Loi n° 2/2017 du 10 janvier 2017 relative à la signature électronique et aux documents électroniques (Ley n° 2/2017, de fecha 10 de enero, de firma y Documentos Electrónicos)

La présente loi a pour objet de réglementer la signature électronique, sa création et sa validité juridique, ainsi que les autres documents électroniques, l’activité de prestation de services de certification et ses prestataires.

1. La présente loi s’applique aux prestataires de services de certification établis en République de Guinée Équatoriale et aux services que les prestataires accrédités ou domiciliés dans un autre État offrent par l’intermédiaire d’un établissement stable situé en République de Guinée Équatoriale, ainsi qu’à l’utilisation de la signature et des documents électroniques au sein de l’administration générale de l’État, de ses organes et organismes publics, et dans les relations que ceux-ci entretiennent entre eux et avec les particuliers.

2. Un prestataire de services de certification est réputé établi en République de Guinée Équatoriale lorsque son domicile ou son siège social se trouve sur le territoire de la République de Guinée Équatoriale, ce lieu correspondant à celui où sont effectivement centralisées la gestion administrative et la direction de ses activités. Dans le cas contraire, il est tenu compte du lieu où s’exercent ladite gestion ou ladite direction.

3. Il est considéré comme étant établi de manière permanente en République de Guinée Équatoriale lorsqu’il dispose, de manière continue et habituelle, d’installations ou d’un lieu de travail dans lesquels il exerce tout ou partie de son activité et qu’il est établi conformément à la législation en vigueur en la matière.

4. La simple utilisation de moyens technologiques situés en République de Guinée Équatoriale n’implique pas, en soi, l’établissement du prestataire en République de Guinée Équatoriale.

Aux fins de la présente loi, on entend par :

a) Signature électronique : ensemble de données sous forme électronique, consignées avec d’autres données ou associées à celles-ci, pouvant être utilisées comme moyen d’identification du signataire ;

b) Signature électronique avancée : toute signature électronique permettant d’identifier le signataire et de détecter toute modification ultérieure des données signées, qui est liée de manière unique au signataire et aux données auxquelles elle se rapporte, et qui a été créée par des moyens que le signataire peut garder sous son contrôle exclusif.

c) Signature électronique reconnue : il s’agit de la signature électronique avancée fondée sur un certificat reconnu et générée à l’aide d’un dispositif sécurisé de création de signature. La signature électronique reconnue a, à l’égard des données consignées sous forme électronique, la même valeur que la signature manuscrite.

d) Signature numérique : mécanisme cryptographique permettant de détecter et de déterminer l’origine ou l’entité à l’origine de la donnée ou du message, et de confirmer que celui-ci n’a pas été altéré, en vérifiant l’authenticité et l’intégrité de la donnée.

e) Signataire : toute personne disposant d’un dispositif de création de signature électronique et agissant en son nom propre ou au nom d’une autre personne physique ou morale qu’elle représente.

f) Dispositif de création de signature électronique : programme ou système informatique servant à appliquer les données de création de signature, qui sont uniques, telles que des codes ou des clés cryptographiques privées ou spécifiques que le signataire utilise pour créer la signature électronique.

g) Dispositif de vérification de signature électronique : programme ou système informatique servant à appliquer les données de vérification de signature, qui sont des codes ou des clés cryptographiques publiques utilisés pour vérifier la signature électronique.

h) Certificat électronique : tout document signé électroniquement par un prestataire de services de certification, qui lie des données de vérification de signature au signataire et confirme son identité.

i) Certificat électronique reconnu : tout certificat délivré par un prestataire de services de certification et répondant aux exigences en matière d’authentification, de vérification et de contrôle de l’identité des demandeurs, ainsi qu’aux autres conditions requises, et garantissant la fiabilité et les garanties des prestataires qui les délivrent.

j) Date électronique : ensemble de données sous forme électronique utilisé comme moyen de constater le moment où une action a été effectuée sur d’autres données auxquelles elles sont associées.

k) Déclaration des pratiques de certification : document de sécurité contenant les déclarations de chaque prestataire de services de certification, dans lequel celui-ci assume et précise l’ensemble de ses obligations dans le cadre du processus de gestion des données de création et de vérification des signatures et des certificats électroniques, ainsi que les conditions applicables, les mesures techniques et organisationnelles de sécurité et les autres éléments nécessaires à l’efficacité de son activité.

l) Prestataire de services de certification : toute personne physique ou morale qui délivre des certificats électroniques ou fournit d’autres services liés à la signature électronique.

m) Document électronique : toute information, quelle qu’en soit la nature, sous forme électronique, stockée sur un support électronique dans un format déterminé et susceptible d’être identifiée et traitée de manière distincte.

Nonobstant ce qui précède, pour qu’un document électronique ait le caractère d’un acte public ou d’un acte administratif, il doit satisfaire aux exigences prévues par la loi applicable et, le cas échéant, aux conditions suivantes :

1) Être signé électroniquement par des fonctionnaires légalement habilités à établir une attestation publique, judiciaire, notariale ou administrative, à condition qu’ils agissent dans le cadre de leurs compétences et conformément aux exigences prévues par la loi dans chaque cas.

2) Être délivrés et signés électroniquement par des fonctionnaires ou des agents publics dans l’exercice de leurs fonctions publiques, conformément aux dispositions légales.

3) Être des documents privés ayant la valeur et la force juridique correspondant à leur nature respective, conformément à la législation applicable.

Valeur juridique du support électronique contenant des données signées

1. Le support sur lequel figurent les données signées électroniquement est admissible comme preuve documentaire en justice. Si l’authenticité de la signature électronique reconnue à l’aide d’ r laquelle les données incorporées au document électronique ont été signées est contestée, il sera procédé à la vérification qu’il s’agit bien d’une signature électronique avancée fondée sur un certificat reconnu, qui remplit toutes les exigences et conditions établies par la loi pour ce type de certificat, ainsi que du fait que la signature a été générée à l’aide d’un dispositif sécurisé de création de signature électronique.

