Loi n° 025/2021 du 28 décembre 2021 portant réglementation des transactions électroniques en République Gabonaise

L’écrit sous forme électronique est admis comme preuve au même titre que l’écrit sur support papier et a la même force probante que celui-ci, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans les conditions de nature à en garantir l’intégrité.

Le juge règle les conflits de preuve littérale en déterminant par tous moyens le titre le plus vraisemblable, quel qu’en soit le support lorsque la loi n’a pas fixé d’autres principes, et à défaut de convention valable entre les parties.

La copie ou toute autre reproduction d’actes passés par voie électronique a la même force probante que l’acte lui-même lorsqu’elle est certifiée conforme par l’autorité compétente conformément aux dispositions de la présente loi.

La certification donne lieu à la délivrance d’un certificat de conformité.

La signature électronique consiste en l’usage d’un procédé fiable d’identification garantissant son lien avec l’acte auquel elle s’attache.

Elle permet d’authentifier l’identité du signataire et de marquer son adhésion au contenu de l’acte.

L’acte authentique peut être dressé sous forme électronique s’il est établi et conservé dans des conditions fixées par voie réglementaire.

Nul ne peut être contraint de signer électroniquement, sauf dispositions légales contraires.

Une signature électronique ne peut être déclarée irrecevable au seul motif qu’elle :

• se présente sous forme électronique ;
• ne repose pas sur un certificat qualifié ;
• n’est pas créée par un dispositif sécurisé de création de signature.

Un dispositif de création de signature électronique ne peut être considéré comme sécurisé que s’il garantit, par des moyens techniques et des procédures appropriées, que les données de création de signature électronique :

• ne peuvent être établies plus d’une fois et que leur confidentialité est assurée ;
• ne peuvent être trouvées par déduction et que la signature électronique est protégée contre toute falsification ;
• peuvent être protégées de manière satisfaisante par le signataire contre toute utilisation par des tiers.

Un dispositif de création de signature électronique ne peut être considéré comme sécurisé que s’il n’entraine aucune modification du contenu de l’acte à signer et ne fait pas obstacle à ce que le signataire en ait une connaissance exacte avant de le signer.

Un dispositif de vérification de signature électronique permet :

• de garantir l’identité entre les données de vérification et de signature électronique utilisée et celles qui ont été portées à la connaissance du vérificateur ;
• d’assurer l’exactitude de la signature électronique ;
• de déterminer avec certitude les conditions et la durée de validité du certificat électronique utilisé ainsi que l’identité du signataire ;
• de détecter toute modification ayant une incidence sur les conditions de vérification de la signature électronique.

Le certificat électronique est délivré par un prestataire de services de certification agréé par l’autorité de régulation.

Le certificat électronique qualifié comporte les informations suivantes :

• une mention indiquant que ce certificat est délivré à titre de certificat électronique qualifié, l’identité du prestataire de services de certification électronique ainsi que l’Etat dans lequel il est établi ;
• le nom du signataire et, le cas échéant, sa qualité ;
• les données de vérification de la signature électronique correspondant aux données de création de celles-ci ;
• l’indication de la période de validité du certificat électronique ainsi que le Code d’identité de celui-ci  ;
• la signature électronique avancée du prestataire de services de certification qui délivre le certificat électronique ;
• les domaines et conditions d’utilisation du certificat électronique.

Le certificat électronique qualifié est personnel et non cessible.

Les modalités relatives à la délivrance, à la durée, au retrait et au renouvellement du certificat électronique qualifié sont fixées par voie réglementaire.

La conservation d’un document sous forme électronique peut servir de preuve aux obligations conventionnelles ou aux activités de la société de l’information, conformément aux dispositions des textes en vigueur.

Sans préjudice des dispositions de l’article 77 ci-dessus, lorsqu’une obligation de conservation d’un document est imposée, celle-ci peut être satisfaite par le recours à un procédé d’archivage électronique répondant notamment aux prescriptions suivantes :

• l’information que contient le message de données est accessible, lisible et intelligible pour être consultée ultérieurement ;
• le message de données est conservé sous la forme sous laquelle il a été créé, envoyé ou reçu ou sous une forme dont on peut démontrer qu’elle n’est susceptible ni de modification ni d’altération dans son contenu et que le document transmis et celui conservé sont strictement identiques ;
• les informations qui permettent de déterminer l’origine et la destination du message de données, ainsi que les indications de date et d’heure de l’envoi ou de la réception, sont conservées si elles existent.

