Ordonnance n° 007/PCMT/2022 du 31 août 2022 portant sur la Cybercriminalité et Cyberdéfense en République du Tchad

En cas d’infraction relevant de la cybercriminalité, les officiers de police judiciaire et les agents habilités de l’ANSE procèdent aux enquêtes conformément aux dispositions du Code de Procédure Pénale en vigueur.

Lorsque des données stockées dans un système informatique ou dans un support permettant de conserver des données sur le territoire national, sont utiles à la manifestation de la vérité, les officiers de police judiciaire et les agents habilités de l’ANSE peuvent perquisitionner, accéder ou ordonner de perquisitionner ou d’accéder au système informatique ou à une partie de celui-ci ou au support de stockage.

Lorsque les officiers de police judiciaire et les agents habilités de l’ANSE perquisitionnent, accèdent ou ordonnent la perquisition ou l’accès d’une façon similaire à un système informatique spécifique ou à une partie de celui-ci, conformément à l’article précédent et ont des raisons de penser que les données recherchées sont stockées dans un autre système informatique ou dans une partie de celui-ci situé sur le territoire national, et que ces données sont légalement accessibles à partir du système initial ou disponibles pour ce système initial, ceux-ci peuvent étendre rapidement la perquisition ou l’accès d’une façon similaire à l’autre système.

Lorsque les officiers de police judiciaire et les agents habilités de l’ANSE découvrent dans un système informatique des données qui sont utiles à la manifestation de la vérité, mais que la saisie du support ne paraît pas souhaitable, ils peuvent saisir, ordonner la saisie ou l’obtenir d’une façon similaire des données informatiques pour lesquelles l’accès a été réalisé en application de l’article précédent. Cette mesure inclut les prérogatives suivantes :

• a) saisie ou obtention d’une façon similaire d’un système informatique ou d’une partie de celui-ci, ou un support do stockage informatique ;
• b) réalisation et conservation d’une copie de ces données ;
• c) préservation de l’intégrité des données informatiques stockées jugées pertinentes ;
• d) action en vue de rendre inaccessibles ou en vue d’enlever ces données informatiques du système informatique consulté.

Les officiers de police judiciaire et les agents habilités de l’ANSE peuvent ordonner à toute personne connaissant le fonctionnement du système informatique ou les mesures appliquées pour protéger les données informatiques qu’il contient de fournir toutes les informations raisonnablement nécessaires, pour permettre l’application des mesures prévues par le présent article, et par l’article précédent.

En cas de condamnation, le tribunal peut prononcer la confiscation des matériels, équipements, instruments, programmes informatiques ou données ainsi que des sommes aux produits résultant de l’infraction et appartenant au condamné.

L’écrit électronique en matière pénale est admis comme mode de preuve au même titre que l’écrit sur support papier pour établir les infractions à la loi pénale sous réserves des conditions suivantes :

• a) d’une part, qu’elle soit apportée au cours des débats contradictoires et discutée devant le juge ;
• b) d’autre part, que puisse être dûment identifiée la personne dont elle émane et qu’elle soit établie et conservée dans des conditions de nature à garantir son intégrité.

Les officiers de police judiciaire et les agents habilités de l’ANSE ont accès, lors des investigations, aux moyens de transport, à tout local à usage professionnel, à l’exclusion des domiciles privés, en vue de rechercher, de constater les infractions, de demander la communication de tous les documents professionnels et d’en prendre copie, de recueillir, sur convocation ou sur place, les renseignements et justifications nécessaires à l’accomplissement de leur mission.

Les perquisitions en matière de cybercriminalité sont susceptibles de porter sur des données stockées sur des supports physiques ou des copies réalisées en présence des personnes qui assistent à la perquisition.

Lorsqu’une copie des données saisies a été faite, celle-ci peut être détruite sur instruction du Procureur de la République pour des raisons de sécurité.

Sur accord du Procureur de la République, seuls seront gardés sous scellé par l’officier de Police Judiciaire, les objets, documents et données utilisées à la manifestation de la vérité.

Les personnes présentes lors de la perquisition peuvent être réquisitionnées pour fournir les renseignements sur les objets, documents el données saisis.

Les perquisitions et les saisies sont effectuées dans les conditions prévues par le Code de Procédure Pénale.

