Loi n° 2016-011 du 6 mai 2016 portant sur les règles applicables aux moyens, modalités, prestations et systèmes de cryptologie au Mali

La présente loi fixe les règles applicables aux moyens, modalités, prestations et systèmes de cryptologie.

Au sens de la présente loi, on entend par :

1) Accès dérobé : mécanisme permettant de dissimuler un accès à des données ou à un système informatique sans l’autorisation de l’utilisateur légitime ;

2) Activité de cryptologie : activité ayant pour but la production, l’utilisation, la fourniture, l’importation ou l’exportation des moyens de cryptologie ;

3) Agrément d’un produit ou d’un système : reconnaissance formelle que le produit ou le système évalué peut protéger jusqu’à un niveau spécifié par un organe agréé conformément à l’article 13 de la présente loi ;

4) Algorithme cryptologique : procédé permettant, avec l’aide d’une clé, de chiffrer et de déchiffrer des messages ou des documents ;

5) Authentification : procédure dont le but est de s’assurer de l’identité d’un utilisateur pour contrôler l’accès à un logiciel ou à un système d’information ou de vérifier l’origine d’une information ;

6) Bi-clé : couple clé publique/clé privée utilisé dans des algorithmes de cryptographie asymétrique ;

7) Chiffrement : opération qui consiste à rendre des données numériques inintelligibles à des tiers en employant la cryptographie définie au point 18 du présent article ;

8) Chiffrement par bloc : chiffrement opérant sur des blocs d’informations claires et sur des informations chiffrées ;

9) Chiffrer : action visant à assurer la confidentialité d’une information, à l’aide de Codes secrets, pour la rendre inintelligible à des tiers, en utilisant des mécanismes offerts en cryptographie ;

10) Clé : ensemble de caractères, de chiffres, avec une longueur spécifiée, destiné à chiffrer, à déchiffrer, à signer et à authentifier une signature. Une fois générée et chiffrée avec un système d’identification, la clé est unique dans le système d’information et appartient exclusivement à une personne désignée ;

11) Clé de chiffrement : série de symboles commandant les opérations de chiffrement et de déchiffrement ;

12) Clé privée : clé non publiable utilisée en cryptographie asymétrique et associée à une clé publique pour former une bi-clé définie au point 5 du présent article ;

13) Clé publique : clé utilisée en cryptographie asymétrique publiable et nécessaire à la mise en œuvre d’un moyen ou d’une prestation de cryptologie pour des opérations de chiffrement et de déchiffrement ;

14) Clé secrète : clé non publiée mais utilisée uniquement en cryptographie symétrique et nécessaire à la mise en œuvre d’un moyen ou d’une prestation de cryptologie pour des opérations de chiffrement et de déchiffrement ;

15) Conventions secrètes : accord de volontés portant sur des clés non publiées nécessaires à la mise en œuvre d’un moyen ou d’une prestation de cryptologie pour les opérations de chiffrement et de déchiffrement ;

16) Cryptanalyse : opération qui vise à rétablir une information inintelligible en information claire sans connaître la clé de chiffrement qui a été utilisée ;

17) Cryptographie : Etude des moyens et produits de chiffrement permettant de rendre inintelligibles des informations afin de garantir l’accès à un seul destinataire authentifié ;

18) Cryptologie : science relative à la protection et à la sécurité des informations notamment pour la confidentialité, l’authentification, l’intégrité et la non répudiation des données transmises. Elle est composée de la cryptanalyse et de la cryptographie ;

19) Cryptographie asymétrique : système de chiffrement et de déchiffrement utilisant deux clés, une clé privée gardée secrète et une clé publique distribuée ;

20) Cryptographie symétrique : système de chiffrement et de déchiffrement utilisant la même clé dite clé secrète ;

21) Déchiffrement : opération inverse du chiffrement ;

22) Information : élément de connaissance, exprimé sous forme écrite, visuelle, sonore ou numérique, susceptible d’être représenté à l’aide de conventions pour être utilisé, conservé, traité ou communiqué ;

