OSIRIS

Décret n° 2008-718 du 30 juin 2008 relatif au commerce électronique pris pour l'application de la loi n° 2008 -08 du 25 janvier 2008 sur les transactions électroniques

Olivier SAGNA — 2008-06-30T00:00:00Z

Décret n° 2008-718 du 30 juin 2008 relatif au commerce électronique pris pour l'application de la loi n° 2008 -08 du 25 janvier 2008 sur les transactions électroniques

RAPPORT DE PRESENTATION

Le présent projet de décret est en application des dispositions de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques.

Les précisions apportées ont trait notamment :

1 - aux activités liées au commerce électronique ;

2 - aux obligations d'information du fournisseur électronique de bien ou de services ;

3 - à la responsabilité contractuelle du fournisseur électronique de biens ou de services ;

4 - à la publicité par voie électronique ;

5 - aux contrats sous forme électronique.

Telle est l'économie du présent projet de décret.

Le Président de la République,

Vu la Constitution, notamment en ses articles 43 et 76 :

Vu la loi n° 90-07 du 26 juin 1990 relative à l'organisation et au contrôle des entreprises du secteur parapublic et au contrôle des personnes morales de droit privé bénéficiant du concours financier de la puissance publique ;

Vu la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques ;

Vu le décret n° 2004-1038 du 23 juillet 2004 fixant les règles d'organisation et de fonctionnement de l'Agence de l'Information de l'Etat (ADIE) ;

Vu le décret n° 2007-826 du 19 juin 2007 portant nomination du Premier Ministre ;

Vu le décret n° 2008-362 du 07 avril 2008 portant réparation des services de l'Etat et du contrôle des établissements publics, des sociétés nationales et des sociétés à participation publique entre la Présidence de la République, la Primature et les ministres ;

Sur le rapport du Premier Ministre ;

Décrète :
Chapitre premier. - Dispositions Générales

Article premier : Le présent décret a pour objet de fixer les conditions d'application de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques, notamment celles relatives au commerce électronique.

Art. 2. - Au sens du présent décret, on entend par :

Services financiers : Services mentionnés au point 7 de l'article 16 du présent décret, notamment les services tels que les opérations de change, les instruments du marché monétaire, les valeurs mobilières et autres titres négociables, les systèmes de placement collectif, les contrats à terme, les contrats d'échange sur taux d'intérêt ou sur les devises, les contrats d'échanges sur des flux liés à des actions ou à des indices d'actions, etc.

Chapitre II. - Activités de commerce électronique.

Art. 3. - Les activités consistant à fournir des informations en ligne, qu'elles soient rémunérées ou non, relèvent du commerce électronique conformément aux dispositions de l'article 8 de la loi sur les transactions électroniques.

Il en est de même lorsqu'une personne propose ou assure à distance et par voie électronique un service à titre gratuit, qu'il soit à titre professionnel ou non.

Art. 4. - La fourniture d'un produit ou d'un service non demandé par un consommateur n'est pas une activité commerciale au sens de l'article 8 de la loi sur les transactions électroniques.

Le consommateur n'est tenu à aucun engagement relatif aux biens ou services qu'il n'a pas expressément demandés.

Toute fourniture non sollicitée est purement simplement interdite lorsqu'elle est assortie d'une demande de paiement, sous quelque forme que soit.

L'absence de réponse de la part du consommateur ne peut pas être considérée comme un consentement.

Art. 5. - En application de l'aliéna 3 de l'article 8 de la loi sur les transactions électroniques, il appartient au juge en cas de recours contentieux de fixer les critères de qualification d'un établissement stable et durable.

A ce titre, plusieurs critères peuvent être invoqués notamment le lieu d'établissement du siège social, celui de la localisation des moyens techniques nécessaires à l'exercice de l'activité ou celui du public ciblé.

Chapitre III. - Liberté d'exercice du commerce électronique et ses limites

Art. 6. - Les personnes exerçant l'activité définie à l'article 8 de la loi susmentionnée et établies dans un pays tiers doivent préciser le droit applicable et obtenir l'accord du destinataire du service proposé. Toutefois, le droit applicable dans ce pays ne saurait remettre en cause les garanties accordées au consommateur en vertu des dispositions analogues en vigueur au Sénégal.

Art. 7. - Nonobstant les dispositions de l'article 6 du présent décret, le Sénégal peut restreindre la liberté d'exercice de l'activité définie à l'article 8 de la loi sur les transactions électroniques pour des raisons de sécurité publique, de protection des mineurs, des consommateurs, de la santé publique ou de la préservation des intérêts de la défense nationale.

Chapitre IV. - Obligation d'information du fournisseur électronique de biens ou de services.

Art. 8. - Toute personne, qui exerce l'activité définie aux articles 8 et 10 de la loi sur les transactions électroniques, a l'obligation de fournir au consommateur les informations suivantes :

1) le cas échéant, le nom du directeur de publication ;

2) une adresse électronique et postale pour des réclamations éventuelles ;

3) un numéro de téléphone ou de fax ;

4) les indications sur les dispositions relatives à la protection des données à caractère personnel ;

5) les caractéristiques essentielles du produit ou du service proposé ;

6) le prix du bien ou du service avec toutes les taxes comprises ;

7) le cas échéant, les frais de livraison ;

8) la durée de validité de l'offre ;

9) la monnaie de facturation, les modalités de paiement, de livraison ou d'exécution et le cas échéant, les conditions de crédit proposées ;

10) les conséquences d'une mauvaise exécution ou d'une inexécution des engagements du fournisseur ;

11) l'existence ou l'absence d'un droit de rétractation ;

12) les informations relatives aux services après- vente et aux garanties commerciales existantes ;

13) les conditions relatives à la conclusion ( la date et l'heure ), à la durée et la résiliation des contrats en ligne ;

14) le mode de remboursement des sommes versées par le consommateur en cas de rétractation de sa part ;

15) le coût de l'utilisation d'un service en ligne ;

16) les conséquences de l'absence d'une confirmation des informations relatives aux prestations en ligne ;

Ces informations doivent être non équivoques, lisibles, d'un accès facile et permanent à partir de la page d'accueil du site web du fournisseur électronique de biens ou de services.

Art. 9. - Pour s'assurer que le consommateur a bien pris connaissance des obligations auxquelles il a souscrit, le fournisseur électronique de biens ou de services doit mettre à sa disposition les informations mentionnées à l'article 24 de la loi sur les transactions électroniques.

Ces informations doivent être accessibles et reproduites, en cas de besoin, par le consommateur en vue de leur conservation.

Art. 10 - Les informations mentionnées à l'article 8 du présent décret doivent être fournies par tout moyen adapté au service utilisé et accessibles à tout stade de la transaction, dans le respect des principes qui régissent la protection des personnes frappées d'incapacité juridique, notamment les mineurs et les incapables.

Lorsqu'il est en mesure de le faire, le fournisseur électronique de bien ou de services doit mettre en place un service permettant au consommateur de dialoguer directement avec lui.

Art. 11. - La preuve de l'existence d'une information préalable, d'une confirmation desdites informations, du respect des délais et du consentement du consommateur incombe au fournisseur électronique de biens ou de services.

Art. 12. - Pour tout contrat conclu par voie électronique, le consommateur dispose d'un délai de sept jours ouvrables pour se rétracter, sans indication de motif et sans pénalités.

Toutefois, si le fournisseur électronique de biens ou de services n'a pas satisfait aux obligations d'information prévues à l'article 10 de la loi sur les transactions électroniques, le délai de rétractation est de trois mois.

Le consommateur exerce son droit de rétractation sur tout support durable.

Art. 13. - Si les informations visées à l'article 8 du présent décret sont fournies pendant le délai de trois mois, le délai de sept jours ouvrables, prévu à l'article 12 du présent article, commence à courir à compter du jour de la réception des informations par le consommateur.

Art. 14. - Les délais prévus à l'article 12 du présent décret courent :

1) pour les services, à compter du jour de la conclusion du contrat ;

2) pour les produits, à compter de la réception du produit.