Lorsqu’il apparaît que les données saisies ou obtenues au cours de l’enquête ou de l’instruction ont fait l’objet d’opérations de transformation empêchant d’accéder en clair ou sont de nature à compromettre les informations qu’elles contiennent, le Procureur de la République, le Juge d’instruction ou la juridiction de jugement peuvent réquisitionner toute personne physique ou morale qualifiée, en vue d’effectuer les opérations techniques permettant d’obtenir la version en clair desdites données.

Lorsqu’un moyen de cryptographie a été utilisé, les autorités judiciaires peuvent exiger la convention secrète de déchiffrement du cryptogramme.

La réquisition prévue à l’article 19 ci-dessus peut être faite à tout expert. Dans ce cas, son exécution est faite conformément aux dispositions du Code de Procédure Pénale relative à la commission d’expert.

Les autorités judiciaires tchadiennes peuvent donner commission rogatoire tant nationale qu’internationale, à toute personne physique ou morale pour rechercher les éléments constitutifs des infractions de cybercriminalité, dont au moins l’un des éléments constitutifs a été commis sur le territoire de la République du Tchad ou dont l’un des auteurs ou complices se trouve dans ledit territoire.

Sous réserve des règles de réciprocité entre le Tchad et les pays tiers liés par un accord de coopération judiciaire, les commissions rogatoires sont exécutées conformément aux dispositions du Code de Procédure Pénale.

Les personnes physiques ou morales qui fournissent des prestations de cryptographie visant à assurer une fonction de confidentialité, sont tenues de remettre aux officiers de police judiciaire ou aux agents habilités de l’ANSE sur leur demande, les conventions permettant le déchiffrement des données transformées au moyen des prestations qu’elles ont fournies.

Les Officiers de Police Judiciaire et les agents habilités de l’ANSE peuvent demander aux fournisseurs des prestations visés à l’alinéa 1 ci-dessus de mettre eux-mêmes en œuvre ces conventions, sauf si ceux-ci démontrent qu’ils ne sont pas en mesure de satisfaire à de telles réquisitions.

Lorsque les nécessités de l’enquête ou de l’instruction le justifient, l’audition ou l’interrogatoire d’une personne et/ou la confrontation entre plusieurs personnes, peuvent être effectuées en plusieurs points du territoire national se trouvant reliés par des moyens de communications électroniques garantissant la confidentialité de la transmission. Il est dressé, dans chacun des lieux, un procès-verbal des opérations qui y ont été effectuées. Ces opérations peuvent faire l’objet d’enregistrement audiovisuel et/au sonore.

Lorsque les circonstances l’exigent, l’interprétation peut être faite au cours d’une audition, d’un interrogatoire ou d’une confrontation par des moyens de communications électroniques.

Les dispositions du présent article sont également applicables pour l’exécution simultanée, sur un point du territoire national et sur un point situé à l’extérieur, des demandes d’entraide émanant des autorités judiciaires étrangères ou des actes d’entraide réalisés à l’étranger sui demande des autorités judiciaires tchadiennes.

Si les nécessités de l’information l’exigent, notamment lorsqu’il y a des raisons de penser, que des données informatiques stockées dans un système informatique sont particulièrement susceptibles de perte ou de modification, les officiers de police judiciaire et les agents habilités de l’ANSE peuvent faire injonction à toute personne de conserver et de protéger l’intégrité des données en sa possession ou sous son contrôle, pendant une durée de deux ans maximum, pour la bonne marche des investigations judiciaires.

La personne en charge de la garde des données est tenue de garder le secret sur la mise en œuvre desdites procédures.

Les officiers de police judiciaire et les agents habilités de l’ANSE peuvent ordonner :

• a) à une personne présente sur le territoire national de communiquer les données informatiques spécifiées, en sa possession ou sous son contrôle, qui sont stockées dans un système informatique ou un support de stockage informatique ;
• b) à un fournisseur de services offrant des prestations sur le territoire national, de communiquer les données en sa possession ou sous son contrôle relatives aux abonnés et concernant de tels services.

Pour la constatation des infractions définies par la présente loi, les officiers de police judiciaire et les agents habilités de l’ANSE peuvent utiliser les moyens techniques appropriés pour collecter ou enregistrer en temps réel, les données relatives au contenu de communications spécifiques sur le territoire national, transmises au moyen d’un système informatique. Ils peuvent dans les mêmes circonstances, obliger un fournisseur de services, en considération de ses capacités techniques, à prêter aux autorités compétentes, son concours et son assistance pour la collecte ou enregistrement de ces données.

