Décret n° 2018-062/PR du 21 mars 2018 portant réglementation des transactions et services électroniques au Togo

1. Les prestataires de services qui exercent une activité d’opérateurs de communications électroniques au sens de la loi n° 2012-018 du 17 décembre 2012 sur les communications électroniques modifiée par loi n° 2013-003,du 19 février 2013, ne peuvent voir leur responsabilité civile ou pénale engagée à raison des contenus transmis sur leur réseau ou sur le réseau auxquels ils donnent l’accès que dans les cas où soit, ils sont à l’origine de la demande de transmission litigieuse, soit, ils sélectionnent le destinataire de la transmission, soit, ils sélectionnent ou modifient les contenus faisant l’objet de la transmission.

2. Dans l’hypothèse où les opérateurs précités assurent dans le seul but de rendre plus efficace leur transmission ultérieure, une activité de stockage automatique, intermédiaire et temporaire des contenus qu’un prestataire de service transmet, ils ne peuvent voir leur responsabilité civile ou pénale engagée à raison de ces contenus que dans l’un des cas suivants :

• a. ils ont modifié ces contenus, ne se sont pas conformés à leurs conditions d’accès et aux règles usuelles concernant leur mise à jour ou ont entravé l’utilisation licite et usuelle de la technologie utilisée pour obtenir des données ;
• b. ils n’ont pas agi avec promptitude pour retirer les contenus qu’ils ont stockés ou pour en rendre l’accès impossible, dès qu’ils ont effectivement eu connaissance, soit du fait que les contenus transmis initialement étaient retirés du réseau, soit du fait que l’accès aux contenus transmis initialement ait été rendu impossible, soit du fait que les autorités judiciaires aient ordonné de retirer du réseau les contenus transmis initialement ou d’en rendre l’accès impossible.

3. Le présent article n’affecte pas la possibilité pour une autorité judiciaire ou une autorité administrative, d’exiger des opérateurs de communications électroniques qu’ils mettent en œuvre tous les moyens permettant le blocage des contenus manifestement illicites, tels qu’ils seraient définis par les règles en vigueur.

Lorsque les nécessités de la lutte contre la diffusion et la poursuite des infractions l’exigent, les autorités judiciaires ou administratives chargées de la répression de ces infractions notifient aux opérateurs de communications électroniques, les adresses électroniques des services de communication au public en ligne contrevenant aux dispositions de cet article, auxquelles ils doivent empêcher l’accès immédiatement et en tout état de cause dans un délai de quarante-huit heures au maximum à compter de la notification.

1. Les personnes physiques ou morales qui assurent, même à titre gratuit, un service consistant à stocker des informations fournies par un destinataire du service, ne peuvent pas voir leur responsabilité civile ou pénale engagée du fait des activités ou des informations stockées à la demande d’un destinataire de ces services si elles n’avaient pas effectivement connaissance de leur caractère illicite ou de faits et circonstances faisant apparaître ce caractère ou si, dès le moment où elles en ont eu connaissance, elles ont agi promptement pour retirer ces données ou en rendre l’accès impossible.

2. Le présent article n’affecte pas la possibilité pour une autorité judiciaire ou une autorité administrative, d’exiger des opérateurs de communications électroniques qu’ils mettent en œuvre tous les moyens permettant le blocage des contenus manifestement illicites, tels qu’ils seraient définis par les règles en vigueur.

1. Les personnes mentionnées aux articles 39 et 40 précédents ne sont pas soumises à une obligation générale de surveiller les informations qu’elles transmettent ou stockent, ni à une obligation générale de rechercher des faits ou des circonstances révélant des activités illicites.

2. Le précédent alinéa est sans préjudice de toute activité de surveillance ciblée et temporaire demandée par l’autorité judiciaire ou administrative.

3. Les personnes mentionnées ci-dessus doivent concourir à la lutte contre la diffusion des infractions à l’instar de l’apologie des crimes contre l’humanité, de l’incitation à la violence et à la haine raciale ainsi que de la pornographie en particulier enfantine, du terrorisme et du blanchiment d’argent.

4. Elles doivent mettre en place un dispositif facilement accessible et visible permettant à toute personne de porter à leur connaissance ce type de données. Elles ont également l’obligation, d’une part, d’informer promptement les autorités publiques compétentes de toutes activités illicites mentionnées à l’alinéa précédent qui leur seraient signalées et qu’exerceraient les destinataires de leurs services, et, d’autre part, de rendre publics les moyens qu’elles consacrent à la lutte contre ces activités illicites.

Le dispositif consiste à mettre à la disposition des utilisateurs un accès de signalement d’abus par le biais d’un formulaire en ligne, détachable sous format papier et un service d’appel gratuit, permettant d’informer, soit le prestataire du service concerné, soit les autorités compétentes, selon la législation en vigueur, de tout contenu en ligne manifestement illicite.

5. Tout manquement aux obligations définies ci-dessus est puni de peines prévues par les lois et règlements en vigueur en République togolaise.

