Loi n° 2017-007 du 22 juin 2017 relative aux transactions électroniques

La preuve par écrit ou preuve littérale est établie conformément aux dispositions de l’article 9 de la présente loi.

L’écrit sous forme électronique est admis comme preuve au même titre que l’écrit sur support papier et a la même force probante que celui-ci, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité.

La conservation des documents sous forme électronique doit se faire pendant une période de vingt ans ou pour toute durée applicable aux documents sur format papier selon le droit applicable en la matière et dans les conditions suivantes :

• l’information que contient le message de données doit être accessible, lisible et intelligible pour être consultée ultérieurement ;
• le message de données doit être conservé sous la forme sous laquelle il a été créé, envoyé ou reçu, ou sous une forme dont on peut démontrer qu’elle n’est susceptible ni de modification ni d’altération dans son contenu et que le document transmis et celui conservé sont strictement identiques ;
• les informations qui permettent de déterminer l’origine et la destination du message de données, ainsi que les indications de date et d’heure de l’envoi ou de la réception, doivent être conservées.

Le fournisseur de biens ou prestataire de services par voie électronique qui réclame l’exécution d’une obligation doit en prouver l’existence et, lorsqu’il se prétend libéré, doit prouver que l’obligation est inexistante ou éteinte.

Lorsque la loi n’a pas fixé d’autres principes, et à défaut de convention valable entre les parties, le juge règle les conflits de preuve littérale en déterminant par tous moyens le titre le plus vraisemblable, quel qu’en soit le support.

La copie ou toute autre reproduction d’actes passés par voie électronique a la même force probante que l’acte lui-même lorsqu’elle est certifiée conforme par l’organe de certification compétent.

La certification donne lieu, le cas échéant, à la délivrance d’un certificat de conformité.

L’intégrité de la copie résultant d’un procédé de reproduction par voie électronique est attestée par une empreinte électronique qui garantit que toute modification ultérieure de la copie à laquelle elle est attachée est détectable. Cette condition est présumée remplie par l’usage d’une signature électronique qualifiée, d’un service de cachet électronique qualifié ou d’un service d’horodatage qualifié.

La copie électronique est conservée dans des conditions permettant d’éviter toute altération de sa forme ou de son contenu. Les opérations requises pour s’assurer de la lisibilité de la copie électronique dans le temps sont tracées et donnent lieu à la génération d’une nouvelle empreinte électronique de la copie, afin d’éviter toute altération de sa forme et son contenu.

La copie électronique est conservée pendant une période de vingt ans minimum et dans des conditions permettant de la protéger de toute modification.

Les empreintes électroniques utilisées conformément au présent article sont conservées aussi longtemps que la copie électronique et dans des conditions permettant de les protéger de toute modification.

Nul ne peut-être contraint de signer électroniquement.

Toutefois, les actes des autorités administratives peuvent faire l’objet d’une signature électronique dans les conditions prévues par des dispositions réglementaires.

La signature nécessaire à la perfection d’un acte juridique identifie celui qui l’appose. Elle manifeste le consentement des parties aux obligations qui en résultent. Quand elle est apposée par un officier public, elle confère l’authenticité à l’acte. Lorsqu’elle est électronique, elle consiste en l’usage d’un procédé fiable d’identification garantissant son lien avec l’acte auquel elle s’attache.

La fiabilité de ce procédé est présumée, jusqu’à preuve contraire, lorsque la signature électronique est créée.

L’acte authentique peut être dressé sur support électronique s’il est établi et conservé dans des conditions fixées par voie réglementaire.

Dans les procédures judiciaires, une signature électronique ne peut être déclarée irrecevable au seul motif qu’elle :

• se présente sous forme électronique ; ou
• ne repose pas sur un certificat conforme à la présente loi.

Sans préjudice des dispositions en vigueur, une signature électronique sécurisée créée par un dispositif de création de signature sécurisée que le signataire peut garder sous son contrôle exclusif et dont la vérification repose sur un certificat qualifié est admise comme signature au même titre que la signature autographe.

