Loi n° 2015-08 du 10 février 2015 portant sur les transactions électroniques

Le présent chapitre régit les activités des prestataires de services de confiance établis en République du Tchad à savoir :

• a) les prestataires de services d’archivage électronique ;
• b) les prestataires de services d’horodatage électronique ;
• c) les prestataires de services de recommandé électronique ;
• d) les prestataires de services de certification électronique ;
• e) délivrant des certificats qualifiés.

Les prestataires visés à l’article 97 ci-dessus font preuve d’impartialité vis-à-vis des destinataires de leurs services et des tiers.

Les prestataires visés à l’article 97 ci-dessus ne peuvent détourner à des fins personnelles les données qui leur sont transmises. Ils ne peuvent les consulter que dans la mesure nécessaire à l’accomplissement de leurs services.

Les prestataires visés à l’article 97 ci-dessus mettent en œuvre les moyens nécessaires en vue de protéger les données qui leur sont transmises et qu’ils transmettent contre tout accès non autorisé.

Les prestataires visés à l’article 97 ci-dessus fournissent aux destinataires de leurs services, avant la conclusion du contrat et pendant toute la durée de celui-ci, un accès facile et direct aux informations suivantes formulées de manière claire et compréhensible :

• a) les modalités et conditions précises d’utilisation de leurs services ;
• b) le fonctionnement et l’accessibilité de leurs services ;
• c) les mesures qu’ils adoptent en matière de sécurité ;
• d) les procédures de notification d’incidents, de réclamation et de règlement des litiges ;
• e) les garanties qu’ils apportent ;
• f) l’étendue de leur responsabilité ;
• g) l’existence ou l’absence d’une couverture d’assurance et, le cas échéant son étendue ;
• h) la durée du contrat et les modalités pour y mettre fin ;
• i) le fait qu’ils sont accrédités par l’ANSICE conformément aux dispositions définies par voie réglementaire les effets juridiques attachés à leurs services.

Les prestataires visés à l’article 97 recourent à des personnes ayant les connaissances spécifiques, l’expérience et les qualifications nécessaires à la fourniture de leurs services.

Les prestataires visés à l’article 97 ci-dessus soumettent leur personnel à une obligation de confidentialité.

Les prestataires visés à l’article 97 ci-dessus doivent disposer de ressources financières suffisantes pour fonctionner conformément aux exigences prévues par la présente loi, en particulier pour endosser la responsabilité de dommages, en contractant, notamment, une assurance.

Le prestataire de service d’archivage électronique prend toutes les mesures nécessaires au maintien de la lisibilité des données pendant la durée de conservation convenue avec le destinataire du service.

Le prestataire de service d’archivage électronique met en œuvre des moyens nécessaires en vue d’empêcher, lors de la conservation, de la consultation ou du transfert, toute modification des données électroniques conservées, sous réserves des modifications relatives à leur support ou leur format électronique.

Le prestataire de service d’archivage électronique met en œuvre les moyens nécessaires en vue de détecter les opérations, normales ou frauduleuses, effectuées sur les données. Il veille, dans la mesure du possible, à permettre l’identification des auteurs de telles opérations.

Il enregistre des informations, veille à leur datation conformément aux dispositions des articles 120, 121, et 122 ci-dessous et conserve ces enregistrements pendant toute la durée de conservation des données.

Il veille à ce que ces enregistrements ne soient accessibles qu’aux personnes autorisées.

Le prestataire de service d’archivage électronique met en œuvre les moyens nécessaires pour protéger les données contre toute atteinte, frauduleuse ou accidentelle, lors de leur conservation et de leur transmission.

Il met en œuvre les moyens nécessaires pour empêcher tout accès non autorisé aux matériels, systèmes de communication et supports contenant les données.

Il met en place les procédures permettant de réagir rapidement aux incidents et limiter leurs effets.

Sous réserve d’exigences légales ou réglementaires particulières plus rigoureuses en matière d’archivage électronique, lorsqu’une obligation de conservation d’un document est imposée, de manière expresse ou tacite, par un texte légal ou réglementaire, cette obligation peut être satisfaite par le recours à un procédé d’archivage électronique répondant aux conditions définies aux articles 107 et 118 ci-dessous.

Sauf preuve contraire et sous réserve d’exigences légales ou réglementaires particulières plus rigoureuses en matière d’archivage, les documents conservés au moyen d’un procédé d’archivage électronique sont présumés avoir été conservés de manière à préserver leur intégrité, s’ils sont conservés conformément aux conditions définies aux articles 107 et 108 ci-dessous.