6. Les prestataires de service doivent mettre à disposition du public les systèmes et moyens techniques de restriction d’accès à certains services qui doivent être appropriés, efficaces et accessibles en vue, notamment :

• a. de procéder au filtrage par catégorie de contenus manifestement illicites ;
• b. de rendre les sites à caractère pornographique inaccessibles ;
• c. de rendre plus sûre la navigation des mineurs sur internet en restreignant les accès à l’internet selon le profil de l’utilisateur connecté ;
• d. de faciliter l’accès à un outil de contrôle parental à jour et performant par une information appropriée auprès des utilisateurs tant sur son existence que sur les conditions simples de son utilisation.

Les filtrages prévus aux points a.) et b.) ci-dessus sont activés par défaut dans les services fournis aux utilisateurs. Ces derniers doivent pouvoir obtenir la désactivation desdits filtrages sur demande simple auprès du prestataire de services.

Les coûts de mise en œuvre et de mise à jour des systèmes et moyens techniques mentionnés ci-dessus sont à la charge des prestataires de services.

Par ailleurs, les prestataires de services font leurs meilleurs efforts pour trouver, ensemble sous l’égide du ministère chargé des Communications électroniques, des systèmes et moyens techniques communs. Ce dispositif mutualisé peut recevoir la validation expresse du ministère chargé des communications électroniques.

7. Les prestataires de services assurent, d’une part, la mise à jour régulière des systèmes et moyens techniques mentionnés à l’alinéa précédent et, d’autre part, en informent les utilisateurs.

Les autorités compétentes peuvent engager la responsabilité des prestataires de services lorsque les systèmes de filtrage ne sont pas disponibles ou leur mise à jour n’est pas régulière.

Cette responsabilité ne peut être engagée dans l’hypothèse visée au paragraphe ci-dessus où les systèmes de filtrage utilisés ont fait l’objet d’une validation expresse du ministère chargé des Communications électroniques et sous réserve que les prestataires de services en assurent leur maintenance et bon fonctionnement.

8. Les prestataires de services procèdent, à titre préventif et uniquement sur demande de l’autorité administrative ou judiciaire compétente, à la mise en place d’une activité de surveillance ciblée ou temporaire des informations qu’ils transmettent ou stockent, en vue de prévenir ou de faire cesser un dommage occasionné par le contenu d’un service de communication par voie électronique.

9. En cas de notification par écrit ou même par voie électronique provenant d’une autorité administrative ou judiciaire, portant sur des contenus manifestement illicites, le prestataire de services engage sa responsabilité s’il laisse en ligne le contenu prohibé.

10. L’autorité judiciaire peut prescrire en référé ou sur requête, à toute personne mentionnée à la section II du présent chapitre ou, à défaut, à toute personne mentionnée à sa section 1re, toutes mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d’un service de communication au public en ligne.

11. Les prestataires de .services détiennent et conservent, au moins pendant une durée d’un an, les données de nature à permettre l’identification de quiconque a contribué à la création du contenu ou de l’un des contenus des services dont ils sont prestataires. Ces données comportent notamment :

• l’adresse IP des points de connexion à distance ;
• la trace horodatée des sessions ouvertes pour chaque service utilisé et le cas échéant :
• l’identifiant du compte d’accès ;
• les nom et prénoms pour les personnes physiques ;
• la dénomination sociale pour les personnes morales ;
• les adresses E-mail et numéros de téléphone.

Le traitement de ces données est soumis aux dispositions de la loi sur la protection des données à caractère personnel.

Les données conservées portent exclusivement sur les éléments permettant l’identification des utilisateurs des services fournis par les prestataires.

Les prestataires de services sont assujettis au secret professionnel dans les conditions prévues par le Code pénal.

Le secret professionnel n’est pas opposable à l’autorité judiciaire, ni à toute autre autorité reconnue par la loi.

Tout prestataire de services n’ayant pas respecté les dispositions du présent article est passible de peines prévues par les lois et règlements en vigueur en République togolaise.

De la responsabilité des éditeurs d’un service de communication au public en ligne

1. Les personnes dont l’activité est d’éditer un service de communication au public en ligne mettent à disposition du public, dans un standard ouvert :

• a. s’il s’agit de personnes physiques, leurs nom, prénoms, domicile et numéro de téléphone et, si elles sont assujetties aux formalités d’inscription au registre du commerce et des sociétés ou au répertoire des métiers, le numéro de leur inscription ;
• b. s’il s’agit de personnes morales, leur dénomination ou leur raison sociale et leur siège social, leur numéro de téléphone et, s’il s’agit d’entreprises assujetties aux formalités d’inscription au registre du commerce et des sociétés ou au répertoire des métiers, le numéro de leur inscription, leur capital social, l’adresse de leur siège social ;
• c. le nom du directeur ou du co-directeur de la publication et, le cas échéant, celui du responsable de la rédaction ;
• d. le nom, la dénomination ou la raison sociale, l’adresse et le numéro de téléphone du prestataire de service d’hébergement, le cas échéant.

