Loi n° 019/AN/23/9ème L du 06 juillet 2025 portant Code du Numérique

Tout prestataire de services de confiance établi en République de Djibouti et toute personne qui a l’intention d’exercer une activité de prestataire de services de confiance soumet à l’Organe en charge de la certification racine une déclaration, selon les modalités que cette dernière indique, qui comprend les informations suivantes :

• 1° s’il s’agit d’une personne physique, ses nom et prénoms et, s’il s’agit d’une personne morale, sa raison sociale et sa dénomination sociale ainsi que le nom et prénom de son dirigeant social ;
• 2° l’adresse où il est établi, son adresse de courrier électronique, ainsi que des coordonnées téléphoniques permettant d’entrer effectivement en contact avec elle ;
• 3° son numéro d’immatriculation au Registre du Commerce, son capital social et l’adresse de son siège social ;
• 4° s’il est assujetti à la TVA, le numéro d’identification fiscale correspondant ;
• 5° un justificatif de souscription à une police d’assurance couvrant de manière efficace les dommages liés à son activité ;
• 6° une description technique des dispositifs qu’il envisage de proposer ;
• 7° une description circonstanciée des procédures de sécurité qu’il envisage d’adopter pour protéger ses locaux et équipements informatiques ;
• 8° les documents permettant de justifier les moyens matériels, financiers et humains lui permettant de fournir un service de confiance.

La déclaration visée au premier alinéa est transmise par lettre recommandée, par voie électronique ou en mains propres selon les modalités décrites par l’Organe en charge de la certification racine et intervient avant le début de l’activité du prestataire de services de confiance ou dans le mois suivant l’entrée en vigueur du présent Code.

L’Organe en charge de la certification racine délivre aux prestataires de services de confiance un récépissé de déclaration, dans les mêmes formes, dans les cinq jours ouvrables suivant leur déclaration.

Toute personne physique ou morale désirant fournir un ou plusieurs services de confiance qualifiés doit au préalable demander l’octroi du statut qualifié auprès de l’Organe en charge de la certification racine.

Les demandes sont adressées par lettre recommandée ou par voie électronique sur le site de l’Organe en charge de la certification racine. Il en est accusé réception dans les mêmes formes.

A défaut, les demandes peuvent être déposées directement auprès du bureau de l’Organe en charge de la certification racine contre décharge.

Le dossier contient obligatoirement les documents suivants :

• 1° une fiche de renseignement fournie par l’Organe en charge de la certification racine dûment remplie et signée par le demandeur ;
• 2° les documents justificatifs des moyens matériels, financiers et humains du demandeur ;
• 3° une description technique des dispositifs de création, de certification, de validation et de conservation des signatures électroniques envisagés ;
• 4° une description détaillée des procédures de sécurité adoptées pour la sécurisation des locaux et des équipements informatiques.

Les critères d’acceptation de la demande de qualification sont :

• 1° le dossier de demande de qualification est complet, et transmis selon les modalités prévues à l’Article 390 ;
• 2° le service répond aux besoins de la sécurité nationale ou de sécurité dans les transactions électroniques au sein du territoire national ;
• 3° la qualification demandée est cohérente avec les objectifs et fonctions de sécurité du service de confiance fixés par l’Organe en charge de la certification racine ;
• 4° le commanditaire est en mesure de respecter l’ensemble de ses engagements pris dans le dossier de demande de qualification.

L’Organe en charge de la certification racine vérifie que le prestataire de services de confiance et les services de confiance qu’il fournit respectent les exigences fixées par le présent Code, en particulier les exigences en ce qui concerne les prestataires de services de confiance qualifiés et les services de confiance qualifiés qu’ils fournissent.

L’instruction de la demande de qualification vise à vérifier que l’ensemble des critères d’acceptation définis à l’Article 391 sont respectés. Dans le cadre de l’instruction de la demande de qualification, le chargé de qualification peut inviter le commanditaire à soutenir sa demande de qualification au cours d’une ou plusieurs réunions ou lui demander de modifier ou compléter son dossier de demande de qualification.

L’instruction est finalisée dans un délai d’un mois à compter de la date de soumission du dossier de demande de qualification, renouvelable par période d’un mois pour des raisons dûment justifiées.

Conformément à la stratégie d’évaluation définie par l’Organe en charge de la certification racine, un évaluateur évalue la robustesse du service de confiance et sa conformité au référentiel d’exigences fixé par l’Organe en charge de la certification racine.

L’Organe en charge de la certification racine peut être l’évaluateur visé à l’alinéa précédent et peut le cas échéant s’appuyer sur l’expertise des administrations compétentes, un prestataire d’audit de la sécurité des systèmes d’information qualifié ou un centre d’évaluation agréé par l’Organe en charge de la certification racine.

Le directeur général de l’Organe en charge de la certification racine, sur proposition du chargé de qualification, accepte la demande de qualification lorsque l’ensemble des critères d’acceptation définis à l’Article 391 sont respectés. Lorsqu’une décision d’acceptation de la demande de qualification est prononcée, le prestataire de service de confiance obtient le statut « en cours de qualification ».

Le directeur général de l’Organe en charge de la certification racine, sur proposition du chargé de qualification, refuse la demande de qualification lorsqu’au moins un des critères définis à l’Article 391 n’est pas respecté. Les motifs du refus de la demande de qualification sont exposés dans la notification de la décision.

L’Organe en charge de la certification racine est tenue de répondre à la demande formulée dans un délai maximum de quarante-cinq jours à compter de la réception du dossier complet et notifie la décision d’acceptation ou la décision de refus de la demande de qualification au commanditaire selon les modalités qu’elle prévoit.

Le silence de l’Organe en charge de la certification racine vaut acceptation.

Contenu d’une décision d’octroi du statut de prestataire de services de confiance qualifié

Les conditions et éventuelles restrictions d’utilisation d’un service sont fixées par l’Organe en charge de la certification racine.

Pour chaque service qualifié, l’Organe en charge de la certification racine définit et tient à jour un niveau de recommandation, représentant ses prescriptions d’utilisation du service au regard de son niveau de sécurité et de pérennité. Ce niveau évolue dans le temps, en fonction d’éléments issus du suivi de la qualification, par exemple l’identification de non-conformités au référentiel d’exigences fixés par l’Organe en charge de la certification racine ou des évolutions de l’état de l’art ou de l’offre de service de confiance du prestataire de service de confiance.

Un arrêté du Ministre chargé de l’économie numérique fixe le montant des redevances dues à l’Organe en charge de la certification racine par les prestataires de services de confiance qualifiés pour l’octroi du statut qualifié.

Le statut qualifié est octroyé à titre personnel. Il ne peut être ni cédé ni transféré à un tiers sans autorisation expresse de l’Organe en charge de la certification racine.

Le statut qualifié est attribué pour dix ans à compter de la date de la réponse formulée par l’Organe en charge de la certification racine précisant l’octroi du statut qualifié.

Le prestataire de services de confiance peut demander le renouvellement de la qualification en déposant une nouvelle demande de qualification.

Cessation des activités des prestataires de services de confiance qualifiés

Le prestataire de services de confiance qualifié informe l’Organe en charge de la certification racine, dans un délai raisonnable, de son intention de cesser ses activités ou de tout fait qui pourrait conduire à la cessation de ses activités.

Dans ce cas, il s’assure de la reprise de ses activités par un autre prestataire de services de confiance garantissant un niveau de qualité et de sécurité au moins équivalent. En l’absence de repreneur, le prestataire révoque, sous réserve d’un préavis de deux mois, les certificats octroyés à ses titulaires.

