Décret n° 2022-021 du 3 mars 2022 relatif à la conservation des données électroniques et au filtrage

Pour l’application du présent décret, les définitions prévues à l’article premier de la Loi n° 2018-022 du 12 juin 2018, portant sur les transactions électroniques sont admises.

Le présent décret est pris pour l’application des articles 25, 26, 33 et 36 de la loi n° 2018-022 du 12 juin 2018, portant sur les transactions électroniques. Il définit les obligations des fournisseurs de services tels que définis par la loi susmentionnée en matière de conservation de données et, le cas échéant de filtrage. Il précise également les peines applicables en cas d’infractions aux dispositions des articles 25 à 35 du chapitre III de la loi susmentionnée.

Les données visées à l’article 33 de la loi n° 2018-022 du 12 juin 2018 portant sur les transactions électroniques susmentionnée, que les personnes sont tenues de conserver en vertu de cette disposition, sont les suivantes :

1) Pour les personnes qui exercent une activité d’opérateur de communications électroniques, au sens de la loi n° 2013-025 du 15 juillet 2013 portant sur les communications électroniques, tels que visés à l’article 25 de la loi n° 2018-022 du 12 juin 2018 portant sur les transactions électroniques, et pour chaque connexion de leurs abonnés :

• a) l’identifiant de la connexion ;
• b) l’identifiant attribué par ces personnes à l’abonné ;
• c) l’identifiant du terminal utilisé pour la connexion lorsqu’elles y ont accès ;
• d) les dates et heure de début et de fin de la connexion ;
• e) les caractéristiques de la ligne de l’abonné.

2) Pour les personnes physiques et morales visées au premier alinéa de l’article 26 de la loi n° 2018-022 du 12 juin 2018, portant sur les transactions électroniques, et pour chaque opération contribuant à la création de contenu :

• a) l’identifiant de la connexion à l’origine de la communication ;
• b) l’identifiant attribué par le système d’information au contenu, objet de l’opération ;
• c) les types de protocoles utilisés pour la connexion au service et pour le transfert des contenus ;
• d) la nature de l’opération ;
• e) la date et l’heure de l’opération.
• f) l’identifiant utilisé par l’auteur de l’opération lorsque celui-ci l’a fourni ;

3) Pour les personnes visées aux points 1° et 2° ci-dessus, les informations fournies lors de la souscription d’un contrat par un utilisateur ou lors de la création d’un compte :

• a) au moment de la création du compte, l’identifiant de cette connexion ;
• b) les nom et prénom ou la raison sociale ;
• c) les adresses postales associées ;
• d) les pseudonymes utilisés ;
• e) les adresses de courrier électronique ou de compte associés ;
• f) les numéros de téléphones ;
• g) les données permettant de vérifier le mot de passe ou de le modifier, dans leur dernière version mise à jour.

4) Pour les mêmes personnes visées aux points 1° et 2° ci-dessus, lorsque la souscription du contrat ou du compte est payante, les informations suivantes relatives au paiement, pour chaque opération de paiement :

• a) le type de paiement utilisé ;
• b) la référence du paiement ;
• c) le montant ;
• d) la date et l’heure de la transaction. Les données visées aux points 3° et 4° ci-dessus ne doivent être conservées que dans la mesure où ces personnes les collectent habituellement.

La contribution à une création de contenu comprend les opérations portant sur :

• a) des créations initiales de contenus ;
• b) des modifications des contenus et de données liées aux contenus ;
• c) des suppressions de contenus.

La durée de conservation des données visées à l’article 3 est fixée à un an :

• a) s’agissant des données visées aux points 1° et 2° de l’article 3 ci-dessus, à compter du jour de la création des contenus, pour chaque opération contribuant à la création d’un contenu telle que définie à l’article 4 ;
• b) s’agissant des données au point 3° de l’article 3 ci-dessus, à compter du jour de la résiliation du contrat ou de la fermeture du compte ;
• c) s’agissant des données visées au point 4° de l’article 3 ci-dessus, à compter de la date d’émission de la facture ou de l’opération de paiement, pour chaque facture ou opération de paiement.

La conservation des données visées à l’article 3 du présent décret est soumise aux dispositions de la loi n° 2017-020 du 22 juillet 2017 portant sur la protection des données à caractère personnel sur la Protection des données à caractère personnel.

Les conditions de la conservation par les fournisseurs de service tels que définis par la loi n° 2018-022 du 12 Juin 2018, portant sur les transactions électroniques, doivent permettre une extraction, dans les meilleurs délais pour répondre à une demande des autorités judiciaires et, le cas échéant, des autorités administratives dans les conditions prévues au présent décret.

