Article considérant 43

(43) Les données à caractère personnel traitées aux fins du présent règlement ne devraient être conservées que le temps nécessaire conformément au règlement (UE) 2018/1725. Les entités de l’Union et, le cas échéant, le CERT-UE agissant en qualité de responsable du traitement devraient fixer des durées de conservation limitées à ce qui est nécessaire pour atteindre les objectifs poursuivis. En ce qui concerne en particulier les données à caractère personnel collectées aux fins du traitement des incidents, les entités de l’Union et le CERT-UE devraient établir une distinction entre les données à caractère personnel qui sont collectées aux fins de la détection d’une cybermenace dans leur environnement TIC pour prévenir un incident et les données à caractère personnel qui sont collectées aux fins de l’atténuation d’un incident et de la réaction et du rétablissement à la suite de celui-ci. Aux fins de la détection d’une cybermenace, il importe de tenir compte du temps pendant lequel un acteur de la menace peut rester dans un système sans être détecté. Aux fins de l’atténuation d’un incident et de la réaction et du rétablissement à la suite d’un incident, il est important d’examiner si les données à caractère personnel sont nécessaires pour localiser et traiter un incident récurrent ou un incident de nature similaire pour lequel une corrélation pourrait être démontrée.