2. La charge d’effectuer les vérifications susmentionnées incombe à la personne ayant présenté le document muni d’une signature électronique reconnue. Si ces vérifications aboutissent à un résultat positif, l’authenticité de la signature électronique reconnue avec laquelle ledit document électronique a été signé sera présumée, les frais, coûts et dettes occasionnés par la vérification étant exclusivement à la charge de la personne ayant formulé la contestation et, si celle-ci a agi de manière imprudente, une amende lui sera infligée.

3. Si l’authenticité de la signature électronique avancée, avec laquelle les données figurant dans le document électronique ont été signées, est contestée, les dispositions du paragraphe précédent s’appliquent conformément aux dispositions du Code de procédure civile.

4. Lorsqu’une signature électronique est utilisée conformément aux conditions convenues par les parties pour leurs relations entre elles, il est tenu compte de ce qui a été stipulé entre elles.

Utilisation de la signature électronique dans le cadre de l’administration générale de l’État

1. L’Administration générale de l’État, dans le but de maintenir et de protéger les garanties de chaque procédure, peut fixer des conditions supplémentaires à l’utilisation de la signature électronique dans les procédures, telles que l’obligation d’apposer une date électronique sur les documents électroniques versés à un dossier administratif.

2. Les conditions supplémentaires doivent être objectives, proportionnées, transparentes et non discriminatoires, et ne doivent pas s’appliquer à la prestation de services de certification aux citoyens lorsque différentes administrations publiques interviennent.

3. Le ministère de la Fonction publique et de la Réforme administrative et le ministère des Télécommunications et des Nouvelles technologies, sur rapport du Centre national pour l’informatisation de l’administration publique de Guinée Équatoriale (CNIAPGE), élaboreront les règles fixant ces conditions supplémentaires.

4. L’utilisation de la signature électronique dans les communications portant sur des informations classifiées, la sécurité de l’État ou la défense nationale sera régie par une réglementation spécifique.

1. La prestation de services de certification n’est pas soumise à autorisation préalable et s’effectuera dans le cadre de la libre concurrence. Aucune restriction ne pourra être imposée à ces services provenant d’un autre État.

2. La prestation de services de certification par l’administration générale de l’État, ses organes ou ses organismes publics s’effectuera conformément aux principes d’objectivité, de transparence et de non-discrimination.

1. La signature électronique constitue un dispositif ou un mécanisme électronique contenant les données du signataire et permettant la délivrance de certificats électroniques. Ces données permettent d’identifier le signataire.

2. Les modalités de signature électronique établies par la présente loi sont les suivantes : la signature électronique avancée, la signature électronique reconnue et la signature numérique.

Aux fins des dispositions de l’article précédent, le signataire est avant tout une personne qui est titulaire ou détient un dispositif ou un mécanisme électronique permettant la création d’une signature électronique, en son nom propre ou au nom et pour le compte d’autrui.

1. Le certificat électronique, en tant que document signé électroniquement par un prestataire de services de certification qui lie des données de signature au signataire, permet de vérifier, d’authentifier, de contrôler et de confirmer son identité, ainsi que de détecter les modifications qui y ont été apportées et de déterminer l’origine ou l’entité à l’origine de ces données ou de ce message, selon le type de certificat et de signature électronique.

2. Toute personne physique ou morale peut demander au prestataire de services de certification la délivrance de certificats électroniques conformément aux dispositions de la présente loi, en garantissant toujours les droits et l’identité du signataire.

3. Aux fins de la présente loi, le certificat électronique des personnes physiques sert de référence ou de modèle.

Obtention et utilisation des certificats électroniques des personnes morales

1. Peuvent demander des certificats électroniques pour les personnes morales leurs administrateurs et leurs représentants légaux ou volontaires disposant des pouvoirs nécessaires à cet effet, sans que cela n’affecte le régime de représentation régi par le droit civil ou commercial applicable à chaque personne morale.

2. La conservation des données de création de signature associées à chaque certificat électronique de personne morale incombe à la personne physique requérante, dont l’identification figurera dans le certificat électronique.

3. Les données de création de signature ne pourront être utilisées que lorsqu’elles sont admises dans le cadre des relations que les personnes morales entretiennent avec l’administration générale de l’État, ou lors de la passation de marchés portant sur des biens ou des services qui leur sont propres ou qui concernent leur activité ou leur exercice habituel. De même, la personne morale pourra imposer des limites supplémentaires, pour des raisons d , de montant ou de matière, à l’utilisation de ces données qui, dans tous les cas, devront figurer dans le certificat électronique.

4. Sont réputés avoir été accomplis par la personne morale les actes ou contrats pour lesquels sa signature a été utilisée dans les limites prévues au paragraphe précédent.

5. Si la signature est utilisée en dépassant les limites susmentionnées, la personne morale ne sera liée vis-à-vis des tiers que si elle les assume comme siens ou si ces actes ont été conclus dans son intérêt. Dans le cas contraire, les effets de ces actes incomberont à la personne physique responsable de la conservation des données de création de la signature, qui pourra, le cas échéant, exercer un recours contre ceux qui les auraient utilisées.

6. Les dispositions du présent article ne s’appliquent pas aux certificats servant à vérifier la signature électronique du prestataire de services de certification avec laquelle il signe les certificats électroniques qu’il délivre. Elles ne s’appliquent pas non plus aux certificats délivrés en faveur de l’administration générale de l’État.