Art. 15. - L'exercice du droit de rétractation suppose que le consommateur ait la possibilité d'essayer l'objet commandé ou d'en faire usage.

Toutefois, cette disposition ne s'applique pas aux services dont l'exécution est effectuée en une seule fois.

Art. 16. - Sauf convention contraire, le consommateur ne peut exercer le droit de rétractation pour les contrats de :

1) fournitures de services dont l'exécution a commencé avec son consentement avant la fin du délai de rétractation ;

2) fournitures de produits confectionnés selon ses spécifications ou qui, du fait de leur nature, ne peuvent pas être réexpédies parce que susceptibles de se détériorer ou de se périmer rapidement ;

3) fournitures d'enregistrements audio, de vidéo ou de logiciels informatiques descellés ou téléchargés directement par lui ;

4) fournitures de journaux, périodiques et magazines ;

5) ventes conclues lors des enchères ;

6) polices d'assurance de moins d'un mois.

7) Services financiers dont le prix dépend des fluctuations du marché financier pouvant survenir durant la période de rétractation.

Art. 17. - Le droit de rétractation peut être exercé lorsque le produit commandé est détérioré pendant le transport.

Les frais qui peuvent être imputés au consommateur en raison de l'exercice de son droit de rétractation sont les frais directs de renvoi des marchandises qu'il avait commandées. Toutefois, ces frais ne sont plus à sa charge si le fournisseur électronique de biens ou de services n'a pas livré le bon produit.

Art. 18. - Les modalités d'exécution du droit de rétractation doivent impérativement être mentionnées dans les conditions générales de vente proposées par le fournisseur électronique de biens ou de services.

Art. 19. - Pour les produits et services qui ne sont pas soumis à un droit de rétractation conformément à l'article 16 du présent décret, les informations additionnelles ci-dessous doivent être fournies au consommateur :

1) les caractéristiques du système d'exploitation ou de l'équipement nécessaire pour utiliser de manière efficace le produit ou le service commandé ;

2) le temps approximatif et le coût du téléchargement éventuel d'un produit ou d'un service, et le cas échéant, les modalités et conditions du contrat de licence ;

3) les caractéristiques techniques pour reprendre un téléchargement d'un produit ou d'un service interrompu.

Art. 20. - Sauf si les parties en ont convenu autrement, le fournisseur électronique de biens ou services doit exécuter la commande au plus tard dans un délai de trente jours à compter de la date de conclusion du contrat.

En cas de défaut d'exécution du contrat à cause de l'indisponibilité du bien ou du service commandé, le consommateur doit en être informé par écrit et le contrat est résolu de plein droit.

Art. 21. - Quand le consommateur exerce son droit de rétractation, il ne peut être tenu qu'au paiement de la partie du prix, déterminée proportionnellement au service effectivement fourni par le fournisseur électronique de biens ou de services.

Le fournisseur électronique de biens ou de services renvoie, au plus tard dans les quinze jours, au consommateur tous les montants reçus en accord avec le contrat conclu, excepté le montant à payer conformément à l'alinéa précèdent du présent article.

Ce délai court à partir de la date de réception de la notification de ladite rétractation envoyée par le consommateur.

Art. 22. - Si le remboursement prévu par l'alinéa 2 de l'article 21 du présent décret ne s'opère pas dans le délai mentionné dans le même article, la somme due est de plein droit majorée, à compter du premier jour après l'expiration dudit délai, au taux légal en vigueur.

Le remboursement doit être fait par le fournisseur électronique de biens ou de services sans frais et dans les mêmes conditions de paiement.

Le fournisseur électronique de biens ou de services est également passible de sanctions pénales conformément aux dispositions de l'article 431-49 de la loi sur la cybercriminalité.

Chapitre V. - Responsabilité contractuelle du fournisseur électronique de biens ou de services

Art. 25. - La responsabilité contractuelle du fournisseur électronique de biens et services, mentionnée à l'article 11 de la loi sur les transactions électroniques, est automatiquement engagée en cas d'inexécution de ses obligations.

L'obligation de résultat, qui pèse sur le fournisseur électronique de biens et services, signifie qu'il se trouve tenu de réparer tout préjudice notamment les conséquences de ses propres carences.

Chapitre VI. - Publicité par voie électronique.

Les dispositions de l'article 13 de la loi sur les transactions électroniques s'appliquent sans préjudice des dispositions réprimant la publicité trompeuse. L'identification prévue par les articles 13 et 14 de la loi susmentionnée, pour toute publicité par courrier électronique, doit être effective dès la réception du message par le destinataire.

Cette identification doit se faire par tout moyen permettant de rendre d'emblée non équivoque pour le consommateur la nature publicitaire du message. Les indications, quel que soit la nature du message, doivent être lisibles ou audibles et, dans tous les cas, intelligibles.

Art. 27. - La publicité doit être conforme aux exigences de décence et de respect de la dignité de la personne humaine.

Elle ne doit pas être de nature à induire le consommateur en erreur sur l'offre réellement proposée et en particulier sur l'entreprise à l'origine de l'offre conformément à l'article 13 de la loi sur les transactions électroniques.

La publicité ne doit, sous quelque forme que ce soit, inciter le consommateur à cliquer obligatoirement sur un message publicitaire.

Art. 28. - le contenu visuel, sonore ou écrit de la publicité ne doit pas porter atteinte à l'intégrité physique ou morale des mineurs.

Lorsque le message publicitaire sollicite directement des mineurs et qu'il incite à une dépense financière notamment la souscription à un service payant ou l'utilisation d'un numéro surtaxé, l'appel à y participer doit être adressé aux parents ou aux tuteurs légaux.

Art. 29. - La collecte des données et leur utilisation ne peuvent être utilisée que dans le strict respect de la loi sur les données à caractère personnel. En particulier, il est essentiel :

1) de ne collecter que les données strictement nécessaires à la finalité du traitement envisagé ;

2) de ne pas collecter par l'intermédiaire d'un mineur, des données à caractère personnel concernant une tierce personne.

Art. 30. - La Commission des données personnelles veille, pour ce qui concerne la prospection directe utilisant les coordonnées d'une personne physique, au respect des dispositions en vigueur en matière de protection des données à caractère personnel.

A cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives à ces infractions.

Art. 31. - A défaut de consentement dans le délai prévu à l'article 17 de la loi sur les transactions électroniques, une présomption de refus s'applique et toute décision contraire, de la part d'un annonceur, sera considérée comme un manquement aux dispositions de la loi sur les données à caractère personnel.

Art. 32. - En application de l'article 16 de la loi sur les transactions électroniques, la prospection directe sera illicite si :

1) elle utilise des coordonnées recueillies sans consentement préalable du consommateur ;

2) elle utilise des coordonnées recueillies en dehors du cadre d'une vente ou d'une prestation de service ;

3) elle concerne des produits ou services distincts non fournis par la même personne physique ou morale ;

4) Le consommateur n'est pas informé clairement de son droit de s'opposer sans frais à l'utilisation de ses coordonnées.

Chapitre VII. - Obligations conventionnelles sous forme électronique en général.

Art. 33. - Le principe prévu à l'article 18 de la loi sur les transactions électroniques ne vaut que dans les rapports entre l'administration et les particuliers mais ne s'applique pas aux rapports entre particuliers.

Art. 34. - En application de l'article 20 de la loi sur les transactions électroniques, il est fait exception aux dispositions de l'article 19 de la même loi susmentionnée, pour tous les contrats conclus par voie électronique entre professionnels, entre professionnels et consommateurs, à l'exception des contrats qui créent ou transfèrent des droits sur des biens immobiliers, à l'exception des droits de location.

Chapitre VIII. - Contrats sous forme électronique en général.

Art. 35. - En application des articles 21 et suivants de la loi sur les transactions électroniques, des offres de service peuvent être mises à disposition par voie électronique. A cet effet, la négociation et la conclusion des contrats peuvent être assurées par électronique, ainsi que les échanges liés à l'exécution desdits contrats, sous réserve de l'accord des parties.