2. Les personnes éditant à titre non professionnel un service de communication au public en ligne peuvent ne tenir à la disposition du public, pour préserver leur anonymat, que le nom, la dénomination ou la raison sociale et l’adresse du prestataire de service d’hébergement, sous réserve de lui avoir communiqué les éléments d’identification personnelle prévus au point 1) du présent article.

3. Toute personne nommée ou désignée dans un service de communication au public en ligne dispose d’un droit de réponse, sans préjudice des demandes de correction ou de suppression du message qu’elle peut adresser au service.

La demande d’exercice du droit de réponse est adressée au directeur de la publication ou, lorsque la personne éditant à titre non professionnel a conservé l’anonymat, au prestataire du service d’hébergement qui la transmet sans délai au directeur de la publication. Elle est présentée au plus tard dans un délai de trois mois à compter de la mise à disposition du public du message justifiant cette demande.

Le directeur de la publication est tenu d’insérer dans les trois jours de leur réception les réponses de toute personne nommée ou désignée dans le service de communication au public en ligne sous peine d’une amende prévue par les textes en vigueur, sans préjudice des autres peines et dommages-intérêts auxquels l’article pourrait donner lieu.

La réponse est toujours gratuite.

4. Les éditeurs d’un service de communication au public en ligne sont soumis aux conditions d’exercice de la liberté d’expression et de communication des idées et des opinions politiques prévues par les règles relatives à la liberté de presse en vigueur au Togo ainsi qu’aux sanctions applicables en cas d’infraction aux règles organisant cette liberté.

Les prestataires de services de confiance ont l’interdiction de détourner à des fins personnelles les données qui leur sont transmises. Ils ne peuvent les consulter que dans la mesure nécessaire à l’accomplissement de leurs services.

Les prestataires doivent mettre en œuvre les moyens nécessaires en vue de protéger les données qui leur sont transmises et qu’ils transmettent contre tout accès non autorisé.

Les prestataires de services de confiance soumettent leur personnel à une obligation de confidentialité.

Les prestataires de services de confiance sont soumis à une obligation d’impartialité vis-à-vis des destinataires de leurs services et des tiers.

1. Les prestataires de services de confiance sont responsables des dommages causés intentionnellement ou par négligence à toute personne physique ou morale en raison d’un manquement aux obligations prévues par la législation et la réglementation sur les transactions électroniques.

II incombe à la personne physique ou morale qui invoque les dommages visés au premier alinéa de prouver que le prestataire de services de confiance non qualifié a agi intentionnellement ou par négligence.

Un prestataire de services de confiance qualifié est présumé avoir agi intentionnellement ou par négligence, à moins qu’il ne prouve que les dommages visés au premier alinéa, ont été causés sans intention, ni négligence de sa part.

2. Lorsque les prestataires de services de confiance informent dûment leurs clients au préalable des limites qui existent à l’utilisation des services qu’ils fournissent et que ces limites peuvent être reconnues par des tiers, les prestataires de services de confiance ne peuvent être tenus responsables des dommages découlant de l’utilisation des services au-delà des limites indiquées.

Les prestataires de services de confiance disposent des ressources financières suffisantes et contractent une police d’assurance, pour fonctionner conformément aux exigences prévues par la loi sur les transactions électroniques et le présent décret, en particulier pour endosser la responsabilité de dommages.

Dans la mesure du possible, les services de confiance fournis, ainsi que les produits, destinés à un utilisateur final, qui servent à fournir ces services, sont accessibles aux personnes vivant avec un handicap.

Du respect de la protection des données à caractère personnel.

Le stockage et le traitement des données à caractère personnel transmis aux prestataires de services de confiance s’effectuent dans le respect de la protection des données à caractère personnel et des dispositions de la loi sur les transactions électroniques et du présent décret.

De l’obligation de fourniture d’un accès direct aux informations.

Sans préjudice des autres obligations d’information prévues par les textes législatifs et réglementaires en vigueur, les prestataires de service de confiance, fournissent aux destinataires de leurs services, avant la conclusion du contrat et pendant toute la durée de celui-ci, un accès direct et facile aux informations suivantes formulées de manière claire et compréhensible :

• les modalités et les conditions précises d’utilisation de leurs services ;
• le fonctionnement et l’accessibilité de leurs services ;
• les mesures qu’ils adoptent en matière de sécurité ;
• les procédures de notification des incidents, de réclamation et de règlement des litiges ;
• les garanties qu’ils apportent ;
• l’étendue de leur responsabilité ;
• l’existence ou l’absence d’une couverture d’assurance et le cas échéant, son étendue ;
• la durée du contrat et les modalités pour y mettre fin ;
• leur accréditation conformément aux lois et règlements en vigueur ;
• les effets juridiques attachés à leurs services.

