Décret n° 2018-062/PR du 21 mars 2018 portant réglementation des transactions et services électroniques au Togo

Les missions et compétences de l’Autorité de certification sont dévolues au ministère chargé des communications électroniques qui les délègue à l’Autorité de régulation des communications électroniques et des postes (ARCEP) sous sa tutelle.

L’Autorité de certification est investie des pouvoirs nécessaires et dotée des ressources adéquates pour l’exercice des tâches de contrôle des prestataires de services de confiance.

Les fonctions d’accréditation, de contrôle et de médiation sont de la compétence de l’Autorité de certification sous contrôle du ministère chargé des communications électroniques. A cette fin, l’Autorité de certification est notamment chargée de :

• a. l’élaboration des formulaires de demande d’accréditation ;
• b. l’élaboration et l’approbation de cahiers des charges types relatifs aux services et aux systèmes concernés par le présent chapitre ;
• c. l’approbation de la liste des éventuels documents normatifs applicables aux services concernés ;
• d. l’instruction des demandes d’accréditation, de l’octroi, du renouvellement ou du retrait des accréditations des services de confiance qualifiés et les prestataires, de services de confiance qualifiés ;
• e. l’émission, soit sur son initiative, soit sur demande du ministère chargé des communications électroniques, des avis sur toutes questions relatives aux services de confiance visés par le présent décret ou à l’adaptation des dispositions qui leur sont applicables ;
• f. l’établissement et la tenue à jour les listes de confiance ;
• g. l’établissement des normes et critères de qualifications des services de confiance qualifiés et des prestataires de services de confiance qualifiés ;
• h. le contrôle des prestataires de services de confiance qualifiés établis sur le territoire national afin de s’assurer, par des activités de contrôle a priori et a posteriori, que ces prestataires de services de confiance qualifiés et les services de confiance qualifiés qu’ils fournissent satisfont aux exigences fixées dans la loi sur les transactions électroniques et le présent décret ;
• i. la prise de mesures, si nécessaire, en ce qui concerne les prestataires de services de confiance non qualifiés établis sur le territoire national, par des activités de contrôle a posteriori, lorsqu’elle est informée que ces prestataires de services de confiance non qualifiés ou les services de confiance qu’ils fournissent ne satisferaient pas aux exigences fixées dans la loi sur les transactions électroniques et le présent décret.

Les demandes d’accréditation pour l’activité de prestataire de services de confiance sont adressées, à l’Autorité de certification avec copie au ministère chargé des communications électroniques, par lettre recommandée ou document électronique fiable avec accusé de réception ou par dépôt auprès de celle-ci contre remise d’un récépissé.

Ces demandes sont datées et signées. Elles contiennent obligatoirement les documents suivants :

• a. le formulaire établi par l’Autorité de certification, téléchargeable sur son site internet, dûment rempli et signé par le demandeur de l’accréditation, personne physique ou du représentant de la personne morale ;
• b. une pièce d’identité en cours de validité de la personne physique ou du représentant de la personne morale ;
• c. un casier judiciaire datant de moins de trois mois de la personne physique ou du représentant de la personne morale ;
• d. les documents justificatifs des moyens matériels et financiers prévus dans le cahier des charges relatif à l’exercice de l’activité de prestataire de services de confiance susvisés ;
• e. les caractéristiques techniques des équipements et des dispositifs à utiliser pour la fourniture des services, accompagnées d’un schéma du dispositif de certification ;
• f. un plan du local du prestataire ainsi qu’une indication de l’adresse précise du lieu géographique d’installation et une description des procédures de sécurité adoptées pour la sécurisation du local ;
• g. les caractéristiques des dispositifs de sécurisation des réseaux utilisés pour la fourniture de services de confiance ;
• h. une description détaillée de tous les registres et annuaires à tenir et les caractéristiques des dispositifs utilisés pour les gérer ;
• i. une étude financière du projet à réaliser ;
• j. un récépissé de paiement des frais d’étude de dossier.

La liste des documents obligatoires peut être complétée par arrêté.

L’Autorité de certification peut demander toute information complémentaire qu’elle juge nécessaire pour l’instruction de la demande d’accréditation.

Toute modification de service fait l’objet d’une déclaration à l’Autorité de certification, accompagnée d’un explicatif des pratiques qui ont été modifiées.

L’Autorité de certification, après avis du Ministre chargé des communications électroniques, répond à la demande d’accréditation dans un délai maximum de trois mois à compter de la date de la réception de tous les documents mentionnés ci-dessus, le cas échéant, à compter de la date de fourniture des informations complémentaires demandées soit par l’octroi de l’accréditation, soit par le refus qui doit être motivé.

En cas de refus, l’Autorité de certification en informe l’intéressé, en justifiant la raison du refus. Le refus d’accréditation ne donne pas droit au remboursement des frais d’étude.

