Loi n° 2017-007 du 22 juin 2017 relative aux transactions électroniques

Les dispositions du présent chapitre régissent les activités des prestataires techniques de service de sécurisation des échanges électroniques, ci-après dénommés les « prestataires de services de confiance » établis en République togolaise, à savoir :

• les prestataires de service de certification électronique ;
• les prestataires de service d’archivage électronique ;
• les prestataires de service d’horodatage électronique ;
• les prestataires de service de recommandé électronique.

Un décret en conseil des Ministres fixe les conditions d’exercice des prestataires de service de confiance.

Sans préjudice de l’alinéa 2 ci-après, les prestataires de services de confiance sont responsables des dommages causés intentionnellement ou par négligence à toute personne physique ou morale en raison d’un manquement aux obligations prévues par la présente loi ou les textes pris pour son application.

Il incombe à la personne physique ou morale qui invoque les dommages visés au premier alinéa de prouver que le prestataire de services de confiance non qualifié a agi intentionnellement ou par négligence.

Un prestataire de services de confiance qualifié est présumé avoir agi intentionnellement ou par négligence, à moins qu’il ne prouve que les dommages visés au premier alinéa ont été causés sans intention ni négligence de sa part.

Lorsque les prestataires de services de confiance informent dûment leurs clients au préalable des limites qui existent à l’utilisation des services qu’ils fournissent et que ces limites peuvent être reconnues par des tiers, les prestataires de services de confiance ne peuvent être tenus responsables des dommages découlant de l’utilisation des services au-delà des limites indiquées.

Les alinéas 1 et 2 s’appliquent conformément aux règles en vigueur au Togo en matière de responsabilité.

Les prestataires de services de confiance doivent disposer des ressources financières suffisantes pour fonctionner conformément aux exigences prévues par les dispositions de la présente loi, en particulier pour endosser la responsabilité du dommage.

La souscription à une assurance de responsabilité est obligatoire.

Elle est précisée par un décret en conseil des Ministres.

Les prestataires de services de confiance sont soumis à une obligation d’impartialité vis-à-vis des destinataires de leurs services et des tiers.

Dans la mesure du possible, les services de confiance fournis, ainsi que les produits destinés à un utilisateur final qui servent à fournir ces services, sont accessibles aux personnes handicapées.

Le stockage et le traitement des données à caractère personnel transmis aux prestataires de services de confiance s’effectuent dans le respect des dispositions de la présente loi et des dispositions en vigueur applicables à la protection des données à caractère personnel.

Sans préjudice des autres obligations d’information prévues par les textes légaux en vigueur, les prestataires de service de confiance, fournissent aux destinataires de leurs services, avant la conclusion du contrat et pendant toute la durée de celle-ci, un accès direct et facile à des informations formulées de manière claire et compréhensible précisées par décret en conseil des Ministres.

Les prestataires de services de confiance qualifiés et non qualifiés prennent les mesures techniques et organisationnelles adéquates pour gérer les risques liés à la sécurité des services de confiance qu’ils fournissent.

Ils notifient toute atteinte à la sécurité ou toute perte d’intégrité ayant une incidence importante sur le service de confiance fourni ou sur les données à caractère personnel qui y sont conservées.

Un décret en conseil des Ministres fixe les modalités d’application du présent article.

L’organe de contrôle des activités des prestations de services de confiance au Togo est l’autorité chargée de la certification prévue à l’article 84.

L’autorité chargée de la certification est investie à cet effet des pouvoirs nécessaires et dotée des ressources adéquates pour l’exercice des tâches de contrôle des prestataires de services de confiance.

Le rôle de l’organe de contrôle est de :

• contrôler les prestataires de services de confiance qualifiés établis sur le territoire togolais afin de s’assurer, par des activités de contrôle a priori et a posteriori, que ces prestataires de services de confiance qualifiés et les services de confiance qualifiés qu’ils fournissent satisfont aux exigences fixées dans la présente loi ;
• prendre des mesures, si nécessaire, en ce qui concerne les prestataires de services de confiance non qualifiés établis sur le territoire togolais, par des activités de contrôle a posteriori, lorsqu’il est informé que ces prestataires de services de confiance non qualifiés ou les services de confiance qu’ils fournissent ne satisferaient pas aux exigences fixées dans la présente loi.

