Loi n° 2010/012 du 21 décembre 2010 relative à la cyber sécurité et à la cybercriminalité au Cameroun

L’administration chargée des télécommunications élabore et met en œuvre, la politique de sécurité des communications électroniques et des systèmes d’information en tenant compte de l’évolution technologique et des priorités du gouvernement dans ce domaine.

A ce titre, elle :

• Assure la promotion de la sécurité des réseaux de communications électroniques et des systèmes d’information ainsi que le suivi de l’évolution des questions liées aux activités de sécurité et à la certification ;
• Coordonne sur le plan national les activités concourant à la sécurisation et à la protection des réseaux de communications électroniques et des systèmes d’information ;
• Veille à la mise en place d’un cadre adéquat pour la sécurité des communications électroniques ;
• Arrête la liste des autorités de certification ;
• Assure la représentation du Cameroun aux instances internationales chargées des activités liées à la sécurisation et à la protection des réseaux de communications électroniques et des systèmes d’information.

(1) L’Agence Nationale des Technologies de l’information et de la communication, ci-après désignée l’agence, instituée par la loi régissant les communications électroniques au Cameroun, est chargée de la régulation des activités de sécurité électronique, en collaboration avec l’Agence de Régulation des télécommunications.

(2) L’Agence prévue à l’alinéa 1 ci-dessus, assure pour le compte de l’Etat, la régulation, le contrôle et le suivi des activités liées à la sécurité des systèmes d’information et des réseaux de communications électroniques, et à la certification électronique. A ce titre, elle a notamment pour missions :

• d’instruire les demandes d’accréditation et de préparer les cahiers des charges des autorités de certification et de les soumettre à la signature du Ministre chargé des télécommunications ;
• de contrôler la conformité des signatures électroniques émises ;
• de participer à l’élaboration de la politique nationale de sécurité des réseaux de communications électroniques et de certification ;
• d’émettre un avis consultatif sur les textes touchant à son domaine de compétence ;
• de contrôler les activités de sécurité des réseaux de communications électroniques, des systèmes d’information et de certification ;
• d’instruire les demandes d’homologation des moyens de cryptographie et de délivrer les certificats d’homologation des équipements de sécurité ;
• de préparer les conventions de reconnaissance mutuelle avec les parties étrangères et de les soumettre à la signature du Ministre chargé des télécommunications ;
• d’assurer la veille technologique et d’émettre des alertes et recommandations en matière de sécurité des réseaux de communications électroniques et de certification ;
• de participer aux activités de recherche, de formation et d’études afférentes à la sécurité des réseaux de communications électroniques, des systèmes d’informations et de certification ;
• de s’assurer de la régularité, de l’effectivité des audits de sécurité des systèmes d’information suivant les normes en la matière, des organismes publics et des autorités de certification ;
• d’assurer la surveillance, la détection et la fourniture de l’information sur les risques informatiques et les actes des cybercriminels ;
• d’exercer toute autre mission d’intérêt général que pourrait lui confier l’autorité de tutelle.

(3) Un décret du Premier Ministre précise les modalités d’application des dispositions de l’alinéa 1 ci-dessus.

(1) L’Agence est l’autorité de certification racine.

(2) L’Agence est l’autorité de certification de l’administration publique.

(1) Les autorités de certification accréditées, les auditeurs de sécurité, les éditeurs de logiciels de sécurité et les autres prestataires de services de sécurité agréés, sont assujettis au paiement d’une contribution de 1,5 % de leur chiffre d’affaires hors taxes, destinée au financement d’un fonds dénommé « Fonds spécial des activités de sécurité électronique », au titre du financement de la recherche, du développement, de la formation et des études en matière de cybersécurité.

(2) Les ressources visées à l’alinéa 1 ci-dessus sont recouvrées par l’Agence et déposées dans un compte ouvert à la Banque centrale.

(3) Il est créé un comité chargé de la validation des projets prioritaires de recherche, de développement, de formation et des études en matière de cybersécurité.

Les modalités de fonctionnement de ce comité sont fixées dans un texte réglementaire.

(4) Le Ministre chargé des télécommunications est l’ordonnateur des dépenses engagées sur le fonds visé à l’alinéa 1 ci-dessus.