Les causes d’expiration d’un certificat électronique sont les suivantes :

• a) l’expiration de la période de validité figurant sur le certificat ;
• b) le renouvellement demandé par le signataire, la personne physique ou morale qu’il représente, un tiers autorisé ou la personne physique demandant un certificat électronique au nom d’une personne morale ;
• c) la violation ou la compromission des données de création de signature du signataire ou du prestataire de services de certification, ou l’utilisation abusive de ces données par un tiers ;
• d) une décision judiciaire ou administrative l’ordonnant ;
• e) le décès ou la disparition de la personnalité juridique du signataire ou de la personne représentée, la fin de la représentation, l’incapacité survenue, totale ou partielle, du signataire ou de la personne représentée, la dissolution de la personne morale représentée ou la modification des conditions de conservation ou d’utilisation des données de création de signature figurant dans les certificats délivrés au nom d’une personne morale ;
• f) la cessation d’activité du prestataire de services de certification, sauf si, avec le consentement exprès préalable du signataire, la gestion des certificats électroniques délivrés par celui-ci est transférée à un autre prestataire de services de certification ;
• g) la modification des données fournies pour l’obtention du certificat ou la modification des circonstances vérifiées pour la délivrance du certificat, telles que celles relatives à la fonction ou aux pouvoirs de représentation, de telle sorte qu’elles ne correspondent plus à la réalité ;
• h) toute autre cause licite mentionnée dans la déclaration des pratiques de certification.

1. La validité des certificats électroniques dépend des caractéristiques et de la technologie utilisées pour générer les données de création de signature. Dans le cas des certificats reconnus, cette durée ne peut excéder quatre ans.

2. L’extinction de la validité d’un certificat électronique prendra effet à l’égard des tiers, en cas d’expiration de sa durée de validité, dès que cette circonstance se produira et, dans les autres cas, dès que la mention de ladite extinction sera incluse dans le service de consultation sur la validité des certificats du prestataire de services de certification.

1. Les prestataires de services de certification suspendent la validité des certificats électroniques délivrés si l’une des causes suivantes se présente :

• a) demande du signataire, de la personne physique ou morale qu’il représente, d’un tiers autorisé ou de la personne physique demandant un certificat électronique au nom d’une personne morale ;
• b) une décision judiciaire ou administrative l’ordonnant ;
• c) l’existence de doutes fondés quant à la présence des causes d’extinction de la validité des certificats prévues aux alinéas c) et g) de l’article 11 de la présente loi ;
• d) tout autre motif licite prévu dans la déclaration des pratiques de certification.

2. La suspension de la validité d’un certificat électronique prend effet dès son inscription dans le service de consultation sur la validité des certificats du prestataire de services de certification.

Mesures et effets relatifs à l’extinction et à la suspension de la validité des certificats électroniques

1. Le prestataire de services de certification consigne immédiatement, de manière claire et incontestable, l’extinction ou la suspension de la validité des certificats électroniques dans le service de consultation sur la validité des certificats dès qu’il a connaissance, sur la base d’éléments fondés, de l’un des faits déterminants pour l’extinction ou la suspension de leur validité.

2. Aux fins de l’extinction et de la suspension de la validité du certificat électronique, le prestataire de services de certification informera le signataire de cette circonstance de manière préalable ou simultanée, en précisant les motifs, la date et l’heure auxquelles ledit certificat électronique cessera d’être valable.

3. En cas de suspension, la durée maximale sera également indiquée ; à l’issue de celle-ci, la validité dudit certificat électronique prendra fin si ladite suspension n’est pas modifiée ou levée dans le délai indiqué.

4. Le certificat électronique en cours d’expiration ou de suspension restera accessible via le service de consultation sur la validité des certificats jusqu’à la date et l’heure de fin de sa période de validité initiale.

5. L’expiration ou la suspension de la validité d’un certificat électronique n’aura pas d’effet rétroactif.

Tout certificat électronique reconnu, délivré par un prestataire de services de certification, doit comporter les informations suivantes :

• a) l’indication qu’ils sont délivrés en tant que tels ;
• b) le code d’identification unique du certificat  ;
• c) l’identification du prestataire de services de certification qui délivre le certificat et de son siège social ;
• d) la signature électronique avancée du prestataire de services de certification qui délivre le certificat ;
• e) l’identification du signataire, dans le cas des personnes physiques, par son nom et ses prénoms ainsi que son numéro de carte d’identité, et, dans le cas des personnes morales, par leur dénomination ou raison sociale et leur numéro d’identification fiscale ;
• f) les données de vérification de la signature électronique correspondant aux données de création de la signature qui sont sous le contrôle du signataire ;
• g) la date de début et de fin de la période de validité du certificat électronique ;
• h) le cadre et les limites d’utilisation du certificat électronique, si elles sont fixées ;
• i) les limites de valeur des transactions pour lesquelles le certificat peut être utilisé, si elles sont fixées ;
• j) l’indication des données du signataire agissant au nom d’une personne physique ou morale, si le certificat reconnu le permet. Dans ce cas, il convient de joindre l’acte authentique attestant de manière irréfutable les pouvoirs du signataire pour agir au nom de ladite personne physique ou morale, ainsi que les données d’enregistrement, si l’enregistrement dudit acte est obligatoire ;
• k) toute autre information, circonstance ou caractéristique particulière du signataire présentant un intérêt pour les fins du certificat, si celui-ci en fait la demande.

Obligations préalables à la délivrance de certificats électroniques reconnus

Avant de délivrer tout certificat reconnu, les prestataires de services de certification doivent préalablement s’acquitter des obligations suivantes :

• a) vérifier l’identité et la situation personnelle du demandeur ;
• b) vérifier que les informations contenues dans le certificat sont exactes et incontestables et qu’elles comprennent toutes les informations nécessaires requises pour un certificat électronique reconnu ;
• c) s’assurer que le signataire est en possession des données de création de la signature électronique, lesquelles correspondent à celles utilisées pour sa vérification ;
• d) garantir la complémentarité des données de création et de vérification de la signature électronique, dès lors que celles-ci sont toutes deux générées par le prestataire de services de certification.