Le prestataire de services de confiance qui cesse ses activités pour des raisons indépendantes de sa volonté ou en cas de faillite, en informe immédiatement l’Organe en charge de la certification racine. Il procède, le cas échéant, à la révocation des certificats délivrés.

Les prestataires de services de confiance qualifiés sont inscrits sur une liste de confiance, tenue à jour par l’Organe en charge de la certification racine et qui fait l’objet, à la fin de chaque année, d’une publication au Journal officiel et sur le site internet de l’Organe en charge de la certification racine.

Cette liste mentionne pour chaque prestataire de services de confiance qualifié :

• 1° L’identité du prestataire de services de confiance qualifié :
• pour une personne physique : son nom et son prénom ;
• pour une personne morale : sa raison sociale, sa dénomination sociale, le nom et lieu du registre et son numéro d’inscription ;
• 2° Ses coordonnées : adresse de l’endroit où elle est établie, le cas échéant adresse de son siège social, adresse de courrier électronique ;
• 3° Les services de confiance qu’il fournit et son statut ;
• 4° La référence de la décision de qualification ;
• 5° La date de début de la qualification du prestataire de services de confiance.

Les informations échangées dans le cadre de la qualification d’un service de confiance présentent un caractère confidentiel.

L’Organe en charge de la certification racine traite ces informations selon des règles de protection adéquates. Tous les documents confidentiels échangés avec l’Organe en charge de la certification racine dans le cadre de la qualification d’un service de confiance sont protégés en confidentialité au moyen d’outils définis conjointement entre l’Organe en charge de la certification racine et le commanditaire.

Le plaignant peut constituer une réclamation contre un service de confiance qualifié ou son prestataire, qu’il transmet à l’Organe en charge de la certification racine selon les modalités fixées par ce dernier.

Le commanditaire peut former un recours gracieux ou contentieux contre toute décision de refus de la demande de qualification, et contre toute décision de refus ou de retrait de la qualification, dans un délai de trois mois à compter de la décision objet du recours.

Le commanditaire forme son recours gracieux auprès de l’Organe en charge de la certification racine selon les modalités prévues par ce dernier. L’Organe en charge de la certification racine accuse réception auprès du commanditaire, par voie postale ou électronique, du recours puis désigne un chargé de qualification en charge de l’instruction du recours.

Dans le cadre de l’instruction du recours, le chargé de qualification peut inviter le commanditaire à motiver son recours au cours d’une ou plusieurs réunions. Le recours n’est pas suspensif de la décision de qualification.

Le commanditaire forme son recours contentieux auprès des juridictions compétentes.

Le processus de qualification peut être interrompu dans l’un des cas suivants :

• 1° le commanditaire ne respecte pas un engagement pris dans le dossier de demande de qualification ;
• 2° le commanditaire ne respecte pas le délai fixé par l’Organe en charge de la certification racine pour franchir un jalon du processus de qualification ;
• 3° un jalon du processus de qualification ne peut être franchi pour des raisons détaillées dans la décision d’interruption de l’Organe en charge de la certification racine.

La décision d’interruption du processus de qualification peut être prononcée de manière unilatérale par l’Organe en charge de la certification racine ou par le commanditaire et à tout moment après la décision d’acceptation de la demande de qualification.

Lorsque la décision d’interruption du processus de qualification est prononcée avant la décision d’octroi de la qualification, l’Organe en charge de la certification racine prend une décision de refus de qualification conformément aux dispositions de l’Article 394. Lorsque la décision d’interruption du processus de qualification est prononcée après la décision d’octroi de la qualification, l’Organe en charge de la certification racine peut prendre une décision de maintien de la qualification avec modification ou une décision de retrait de la qualification.

Lorsque la décision d’interruption du processus de qualification est prise par le commanditaire, ce dernier en informe l’Organe en charge de la certification racine, selon les modalités prévues par ce dernier, en y précisant les motifs.

Lorsque la décision d’interruption du processus de qualification est prise par l’Organe en charge de la certification racine, ce dernier en informe le commanditaire, selon les modalités prévues par lui.

En cas d’interruption du processus de qualification, le commanditaire peut soumettre, à une date ultérieure, une nouvelle demande de qualification pour le même service de confiance. Il ne peut en revanche pas, dans ce cas, se prévaloir des jalons franchis lors de l’instruction précédemment interrompue.

Un suivi de la qualification ayant pour objectif de s’assurer, après toute décision d’octroi de la qualification, que les critères sur la base desquels la qualification a été octroyée sont toujours respectés sera conduit par l’Organe en charge de la certification racine.

Certificats qualifiés délivrés par des prestataires de services de confiance étrangers

Les certificats qualifiés délivrés au public par des prestataires de services de confiance étrangers ont la même valeur et sont assimilés aux certificats délivrés par un prestataire de services de confiance établi en République de Djibouti si :

• 1° le prestataire de services de confiance étranger remplit les conditions du présent Code, après vérification par les autorités compétentes ; ou
• 2° le certificat ou le prestataire de services de confiance est reconnu en application d’un accord, traité ou tout autre texte national ou international pertinent conclu entre la République de Djibouti et un ou plusieurs pays ou organisations internationales.

Sans préjudice des dispositions du Livre Premier, les prestataires de services de confiance qualifiés et non qualifiés qui délivrent des certificats au public ne peuvent recueillir des données personnelles que directement auprès de la personne concernée, avec le consentement explicite de celle-ci, et uniquement dans la mesure où cela est nécessaire à la délivrance et à la conservation du certificat.

Les données qui leurs sont transmises, en particulier les données à caractère personnel, ne peuvent être recueillies ni traitées à d’autres fins sans le consentement explicite préalable de la personne concernée. Les prestataires ne peuvent détenir, consulter et exploiter ces données que dans la mesure strictement nécessaire à l’accomplissement de leurs services.

Lorsque le titulaire du certificat utilise un pseudonyme et lorsque les nécessités d’enquêtes de police ou d’enquêtes judiciaires l’exigent, le prestataire de services de confiance ayant délivré le certificat est tenu de communiquer à l’Organe en charge de la certification racine, à la police ou à l’autorité judiciaire toute donnée et/ou information relative à l’identité du titulaire.

Les prestataires de services de confiance qualifiés et non qualifiés prennent les mesures techniques et organisationnelles nécessaires, afin de prévenir et gérer les risques liés à la sécurité des services de confiance qu’ils fournissent.

Compte tenu des évolutions technologiques les plus récentes, ces mesures garantissent que le niveau de sécurité soit proportionné au degré de risques.

Des mesures sont notamment prises en vue de prévenir et limiter les conséquences d’incidents liés à la sécurité et d’informer les parties concernées des effets préjudiciables de tels incidents.

Les prestataires de services de confiance qualifiés et non qualifiés notifient à l’Organe en charge de la certification racine, dans les meilleurs délais et au plus tard dans un délai de vingt-quatre heures après en avoir eu connaissance, toute atteinte à la sécurité ou toute perte d’intégrité ayant une incidence significative sur le service de confiance fourni ou sur les données à caractère personnel qui y sont conservées.

Exigences applicables aux prestataires de services de confiance qualifiés

Lorsqu’un prestataire de services de confiance qualifié délivre un certificat qualifié pour un service de confiance, il vérifie par des moyens appropriés l’identité et, le cas échéant, tous les attributs spécifiques de la personne physique ou morale à laquelle il délivre le certificat qualifié.

Ces informations sont vérifiées par le prestataire de services de confiance qualifié ou par un tiers, notamment :

• 1° par la présence physique de la personne physique concernée ou du représentant autorisé de la personne morale ;
• 2° au moyen d’un certificat de signature électronique qualifié ou de cachet électronique qualifié ; ou
• 3° à l’aide d’autres méthodes d’identification reconnues en République de Djibouti, qui fournissent une garantie équivalente, en termes de fiabilité, à la présence physique de la personne physique concernée ou du représentant autorisé de la personne morale. La garantie équivalente est confirmée par un organisme d’évaluation de la conformité.