(5) Les conditions et les modalités de perception et de gestion de cette redevance sont définies par voie réglementaire.

(1) L’activité de certification électronique est soumise à autorisation préalable. Elle est exercée par des autorités de certification.

Peuvent faire l’objet d’une autorisation :

• la mise en place et l’exploitation d’une infrastructure en vue d’émettre, de conserver et de délivrer les certificats électroniques qualifiés ;
• la mise à la disposition du public, des clés publiques de tous les utilisateurs ;
• la mise à la disposition du public de la prestation d’audit de sécurité, d’édition de logiciels de sécurité et de toutes les autres prestations de services de sécurité.

Les conditions et les modalités d’octroi de l’autorisation visée à l’article 10 ci-dessus sont fixées par voie réglementaire.

(1) Sont soumis à un audit de sécurité obligatoire, les réseaux de communications électroniques et les systèmes d’information des opérateurs, les autorités de certification et les fournisseurs de services de communications électroniques.

(2) Les conditions et les modalités de l’audit de sécurité prévus à l’alinéa 1 ci-dessus sont définies par voie réglementaire.

Le personnel de l’Agence et les experts commis en vue d’accomplir des opérations d’audits sont astreints au secret professionnel.

(1) Les certificats électroniques qualifiés ne sont valables que pour les objets pour lesquels ils ont été émis.

(2) Les dispositifs de création et de vérification des certificats qualifiés sont du point de vue technologique neutres, normalisés, homologués et interopérables.

(1) Les autorités de certification sont responsables du préjudice causé aux personnes qui se sont fiées aux certificats présentés par elles comme qualifiées dans chacun des cas suivants :

• les informations contenues dans le certificat, à la date de sa délivrance, étaient inexactes ;
• les données prescrites pour que le certificat puisse être considéré comme qualifié étaient incomplètes ;
• la délivrance du certificat n’a pas donné lieu à la vérification que le signataire détient la convention privée correspondant à la convention publique de ce certificat ;
• les autorités de certification et les prestataires de certification n’ont pas, le cas échéant, fait procéder à l’enregistrement de la révocation du certificat qualifié et tenu cette information à la disposition des tiers.

(2) Les autorités de certification ne sont pas responsables du préjudice causé par un usage du certificat qualifié dépassant les limites fixées à son utilisation ou à la valeur des transactions pour lesquelles il peut être utilisé, à condition que ces limites figurent dans le certificat qualifié et soient accessibles aux utilisateurs.

(3) Les autorités de certification doivent justifier d’une garantie financière suffisante, spécialement affectée au paiement des sommes qu’elles pourraient devoir aux personnes s’étant fiées raisonnablement aux certificats qualifiés qu’elles délivrent, ou d’une assurance garantissant les conséquences pécuniaires de leur responsabilité civile professionnelle.

La signature électronique avancée a la même valeur juridique que la signature manuscrite et produit les mêmes effets que cette dernière.

Une signature électronique avancée doit remplir les conditions ci-après :

• les données afférentes à la création de la signature sont liées exclusivement au signataire et sont sous son contrôle exclusif ;
• toute modification à elle apportée, est facilement décelable ;
• elle est créée au moyen d’un dispositif sécurisé dont les caractéristiques techniques sont fixées par un texte du Ministre chargé des télécommunications ;
• le certificat utilisé pour la génération de la signature est un certificat qualifié. Un texte du Ministre chargé des Télécommunications fixe les critères de qualification des certificats.

L’autorité de certification ayant conféré la validité à un certificat électronique ne peut se renier.

(1) Un certificat électronique émis hors du territoire national produit les mêmes effets juridiques qu’un certificat qualifié émis au Cameroun à condition qu’il existe un acte de reconnaissance de l’autorité émettrice signé par le Ministre chargé des Télécommunications.

(2) L’interopérabilité des certificats électroniques qualifiés est règlementée par un texte du Ministre chargé des Télécommunications ;

Toute personne désirant apposer sa signature électronique sur un document peut créer cette signature par un dispositif fiable dont les caractéristiques techniques sont fixées par un texte du Ministre chargé des Télécommunications.