Un dispositif de création de signature électronique ne peut être considéré comme sécurisé que s’il satisfait à des exigences de nature notamment technique et procédurale précisées par voie réglementaire.

La conformité des dispositifs de création de signature électronique qualifiés avec les exigences fixées à l’article précédent est certifiée par les organismes publics ou privés compétents désignés par l’autorité de certification dans des conditions définies par voie réglementaire.

Un dispositif de vérification de signature électronique doit être évalué et peut être certifié conforme par les organismes publics ou privés compétents désignés par l’autorité de certification dans des conditions définies par voie réglementaire.

Un service de conservation qualifié des signatures électroniques ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des signatures électroniques qualifiées au-delà de la période de validité technologique.

La signature électronique est conservée pendant une période de vingt ans minimum et dans des conditions permettant de la protéger de toute modification.

Un certificat électronique ne peut être regardé comme qualifié que si :

• il est délivré par un prestataire de services de certification qualifié ;
• il comporte des mentions obligatoires précisées par voie réglementaire.

Est considéré comme qualifié, le prestataire de service de certification qui :

• se conforme aux dispositions des articles 99 et 100 de la présente loi et ;
• fait l’objet d’une accréditation dans des conditions fixées par voie réglementaire.

Il est créé dans des conditions fixées par voie réglementaire, une autorité chargée de certification aux fins de définir la politique togolaise de certification et de la faire appliquer notamment par l’accréditation et le contrôle des prestataires de services de certification qualifiés.

L’autorité chargée de certification doit tenir un registre électronique des certificats qualifiés à la disposition des utilisateurs.

Les administrations publiques peuvent utiliser le certificat et la signature électroniques suivant les conditions fixées par voie réglementaire.

Toute personne utilisant un dispositif de signature électronique doit :

• prendre les précautions minimales fixées par les textes en vigueur pour éviter toute utilisation irrégulière des équipements personnels relatifs à sa signature ;
• informer l’autorité chargée de certification de toute utilisation illégitime de sa signature ;
• veiller à la véracité de toutes les données qu’elle a déclarées à ladite autorité ;
• s’assurer de la véracité de toutes les données qu’elle a déclarées à toute personne à qui elle a demandé de se fier à sa signature.

En cas de violation des dispositions de l’article précédent, le titulaire de la signature est responsable du préjudice causé à autrui.

Un certificat ou une signature électronique émis légalement en dehors du Togo a les mêmes effets juridiques au Togo qu’un certificat ou une signature émis au Togo à condition qu’il respecte les normes internationales reconnues par l’Organisation internationale de normalisation (ISO).

Un décret en conseil des Ministres précise les conditions de la reconnaissance juridique des certificats et signatures électroniques émanant de pays tiers.

Un cachet électronique est qualifié par un prestataire de service de confiance qualifié. Un cachet électronique qualifié bénéficie d’une présomption d’intégrité des données et d’exactitude de l’origine des données auxquelles il est lié.

L’effet juridique et la recevabilité d’un cachet électronique ne peuvent être refusés au seul motif que ce cachet se présente sous forme électronique ou qu’il ne satisfait pas aux exigences du cachet électronique qualifié.

Lorsqu’un cachet électronique est exigé pour utiliser un service public en ligne, sont uniquement reconnus les cachets électroniques qualifiés.

L’utilisation des cachets électroniques dans le secteur public peut être soumise à des exigences supplémentaires, fixées par décret en conseil des Ministres, sur proposition du Ministre chargé du numérique. Ces exigences doivent être objectives, transparentes, proportionnées et non-discriminatoires.

Un cachet électronique satisfait aux exigences suivantes :

• être lié au créateur du cachet de manière univoque ;
• permettre d’identifier le créateur du cachet ;
• avoir été créé à l’aide de données de création de cachet électronique que le créateur du cachet peut, avec un niveau de confiance élevé, utiliser sous son contrôle pour créer un cachet électronique ;
• être lié aux données auxquelles il est associé de sorte que toute modification ultérieure des données soit détectable.

