Loi n° 045-2009/AN du 10 novembre 2009 portant réglementation des services et des transactions électroniques au Burkina Faso

Le présent chapitre régit les activités des prestataires de services de confiance établis au Burkina Faso, à savoir les prestataires de services :

• a) d’archivage électronique ;
• b) d’horodatage électronique ;
• c) de recommandé électronique ;
• d) de certification électronique délivrant des certificats qualifiés.

Les prestataires visés à l’article 81 ci-dessus font preuve d’impartialité vis-à-vis des destinataires de leurs services et des tiers.

Les prestataires visés à l’article 81 ci-dessus ne peuvent détourner à des fins personnelles les données qui leur sont transmises.

Ils ne peuvent les consulter que dans la mesure nécessaire à l’accomplissement de leurs services.

Les prestataires visés à l’article 81 ci-dessus mettent en œuvre les moyens nécessaires en vue de protéger les données qui leur sont transmises et qu’ils transmettent contre tout accès non autorisé.

Les prestataires visés à l’article 81 ci-dessus fournissent aux destinataires de leurs services, avant la conclusion du contrat et pendant toute la durée de celui-ci, un accès facile et direct aux informations suivantes formulées de manière claire et compréhensible :

• a) les modalités et conditions précises d’utilisation de leurs services ;
• b) le fonctionnement et l’accessibilité de leurs services ;
• c) les mesures qu’ils adoptent en matière de sécurité ;
• d) les procédures de notification d’incidents, de réclamation et de règlement des litiges ;
• e) les garanties qu’ils apportent ;
• f) l’étendue de leur responsabilité ;
• g) l’existence ou l’absence d’une couverture d’assurance et, le cas échéant, son étendue ;
• h) la durée du contrat et les modalités pour y mettre fin ;
• i) le fait qu’ils sont accrédités par l’Autorité de régulation des communications électroniques conformément aux dispositions des articles 125 à 130 de la présente loi ;
• j) les effets juridiques attachés à leurs services.

Les prestataires visés à l’article 81 recourent à des personnes ayant les connaissances spécifiques, l’expérience et les qualifications nécessaires à la fourniture de leurs services.

Les prestataires visés à l’article 81 ci-dessus soumettent leur personnel à une obligation de confidentialité.

Les prestataires visés à l’article 81 ci-dessus doivent disposer de ressources financières suffisantes pour fonctionner conformément aux exigences prévues par la présente loi, en particulier pour endosser la responsabilité de dommages, en contractant, notamment, une assurance.

Le prestataire de service d’archivage électronique prend les mesures nécessaires au maintien de la lisibilité des données pendant la durée de conservation convenue avec le destinataire du service.

Le prestataire de service d’archivage électronique met en œuvre des moyens nécessaires en vue d’empêcher, lors de la conservation, de la consultation ou du transfert, toute modification des données électroniques conservées, sous réserve des modifications relatives à leur support ou leur format électronique.

Le prestataire de service d’archivage électronique met en œuvre les moyens nécessaires en vue de détecter les opérations, normales ou frauduleuses, effectuées sur les données. Il veille, dans la mesure du possible, à permettre l’identification des auteurs de telles opérations.

Il enregistre ces informations, veille à leur datation conformément aux dispositions des articles 98 à 101 ci-dessous et conserve ces enregistrements pendant toute la durée de conservation des données concernées.

Il veille à ce que ces enregistrements ne soient accessibles qu’aux personnes autorisées.

Le prestataire de service d’archivage électronique met en œuvre les moyens nécessaires pour protéger les données contre toute atteinte, frauduleuse ou accidentelle, lors de leur conservation et de leur transmission.

Il met en œuvre les moyens nécessaires pour empêcher tout accès non autorisé aux matériels, systèmes de communication et supports contenant les données.

Il met en place des procédures permettant de réagir rapidement aux incidents et de limiter leurs effets.

Le fait pour le destinataire du service de confier des données à un prestataire de service d’archivage électronique n’entraîne aucun transfert de droits sur les données.

Le prestataire du service ne peut procéder à la destruction des données qu’avec l’accord du destinataire, sans préjudice de l’article 94, alinéa 3 ci-dessous.