Toute personne utilisant un dispositif de signature électronique doit :

• prendre les précautions minimales qui sont fixées par le texte visé à l’article 21 ci-dessus, afin d’éviter toute utilisation illégale des éléments de cryptage ou des équipements personnels relatifs à sa signature ;
• informer l’autorité de certification de toute utilisation illégitime de sa signature ;
• veiller à la véracité de toutes les données qu’elle a déclarées au fournisseur de services de certification électronique et à toute personne à qui il a demandé de se fier à sa signature.

En cas de manquement aux engagements prévus à l’article 22 ci-dessus, le titulaire de la signature est responsable du préjudice causé à autrui.

Les opérateurs des réseaux de communications électroniques et les fournisseurs de services de communications électroniques doivent prendre toutes les mesures techniques et administratives nécessaires pour garantir la sécurité des services offerts. A cet effet, ils sont tenus d’informer les usagers :

• du danger encouru en cas d’utilisation de leurs réseaux ;
• des risques particuliers de violation de la sécurité notamment, les dénis de service distribués ; le re-routage anormal, les pointes de trafic, le trafic et les ports inhabituels, les écoutes passives et actives, les intrusions et tout autre risque ;
• de l’inexistence de moyens techniques permettant d’assurer la sécurité de leurs communications.

(1) Les opérateurs de réseaux et les fournisseurs de service de communications électroniques ont obligation de conserver les données de connexion et de trafic pendant une période de dix ans.

(2) Les opérateurs de réseaux et les fournisseurs de services de communications électroniques installent des mécanismes de surveillance de trafic des données de leurs réseaux. Ces données peuvent être accessibles lors des investigations judiciaires.

(3) La responsabilité des opérateurs de réseaux et celles des fournisseurs de services de communications électroniques est engagée si l’utilisation des données prévues à l’alinéa 2 ci-dessus porte atteinte aux libertés individuelles des usagers.

(1) Les exploitants des systèmes d’information prennent toutes les mesures techniques et administratives afin de garantir la sécurité des services offerts. A cet effet, ils se dotent de systèmes normalisés leur permettant d’identifier, d’évaluer, de traiter et de gérer continûment les risques liés à la sécurité des systèmes d’information dans le cadre des services offerts directement ou indirectement.

(2) Les exploitants des systèmes d’information mettent en place des mécanismes techniques pour faire face aux atteintes préjudiciables à la disponibilité permanente des systèmes, à leur intégrité, à leur authentification, à leur non répudiation par des utilisateurs tiers, à la confidentialité des données et à la sécurité physique.

(3) Les mécanismes prévus à l’alinéa 2 ci-dessus, font l’objet d’approbation et visa conforme de l’Agence.

(4) Les plates-formes des systèmes d’information font l’objet de protection contre d’éventuels rayonnements et des intrusions qui pourraient compromettre l’intégrité des données transmises et contre toute attaque externe notamment par un système de détection d’instruisons.

Les personnes morales dont l’activité est d’offrir un accès à des systèmes d’information sont tenues d’informer les usagers :

• du danger encouru dans l’utilisation des systèmes d’information non sécurisés notamment pour les particuliers ;
• de la nécessité d’installer des dispositifs de contrôle parental ;
• des risques particuliers de violations de sécurité, notamment la famille générique des virus ;
• de l’existence de moyens techniques permettant de restreindre l’accès à certains services et de leur proposer au moins l’un de ces moyens, notamment l’utilisation des systèmes d’exploitation les plus récents, les outils antivirus et contre les logiciels espions et trompeurs, l’activation des pare-feux personnels, de systèmes de détection d’intrusions et l’activation des mises à jour automatiques.

(1) Les exploitants des systèmes d’information informent les utilisateurs de l’interdiction faite d’utiliser le réseau de communications électroniques pour diffuser des contenus illicites ou tout autre acte qui peut entamer la sécurité des réseaux ou des systèmes d’information.

(2) L’interdiction porte également sur la conception de logiciel trompeur, de logiciel espion, de logiciel potentiellement indésirable ou de tout autre outil conduisant à un comportement frauduleux.

(1) Les exploitants des systèmes d’information ont l’obligation de conserver les données de connexion et de trafic de leurs systèmes d’information pendant une période de dix ans.