1. Les prestataires de services de confiance qualifiés et non qualifiés prennent les mesures techniques et organisationnelles adéquates pour gérer les risques liés à la sécurité des services de confiance qu’ils fournissent. Ces mesures garantissent que le niveau de sécurité est proportionné au degré de risque. Des mesures sont notamment prises en vue de prévenir et de limiter les conséquences d’incidents liés à la sécurité et d’informer les parties concernées des effets préjudiciables de tels incidents.

2. Les prestataires de services de confiance qualifiés et non qualifiés notifient, dans les meilleurs délais et en tout état de cause dans un délai de vingt-quatre heures après en avoir eu connaissance, à l’organe de contrôle et, le cas échéant, à d’autres organismes concernés, tels que l’organisme national compétent en matière de sécurité des systèmes d’information ou l’autorité chargée de la protection des données, toute atteinte à la sécurité ou toute perte d’intégrité ayant une incidence importante sur le service de confiance fourni ou sur les données à caractère personnel qui y sont conservées.

3. Lorsque l’atteinte à la sécurité ou la perte d’intégrité est susceptible de porter préjudice à une personne physique ou morale à laquelle le service de confiance a été fourni, le prestataire de services de confiance notifie aussi, dans-les meilleurs délais, à la personne physique ou morale l’atteinte à la sécurité `ou la perte d’intégrité. Le cas échéant, notamment lorsqu’une atteinte à la sécurité ou une perte d’intégrité concerne un ou plusieurs Etats tiers, l’organe de contrôle notifié informe les organes de contrôle des autres Etats concernés.

L’organe de contrôle notifié informe le public ou exige du prestataire de services de confiance qu’il le fasse, dès lors qu’il constate qu’il est dans l’intérêt public de divulguer l’atteinte à la sécurité ou la perte d’intégrité. L’organe de contrôle peut :

• a. préciser davantage les mesures visées dans le présent article ;
• b. définir les formats et procédures, y compris les délais, applicables aux fins du présent article.

L’organe de contrôle des activités de prestations de services de confiance est l’Autorité de certification créée à l’article 84 de la loi n° 2017-007 du 22 juin 2017 relative aux transactions électroniques.

1. Les prestataires de services de confiance qualifiés font l’objet, au moins tous les vingt-quatre mois, d’un audit effectué à leurs frais par un organisme d’évaluation de la conformité. Le but de l’audit est de confirmer que les prestataires de services de confiance qualifiés et les services de confiance qualifiés qu’ils fournissent remplissent les exigences fixées par l’organe de contrôle en conformité avec la loi sur les transactions électroniques et le présent décret.

Les prestataires de services de confiance qualifiés transmettent le rapport d’évaluation de la conformité à l’organe de contrôle dans un délai de trois jours ouvrables qui suivent sa réception.

2. Sans préjudice des dispositions du précédent alinéa, l’organe de contrôle peut, à tout moment, soumettre les prestataires de services de confiance qualifiés à un audit ou demander à un organisme d’évaluation de la conformité de procéder à une évaluation de la conformité des prestataires de services de confiance qualifiés, aux frais de l’organe de contrôle, afin de confirmer que les prestataires et les services de confiance qualifiés qu’ils fournissent remplissent les exigences fixées par le présent décret.

L’organe de contrôle informe les autorités chargées de la protection des données des résultats de ses audits lorsqu’il apparaît que les règles en matière de protection des données à caractère personnel ont été violées.

3. Lorsque l’organe de contrôle exige du prestataire de services de confiance qualifiés qu’il corrige un manquement aux exigences prévues par le présent décret et que le prestataire n’agit pas en conséquence, et le cas échéant dans un délai fixé par l’organe de contrôle, celui-ci, tenant compte, en particulier, de l’ampleur, de la durée et des conséquences de ce manquement, peut retirer à ce prestataire ou au service affecté le statut de qualifié et met à jour en conséquence les listes de confiance.

L’organe de contrôle informe le prestataire de services de confiance qualifié du retrait de son statut qualifié ou du retrait du statut qualifié du service concerné.

4. L’organe de contrôle fixe les normes relatives :

• a. à l’accréditation des organismes d’évaluation de la conformité et rapports d’évaluation de la conformité visés au point 1 du présent article ;
• b. aux règles d’audit en fonction desquelles les organismes d’évaluation de la conformité procéderont à leur évaluation de la conformité des prestataires de services de confiance qualifiés.

De la procédure de qualification de prestataires de services de confiance et des services de confiance

Lorsque des prestataires de services de confiance, sans statut qualifié, ont l’intention de commencer à offrir des services de confiance qualifiés, ils soumettent à l’organe de contrôle une notification de leur intention, accompagnée d’un rapport d’évaluation de la conformité délivré par un organisme d’évaluation de la conformité. L’organe de contrôle vérifie que le prestataire de services de confiance et les services de confiance qu’il fournit respectent les exigences prévues à cet effet par la loi sur les transactions électroniques et le présent décret.

