Décret n° 2019-0248/P-RM du 27 mars 2019 fixant les conditions de délivrance de l’agrément aux prestataires de services de cryptologie ainsi que leurs obligations

Le présent décret fixe les conditions de délivrance de l’agrément aux prestataires de services de cryptologie ainsi que leurs obligations.

Toute personne physique ou morale de droit malien, ci-après dénommée « le demandeur », sollicitant la délivrance de l’agrément, doit adresser un dossier à l’Autorité malienne de Régulation des Télécommunications des Technologies de l’Information et de la Communication et des Postes.

La délivrance de l’agrément est subordonnée au paiement des frais de dossiers.

La demande d’agrément de prestation de services de cryptologie est établie sur un formulaire conçu et mis à disposition par l’Autorité malienne de Régulation des Télécommunications, des Technologies de l’Information et de la Communication et des Postes.

Le formulaire comporte, selon le cas, les informations suivantes :

• l’identification du demandeur et son adresse ;
• dans le cas d’une personne physique : nom et prénoms,
• dans le cas d’une personne morale : la composition de la direction, la composition du capital,
• toute information permettant de vérifier les conditions fixées par la loi,
• la dénomination et le siège social ;
• la zone de couverture ;
• la description des compétences et expériences ;
• les tarifs appliqués ;
• toute autre information demandée par l’Autorité.

Le dossier d’agrément comprend, les pièces suivantes :

Pour la personne physique :

• une copie certifiée conforme de la pièce d’identité ;
• un casier judiciaire ;
• le certificat de nationalité ;
• le reçu des frais de dossier.

Pour la personne morale :

• une copie certifiée conforme des statuts ;
• une copie certifiée conforme du numéro d’identification fiscale (NIF) ;
• une copie certifiée conforme de l’acte d’immatriculation au registre du commerce et du crédit mobilier ;
• les copies certifiées conformes des diplômes du personnel ;
• le contrat de travail visé par les services du Travail ;
• le reçu des frais de dossier.

Tout détenteur d’agrément doit respecter un cahier des charges établi par décision de l’Autorité. Ce cahier des charges doit comporter les éléments ci-après :

• l’énumération des moyens ou des prestations de cryptologie que le prestataire agréé est autorisé à gérer ;
• l’énumération des moyens ou des prestations de cryptologie que le prestataire agréé peut utiliser ou fournir ;
• les conditions techniques, sécuritaires ou administratives garantissant le respect des obligations imposées au prestataire agréé ;
• les conditions de manipulation et de protection des données à caractère personnel ;
• les conditions de transfert à un autre prestataire agréé des conventions secrètes en cas de cessation d’activité, de retrait ou à la demande de l’utilisateur ;
• le format électronique standardisé dans lequel doivent être transcrites les conventions secrètes, en cas de cessation d’activité ou de retrait d’agrément ;
• les dispositions techniques et sécuritaires prises lors de la mise en service des conventions secrètes afin d’identifier le prestataire agréé gérant lesdites conventions ainsi que les utilisateurs concernés ;
• les conditions techniques d’utilisation des conventions secrètes, les moyens ou prestations et les mesures nécessaires pour assurer leur intégrité et leur sécurité.

Le cahier des charges comporte également une annexe précisant les modalités pratiques de remise des conventions secrètes aux autorités administratives et judiciaires compétentes ou de leur mise en œuvre à la demande desdites autorités.

A l’exception de son annexe, le contenu du cahier des charges peut être communiqué, à leur demande, aux utilisateurs dont le prestataire agréé gère les conventions secrètes.

L’Autorité est habilitée à :

• accéder aux conventions secrètes des données chiffrées ;
• ordonner le déchiffrement des données.

A cet effet, elle peut, le cas échéant, recourir aux services d’experts en cryptologie.

Toute proposition de modification du contenu du cahier des charges donne lieu à une nouvelle demande d’agrément.