L’Autorité de certification procède, avant l’accréditation, au contrôle du service ou du système de la personne qui sollicite l’accréditation, en vérifiant notamment :

• la véracité des données figurant dans la demande d’accréditation ;
• l’aptitude de la personne à bénéficier des effets juridiques auxquels elle prétend.

Les demandes d’accréditation sont refusées dans les cas suivants :

• le demandeur ne fournit pas à l’Autorité les informations nécessaires qu’elle exige pour compléter le dossier dans un délai d’un mois à compter de la date de notification par lettre recommandée ou par voie électronique fiable avec accusé de réception ;
• les conditions prévues au cahier des charges relatif à l’exercice de l’activité de prestataire de services de confiance ne sont pas remplies.

Un recours peut être exercé.

L’exercice de l’activité de prestataires de services de confiance est soumis au paiement de redevances annuelles de gestion de l’accréditation et des redevances de contrôle de l’accréditation.

L’étude des demandes d’accréditation pour l’exercice de l’activité de prestataire de services de confiance est soumise au paiement de frais de dossier.

Le montant et les modalités de paiement des redevances et des frais sont déterminés par arrêté interministériel du Ministre chargé des communications électroniques et du Ministre chargé des finances.

Un cahier des charges est annexé à l’accréditation et fixe les conditions de fourniture des services de confiance ainsi que les engagements du titulaire.

Ce cahier des charges comprend au moins :

• les référentiels et normes applicables ;
• les informations relatives au personnel et autres ressources qui doivent être fournies pour l’exercice de l’activité ;
• les obligations du titulaire de l’accréditation concernant notamment les conditions administratives et techniques de la fourniture des services ;
• les conditions de renouvellement de l’accréditation ;
• les dispositions particulières ;
• la redevance annuelle pour la gestion de l’accréditation ;
• la redevance de contrôle de l’accréditation.

Le cahier des charges type applicable en fonction de l’activité de prestataire de services concerné est élaboré et approuvé par décision de l’Autorité de certification.

L’accréditation est octroyée sur la base d’un rapport établi par l’Autorité de certification.

Ce rapport comprend l’évaluation des moyens techniques, financiers et humains ainsi que la preuve de l’existence et de l’aménagement du local du demandeur mis en œuvre pour satisfaire aux obligations du cahier des charges relatif à l’exercice de l’activité de prestataire de services de confiance.

Cette évaluation est notamment réalisée sur la base d’un constat dans les locaux du demandeur, en présence du demandeur ou de son représentant légal.

Le demandeur de l’accréditation doit être informé de la date de la réalisation du constat au préalable dix jours au moins avant par lettre recommandée ou par document électronique fiable avec accusé de réception ou par dépôt auprès du demandeur contre récépissé.

L’accréditation est octroyée pour une durée de trois ans à compter de sa date de délivrance. L’accréditation est personnelle et ne peut être louée, cédée ou transférée à un tiers.

L’accréditation est renouvelable, pour la même durée, après un nouveau contrôle positif, effectué dans les trois mois qui précèdent l’expiration de l’accréditation.

Le prestataire de services de confiance ne peut pas ouvrir ou fermer une succursale ou agence au Togo ou à l’étranger, ou changer l’emplacement des serveurs ou en ajouter sans l’accord préalable du ministère chargé des communications électroniques.

Le représentant légal du prestataire de services de confiance concerné doit aviser l’Autorité de certification de tout changement concernant la nature juridique du prestataire, son domicile, ses gérants et de toute opération de cession ou de transfert de ses actions.

1. L’Autorité de certification, après compte-rendu au Ministre chargé des communications électroniques, peut retirer l’accréditation lorsque :

• le prestataire de services de confiance a obtenu l’accréditation sur la base de fausses déclarations ou par un quelconque moyen illicite ;
• le prestataire de services de confiance a failli aux obligations contenues dans la loi sur les transactions électroniques, dans le présent décret et dans le cahier des charges relatif à l’exercice de son activité.

La redevance annuelle reste due pour toute l’année en cours.

2. En cas de retrait de l’accréditation, le prestataire de services de confiance informe sa clientèle dans un délai maximum de trois jours calendaires après la date d’entrée en vigueur de la décision de retrait de l’accréditation :

• qu’il ne bénéficie plus de l’accréditation et des effets attachés aux dispositions qui ont été enfreintes, le cas échéant ;
• que les clients peuvent alors mettre fin au contrat de service, unilatéralement et sans pénalités, par écrit ou par voie électronique ;
• qu’il existe une liste de prestataires de services de confiance accrédités auprès de l’Autorité de régulation.

3. Dans tous les cas de retrait, les données à caractère personnel restant chez le prestataire de services de confiance doivent être détruites en présence d’un représentant de l’Autorité de certification et d’un huissier de justice.

Les décisions d’octroi ou de retrait d’accréditation prises sont publiées au Journal officiel de la République togolaise.

L’Autorité de certification publie et tient à jour, sur son site internet, la liste des personnes accréditées et la communique directement à toute personne qui en fait la demande.