Le formulaire, prévu à l'article 23 de la loi sur les transactions électroniques, peut être mis à disposition sous forme électronique et renvoyé de la même manière.

Art. 36. - En application de l'article 24 de la loi sur les transactions électroniques, le professionnel qui ne transmet pas les conditions contractuelles applicables d'une manière qui permette leur conservation et leur reproduction devra, en cas de litige, produire lesdites conditions en vigueur au moment de la conclusion du contrat.

Ces conditions, y comprises les conditions générales de vente ou de services, doivent être non équivoques, datées et compréhensibles pour le consommateur.

Art. 37. - Lorsque la date prévue à l'article 28 de la loi sur les transactions électroniques, doit être établie, elle peut l'être, en vue de garantir le jour, le mois, l'année, l'heure de l'envoi, de l'indication de la provenance ou de la destination d'un message électronique, par :

1) l'aménagement de la preuve de la datation par contrat entre les parties ;

2) un horodatage sécurisé grâce à l'intervention d'un tiers ;

3) un accusé de réception conformément à l'article 30 de la loi sur les transactions électroniques.

4) ou par tout autre moyen présentant des garanties jugées équivalentes par le juge.

Art. 38 - Si une lettre recommandée par voie électronique est envoyée, l'expéditeur peut choisir une réception papier ou une réception sous forme électronique.

En cas d'option pour une réception papier, le contenu du courrier électronique recommandé est alors imprimé par le tiers avant d'être envoyé au destinataire.

En cas d'option pour une réception sous forme électronique, le courrier recommandé est alors adressé directement au destinataire sous cette forme.

Qu'il s'agisse de lettre simple ou de lettre recommandée, la datation de l'expédition doit respecter les dispositions de l'article 37 du présent décret.

Art. 39. - En application de l'article 33 de la loi sur les transactions électroniques, l'obligation d'archivage de tous les contrats conclus par voie électronique est effective à compter de l'entrée en vigueur du présent décret.

Le délai de conservation court pour la livraison du bien ou l'exécution de la prestation immédiate à compter du moment de la conclusion du contrat. En cas de livraison ou de prestation différée, le délai court à compter de la date de livraison ou l'exécution de la prestation.

Art. 40. - Le Premier Ministre et les ministres sont chargés de l'application du présent décret qui sera publié au Journal officiel.

Fait à Dakar, le 30 juin 2008.

Par le Président de la République : Abdoulaye WADE.

Le Premier Ministre, Cheikh Hadjibou SOUMARE.

Décret n° 2008-721 du 30 juin 2008 portant application de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel

Olivier SAGNA — 2008-06-30T00:00:00Z

Décret n° 2008-721 du 30 juin 2008 portant application de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel

RAPPORT DE PRESENTATION

Le présent projet de décret est pris en application des dispositions de la loi n° 2008-12 du 25 janvier 2008 sur la protection des données à caractère personnel.

Les précisions apportées ont trait notamment :

1) à l'organisation, aux modalités de fonctionnement ainsi qu'aux attributions de la Commission des données personnelles ;

2) aux régimes juridiques applicables au traitement des données à caractère personnel ;

3) aux conditions de protection minimales exigées pour tout traitement des données à caractère personnel ;

4) aux droits conférés à la personne dont les données à caractère personnel font l'objet d'un traitement ;

5) aux obligations qui pèsent sur le responsable du traitement des données à caractère personnel ;

6) enfin, aux différentes sanctions prévues en cas de non respect de la législation en vigueur sur les données à caractère personnel.

Telle est l'économie du présent projet de décret.

Le Président de la République :

Vu la Constitution, notamment en ses articles 43 et 76 ;

Vu la loi n° 96-06 du 22 mars 1996, modifiée, portant code des Collectivités locales ;

Vu la loi n° 2008-12 du 25 janvier 2008 relative à la protection des données à caractère personnel ;

Vu le décret n° 2004-1038 du 23 juillet 2004 fixant les règles d'organisation et de fonctionnement de l'Agence de l'Informatique de l'Etat (ADIE) ;

Vu le décret 2007-826 du 19 juin 2007 portant nomination du Premier Ministre ;

Vu le décret n° 2008-362 du 7 avril 2008 portant répartition des services de l'Etat et du contrôle des établissements publics, des sociétés nationales et des sociétés à participation publique entre la présidence de la république, la primature et les ministères.

Sur le rapport du Premier Ministre,

Décrète :

Chapitre premier. - Dispositions générales.

Article premier. - Au sens du présent décret, on entend par :

1) Chartes d'utilisation : tout document définissant les conditions générales de traitement des données à caractère personnel ainsi que les droits et les obligations du responsable du traitement et de l'utilisateur de celui-ci.

2) Commission des données personnelles : la dénomination de la Commission de Protection des Données à Caractère Personnel (CDP) prévue par l'article 5 de la loi sur les données à caractère personnel ;

3) Données à Caractère personnel anonymes : les données qui ne peuvent être mises en relation avec une personne identifiée ou identifiable ;

4) Données à caractère personnel codées : les données qui ne peuvent être mises en relation avec une personne identifiée ou identifiable que l'intermédiaire d'un code prédéfini ;

5) Données à caractère personnel traitées à des fins historiques, statistiques ou scientifiques : toute opération de collecte et de traitement des données à caractère personnel à des fins scientifiques, d'information générale, d'aide à la planification et à la décision ;

6) Droit d'accès : le droit pour toute personne d'obtenir des informations sur des données la concernant et d'en obtenir une copie ;

7) Droit à l'information : le droit pour toute personne de savoir si des données la concernant font l'objet d'un traitement et d'obtenir du responsable du traitement des informations sur celui-ci ;

8) Droit de rectification : le droit pour toute personne d'exiger du responsable d'un traitement que soient rectifiées, complétées, mises à jour, verrouillées ou effacées les données la concernant qui sont inexactes, incomplètes, équivoques, périmées, ou dont la collecte, l'utilisation, la communication ou la conservation est interdite ;

9) Traitement ultérieur de données à caractère personnel : l'hypothèse où le responsable d'un traitement des données à caractère personnel, dans le cadre de ses activités habituelles et légitimes, souhaite réutiliser lui-même ces dites données ou les communiquer.

Chapitre II. - Commission des données personnelles

Section première. - Organisation et Fonctionnement de la Commission des Données personnelles.

Art. 2. - Le Président de la Commission des données personnelles assume la gestion quotidienne de ladite Commission, dirige le secrétariat, préside les réunions en ses différentes formations ou délègue un autre membre à cette fin.

Il est chargé d'organiser, dans les meilleurs délais, en application des dispositions de l'article 11 de la loi sur les données à caractère personnel, la prestation de serment des membres et agents choisis par la Commission des données personnelles.

Art. 3. - Les membres de la Commission des données personnelles se réunissent en séance plénière sur convocation du Président.

A défaut, la convocation est de droit à la demande de la majorité des membres de la Commission des données personnelles ;

La convocation, précisant l'ordre du jour, peut être faite par voie électronique. Les séances de la Commission des données personnelles ne sont pas publiques.

Art. 4. - L'élection du vice-président doit avoir lieu lors de la première réunion de la Commission des données personnelles.

Le Président de la Commission des données personnelles peut déléguer certains de ses pouvoirs au vice-président ou à ses collaborateurs, membres de ladite Commission.

Art. 5. - La Commission des données personnelles établit son règlement intérieur, conformément à l'alinéa 4 de l'article 8 de la loi sur les données à caractère personnel dans un délai d'un mois après son installation.

Art. 6. - La Commission des données personnelles ne peut valablement délibérer que si la majorité de ses membres au moins est présente.

Les votes ont lieu à main levée et toutes les décisions sont adoptées à la majorité absolue des membres présents.

En cas de parité des voix, celle du Président ou, s'il est empêché, de son suppléant, est prépondérante.

Chaque séance de la Commission des données personnelles donne lieu à un procès-verbal signé par les membres de la Commission ayant siégé.