Le fournisseur de services a l’obligation de garder le secret sur les informations reçues.

Les officiers de police judiciaire et les agents habilités de l’ANSE peuvent collecter, enregistrer ou ordonner la collecte ou l’enregistrement par l’utilisation de moyens techniques existant sur le territoire national ou obliger un fournisseur de services, dans le cadre de ses capacités techniques existantes :

• a) à collecter ou à enregistrer les informations requises par l’utilisation de moyens techniques existant sur son territoire ;
• b) à prêter aux autorités compétentes son concours et son assistance pour collecter ou enregistrer, en relatives aux temps réel, les données trafics associés à des communications spécifiques transmises sur son territoire au moyen d’un système informatique.

Le fournisseur de services est tenu de garder le secret sur le fait que l’un quelconque des pouvoirs prévus dans le présent article ait été exécuté ainsi que toute information à ce sujet.

Si les officiers de police judiciaire et les agents habilités de l’ANSI sont convaincus que dans le cadre d’une enquête concernant une infraction prévue par la présente loi, il y a des motifs raisonnables de croire que des preuves essentielles rie peuvent pas être collectées par l’application d’autres Instruments énumérés au chapitre I, du titre III de la présente loi, ils peuvent utiliser un logiciel à distance et l’installer dans le système informatique de la personne mise en cause afin de recueillir les éléments de preuve pertinents recherchés. Afin d’éviter tout abus, la démarche doit nécessairement mentionner par écrit les informations suivantes :

• a) la personne mise en cause, si possible avec nom et adresse ;
• b) la description du système informatique ciblée ;
• c) la description de la mesure envisagée, l’étendue et la durée de l’utilisation ;
• d) les raisons de la nécessité de l’utilisation du logiciel.

Lorsqu’il y a des raisons de penser que des données archivées dans un système informatique sont particulièrement susceptibles de perte ou de modification, le juge d’instruction peut faire injonction à toute personne de conserver et de protéger l’intégrité des données en sa possession ou sous son contrôle pendant une durée de dix ans maximums, pour la bonne marche des investigations judiciaires.

La personne en charge de la garde des données ou toute autre personne chargée de conserver celles-ci sont tenues d’en garder le secret.

Toute violation du secret est punie des peines applicables au délit de violation du secret professionnel.

Si les nécessités de l’information l’exigent et lorsqu’il y a des raisons de craindre la disparition des données archivées valant preuve, le juge d’instruction peut faire injonction à toute personne de conserver et de protéger dans le secret l’intégrité des données en sa possession ou sous son contrôle, pendant une durée de dix ans maximums, pour la bonne marche des investigations judiciaires.

Lorsque des données stockées dans un système informatique ou dans un support permettant de conserver des données sur le territoire national, sont utiles à la manifestation de la vérité, le juge peut opérer une perquisition ou accéder à un système informatique ou à une partie de celui-ci ou dans un autre système informatique, dès lors que ces données sont accessibles à partir du système initial ou disponible pour le système initial.

S’il est préalablement avéré que ces données, accessibles à partir du système initial ou disponible pour le système initial, sont stockées dans un système informatique situé en dehors du territoire national, elles sont recueillies par le juge, sous réserve des conditions d’accès prévues par les engagements internationaux.

Lorsque le juge découvre dans un système informatique des données stockées qui sont utiles à la manifestation de la vérité, mais que la saisie du support ne paraît pas souhaitable, ces données, de même que celles qui sont nécessaires pour les comprendre, sont copiées sur des supports de stockage informatique pouvant être saisis et placés sous scellés.

Le juge désigne toute personne qualifiée pour utiliser les moyens techniques appropriées afin d’empêcher l’accès aux données visées à l’alinéa ci-dessus dans le Système informatique ou aux copies de ces données qui sont à la disposition de personnes autorisées à utiliser le système informatique et de garantir leur intégrité.

Si les données qui sont liées à l’infraction, soit qu’elles en constituent l’objet, soit qu’elles en ont été le produit, sont contraires à l’ordre public ou aux bonnes mœurs ou constituent un danger pour l’intégrité des systèmes informatiques ou pour des données stockées, traitées ou transmises par le biais de tels systèmes, le juge ordonne les mesures conservatoires nécessaires, notamment en désignant toute personne qualifiée avec pour mission d’utiliser tous les moyens techniques appropriés pour rendre ces données inaccessibles.