1. L’identification de la personne physique demandant un certificat électronique reconnu nécessite sa comparution en personne devant le responsable de la vérification et sera attestée au moyen d’une carte d’identité, d’un passeport ou de tout autre moyen admis par la loi, dont les modalités de comparution ou de présentation sont régies par les dispositions de la procédure administrative.

2. La comparution visée au paragraphe précédent peut être levée si la signature du demandeur figurant sur la demande de délivrance d’un certificat reconnu a été authentifiée par un notaire.

3. L’identification de la personne morale exigera que le prestataire de services de certification recueille les informations relatives à la constitution, à la personnalité juridique ainsi qu’à l’étendue et à la durée de validité des pouvoirs du représentant du demandeur, au moyen de documents publics attestant de manière irréfutable la légalité de ladite représentation et son inscription au registre public, si cela est exigé.

4. La vérification ou l’identification visée au paragraphe précédent peut également être effectuée par consultation directe du registre public dans lequel sont inscrits les actes constitutifs ou de procuration, en utilisant les moyens télématiques et électroniques mis à disposition par ledit registre public.

5. Si le certificat reconnu requiert ou admet d’autres éléments relatifs à la situation personnelle du demandeur, tels que sa fonction ou son emploi, son appartenance à un ordre professionnel ou son diplôme universitaire, ceux-ci doivent être vérifiés au moyen des documents officiels qui les attestent.

6. Les données, l’identification et les éléments visés aux alinéas précédents ne sont pas exigibles lorsque l’identité et les autres éléments relatifs au demandeur du certificat sont déjà connus du prestataire de services de certification en vertu d’une relation préexistante, au cours de laquelle les moyens indiqués ont été utilisés au cours d’une période de deux ans, ou lorsqu’un certificat reconnu en vigueur est utilisé pour la délivrance d’un autre certificat de format identique et que le prestataire de services de certification en a connaissance dans un délai de trois mois à compter de la date de validité de ce dernier.

7. Les vérifications et identifications mentionnées dans les paragraphes précédents peuvent être effectuées par les prestataires de services de certification eux-mêmes ou par l’intermédiaire d’autres personnes physiques ou morales, privées ou publiques, auquel cas ils en resteront toujours responsables.

Les certificats électroniques délivrés au public par les prestataires de services de certification d’autres États, en tant que certificats reconnus, conformément à leur législation applicable, sont considérés comme équivalents à ceux délivrés par les prestataires de ces services en République de Guinée Équatoriale, à condition qu’ils remplissent les conditions suivantes :

• a) que le prestataire de services de certification remplisse les exigences légales et respecte la législation en vigueur dans cet État en matière de signature électronique et qu’il ait été agréé conformément à un système de certification volontaire ;
• b) que le prestataire de services de certification et le certificat délivré à cet effet soient reconnus en vertu d’accords bilatéraux ou multilatéraux ou par un organisme international ;
• c) que le certificat électronique reconnu soit garanti et avalisé par un prestataire de services de certification établi en République de Guinée Équatoriale.

1. La carte d’identité électronique est un document personnel qui atteste électroniquement l’identité de son titulaire et lui permet ou garantit la signature électronique de documents.

2. Toutes les autorités publiques et toutes les personnes physiques ou morales sont tenues de reconnaître la validité et la force juridique de la carte d’identité électronique afin de certifier l’identité et les autres données personnelles de son titulaire qui y figurent, ainsi que d’authentifier l’identité du signataire et l’intégrité des documents signés à l’aide des dispositifs de signature électronique inclus dans ladite carte.

Conditions requises pour la délivrance de la carte d’identité électronique

1. Les organismes publics compétents pour la délivrance de la carte d’identité électronique doivent se conformer aux mêmes obligations préalables imposées par la présente loi aux prestataires de services de certification qui délivrent des certificats reconnus, à l’exception de ce qui concerne la constitution d’une garantie ou d’une caution.

2. Pour que la carte d’identité électronique soit valable, l’administration générale de l’État est tenue de mettre en place les systèmes garantissant la compatibilité des instruments et moyens de signature électronique inclus dans la carte d’identité électronique avec les dispositifs et produits de signature électronique généralement acceptés.

3. La procédure de délivrance de la carte d’identité électronique sera définie par décret.

Tout dispositif de création de signature électronique, qu’il s’agisse d’un programme ou d’un système informatique servant à appliquer les données de création de signature, doit offrir les garanties suivantes :

• a) il garantit de manière raisonnable la confidentialité de l’utilisation des données servant à la génération de la signature, laquelle ne peut être produite qu’une seule fois ;
• b) que les données utilisées pour la génération de la signature électronique ne peuvent être déduites ni des données de vérification de la signature ni de la signature elle-même, ce qui la protège contre toute falsification ;
• c) que les données de création de signature électronique puissent être protégées de manière fiable par le signataire afin d’empêcher leur utilisation par des tiers ;
• d) que le dispositif utilisé n’altère pas les données ni le document à signer, et n’empêche pas que celui-ci soit présenté au signataire avant le processus de signature.

Tout dispositif de vérification de signature électronique, qu’il s’agisse d’un programme ou d’un système informatique servant à appliquer les données de vérification de signature, doit satisfaire aux exigences suivantes :

• a) que les données utilisées pour vérifier la signature correspondent à celles présentées à la personne qui vérifie la signature ;
• b) que la signature, l’authenticité et la validité du certificat électronique correspondant soient vérifiées de manière fiable et que le résultat de cette vérification soit présenté correctement ;
• c) que la personne qui vérifie la signature électronique puisse établir de manière fiable le contenu des données signées et détecter si celles-ci ont été modifiées ;
• d) que l’identité du signataire et le résultat de la vérification soient correctement affichés ;
• e) que toute modification relative à la sécurité puisse être détectée.

Certification des dispositifs sécurisés de création de signature électronique

1. La certification des dispositifs sécurisés de création de signature électronique est la procédure ou le document par lequel il est vérifié que le dispositif de création de signature électronique satisfait aux exigences établies par les dispositions légales en vigueur pour être considéré comme un dispositif sécurisé de création de signature ; elle est délivrée par un organisme public ou privé agréé et qualifié, à la demande du fabricant ou de l’importateur de ces dispositifs.