Les documents conservés selon les exigences visées à l’article 78 ci-dessus sont réputés, jusqu’à inscription de faux, avoir préservé leur intégrité.

La durée de conservation des documents sous forme électronique servant de preuve aux obligations conventionnelles est de dix ans.

L’utilisation des moyens de cryptologie, la fourniture, l’importation et l’exportation des moyens de cryptologie assurant exclusivement des fonctions d’authentification ou de contrôle d’intégrité sont libres.

L’importation, l’exportation ou la fourniture de moyens de cryptologie assurant des fonctions de confidentialité sont soumises à une autorisation préalable de l’autorité de régulation et à une autorisation spéciale d’importation ou d’exportation en matière de commerce.

Les modalités de délivrance de l’autorisation sont fixées par décret pris en Conseil des Ministres sur proposition du Ministre chargé de l’Economie Numérique, après avis de l’autorité de régulation.

Le fournisseur, l’importateur ou l’exportateur tient à la disposition de l’autorité de régulation une description des caractéristiques techniques de ce moyen de cryptologie.

L’autorité de régulation publie au Journal Officiel ou dans tout autre support d’annonces légales, la liste des normes techniques internationales sur les moyens et les prestations de cryptologie reconnus au Gabon.

Les prestataires techniques de services de sécurisation des transactions électroniques comprennent notamment des prestataires de service :

• d’archivage électronique ;
• d’horodatage électronique ;
• de recommandé électronique ;
• de certification électronique ;
• de cryptologie.

Les prestataires de service de sécurisation des transactions électroniques sont soumis à une obligation d’impartialité vis-à-vis des destinataires de leurs services et des tiers.

La collecte, le stockage et le traitement des données à caractère personnel transmis aux prestataires de service de sécurisation des transactions électroniques s’effectuent dans le respect des dispositions des textes en vigueur en matière de protection des données à caractère personnel et de la vie privée.

Sans préjudice des exigences légales ou réglementaires en vigueur en matière d’information, le prestataire de services fournit au moins les informations sur :

• le fond et sur la forme, de manière claire, compréhensible et non équivoque, avant que le destinataire du service ne passe une commande par voie électronique, notamment :
• les différentes étapes techniques à suivre pour conclure le contrat ;
• les moyens techniques pour identifier et corriger des erreurs commises dans la saisie des données avant que la commande ne soit passée ;
• les langues proposées pour la conclusion du contrat ;
• les éventuels Codes de conduite ainsi que les informations relatives à leur consultation par voie électronique ;
• les clauses contractuelles et les conditions générales des contrats conclus ;
• leur accréditation auprès de l’autorité compétente, conformément aux dispositions de la présente loi.

Les dispositions de l’alinéa ci-dessus sont précisées par des textes particuliers.

Les prestataires de service sont soumis à une obligation de confidentialité. Cette obligation s’étend à leurs préposés.

Les prestataires de service sont tenus de souscrire à une assurance couvrant les risques particuliers liés à leurs domaines d’activités.

Les prestataires visés au présent chapitre font l’objet d’une accréditation auprès de l’autorité habilitée dans les conditions fixées par voie réglementaire.

Sans préjudice des textes en vigueur, le prestataire de service d’archivage électronique doit notamment se conformer aux prescriptions suivantes :

• mettre en œuvre les moyens nécessaires en vue de protéger les données qu’il conserve contre toute atteinte frauduleuse ou accidentelle ainsi que tout matériel, système de communication et support contenant les données ;
• mettre en œuvre les moyens nécessaires en vue de détecter les opérations normales ou frauduleuses effectuées sur les données et veiller dans la mesure du possible, à permettre l’identification des auteurs de telles opérations ;
• enregistrer les opérations, veiller à leur datation au moyen d’un horodatage électronique et conserver ces enregistrements pendant la durée de conservation des données concernées ;
• garantir l’accessibilité des données aux seules personnes autorisées ;
• mettre en place des procédures permettant de réagir rapidement aux incidents et d’en limiter les effets.

Le contrat d’archivage électronique ne confère au prestataire de service aucun droit sur les données conservées.

Le prestataire ne peut procéder à la destruction des données qu’avec l’accord du destinataire.