Lorsque la mesure prévue à l’alinéa 2 du présent Article n’est pas possible, pour des raisons techniques ou en raison du volume des données, le juge utilise les moyens techniques appropriées pour empêcher l’accès à ces données dans le système informatique, de même qu’aux copies de ces données qui sont à la disposition de personnes autorisées à utiliser le système informatique, de même que pour garantir leur intégrité.

Le juge informe le responsable du système informatique de la recherche effectuée dans le système informatique et lui communique une copie des données qui ont été copiées, rendues inaccessibles ou retirées.

Lorsqu’il apparaît que les données saisies ou obtenues au cours de l’enquête ou de l’instruction ont fait l’objet d’opérations de transformation empêchant d’accéder en clair ou sont de nature à compromettre les informations qu’elles contiennent, le Procureur de la République, le Juge d’instruction ou la juridiction de jugement peuvent réquisitionner toute personne physique ou morale qualifiée, en vue d’effectuer les opérations techniques permettant d’obtenir la version en clair desdites données.

Lorsqu’un moyen de cryptographie a été utilisé, les autorités judiciaires peuvent exiger la convention secrète de déchiffrement du cryptogramme.

Si les nécessités de l’information l’exigent, le juge d’instruction peut, sur réquisition du Procureur de la République, utiliser les moyens techniques appropriés pour collecter ou enregistrer en temps réel, les données relatives au contenu des communications spécifiques, transmises au moyen d’un système informatique ou obliger un fournisseur de services, dans le cadre de ses capacités techniques à collecter ou à enregistrer, avec les moyens techniques existants, ou à prêter aux autorités compétentes son concours et son assistance pour collecter ou enregistrer lesdites données informatiques.

Le fournisseur d’accès est tenu de garder le secret.

Toute violation du secret est punie des peines applicables au délit de violation de secret professionnel.

En cas de condamnation pour une infraction commise par le biais d’un support de communication numérique, la juridiction saisie peut prononcer à titre de peines complémentaires l’interdiction d’émettre des messages de communication numérique, l’interdiction à titre provisoire au définitif de l’accès au site ayant servi à commettre l’infraction, en couper l’accès par tous moyens techniques disponibles ou même en interdire l’hébergement.

Le juge peut faire injonction à toute personne responsable légalement du site ayant servi à commettre l’infraction, à toute personne qualifiée de mettre en œuvre les moyens techniques nécessaires en vue de garantir, l’interdiction d’accès, d’hébergement ou la coupure de l’accès au site incriminé.

En cas de condamnation pour une infraction commise par le biais d’un support numérique, le juge ordonne à titre complémentaire la diffusion au frais du condamné, par extrait, de la décision sur ce même support.

La publication prévue à l’alinéa précédent doit être exécutée dans les quinze jours calendaires suivant le jour où la condamnation est devenue définitive.

La personne condamnée qui ne fera pas diffuser ou qui ne diffusera pas l’extrait prévu à l’alinéa précédent sera puni des peines prévues par le Code pénal.

Si dans le délai de quinze jours après que la condamnation soit devenue définitive, la personne condamnée n’a pas diffusé ou fait diffuser cet extrait, les peines prévues au présent article sont portées au double.

Les dispositions de la section première du présent chapitre s’appliquent aux infrastructures d’importance vitale.

La liste des secteurs d’activités d’importance vitale et des autorités gouvernementales, établissements publics ou autres personnes morales de droit public, assurant la coordination de ces secteurs est fixée par voie réglementaire.

Les infrastructures d’importance vitale sont désignées pour chaque secteur d’activité d’importance vitale par l’autorité gouvernementale, l’établissement public ou la personne morale de droit public dont relève la coordination de ce secteur, et ce après avis de l’ANSE.

La liste de ces infrastructures doit être tenue secrète et doit être actualisée à intervalles réguliers et au moins tous les deux ans.

Le responsable de l’infrastructure d’importance vitale établit, sur la base des résultats d’une analyse des risques, la liste des systèmes d’information sensibles et la transmet avec les mises à jour de celle-ci à l’ANSE.

L’ANSE peut faire des observations au responsable de l’infrastructure d’importance vitale sur la liste des systèmes d’information sensibles qui lui a été transmise.