2. Les certificats de conformité des dispositifs sécurisés de création de signature électronique seront modifiés ou, le cas échéant, révoqués lorsqu’ils ne rempliront plus les exigences et conditions requises pour leur obtention ; cette décision sera d’abord communiquée à l’intéressé, puis rendue publique par le biais des médias sociaux.

1. La certification du prestataire de services de certification est la procédure obligatoire par laquelle l’organisme public agréé et qualifié émet, à la demande de ce dernier, un rapport ou un avis en faveur du prestataire de services de certification, concernant la reconnaissance de ses capacités et le respect des exigences établies pour la prestation de ces services, et délivre le certificat correspondant.

2. Dans le cadre des procédures de certification susmentionnées, il est possible de recourir aux normes techniques et autres critères largement reconnus dans ce domaine d’activité et de technologie, qui permettent de clarifier et de déterminer les capacités du prestataire de services de certification qui en fait la demande.

Obligations du prestataire de services de certification de certificats électroniques

Tout prestataire de services de certification qui délivre des certificats électroniques doit respecter les obligations suivantes :

• a) ne pas stocker ni copier les données de création de signature électronique de la personne physique ou morale à laquelle il a fourni ses services ;
• b) fournir au demandeur, avant la délivrance du certificat électronique, gratuitement et par écrit ou par voie électronique, les informations concernant :
• 1° les obligations du signataire en matière de conservation des données de création de signature électronique, la procédure applicable en cas de perte, de suspension ou d’éventuelle utilisation abusive de ces données et de certains dispositifs de création ou de vérification de signature électronique, compatibles avec les données de signature et avec le certificat délivré ;
• 2° les mécanismes visant à garantir la fiabilité de la signature électronique des documents dans le temps ;
• 3° la méthode utilisée par le prestataire pour vérifier l’identité du signataire ou d’autres données figurant dans le certificat électronique ;
• 4° les conditions précises d’utilisation du certificat, ses éventuelles restrictions d’utilisation et les modalités garantissant la responsabilité du prestataire de services de certification ;
• 5° les certifications obtenues par le prestataire de services de certification et les procédures applicables au règlement extrajudiciaire des litiges susceptibles de survenir dans l’exercice de son activité ;
• 6° les autres informations contenues dans la déclaration des pratiques de certification ;
• 7° les informations pertinentes pour les tiers concernés par les certificats électroniques doivent être mises à disposition à leur demande.
• c) tenir à jour un répertoire des certificats électroniques, dans lequel seront indiqués les certificats délivrés, leur durée de validité, en précisant s’ils sont déjà suspendus ou expirés. L’intégrité du répertoire sera protégée par l’utilisation de mécanismes de sécurité appropriés ;
• d) garantir la disponibilité d’un service rapide et sécurisé de consultation sur la validité des certificats électroniques.

1. Aux fins de la délivrance de certificats électroniques au public et du traitement des données à caractère personnel, les prestataires de services de certification et les organes administratifs, dans l’exercice de leurs fonctions, ne peuvent collecter des données à caractère personnel que directement auprès des signataires ou avec leur consentement exprès, dans le respect des dispositions de la loi sur la protection des données à caractère personnel.

2. Les données requises sont exclusivement celles qui sont nécessaires à la délivrance et à la gestion du certificat ainsi qu’à la prestation d’autres services liés à la signature électronique ; elles ne peuvent être traitées à d’autres fins sans le consentement exprès du signataire.

3. Les prestataires de services de certification ne sont tenus de divulguer l’identité des signataires et leurs autres données à caractère personnel que sur demande d’une autorité judiciaire dans l’exercice de ses fonctions légales.

1. Tous les prestataires de services de certification doivent établir une déclaration de pratiques de certification dans laquelle ils détaillent les obligations qu’ils assument en matière de gestion des données de création et de vérification des signatures ainsi que des certificats électroniques, les conditions applicables à la demande, à la délivrance, à l’utilisation, à la suspension et à l’expiration des certificats, les mesures techniques et organisationnelles de sécurité, les profils et les mécanismes d’information sur la validité des certificats et, le cas échéant, l’existence de procédures de coordination avec les registres publics concernés permettant l’échange immédiat d’informations sur la validité des pouvoirs et des facultés mentionnés dans les certificats et qui doivent obligatoirement être inscrits dans ces registres.

2. La déclaration des pratiques de certification est considérée comme un document de sécurité, répondant à toutes les exigences légales applicables à ce type de document, et est mise à la disposition du public de manière accessible, gratuite et par voie électronique.

Obligations du prestataire de services de certification délivrant un certificat reconnu

Les prestataires susmentionnés doivent respecter les obligations suivantes :

• a) démontrer la fiabilité nécessaire à la prestation du service de certification, en souscrivant une assurance de responsabilité civile d’un montant fixé par l’organisme compétent pour couvrir les dommages et préjudices éventuels pouvant résulter de l’utilisation des certificats qu’ils délivrent. Cette garantie d’assurance peut être remplacée, en tout ou en partie, par une garantie bancaire ou une assurance caution ;
• b) garantir qu’ils sont en mesure de déterminer avec précision la date et l’heure auxquelles le certificat a été délivré, ou à lesquelles sa validité a pris fin ou a été suspendue ;
• c) employer du personnel qualifié, disposant des connaissances et de l’expérience nécessaires à la prestation des services de certification, et mettre en œuvre des procédures de sécurité et de gestion appropriées dans le domaine de la signature électronique ;
• d) utiliser des systèmes et des produits fiables, protégés contre toute altération et garantissant la sécurité technique et, le cas échéant, la cryptographie des processus de certification qu’ils prennent en charge, ainsi que pour stocker des certificats reconnus permettant de vérifier leur authenticité et d’empêcher des personnes non autorisées d’altérer les données d’ , d’en restreindre l’accessibilité ou d’introduire des modifications affectant les conditions de sécurité ;
• e) prendre des mesures contre la falsification des certificats et pour garantir la confidentialité des données de création de signature électronique pendant le processus de leur génération et de leur remise au signataire par une procédure sécurisée ;
• f) conserver, par tout moyen sécurisé, l’ensemble des informations et de la documentation relatives à un certificat reconnu ainsi que les déclarations de pratiques de certification en vigueur à tout moment, pendant au moins dix ans à compter de la date de sa délivrance, de manière à permettre la vérification des signatures apposées sur celui-ci.