Les exigences ci-dessus peuvent, en cas de besoin, être complétées par décret en conseil des Ministres, sur proposition du Ministre chargé du numérique.

Le cachet électronique est conservé pendant une période de vingt ans minimum et dans des conditions permettant de le protéger contre toute modification.

Le processus de validation d’un cachet électronique qualifié confirme la validité de ce dernier, à condition que :

• le certificat sur lequel repose le cachet ait été, au moment du cachet, un certificat qualifié de cachet électronique conforme aux exigences prévues par voie réglementaire ;
• le certificat qualifié ait été délivré par un prestataire de services de confiance qualifié et était valide au moment du cachet ;
• les données de validation du cachet correspondent aux données communiquées à la personne concernée ;
• l’ensemble unique des données dans le certificat soit correctement fourni à la personne concernée ;
• l’utilisation d’un pseudonyme soit clairement indiquée, si un pseudonyme a été utilisé au moment du cachet ;
• le cachet électronique ait été créé par un dispositif de création de cachet électronique qualifié ;
• l’intégrité des données n’ait pas été compromise ;
• le cachet électronique respecte l’ensemble des exigences prévues au présent chapitre.

Le système utilisé pour valider le cachet électronique qualifié fournit à l’utilisateur le résultat exact du processus de validation et permet à celui-ci de détecter tout problème de sécurité.

Un service de validation des cachets électroniques qualifiés ne peut être fourni que par un prestataire de services de confiance qualifié qui :

• fournit une validation conformément aux exigences légales et réglementaires applicables à la validation des cachets électroniques qualifiés ;
• permet aux utilisateurs de recevoir le résultat du processus de validation d’une manière automatisée, fiable, efficace et portant la signature électronique qualifiée ou le cachet électronique qualifié du prestataire qui fournit le service de validation.

Les certificats qualifiés de cachet électronique doivent satisfaire aux exigences fixées par décret en conseil des Ministres, sur proposition du Ministre chargé du numérique.

A la demande du titulaire du certificat qualifié de cachet électronique préalablement identifié, le prestataire de services de confiance qualifié révoque immédiatement le certificat.

Le prestataire de services de confiance qualifié enregistre cette révocation dans sa base de données de certificats. Le statut de révocation du certificat est publié dans la liste visée à l’article 100 de la loi n° 2017-007 du 22 juin 2017 relative aux transactions électroniques dans les vingt-quatre heures suivant la réception de la demande.

Le prestataire de services de confiance qualifié révoque également un certificat lorsque :

• le prestataire de services de confiance qualifié cesse ses activités sans qu’il n’y ait reprise de celles-ci par un autre prestataire de services de confiance garantissant un niveau de qualité et de sécurité équivalent ;
• il existe des raisons sérieuses de penser que le certificat a été délivré sur la base d’informations erronées ou falsifiées, que les informations contenues dans le certificat ne sont plus valides ou que la confidentialité des données afférentes au cachet électronique ait été violée ou risque de l’être ;
• le prestataire de services de confiance est informé du décès de la personne physique ou de la dissolution de la personne morale qui en est titulaire.

Sauf en cas de décès ou de dissolution, le prestataire de services de confiance qualifié notifie la révocation du certificat au titulaire, dans un délai d’un mois avant la révocation du certificat. La décision de révocation est motivée et enregistrée dans la base de données de certificats tenue par le prestataire de services de confiance qualifié et publiée dans la liste visée à l’article 100 de la loi n° 2017-007 du 22 juin 2017 relative aux transactions électroniques.

La révocation d’un certificat est effective, définitive et opposable aux tiers à compter de la date de sa publication.

Les dispositifs de création de cachets électroniques qualifiés respectent les exigences définies par décret en conseil des Ministres, sur proposition du Ministre chargé du numérique.