Section II. - Composition de la Commission des Données personnelles.

Art. 7. - En application de l'alinéa 3 de l'article 6 de la loi sur les données à caractère personnel, un Commissaire du Gouvernement siège auprès de la Commission des données personnelles notamment pour :

1) recevoir une copie de la demande d'avis ou d'autorisation présentée pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public ;

2) disposer, à sa demande, d'une copie de toute autre déclaration, demande d'avis ou d'autorisation ;

3) présenter, à sa demande, ses observations écrites ou orales sur toute déclaration, demande d'avis ou d'autorisation ;

4) établir annuellement, avant le 31 décembre, un rapport destiné au Premier ministre sur les traitements des données à caractère personnel effectués pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public.

En cas d'absence ou d'empêchement, le Commissaire du gouvernement est remplacé par un suppléant désigné conformément aux dispositions de l'article 6 de la loi sur les données à caractère personnel. Convoqué dans les mêmes conditions que les autres membres de la Commission des données personnelles, son absence ne peut pas empêcher la tenue des travaux de ladite Commission.

Le Commissaire du gouvernement est nommé pour une durée de deux (2) ans, renouvelable une seule fois.

Art. 8. - Les propositions de désignation des membres de la Commission des données personnelles, mentionnées aux articles 6 et suivants de la loi sur les données à caractère personnel, en vue de la nomination des nouveaux membres ou du renouvellement du mandat des membres en fonction, doivent être adressées dans les six mois qui précèdent l'expiration du mandat de ces derniers.

Art. 9. - Le Président de la Commission des données personnelles peut faire appel à un ou plusieurs experts en application de l'article 27 de la loi sur les données à caractère personnel.

Les experts dont le concours est requis par la Commission des données personnelles sont rétribués selon les dispositions du code des marchés.

Lorsque les opérations de contrôle nécessitent l'accès à des données médicales individuelles, la Commission des données personnelles désigne un médecin inscrit sur une liste fournie chaque année par l'ordre des médecins du Sénégal pour requérir la communication de ces données.

Le rapport d'expertise est remis au Président de la Commission des données personnelles qui en adresse une copie au responsable du traitement.

Section III. - Attributions de la Commission des données personnelles.

Art. 10. - La Commission des données personnelles est compétente pour formuler toutes recommandations utiles en vue de veiller à ce que les traitements des données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi susmentionnée ainsi que celles du présent décret.

Art. 11. - A l'exception des informations intéressant la sûreté de l'Etat, la défense ou la sécurité publique, le répertoire des traitements de données à caractère personnel, est accessible au public selon les modalités suivantes :

1) la consultation dans des locaux de la Commission des données personnelles selon des jours et des heures fixés par le Président de ladite Commission ;

2) la consultation par le biais d'une demande, sous forme d'extrait, adressée à la Commission des données personnelles ; 3) la consultation sur tout autre support prévu par la Commission des données personnelles. La consultation du répertoire des traitements des données à caractère personnel est gratuite.

Art. 12. - La Commission des données personnelles fixe la liste des personnes chargées de procéder aux contrôles prévus par l'article 25 de la loi sur les données à caractère personnel.

Cette liste peut être réaménagée à tout moment par la Commission des données personnelles.

Art. 13. - L'opération de contrôle, qu'elle soit sur place ou sur convocation, est décidée par une décision de la Commission des données personnelles qui précise :

1) le nom et l'adresse du responsable du traitement concerné ;

2) le nom du rapporteur et des autres contrôleurs chargés de l'opération ;

3) l'objet ainsi que la durée de l'opération.

Art. 14. - Aucun contrôleur ne peut être désigné pour effectuer un contrôle auprès d'un organisme au sein duquel il a, au cours des 5 années précédant le contrôle, détenu un intérêt direct ou indirect, exercé des fonctions, une activité professionnelle ou un mandat électif.

Art. 15. - En cas d'opération de contrôle, le Procureur de la République territorialement compétent en est préalablement informé au plus tard vingt-quatre (24) heures avant la date à laquelle doit avoir lieu le contrôle sur place. Cet avis précise la date, l'heure, le lieu et l'objet du contrôle.

Les personnes chargées du contrôle doivent présenter leur ordre de mission et, le cas échéant, leur habilitation à procéder auxdits contrôles.

Art. 16. - Chaque contrôle, qu'il soit sur place ou sur convocation, doit faire l'objet d'un procès-verbal qui énonce la nature, le jour, l'heure et le lieu des contrôles effectués.

Le procès-verbal indique l'objet de l'opération, les membres de la Commission des données personnelles ayant participé à celle-ci, les personnes rencontrées, le cas échéant, leurs déclarations, les demandes formulées par les contrôleurs ainsi que les éventuelles difficultés rencontrées.

L'inventaire des pièces et documents dont les personnes chargées du contrôle ont pris copie est annexé au procès-verbal signé par les personnes chargées du contrôle et par le responsable soit des lieux, soit des traitements, soit par toute personne désignée par celui-ci.

En cas de refus ou d'absence du responsable des lieux ou des traitements, il en est fait mention dans le procès-verbal de carence établi par les contrôleurs.

Lorsque la visite n'a pu se dérouler, le procès-verbal mentionne les motifs qui ont empêché ou entravé son déroulement.

Lorsque la visite a lieu avec l'autorisation et sous le contrôle du juge conformément à l'article 26 de la loi sur les données à caractère personnel, une copie du procès-verbal de la visite lui est adressée par le Président de la commission des données personnelles.

Art. 17. - Lorsque la Commission des données personnelles procède à des contrôles, à la demande d'une autorité d'un pays tiers exerçant des compétences analogues aux siennes, elle en informe le responsable du traitement.

Art. 18. - Les personnes chargées du contrôle peuvent convoquer et entendre toute personne susceptible de leur fournir toute information ou justification utiles pour l'accomplissement de leur mission.

La convocation, adressée par lettre recommandée ou remise en main propre contre décharge, doit parvenir au moins sept jours avant la date de l'audition.

La convocation rappelle à la personne convoquée qu'elle est en droit de se faire assister d'un conseil de son choix.

Le refus de répondre à une convocation des personnes chargées du contrôle doit être mentionné sur procès-verbal.

Art. 19. - Lorsqu'une personne interrogée dans le cadre des contrôles fait par la Commission des données personnelles oppose le secret professionnel, il est fait mention de cette opposition sur le procès-verbal établi. Le procès-verbal doit faire mention des dispositions législatives ou réglementaires régissant le secret professionnel invoqué.

Chapitre III. - Régimes juridiques applicables au traitement des données à caractère personnel.

Art. 20. - La finalité du traitement envisagé et la nature des données collectées déterminent le régime applicable à tout traitement.

Section première. - Régime de déclaration.

Art. 21. - Le responsable du traitement s'engage à réaliser une déclaration conforme à la réalité du traitement envisagé.

Art. 22. - La dispense de formalités préalables prévue par l'article 17 de la loi sur les données à caractère personnel n'exonère pas le responsable du traitement de respecter les principes posés par la loi susmentionnée pour garantir les droits des personnes concernées.

Art. 23. - Peuvent faite l'objet d'une déclaration simplifiée les traitements de données à caractère personnel mis en œuvre :

1) par les organismes publics et privés pour la gestion de leurs personnels ;

2) sur les lieux de travail pour la gestion des contrôles d'accès aux locaux, des horaires et de la restauration ;

3) dans le cadre de l'utilisation de services de téléphonie fixe et mobile sur les lieux de travail.

Art. 24. - Lorsque la déclaration satisfait aux prescriptions de la loi sur les données à caractère personnel, la Commission des données personnelles délivre le récépissé prévu à l'article 18 de la loi susvisée.

Les formalités déclaratives sont réputées accomplies à compter de la délivrance du récépissé visé à l'alinéa précédent du présent article. Le traitement peut alors être mis en œuvre par le déclarant sous sa responsabilité.

Lorsque le récépissé est délivré par voie électronique, le responsable du traitement peut en demander une copie sur support papier.