Pour bénéficier des effets prévus aux articles 109 et 110 ci-dessus, un prestataire de service d’archivage électronique doit :

• a) se conformer aux exigences des articles 98 à 104 ci-dessus, ainsi qu’à celles des articles 111, 112, 113, 114 et 115 de la présente loi ;
• b) être accrédité par l’Agence Nationale de Sécurité Informatique et de Certification Electronique (ANSICE).

Pour bénéficier des effets prévus aux articles 109 et 11O, une personne physique ou morale qui utilise son propre système d’archivage électronique pour son propre compte doit :

• a) prendre les mesures nécessaires au maintien de la lisibilité des données au moins pendant la durée de conservation légale ;
• b) mettre en œuvre les moyens nécessaires en vue d’empêcher, lors de la conservation, de la consultation ou du transfert, toute modifications des données électroniques conservées, sous réserve des modifications relatives à leur support ou format électronique ;
• c) mettre en œuvre les moyens nécessaires en vue de détecter les opérations, normales ou frauduleuses, effectuées sur les données, et veille, dans la mesure du possible, à permettre l’identification des auteurs de telles opérations ;
• d) enregistrer les informations visées au point c) ci-dessus, veiller à leur datation au moyen d’un horodatage électronique basé sur le temps universel coordonné et y faisant expressément référence et conserver ces enregistrements pendant toute la durée de conservation des données concernées ;
• e) veiller à ce que les enregistrements visés au point d) ci-dessus ne soient accessibles qu’aux personnes autorisées ;
• f) mettre en œuvre les moyens nécessaires en vue de protéger les données qu’il conserve contre toute atteinte frauduleuse ou accidentelle ;
• g) mettre en œuvre les moyens nécessaires en vue d’empêcher tout accès non autorisé aux données qu’il conserve ainsi qu’aux matériels, systèmes de communication et supports contenant les données ;
• h) mettre en place des procédures permettant de réagir rapidement aux incidents et limiter leurs effets ;
• i) mettre en place un système assurant que le processus de destruction volontaire des données archivées ne permet pas de les reconstituer, en tout ou partie ;
• j) recourir à des personnes ayant les connaissances spécifiques, l’expérience et les qualifications nécessaires pour gérer le système d’archivage électronique ;
• k) être accrédité par l’ANSICE.

Sauf preuve contraire et sous réserve d’exigences légales ou réglementaires particulières plus rigoureuses en matière d’archivage électronique, les copies numériques effectuées à partir d’un document sur support papier sont présumées en être une copie fidèle et durable si :

• a) elles reproduisent fidèlement, sous forme électronique, le document original, au moyen d’un système de numérisation accrédité par l’ANSICE ;
• b) les copies numériques et les données relatives au processus de numérisation du document original sont conservées conformément aux conditions définies par voie réglementaire.

Lorsqu’un document sur support papier n’existe plus les copies numériques de ce document ont la même valeur probante que ce document lorsqu’elles remplissent les conditions fixées par l’article 113 ci-dessus.

Le fait pour le destinataire du service de confier des données à un prestataire de service d’archivage électronique n’entraîne aucun transfert de droits sur les données.

Le prestataire du service ne peut procéder à la destruction des données qu’avec l’accord du destinataire, sans préjudice de l’article 116 alinéa 3 ci-dessous.

Lorsque le contrat d’archivage électronique prend fin, pour quelque motif que ce soit, le prestataire de service d’archivage électronique ne peut opposer au destinataire du service un quelconque droit de rétention des données.

Lorsque le contrat d’archivage électronique prend fin, pour quelque motif que ce soit, le prestataire de service d’archivage électronique demande par envoi recommandé au destinataire du service quel est le sort à réserver aux données qu’il lui a confiées conformément à l’article 117 ci-dessous.

En l’absence de réponse du destinataire dans les trois mois de la demande visée à l’alinéa 2 ci-dessus, le prestataire peut procéder à la destruction des données, sauf interdiction expresse d’une autorité judiciaire ou administrative compétente.

A la demande du destinataire du service, et dans un délai raisonnable, le prestataire de service d’archivage électronique, selon le cas :

• a) restitue au destinataire du service les données que ce dernier lui indique, sous une forme lisible et exploitable convenue avec le destinataire ;
• b) transmet loyalement les données que le destinataire lui indique à un autre prestataire de service d’archivage électronique en vue de la reprise du service, sous une forme lisible et exploitable convenue avec le nouveau prestataire de service d’archivage électronique, en accord avec le destinataire du service ;
• c) détruit définitivement les données que le destinataire du service lui indique, de telle sorte qu’elles ne puissent plus être reconstituées, en tout ou partie.