Aux fins de l’alinéa 2 ci-dessus et sous réserve des limites qu’il prévoit, les tâches de l’organe de contrôle consistent notamment à :

• coopérer avec d’autres organes de contrôle régionaux ou dans les pays tiers ;
• analyser les rapports d’évaluation de la conformité visés à l’article 98, paragraphe 1er, et à l’article 99, paragraphe 1er de la présente loi ;
• informer d’autres organes de contrôle et le public d’atteintes à la sécurité ou de pertes d’intégrité ;
• procéder à des audits ou demander à un organisme d’évaluation de la conformité d’effectuer une évaluation de la conformité des prestataires de services de confiance qualifiés conformément à l’article 98, paragraphe 2 de la présente loi ;
• coopérer avec les autorités chargées de la protection des données, en particulier en les informant, dans les meilleurs délais, des résultats des audits des prestataires de services de confiance qualifiés lorsqu’il apparaît que des règles en matière de protection des données à caractère personnel ont été violées ;
• accorder le statut qualifié aux prestataires de services de confiance et aux services qu’ils fournissent et à retirer ce statut conformément à l’article 98 et à l’article 99 de la présente loi ;
• mettre à jour les listes de confiance visées à l’article 100 de la présente loi, de ses décisions d’accorder ou de retirer le statut qualifié ;
• vérifier l’existence et l’application correcte de dispositions relatives aux plans d’arrêt d’activité lorsque le prestataire de services de confiance qualifié cesse son activité ;
• exiger que les prestataires de services de confiance corrigent tout manquement aux obligations fixées par la présente loi.

Le gouvernement peut également exiger de l’organe de contrôle qu’il établisse, gère et actualise une infrastructure de confiance conformément aux conditions prévues par les textes en vigueur.

Les prestataires de services de confiance qualifiés font l’objet, au moins tous les vingt-quatre mois, d’un audit effectué à leurs frais par un organisme d’évaluation de la conformité. Le but de l’audit est de confirmer que les prestataires de services de confiance qualifiés et les services de confiance qualifiés qu’ils fournissent remplissent les exigences fixées par la présente loi.

Les prestataires de services de confiance qualifiés transmettent le rapport d’évaluation de la conformité à l’organe de contrôle dans un délai de trois jours ouvrables qui suivent sa réception.

Sans préjudice de l’alinéa 1er, ci-dessus, l’organe de contrôle peut à tout moment, soumettre les prestataires de services de confiance qualifiés à un audit ou demander à un organisme d’évaluation de la conformité de procéder à une évaluation de la conformité des prestataires de services de confiance qualifiés, aux frais de ces prestataires de services de confiance, afin de confirmer que les prestataires et les services de confiance qualifiés qu’ils fournissent remplissent les exigences fixées par la présente loi. L’organe de contrôle informe les autorités chargées de la protection des données des résultats de ses audits lorsqu’il apparaît que les règles en matière de protection des données à caractère personnel ont été violées.

Lorsque l’organe de contrôle exige du prestataire de services de confiance qualifié qu’il corrige un manquement aux exigences prévues par la présente loi et que le prestataire n’agit pas en conséquence, et le cas échéant dans un délai fixé par l’organe de contrôle, l’organe de contrôle, tenant compte, en particulier, de l’ampleur, de la durée et des conséquences de ce manquement, peut retirer à ce prestataire ou au service affecté le statut qualifié et met à jour en conséquence les listes de confiance visées à l’article 100 de la présente loi. L’organe de contrôle informe le prestataire de services de confiance qualifié du retrait de son statut qualifié ou du retrait du statut qualifié du service concerné.

L’organe de contrôle peut déterminer les normes suivantes :

• accréditation des organismes d’évaluation de la conformité et rapports d’évaluation de la conformité visés à l’alinéa 1er ci-dessus ;
• règles d’audit en fonction desquelles les organismes d’évaluation de la conformité procéderont à leur évaluation de la conformité des prestataires de services de confiance qualifiés.