Section II. - Régime d'autorisation.

Art. 25. - Les demandes d'autorisation, présentées en application des articles 20 ou 21 de la loi sur les données à caractère personnel, doivent comporter, le cas échéant, en annexe, l'acte réglementaire autorisant le traitement envisagé.

Section III. - Dispositions communes aux différents régimes.

Art. 26. - La Commission des données personnelles peut définir des modèles de formulaires simplifiés pour les demandes d'avis, d'homologation des chartes d'utilisation, de déclarations et d'autorisation, assortis, le cas échéant, des annexes destinées à compléter les informations.

Les normes destinées à simplifier ou à exonérer l'obligation de déclaration établie par la Commission des données personnelles en application de l'article 19 de la loi sur les données à caractère personnel sont publiées au Journal officiel.

Sauf dispositions contraires, les formulaires peuvent être retirés gratuitement auprès de la Commission des données personnelles.

Art. 27. - Les demandes d'avis, d'homologation des chartes d'utilisation, de déclarations et d'autorisation sont présentées par le responsable du traitement ou par la personne ayant qualité pour le représenter.

Lorsque le responsable du traitement est une personne physique mais agissant pour le compte d'une personne morale, l'autorité dont il relève doit être mentionnée.

Art. 28. - Les demandes d'avis, d'homologation des chartes d'utilisation, de déclaration et d'autorisation sont adressées à la Commission des données personnelles, soit par lettre recommandée, soit par voie électronique mais avec accusé de réception qui peut être adressé par la même voie.

A défaut, elles peuvent être déposées directement auprès de la Commission contre décharge.

Art. 29. - La date de l'avis de réception, de la signature de la décharge ou de l'accusé de réception électronique fixe le point de départ du délai dont dispose la Commission des données personnelles pour notifier ses avis et autorisations en application de l'article 23 de la loi sur les données à caractère personnel.

En cas de prorogation de ce délai, la Commission des données personnelles le notifie au responsable du traitement.

Art. 30. - Toute décision de la Commission des données personnelles est motivée et notifiée au responsable du traitement ainsi qu'à toutes les autres personnes concernées, conformément aux modalités définies à l'article 28 du présent décret.

Les délibérations de la Commission des données personnelles sont publiées au Journal officiel.

Art. 31. - Le responsable du traitement informe la Commission des données personnelles dans un délai d'un mois et selon les modalités définies à l'article 28 du présent décret de toute suppression du traitement.

En cas de modification, affectant les informations mentionnées à l'article 22 de la loi sur les données à caractère personnel, le responsable du traitement informe la Commission des données personnelles dans un délai de quinze jours ouvrables.

Chapitre IV. - Obligations relatives aux conditions de traitement des données à caractère personnel.

Section première. - Principes de base gouvernant le traitement des données à caractère personnel.

Art. 32. - Tout traitement de données à caractère personnel est interdit lorsque le consentement de la personne concernée n'est pas obtenu.

Section II. - Principes spécifiques relatifs au traitement de certaines catégories de données à caractère personnel.

I. - Traitement des données à caractère personnel portant sur les données génétiques et sur la recherche dans le domaine médical.

Art. 33. - Le dossier des demandes d'avis ou d'autorisation de traitements de données à caractère personnel portant sur les données génétiques et sur la recherche dans le domaine médical comprend :

1) l'identité et l'adresse du responsable du traitement et de la personne responsable de la recherche, leurs titres, expériences et fonctions, les catégories de personnes qui seront appelées à mettre en œuvre le traitement ainsi que celles qui auront accès aux données collectées ;

2) le protocole de recherche ou ses éléments utiles, indiquant notamment l'objectif de la recherche, les catégories de personnes intéressées, la méthode d'observation ou d'investigation retenue, l'origine et la nature des données à caractère personnel recueillies et la justification du recours à celles-ci, la durée et les modalités d'organisation de la recherche, la méthode d'analyse des données ;

3) le cas échéant, les avis rendus antérieurement par des instances scientifiques ou éthiques ;

4) les caractéristiques du traitement envisagé ;

5) le cas échéant, la justification scientifique et technique de toute demande de dérogation à l'obligation de codage des données permettant l'identification des personnes intéressées et la justification de toute demande de dérogation à l'interdiction de conservation desdites données au-delà de la durée nécessaire à la recherche.

Toute modification de ces éléments est portée à la connaissance de la Commission des données personnelles.

Art. 34. - Le point de départ du délai fixé par cette disposition est reporté à la date de réception des informations complémentaires demandées par la Commission des données personnelles lorsque le dossier est incomplet.

Art. 35. - Sauf dérogation accordée par la Commission des données personnelles, la collecte des informations prévues par l'article 44 de la loi sur les données à caractère personnel, a lieu dans les conditions suivantes :

1) lorsque les données à caractère personnel sont recueillies directement auprès des personnes intéressées par questionnaire écrit, celui-ci ou à défaut la lettre qui l'accompagne porte la mention lisible de ces informations ;

2) lorsque les données à caractère personnel sont recueillies oralement, la personne chargée de mener l'enquête remet ou fait préalablement parvenir aux personnes intéressées un document contenant ces informations ;

3) dans le cas où les données à caractère personnel ont été initialement recueillies pour un autre objet que le traitement envisagé, le professionnel de santé en charge de sa thérapeutique informe la personne intéressée par écrit.

Art. 36. - Les personnes accueillies dans les établissements ou les centres où s'exercent des activités de prévention, de diagnostic et de soins donnant lieu à la transmission de données à caractère personnel en vue d'un traitement ayant pour fin la recherche médicale sont informées des mentions prescrites par les articles 58 et suivants de la loi sur les données à caractère personnel par la remise d'un document ou par tout autre moyen approprié.

Toutefois, ces informations peuvent ne pas être délivrées si, pour des raisons légitimes que le médecin traitant apprécie, le malade est laissé dans l'ignorance d'un diagnostic ou d'un pronostic grave.

Les dérogations à l'obligation d'informer les personnes de l'utilisation des données les concernant à des fins de recherche médicale sont mentionnées dans le dossier de demande d'autorisation adressé à la Commission des données personnelles.

II. - Traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques

Art. 37. - Lorsque le responsable d'un traitement des données à caractère personnel collectées pour des finalités déterminées, explicites et légitimes, communique ces dites données à un tiers en vue d'un traitement ultérieur notamment à des fins historiques, statistiques ou scientifiques, lesdites données sont, préalablement à leur communication, rendues anonymes ou codées par ledit responsable ou par tout organisme compétent.

Art. 38. - Les résultats du traitement des données à caractère personnel à des fins historiques, statistiques ou scientifiques ne peuvent être rendus publics sous une forme qui permet l'identification de la personne concernée, sauf si :

1) la personne concernée a donné expressément son consentement ;

2) la publication des données à caractère personnel non anonymes et non codées est limitée à des données manifestement rendues publiques par la personne concernée.

Art. 39. - La Commission des données personnelles est compétente pour se prononcer sur le caractère historique, statistique ou scientifique des données à caractère personnel.

Art. 40 . - Les articles 37 et 38 du présent décret ne sont pas applicables à tout traitement des données concernant la sécurité publique, la défense, la recherche et la poursuite d'infractions pénales ou la sûreté de l'Etat.

III. - Traitement des données à caractère personnel intéressant la sûreté de l'Etat, la défense ou la sécurité publique.

Art. 41. - En application de l'article 67 de la loi sur les données personnelles, lorsque le responsable du traitement s'oppose à la communication au demandeur de tout ou partie des informations le concernant, à la rectification ou à la suppression desdites informations, la Commission des données personnelles informe la personne concernée des vérifications effectuées.

La Commission des données personnelles mentionne cette opposition dans son rapport annuel.

IV. - Traitement des données à caractère personnel susceptibles d'être transférées vers un pays tiers

Art. 42. - En application de l'article 49 de la loi sur les données à caractère personnel, le responsable du traitement saisit, selon les modalités définies à l'article 28 du présent décret, la Commission des données personnelles, avant le premier transfert des données vers un pays tiers.