Dans les hypothèses prévues à l’article 117 ci-dessus, le prestataire ne conserve pas de copie des données restituées, transmises ou détruites, sauf demande expresse du destinataire du service ou d’une autorité judiciaire ou administrative compétente.

Les frais afférents aux opérations mentionnées à l’article 117 ci-dessus sont à charge du destinataire, à moins qu’il ne soit mis fin au contrat dans les circonstances visées à l’article 158, alinéa 2, de la présente loi.

Le prestataire de service d’archivage électronique est présumé en faute jusqu’à preuve du contraire si les données qui lui sont confiées :

• a) ne sont plus lisibles pendant la durée de conservation convenue avec le destinataire du service ;
• b) sont modifiées, sous réserve des modifications relatives à leur support ou leur format électronique ;
• c) ne peuvent être restituées, transmises à un autre prestataire ou détruites conformément aux articles 117 et 118 ci-dessus.

La datation fournie par un prestataire de service d’horodatage électronique est basée sur le temps universel coordonné et y fait expressément référence.

Le prestataire de service d’horodatage électronique s’assure que la datation fournie au destinataire du service peut être vérifiée pendant une durée convenue avec celui-ci.

Le prestataire de service d’horodatage électronique est responsable des dommages causés par une défaillance de son service ayant un impact sur l’exactitude de la datation d’un document.

Au moment de l’envoi du message, le prestataire de service de recommandé électronique délivre à l’expéditeur un accusé d’envoi, muni de sa signature électronique sécurisée, indiquant, conformément aux dispositions définies par voie réglementaires, la date à laquelle le message a été envoyé au destinataire.

Le prestataire de service de recommandé électronique met en œuvre les moyens nécessaires en vue :

• a) de protéger le contenu du message de l’expéditeur contre toute altération et modification ;
• b) de prévenir contre toute perte ou toute appropriation par un tiers du message ; et
• c) d’assurer la confidentialité des données transmises et conservées, et ce, tout au long du processus de communication et de conservation.

Le prestataire de service de recommandé électronique vérifie, par des moyens appropriés, l’identité du destinataire du recommandé électronique, avec ou sans accusé de réception, avant la délivrance du recommandé électronique.

Pour l’application de l’alinéa I ci-dessus, il est fait usage d’une signature électronique visée à l’article 20 de la présente loi.

Sans préjudice de l’article 9 de la présente loi, l’exercice d’une activité de prestataire de service certification électronique est soumis à l’accréditation préalable de l’autorité de certification et aux exigences prescrites par la présente loi.

Un certificat électronique ne peut être considéré comme qualifié que s’il est délivré par un prestataire de services de certification qui :

• a) se conforme aux exigences des dispositions des articles 98 à 104 et 130 à 140 de la présente loi ;
• b) est accrédité par l’ANSICE conformément aux dispositions définies par voie réglementaire.

Tout certificat qualifié doit comporter :

• a) une mention indiquant que le certificat est délivré à titre de certificat qualifié ;
• b) l’identification du prestataire de service de certification Électronique ainsi que le pays dans lequel il est établi ;
• c) le nom du signataire ou un pseudonyme identifié comme tel ;
• d) la possibilité d’inclure, le cas échéant, une qualité spécifique du signataire, en fonction de l’usage auquel le certificat est destiné :
• e) des données afférentes à la vérification de signature qui correspondent aux données pour la création de signature sous le contrôle du signataire ;
• f) l’indication du début et de la fin de la période de validité du certificat ;
• g) le Code d’identité du certificat  ;
• h) la signature électronique avancée du prestataire de service de certification électronique qui délivre le certificat ;
• i) les limites à l’utilisation du certificat, le cas échéant ;
• j) les limites à la valeur des transactions pour lesquelles le certificat peut être utilisé, le cas échéant.

Préalablement à la délivrance d’un certificat, le prestataire de service de certification électronique vérifie la complémentarité des données afférentes à la création et à la vérification de signature.

Les prestataires de service de certification électronique sont soumis aux exigences suivantes :