Lorsque l’organe de contrôle exige du prestataire de services de confiance qualifié qu’il corrige un manquement aux exigences prévues par la présente loi et que le prestataire n’agit pas en conséquence, ce dernier a également la possibilité, en tenant compte de l’ampleur, de la durée et des conséquences du manquement, de saisir la juridiction compétente, notamment afin de :

• faire cesser la délivrance de certificats qualifiés par le prestataire de services de confiance ;
• obliger le prestataire de services de confiance à informer immédiatement les titulaires des certificats qualifiés qu’il a délivrés, de leur non-conformité aux dispositions de la présente loi.

Lorsque des prestataires de services de confiance, sans statut qualifié, ont l’intention de commencer à offrir des services de confiance qualifiés, ils soumettent à l’organe de contrôle une notification de leur intention accompagnée d’un rapport d’évaluation de la conformité délivré par un organisme d’évaluation de la conformité.

L’organe de contrôle vérifie que le prestataire de services de confiance et les services de confiance qu’il fournit respectent les exigences fixées par la présente loi, en particulier les exigences en ce qui concerne les prestataires de services de confiance qualifiés et les services de confiance qualifiés qu’ils fournissent.

Si l’organe de contrôle conclut que le prestataire de services de confiance et les services de confiance qu’il fournit respectent les exigences requises, l’organe de contrôle accorde le statut qualifié au prestataire de services de confiance et aux services de confiance qu’il fournit et met à jour les listes de confiance visées à l’article 100 de la présente loi, au plus tard trois mois suivant la notification conformément à l’alinéa 1er ci-dessus.

Si la vérification n’est pas terminée dans un délai de trois mois à compter de la notification, l’organe de contrôle en informe le prestataire de services de confiance en précisant les raisons du retard et le délai nécessaire pour terminer la vérification.

Les prestataires de services de confiance qualifiés peuvent commencer à fournir le service de confiance qualifié une fois que le statut qualifié est indiqué sur les listes de confiance visées à l’article 100 de la présente loi.

L’organe de contrôle précise les formats et les procédures applicables aux fins des alinéas 1 et 2 ci-dessus.

L’organe de contrôle, tient à jour et publie des listes de confiance, y compris des informations relatives aux prestataires de services de confiance qualifiés dont il est responsable, ainsi que des informations relatives aux services de confiance qualifiés qu’ils fournissent. Un décret en conseil des Ministres précise les modalités d’application du présent article.

Lorsqu’un prestataire de services de confiance qualifié délivre un certificat qualifié pour un service de confiance, il vérifie, par des moyens appropriés et conformément au droit en vigueur au Togo, l’identité et, le cas échéant, tous les attributs spécifiques de la personne physique ou morale à laquelle il délivre le certificat qualifié.

Un décret en conseil des Ministres précise les obligations à la charge du prestataire de services de confiance qualifié.

Le prestataire de service de certification électronique est tenu de satisfaire aux exigences figurant aux articles 91 à 97 de la présente loi.

Le prestataire de service de certification électronique qui délivre à l’intention du public un certificat présenté comme qualifié est tenu de satisfaire aux exigences figurant aux articles 103, 104 et 106 de la présente loi.

Le prestataire de service de certification électronique qui délivre à l’intention du public un certificat présenté comme qualifié ou qui garantit au public un tel certificat est responsable du préjudice causé à toute entité ou personne physique ou morale qui se fie à ce certificat pour ce qui est de :

• l’exactitude de toutes les informations contenues dans le certificat qualifié à la date où il a été délivré et la présence, dans ce certificat, de toutes les données prescrites pour un certificat qualifié ;
• l’assurance que, au moment de la délivrance du certificat, le signataire identifié dans le certificat qualifié détenait les données afférentes à la création de signature correspondant aux données afférentes à la vérification de signature fournies ou identifiées dans le certificat ;
• l’assurance que les données afférentes à la création de signature et celles afférentes à la vérification de signature puissent être utilisées de façon complémentaire, dans le cas où le prestataire de service de certification génère ces deux types de données, sauf si le prestataire de service de certification prouve qu’il n’a commis aucune négligence ;
• le respect de l’ensemble des exigences prévues à l’article 101 de la présente loi.