Dans ce cas, le responsable de l’infrastructure d’importance vitale est tenu de modifier sa liste conformément à ces observations et transmet la liste modifiée à l’ANSE dans un délai de deux mois à compter de la date de réception des observations.

La liste des systèmes d’information sensibles doit être tenue secrète.

Tout système d’information sensible doit faire l’objet d’une homologation de sa sécurité par l’ANSE avant sa mise en exploitation.

Le guide d’homologation des systèmes d’information sensibles est fixé par l’ANSE.

A la demande de l’ANSE, les responsables des infrastructures d’importance vitale soumettent les systèmes d’information sensibles desdites infrastructures à un audit effectué par l’ANSE ou par des prestataires d’audit qualifiés par l’ANSE.

Les critères de qualification des prestataires d’audit et les modalités de déroulement de l’audit sont fixés par voie réglementaire.

Les responsables des infrastructures d’importance vitale sont tenus de communiquer à l’ANSE ou au prestataire d’audit qualifié les informations et éléments nécessaires pour réaliser l’audit, y compris les documents relatifs à leur politique de sécurité et, le cas échéant, les résultats d’audit de sécurité précédents, et leur permettre d’accéder aux réseaux et systèmes d’information faisant l’objet du contrôle afin d’effectuer des analyses et des relevés d’informations techniques.

Les prestataires d’audit qualifiés et leurs employés sont astreints, sous peine des sanctions prévues par le code pénal, au respect du secret professionnel pendant toute la durée de la mission d’audit et après son achèvement, sur les renseignements et documents recueillis ou portés à leur connaissance à l’occasion de cette mission.

Lorsque l’audit est effectué par un prestataire d’audit qualifié, le rapport d’audit est transmis par le responsable de l’infrastructure d’importance vitale à l’ANSE.

Le prestataire d’audit qualifié doit veiller à la confidentialité du rapport d’audit.

Lorsque les opérations d’audit sont effectuées par les prestataires d’audit qualifiés, les coûts sont supportés par le responsable de l’infrastructure d’importance vitale concernée par ces opérations.

Chaque responsable d’infrastructure d’importance vitale auditée doit mettre en place un plan d’actions pour mettre en œuvre les recommandations figurant dans les rapports d’audit et le transmet à l’ANSE pour le suivi de sa mise en œuvre.

Les responsables des infrastructures d’importance vitale doivent recourir à des services, produits ou solutions qui permettent le renforcement des fonctions de sécurité, définis par l’ANSE.

En cas d’externalisation des services de cybersécurité, les responsables des infrastructures d’importance vitale doivent recourir â des prestataires qualifiés par l’ANSE.

Les critères de qualification des prestataires de services de cybersécurité sont fixés par voie réglementaire.

Pour répondre à une attaque informatique qui vise les systèmes d’information affectant le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation, les services de l’ANSE, pour procéder aux opérations techniques nécessaires à la caractérisation de l’attaque et à la neutralisation de ses effets en accédant aux systèmes d’information qui sont, à l’origine de l’attaque.

Pour être en mesure de répondre aux attaques mentionnées au premier alinéa, l’ANSE peut détenir des équipements, des instruments, des programmes informatiques et tous outils numériques susceptibles de combattre efficacement ces actes de malveillance.

Lorsqu’elle a connaissance d’une menace susceptible de porter atteinte à la sécurité des systèmes d’information vitales, l’ANSE peut mettre en œuvre, sur le réseau d’un opérateur de communications électroniques ou sur le système, d’information d’un particulier des dispositifs mettant en œuvre des marqueurs techniques aux seules fins de détecter des événements susceptibles d’affecter la sécurité des systèmes d’information vitales. Ces dispositifs sont mis en œuvre pour la durée et dans la mesure strictement nécessaire à la caractérisation de la menace.

Les agents de l’ANSE individuellement désignés et spécialement habilités sont autorisés, aux seules fins de prévenir et de caractériser la menace affectant les systèmes d’information vitales, à procéder au recueil et à l’analyse des seules données techniques pertinentes, à l’exclusion de toute autre exploitation.

Les données techniques recueillies directement par l’ANSE ne peuvent être conservées plus de dix ans. Les données recueillies autres que celles directement utiles à la prévention et à la caractérisation des menaces sont immédiatement détruites.