Lorsque le contrat d’archivage électronique prend fin, le prestataire de service d’archivage électronique :

• ne peut opposer à l’expéditeur, au destinataire ou au déposant du service un quelconque droit de rétention des données ;
• doit demander par envoi recommandé au destinataire de se prononcer sur le sort des données qu’il lui a confiées. En l’absence de réponse du destinataire dans les douze mois de la demande visée ci-dessus, le prestataire de service d’archivage électronique peut procéder, dans les conditions fixées par voie réglementaire, à la destruction des données, sauf interdiction expresse d’une autorité judiciaire ou administrative.

A la demande du destinataire du service, le prestataire de service, selon le cas :

• restitue au destinataire du service les données que ce dernier lui indique, sous une forme lisible et exploitable ;
• transfère les données que le destinataire lui indique à un autre prestataire en vue de la reprise du service, sous une forme lisible et exploitable convenue avec le nouveau prestataire ;
• détruit définitivement les données que le destinataire du service lui indique, de telle sorte qu’elles ne puissent être reconstituées, en tout ou partie.

Le prestataire de service ne conserve aucune copie des données restituées, transférées ou détruites, sauf demande expresse du destinataire du service ou d’une autorité administrative ou judiciaire.

La faute du prestataire de service d’archivage électronique est présumée jusqu’à preuve du contraire si les données qui lui sont confiées :

• ne sont plus lisibles pendant la durée de conservation convenue avec le destinataire du service ;
• sont modifiées ;
• ne peuvent être restituées, transférées à un prestataire ou détruites.

La datation fournie par un prestataire de service d’horodatage électronique est basée sur le temps universel coordonné et y fait expressément référence.

Le prestataire de service d’horodatage électronique doit s’assurer que la datation fournie au destinataire du service peut être vérifiée pendant une durée convenue avec lui.

Le prestataire de service d’horodatage électronique est responsable des dommages causés par une défaillance de son service.

Le prestataire de service de recommandé électronique, au moment de l’envoi du message, délivre à l’expéditeur un accusé d’envoi, muni de sa signature électronique avancée indiquant la date à laquelle le message a été envoyé au destinataire.

Le prestataire de service de recommandé électronique a l’obligation de mettre en œuvre les moyens nécessaires en vue :

• de protéger le contenu du message de l’expéditeur contre toute altération et modification ;
• de prévenir contre toute perte ou toute appropriation du message par un tiers ;
• d’assurer la confidentialité des données transférées et conservées.

Le prestataire de service de recommandé électronique vérifie l’identité du destinataire, avec ou sans accusé de réception, avant la délivrance du recommandé électronique.

A la demande de l’expéditeur, le prestataire de service de recommandé électronique lui fournit un accusé, selon le cas, de réception, de refus du message par le destinataire ou de non-délivrance.

L’accusé de réception ou de refus est signé électroniquement par le destinataire et indique la date à laquelle le message a été reçu ou refusé par celui-ci, en recourant à un procédé d’horodatage électronique.

L’accusé de non-délivrance est fourni à l’expiration d’un délai fixé par voie réglementaire.

Le prestataire de service de recommandé électronique est responsable des dommages causés par la perte, l’altération du contenu du message transmis ou son appropriation par un tiers.

Le prestataire de service de certification électronique délivre un ou plusieurs certificats à toute personne qui en fait la demande.

Le prestataire fournit un exemplaire du certificat au demandeur. Il crée et conserve un annuaire électronique comprenant les certificats qu’il délivre et leur date d’expiration.

Le prestataire satisfait notamment aux exigences suivantes :