Cessation de l’activité d’un prestataire de services de certification et ses effets

1. Le prestataire de services de certification qui s’apprête à cesser son activité doit en informer les signataires qui utilisent les certificats électroniques qu’il a délivrés, ainsi que les demandeurs de certificats délivrés au nom de personnes morales ; et pourra, avec leur consentement exprès, transférer la gestion des certificats qui restent valides à la date de la cessation à un autre prestataire de services de certification qui les reprendra ou, à défaut, mettre fin à leur validité.

2. La notification de la cessation d’activité doit être effectuée au moins trois mois avant la cessation effective de l’activité et doit également indiquer, le cas échéant, les caractéristiques du prestataire auquel il est proposé de transférer la gestion des certificats électroniques.

3. Il devra également notifier la cessation d’activité et la destination de la gestion des certificats au ministère des Télécommunications et des Nouvelles Technologies, ainsi qu’à l’autorité agréée et qualifiée, avec un préavis de trois mois ; celle-ci mettra à la disposition du public un service de consultation spécial et temporaire, où figureront les informations relatives à ces certificats pendant la période qu’elle jugera suffisante.

1. Les prestataires de services de certification sont responsables des dommages et préjudices causés à toute personne physique ou morale dans l’exercice de leur activité, lorsqu’ils ne respectent pas leurs obligations contractuelles ; en particulier, des préjudices causés au signataire ou à des tiers de bonne foi en raison de l’omission ou du retard dans l’inscription, dans le service de consultation sur la validité des certificats, de l’extinction ou de la suspension de la validité d’un certificat électronique, ainsi que des actes des personnes auxquelles ils délèguent l’exécution de l’une de leurs fonctions.

2. La responsabilité visée au paragraphe précédent sera engagée conformément aux accords et aux clauses contractuelles et extracontractuelles, il incombant au responsable de prouver qu’il a agi avec la diligence professionnelle requise. Cette responsabilité s’entend sans préjudice des dispositions des lois en vigueur en la matière.

3. Si le prestataire de services de certification manque aux obligations découlant de la garantie d’un certificat électronique délivré par un prestataire de services de certification établi en dehors de la République de Guinée Équatoriale, il sera responsable des dommages et préjudices causés par l’utilisation dudit certificat.

Limitations de la responsabilité des prestataires de services de certification

Tout prestataire de services de certification ne sera pas responsable des dommages et préjudices causés au signataire ou à des tiers, si les conditions suivantes sont réunies :

• a) le fait de ne pas avoir fourni au prestataire de services de certification des informations véridiques, complètes et exactes concernant les données devant figurer sur le certificat électronique ou nécessaires à sa délivrance, à son extinction ou à la suspension de sa validité, lorsque celles-ci n’ont pas pu être détectées par ledit prestataire ;
• b) le défaut de communication, sans délai, par le prestataire de services de certification, de toute donnée ou circonstance figurant dans le certificat électronique ;
• c) une négligence non imputable au prestataire dans la conservation des données de création de la signature électronique, dans la garantie de leur confidentialité et dans la protection contre tout accès ou toute divulgation ;
• d) le fait de ne pas demander la suspension ou la révocation du certificat électronique en cas de doute quant au maintien de la confidentialité des données de création de la signature électronique ;
• e) l’inexactitude découlant des données figurant dans un acte public ;
• f) l’utilisation des données de création de signature électronique en dehors de la période de validité du certificat électronique ou après notification de l’expiration ou de la suspension de sa validité par le prestataire de services de certification ;
• g) le dépassement des limites fixées pour l’utilisation du certificat électronique ou pour le montant unitaire des transactions pouvant être effectuées avec celui-ci, ou son utilisation non conforme aux conditions fixées ;
• h) le fait de ne pas demander la révocation ou la suspension de la validité du certificat électronique comportant un pouvoir de représentation ;
• i) lorsque le destinataire des documents signés électroniquement agit par négligence en omettant de vérifier ou de prendre en compte les restrictions prévues dans le certificat électronique concernant ses utilisations possibles et le montant individuel des transactions pouvant être effectuées avec celui-ci, ainsi que la suspension ou la perte de validité publiée sur le service de consultation de la validité du certificat ou l’absence de vérification de la signature électronique.

L’exonération de responsabilité vis-à-vis des tiers, visée à l’article précédent, oblige le prestataire de services de certification à prouver et à justifier qu’il n’agit pas de manière négligente.

Les infractions prévues par la présente loi sont classées en infractions légères, graves et très graves.

1. Constituent des infractions légères :

• a) le manquement par négligence aux obligations établies en matière de délivrance des certificats électroniques et des certificats électroniques reconnus par la présente loi, à condition qu’aucun préjudice grave n’ait été causé aux utilisateurs ou que la sécurité des services de certification n’ait pas été compromise, et à condition que ce manquement ne constitue pas une infraction grave ;
• b) le manquement par négligence aux obligations découlant de la cessation de son activité ou la création par négligence de circonstances empêchant la poursuite de ladite activité ;
• c) la communication par négligence des informations demandées par le ministère des Télécommunications et des Nouvelles technologies ou par l’autorité publique habilitée et qualifiée dans le cadre de sa fonction d’inspection ;
• d) le non-respect par négligence des obligations relatives à la protection des données à caractère personnel énoncées de manière générale dans la présente loi et en particulier à l’article 26, lorsqu’elles ne constituent pas une infraction grave ;
• e) toute autre infraction ne constituant pas une infraction grave.