(2) Les exploitants des systèmes d’information sont tenus d’installer des mécanismes de surveillance de contrôle d’accès aux données de leurs systèmes d’information. Les données conservées peuvent être accessibles lors des investigations judiciaires.

(3) Les installations des exploitants des systèmes d’information peuvent faire l’objet de perquisition ou de saisie sur ordre d’une autorité judiciaire dans les conditions prévues par les lois et règlements en vigueur.

(1) Les exploitants des systèmes d’information évaluent, révisent leurs systèmes de sécurité et introduisent en cas de nécessité les modifications appropriées dans leurs pratiques, mesures et techniques de sécurité en fonction de l’évolution des technologies.

(2) Les exploitants des systèmes d’information et leurs utilisateurs peuvent coopérer entre eux pour l’élaboration et la mise en œuvre des pratiques, mesures et techniques de sécurité de leurs systèmes.

(1) Les fournisseurs de contenus des réseaux de communication électronique et systèmes d’information sont tenus d’assurer la disponibilité des contenus, ainsi que celle des données stockées dans leurs installations.

(2) Ils ont l’obligation de mettre en place des filtres pour faire face aux atteintes préjudiciables aux données personnelles et à la vie privée des utilisateurs.

(1) Les réseaux de communications électroniques et les systèmes d’information sont soumis à un audit de sécurité obligatoire et périodique de leurs systèmes de sécurité par l’Agence.

(2) L’audit de sécurité et les mesures d’impact de gravité sont effectués chaque année ou lorsque les circonstances l’exigent.

(3) Les rapports d’audit sont confidentiels et adressés au Ministre chargé des télécommunications.

(4) Un texte du Ministre chargé des télécommunications fixe les conditions d’évaluation des niveaux d’impact de gravité.

Les personnes dont l’activité est d’offrir un accès aux services de communications électroniques, informent leurs abonnés de l’existence de moyens techniques permettant de restreindre l’accès à certains services ou de les sélectionner et leur proposer au moins un de ces moyens.

(1) La responsabilité des personnes qui assurent, même à titre gratuit, le stockage des signaux, d’écrits, d’images, de sons ou de messages de toute nature fournis par les destinataires de ces services, peut être engagée.

(2) Toutefois, la responsabilité prévue à l’alinéa 1 ci-dessus n’est point engagée dans les cas suivants :

• les personnes n’avaient pas effectivement connaissance de leur caractère illicite ou de faits et circonstances faisant apparaître ce caractère ;

Si, dès le moment où elles ont eu connaissance des faits, elles ont agi promptement pour retirer ces données ou en rendre l’accès impossible.

(1) Les personnes mentionnées aux articles 33 et 34 ci-dessus, sont tenues de conserver, pendant une durée de dix ans, les données permettant l’identification de toute personne ayant contribué à la création du contenu des services dont elles sont prestataires.

(2) Elles fournissent aux personnes qui éditent un service de communications électroniques des moyens techniques permettant à celles-ci de satisfaire aux conditions d’identification prévues aux articles 37 et 38 ci-dessous.

(3) L’autorité judiciaire peut requérir communication auprès des prestataires mentionnés aux articles 33 et 34 ci-dessus des données prévues à l’alinéa 1 ci-dessus.

La juridiction compétente saisie statue dans un délai maximum de trente jours sur toutes mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d’un service de communication électronique.

Les personnes dont l’activité consiste à éditer un service de communications électroniques, mettent à la disposition du public :

• leurs nom, prénoms, domicile et numéro de téléphone et, si elles sont assujetties aux formalités d’inscription au registre de commerce et du crédit mobilier, le numéro de leur inscription, s’il s’agit des personnes physiques ;
• leur dénomination ou leur raison sociale et leur siège social, leur numéro de téléphone et, s’il s’agit des personnes morales assujetties aux formalités d’inscription au registre de commerce et du crédit mobilier, le numéro de leur inscription, leur capital social, l’adresse de leur siège social, s’il s’agit des personnes morales ;
• le nom du directeur ou du codirecteur de la publication et, le cas échéant, celui du responsable de la rédaction ;
• le nom, la dénomination ou la raison sociale, l’adresse et le numéro de téléphone du prestataire mentionné aux articles 33 et 34.

(1) Les personnes éditant à titre non professionnel un service de communications électroniques peuvent ne tenir à la disposition du public que le nom, la dénomination ou la raison sociale et l’adresse du prestataire.