• a) faire la preuve qu’ils sont suffisamment fiables pour fournir des services de certification électronique ;
• b) assurer le fonctionnement d’un service d’annuaire rapide et sûr et d’un service de révocation sûr et immédiat ;
• c) veiller à ce que la date et l’heure d’émission et de révocation d’un certificat puissent être déterminées avec précision en recourant à un procédé d’horodatage électronique conforme aux critères retenus par l’ANSICE ;
• d) vérifier, par des moyens appropriés et conformes au droit national, l’identité et, le cas échéant, les qualités spécifiques de la personne à laquelle un certificat qualifié est délivré. Les vérifications imposées exigées peuvent être confiées à un autre prestataire et le prestataire de service de certification électronique s’assure, au marnent de la délivrance du certificat électronique, que les informations qu’il contient sont exactes et que le signataire, qui y est identifié, détient les données de création de signature électronique correspondant aux données de vérification de signature électronique contenues dans le certificat ;
• e) employer du personnel ayant les connaissances spécifiques, l’expérience et les qualifications nécessaires à la fourniture des services et, en particulier, des compétences au niveau de la gestion, des connaissances spécialisées en technologie des signatures électroniques et une bonne pratique des procédures de sécurité appropriées ;
• f) appliquer des procédures et méthodes administratives et de gestion qui soient adaptées et conformes à des normes reconnues ;
• g) utiliser des systèmes et des produits fiables qui sont protégés contre les modifications et qui assurent la sécurité technique et cryptographique des fonctions qu’ils assument ;
• h) prendre des mesures contre la falsification des certificats et, dans les cas où le prestataire de service de certification électronique génère des données afférentes à la création de signature, garantir la confidentialité au cours du processus de génération de ces données ;
• i) disposer des ressources financières suffisantes pour fonctionner conformément aux exigences prévues par la présente loi, en particulier pour endosser la responsabilité de dommages, en contractant, par exemple, une assurance appropriée ;
• j) enregistrer toutes les informations pertinentes concernant un certificat qualifié pendant le délai utile, en particulier pour pouvoir fournir une preuve de la certification en justice. Ces enregistrements peuvent être effectués par des moyens électroniques ;
• k) ne pas stocker ni copier les données afférentes à la création de signature de le personne à laquelle le prestataire de service de certification électronique a fourni des services de gestion de clés ;
• l) avant d’établir une relation contractuelle avec une personne demandant un certificat à l’appui de sa signature électronique, informer cette personne par un moyen de communication durable des modalités et conditions précises d’utilisation des certificats, y compris des limites imposées à leur utilisation, de l’existence d’un régime volontaire d’accréditation et des procédures de réclamation et de règlement des litiges. Cette information, qui peut être transmise par voie électronique, doit être faite par écrit et dans une langue aisément compréhensible. Des éléments pertinents de cette information doivent également être mis à la disposition, sur demande, de tiers qui se prévalent du certificat ;
• m) utiliser des systèmes fiables pour stocker les certificats sous une forme vérifiable de sorte que :
• seules les personnes autorisées puissent introduire et modifier des données ;
• l’information puisse être contrôlée quant à son authenticité ;
• les certificats ne soient disponibles au public pour des recherches que dans les cas où le titulaire du certificat a donné son consentement express ;
• toute modification technique mettant en péril ces exigences de sécurité soit apparente pour l’opérateur.

Le prestataire de service de certification électronique délivre un ou plusieurs certificats à toute personne qui en fait la demande, après avoir vérifié son identité et, le cas échéant, ses qualités spécifiques.

Dans le cas des personnes morales, le prestataire de services de certification électronique tient un registre contenant le nom et la qualité de la personne physique qui représente la personne morale et qui fait usage de la signature liée au certificat, de telle manière qu’à chaque utilisation de cette signature, on puisse établir l’identité de la personne physique.

Le prestataire de service de certification électronique fournit un exemplaire du Certificat au candidat titulaire.

Il conserve un annuaire électronique comprenant les certificats qu’il délivre et les dates de leur expiration.

A la demande du titulaire du certificat, préalablement identifié, le prestataire de service de certification électronique révoque immédiatement son certificat.

Le prestataire de service de certification électronique peut également révoquer un certificat lorsque :

• a) il existe des raisons sérieuses pour admettra que le certificat a été délivré sur la base d’informations erronées ou falsifiées, que les informations contenues dans le certificat ne sont plus conformes à la réalité ou que la confidentialité des données afférentes à la création de signature a été violée ;
• b) le prestataire de service de certification électronique arrête ses activités sans qu’il n’y ait reprise de celles-ci par un autre prestataire de service de certification électronique garantissant un niveau de qualité et de sécurité équivalent ;
• c) le prestataire de service de certification électronique est informé du décès de la personne physique ou de la dissolution de la personne morale qui en est le titulaire.

Le prestataire de service de certification électronique informe le titulaire de certificat, sauf en cas de décès de celui-ci, de la révocation de son certificat et motive sa décision.

La révocation d’un certificat est définitive.

Le prestataire de service de certification électronique est tenu de rappeler au titulaire de certificat, un mois à l’avance la date d’expiration de son certificat.

Le prestataire de service de certification électronique prend les mesures nécessaires afin de répondre à tout moment et sans délai à une demande de révocation.

