Décret n° 2021-0919/PT-RM du 21 décembre 2021 définissant les données d’identification et déterminant la durée et les modalités de leur conservation auprès des prestataires de services de communications électroniques

Le présent décret définit les données d’identification et détermine la durée et les modalités de leur conservation auprès des prestataires et fournisseurs de services de communications électroniques.

En application du présent décret, les catégories de données suivantes sont conservées :

A. Les données nécessaires pour retrouver et identifier la source d’une communication :

• 1° en ce qui concerne la téléphonie fixe et la téléphonie mobile :
• le numéro de téléphone de l’appelant ;
• les nom, prénoms ou dénomination sociale et adresses de l’abonné ou de l’utilisateur inscrit ;
• 2° en ce qui concerne l’accès à l’internet, le courrier électronique et la téléphonie par l’internet :
• le (s) numéro (s) d’identifiant attribué (s) ;
• le numéro d’identifiant et le numéro de téléphone attribués à toute communication entrant dans le réseau téléphonique public ;
• les nom, prénoms ou dénomination sociale et adresse de l’abonné ou de l’utilisateur inscrit à qui une adresse IP, un numéro d’identifiant ou un numéro de téléphone ont été attribués au moment de la communication ;

B. Les données nécessaires pour identifier la destination d’une communication :

• 1° en ce qui concerne la téléphonie fixe et la téléphonie mobile :
• le (s) numéro (s) composé (s), [le (s) numéro(s) de téléphone appelé (s)] et, dans les cas faisant intervenir des services à valeurs ajoutées ;
• les nom, prénoms ou dénomination sociale et adresse de l’abonné ou de l’utilisateur inscrit ;
• 2° en ce qui concerne le courrier électronique et la téléphonie par l’internet :
• le numéro d’identifiant ou le numéro de téléphone du (des) destinataire (s) prévu (s) d’un appel téléphonique par l’internet ;
• les nom, prénoms ou dénomination sociale et adresse de l’abonné ou de l’utilisateur inscrit et le numéro d’identifiant du destinataire prévu de la communication ;

C. Les données nécessaires pour déterminer la date, l’heure et la durée d’une communication :

• 1° en ce qui concerne la téléphonie fixe et la téléphonie mobile, la date et l’heure de début et de fin de la communication ;
• 2° en ce qui concerne l’accès à l’internet, le courrier électronique et la téléphonie par l’internet, la date et l’heure de l’ouverture et de la fermeture de la session du service d’accès à l’internet, l’adresse IP et le numéro d’identifiant de l’abonné ou de l’utilisateur inscrit.

D. Les données nécessaires pour déterminer le type de communication :

• 1° en ce qui concerne la téléphonie fixe et la téléphonie mobile, le service téléphonique utilisé ;
• 2° en ce qui concerne le courrier électronique par l’internet et la téléphonie par l’internet, le service internet utilisé.

E. Les données nécessaires pour identifier le matériel de communication des utilisateurs :

• 1° en ce qui concerne la téléphonie fixe :
• le numéro de téléphone de l’appelant et le numéro appelé ;
• le numéro de téléphone de l’appelant pour l’accès commuté ;
• la ligne d’abonné numérique ou tout autre point terminal de l’auteur de la Communication.
• 2° en ce qui concerne la téléphonie mobile :
• le numéro de téléphone de l’appelant et le numéro appelé ;
• l’identité internationale d’abonné mobile de l’appelant ;
• l’identité internationale d’équipement mobile de l’appelant ;
• l’identité internationale d’équipement mobile de l’appelé ;
• la date et l’heure de la première activation du service ainsi que l’identité de localisation dans le cas des services anonymes à prépaiement ;
• l’identité de localisation au début de la communication ;
• les données permettant d’établir la localisation géographique des cellules.
• 3° en ce qui concerne l’ordinateur :
• l’adresse MAC de l’équipement ;
• l’adresse IP affectée à l’équipement.

Les données relevant le contenu des communications par voie électronique ne peuvent, en aucun cas, faire l’objet de collecte et de conservation, sous quelque forme que soit, au titre du présent décret.

Les données visées à l’article 2 du présent décret sont conservées, dans la mesure où elles sont générées ou traitées par des prestataires et fournisseurs de services de communications électroniques accessibles au public ou fournies à travers des réseaux de communications ouverts au public.

L’obligation de conservation des données visées à l’alinéa précédent concerne les appels téléphoniques et les données de l’internet.

L’obligation de conservation vise la poursuite des trois finalités suivantes :

• les besoins de la recherche, la constatation et la poursuite des infractions ;
• les besoins de la facturation et du paiement des prestations de télécommunications ;
• les besoins de la sécurité des réseaux et des installations.

Dans le traitement des données à caractère personnel, certaines données de connexion peuvent être conservées dans un but commercial.

Toutefois, les traitements justifiés par la sécurité publique et la recherche des infractions pénales dérogent à ce principe.

Les données à caractère personnel peuvent être collectées et traitées pour la poursuite de plusieurs finalités.