Le prestataire de service de certification électronique qui a délivré à l’intention du public un certificat présenté comme qualifié est responsable du préjudice causé à une entité ou personne physique ou morale qui se prévaut du certificat, pour avoir omis de faire enregistrer la révocation du certificat, sauf si le prestataire de service de certification prouve qu’il n’a commis aucune négligence.

Le prestataire de service de certification électronique peut indiquer, dans un certificat qualifié, les limites fixées à son utilisation, à condition que ces limites soient discernables par des tiers. Le prestataire de service de certification n’est pas responsable du préjudice résultant de l’usage abusif d’un certificat qualifié qui dépasse les limites fixées à son utilisation.

Le prestataire de service de certification électronique peut indiquer, dans un certificat qualifié, la valeur limite des transactions pour lesquelles le certificat peut être utilisé, à condition que cette limite soit discernable par des tiers. Il n’est pas responsable des dommages qui résultent du dépassement de cette limite maximale.

Le prestataire de services, d’archivage électronique est tenu de se conformer aux exigences suivantes :

• prendre les mesures nécessaires au maintien de la lisibilité des données pendant la durée de conservation convenue avec le destinataire du service ;
• mettre en œuvre des moyens nécessaires en vue d’empêcher, lors de la conservation, de la consultation ou du transfert, toute modification des données électroniques conservées, sous réserve des modifications relatives à leur support ou leur format électronique ;
• mettre en œuvre des moyens nécessaires en vue de détecter les opérations, normales ou frauduleuses, effectuées sur les données. Il veille dans la mesure du possible, à permettre l’identification des auteurs de telles opérations ;
• enregistrer les opérations visées au troisième tiret ci-dessus, veiller à leur datation au moyen d’un procédé d’horodatage électronique et conserver ces enregistrements pendant toute la durée de conservation des données concernées ;
• veiller à ce que les enregistrements visés au point quatrième ci-dessus ne soient accessibles qu’aux personnes autorisées ;
• mettre en œuvre des moyens nécessaires en vue de protéger les données qu’il conserve contre toute atteinte frauduleuse ou accidentelle ;
• mettre en œuvre les moyens nécessaires en vue d’empêcher tout accès non autorisé aux données qu’il conserve ainsi qu’au matériel, système de communication et support contenant les données ;
• mettre en place des procédures permettant de réagir rapidement aux incidents et de limiter leurs effets.

L’existence d’un contrat d’archivage électronique de données n’entraine aucun transfert de droit au profit du prestataire de service d’archivage électronique sur les données conservées.

Le prestataire de service d’archivage électronique ne peut procéder à la destruction des données qu’avec l’accord du destinataire du service, sans préjudice des dispositions de l’article 109 alinéa 3 de la présente loi.

Lorsque le contrat d’archivage électronique prend fin, pour quelque motif que ce soit, le prestataire de service d’archivage électronique ne peut opposer au destinataire du service un quelconque droit de rétention des données.

Lorsque le contrat d’archivage électronique prend fin, pour quelque motif que ce soit, le prestataire de service d’archivage électronique demande par envoi recommandé au destinataire du service de se prononcer sur le sort des données qu’il lui a confiées, conformément aux dispositions de la présente loi.

En l’absence de réponse du destinataire dans les six mois suivant la demande visée à l’alinéa précédent, le prestataire peut procéder à la destruction des données, sauf interdiction expresse d’une autorité judiciaire ou administrative compétente.