Les services publics sont dispensés de la fourniture des pièces énoncées à l’article 4 du présent décret. Toutefois, ils sont tenus de se conformer aux prescriptions de l’article 3.

L’Autorité délivre un accusé de réception au dépôt du dossier.

L’Autorité dispose d’un délai de trente jours ouvrables, à compter de la date de l’accusé de réception, pour faire connaître sa décision.

Si le dossier est incomplet ou en cas de besoin d’informations supplémentaires ou de clarifications à apporter, l’Autorité invite, par écrit, le demandeur, dans le même délai de trente jours, à compléter son dossier ou à fournir les informations additionnelles.

Dans les cas suscités, le délai de réponse de l’Autorité court à compter de la date de dépôt ou de remise par le demandeur des pièces, informations ou clarifications.

Lorsque la prestation de services de cryptologie précisée n’est pas conforme à la règlementation, l’Autorité rejette la demande d’agrément et informe, par écrit, le demandeur. Ce rejet doit être motivé.

Lorsqu’un prestataire satisfait à l’obligation de prestation de services de cryptologie, tout intermédiaire qu’il peut charger, doit disposer de compétences et expériences requises.

Le prestataire de services de cryptologie est tenu de communiquer la liste des intermédiaires à l’Autorité.

Pour être agréé, le prestataire doit disposer d’un personnel qualifié. Les profils du personnel sont définis par décision de l’Autorité.

Dans le cas où le dossier est complet et la prestation de services de cryptologie conforme à la réglementation en vigueur, l’Autorité délivre au demandeur un récépissé d’agrément qui doit mentionner notamment les éléments suivants :

• le numéro d’enregistrement du prestataire de services de cryptologie ;
• les références du prestataire de services de cryptologie ;
• les services de cryptologie agréés ;
• la durée de validité de l’agrément.

Le prestataire de services de cryptologie peut être agréé pour une période de longue ou de courte durée :

• l’agrément est de longue durée lorsqu’il est accordé pour une durée de cinq ans renouvelable ;
• l’agrément de courte durée ne peut excéder six mois renouvelable une fois.

Le titulaire d’agrément est tenu d’informer à l’avance l’Autorité de :

• tout changement :
• dans le statut juridique du prestataire agréé ;
• dans la nature ou l’objet des activités du prestataire agréé ;
• de l’adresse de son domicile ou de son siège social ;
• de l’identité ou des qualités juridiques de ses représentants.
• toute fusion ou toute cession d’actions ou de parts sociales susceptibles d’entraîner un changement du contrôle du prestataire agréé ;
• toute cessation totale ou partielle de l’activité agréée.

Le non-respect des cas suscités conduit à l’annulation de l’agrément et l’Autorité se donne le droit de procéder à une nouvelle instruction du dossier.

L’arrêt d’une prestation de services de cryptologie doit être notifié, trente jours au préalable, à l’Autorité.

L’Autorité peut s’assurer, à tout moment et par tous les moyens, de l’exactitude de l’information.

La signature d’un contrat est obligatoire entre le prestataire agréé et l’utilisateur pour la gestion de ses conventions secrètes. Ce contrat comprend obligatoirement :

• la référence de l’agrément, la durée et la date d’expiration ainsi que tout élément d’information jugée utile par le cahier des charges ;
• un engagement écrit du prestataire agréé relatif à la confidentialité, à l’intégrité et à la sécurité des conventions secrètes qu’il gère pour le compte de l’utilisateur ;
• les modalités selon lesquelles l’utilisateur ou toute autre personne physique ou morale éventuellement mandatée par celui-ci, pourra, à sa demande, se faire délivrer une copie de ses conventions secrètes.

Le prestataire agréé constitue et tient à jour :

• une liste de ses clients ;
• un registre mentionnant toutes les demandes présentées par les autorités administratives et judiciaires compétentes concernant la mise en œuvre ou la remise des conventions secrètes.

Ce registre est signé par le demandeur et par l’employé du prestataire agréé.