Un service de coffre-fort numérique est un service qui a pour objet :

• la réception, le stockage, la suppression et la transmission de données ou documents électroniques dans des conditions permettant de justifier de leur intégrité et de l’exactitude de leur origine ;
• la traçabilité des opérations réalisées sur ces documents ou données et la disponibilité de cette traçabilité pour l’utilisateur ;
• l’identification de l’utilisateur lors de l’accès au service par un moyen d’identification électronique ;
• de garantir l’accès exclusif aux documents électroniques, données de l’utilisateur ou données associées au fonctionnement du service à cet utilisateur, aux tiers autres que le prestataire de service de coffre-fort numérique, explicitement autorisés par l’utilisateur à accéder à ces documents et données et, le cas échéant, au prestataire de service de coffre-fort numérique réalisant un traitement de ces documents ou données au seul bénéfice de l’utilisateur et après avoir recueilli son consentement ;
• de donner la possibilité à l’utilisateur de récupérer les documents et les données stockés dans un standard ouvert aisément réutilisable et exploitable par un système de traitement automatisé de données, sauf dans le cas des documents initialement déposés dans un format non ouvert ou non aisément réutilisable qui peuvent être restitués dans leur format d’origine, dans des conditions définies par décret en conseil des Ministres, sur proposition du Ministre chargé du numérique.

Le fournisseur de service de coffre-fort numérique est un prestataire de services de confiance qualifié ayant obtenu un certificat qualifié et satisfaisant à des exigences particulières fixées par décret en conseil des Ministres sur proposition du Ministre chargé du numérique.

Le fournisseur d’un service de coffre-fort numérique est tenu à une obligation d’information claire, loyale et transparente sur les modalités de fonctionnement et d’utilisation du service, préalable à la conclusion d’un contrat.

Avant que l’utilisateur ne soit lié par un contrat de fourniture de service de coffre-fort numérique, le fournisseur du service lui communique, de manière lisible et compréhensible, les informations suivantes :

• le type d’espace mis à sa disposition et les conditions d’utilisation associées ;
• les mécanismes techniques utilisés ;
• la politique de confidentialité ;
• l’existence et les modalités de mise en œuvre des garanties de bon fonctionnement.

Ces informations sont également mises à disposition en ligne et, le cas échéant, mises à jour.

L’intégrité, la disponibilité et l’exactitude de l’origine des données et documents stockés dans le coffre-fort numérique sont garanties par des mesures de sécurité adaptées et conformes aux exigences précisées par décret en conseil des Ministres, sur proposition du Ministre chargé du numérique.

La traçabilité des opérations réalisées sur les données et documents stockés dans le coffre-fort numérique et la disponibilité de cette traçabilité pour l’utilisateur requièrent au minimum la mise en œuvre des mesures suivantes :

• l’enregistrement et l’horodatage des accès et tentatives d’accès ;
• l’enregistrement des opérations affectant le contenu ou l’organisation des données et documents de l’utilisateur ;
• l’enregistrement des opérations de maintenance affectant les données et documents stockés dans le coffre-fort numérique.

La durée de conservation de ces données de traçabilité constitue une mention obligatoire du contrat de fourniture de service de coffre-fort numérique.

L’identification de l’utilisateur lors de l’accès au service de coffre-fort numérique est assurée par un moyen d’identification électronique adapté aux enjeux de sécurité du service.

Avant que l’utilisateur ne conclue un contrat de fourniture de service de coffre-fort numérique, le fournisseur du service lui communique, de manière lisible et compréhensible, les modalités de l’opération de récupération de documents ou de données. La liste des informations que le fournisseur du service doit communiquer à l’utilisateur est fixée par voie règlementaire.

Dans le cadre du processus de souscription, le fournisseur de services recueille le consentement explicite de l’utilisateur à ces conditions, lesquelles sont mises en ligne de façon aisément accessible.

Pendant toute la durée du contrat de service de fourniture du coffre-fort numérique, l’utilisateur peut exercer à tout moment et à titre gratuit son droit à la récupération des documents et données, sans restriction sur le nombre d’opérations de récupération. Les modalités d’exercice du droit de récupération des documents sont fixées par voie règlementaire.