23) Intégrité : propriété qui assure que des données n’ont pas été modifiées ou détruites de façon non autorisée lors de leur traitement, conservation et transmission ;

24) Moyens de cryptologie : l’ensemble des outils scientifiques et techniques (matériel ou logiciel) qui permettent de chiffrer et/ou de déchiffrer ;

25) Non répudiation : mécanisme permettant de garantir que la signature apposée sur un acte électronique est réalisée effectivement par l’une des parties sans aucune possibilité de le nier ;

26) Prestation de cryptologie : prestation visant à transformer à l’aide de Codes secrets des informations ou des signaux clairs en informations ou signaux inintelligibles pour des tiers ou à réaliser l’opération inverse, grâce à des moyens, matériels ou logiciels conçus à cet effet ;

27) Prestataire de services de cryptologie : personne physique ou morale, qui fournit une prestation de cryptologie.

Les termes et expressions non définis dans cette loi, ont la définition ou la signification donnée par les lois et règlements en vigueur ainsi que par les instruments juridiques internationaux auxquels la République du Mali a souscrit, notamment, la Convention de l’Union Internationale des Télécommunications, le règlement des radiocommunications et le règlement des télécommunications internationales.

La présente loi est applicable en matière administrative, commerciale, sociale et civile dans les cas suivants :

• à tous types de messages de données auxquels est attachée une signature légale ;
• aux relations entre utilisateurs de signatures électroniques ;
• à l’usage de la signature électronique entre utilisateurs et pouvoirs publics ainsi qu’au sein de l’administration publique.

Les dispositions de la présente loi ne s’appliquent pas aux :

• 1° applications spécifiques utilisées en matière de défense, de sécurité et de sureté nationales ;
• 2° moyens de cryptologie utilisés par les missions diplomatiques et consulaires visées par la Convention de Vienne sur les relations diplomatiques ;
• 3° utilisations privées ou de recherche.

L’autorité de régulation des télécommunications, des technologies de l’information et de la communication et des postes, sans préjudice des missions qui lui sont assignées par les lois et règlements en vigueur, est chargée de la régulation des activités et services de cryptologie.

A cet effet, elle est chargée :

• 1° de statuer sur toute question relative au développement des moyens ou prestations de cryptologie en République du Mali ;
• 2° de donner un avis sur les projets de textes législatifs et réglementaires en matière de cryptologie ;
• 3° d’homologuer les normes techniques adoptées dans le domaine de la sécurité des systèmes d’information en général et celui de la cryptologie en particulier.

L’Autorité est compétente pour :

• 1° recevoir les déclarations prévues à l’article 11 de la présente loi ;
• 2° délivrer les autorisations prévues à l’article 13 de la présente loi ;
• 3° délivrer des agréments aux prestataires de services de cryptologie conformément aux dispositions des articles 14 et 20 de la présente loi ;
• 4° demander aux assujettis la communication des descriptions des caractéristiques techniques des moyens de cryptologie ;
• 5° mener des enquêtes et procéder à des contrôles sur les prestataires de services de cryptologie ainsi que sur les produits fournis ;
• 6° prononcer des sanctions administratives à l’encontre des contrevenants conformément aux dispositions de l’article 20 de la présente loi ;
• 7° défendre les intérêts de la République du Mali dans les instances et organismes régionaux et internationaux traitant de la cryptologie.

Les décisions prises par l’Autorité peuvent faire l’objet d’un recours pour excès de pouvoir dans les conditions prévues par la loi organique fixant l’organisation, les règles de fonctionnement de la Cour suprême et la procédure suivie devant elle.

L’utilisation des moyens et prestations de cryptologie est libre :

• 1° lorsque le moyen ou la prestation de cryptologie ne permet pas d’assurer des fonctions de confidentialité, notamment lorsqu’il ne peut avoir comme objet que d’authentifier une communication ou d’assurer l’intégrité du message transmis ;
• 2° lorsque la fourniture, le transfert depuis/vers un pays membre de la Communauté des Etats de l’Afrique de l’Ouest (CEDEAO) ou de l’Union Economique et Monétaire Ouest Africaine (UEMOA), l’importation et l’exportation des moyens de cryptologie permettent d’assurer exclusivement des fonctions d’authentification ou de contrôle d’intégrité ;
• 3° lorsque le moyen ou la prestation assure des fonctions de confidentialité et n’utilise que des conventions secrètes gérées selon les procédures et par un organisme agréé conformément aux dispositions des articles 18 et 19 de la présente loi, et dans les conditions fixées par décret.