2. Constituent des infractions graves :

• a) le non-respect des obligations établies en matière de délivrance de certificats électroniques et de certificats électroniques reconnus par la présente loi, dès lors que cela a causé un préjudice grave aux utilisateurs ou que la sécurité des services de certification a été gravement compromise, et à condition que ce manquement ne constitue pas une infraction très grave ;
• b) l’absence de constitution de la garantie financière prévue par la présente loi ;
• c) le non-respect des obligations découlant de la cessation de l’activité ou de la survenance de circonstances empêchant la poursuite de ladite activité ;
• d) la résistance, l’excuse, l’entrave ou le refus injustifié de se soumettre à l’action d’inspection des organes compétents de surveillance et de contrôle ;
• e) la non-communication des informations demandées par le ministère des Télécommunications et des Nouvelles technologies ou par l’autorité publique habilitée et qualifiée dans le cadre de sa fonction d’inspection ;
• f) la délivrance de certificats reconnus sans avoir procédé à la vérification préalable correspondante, lorsque cela concerne une partie relativement faible des certificats reconnus délivrés ;
• g) le non-respect des décisions rendues par le ministère des Télécommunications et des Nouvelles Technologies pour le bon fonctionnement des services et des systèmes de certification, ainsi que de tout aspect relevant du champ d’application de la présente loi ;
• h) le non-respect des obligations relatives à la protection des données à caractère personnel énoncées de manière générale dans la présente loi et en particulier à l’article 26, lorsqu’elles ne constituent pas une infraction très grave ;
• i) la commission de trois infractions mineures au cours d’une année.

3. Constituent des infractions très graves :

• a) le non-respect des obligations établies en matière de délivrance des certificats électroniques et des certificats électroniques reconnus par la présente loi, à l’exception de l’obligation de constitution d’une garantie financière, dès lors que cela a causé un préjudice grave aux utilisateurs ou que la sécurité des services de certification a été gravement compromise ;
• b) la délivrance d’un certificat reconnu sans avoir procédé à la vérification préalable correspondante, lorsque cela concerne la majorité des certificats reconnus délivrés ;
• c) le non-respect des obligations relatives à la protection des données à caractère personnel énoncées de manière générale dans la présente loi et en particulier à l’article 26 ;
• d) la commission de deux infractions graves ou plus au cours d’une période d’un an.

I) Les infractions prévues par la présente loi sont passibles des sanctions suivantes :

• 1. pour les infractions mineures, une ou plusieurs des mesures suivantes seront infligées :
• a) un avertissement ;
• b) un avertissement écrit ;
• c) une amende d’un montant maximal de 5.000.000 FCFA ;
• d) la rectification, dans tous les cas, de la situation créée par l’infraction, si cela est possible.
• 2. En cas d’infractions graves, une ou plusieurs des mesures suivantes seront prononcées :
• a) la suspension de l’activité faisant l’objet de l’infraction et, le cas échéant, des autres activités connexes, pour une durée n’excédant pas un an ;
• b) l’interdiction d’exercer pour les personnes responsables de l’infraction, pour une durée n’excédant pas deux ans ;
• c) la suspension ou la perte de validité des certificats compromettant gravement la sécurité des systèmes utilisés par le prestataire de services de certification ;
• d) une amende d’un montant compris entre 5.000.001 FCFA et 25.000.000 FCFA.
• 3. En cas d’infractions très graves, une ou plusieurs des mesures suivantes sont prononcées :
• a) la suspension de l’activité faisant l’objet de l’infraction et, le cas échéant, des autres activités connexes, pour une durée supérieure à un an et inférieure à quatre ans ;
• b) l’interdiction d’exercer pour les personnes responsables de l’infraction, pour une durée supérieure à deux ans et inférieure à quatre ans ;
• c) la suspension ou la perte de validité des certificats compromettant gravement la sécurité des systèmes utilisés par le prestataire de services de certification ;
• d) une amende d’un montant compris entre 25.000.001 FCFA et 100.000.000 FCFA ;
• e) la saisie des équipements et autres matériels se trouvant dans les locaux du prestataire ;
• f) la fermeture définitive des locaux et des installations.

II) La commission de deux infractions très graves ou plus dans un délai de trois ans peut donner lieu, en fonction des critères de gradation prévus à l’article suivant, à une sanction consistant en l’interdiction d’exercer en République de Guinée Équatoriale pendant une durée maximale de deux ans, à l’encontre du prestataire ainsi que des personnes physiques responsables de l’infraction.

III) Les sanctions applicables aux infractions résultant du non-respect des obligations en matière de protection des données à caractère personnel énoncées de manière générale dans la présente loi et plus particulièrement à l’article 26, ainsi que celles prévues par la loi organique relative à la protection des données à caractère personnel, seront appliquées conformément aux dispositions de cette dernière loi.

IV) Les sanctions graves et très graves peuvent s’accompagner, aux frais de la personne sanctionnée, de la publication de la décision de sanction dans la presse nationale ou au Journal officiel de l’État, une fois que celle-ci est devenue définitive.

Pour l’imposition de cette sanction, il sera tenu compte de l’impact social de l’infraction commise, du nombre d’utilisateurs concernés et de la gravité de l’infraction.

Les sanctions prévues à l’article précédent, qui sont infligées aux contrevenants, seront modulées en fonction des critères suivants :

• a) l’intentionnalité ;
• b) la récidive et la répétition d’infractions de même nature, sanctionnées par une décision définitive ;
• c) la nature et l’ampleur des préjudices causés ;
• d) la durée pendant laquelle l’infraction a été commise ;
• e) le bénéfice que le contrevenant a tiré de cette infraction ;
• f) le volume du chiffre d’affaires concerné par l’infraction commise.