La déclaration du responsable du traitement doit préciser :

1) les nom et adresse de la personne communiquant les données ; 2) les nom et adresse du destinataire des données ;

3) le nom et la description complète du fichier ;

4) les catégories de données personnelles transférées ;

5) les personnes concernées et leur nombre approximatif ;

6) le but du traitement des données effectué par le destinataire ;

7) le mode et la fréquence des transferts envisagés ;

8) la date du premier transfert ;

Toute modification des informations déclarées par le responsable du traitement doit faire l'objet d'une déclaration auprès de la Commission des données personnelles dans un délai de quinze jours ouvrables.

Art. 43. - Le transfert, prévu au sein d'un groupe d'entreprises ou à l'adresse de plusieurs destinataires pour les mêmes catégories de données et les mêmes finalités, peut faire l'objet d'une déclaration commune.

Art. 44. - La Commission des données personnelles établit une liste des Etats qui ont une législation sur les données à caractère personnel équivalente et la met à disposition de quiconque souhaite transférer des données personnelles vers des pays tiers.

Cette publication n'exonère pas le responsable du traitement d'aucune de ses responsabilités.

Chapitre V. - Droits conférés à la personne dont les données font l'objet d'un traitement.

Section première. - Droit à l'information.

Art. 45. - Les informations à fournir par le responsable du traitement, en application de l'article 58 de la loi sur les données à caractère personnel, peuvent être délivrées par tous moyens notamment par :

1) courrier électronique ou sur support papier ;

2) affichage ou formulaire électronique ;

3) annonce dans un support approprié ;

4) ou bien, au cours d'un entretien individuel.

Art. 46. - Si les données sont recueillies par voie de questionnaire, les informations ci-dessous doivent être mentionnées sur le questionnaire :

1) l'identité du responsable du traitement ou de celle de son représentant ;

2) la finalité poursuivie par le traitement ;

3) le caractère obligatoire ou facultatif des réponses ;

4) les droits d'accès, d'opposition, de rectification et de suppression.

Art. 47. - Lorsque les données ont été initialement recueillies pour une autre finalité, le responsable du traitement doit en informer la personne concernée, sauf si cette dernière est déjà informée. Lorsque le responsable du traitement se trouve dans l'impossibilité de le faire, il doit le justifier auprès de la Commission des données personnelles.

Section II. - Droit d'accès.

Art. 48. - Toute personne a le droit d'être informée, sur les données la concernant, en adressant une demande écrite d'accès aux informations, signée et datée, quel que soit le support :

1) soit au responsable du traitement ou à son représentant au Sénégal ou à l'un de ses mandataires ou préposés ;

2) soit au sous-traitant du traitement des données à caractère personnel qui la communique, le cas échéant, à une des personnes mentionnées au point 1 du présent article.

Toutefois, toute demande abusive sera jugée comme irrecevable, soit par le responsable du traitement, soit par la Commission des données personnelles ;

conformément aux dispositions de l'article 66 de la loi sur les données à caractère personnel.

Art. 49. - La demande prévue à l'article 48 du présent décret doit contenir : le nom, le prénom, la date de naissance, la nationalité de la personne concernée, ainsi qu'une photocopie de la carte d'identité, du passeport ou du document qui en tient lieu.

La demande d'accès aux informations contient en outre et dans la mesure où le demandeur dispose de ces informations :

1) tous les éléments pertinents concernant les données contestées, tels que leur nature, les circonstances oul'origine de la prise de connaissance des données contestées, ainsi que les rectifications éventuellement souhaitées ;

2) la désignation de l'autorité ou du service concerné.

La commission des données personnelles peut demander à la personne concernée toutes les informations complémentaires qu'elle estime utile.

Art. 50. - A défaut des éléments mentionnés à l'article 49 du présent décret, la demande d'accès aux informations pourra être considérée comme irrecevable.

La réponse du responsable de traitement des données doit être faite par écrit.

Art. 51. - Si plusieurs responsables de traitement des données gèrent en commun un ou plusieurs fichiers, le droit d'accès aux informations peut être exercé auprès de chacun d'eux, à moins que l'un d'eux soit considéré comme responsable de l'ensemble des traitements.

Si la personne sollicitée n'est pas autorisée à communiquer les informations demandées, elle doit transmettre la requête à qui de droit dans les meilleurs délais.

Art. 52. - Les demandes de rectification, de suppression ou d'interdiction des données à caractère personnel ou la communication d'une opposition fondée sur les dispositions de la loi sur les données à caractère personnel, sont introduites auprès des mêmes personnes mentionnées à l'article 48 du présent décret.

Les demandes visées au présent article sont adressées aux personnes concernées conformément aux dispositions de l'article 28 du présent décret.

Art. 53. - Une participation équitable aux frais, au profit de la Commission des données personnelles, peut exceptionnellement être demandée lorsque :

1) les informations demandées ont déjà été communiquées au requérant dans les six mois précédant la demande, et que ce dernier ne peut justifier d'un intérêt légitime, telle la modification des dites données ;

2) la communication des informations demandées occasionne un volume de travail considérable pour la Commission des données personnelles.

Les modalités d'application relatives à la participation aux frais sont fixées par décision de la Commission des données personnelles.

Art. 54. - En application de l'article 65 de la loi sur les données à caractère personnel, la consultation des données d'une personne décédée est accordée lorsque le requérant justifie d'un intérêt à la consultation et qu'aucun intérêt prépondérant de proches de la personne décédée ou de tiers ne s'y oppose. Un intérêt est établi en cas de proche parenté ou de mariage avec la personne décédée.

Art. 55. - A l'issue de toute vérification, la Commission des données personnelles peut faire rectifier, effacer des données à caractère personnel déjà traitées ou insérer d'autres. Elle peut également interdire la communication des données à caractère personnel ou formuler des recommandations qu'elle estime nécessaire.

Art. 56. - Le procès-verbal rédigé par la Commission des données personnelles fixe le délai au terme duquel le responsable du traitement est tenu d'avoir fait cesser le ou les manquements constatés. A l'expiration de ce délai, le responsable du traitement concerné notifie par écrit à ladite Commission les suites réservées aux décisions qui ont été prises.

Art. 57. - La Commission des données personnelles dispose d'un délai de quatre mois à compter de la notification pour se prononcer sur toute demande d'accès aux informations.

En cas de demande d'information complémentaire adressée au requérant, le délai défini au présent article court à compter de la date de réception par la Commission des données personnelles de ces dites informations.

Lorsque la Commission des données personnelles sollicite l'avis d'une autorité exerçant des compétences analogues aux siennes dans un pays tiers, le même délai court à compter de la réception par la dite Commission des informations demandées.

Section III. - Droit d'opposition.

Art. 58. - Lorsque des données à caractère personnel sont collectées par écrit auprès de la personne concernée, le responsable du traitement demande à celle-ci, sur le document grâce auquel il collecte les données, si elle souhaite exercer le droit d'opposition prévu à l'article 68 de la loi sur les données à caractère personnel.

Art. 59. - Lorsque les données à caractère personnel sont collectées auprès de la personne concernée autrement que par écrit, le responsable du traitement demande à celle-ci si elle souhaite exercer le droit d'opposition. Dans cette hypothèse, la demande doit se réaliser, au plus tard un mois après la collecte desdites données, par tout moyen technique, qui permet de conserver la preuve que la personne concernée a eu la possibilité d'exercer son droit d'opposition.

A défaut de la communication de ce document, le droit d'opposition s'applique de plein droit.

Art. 60. - Lorsque les données à caractère personnel ne sont pas obtenues auprès de la personne concernée, le responsable du traitement lui demande, quel que soit le support, si elle souhaite exercer le droit d'opposition.

Art. 61. - Lorsque des données à caractère personnel sont destinées à être utilisées par le responsable du traitement à des fins de prospection, notamment commerciales, le droit d'opposition peut être exercé sans aucune justification.

Section IV. - Droit de rectification et de suppression.