Si l’organe de contrôle conclut que le prestataire de services de confiance et les services de confiance qu’il fournit respectent les exigences requises, l’organe de contrôle accorde le statut qualifié au prestataire de services de confiance et aux services de confiance qu’il fournit, met à jour les listes de confiance, au plus tard trois mois suivant la notification conformément à l’alinéa 1er du présent article.

Si la vérification n’est pas terminée dans un délai de trois mois à compter de la notification, l’organe de contrôle en informe le prestataire de services de confiance en précisant les raisons du retard et le délai nécessaire pour terminer la vérification.

Les prestataires de services de confiance qualifiés peuvent commencer à fournir le service de confiance qualifié une fois que le statut qualifié est indiqué sur les listes de confiance.

L’organe de contrôle précise les formats et les procédures applicables aux fins des alinéas 1er et 2.

L’organe de contrôle, tient à jour et publie des listes de confiance comprenant les informations relatives aux prestataires de services de confiance qualifiés dont il est responsable et les informations relatives aux services de confiance qualifiés qu’ils fournissent.

De la vérification de l’identité du bénéficiaire de services de confiance

Lorsqu’un prestataire de services de confiance qualifié délivre un certificat qualifié pour un service de confiance, il vérifie, par des moyens appropriés et conformément aux textes en vigueur au Togo, l’identité et, le cas échéant, tous les attributs spécifiques de la personne physique ou morale à laquelle il délivre le certificat qualifié.

Le prestataire de services de confiance qualifié vérifie directement ou en ayant recours à un tiers conformément aux textes en vigueur, les informations visées au premier alinéa :

• a. par la présence en personne de la personne physique ou du représentant autorisé de la personne morale ;
• b. à distance, à l’aide de moyens d’identification électronique pour lesquels, avant la délivrance du certificat qualifié, la personne physique ou un représentant autorisé de la personne morale s’est présenté en personne ;
• c. au moyen d’un certificat de signature électronique qualifié ou d’un cachet électronique qualifié délivré conformément au point a) ou b) ;
• d. à l’aide d’autres méthodes d’identification reconnues au niveau national qui fournissent une garantie équivalente en termes de fiabilité à la présence en personne. Un organisme d’évaluation de la conformité confirme la garantie équivalente.

1. Un prestataire de services de confiance qualifié qui fournit des services de confiance qualifiés :

• a. informe l’organe de contrôle de toute modification dans la fourniture de ses services de confiance qualifiés et de son intention éventuelle de cesser ces activités ;
• b. emploie du personnel et, le cas échéant, des sous-traitants qui possèdent l’expertise, la fiabilité, l’expérience et les qualifications nécessaires, qui ont reçu une formation appropriée en ce qui concerne les règles en matière de sécurité et de protection des
• données à caractère personnel et appliquent des procédures administratives et de gestion correspondant à des normes internationales ;
• c. avant d’établir une relation contractuelle, informe, de manière claire et exhaustive, toute personne désireuse d’utiliser un service de confiance qualifié des conditions précises relatives à l’utilisation de ce service, y compris toute limite quant à son utilisation ;
• d. utilise des systèmes et des produits fiables qui sont protégés contre les modifications et assure la sécurité technique et la fiabilité des processus qu’ils prennent en charge ;
• e. utilise des systèmes fiables pour stocker les données qui lui sont fournies, sous une forme vérifiable de manière que :
• les données ne soient publiquement disponibles pour des traitements qu’après avoir obtenu le consentement de la personne concernée par ces données ;
• seules des personnes autorisées puissent introduire des données et modifier les données conservées ;
• l’authenticité des données puisse être vérifiée ;
• f. prend des mesures appropriées contre la falsification et le vol de données ;
• g. enregistre et maintient accessibles, pour une durée de douze mois, y compris après que les activités du prestataire de services de confiance qualifié ont cessé, toutes les informations pertinentes concernant les données délivrées et reçues par le prestataire de services de confiance qualifié, aux fins notamment de pouvoir fournir des preuves en justice et aux fins d’assurer la continuité du service. Ces enregistrements peuvent être effectués par voie électronique ;
• h. a un plan actualisé d’arrêt d’activité permettant d’assurer la continuité du service et vérifié par l’organe de contrôle ;
• i. assure le traitement licite de données à caractère personnel conformément aux règles en vigueur ;
• j. dans le cas où il délivre des certificats qualifiés, établit et tient à jour une base de données relative aux certificats.

2. Lorsqu’un prestataire de services de confiance qualifié qui délivre des certificats qualifiés, décide de révoquer un certificat, il enregistre cette révocation dans sa base de données relative aux certificats et publie le statut de révocation du certificat en temps utile, et en tout état de cause dans les vingt-quatre heures suivant la réception de la demande. Cette révocation devient effective immédiatement dès sa publication.