1. Dans le cadre de la procédure de sanction pour infractions graves et très graves, le ministère des Télécommunications et des Nouvelles technologies, sur rapport de l’autorité publique compétente et qualifiée, peut adopter les mesures conservatoires qu’il juge nécessaires pour garantir l’efficacité de ses décisions, le bon déroulement de la procédure et empêcher la persistance des effets de l’infraction. Il peut également ordonner les mesures conservatoires suivantes :

• a) la suspension provisoire de l’activité du prestataire de services ou la fermeture temporaire de ses établissements ;
• b) la mise sous scellés, la mise en dépôt ou la saisie de registres, de supports et d’archives informatiques et de documents en général, ainsi que d’appareils et d’équipements informatiques de toute nature, pour une durée n’excédant pas six mois ;
• c) la suspension ou l’annulation des certificats compromettant gravement la sécurité des systèmes utilisés par le prestataire de services de certification ;
• d) l’avertissement du public quant à l’existence d’éventuels comportements irréguliers de la part du prestataire, à l’ouverture d’une procédure disciplinaire et aux mesures adoptées pour mettre fin à ces comportements.

2. L’adoption des mesures susmentionnées doit respecter les règles, garanties et procédures prévues par la législation en vigueur en matière de protection des données à caractère personnel et de la vie privée et familiale, ainsi que le principe de proportionnalité entre la mesure à adopter et les objectifs à atteindre.

3. En cas d’urgence et pour la protection immédiate des intérêts en jeu, les mesures conservatoires susmentionnées peuvent être adoptées avant l’ouverture de la procédure disciplinaire, et doivent être confirmées, modifiées ou levées dans la décision d’ouverture de la procédure dans les dix jours suivant leur adoption. L’accord ou la décision susmentionné(e) peut faire l’objet d’un recours approprié, dont l’admission à la procédure suspend la procédure à l’état où elle se trouve.

4. Ces mesures deviennent caduques si la procédure disciplinaire n’est pas engagée dans le délai indiqué au paragraphe précédent ou s’il n’est pas rendu de décision expresse sur les mesures adoptées.

1. Il appartient au ministre des Télécommunications et des Nouvelles technologies d’engager la procédure de sanction prévue par la présente loi pour les infractions très graves et graves, après ouverture du dossier correspondant par la Direction générale des Nouvelles technologies, ou à sa place par l’autorité publique habilitée et compétente.

2. Pour les infractions légères, la procédure de sanction incombe à l’autorité publique habilitée et compétente, avec notification au ministère des Télécommunications et des Nouvelles technologies.

3. Les décisions rendues par le ministre des Télécommunications et des Nouvelles technologies dans le cadre de la procédure de sanction doivent être motivées et fondées ; elles sont susceptibles de recours hiérarchique devant le Conseil des ministres dans un délai de trente jours à compter de la date de leur notification.

1. Le ministère des Télécommunications et des Nouvelles technologies, dans le cadre de ses fonctions légales, exerce les compétences suivantes :

• a) contrôler le respect des obligations prévues par la présente loi et les autres dispositions légales par les prestataires de services de certification qui délivrent des certificats électroniques au public ;
• b) superviser le fonctionnement des systèmes de certification des dispositifs sécurisés de création de signature électronique et des institutions habilitées à les délivrer ;
• c) adopter les mesures nécessaires au respect des obligations contractées par le prestataire de services de certification et par les institutions habilitées à délivrer des certificats pour les dispositifs sécurisés de création de signature, ainsi que des dispositions de la présente loi ;
• d) exercer toute autre compétence découlant des précédentes et non prévue par la législation en vigueur.

2. L’autorité publique habilitée et qualifiée est l’organe compétent pour superviser et contrôler techniquement l’ensemble des processus de prestation de services de certification.

Tout prestataire de services de certification, institution ou particulier concerné est tenu de fournir au ministère des Télécommunications et des Nouvelles technologies ainsi qu’à l’autorité publique habilitée et qualifiée toutes les informations et toute la collaboration nécessaires à l’exercice de leurs fonctions, notamment :

• a) de signaler le début de son activité, ses données d’identification, y compris fiscales et d’enregistrement, ses coordonnées, y compris le nom de domaine Internet, ses coordonnées de service à la clientèle, les caractéristiques des services à fournir et les certifications correspondantes ;
• b) mettre à jour périodiquement les informations mentionnées au point précédent et les publier sur le site Internet dudit ministère ;
• c) permettre à ses agents ou à son personnel d’inspection d’accéder à ses locaux et de consulter tout document et toute information.

2. Si, à la suite d’un contrôle, des faits susceptibles de constituer des infractions prévues par d’autres lois sont portés à la connaissance des autorités compétentes, ceux-ci seront signalés à l’organe compétent de surveillance et de contrôle ainsi qu’au ministère public aux fins qui s’imposent.

Le Gouvernement est habilité à adopter toutes les dispositions nécessaires à la mise en œuvre et à l’exécution de la présente loi.

Première. Tant que les systèmes électroniques de carte d’identité électronique n’auront pas été mis en place au sein des services publics de l’administration publique, l’utilisation de copies ou de photocopies des originaux sera maintenue dans le cadre des procédures et démarches de l’administration publique électronique.

Deuxième. Tant que l’autorité publique de certification habilitée et qualifiée n’aura pas été constituée, et que ses fonctions n’auront pas été attribuées à un autre organisme spécifique, le Centre national pour l’informatisation publique de Guinée Équatoriale (CNIAPGE) est désigné, à titre transitoire et pour une période non renouvelable d’un an, pour exercer les fonctions de certification de ladite entité.

Sont abrogées toutes les dispositions de rang égal ou inférieur qui s’opposent à la présente loi.

La présente loi entrera en vigueur quatre-vingt-dix jours après sa publication au Journal officiel de l’État et dans les médias nationaux.