Un prestataire de services de confiance qualifié doit :

• 1° informer l’Organe en charge de la certification racine de toute modification dans la fourniture de ses services de confiance qualifiés et de son intention éventuelle de cesser ses activités ;
• 2° démontrer qu’il dispose des moyens techniques fiables en vue de fournir les services de confiance qualifiés en toute sécurité ;
• 3° assurer le fonctionnement de services d’annuaire et de révocation sûrs et rapides ;
• 4° veiller à ce que la date et l’heure d’émission et de révocation d’un certificat puissent être déterminées avec précision ;
• 5° prendre des mesures contre la contrefaçon des certificats et, dans les cas où le prestataire de services de confiance génère des données afférentes à la création de signature ou de cachet électronique, garantir la confidentialité au cours du processus de génération de ces données ;
• 6° disposer des ressources financières suffisantes pour mener convenablement son activité ;
• 7° souscrire une police d’assurance garantissant les dommages susceptibles d’être causés dans l’exercice de cette activité ;
• 8° employer du personnel et sous-traitants disposant de l’expertise, de l’expérience et des qualifications nécessaires en matière de sécurité des réseaux et systèmes d’informations et de protection des données à caractère personnel, et appliquant des procédures administratives et de gestion correspondant aux normes nationales et internationales ;
• 9° informer les utilisateurs de services de confiance qualifiés, de manière claire, exhaustive et avant toute relation contractuelle, sur les conditions précises d’utilisation du service, y compris les limites à son utilisation, les procédures de réclamation et de règlement des litiges. Cette information peut être transmise par voie électronique, doit faire l’objet d’un écrit et doit être aisément compréhensible. Des éléments pertinents de cette information doivent également, sur demande, être mis à la disposition des tiers qui se prévalent du certificat ;
• 10° utiliser des systèmes et équipements fiables, protégés contre les risques de modifications et assurant la sécurité technique des processus pris en charge ;
• 11° utiliser des systèmes fiables de stockage des données qui lui sont communiquées, sous une forme vérifiable de sorte que :
• a. les données ne soient publiquement disponibles pour des traitements qu’après avoir obtenu le consentement de la personne concernée ;
• b. seules des personnes autorisées puissent introduire des données et modifier les données conservées ;
• c. l’authenticité des données puisse être vérifiée ;
• 12° prendre les mesures appropriées contre la falsification et le vol de données ;
• 13° enregistrer, conserver et maintenir accessibles pour une durée appropriée, y compris après la cessation des activités du prestataire de services de confiance qualifié, toutes les informations pertinentes concernant les données envoyées et reçues par le prestataire de services de confiance qualifié, notamment à des fins probatoires et de continuité du service ;
• 14° disposer d’un plan actualisé d’arrêt d’activité afin d’assurer la continuité du service ;
• 15° assurer le traitement licite des données à caractère personnel conformément aux dispositions du Livre Premier ;
• 16° le cas échéant, établir et tenir à jour une base de données des certificats octroyés ;
• 17° s’assurer que les certificats ne sont disponibles au public que dans les cas où le titulaire du certificat a donné son consentement ;
• 18° s’assurer que toute modification technique mettant en péril les exigences de sécurité soit apparente.

Les prestataires de services de confiance qualifiés fournissent aux utilisateurs les informations pertinentes sur la validité ou le statut de révocation des certificats qualifiés qu’ils ont délivrés. Ces informations sont disponibles pour chaque certificat, à tout moment et durant la période de validité du certificat, sous une forme lisible, fiable et gratuite.

Sans préjudice des dispositions de l’alinéa 2, les prestataires de services de confiance qualifiés et non qualifiés sont responsables des dommages causés intentionnellement, par négligence ou par maladresse à toute personne physique ou morale en raison d’un manquement aux obligations prévues aux dispositions du présent Code.

Lorsque les prestataires de services de confiance qualifiés et non qualifiés informent préalablement leurs utilisateurs des limites qui existent à l’utilisation des services qu’ils fournissent et que ces limites peuvent être reconnues par des tiers, ils ne peuvent être tenus responsables des dommages découlant de l’utilisation desdits services au-delà des limites ainsi définies.

Il incombe à la personne physique ou morale qui invoque les dommages visés à l’Article 410, d’apporter la preuve que le prestataire de services de confiance non-qualifié a agi intentionnellement, par maladresse ou par négligence.

Un prestataire de services de confiance qualifié est présumé responsable, à moins qu’il n’apporte la preuve que les dommages visés à l’Article 410 aient été causés sans intention, maladresse ou négligence de sa part.

En cas de doute ou de risque de violation de la confidentialité des données relatives à la signature ou au cachet électronique, ou en cas de défaut de conformité par rapport aux informations contenues dans le certificat, le titulaire est tenu de faire révoquer le certificat.

Lorsqu’un certificat est arrivé à échéance ou a été révoqué, le titulaire ne peut, après l’expiration du certificat ou après sa révocation, utiliser les données relatives à la signature pour signer ou faire certifier ces données par un autre prestataire de services de confiance.

Dès la création des données relatives à la signature ou au cachet électronique, le titulaire du certificat devient responsable de la confidentialité de ces données.

A la demande du titulaire du certificat préalablement identifié, le prestataire de services de confiance qualifié révoque immédiatement le certificat.

Le prestataire de services de confiance qualifié doit enregistrer cette révocation dans sa base de données de certificats. Le statut de révocation du certificat est publié dans la liste visée à l’Article 399 dans les vingt-quatre heures suivant la réception de la demande.

Le prestataire de services de confiance qualifié révoque également un certificat lorsque :

• 1° le prestataire de services de confiance qualifié cesse ses activités sans qu’il n’y ait reprise de celles-ci par un autre prestataire de services de confiance garantissant un niveau de qualité et de sécurité équivalent ;
• 2° il existe des raisons sérieuses de penser que le certificat a été délivré sur la base d’informations erronées ou falsifiées, que les informations contenues dans le certificat ne sont plus valides ou que la confidentialité des données afférentes à la signature ait été violée ou risque de l’être ;
• 3° le prestataire de services de confiance est informé du décès de la personne physique ou de la dissolution de la personne morale qui en est titulaire.

Sauf en cas de décès, le prestataire de services de confiance qualifié notifie la révocation du certificat au titulaire, dans un délai d’un mois avant la révocation du certificat. La décision de révocation doit être motivée. La révocation est enregistrée dans la base de données de certificats tenue par le prestataire de services de confiance qualifié, et publiée dans la liste visée à l’Article 399.

La révocation d’un certificat est effective, définitive et opposable aux tiers à compter de la date de sa publication.

L’Organe en charge de la certification racine constitue l’autorité de certification racine en République de Djibouti.