3. Les prestataires de services de confiance qualifiés, qui délivrent des certificats qualifiés, fournissent à toute partie utilisatrice, des informations sur la validité ou le statut de révocation des certificats qualifiés qu’ils ont délivrés. Ces informations sont disponibles, au moins par certificat, à tout moment et au-delà de la période de validité du certificat, sous une forme automatisée qui est fi able, gratuite et efficace.

4. L’organe de contrôle détermine les normes applicables aux systèmes et produits fiables, qui satisfont aux exigences prévues au présent article. Les systèmes et les produits fiables sont présumés satisfaire aux exigences fixées au présent article lorsqu’ils respectent ces normes.

Le prestataire de service de certification électronique est tenu de satisfaire aux exigences figurant au chapitre III, section II du présent décret.

Le prestataire de service de certification électronique apporte la preuve de la fiabilité des services de certification électronique qu’il fournit en démontrant qu’il se conforme aux dispositions de la présente sous-section qui le concernent.

Le prestataire de service de certification électronique assure le fonctionnement, au profit des personnes auxquelles un certificat électronique qualifié est délivré, d’un service d’annuaire recensant les certificats qualifiés des personnes qui en font la demande.

Le prestataire de services de certification électronique est tenu de prendre toutes dispositions de nature à éviter la falsification des certificats électroniques.

Dans le cas où il fournit au signataire des données de création de signature électronique, le prestataire de services de certification électronique garantit la confidentialité de ces données et s’abstient de les conserver ou de les reproduire.

Le prestataire de service de certification électronique veille, dans le cas où sont fournies à la fois des données de création et des données de vérification de signature électronique, à ce que les données de création correspondent aux données de vérification.

Un mois avant l’expiration d’un certificat, le prestataire de service de certification en informe le titulaire.

1. Le prestataire de services de certification électronique assure le fonctionnement d’un service accessible à tout moment, permettant à la personne à qui le certificat électronique a été délivré de révoquer sans délai et avec certitude ce certificat.

2. A la demande de la personne à qui le certificat électronique a été délivré, dûment identifiée, le prestataire de service de certification révoque immédiatement le certificat.

3. Le prestataire de service de certification révoque également un certificat lorsque :

• a. il existe des raisons sérieuses pour admettre que le certificat a été délivré sur la base d’informations erronées ou falsifiées, que les informations contenues dans le certificat ne sont plus conformes à la réalité ou que la confidentialité des données afférentes à la création de signature a été violée ;
• b. l’accréditation est retirée au prestataire de service de certification ;
• c. le prestataire de service de certification arrête ses activités sans qu’il y ait reprise de celles-ci par un autre prestataire de service de certification accrédité ;
• d. le prestataire de service de certification est informé du décès de la personne physique ou de la dissolution de la personne morale qui en est le titulaire.

Le prestataire de service de certification informe le titulaire de certificat, sauf en cas de décès, de la révocation et motive sa décision.

4. La révocation d’un certificat est définitive. Le prestataire inscrit, immédiatement, la mention de la révocation du certificat dans l’annuaire des certificats qualifiés.

La révocation est opposable aux tiers à partir de cette inscription.

1. Le prestataire de service de certification électronique qui délivre à l’intention du public un certificat présenté comme qualifié ou qui garantit au public un tel certificat est responsable du préjudice causé à toute entité ou personne physique ou morale qui se fie raisonnablement à ce certificat pour ce qui est de :

• a. l’exactitude de toutes les informations contenues dans le certificat qualifié à la date où il a été délivré et la présence, dans ce certificat, de toutes les données prescrites pour un certificat qualifié ;
• b. l’assurance que, au moment de la délivrance du certificat, le signataire identifié dans le certificat qualifié détenait les données afférentes à la création de signature correspondant aux données afférentes à la vérification de signature fournies ou identifiées dans le certificat ;
• c. l’assurance que les données afférentes à la création de signature et celles afférentes à la vérification de signature puissent être utilisées de façon complémentaire, dans le cas où le prestataire de service de certification génère ces deux types de données, sauf si le prestataire de service de certification prouve qu’il n’a commis aucune négligence.

2. Le prestataire de service de certification électronique qui a délivré à l’intention du public un certificat présenté comme qualifié est responsable du préjudice causé à une entité ou personne physique ou morale qui se prévaut raisonnablement du certificat, pour avoir omis de faire enregistrer la révocation du certificat, sauf si le prestataire de service de certification prouve qu’il n’a commis aucune négligence.

3. Le prestataire de service de certification électronique peut indiquer, dans un certificat qualifié, les limites fixées à son utilisation, à condition que ces limites soient discernables par des tiers. Le prestataire de service de certification n’est pas responsable du préjudice résultant de l’usage abusif d’un certificat qualifié qui dépasse les limites fixées à son utilisation.

4. Le prestataire de service de certification électronique peut indiquer, dans un certificat qualifié, la valeur limite des transactions pour lesquelles le certificat peut être utilisé, à condition que cette limite soit discernable par des tiers. II n’est pas responsable des dommages qui résultent du dépassement de cette limite maximale.