Lorsque le contrat d’archivage électronique prend fin, pour quelque motif que ce soit, le prestataire de service d’archivage électronique ne peut opposer au destinataire du service un quelconque droit de rétention des données.

Lorsque le contrat d’archivage électronique prend fin, pour quelque motif que ce soit, le prestataire de service d’archivage électronique demande par envoi recommandé au destinataire du service quel est le sort à réserver aux données qu’il lui a confiées, conformément à l’article 95 ci-dessous.

En l’absence de réponse du destinataire dans les trois mois de la demande visée à l’alinéa 2 ci-dessus, le prestataire peut procéder à la destruction des données, sauf interdiction expresse d’une autorité judiciaire ou administrative compétente.

A la demande du destinataire du service et dans un délai raisonnable, le prestataire de service d’archivage électronique, selon le cas :

• a) restitue au destinataire du service les données que ce dernier lui indique, sous une forme lisible et exploitable convenue avec le destinataire ;
• b) transmet loyalement les données que le destinataire lui indique à un autre prestataire de service d’archivage électronique en vue de la reprise du service, sous une forme lisible et exploitable convenue avec le nouveau prestataire de service d’archivage électronique, en accord avec le destinataire du service ;
• c) détruit définitivement les données que le destinataire du service lui indique, de telle sorte qu’elles ne puissent plus être reconstituées, en tout ou en partie.

Dans les hypothèses prévues à l’article 95 ci-dessus, le prestataire ne conserve pas de copie des données restituées, transmises ou détruites, sauf demande expresse du destinataire du service ou d’une autorité judiciaire ou administrative compétente.

Les frais afférents aux opérations mentionnées à l’article 95 ci-dessus sont à charge du destinataire, à moins qu’il ne soit mis fin au contrat dans les circonstances visées à l’article 131 de la présente loi.

Le prestataire de service d’archivage électronique est présumé en faute jusqu’à preuve du contraire si les données qui lui sont confiées :

• a) ne sont plus lisibles pendant la durée de conservation convenue avec le destinataire du service ;
• b) sont modifiées, sous réserve des modifications relatives à leur support ou leur format électronique ;
• c) ne peuvent être restituées, transmises à un autre prestataire ou détruites conformément à l’article 95 et 96 ci-dessus.

La datation fournie par un prestataire de service d’horodatage électronique est basée sur le temps universel coordonné et y fait expressément référence.

Le prestataire de service d’horodatage électronique s’assure que la datation fournie au destinataire du service peut être vérifiée pendant une durée convenue avec celui-ci.

Sous réserve de l’application de l’article 35 de la présente loi, le prestataire de service d’horodatage électronique ne peut à aucun moment laisser entendre, directement ou indirectement, que son service confère date certaine.

Le prestataire de service d’horodatage électronique est responsable des dommages causés par une défaillance de son service ayant un impact sur l’exactitude de la datation d’un document.

Au moment de l’envoi du message, le prestataire de service de recommandé électronique délivre à l’expéditeur un accusé d’envoi, muni de sa signature électronique sécurisée, indiquant, conformément aux dispositions des articles 98 à 101 ci-dessus, la date à laquelle le message a été envoyé au destinataire.

Le prestataire de service de recommandé électronique met en œuvre les moyens nécessaires en vue :

• a) de protéger le contenu du message de l’expéditeur contre toute altération et modification ;
• b) de prévenir contre toute perte ou toute appropriation par un tiers du message ; et
• c) d’assurer la confidentialité des données transmises et conservées, et ce, tout au long du processus de communication et de conservation.

Le prestataire de service de recommandé électronique vérifie, par des moyens appropriés, l’identité du destinataire du recommandé électronique, avec ou sans accusé de réception, avant la délivrance du recommandé électronique.

Pour l’application de l’alinéa 1 ci-dessus, il est fait usage d’une signature électronique visée à l’article 8 de la présente loi.

A la demande de l’expéditeur, le prestataire de service de recommandé électronique lui fournit un accusé, selon le cas, de réception ou de refus du message par le destinataire ou de sa non-délivrance. Cet accusé est muni d’une signature électronique du prestataire.