L’Organe en charge de la certification racine est chargé des missions suivantes :

• 1° Définit les modalités de fourniture des services de certification électronique sur le territoire de la République de Djibouti ;
• 2° Octroie les autorisations d’exercice de l’activité de fournisseur de services de certification électronique sur le territoire de la République de Djibouti ;
• 3° Contrôle le respect par les fournisseurs de services de certification électronique des dispositions de la présente loi et de ses textes d’applications ;
• 4° Conclut les conventions de reconnaissance mutuelle des services de certification électronique avec les autorités étrangères ;
• 5° Emet, délivre et conserve les certificats électroniques relatifs aux agents publics habilités à effectuer des échanges électroniques, étant entendu que ces opérations peuvent être effectuées directement ou à travers des fournisseurs de services de certification électronique ;
• 6° Participe à la sécurisation des transactions et des échanges électroniques, notamment en participant aux activités de recherche, de formation et d’étude ;
• 7° Participe à toute activité qui lui a été confiée par le Ministère chargé de l’économie numérique en rapport avec son champ d’intervention ;
• 8° Toutes questions relatives au développement des moyens ou prestations de cryptologie de nature civile ;

Les dispositions du présent article peuvent être précisées par décret en Conseil des Ministres sur proposition du ministère en charge de l’économie numérique

Exercice des missions de l’Organe en charge de la certification racine

En l’absence de création d’une entité distincte, le Ministère en charge de l’économie numérique assure les missions de l’Organe en charge de la certification racine.

L’autorité de contrôle des services de confiance qualifiés et non qualifiés en République de Djibouti est l’Organe en charge de la certification racine.

Dans le cadre de ses prérogatives de contrôle, l’Organe en charge de la certification racine a notamment la possibilité de :

• 1° accorder le statut « qualifié » aux prestataires de services de confiance et aux services qu’ils fournissent et retirer ce statut conformément aux dispositions du présent Code ;
• 2° informer les autorités compétentes de ses décisions d’accorder ou de retirer le statut « qualifié » ;
• 3° analyser les rapports d’évaluation de conformité des prestataires de services de confiance qualifiés ;
• 4° procéder, notamment via un organisme d’évaluation de conformité, à des audits et des évaluations de conformité des prestataires de services de confiance qualifiés
• 5° informer, le cas échéant, les autres organes de contrôle et le public de toute atteinte à la sécurité ou perte d’intégrité ;
• 6° exiger que les prestataires de services de confiance corrigent tout manquement aux obligations prévues au présent Code ;
• 7° vérifier l’existence et la bonne application des dispositions relatives aux plans d’arrêt d’activité lorsque le prestataire de services de confiance qualifié cesse ses activités, y compris la façon dont les informations restent accessibles.

Tous les douze mois les prestataires de services de confiance qualifiés transmettent un rapport d’évaluation de conformité de leurs activités au présent Code à l’Organe en charge de la certification racine.

Les prestataires de services de confiance qualifiés font l’objet, au moins tous les vingt-quatre mois, d’un audit effectué à leurs frais par un organisme d’évaluation de la conformité.

L’objet de cet audit est de confirmer que lesdits prestataires et les services qu’ils fournissent remplissent les exigences fixées par le présent livre.

Audit et évaluation ponctuels des prestataires de services de confiance

Sans préjudice des dispositions de l’article précédent, l’Organe en charge de la certification racine peut à tout moment soumettre les prestataires de services de confiance qualifiés à un audit ou demander à un organisme d’évaluation de la conformité de procéder à une évaluation de la conformité des prestataires de services de confiance qualifiés, aux frais de ces derniers, afin de s’assurer que lesdits prestataires et les services qu’ils fournissent remplissent les exigences fixées par le présent livre.

Les contrôles ponctuels de conformité effectués par l’Organe en charge de la certification racine ne peuvent être abusifs et doivent être justifiés au regard de la situation du prestataire de services de confiance qualifié et des éléments le concernant dont elle dispose.

Lorsque l’Organe en charge de la certification racine exige du prestataire de services de confiance qualifié la correction d’un manquement aux exigences prévues par le présent Code et que le prestataire n’agit pas en conséquence, cette dernière a la possibilité, en tenant compte de l’ampleur, de la durée et des conséquences du manquement, de saisir la juridiction compétente, notamment afin de :

• 1° faire cesser la délivrance de certificats qualifiés par le prestataire de services de confiance ;
• 2° obliger le prestataire de services de confiance à informer immédiatement les titulaires des certificats qualifiés qu’il a délivrés, de leur non-conformité aux dispositions du présent Code.

Lorsque l’Organe en charge de la certification racine exige du prestataire de services de confiance la correction d’un manquement aux exigences prévues par le présent Code et que le prestataire n’agit pas en conséquence, cette dernière a la possibilité, en tenant compte de l’ampleur, de la durée et des conséquences du manquement, de retirer la déclaration du prestataire de services de confiance concerné. Le cas échéant, l’Organe en charge de la certification racine informe le prestataire de services de confiance du retrait de sa déclaration.

Lorsque l’Organe en charge de la certification racine exige du prestataire de services de confiance qualifié la correction d’un manquement aux exigences prévues par le présent Code et que le prestataire n’agit pas en conséquence, cette dernière a la possibilité, en tenant compte de l’ampleur, de la durée et des conséquences du manquement, de retirer le statut qualifié du prestataire de services de confiance concerné.

Le cas échéant, l’Organe en charge de la certification racine met à jour la liste des prestataires de services de confiance qualifiés visée à l’Article 399 et informe le prestataire de services de confiance du retrait de son statut qualifié.

Est puni d’une peine de 3 à 5 mois d’emprisonnement et d’une amende de 350.000 DJF à 7.000.000 DJF ou de l’une de ces peines seulement, quiconque aura usurpé la qualité de prestataire de services de confiance.

Les peines prévues à l’alinéa premier sont portées au double en cas d’usurpation de la qualité de prestataire de services de confiance qualifié.

En condamnant du chef d’infraction visé au premier alinéa, la juridiction compétente peut ordonner l’insertion du jugement, intégralement ou par extraits, dans un ou plusieurs journaux, dans les conditions qu’elle détermine, aux frais de la personne condamnée.

L’effet juridique d’une signature électronique qualifiée est équivalent à celui d’une signature manuscrite.

L’effet juridique et la recevabilité d’une signature électronique comme preuve en justice ne peuvent être refusés au seul motif que cette signature se présente sous une forme électronique ou qu’elle ne satisfait pas aux exigences de la signature électronique qualifiée.

Une signature électronique avancée satisfait aux exigences suivantes :

• 1° être liée au signataire de manière univoque ;
• 2° permettre d’identifier le signataire ;
• 3° avoir été créée à l’aide de données de création de signature électronique que le signataire peut, avec un niveau de confiance élevé fixé par l’Organe en charge de la certification racine, utiliser sous son contrôle exclusif ;
• 4° être liée aux données associées à cette signature de telle sorte que toute modification ultérieure des données soit détectable.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministre chargé de l’économie numérique.

Une signature électronique qualifiée satisfait aux exigences suivantes :

• 1° satisfaire aux exigences applicables aux signatures électroniques avancées ;
• 2° être créée au moyen d’un dispositif qualifié de création de signatures électroniques ;
• 3° avoir reçu un certificat qualifié de signature électronique délivré par un prestataire de services de confiance qualifié.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministre chargé de l’économie numérique.

Exigences applicables aux dispositifs de création de signature électronique

Le dispositif de création de signature électronique doit permettre de :

• 1° conserver et utiliser la clé privée au moyen de tout procédé de sécurisation fiable ;
• 2° cacher la clé privée après chaque utilisation.

Exigences applicables aux dispositifs qualifiés de création de signature électronique

Les dispositifs qualifiés de création de signature électronique doivent répondre aux exigences suivantes :

• 1° garantir, par des moyens techniques et des procédures appropriées, que les données de création de signatures électroniques utilisées :
• a. sont confidentielles ;
• b. ne peuvent être établies qu’une seule fois ;
• c. ne peuvent être identifiées par déduction ;
• d. peuvent être protégées de manière fiable par le signataire contre toute utilisation de tiers ;
• 2° protéger la signature électronique de manière fiable, par tout moyen technique disponible, contre toute falsification ;
• 3° ne pas modifier les données à signer et ne pas empêcher la présentation de ces données au signataire avant la signature.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministre chargé de l’économie numérique.