Les modalités d’utilisation de la taille de certaines clés sont fixées par décret pris en Conseil des Ministres, sans préjudice de l’application des dispositions de l’article 9 de la présente loi.

La fourniture ou l’importation d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité est soumise à une déclaration préalable auprès de l’Autorité.

Les conditions dans lesquelles est effectuée la déclaration visée à l’alinéa premier du présent article sont fixées par décret pris en Conseil des Ministres.

Le prestataire ou la personne procédant à la fourniture ou à l’importation d’un service de cryptologie tient à la disposition de l’Autorité une description des caractéristiques techniques de ce moyen de cryptologie, ainsi que le Code source des logiciels utilisés.

Sauf dispositions contraires, l’exportation d’un moyen de cryptologie n’assurant pas exclusivement des fonctions d’authentification ou de contrôle d’intégrité est soumise à l’autorisation de l’Autorité.

Les prestataires de services de cryptologie sont agréés par l’Autorité.

Les conditions de délivrance de l’agrément aux prestataires de cryptologie ainsi que leurs obligations sont précisées par décret pris en Conseil des Ministres.

Les prestataires de services de cryptologie sont soumis au secret professionnel.

Tout prestataire de services de cryptologie, avant sa prise de fonction, doit prêter serment devant la juridiction territorialement compétente en ces termes :

« Je jure de bien et loyalement remplir mes fonctions de prestataire de services de cryptologie dans la droiture, la confidentialité, la prudence et l’impartialité ; dans le respect de la dignité humaine ; d’observer les devoirs et la réserve qu’elles m’imposent conformément aux lois et règlements en vigueur.

Je promets de ne rien révéler ou utiliser de ce qui sera porté à ma connaissance pendant et après mes fonctions de prestataire ».

Les prestataires de services de cryptologie à des fins de confidentialité sont responsables du préjudice causé aux personnes leur confiant la gestion de leurs conventions secrètes, en cas d’atteinte à l’intégrité, à la confidentialité ou à la disponibilité des données transformées à l’aide de ces conventions.

Les prestataires de services de cryptologie sont responsables vis-à-vis des personnes qui se sont raisonnablement fiées à leur produit, du préjudice résultant de leur faute intentionnelle ou de leur négligence.

Toute clause contraire aux dispositions du présent article est réputée non écrite.

Les prestataires de services de cryptologie sont exonérés de toute responsabilité à l’égard des personnes qui font un usage non autorisé de leur produit.

Lorsqu’un prestataire de services de cryptologie, même à titre gratuit, ne respecte pas les obligations auxquelles il est assujetti en application de la présente loi, l’Autorité peut, après une procédure contradictoire, prononcer :

• 1° l’interdiction d’utiliser ou de mettre en circulation le moyen de cryptologie concerné ;
• 2° le retrait provisoire, pour une durée ne pouvant dépasser six mois, de l’autorisation accordée ;
• 3° les amendes dont le montant est fixé en fonction de la gravité des manquements commis et en relation avec les avantages ou les profits tirés de ces manquements ;
• 4° le retrait définitif de l’autorisation.

Les infractions aux dispositions de la présente loi sont prévues et réprimées conformément à la législation en vigueur.

Les personnes physiques ou morales assurant des prestations de cryptologie ou exerçant des activités de cryptologie disposent d’un délai de six mois à compter de la date d’entrée en vigueur de la présente loi, pour régulariser leur situation auprès de l’Autorité de régulation.

Les modalités d’application de la présente loi sont fixées par décret pris en Conseil des Ministres.

La présente loi sera enregistrée et publiée au Journal officiel.