La communication de tout ou partie des données listées à l’article 3 du présent décret peut être uniquement requise par :

• les officiers de police judiciaire sur autorisation du Procureur de la République ;
• le Pôle antiterroriste ;
• un huissier agissant dans le cadre d’une décision de la justice ;
• le Ministre chargé de la justice, le Ministre chargé de la défense, le Ministre chargé de l’intérieur, le Ministre chargé des finances et le Ministre chargé du numérique. Seuls peuvent solliciter ces informations, les agents individuellement désignés et dûment habilités par le Ministre dont ils relèvent.

Lorsqu’il s’agit d’une demande de communication de données auprès des personnes désignées aux points 1° et 2° de l’article 3 du présent décret, émise par le Procureur de la République ou, par l’officier de police judiciaire qu’il a dûment autorisé, ces personnes transmettent sans délai les informations requises au procureur ou à l’officier de police judiciaire auteur de la demande.

La transmission des données requises à l’autorité judiciaire par les personnes visées aux 1° et 2° de l’article 3 du présent décret est effectuée selon des modalités assurant leur sécurité, leur intégrité et leur suivi.

Les personnes visées aux points 1° et 2° de l’article 3 du présent décret qui ne transmettent pas, sans motif recevable, les informations requises dans les délais les plus brefs, encourent l’amende prévue à l’article 36 de la loi n° 2018-022 du 12 juin 2018 portant sur les transactions électroniques.

Le Président de l’Autorité de protection des données à caractère personnel, désigne parmi les membres de l’Autorité une personnalité qualifiée, chargée de statuer sur la validité des demandes motivées des agents des administrations visées au paragraphe dernier de l’article 7 du présent décret.

La personnalité qualifiée établit un rapport annuel d’activité destiné au grand public, par publication sur le site de l’Autorité de protection des données à caractère personnel ou par tout autre moyen approprié.

La décision de nomination de la personnalité qualifiée sera publiée au Journal officiel de la République Islamique de Mauritanie.

Les demandes de recueil d’informations par les agents des administrations visées à l’article 7 ci-dessus et soumises à la décision de la personnalité qualifiée susmentionnée comportent :

• a) le nom, le prénom et la qualité du demandeur ainsi que son service d’affectation et l’adresse de celui-ci ;
• b) la nature précise des informations dont le recueil est demandé et, le cas échéant, la période indiquée ;
• c) les motivations et finalités de la demande.

Les services techniques de l’Autorité de protection des données à caractère personnel en charge enregistrent et conservent pendant une durée maximale de trois ans, dans un traitement automatisé qu’ils mettent en œuvre, les demandes des agents et les décisions de la personnalité qualifiée ou de ses adjoints.

Ces demandes et ces décisions sont automatiquement effacées du traitement, sous l’autorité du Premier Ministre, à l’expiration de la durée de conservation.

Les demandes approuvées par la personnalité qualifiée ou par ses adjoints sont adressées par les agents concernés aux personnes visées aux 1° et 2° de l’article 3 du présent décret, accompagnées de la décision de la personnalité qualifiée autorisant la demande. Ces dernières transmettent sans délai les informations requises à l’agent auteur de la demande pour exploitation.

La transmission des données requises à l’agent demandeur par les personnes visées aux points 1° et 2° de l’article 3 du présent décret est effectuée selon des modalités assurant leur sécurité, leur intégrité et leur suivi.

Conformément à l’article 25 de la Loi n° 2018-022 du 12 juin 2018 portant sur les transactions électroniques, une autorité judiciaire ou une autorité administrative peut exiger :

• a) de toute personne visée au point 1° de l’article 3 du présent décret de mettre en œuvre tous les moyens permettant le blocage de l’accès aux contenus manifestement illicites tels que définis à l’article 15 ci-après ;
• b) de toute personne visée au 2° de l’article 3 du présent décret de retirer les contenus manifestement illicites tels que définis à l’article 15 ci-après.

Ces dispositions sont sans préjudice des obligations qui incombent aux fournisseurs de services au titre des articles 29, 30 et suivants de la loi susvisée leur imposant :

• i) de mettre à disposition du public des systèmes et moyens techniques efficaces permettant aux utilisateurs de leurs services le filtrage par catégorie de contenus ;
• ii) d’activer ce filtrage par défaut sur certaines de ces catégories ;
• iii) de procéder aux mises à jour nécessaires.

On entend par contenus manifestement illicites qui figurent au présent décret ce qui suit :

• a) les contenus constitutifs des infractions prévues aux articles 14 à 26 de la loi n° 2016-007 du 20 juin 2016 portant sur la cybercriminalité ;
• b) tout autre contenu transmis sur le réseau d’un opérateur de communications électroniques au sens de la loi n° 2013-025 du 15 juillet 2013 portant sur les communications électroniques et/ou hébergé par les personnes physiques ou morales visées par l’article 26 de la loi n° 2018-022 portant sur les transactions électroniques, constitutif d’autres infractions pénales ;
• c) tout contenu incitant à commettre des actes terroristes ou faisant l’apologie de tels actes tels que définis par la loi n° 2019-017 du 21 juillet 2019 relative la lutte contre le blanchissement de capitaux et le financement du terrorisme.