Certification des dispositifs qualifiés de création de signature électronique qualifiée

La conformité des dispositifs qualifiés de création de signature électronique avec les exigences fixées par l’Article 430 est certifiée par l’autorité visée à l’Article 415.

Cette certification est fondée sur l’un des éléments suivants :

• 1° un processus d’évaluation de la sécurité mis en œuvre par l’autorité visée à l’Article 415 ; ou
• 2° tout autre processus, à condition qu’il recourt à des niveaux de sécurité comparables. Ledit processus ne peut être utilisé qu’en l’absence du processus visé au point 1° ou lorsqu’un tel processus est en cours.

La création de signature électronique doit utiliser un dispositif comprenant une paire de clés composée d’une clé privée et d’une clé publique, selon les principes de la cryptographie asymétrique.

Les clés de chiffrement doivent, en tenant compte du progrès technique, être conformes :

• 1° aux normes en vigueur en la matière ;
• 2° aux conditions des algorithmes de création et de vérification de la signature définie au cahier des charges des prestataires de services de confiance qualifiés.

Une paire de clé est unique, personnelle, non-cessible et non-transférable.

La personne ayant émis la paire de clés transmet la clé publique à l’Organe en charge de la certification racine, qui tient à la disposition de tous un registre des clés publiques.

Exigences applicables aux certificats qualifiés de signature électronique

Un certificat de signature électronique est qualifié lorsqu’il contient :

• 1° une mention expresse indiquant que le certificat délivré est un certificat qualifié de signature électronique ;
• 2° l’ensemble de données représentant sans ambiguïté le prestataire de services de confiance qualifié délivrant les certificats qualifiés ;
• 3° le nom du signataire ;
• 4° les données de validation de la signature électronique correspondant aux données de création de la signature électronique ;
• 5° les dates et/ou heures de début et de fin de validité du certificat ;
• 6° le Code d’identification du certificat, qui doit être unique pour le prestataire de services de confiance qualifié ;
• 7° la signature électronique qualifiée du prestataire de services de confiance qualifié délivrant le certificat ;
• 8° l’endroit où peut être obtenu gratuitement le certificat sur lequel repose la signature électronique qualifiée du prestataire de services de confiance qualifié délivrant le certificat et contenant la clé publique complémentaire de la clé privée utilisée par ce prestataire de services pour signer ;
• 9° l’emplacement des services qui peuvent être utilisés pour connaître le statut de validité du certificat qualifié ;
• 10° une mention expresse indiquant si les données de création de la signature électronique associées aux données de validation de la signature électronique se trouvent dans un dispositif qualifié de création de signature électronique.

Les exigences suivantes peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministre chargé de l’économie numérique.

Le prestataire de services de confiance vérifie que :

• 1° l’utilisateur éventuel détient une clé privée capable de créer une signature électronique ;
• 2° cette clé privée est complémentaire de la clé publique devant être signalée dans le certificat devant être émis ;
• 3° la clé publique indiquée dans le certificat de signature électronique est capable de vérifier une signature électronique à laquelle est apposée la clé publique.

Le prestataire de services de confiance qualifié délivre les certificats de signature électronique après s’être conformé à la procédure de vérification, et après avoir remis à l’utilisateur les informations nécessaires à l’utilisation correcte et sûre de ses services, à savoir :

• 1° les conditions contractuelles de délivrance d’un certificat ;
• 2° les obligations pesant sur le titulaire du certificat et le prestataire de services de confiance qualifié ;
• 3° les modalités et les conditions précises d’utilisation des certificats, y compris les limites imposées à leur utilisation ;
• 4° les procédures de réclamation et de règlement des litiges.

Ces informations doivent être approuvées, au préalable, par l’Organe en charge de la certification racine.

Les certificats sont transmis à l’Organe en charge de la certification racine pour inscription sur le registre des clés publiques.

Un certificat de signature électronique est renouvelé sur demande de son titulaire, transmise par écrit à l’Organe en charge de la certification racine par le prestataire de services de confiance qualifié dans les deux mois précédant la fin de la période de validité dudit certificat.

A la demande du titulaire du certificat de signature électronique préalablement identifié, le prestataire de services de confiance qualifié révoque immédiatement le certificat.

Le prestataire de services de confiance qualifié doit enregistrer cette révocation dans sa base de données de certificats. Le statut de révocation du certificat est publié dans la liste visée à l’Article 399 dans les vingt-quatre heures suivant la réception de la demande.

Le prestataire de services de confiance qualifié révoque également un certificat lorsque :

• 1° la validité du certificat expire et le titulaire du certificat ne donne pas suite à la notification d’approche d’expiration du prestataire de services de confiance qualifié ;
• 2° le certificat a été délivré sur la base d’informations erronées ou falsifiées ;
• 3° les informations contenues dans le certificat ne sont plus conformes à la réalité ;
• 4° la confidentialité des données à caractère personnel du certificat a été violée ;
• 5° le certificat a été utilisé frauduleusement ;
• 6° le titulaire décède ou la personne morale est dissoute.

Sauf en cas de décès, le prestataire de services de confiance qualifié notifie la révocation du certificat au titulaire, dans un délai d’un mois avant la révocation du certificat. La décision de révocation doit être motivée et enregistrée dans la base de données de certificats tenue par le prestataire de services de confiance qualifié et publiée dans la liste visée à l’Article 399.

La révocation d’un certificat est effective, définitive et opposable aux tiers à compter de la date de sa publication.

Certificats de signature électronique délivrés par des prestataires de services de confiance étrangers

Un certificat de signature électronique qualifié hors du territoire national, en vertu du droit du lieu où il a été émis, produit en République de Djibouti les mêmes effets juridiques qu’un certificat de signature électronique qualifié conformément aux dispositions du présent titre, sous réserve que ce droit ne présente pas de garanties inférieures à celles prévues dans le Livre Quatrième.

Exigences relatives à la validation des signatures électroniques qualifiées

Le processus de validation d’une signature électronique qualifiée confirme la validité d’une signature électronique qualifiée, à condition que :

• 1° le certificat sur lequel repose la signature ait été, au moment de la signature, un certificat qualifié de signature électronique conforme aux exigences prévues par le Livre Quatrième ;
• 2° le certificat qualifié ait été délivré par un prestataire de services de confiance qualifié et était valide au moment de la signature ;
• 3° les données de validation de la signature correspondent aux données communiquées à la personne concernée ;
• 4° l’ensemble unique de données représentant le signataire dans le certificat soit correctement fourni à la personne concernée ;
• 5° l’utilisation d’un pseudonyme soit clairement indiquée, si un pseudonyme a été utilisé au moment de la signature ;
• 6° la signature électronique ait été créée par un dispositif de création de signature électronique qualifié ;
• 7° l’intégrité des données signées n’ait pas été compromise ;
• 8° la signature électronique respecte l’ensemble des exigences prévues au présent titre.

Le système utilisé pour valider la signature électronique qualifiée fournit à l’utilisateur le résultat exact du processus de validation et permet à celui-ci de détecter tout problème de sécurité.

Services de validation qualifiés des signatures électroniques qualifiées

Un service de validation qualifié des signatures électroniques qualifiées ne peut être fourni que par un prestataire de services de confiance qualifié qui :

• 1° fournit une validation conformément aux exigences légales et réglementaires applicables à la validation des signatures électroniques qualifiées ;
• 2° permet aux utilisateurs de recevoir le résultat du processus de validation d’une manière automatisée, fiable, efficace et portant la signature électronique avancée ou le cachet électronique avancé du prestataire qui fournit le service de validation qualifié.