• assurer la gestion d’un registre des certificats électroniques rapide et sécurisé au profit des personnes qui en font la demande et auxquelles un certificat électronique est délivré ;
• tenir pour les personnes morales, un registre contenant le nom et la qualité de la personne physique qui représente la personne morale et qui fait usage de la signature liée au certificat, afin qu’à chaque utilisation de cette signature l’identité de la personne physique puisse être établie ;
• assurer le fonctionnement d’un service accessible à tout moment et permettant à la personne à qui le certificat électronique a été délivré de révoquer sans délai et avec certitude ce certificat ;
• appliquer les procédures de sécurité appropriées et utiliser les systèmes et les produits garantissant la sécurité technique et cryptographique des fonctions qu’ils assurent ;
• prendre toute disposition propre à éviter la contrefaçon des certificats électroniques ;
• garantir la confidentialité des données de création de signature électronique au cours du processus de génération de ces données et s’abstenir de conserver ou de reproduire ces données dans le cas où il les fournit au signataire ;
• veiller, dans le cas où sont fournies à la fois des données de création et des données de vérification de la signature électronique, à ce que les données de création correspondent aux données de vérification ;
• conserver, sous forme électronique, toutes les informations relatives au certificat électronique qui pourraient s’avérer nécessaire pour faire la preuve en justice de la certification électronique ;
• utiliser des systèmes de conservation des certificats électroniques garantissant que l’introduction et la modification des données sont réservées aux seules personnes autorisées à cet effet par le prestataire ;
• utiliser des systèmes de conservation des certificats électroniques garantissant que l’accès du public à un certificat électronique ne peut avoir lieu sans le consentement préalable du titulaire du certificat et que toute modification de nature à compromettre la sécurité du système peut être détectée ;
• vérifier, d’une part, l’identité de la personne à laquelle un certificat électronique est délivré, en exigeant d’elle la présentation d’un document officiel d’identité et, d’autre part, la qualité dont cette personne se prévaut et conserver les caractéristiques et références des documents présentés pour justifier de cette identité et de cette qualité ;
• s’assurer au moment de la délivrance du certificat électronique que les informations qu’il contient sont exactes et que le signataire qui y est identifié détient les données de création de signature électronique correspondant aux données de vérification de signature électronique contenues dans le certificat ;
• fournir par écrit à la personne qui demande la délivrance d’un certificat électronique, avant la conclusion d’un contrat de prestation de services de certification électronique et dans une langue aisément compréhensible, les informations relatives aux modalités et conditions d’utilisation du certificat et celles afférentes aux modalités de contestation et de règlements de litiges ;
• fournir aux personnes qui se fondent sur un certificat électronique les informations prévues au tiret précédent.

Le prestataire de service qui délivre au public un certificat qualifié est responsable du préjudice causé à toute personne physique ou morale qui se fie à ce certificat.

Le prestataire de service doit indiquer, dans un certificat qualifié, les limites de son utilisation et la valeur seuil des transactions pour lesquelles le certificat peut être utilisé.

Les prestataires de services de certification électronique sont responsables du préjudice causé aux personnes de bonne foi qui se sont fiées à leurs certificats présentés comme qualifiés au sens de la présente loi.

Les prestataires de services de certification électronique doivent justifier d’une garantie financière suffisante ou d’une assurance garantissant les conséquences pécuniaires de leur responsabilité civile professionnelle.

Les prestataires ne sont pas responsables du préjudice causé par un usage du certificat dépassant les limites et valeurs des transactions arrêtées pour son utilisation, à condition que ces limites figurent dans le certificat et soient accessibles aux utilisateurs.

A la demande du titulaire du certificat, le prestataire révoque immédiatement le certificat.

Le prestataire de service doit révoquer un certificat lorsque :

• il est prouvé que le certificat a été délivré sur la base d’informations erronées ou falsifiées ;
• les informations contenues dans le certificat ne sont plus conformes à la réalité ;
• la confidentialité des données afférentes à la création de signature a été violée ;
• il cesse ses activités sans qu’il n’y ait reprise de celles-ci par un autre prestataire ;
• il est informé du décès de la personne physique ou de la dissolution de la personne morale qui en est le titulaire.

Le prestataire de service doit informer le titulaire de la révocation de son certificat en indiquant les motifs de celle-ci.

Un mois avant l’expiration d’un certificat, le prestataire de service doit en informer son titulaire.

Les autres modalités relatives à la révocation sont fixées par voie réglementaire.

Le prestataire de service de cryptologie doit être agréé par l’autorité de régulation.

Les conditions et modalités de délivrance de l’agrément ainsi que les autres obligations incombant aux prestataires sont fixées par voie réglementaire.

Le prestataire de service de cryptologie est soumis au secret professionnel.

Le prestataire de service de cryptologie est responsable du préjudice causé aux personnes leur confiant la gestion de leurs conventions secrètes, dans le cadre desdites prestations, en cas d’atteinte à l’intégrité, à la confidentialité ou à la disponibilité des données transformées à l’aide de ces conventions.

Un texte réglementaire détermine les autres conditions et modalités relatives aux prestations de cryptologie.