Avant la délivrance du recommandé électronique, l’accusé de réception ou de refus est signé électroniquement par le destinataire et indique la date à laquelle le message a été reçu ou refusé par celui-ci, en recourant à un procédé d’horodatage électronique conforme aux articles 98 à 101 du présent chapitre.

L’accusé de non-délivrance est fourni à l’expiration d’un délai de quinze jours à dater de l’envoi du message.

La signature électronique visée aux alinéas 1 et 2 ci-dessus est celle prévue à l’article 8 de la présente loi.

Le prestataire de service de recommandé électronique est responsable des dommages causés par la perte ou l’altération du contenu du message transmis, ou son appropriation par un tiers.

Le prestataire de service de recommandé électronique ne peut à aucun moment laisser entendre, directement ou indirectement, qu’il délivre des recommandés électroniques, s’il ne se conforme pas aux dispositions du présent chapitre qui le concernent.

Le prestataire de service de certification électronique fait la preuve de la fiabilité des services de certification électronique qu’il fournit en démontrant qu’il se conforme aux dispositions du présent chapitre qui le concernent.

Le prestataire de service de certification électronique assure le fonctionnement, au profit des personnes auxquelles un certificat électronique qualifié est délivré, d’un service d’annuaire recensant les certificats qualifiés des personnes qui en font la demande.

Le prestataire de service de certification électronique vérifie, d’une part, l’identité de la personne à laquelle un certificat électronique est délivré, en exigeant d’elle la présentation d’un document officiel d’identité, d’autre part, d’un document officiel justifiant la qualité dont cette personne se prévaut. Il conserve les caractéristiques et références des documents présentés pour justifier de cette identité et de cette qualité. Les vérifications imposées par le présent alinéa peuvent être confiées à un autre prestataire.

Le prestataire de service de certification électronique s’assure, au moment de la délivrance du certificat électronique, que les informations qu’il contient sont exactes et que le signataire, qui y est identifié, détient les données de création de signature électronique correspondant aux données de vérification de signature électronique contenues dans le certificat.

Le prestataire de service de certification électronique veille à ce que la date et l’heure de délivrance et de révocation d’un certificat électronique puissent être déterminées avec précision, en recourant à un procédé d’horodatage électronique conforme aux articles 98 à 101 du présent chapitre.

Le prestataire de service de certification électronique applique des procédures de sécurité appropriées et utilise des systèmes et des produits garantissant la sécurité technique et cryptographique des fonctions qu’il assure.

Le prestataire de services de certification électronique utilise des systèmes de conservation des certificats électroniques garantissant que :

• a) l’introduction et la modification des données sont réservées aux seules personnes autorisées à cet effet par le prestataire ;
• b) l’accès du public à un certificat électronique ne peut avoir lieu sans le consentement préalable du titulaire du certificat ;
• c) toute modification de nature à compromettre la sécurité du système peut être détectée.

Le prestataire de services de certification électronique prend toutes dispositions de nature à éviter la falsification des certificats électroniques.

Dans le cas où il fournit au signataire des données de création de signature électronique, le prestataire de services de certification électronique garantit la confidentialité de ces données et s’abstient de les conserver ou de les reproduire.

Le prestataire de service de certification électronique veille, dans le cas où sont fournies à la fois des données de création et des données de vérification de signature électronique, à ce que les données de création correspondent aux données de vérification.

Le prestataire de service de certification électronique conserve, sous forme électronique, toutes les informations relatives au certificat électronique qui pourraient s’avérer nécessaires pour faire la preuve en justice de la certification électronique.

Le prestataire de service de certification électronique indique les modalités et conditions d’utilisation du certificat à toute personne qui demande la délivrance d’un certificat électronique dans le cadre d’un contrat de prestation de services de certification électronique. Cette information est fournie avant la conclusion du contrat, par écrit et dans une langue aisément compréhensible.

Ces informations sont également fournies aux personnes qui se fondent sur un certificat électronique.

Un mois avant l’expiration d’un certificat, le prestataire de service de certification en informe le titulaire.

Le prestataire de services de certification électronique assure le fonctionnement d’un service accessible à tout moment, permettant à la personne à qui le certificat électronique a été délivré de révoquer sans délai et avec certitude ce certificat.