Une même donnée peut être appelée à figurer dans plusieurs traitements mis en œuvre au sein d’une même entité. Cette donnée pourra, par conséquent, être soumise à des durées de conservation différentes définies par la loi au regard de la finalité de chacun de ces traitements.

Le responsable du traitement des données a l’obligation d’assurer la sécurisation desdites données.

Sans préjudice des dispositions adoptées en application du présent décret, respectent les principes suivants en matière de sécurité des données, pour ce qui concerne les données conservées :

• les données conservées doivent être de la même qualité et soumises aux mêmes exigences de sécurité et de protection que les données sur le réseau ;
• les données font l’objet de mesures techniques et organisationnelles appropriées afin de les protéger contre la destruction accidentelle ou illicite, la perte ou l’altération accidentelle, ou le stockage, le traitement, l’accès ou la divulgation non autorisés ou illicites ;
• les données font l’objet de mesures techniques et organisationnelles appropriées afin de s’assurer que l’accès aux données n’est effectué que par un personnel spécifiquement autorisé ;
• les données sont détruites lorsque leur durée de conservation prend fin à l’exception de celles définies à l’article 9 du présent décret.

Le non-respect de l’obligation de sécurité et de confidentialité est sanctionné par les textes en vigueur en République du Mali.

L’obligation de sécurité est de la responsabilité du responsable de traitement des données, quels que soit leurs lieux de stockage, y compris en cas de recours à la sous-traitance pour assurer la mise en œuvre de traitement de ces données à caractère personnel conformément aux dispositions législatives et réglementaires en vigueur sur la protection des données à caractère personnel.

Le responsable du traitement doit mettre en œuvre les mesures techniques et organisationnelles appropriées pour assurer la sécurité et la confidentialité des données.

Les catégories de données visées à l’article 2 sont conservées pour une durée de trois ans à compter de la date de la communication.

Pour les besoins de la facturation, les fournisseurs de services sont autorisés à conserver les données pour une durée de trois ans.

La conservation des données nécessaires à la sécurité des réseaux et des installations ne pourrait dépasser trois ans.

Passé ces délais, les données à caractère personnel seront effacées conformément à la réglementation en vigueur et leur maintien délibéré constituerait une infraction et sera sanctionnée comme telle.

Les prestataires des services de communication par voie électronique sont tenus de transmettre, en cas de besoin, aux autorités compétentes, dans un format exploitable, des preuves de leur conformité aux durées prescrites par le présent décret.

Les trois possibilités de dérogation au principe général d’effacement sont :

• l’effacement des données relatives au trafic peut être différé pour une durée maximale de trois ans, et seulement dans le but de mettre à la disposition des autorités judiciaires des informations ;
• les prestataires et fournisseurs de services de communications électroniques pour des besoins de la facturation et du paiement des prestations de télécommunications, peuvent utiliser, conserver et, le cas échéant, transmettre à des tiers concernés directement les données relatives au trafic pour les besoins de la facturation et du paiement des prestations de communications électroniques, jusqu’à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des procédures engagées pour en obtenir le paiement, soit au maximum un an ;
• les prestataires et fournisseurs de services de communications électroniques peuvent conserver certaines données en vue d’assurer la sécurité de leurs réseaux pour une durée de trois ans maximum.

Une fois les délais de conservation des données pour les besoins de facturation ou de sécurité des réseaux expirés, les données ne pourront pas être utilisées à des fins de recherche, de constatation et de poursuite des infractions pénales.

Les exceptions au principe d’effacement visent, les données relatives au trafic, celles qui portent exclusivement sur l’identification des personnes utilisatrices des services fournis par les prestataires et fournisseurs de services de communications électroniques, celles sur les caractéristiques techniques des communications assurées par ces derniers et sur la localisation des équipements terminaux.

Les structures chargées du suivi de l’application du présent décret sont :

• l’Autorité malienne de Régulation des Télécommunications, des Technologies de l’Information et de la Communication et des Postes (AMRTP) ;
• l’Autorité de Protection des données à caractère personnel (APDP) ;
• le Service de Certification et de Signature électronique.

Elles exercent, en toute indépendance, leurs activités de contrôle et de surveillance.

Les statistiques sur la conservation de données traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public sont transmises annuellement aux autorités de contrôle. Ces statistiques doivent comporter également :

• les cas dans lesquels des informations ont été transmises aux autorités compétentes conformément à la législation en vigueur ;
• le laps de temps écoulé entre la date à partir de laquelle les données ont été conservées et la date à laquelle les autorités compétentes ont demandé leur transmission ;
• les cas dans lesquels des demandes de données n’ont pu être satisfaites.

Cependant, leur production doit se faire dans le respect des législations en vigueur, notamment la loi portant protection des données à caractère personnel.

Le Ministre de l’Economie numérique et de la Prospective et le Ministre de la Communication, chargé des Relations avec les Institutions, Porte-Parole du Gouvernement sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret qui sera enregistré et publié au Journal officiel.