(2) Les personnes mentionnées aux articles 33 et 34 ci-dessus, sont assujetties au secret professionnel.

(1) Toute personne victime d’une diffamation au moyen d’un service de communications électroniques, dispose d’un droit de réponse et peut en exiger la rectification.

(2) Les conditions d’insertion du droit de réponse sont celles prévues par les textes en vigueur.

(1) Toute personne assurant une activité de transmission de contenus sur un réseau de communications électroniques ou de fourniture d’accès à un réseau de communications électroniques ne peut voir sa responsabilité engagée que lorsque :

• elle est à l’origine de la demande de transmission litigieuse,
• elle sélectionne ou modifie les contenus faisant l’objet de la transmission.

(2) Toute personne assurant dans le seul but de rendre plus efficace leur transmission ultérieure, une activité de stockage automatique, intermédiaire et temporaire des contenus qu’un prestataire transmet, ne peut voir sa responsabilité civile ou pénale engagée en raison de ces contenus que dans le cas où elle a modifié ces contenus, ne s’est pas conformée à leur conditions d’accès et aux règles usuelles concernant leur mise à jour ou a entravé l’utilisation licite et usuelle de la technologie utilisée pour obtenir les données.

Toute personne a droit au respect de sa vie privée. Les juges peuvent prendre les mesures conservatoires, notamment le séquestre et la saisie pour empêcher ou faire cesser une atteinte à la vie privée.

La confidentialité des communications acheminées à travers les réseaux de communications électroniques et les systèmes d’information y compris les données relatives au trafic, est assurée par les opérateurs et exploitants des réseaux de communications électroniques et des systèmes d’information.

Le fournisseur de contenus est responsable des contenus véhiculés par son système d’information, notamment lorsque ces contenus portent atteinte à la dignité humaine, à l’honneur et à la vie privée.

(1) Interdiction est faite à toute personne physique ou morale d’écouter, d’intercepter, de stocker les communications et les données relatives au trafic y afférent, ou de les soumettre à tout autre moyen d’interception ou de surveillance, sans le consentement des utilisateurs concernés, sauf lorsque cette personne y est légalement autorisée.

(2) Toutefois, le stockage technique préalable à l’acheminement de toute communication est autorisé aux opérateurs et exploitants des réseaux de communications électroniques, sans préjudice du principe de confidentialité.

L’enregistrement des communications et des données de trafic y afférentes, effectué dans le cadre professionnel en vue de fournir la preuve numérique d’une communication électronique est autorisé.

(1) Les fournisseurs de contenus des réseaux de communications électroniques et systèmes d’information, sont tenus de conserver les contenus ainsi que les données stockées dans leurs installations pendant une durée de dix ans.

(2) Les fournisseurs de contenus des réseaux de communications électroniques et systèmes d’information, ont l’obligation de mettre en place des filtres pour faire face aux atteintes préjudiciables aux données personnelles et à la vie privée des utilisateurs.

L’utilisation des réseaux de communications électroniques et des systèmes d’information aux fins de stocker les informations ou d’accéder à des informations stockées dans un équipement terminal d’une personne physique ou morale, ne peut se faire qu’avec son consentement préalable.

(1) L’émission des messages électroniques à des fins de prospection en dissimulant l’identité de l’émetteur au nom duquel la communication est faite, ou sans indiquer une adresse valide à laquelle le destinataire peut transmettre une demande visant à obtenir l’arrêt de ces informations est interdite.

(2) L’émission des messages électroniques en usurpant l’identité d’autrui est interdite.

Nonobstant les dispositions du Code de Procédure Pénale, en cas de crimes ou délits prévus dans la présente loi, l’officier de police judiciaire peut intercepter, enregistrer ou transcrire toute communication électronique.

Si les opérateurs de réseaux de communications électroniques ou les fournisseurs de services de communications électroniques procèdent au codage, à la compression ou au chiffrement des données transmises, les interceptions correspondantes sont fournies en clair aux services qui les ont requis.

Les personnels des opérateurs des réseaux de communications électroniques ou des fournisseurs de services de communications électroniques sont astreints au secret professionnel quant aux réquisitions reçues.