Le prestataire de service de certification électronique est tenu d’inscrire la mention de la révocation du certificat dans l’annuaire électronique immédiatement après la prise de la décision de révocation. La révocation est opposable aux tiers à partir de cette inscription.

Un prestataire de service de certification électronique qui délivre à l’intention du public un certificat présenté comme qualifié ou qui garantit au public un tel certificat est responsable du préjudice causé à tout organisme ou personne physique ou morale, sauf s’il prouve qu’il n’a commis aucune négligence, qui, en bon père de famille, se fie raisonnablement à ce certificat pour ce qui est de :

• a) l’exactitude de toutes les informations contenues dans le certificat qualifié à la date où il a été délivré et la présence, dans ce certificat, de toutes les données prescrites pour un certificat qualifié ;
• b) l’assurance que, au moment de la délivrance du certificat, le signataire identifié dans le certificat qualifié détenait les données afférentes à la création de signature correspondant aux données afférentes à la vérification de signature fournies ou identifiées dans le certificat ;
• c) l’assurance que les données afférentes à la création de signature et celles afférentes à la vérification de signature puissent être utilisées de façon complémentaire, dans le cas où le prestataire de service de certification électronique génère ces deux types de données.

Un prestataire de service de certification électronique qui a délivré à l’intention du public un certificat présenté comme qualifié est responsable du préjudice causé à un organisme ou à une personne physique ou morale qui se prévaut raisonnablement du certificat, pour avoir omis de faire enregistrer la révocation du certificat, sauf si le prestataire de service de certification électronique prouve qu’il n’a commis aucune négligence.

Un prestataire de service de certification électronique peut indiquer, dans un certificat qualifié, les limites fixées à son utilisation, à condition que ces limites soient discernables par des tiers. Le prestataire de service de certification électronique ne doit pas être tenu responsable du préjudice résultent de l’usage d’un certificat qualifié qui dépasse les limites fixées par le prestataire à son utilisation.

Un prestataire de service de certification électronique peut indiquer, dans un certificat qualifié, la valeur maximale des transactions pour lesquelles le certificat peut être utilisé, à condition que cette valeur soit discernable par des tiers. Le prestataire de service de certification électronique n’est pas responsable des dommages qui résultent du dépassement de cette valeur maximale.

Le prestataire de service de certification électronique informe l’autorité de certification, dans un délai raisonnable n’excédant pas trente jours, de son intention de mettre fin à ses activités de prestataire de service de certification électronique qualifiée ainsi que de toute action qui pourrait conduire à la cessation de ses activités.

Dans ce cas, il doit s’assurer de la reprise de celles-ci par un autre prestataire de service de certification électronique garantissant un même niveau de qualité et de sécurité, et en informe les titulaires de certificats de ce changement au moins un mois à l’avance, en précisant l’identité du nouveau prestataire. Il offre aux titulaires des certificats la possibilité de révoquer leurs certificats.

A défaut de reprise de ses activités par un autre prestataire, le prestataire de service de certification électronique délivrant des certificats révoque les certificats deux mois après en avoir averti les titulaires. Dans ce cas, le prestataire de service de certification électronique prend les mesures nécessaires pour satisfaire aux exigences prévues aux articles 135 et 138 de la présente loi.

Le prestataire de service de certification électronique qui arrête ses activités pour des raisons indépendantes de sa volonté ou en cas de faillite en informe immédiatement l’autorité de certification. Il procède, le cas échéant, à la révocation des certificats, après en avoir informé leurs titulaires.

Un certificat qualifié délivré à l’intention du public dans les conditions requises par la présente loi par un prestataire de service de certification qui est établi dans un Etat membre de la CEMAC et de la CEEAC est assimilé aux certificats qualifiés délivrés par un prestataire de service de certification électronique établi sur le territoire national du Tchad.

Les certificats délivrés à titre de certificats qualifiés à l’intention du public par un prestataire de service de certification Électronique établi dans un pays tiers sont reconnus équivalents, sur le plan juridique, aux certificats délivrés par un prestataire de service de certification établi sur le territoire national du Tchad :

• a) si le prestataire de service de certification électronique remplit les conditions des instruments de la CEMAC et/ou de la CEEAC ;
• b) si un prestataire de service de certification électronique établi sur le territoire de l’Etat de sa délivrance et qui satisfait aux exigences de la loi y relative dudit Etat, garantit le certificat ;
• c) si le certificat ou le prestataire de service de certification électronique est reconnu en application d’un accord bilatéral ou multilatéral entre le Tchad et des pays tiers ou des organisations internationales.