Art. 62. - Lorsqu'une personne fait une demande en vue de rectifier ou de supprimer des données la concernant, le responsable du traitement ou la Commission des données personnelles doit l'informer par écrit des dispositions prises.

Chapitre VI. - Obligations du responsable de traitement des données à caractère personnel.

Section première. - Obligation de confidentialité.

Art. 63. - Le responsable du traitement des données à caractère personnel assure la confidentialité, la disponibilité et l'exactitude des données collectées afin de garantir de manière appropriée la protection des données traitées.

Art. 64. - Un responsable de traitement peut faire traiter des données à caractère personnel par un sous-traitant lorsque la protection des dites données est garantie.

Toutefois, il demeure responsable et doit veiller à ce que les données soient traitées conformément aux dispositions en vigueur, notamment quant à leur utilisation et à leur communication.

Section II. - Obligation de sécurité.

Art. 65. - Le responsable du traitement des données à caractère personnel prend des mesures de sécurité pour protéger les systèmes et réseaux informatiques notamment contre les risques :

1) de destruction accidentelle ou non autorisée des données à caractère personnel ;

2) d'erreurs techniques ;

3) de falsification, de vol ou d'utilisation illicite de données à caractère personnel.

Section III. - Obligation de conservation.

Art. 66. - A l'expiration de la durée de conservation prévue pour un traitement portant sur des données à caractère personnel, lesdites données doivent donc être détruites, effacées, supprimées ou archivées dans les conditions prévues par les textes en vigueur en matière d'archivages des documents administratifs.

Chapitre VII. - Sanctions.

Section première. - Sanctions administratives.

Art. 67. - La mise en demeure, prévue par l'article 29 de la loi sur les données à caractère personnel, précise le ou les manquements constatés, fixe le délai au terme duquel le responsable du traitement est tenu d'avoir fait cesser le ou les manquements constatés.

Si le responsable du traitement a son domicile dans un pays tiers, la Commission en tiendra compte et devra saisir les autorités administratives compétentes. Ce délai court à compter du jour de la réception, par lettre recommandée, par le responsable du traitement, de la mise en demeure.

Section II. - Sanctions pécuniaires.

Art. 68. - La Commission des données personnelles peut prononcer, à l'égard de tout responsable d'un traitement n'ayant pas respecté ses obligations, une sanction pécuniaire, dans les conditions prévues par l'article 30 de la loi sur les données à caractère personnel, à l'exception des cas où le traitement est mis en œuvre par l'Etat, par une personne morale de droit privé gérant un service public.

Art. 69. - La sanction pécuniaire prononcée par la Commission des données personnelles au titre de l'article 68 du présent décret est motivée et notifiée au responsable du traitement.

Art. 70. - Lorsque la Commission des données personnelles prononce une sanction pécuniaire devenue définitive avant que le juge pénal statue définitivement sur les mêmes faits, celui-ci peut ordonner que la sanction pécuniaire prononcée s'ajoute ou s'impute sur l'amende qu'il prononce.

Section III. - Dispositions communes relatives aux sanctions.

Art. 71. - Lorsque la Commission des données personnelles constate que la mise en œuvre d'un traitement de données à caractère personnel, entraîne une violation des droits et libertés fondamentaux mentionnés à l'article 1er de la loi sur les données à caractère personnel, son Président peut interpeller, par tout moyen, le responsable dudit traitement.

Art. 72. - Lorsqu'un traitement est effectué pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public, le Président de la Commission des données personnelles informe, dans les meilleurs délais, le Premier ministre de la violation constatée.

Art. 73. - La Commission des données personnelles peut demander aux juridictions compétentes d'ordonner toute mesure de sécurité nécessaire.

En cas d'urgence, conformément à l'article 31 de la loi sur les données à caractère personnel, le Président de la Commission des données personnelles peut demander, par la voie du référé, à la juridiction compétente d'ordonner, le cas échéant sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde des droits et libertés protégés.

Art. 74. - En cas de risque de sanctions autre que l'avertissement, le responsable du traitement est informé de la date de la séance de la Commission des données personnelles à l'ordre du jour de laquelle est inscrite l'affaire le concernant et de la faculté qui lui est offerte d'y être entendu, lui-même ou son représentant.

La convocation du responsable du traitement, effectuée selon les modalités de l'article 28 du présent décret, doit lui parvenir au moins quinze jours avant la date mentionnée à l'alinéa précédent.

En cas d'urgence, la convocation du responsable du traitement doit lui être parvenue au plus tard huit jours avant la date de son audition devant la Commission des données personnelles.

Art. 75. - Toute décision de sanction prononcée par la Commission des données personnelles énonce les considérations de droit, de fait sur lesquels elle est fondée ainsi que les voies et délais de recours.

La publication au Journal officiel de la décision de sanction intervient dans le délai d'un mois à compter du jour où la sanction est devenue définitive.

Chapitre VIII. - Dispositions finales

Art. 76. - Le Premier Ministre et les ministres sont chargés de l'application du présent décret qui sera publié au Journal officiel.

Fait à Dakar, le 30 juin 2008.

Par le Président de la République : Abdoulaye WADE.

Le Premier Ministre, Cheikh Hadjibou SOUMARE.

Décret n° 2008-719 du 30 juin 2008 relatif aux communications électroniques pris pour l'application de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques

Olivier SAGNA — 2008-06-30T00:00:00Z

Décret n° 2008-719 du 30 juin 2008 relatif aux communications électroniques pris pour l'application de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques

RAPPORT DE PRESENTATION

Le présent projet de décret est pris en application des dispositions de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques.

Les précisions apportées ont trait notamment aux conditions :

1) d'exercice et de responsabilité des prestataires techniques ;

2) d'exercice du droit de réponse dans un service de communication en ligne ;

3) de transmission électronique des documents ou des actes administratifs.

Telle est l'économie du présent projet de décret.

Le Président de la République,

Vu la Constitution, notamment en ses articles 43 et 76 ;

Vu la loi n° 90-07 du 28 juin 1990 relative à l'organisation et au contrôle des entreprises du secteur parapublic et au contrôle des personnes morales de droit privé bénéficiant du concours financier de la puissance publique ;

Vu la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques ;

Vu le décret n° 2004-1038 du 23 juillet 2004 fixant les règles d'organisation et de fonctionnement de l'Agence de l'Informatique de l'Etat (ADIE) ;

Vu le décret n° 2007-826 du 19 juin 2007 portant nomination du Premier Ministre ;

Vu le décret n° 2008-362 du 7 avril 2008 portant répartition des services de l'Etat et du contrôle des établissements publics, des sociétés nationales et des sociétés à participation publique entre la Présidence de la République, la Primature et les ministères ;

Sur le rapport du Premier Ministre,

Décrète :

Chapitre premier. - Dispositions générales.

Article premier. - Le présent décret a pour objet de fixer les conditions d'application de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques, notamment celles relatives à la sécurité des transactions électroniques.

Art. 2. - Au sens du présent décret, on entend par :

1) Prestataires techniques de services utilisant les technologies de l'Internet : les personnes, physiques ou morales, mentionnées au point 1 de l'article 3 de la loi sur les transactions électroniques ;

2) Contenus manifestement illicites : des contenus d'une gravité avérée et dont le caractère illicite ne semble pas discutable, notamment les contenus à caractère pornographique ou faisant l'apologie des crimes de guerre ou portant manifestement atteinte à l'ordre public ou aux bonnes moeurs.

Chapitre II. - Mesures techniques :

Art. 3. - En application du point 1 de l'article 3 de la loi sur les transactions électroniques, les moyens techniques doivent être appropriés, efficaces et accessibles en vue, notamment :

1) d'identifier les erreurs commises dans la saisie des données et de les corriger le cas échéant ;

2) de rendre plus sûre la navigation des mineurs sur les nouvelles technologies en restreignant les accès à l'Internet selon le profil de l'utilisateur connecté ;

3) de faciliter l'accès à un outil de contrôle parental à jour, performant et sans surcroût pour l'utilisateur ;

4) de proposer des mesures techniques de filtrage.