1. Le prestataire de service de certification qui délivre des certificats qualifiés informe l’Autorité de régulation des communications électroniques, en temps utile, de son intention de mettre fin à ses activités et de toute action qui pourrait conduire à la cessation de ses activités.

Dans ce cas, il doit s’assurer de la reprise de ses activités par un autre prestataire de service de certification accrédité. II informe les titulaires des certificats de la reprise de ses activités au moins un mois à l’avance, en précisant l’identité du nouveau prestataire. II offre aux titulaires des certificats la possibilité de demander la révocation de leur certificat.

2. A défaut de reprise de ses activités par un autre prestataire, le prestataire qui cesse ses activités révoque les certificats deux mois après en avoir averti les titulaires.

3. Le prestataire de service de certification qui arrête ses activités pour des raisons indépendantes de sa volonté ou en cas de faillite en informe immédiatement l’Autorité de certification. Il procède, le cas échéant, à la révocation des certificats, après en avoir informé leurs titulaires.

Le prestataire de service d’archivage électronique est tenu de satisfaire aux exigences figurants au chapitre III section II du présent décret.

Le prestataire de service d’archivage électronique fait la preuve de la fiabilité des services d’archivage électronique qu’il fournit en démontrant qu’il se conforme aux dispositions de la présente sous-section qui le concernent.

Le prestataire de services d’archivage électronique est tenu de se conformer aux exigences suivantes

• a. prendre les mesures nécessaires au maintien de la lisibilité des données pendant la durée de conservation convenu avec le destinataire du service ;
• b. mettre en œuvre des moyens nécessaires en vue d’empêcher, lors de la conservation, de la consultation ou du transfert, toute modification des données électroniques conservées, sous réserve des modifications relatives à leur support ou leur format électronique ;
• c. mettre en œuvre des moyens nécessaires en vue de détecter les opérations, normales ou frauduleuses, effectuées sur les données. II veille dans la mesure du possible, à permettre l’identification des auteurs de telles opérations ;
• d. enregistrer les opérations visées au point c) ci-dessus, veille à leur datation au moyen d’un procédé d’horodatage électronique et conserver ces enregistrements pendant toute la durée de conservation des données concernées ;
• e. veiller à ce que les enregistrements visés au point d) ci-dessus ne soient accessibles qu’aux personnes autorisées ;
• f. mettre en œuvre des moyens nécessaires en vue de protéger les données qu’il conserve contre toute atteinte frauduleuse ou accidentelle ;
• g. mettre en œuvre les moyens nécessaires en vue d’empêcher tout accès non autorisé aux données qu’il conserve ainsi qu’au matériel, système de communication et support contenant les données ;
• h. mettre en place des procédures permettant de réagir rapidement aux incidents et de limiter leurs effets.

1. L’existence d’un contrat d’archivage électronique de données n’entraine aucun transfert de droit au profit du prestataire de service d’archivage électronique sur les données conservées.

Le prestataire de service d’archivage électronique ne peut procéder à la destruction des données qu’avec l’accord exprès du destinataire du service, sans préjudice des dispositions de l’article 71 du présent décret.

2. Lorsque le contrat d’archivage électronique prend fin, pour quelque motif que ce soit, le prestataire de service d’archivage électronique :

• ne peut opposer au destinataire du service un quelconque droit de rétention des données ;
• demande par envoi recommandé au destinataire du service de se prononcer expressément sur le sort des données qu’il lui a confiées.

3. En l’absence de réponse du destinataire dans les six mois de la demande visée à l’alinéa précédent, le prestataire peut procéder à la destruction des données, sauf interdiction expresse d’une autorité judiciaire ou administrative compétente.

A la demande du destinataire du service et dans un délai raisonnable, le prestataire de service d’archivage électronique, selon le cas :

• a. restitue au destinataire du service les données que ce dernier lui indique, sous une forme lisible et exploitable convenue avec le destinataire ;
• b. transmet loyalement les données que le destinataire lui indique à un autre prestataire de service d’archivage électronique en vue de la reprise du service, sous une forme lisible et exploitable convenue avec le nouveau prestataire de service d’archivage électronique, en accord avec le destinataire du service ;
• c. détruit définitivement les données que le destinataire du service lui indique, de telle sorte qu’elles ne puissent plus être reconstituées, en tout ou en partie.

Dans les hypothèses prévues par les dispositions du présent article, le prestataire de service d’archivage électronique ne conserve aucune copie des données restituées, transmises ou détruites, sauf demande expresse du destinataire du service ou d’une autorité judiciaire ou administrative compétente.

Les frais afférents aux opérations visées au présent article sont à la charge du destinataire, sauf en cas de résiliation du contrat résultant d’une faute du prestataire de service d’archivage électronique.