A la demande du destinataire du service et dans un délai raisonnable, le prestataire de service d’archivage électronique, selon le cas :

• enregistre les opérations visées au troisième tiret de l’article 107 ci-dessus, veille à leur datation au moyen d’un procédé d’horodatage électronique et conserve ces enregistrements pendant toute la durée de conservation des données concernées ;
• veille à ce que les enregistrements visés au quatrième tiret de l’article 107 ci-dessus ne soient accessibles qu’aux personnes autorisées ;
• met en œuvre des moyens nécessaires en vue de protéger les données qu’il conserve contre toute atteinte frauduleuse ou accidentelle ;
• met en œuvre les moyens nécessaires en vue d’empêcher tout accès non autorisé aux données qu’il conserve ainsi qu’au matériel, système de communication et support contenant les données ;
• met en place des procédures permettant de réagir rapidement aux incidents et de limiter leurs effets.

Dans les hypothèses prévues par les dispositions de l’article précédent, le prestataire de service d’archivage électronique ne conserve aucune copie des données restituées, transmises ou détruites, sauf demande expresse du destinataire du service ou d’une autorité judiciaire ou administrative compétente.

Les frais afférents aux opérations visées à l’article précédent sont à charge du destinataire, sauf en cas de résiliation du contrat résultant d’une faute du prestataire de service d’archivage électronique.

La faute du prestataire de service d’archivage électronique est présumée jusqu’à preuve du contraire si les données qui lui sont confiées :

• ne sont plus lisibles pendant la durée de conservation convenue avec le destinataire du service ;
• sont modifiées, sous réserve des modifications relatives à leur support ou leur format électronique ;
• ne peuvent être restituées, transmises à un autre prestataire ou détruites conformément aux dispositions des articles 109 et 110 de la présente loi.

La datation fournie par un prestataire de service d’horodatage électronique est basée sur le temps universel coordonné et y fait expressément référence.

Un horodatage électronique qualifié satisfait aux exigences suivantes :

• il lie la date et l’heure aux données de manière à raisonnablement exclure la possibilité de modification indétectable des données ;
• il est fondé sur une horloge exacte liée au temps universel coordonné ;
• il est signé au moyen d’une signature électronique sécurisée, au moyen d’un certificat qualifié du prestataire de services de confiance qualifié, ou par une méthode équivalente.

Le prestataire de service d’horodatage électronique est responsable des dommages causés par une défaillance de son service ayant un impact sur l’exactitude de la datation d’un document.

Au moment de l’envoi du message, le prestataire de service de recommandé électronique délivre à l’expéditeur un accusé d’envoi, muni de sa signature électronique sécurisée indiquant, conformément aux dispositions des articles 118 à 120 de la présente loi, la date à laquelle le message a été envoyé au destinataire.

Le prestataire de service de recommandé électronique met en œuvre les moyens nécessaires en vue de :

• protéger le contenu du message de l’expéditeur contre toute altération et modification ;
• prévenir contre toute perte ou toute appropriation par un tiers du message ;
• assurer la confidentialité des données transmises et conservées et ce, tout au long du processus de communication et de conservation.

Le prestataire de service de recommandé électronique vérifie, par des moyens appropriés, l’identité du destinataire du recommandé électronique, avec ou sans accusé de réception, avant la délivrance du recommandé électronique.

A la demande de l’expéditeur, le prestataire de service de recommandé électronique lui fournit un accusé, selon le cas, de réception ou de refus du message par le destinataire ou sa non délivrance. Cet accusé est muni d’une signature électronique.

Avant la délivrance du recommandé électronique, l’accusé de réception ou de refus est signé électroniquement par le destinataire et indique la date à laquelle le message a été reçu ou refusé par celui-ci, en recourant à un procédé d’horodatage électronique conformément aux dispositions y afférentes de la présente loi.

L’accusé de non-délivrance est fourni à l’expiration d’un délai de quinze jours à compter de l’envoi du message.

Le prestataire de service de recommandé électronique est responsable des dommages causés par les pertes ou l’altération du contenu du message transmis ou son appropriation par un tiers.

Le prestataire de service de recommandé électronique ne peut, en aucun moment, laisser entendre, directement ou indirectement, qu’il délivre des recommandés électroniques, s’il ne se conforme pas aux dispositions du présent chapitre.