Le Procureur de la République est l’autorité judiciaire compétente pour ordonner aux personnes visées aux points 1° et 2° de l’article 3 du présent décret de mettre en œuvre tous les moyens permettant le blocage de l’accès ou le retrait des contenus illicites visés aux a) et b) de l’article 16 ci-dessus.

Le Procureur de la République demande d’abord à la personne visée au point 2° de l’article 3 du présent décret, de retirer les contenus visés aux a) et b) de l’article 15 ci-dessus. Il en informe simultanément les personnes visées au point 1° de l’article 3 du présent décret.

En l’absence de retrait de ces contenus dans un délai de vingt-quatre heures, le Procureur de la République peut notifier aux personnes visées au 1° de l’article 3 du présent décret la liste des adresses électroniques des éditeurs d’un service de communication électronique au public en ligne tels que définis à l’article 37 de la loi n° 2018-022 du 12 juin 2018 portant sur les transactions électroniques, mettant à disposition du public le contenu illicite au sens des paragraphes a) et b) de l’article 15 du présent décret. Ces personnes doivent alors empêcher sans délai l’accès à ces adresses.

Toutefois, si les adresses des éditeurs d’un service de communication au public en ligne susmentionnés ne sont pas connues, notamment parce qu’ils n’ont pas mis à disposition du public les informations exigées par l’article 37 de la loi n° 2018-022 du 12 juin 2018 portant sur les transactions électroniques, le Procureur peut ordonner aux personnes visées au point 1° de l’article 3 du présent décret les mesures de blocage au présent décret.

Les services relevant des Ministres chargés de la Justice, de la Défense et de l’Intérieur ainsi que le pôle d’Instruction antiterroriste visé par la loi n° 2019-017du 21 juillet 2019 relative la lutte contre le blanchissement de capitaux et le financement du terrorisme, sont compétents pour ordonner aux personnes visées aux points 1° et 2° de l’article 3 du présent décret, de mettre en œuvre tous les moyens permettant le blocage de l’accès à ou le retrait des contenus illicites visés au c) de l’article 15 du présent décret.

Les services relevant des Ministres chargés de la Justice, de la Défense ou de l’Intérieur ou le pôle d’Instruction antiterroriste observent la procédure décrite à l’article 17 du présent décret.

Toutefois, ces services informent au préalable de leur demande de mettre en œuvre tous les moyens permettant le blocage de l’accès ou le retrait des contenus illicites visés au c) de l’article 15 ci-dessus i) le pôle d’Instruction anti terroristes et ii) la personnalité qualifiée auprès du Premier Ministère.

La transmission auprès de la personnalité qualifiée par les services ministériels susmentionnés de la demande de mettre en œuvre tous les moyens permettant le blocage de l’accès ou le retrait des contenus illicites visés au c) de l’article 15 du présent décret comporte :

• a) le nom, le prénom et la qualité du demandeur ainsi que son service d’affectation et l’adresse de celui-ci ;
• b) la nature précise des contenus dont le blocage ou le retrait est demandé ;
• c) les motivations et finalités de la demande ;

La personnalité qualifiée s’assure de la régularité des demandes de blocage ou de retrait des contenus concernés.

Si elle constate une irrégularité ou une insuffisance de motivation, elle peut à tout moment recommander aux services relevant des ministères chargés de la Justice, de la Défense ou l’Intérieur de qui ont requis les mesures de blocage ou de retrait d’y mettre fin.

Si les services relevant des Ministres chargés de la Justice, de la Défense ou l’Intérieur ne suivent pas cette recommandation, la personnalité qualifiée peut saisir la chambre administrative de la Cour Suprême, en référé ou sur requête.

Les autorités judiciaires ou administrative visées aux articles précédents du présent titre peuvent également notifier les adresses électroniques des contenus illicites aux moteurs de recherche ou aux annuaires, lesquels prennent toute mesure utile destinée à faire cesser le référencement du service de communication au public en ligne dans un délai de 24 heures suivant la réception de la notification susvisée.

Les sanctions prévues à l’article 36 de la loi n° 2018-022 du 12 juin 2018 relative aux échanges électroniques, en cas de manquement aux obligations précisées dans le présent décret, sont infligées aux personnes visées aux 1 et 2 de l’article 3 du présent décret.

Les Ministres en charge de la Justice, de la Défense, de l’Intérieur, des Finances et du Numérique, sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret qui sera publié au Journal Officiel de la République Islamique de Mauritanie.