Exigences relatives aux services de conservation qualifiés des signatures électroniques

Un service de conservation qualifié des signatures électroniques ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des signatures électroniques qualifiées audelà de la période de validité technologique.

L’effet juridique et la recevabilité d’un cachet électronique ne peuvent être refusés au seul motif que ce cachet se présente sous forme électronique ou qu’il ne satisfait pas aux exigences du cachet électronique qualifié.

Un cachet électronique qualifié bénéficie d’une présomption d’intégrité des données et d’exactitude de l’origine des données auxquelles il est lié. Le cachet électronique qualifié a un effet juridique équivalent à un cachet manuscrit.

Lorsqu’un cachet électronique est exigé pour utiliser un service public en ligne, sont reconnus les cachets électroniques avancés et les cachets électroniques qualifiés.

L’utilisation des cachets électroniques dans le secteur public peut être soumise à des exigences supplémentaires, fixées par décret pris en Conseil des Ministres, sur proposition du Ministre chargé de l’économie numérique. Ces exigences doivent être objectives, transparentes, proportionnées et non-discriminatoires.

Un cachet électronique avancé satisfait aux exigences suivantes :

• 1° être lié au créateur du cachet de manière univoque ;
• 2° permettre d’identifier le créateur du cachet ;
• 3° avoir été créé l’aide de données de création de cachet électronique que le créateur du cachet peut, avec un niveau de confiance élevé, utiliser sous son contrôle pour créer un cachet électronique ;
• 4° être lié aux données auxquelles il est associé de sorte que toute modification ultérieure des données soit détectable.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministère en charge de l’économie numérique.

Un cachet électronique qualifié satisfait aux exigences suivantes :

• 1° satisfaire aux exigences applicables aux cachets électroniques avancés ;
• 2° être créé l’aide d’un dispositif de création de cachet électronique qualifié ;
• 3° reposer sur un certificat qualifié de cachet électronique.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministre chargé de l’économie numérique.

Les certificats qualifiés de cachet électronique doivent satisfaire aux exigences fixées par décret pris en Conseil des Ministres, sur proposition du Ministère chargé de l’économie numérique. Ils ne font l’objet d’aucune exigence obligatoire allant au-delà des exigences ainsi fixées.

Le prestataire de services de confiance délivre les certificats de cachet électronique après

1. S’être conformé à la procédure de vérification correspondante au type de cachet électronique, qualifiée ou non qualifiée ;

2. Avoir remis à l’utilisateur les informations nécessaires à l’utilisation conforme et sécurisée de ses services de confiance, qui doivent être approuvées au préalable par l’Organe en charge de la certification racine. Les informations contiennent à minima :

• Les conditions contractuelles de délivrance d’un certificat ;
• Les obligations pesant sur le prestataire de services de confiance et sur le titulaire du certificat ;
• Les modalités et les conditions précises d’utilisation des certificats ;
• Les procédures de réclamation et de règlement des litiges.

Les certificats sont ensuite transmis à l’Organe en charge de la certification racine pour inscription sur le registre des clés publiques.

Le renouvellement du certificat de cachet électronique s’effectue sur demande de son titulaire adressée à l’Organe en charge de la certification racine par le prestataire de services de confiance dans les trois mois précédant la fin de validité du certificat.

A la demande du titulaire du certificat qualifié de cachet électronique préalablement identifié, le prestataire de services de confiance qualifié révoque immédiatement le certificat.

Le prestataire de services de confiance qualifié doit enregistrer cette révocation dans sa base de données de certificats. Le statut de révocation du certificat est publié dans la liste visée à l’Article 399 dans les vingt-quatre heures suivant la réception de la demande.

Le prestataire de services de confiance qualifié révoque également un certificat lorsque :

• 1° le prestataire de services de confiance qualifié cesse ses activités sans qu’il n’y ait reprise de celles-ci par un autre prestataire de services de confiance garantissant un niveau de qualité et de sécurité équivalent ;
• 2° il existe des raisons sérieuses de penser que le certificat a été délivré sur la base d’informations erronées ou falsifiées, que les informations contenues dans le certificat ne sont plus valides, que la confidentialité des données afférentes au cachet électronique ait été violée ou risque de l’être ou que le certificat qualifié a été utilisé frauduleusement ;
• 3° le prestataire de services de confiance est informé du décès de la personne physique ou de la dissolution de la personne morale qui en est titulaire.

Sauf en cas de décès, le prestataire de services de confiance qualifié notifie la révocation du certificat au titulaire, dans un délai d’un mois avant la révocation du certificat. La décision de révocation doit être motivée et enregistrée dans la base de données de certificats tenue par le prestataire de services de confiance qualifié et publiée dans la liste visée à l’Article 399.

La révocation d’un certificat est effective, définitive et opposable aux tiers à compter de la date de sa publication.

Les dispositifs de création de cachets électroniques qualifiés respectent les exigences définies par décret pris en Conseil des Ministres, sur proposition du Ministre chargé de l’économie numérique. Cette certification est fondée sur l’un des éléments suivants :

• un processus d’évaluation de la sécurité mis en œuvre par l’Organe en charge de la certification racine ; ou
• tout autre processus, à condition qu’il recourt à des niveaux de sécurité comparables. Ce processus ne peut être utilisé qu’en l’absence d’un processus d’évaluation de la sécurité mis en œuvre par l’Organe en charge de la certification racine, ou lorsqu’un tel processus est en cours.

Le processus de validation d’un cachet électronique qualifié confirme la validité de ce dernier, à condition que :

• 1° le certificat sur lequel repose le cachet ait été, au moment du cachet, un certificat qualifié de cachet électronique conforme aux exigences prévues par voie réglementaire ;
• 2° le certificat qualifié ait été délivré par un prestataire de services de confiance qualifié et était valide au moment du cachet ;
• 3° les données de validation du cachet correspondent aux données communiquées à la personne concernée ;
• 4° l’ensemble unique des données dans le certificat soit correctement fourni à la personne concernée ;
• 5° l’utilisation d’un pseudonyme soit clairement indiquée, si un pseudonyme a été utilisé au moment du cachet ;
• 6° le cachet électronique ait été créé par un dispositif de création de cachet électronique qualifié ;
• 7° l’intégrité des données n’ait pas été compromise ;
• 8° le cachet électronique respecte l’ensemble des exigences prévues au présent Titre.

Le système utilisé pour valider le cachet électronique qualifié fournit à l’utilisateur le résultat exact du processus de validation et permet à celui-ci de détecter tout problème de sécurité.

Un service de validation des cachets électroniques qualifiés ne peut être fourni que par un prestataire de services de confiance qualifié qui :

• 1° fournit une validation conformément aux exigences légales et réglementaires applicables à la validation des cachets électroniques qualifiés ; et
• 2° permet aux utilisateurs de recevoir le résultat du processus de validation d’une manière automatisée, fiable, efficace et portant la signature électronique avancée ou le cachet électronique avancé du prestataire qui fournit le service de validation.

Exigences relatives aux services de conservation qualifiés des cachets électroniques qualifiés

Un service de conservation qualifié des cachets électroniques qualifiés ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des cachets électroniques qualifiés au-delà de la période de validité technologique.

L’identification électronique est obligatoire pour toutes les institutions publiques, afin d’identifier les administrés et de faciliter la circulation des données et les services publics et parapublics.

L’effet juridique et la recevabilité d’un horodatage électronique ne peuvent être refusés comme preuve au seul motif que l’horodatage se présente sous forme électronique ou qu’il ne satisfait pas aux exigences de l’horodatage électronique qualifié.