A la demande de la personne à qui le certificat électronique a été délivré, dûment identifiée, le prestataire de service de certification révoque immédiatement le certificat.

Le prestataire de service de certification révoque également un certificat lorsque :

• a) il existe des raisons sérieuses pour admettre que le certificat a été délivré sur la base d’informations erronées ou falsifiées, que les informations contenues dans le certificat ne sont plus conformes à la réalité ou que la confidentialité des données afférentes à la création de signature a été violée ;
• b) l’accréditation est retirée au prestataire de service de certification ;
• c) le prestataire de service de certification arrête ses activités sans qu’il y ait reprise de celles-ci par un autre prestataire de service de certification accrédité ;
• d) le prestataire de service de certification est informé du décès de la personne physique ou de la dissolution de la personne morale qui en est le titulaire.

Le prestataire de service de certification informe le titulaire de certificat, sauf en cas de décès, de la révocation et motive sa décision.

La révocation d’un certificat est définitive.

Le prestataire inscrit, immédiatement, la mention de la révocation du certificat dans l’annuaire visé à l’article 109.

La révocation est opposable aux tiers à partir de cette inscription.

Un prestataire de service de certification qui délivre à l’intention du public un certificat présenté comme qualifié ou qui garantit au public un tel certificat est responsable du préjudice causé à toute personne physique ou morale qui, en bon père de famille, se fie raisonnablement à ce certificat pour ce qui est de :

• a) l’exactitude de toutes les informations contenues dans le certificat qualifié à la date où il a été délivré et la présence, dans ce certificat, de toutes les données prescrites pour un certificat qualifié ;
• b) l’assurance que, au moment de la délivrance du certificat, le signataire identifié dans le certificat qualifié détenait les données afférentes à la création de signature correspondant aux données afférentes à la vérification de signature fournies ou identifiées dans le certificat ;
• c) l’assurance que les données afférentes à la création de signature et celles afférentes à la vérification de signature puissent être utilisées de façon complémentaire, dans le cas où le prestataire de service de certification génère ces deux types de données.

Toutefois le prestataire de service de certification peut dégager sa responsabilité en prouvant qu’il n’a commis aucune négligence.

Un prestataire de service de certification qui a délivré à l’intention du public un certificat présenté comme qualifié est responsable du préjudice causé à un organisme ou à une personne physique ou morale qui se prévaut raisonnablement du certificat, pour avoir omis de faire enregistrer la révocation du certificat, sauf si le prestataire de service de certification prouve qu’il n’a commis aucune négligence.

Un prestataire de service de certification peut indiquer, dans un certificat qualifié, les limites fixées à son utilisation, à condition que ces limites soient discernables par des tiers. Le prestataire de service de certification n’est pas responsable du préjudice résultant de l’usage d’un certificat qualifié qui dépasse les limites fixées à son utilisation.

Un prestataire de service de certification peut indiquer, dans un certificat qualifié, la valeur maximale des transactions pour lesquelles le certificat peut être utilisé, à condition que cette valeur soit discernable par des tiers. Le prestataire de service de certification n’est pas responsable des dommages qui résultent du dépassement de cette valeur maximale.

Le prestataire de service de certification qui délivre des certificats qualifiés informe l’Autorité de régulation des communications électroniques, en temps utile, de son intention de mettre fin à ses activités et de toute action qui pourrait conduire à la cessation de ses activités.

Dans ce cas, il doit s’assurer de la reprise de ses activités par un autre prestataire de service de certification accrédité. Il informe les titulaires des certificats de la reprise de ses activités au moins un mois à l’avance, en précisant l’identité du nouveau prestataire. Il offre aux titulaires des certificats la possibilité de demander la révocation de leur certificat.

A défaut de reprise de ses activités par un autre prestataire, le prestataire qui cesse ses activités révoque les certificats deux mois après en avoir averti les titulaires.

Le prestataire de service de certification qui arrête ses activités pour des raisons indépendantes de sa volonté ou en cas de faillite en informe immédiatement l’Autorité de régulation des communications électroniques. Il procède, le cas échéant, à la révocation des certificats, après en avoir informé leurs titulaires.