les agents, spécialement désignés et individuellement habilités par le responsable des locaux ou le chef d'établissement, chargés de la sécurité et de la surveillance du lieu concerné ;
2° Le responsable des locaux ou le chef d'établissement au sein duquel les traitements sont mis en œuvre.
II. - Seuls les agents spécialement désignés et individuellement habilités par le responsable des locaux ou le chef d'établissement peuvent, a posteriori, rechercher et extraire des images ou des informations des systèmes de vidéosurveillance et de contrôle d'accès.
III. - Dans la limite de leurs attributions respectives et de leur besoin d'en connaître, peuvent être destinataires de tout ou partie des données enregistrées dans les traitements :
1° Le chef de service ou son représentant ;
2° Les personnes habilitées du service en charge de la discipline ;
3° Les agents des corps et services d'inspection et de contrôle relevant des ministères.

Les opérations de recherche et d'extraction des données, effectuées par les agents mentionnés au II de l'article 3 du présent arrêté, font l'objet d'un enregistrement comprenant l'identifiant du consultant, la date et l'heure de la consultation et de l'extraction. Cet enregistrement est conservé pendant une durée d'un an.

Les éléments d'identification, notamment liés aux déplacements des agents, des prestataires et des visiteurs, sont conservés, à compter de la fin de validité de l'autorisation d'accès :

- pour les agents et les prestataires, un an au plus ;
- pour les visiteurs, trois mois au plus.

Les éléments relatifs au déplacement des personnes sont conservés trois mois au plus.
Les images enregistrées par les caméras sont conservées pendant un délai ne pouvant excéder trente jours. Au terme de ce délai, les enregistrements qui n'ont fait l'objet d'aucune transmission à l'autorité judiciaire ou poursuite disciplinaire sont effacés.

Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée ne s'applique pas aux traitements autorisés par le présent arrêté.

Les droits d'accès et de rectification prévus aux articles 39, 40 et au dernier alinéa de l'article 41 de la même loi s'exercent directement auprès du service gestionnaire du traitement.

La mise en œuvre des traitements mentionnés à l'article 1er est précédée de l'envoi à la Commission nationale de l'informatique et des libertés d'un engagement de conformité au présent arrêté.
Une copie de cet engagement de conformité est communiquée au fonctionnaire de la sécurité des systèmes d'information.
Un dossier technique décrivant le dispositif mis en place est établi et conservé avec la déclaration d'engagement. Les éléments constitutifs de ce dossier technique sont présentés dans l'annexe attachée au présent arrêté.
Ces documents sont tenus à la disposition de la Commission nationale de l'informatique et des libertés.

Ces traitements sont mis en œuvre après avis des comités compétents en matière d'hygiène, de sécurité et des conditions de travail.
Les personnes susceptibles d'être filmées sont informées de l'existence d'un système de vidéosurveillance et des modalités d'accès aux images les concernant par affiches apposées à l'entrée des locaux présentant des risques particuliers pour la sécurité. La captation du son et son enregistrement, dans le cadre des dispositifs mis en œuvre, ne sont pas autorisés en heures ouvrées.

Le vice-président du Conseil général de l'environnement et du développement durable, le secrétaire général des ministères, la commissaire générale au développement durable, les directeurs généraux et directeurs d'administration centrale, les directeurs des services déconcentrés, les directeurs des services techniques et à compétence nationale et les directeurs des établissements publics relevant des deux ministères visés à l'article 1er sont chargés, chacun en ce qui le concerne, de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.