La faute du prestataire de service d’archivage électronique est présumée jusqu’à preuve du contraire si les données qui lui sont confiées :

• a. ne sont plus lisibles pendant la durée de conservation convenue avec le destinataire du service ;
• b. sont modifiées, sous réserve des modifications relatives à leur support ou à leur format électronique ;
• c. ne peuvent être restituées, transmises à un autre prestataire ou détruites.

Le prestataire de service d’horodatage électronique est tenu de satisfaire aux exigences figurants au chapitre III section II du présent décret.

Le prestataire de service d’horodatage électronique fait la preuve de la fiabilité des services d’horodatage électronique qu’il fournit en démontrant qu’il se conforme aux dispositions de la présente sous-section qui le concernent.

La datation fournie par un prestataire de service d’horodatage électronique est basée sur le temps universel coordonné et y fait expressément référence.

Un horodatage électronique qualifié satisfait aux exigences suivantes :

• a. il lie la date et l’heure aux données de manière à raisonnablement exclure la possibilité de modification indétectable des données ;
• b. il est fondé sur une horloge exacte liée au temps universel coordonné ;
• c. il est signé au moyen d’une signature électronique sécurisée au moyen d’un certificat qualifié du prestataire de services de confiance qualifié, ou par une méthode équivalente.

Le prestataire de service d’horodatage électronique est responsable des dommages causés par une défaillance de son service ayant un impact sur l’exactitude de la datation d’un document.

Le prestataire de service d’horodatage électronique s’assure que la datation fournie au destinataire du service peut être vérifiée pendant une durée convenue avec celui-ci.

Sous réserve des règles applicables en droit commun, le prestataire de service d’horodatage électronique ne peut, à aucun moment, laisser entendre, directement ou indirectement, que son service confère date certaine.

Le prestataire de service de recommandé électronique est tenu de satisfaire aux exigences figurant au chapitre III section II du présent décret.

Le prestataire de recommandé électronique fait la preuve de la fiabilité des services de recommandé électronique qu’il fournit en démontrant qu’il se conforme aux dispositions de la présente sous-section qui le concernent.

Au moment de l’envoi du message, le prestataire de service de recommandé électronique délivre à l’expéditeur un accusé d’envoi, muni de sa signature électronique sécurisé indiquant la date, en recourant à un procédé d’horodatage électronique, à laquelle le message a été envoyé au destinataire.

Le prestataire de service de recommandé électronique met en œuvre les moyens nécessaires en vue :

• a. de protéger le contenu du message de l’expéditeur contre toute altération et modification ;
• b. de prévenir contre toute perte ou toute appropriation par un tiers du message ;
• c. d’assurer la confidentialité des données transmises et conservées tout au long du processus de communication et de conservation.

1. Le prestataire de service de recommandé électronique vérifie, par des moyens appropriés, l’identité du destinataire du recommandé électronique, avec ou sans accusé de réception, avant la délivrance du recommandé électronique.

2. A la demande de l’expéditeur, le prestataire de service de recommandé électronique lui fournit un accusé, selon le cas, de réception ou de refus du message par le destinataire ou sa non délivrance. Cet accusé est muni d’une signature électronique du prestataire.

3. Avant la délivrance du recommandé électronique, l’accusé de réception ou de refus est signé électroniquement par le destinataire et indique la date à laquelle le message a été reçu ou refusé par celui-ci, en recourant à un procédé d’horodatage électronique conformément aux dispositions y afférentes de la loi sur les transactions électroniques et du présent décret.

4. L’accusé de non-délivrance est fourni à l’expiration d’un délai de quinze jours à dater de l’envoi du message.

1. Les services d’envoi recommandé électronique qualifiés satisfont aux exigences suivantes :

• a. ils sont fournis par un ou plusieurs prestataires de services de confiance qualifiés ;
• b. ils garantissent l’identification de l’expéditeur avec un degré de confiance élevé ;
• c. ils garantissent l’identification du destinataire avant la fourniture des données ;
• d. l’envoi et la réception de données sont sécurisés par une signature électronique sécurisée d’un prestataire de services de confiance qualifié, de manière à exclure toute possibilité de modification indétectable des données ;
• e. toute modification des données nécessaire pour l’envoi ou la réception de celles-ci est clairement signalée à l’expéditeur et au destinataire des données ;
• f. la date et l’heure d’envoi, de réception et toute modification des données sont indiquées par un horodatage électronique qualifié ;
• g. dans le cas où les données sont transférées entre deux prestataires de services de confiance qualifiés ou plus, les exigences fixées aux points a) à f) s’appliquent à tous les prestataires de services de confiance qualifiés.

2. L’organe de contrôle peut préciser les normes applicables aux processus d’envoi et de réception de données. Le processus d’envoi et de réception de données est présumé satisfaire aux exigences fixées au paragraphe 1 lorsqu’il respecte ces normes.

Le prestataire de service de recommandé électronique est responsable des dommages causés par les pertes ou l’altération du contenu du message transmis ou son appropriation par un tiers (1/3).