Un horodatage électronique qualifié bénéficie d’une présomption d’exactitude de la date et de l’heure qu’il indique et d’intégrité des données auxquelles se rapportent ces dates et heures. L’horodatage électronique qualifié a un effet juridique équivalent à un horodatage manuscrit.

Tout horodatage électronique qualifié doit satisfaire aux exigences suivantes :

• 1° lier la date et l’heure aux données de manière à exclure la possibilité d’une modification indétectable de ces données ;
• 2° être fondé sur une horloge exacte liée au temps universel coordonné ; et
• 3° être signé au moyen d’une signature électronique avancée ou cacheté au moyen d’un cachet électronique avancé du prestataire de services de confiance qualifié, ou par une méthode équivalente.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministère chargé de l’économie numérique.

L’archivage électronique consiste à mettre en place des actions, outils et méthodes afin de conserver des données, documents et informations en vue d’une utilisation ultérieure.

Les données concernées doivent être structurées, indexées et conservées sur des formats appropriés à la conservation et à la migration.

L’archivage doit garantir dans leur intégrité, la restitution des données conservées ou leur accessibilité dans un contexte technologique changeant.

Les règles de l’archivage électronique s’appliquent indifféremment aux documents numérisés et aux documents conçus initialement sur support électronique.

La conservation de documents électroniques archivés satisfait aux exigences suivantes :

• 1° l’information que contient le document est accessible et consultable ultérieurement ;
• 2° le document est conservé sous la forme sous laquelle il a été créé, envoyé ou reçu, ou sous une forme dont on peut démontrer qu’elle n’est susceptible ni de modification, ni d’altération de son contenu, et que le document transmis et celui conservé sont strictement identiques ;
• 3° les informations qui permettent de déterminer l’origine et la destination du document, ainsi que les indications de date et d’heure de l’envoi ou de la réception doivent, le cas échéant, être conservées.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministère chargé de l’économie numérique.

Un service de coffre-fort numérique est un service qui a pour objet :

• 1° la réception, le stockage, la suppression et la transmission de données ou documents électroniques dans des conditions permettant de justifier de leur intégrité et de l’exactitude de leur origine ;
• 2° la traçabilité des opérations réalisées sur ces documents ou données et la disponibilité de cette traçabilité pour l’utilisateur ;
• 3° l’identification de l’utilisateur lors de l’accès au service par un moyen d’identification électronique ;
• 4° de garantir l’accès exclusif aux documents électroniques, données de l’utilisateur ou données associées au fonctionnement du service à cet utilisateur, aux tiers autres que le prestataire de service de coffre-fort numérique, explicitement autorisés par l’utilisateur à accéder à ces documents et données et, le cas échéant, au prestataire de service de coffre-fort numérique réalisant un traitement de ces documents ou données au seul bénéfice de l’utilisateur et après avoir recueilli son consentement ;
• 5° de donner la possibilité à l’utilisateur de récupérer les documents et les données stockées dans un standard ouvert aisément réutilisable et exploitable par un système de traitement automatisé de données, sauf dans le cas des documents initialement déposés dans un format non ouvert ou non aisément réutilisable qui peuvent être restitués dans leur format d’origine, dans des conditions définies par décret pris en Conseil des Ministres, sur proposition du Ministre chargé de l’économie numérique.

Obligation d’information sur les modalités de fonctionnement et d’utilisation du service de coffre-fort numérique

Le fournisseur d’un service de coffre-fort numérique est tenu à une obligation d’information claire, loyale et transparente sur les modalités de fonctionnement et d’utilisation du service, préalable à la conclusion d’un contrat.

Avant que l’utilisateur ne soit lié par un contrat de fourniture de service de coffre-fort numérique, le fournisseur du service lui communique, de manière lisible et compréhensible, les informations suivantes :

• 1° le type d’espace mis à sa disposition et les conditions d’utilisation associées ;
• 2° les mécanismes techniques utilisés ;
• 3° la politique de confidentialité ;
• 4° l’existence et les modalités de mise en œuvre des garanties de bon fonctionnement.

Ces informations sont également mises à disposition en ligne et, le cas échéant, mises à jour.

Exigences applicables à la conservation de données dans un coffre-fort numérique

L’intégrité, la disponibilité et l’exactitude de l’origine des données et documents stockés dans le coffre-fort numérique sont garanties par des mesures de sécurité adaptées et conformes aux exigences précisées par décret pris en Conseil des Ministres sur proposition du Ministre chargé de l’économie numérique.

Traçabilité des opérations sur les données stockées dans le coffre-fort numérique

La traçabilité des opérations réalisées sur les données et documents stockés dans le coffre-fort numérique et la disponibilité de cette traçabilité pour l’utilisateur requièrent au minimum la mise en œuvre des mesures suivantes :

• 1° l’enregistrement et l’horodatage des accès et tentatives d’accès ;
• 2° l’enregistrement des opérations affectant le contenu ou l’organisation des données et documents de l’utilisateur ;
• 3° l’enregistrement des opérations de maintenance affectant les données et documents stockés dans le coffre-fort numérique.

Les durées de conservation de ces données de traçabilité constituent une mention obligatoire du contrat de fourniture de service de coffre-fort électronique.

L’identification de l’utilisateur lors de l’accès au service de coffre-fort numérique est assurée par un moyen d’identification électronique adapté aux enjeux de sécurité du service.

Avant que l’utilisateur ne conclue un contrat de fourniture de service de coffre-fort numérique, le fournisseur du service lui communique, de manière lisible et compréhensible, les modalités de l’opération de récupération de documents ou de données. A cette fin, il précise les informations suivantes :

• 1° les opérations techniques que l’utilisateur doit conduire pour la récupération des documents et données, les caractéristiques techniques du format du fichier de récupération ainsi que le délai de récupération ;
• 2° les conditions dans lesquelles le fournisseur du service de coffre-fort numérique peut être amené à procéder à une transformation du format dans lequel les documents et données ont été déposés ;
• 3° les frais éventuels exigibles.

Dans le cadre du processus de souscription, il recueille le consentement explicite de l’utilisateur à ces conditions, lesquelles sont mises en ligne de façon aisément accessible.

Pendant toute la durée du contrat de service de fourniture du coffre-fort numérique, l’utilisateur peut exercer à tout moment et à titre gratuit son droit à la récupération des documents et données, sans restriction sur le nombre d’opérations de récupération. Lorsque les demandes de récupération de l’utilisateur sont manifestement excessives, notamment en raison de leur caractère abusivement répétitif, le fournisseur du service de coffre-fort numérique peut :

• 1° exiger le paiement de frais raisonnables qui tiennent compte des coûts supportés pour organiser la récupération des documents et données demandées ; ou
• 2° refuser de donner suite à ces demandes.

Les dispositifs permettant à l’utilisateur d’un service de coffre-fort numérique de récupérer les documents et les données qui y sont stockés offrent la possibilité d’exercer cette récupération :

• 1° par voie de communication électronique, et par une requête unique, de façon simple et sans manipulation complexe ou répétitive ;
• 2° dans un format électronique ouvert, structuré, couramment utilisé, aisément réutilisable et exploitable par un système de traitement automatisé de données, sauf dans le cas des documents initialement déposés dans un format non ouvert qui peuvent être restitués dans leur format d’origine.

Le fournisseur du service de coffre-fort numérique prend toutes les mesures nécessaires, notamment en termes de protocoles de communication et d’interfaces de programmation, afin que l’opération de récupération s’effectue de façon complète, intègre et dans un délai raisonnable. Il veille à ce que la mise en œuvre de cette fonctionnalité de récupération s’opère sans collecte de sa part d’informations confidentielles ou de données à caractère personnel concernant l’utilisateur du service, autres que celles indispensables à la bonne exécution de l’opération de récupération.