Un prestataire de service de confiance établi dans un pays étranger bénéficie automatiquement de l’accréditation de l’Autorité de certification lorsque ce prestataire agit dans le cadre d’une convention de reconnaissance mutuelle conclue avec l’Autorité de certification.

Dans le cadre de l’exécution de sa mission de contrôle, l’Autorité de certification peut être amenée à :

• a. coopérer avec d’autres organes de contrôle régionaux ou de pays tiers ;
• b. analyser des rapports d’évaluation de conformité.

1. Des contrôles de personnes accréditées sont organisés périodiquement à l’initiative de l’Autorité de certification ou sur requête du Ministre chargé des communications électroniques.

2. Le Ministre chargé des communications électroniques peut également exiger de l’Autorité de certification qu’il établisse, gère et actualise une infrastructure de confiance conformément aux conditions prévues par le droit national.

L’Autorité de certification peut demander à un organisme d’évaluation de la conformité d’effectuer une évaluation de la conformité des prestataires de services de confiance qualifiés.

3. A l’issue d’un contrôle, l’Autorité de certification accorde le statut qualifié aux prestataires de services de confiance et aux services qu’ils fournissent ou retire ce statut en cas de besoin après avis du Ministre chargé des communications électroniques. Elle met alors à jour les listes nationales de confiance.

Si, à la suite d’un contrôle négatif, un prestataire se voit retirer son accréditation, il informe immédiatement les destinataires de son service qu’il ne bénéficie plus de l’accréditation et ne peut plus prétendre bénéficier des effets attachés aux dispositions qui ont été enfreintes, le cas échéant. Le destinataire de son service peut alors mettre fin au contrat de service, unilatéralement et sans pénalités, moyennant un préavis d’un mois suivant la notification.

4. L’Autorité de certification informe les autres organes de contrôle et le public, d’atteintes à la sécurité ou de pertes d’intégrité.

Elle coopère avec les autorités chargées de la protection des données, en particulier en les informant, dans les meilleurs délais, des résultats des contrôles et audits des prestataires de services de confiance qualifiés lorsqu’il apparaît que des règles en matière de protection des données à caractère personnel ont été violées.

Sans préjudice de la compétence des autres agents ou autorités en matière de constatation d’infractions conformément aux textes en vigueur, les infractions à la loi sur les transactions électroniques et au présent décret sont constatées par des agents mandatés par l’Autorité de certification.

Ils prêtent serment devant le Tribunal. Les agents assermentés sont astreints au secret professionnel sous peine des sanctions pénales prévues en la matière et doivent être porteurs de carte professionnelle.

Les constatations des agents assermentés sont effectuées au moyen de procès- verbaux. Ces procès-verbaux sont rédigés dans les quarante-huit heures et transmis au Procureur de la République. Une copie est envoyée aux parties intéressées. Les procès-verbaux font foi jusqu’à preuve du contraire lorsqu’ils sont rédigés par deux agents au moins. Ils sont dispensés du droit de timbre et d’enregistrement.

Suite aux constatations, l’Autorité de certification adresse au contrevenant un avertissement le mettant en demeure de mettre fin à l’acte et en informe le Ministre chargé des communications électroniques.

L’avertissement est notifié au contrevenant dans un délai de trois jours à dater de la constatation des faits, par lettre recommandée avec accusé de réception ou par la remise d’une copie du procès-verbal de constatation des faits. L’avertissement peut également être communiqué par télécopie ou par courrier électronique.

L’avertissement mentionne :

• a. les faits imputés et la ou les dispositions légales enfreintes ;
• b. le délai dans lequel il doit y être mis fin ;
• c. qu’en l’absence de suite donnée à l’avertissement, le Procureur de la République togolaise en sera avisé.

Dans les cas où, à la suite des contrôles prévus par la loi sur les transactions électroniques et le présent décret, il apparaît qu’une personne accréditée ne remplit plus les conditions d’accréditation, l’Autorité de certification lui notifie, par lettre recommandée ou par dépôt auprès de la personne ou de son représentant contre récépissé, les manquements qui lui sont reprochés et l’invite à se justifier par écrit dans les quinze jours qui suivent la réception de la notification.

A défaut de réaction de la personne concernée, ou si la justification avancée ne permet pas de conclure à l’absence de manquement, l’Autorité de certification met la personne concernée en demeure de prendre les mesures nécessaires pour se conformer aux textes, et fixe un délai par arrêté du Ministre chargé des communications électroniques pour prendre lesdites mesures.

Si, à l’expiration de ce délai, les mesures nécessaires n’ont toujours pas été prises, l’Autorité de certification après compte-rendu au Ministre chargé des communications électroniques peut procéder au retrait de l’accréditation.

Toute personne accréditée qui ne se met pas en conformité avec les conditions d’accréditation fixées par la loi sur les transactions électroniques et le présent décret, suite à la mise en demeure, est passible d’une amende de 100.000 à 10.000.000 FCFA.