Le prestataire agréé prend les mesures nécessaires pour préserver la sécurité des conventions secrètes qu’il gère au profit de ses clients, afin d’empêcher que lesdites conventions ne puissent être altérées, endommagées, détruites, consultées ou communiquées à des tiers non autorisés.

Le prestataire agréé prend toutes dispositions, notamment contractuelles, vis-à-vis de son personnel, de ses partenaires, clients et fournisseurs, afin que soit respectée la confidentialité des informations dont il a connaissance relativement à l’utilisation de ces conventions secrètes.

Tout prestataire agréé a l’obligation de conserver les conventions secrètes qui lui sont confiées.

A l’issue d’un délai de quatre ans, à compter de la date de signature du contrat, le prestataire agréé peut, après accord de l’utilisateur, déposer lesdites conventions secrètes auprès d’un autre prestataire agréé choisi sur une liste de prestataires agréés fixée par l’Autorité.

Le prestataire agréé a l’obligation de mettre en œuvre des conventions secrètes au profit de l’Autorité.

Une participation financière peut être demandée par le prestataire agréé à l’Autorité lorsque la mise en œuvre ou la remise des conventions secrètes mentionnée à l’alinéa précédent occasionne un volume de travail considérable pour le prestataire précité.

Le cas échéant, l’Autorité est compétente pour déterminer le montant de la participation financière.

Toutefois, l’exigence de cette participation ne constitue pas un obstacle à la mise en œuvre ou à la remise des conventions secrètes.

En cas de manquement aux dispositions du cahier des charges ou aux obligations du présent décret, l’agrément est retiré de plein droit par l’Autorité.

Sauf cas d’urgence, le retrait de l’agrément ne peut intervenir qu’après mise en demeure du titulaire, restée sans effet, dans un délai de huit jours, à compter de sa notification.

S’il apparaît qu’un agrément de prestation de services de cryptologie porte atteinte à la sûreté de l’Etat ou à l’intégrité du territoire national, l’Autorité doit, sans délai, interdire la poursuite de cette prestation de services de cryptologie et annuler le récépissé d’agrément, sans préjudice des sanctions pénales.

Le retrait de l’agrément est notifié par l’Autorité au prestataire agréé et publié par tout moyen.

Dès la notification du retrait de l’agrément, le prestataire concerné informe sans délai les utilisateurs de la cessation de son activité de gestion des conventions secrètes et leur communique la liste des prestataires agréés offrant les mêmes services.

Chaque utilisateur devra choisir un autre prestataire agréé pour lui confier la gestion de ses conventions secrètes. Ce choix s’impose au prestataire dont l’agrément est retiré pour la transmission des données.

Si l’utilisateur ne choisit pas dans un délai d’un mois, à partir de la cessation des activités du prestataire, ce dernier transcrit, sur un support électronique standardisé dont le format est défini dans le cahier des charges prévu à l’article 6 du présent décret, les conventions secrètes qu’il détient. Ce support est déposé d’office auprès d’un autre prestataire désigné par l’Autorité.

Les prestataires agréés sont tenus de mettre à la disposition du personnel mandaté par l’Autorité, lors des visites de contrôle, les informations, les documents et les outils nécessaires pour s’assurer du respect des obligations.

Tout récépissé d’agrément de prestation de services de cryptologie peut être annulé, à la suite du contrôle, par l’Autorité :

• en cas de détection de fausses informations ;
• en cas de non-respect des prescriptions du cahier des charges ;
• lorsque le prestataire agréé mène une activité autre que celle pour laquelle l’agrément a été délivré ;
• lorsque les conditions auxquelles est subordonnée la délivrance de l’agrément ne sont plus réunies.

Le Ministre de l’Economie numérique et de la Communication, le Ministre de la Justice, Garde des Sceaux et le Ministre de la Sécurité et de la Protection civile, sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret qui sera enregistré et publié au Journal officiel.