Les dispositifs permettant à l’utilisateur d’un service de coffre-fort numérique de récupérer les documents et données qui y sont stockés assurent un niveau d’intégrité et de confidentialité des documents et données au moins équivalent à celui des fonctions permettant la réception, le stockage, la suppression et la transmission de données.

Le fournisseur du service de coffre-fort numérique doit informer l’utilisateur au moins trois mois à l’avance de la suspension ou de la fermeture du service afin de lui permettre de récupérer les documents et donnés stockés dans son coffre-fort numérique.

En l’absence d’information préalable sur une suspension ou une fermeture de service, ou lorsque, quelle qu’en soit la raison, l’utilisateur cesse durablement d’être en mesure d’accéder au service de coffre-fort numérique, les dispositifs de récupération des documents et données restent disponibles et utilisables pendant une durée minimale de douze mois à compter de la date à laquelle cette cessation d’accès au service est intervenue.

L’effet juridique et la recevabilité des données envoyées et reçues à l’aide d’un service d’envoi recommandé électronique ne peuvent être refusés au seul motif que ce service se présente sous une forme électronique ou qu’il ne satisfait pas aux exigences du service d’envoi recommandé électronique qualifié.

Les données envoyées et reçues au moyen d’un service d’envoi recommandé électronique qualifié bénéficient d’une présomption quant à l’intégrité des données, à l’envoi de ces données par l’expéditeur identifié et à leur réception par le destinataire identifié, et à l’exactitude de la date et de l’heure de l’envoi et de la réception indiquées par le service d’envoi recommandé électronique qualifié.

Le recommandé électronique qualifié a un effet juridique équivalent à un envoi recommandé manuscrit.

Dans le cas où le destinataire n’est pas un professionnel, celui-ci doit avoir exprimé à l’expéditeur son consentement à recevoir des envois recommandés électroniques.

Le prestataire de service d’envoi recommandé électronique qualifié ou non qualifié peut proposer que le contenu de l’envoi soit imprimé sur papier puis acheminé au destinataire.

Le prestataire de service d’envoi recommandé électronique qualifié ou non qualifié délivre à l’expéditeur une preuve du dépôt électronique de l’envoi.

Cette preuve de dépôt comporte les informations suivantes :

• 1° le nom et le prénom ou la raison sociale du destinataire ainsi que son adresse électronique ;
• 2° un numéro d’identification unique de l’envoi attribué par le prestataire ;
• 3° la date et l’heure du dépôt électronique de l’envoi indiquées par un horodatage électronique qualifié ;
• 4° la signature électronique avancée ou le cachet électronique utilisé par le prestataire lors de l’envoi.

Le prestataire de service d’envoi recommandé électronique qualifié ou non qualifié informe le destinataire, par voie électronique, qu’un recommandé électronique lui est destiné et qu’il a la possibilité, pendant un délai de quinze jours à compter du lendemain de l’envoi de cette information, d’accepter ou non sa réception.

Le destinataire n’est pas informé de l’identité de l’expéditeur du recommandé électronique qualifié ou non qualifié.

En cas d’acceptation par le destinataire du recommandé électronique, le prestataire de service d’envoi recommandé électronique qualifié ou non qualifié procède à sa transmission.

Outre les informations mentionnées dans la preuve de dépôt, la preuve de réception comporte la date et l’heure de réception de l’envoi, indiquées par un horodatage électronique qualifié.

En cas de refus de réception ou de non-réclamation par le destinataire, le prestataire met à disposition de l’expéditeur, au plus tard le lendemain de l’expiration du délai de quinze jours, une preuve de ce refus ou de cette non-réclamation.

Outre les informations mentionnées dans la preuve de dépôt, la preuve de refus précise la date et l’heure du refus telles qu’indiquées par un horodatage électronique qualifié.

Le prestataire de service d’envoi recommandé électronique qualifié ou non qualifié doit conserver les preuves de dépôt et de remise du recommandé électronique pour une durée qui ne peut être inférieure à un an.

Le prestataire de service d’envoi recommandé électronique qualifié ou non qualifié doit conserver la preuve de refus ou de non-réclamation du destinataire pour une durée qui ne peut être inférieure à un an.

Exigences applicables aux services d’envoi recommandé électronique qualifiés

Les services d’envoi recommandé électronique qualifiés doivent satisfaire aux exigences suivantes :

• 1° ils sont fournis par un ou plusieurs prestataires de services de confiance qualifiés ;
• 2° ils garantissent l’identification de l’expéditeur avec un degré de confiance élevé ;
• 3° ils garantissent l’identification du destinataire avant la fourniture des données ;
• 4° l’envoi et la réception de données sont sécurisés par une signature électronique avancée ou par un cachet électronique avancé d’un prestataire de services de confiance qualifié, de manière à exclure toute possibilité de modification indétectable des données ;
• 5° toute modification des données nécessaire pour l’envoi ou la réception de celles-ci est clairement signalée à l’expéditeur et au destinataire des données ;
• 6° la date et l’heure d’envoi, de réception et toute modification des données sont indiquées par un horodatage électronique qualifié.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministère chargé de l’économie numérique.

Dans le cas où les données sont transférées entre deux prestataires de services de confiance qualifiés ou plus, les exigences fixées aux points 1 à 6 s’appliquent à tous les prestataires de services de confiance qualifiés.

Exigences applicables aux certificats qualifiés d’authentification de sites Internet

L’authentification d’un site internet est assurée à travers un certificat qualifié d’authentification dudit site. Un tel certificat permet de s’assurer de la véracité du site internet et de l’associer à la personne physique ou morale à laquelle le certificat est délivré. Il ne peut être délivré que par un prestataire de services de confiance qualifié.

Les certificats qualifiés d’authentification de sites internet doivent satisfaire aux exigences suivantes :

• 1° une mention indiquant au moins sous une forme adaptée au traitement automatisé, que le certificat a été délivré comme certificat qualifié d’authentification de sites Internet ;
• 2° un ensemble de données identifiant sans ambiguïté le prestataire de services de confiance qualifié qui a délivré les certificats qualifiés, comprenant au moins sa raison sociale et/ou sa dénomination sociale, ainsi que son adresse exacte ;
• 3° pour les personnes physiques, au moins le nom, le prénom et l’adresse de la personne à qui le certificat est délivré ;
• 4° pour les personnes morales, au moins la raison sociale, la dénomination sociale et l’adresse du siège de la personne morale à laquelle le certificat est délivré ;
• 5° le(s) nom(s) de domaine exploité(s) par la personne physique ou morale à laquelle le certificat est délivré ;
• 6° toute information utile sur le début et la fin de la période de validité du certificat ;
• 7° le Code d’identité du certificat, qui est unique pour le prestataire de services de confiance qualifié ;
• 8° la signature électronique avancée ou le cachet électronique avancé du prestataire de services de confiance qualifié délivrant le certificat, ainsi que l’adresse où ils peuvent être vérifiés ;
• 9° l’emplacement des services de statut de validité des certificats qui peuvent être utilisés pour connaître le statut de validité du certificat qualifié.

Ces exigences peuvent être complétées par décret pris en Conseil des Ministres, sur proposition du Ministère chargé de l’économie numérique.

Des mesures restreignant, au cas par cas, le libre exercice des activités encadrées par les dispositions du présent livre peuvent être prises par toute autorité gouvernementale, administrative ou judiciaire, lorsqu’il est porté atteinte ou qu’il existe un risque sérieux et grave d’atteinte au maintien de l’ordre ou de la sécurité publique, à la protection des personnes, à la protection des mineurs, à la santé publique ou à la préservation des intérêts de la défense nationale.