Art. 4. - Les prestataires techniques mentionnés au point 1 de l'article 2 du présent décret doivent, d'une part, assurer la mise à jour régulière de ces moyens techniques et, d'autre part, en informer les utilisateurs.

Chapitre III. - Responsabilités des prestataires techniques.

Art. 5. - Les utilisateurs peuvent engager la responsabilité des prestataires techniques lorsque aucune mesure technique prévue à l'article 3 du présent décret n'a pas été proposée.

Art. 6. - les prestataires techniques sont exonérés de leur responsabilité lorsqu'ils se contentent de faire du stockage automatique ou temporaire de l'information ou de jouer un rôle d'intermédiation dans la transmission de celle-ci à condition :

1) qu'ils ne sélectionnent pas le destinataire de la transmission ;

2) qu'ils ne soient pas à l'origine de la transmission ;

3) que les activités de transfert et de fourniture d'accès visent exclusivement à l'exécution de la transmission ou de la fourniture d'accès ;

4) qu'ils ne modifient pas les informations faisant l'objet de la transmission ;

5) qu'ils exécutent une décision d'une autorité judiciaire ou administrative visant le retrait de l'information ou l'interdiction de son accès.

Art. 7. - En application du point 4 de l'article 3 de la loi sur les transactions électroniques, en cas de notification par écrit ou par voie électronique, les prestataires techniques engagent leur responsabilité si elles laissent en ligne le contenu manifestement illicite.

L'abus de notification pour des faits non illicites est puni selon les dispositions de l'article 431-43 de la loi sur la cybercriminalité.

Chapitre IV. - Obligation de contrôle des prestataires techniques.

Art. 8. - Sauf disposition contraire, en application du point 5 de l'article 3 de la loi sur les transactions électroniques, les prestataires techniques sont tenues à une obligation de contrôle spécifique afin de détecter d'éventuielles infractions.

A ce titre, ils doivent procéder à toute activité, de surveillance ciblée ou temporaire des informations qu'ils transmettent ou stockent, demandée par l'autorité judiciaire, en vue de prévenir ou de faire cesser un dommage occasionné par le contenu d'un service de communication par voie électronique.

Art. 9. - Conformément aux dispositions prévues au point 5 de l'article 3 de la loi sur les transactions électroniques, les prestataires techniques doivent, directement ou indirectement, informer les autorités compétentes, dans les meilleurs délais, de l'existence d'un contenu en ligne manifestement illicite.

Ils doivent également agir promptement pour retirer ces contenus ou pour en rendre l'accès impossible conformément aux dispositions légales en vigueur.

Art. 10. - Les prestatires techniques doivent mettre en place, conformément au point 5 de l'article 3 de la loi sur les transactions électroniques, un dispositif facilement accessible et visible, permettant à toute personne de porter à leur connaissance tout contenu en ligne manifestement illicite.

Le dispositif consiste à mettre à la disposition des utilisateurs un accès par le biais d'un formulaire de signalement d'abus permettant d'informer, soit le prestataire du service concerné, soit les autorités compétentes, tout contenu en ligne manifestement illicite.

Chapitre V. - Conservation des éléments d'identification personnelle.

Art. 11. - Les prestataires techniques doivent mettre en oeuvre un dispositif technique permettant de conserver les éléments d'information visés par l'article 5 de la loi sur les transactions électroniques.

A cet effet, ils défèrent dans les meilleurs délais aux demandes des autorités judiciaires visant à obtenir, soit les données de nature à permettre l'identification de l'auteur d'un contenu qu'ils hébergent, soit les données portant sur l'identification des personnes utilisatrices des services qu'ils fournissent.

Art. 12. - Les prestataires techniques ont une obligation de résultat en matière de conservation des données de nature à permettre l'identification de quiconque qui a contribué à la création du contenu en ligne.

Ils engagent leur responsabilité par négligence, conformément à l'article 431-44 de la loi sur la cybercriminalité, si les données qu'ils détiennent sont manifestement fantaisistes et ne permettent pas l'identification envisagée.

Art. 13. - Les données conservées portent exclusivement sur les éléments permettant l'identification des utilisateurs des services fournis par les prestataires techniques.

Elles ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées.

Art. 14. - Les prestataires techniques, prévues par l'article 3 de la loi sur les transactions électroniques,, doivent permettre aux autorités compétentes un accès facile, direct et permanent aux informations prévues par les points 1 et 2 de l'article 5 de la loi susmentionnée.

Art. 15. - En application des points 1 et 2 de l'article 5 de la loi sur les transactions électroniques, le défaut de mise à disposition au public des informations prévues par ces dits textes est passible de sanctions prévues par l'article 431-46 de la loi sur la cybercriminalité.

Chapitre VI. - Secret professionnel.

Art. 16. - L'obligation de secret prévu à l'article 5 de la loi sur les transactions électroniques s'impose à toutes les personnes dont l'activité est d'offrir un accès en ligne à des services au public par le biais des technologies de l'Internet notamment les éléments d'identification personnelle qui leur sont confiés dans le cadre de leur activité professionnelle.

Art. 17. - Sauf disposition contraire, l'obligation de secret cesse lorsque la révélation des éléments d'identification personnelle a été faite par la personne concernée.

Chapitre VII. - Droit de réponse dans un service de communication par voie éléctronique.

Art. 18. - En application de l'article 6 de la loi sur les transactions électroniques, toute personne, physique ou morale, nommée ou désignée dans un service de communication par voie électronique dispose d'un droit de réponse gratuit.

Art. 19. - Pour les personnes physiques, il est nécessaire d'avoir été mis personnellement en cause pour exercer le droit de réponse.

Pour les personnes morales, l'organe qui souhaite exercer le droit de réponse doit être dûment habilité.

Il est possible d'exercer le droit de réponse au profit d'un tiers en cas de mandat dûment notifié.

Art. 20. - La demande d'exercer du droit de réponse est adressée par lettre recommandée ou par tout autre moyen garantissant l'identité du demandeur et la preuve de la réception de la demande aux destinataires mentionnés à l'article 6 de la loi sur les transactions électroniques.

Art. 21. - La demande d'exercice du droit de réponse indique toutes les références relatives au message en cause, notamment, s'il est mentionné, le nom de l'auteur, l'emplacement du message, sa nature (écrit, son ou image), les passages contestés et la teneur de la réponse sollicitée.

Art. 22. - La réponse est mise à la disposition du public par le Directeur de publication dans des conditions similaires à celles du message en cause et présentée explicitement comme résultant de l'exercice du droit de réponse. Elle est soit publiée à la suite du message en cause, soit accessible à partir de celui-ci.

Lorsque le message n'est plus mis à la disposition du public, la réponse est accompagnée d'une référence à celui-ci, d'un rappel de la date et de la durée de sa mise à disposition du public.

Art. 23. - La réponse demeure accessible durant la même période que celle pendant laquelle le message en cause est mis à disposition du public. La durée pendant laquelle la réponse est accessible ne peut être inférieure à quarante huit heures.

Art. 24. - La personne qui adresse une demande d'exercice d'un droit de réponse peut préciser que sa demande deviendra sans objet si les personnes mentionnées à l'article 6 de la loi sur les transactions électroniques acceptent, dans le délai qu'elle indisque dans sa requête, de supprimer ou de rectifier tout ou partie du message à l'origine de l'exercice de ce droit.

La demande précise les passages du message dont la suppression est sollicitée ou la teneur de la rectification envisagée. Les personnes susmentionnées au présent article ne sont pas tenues d'insérer la réponse si elles procèdent à la suppression ou à la rectification sollicitée.

Le délai mentionné au présent article court dès la réception de la demande d'exercice de droit de réponse.

Art. 25. - L'absence de désignation d'un directeur de publication n'entrave pas l'exercice du droit de réponse.

En cas de litige, il appartient au juge de chercher la personne qui assume réellement cette fonction.

Chapitre VIII. - Transmission par voie électronique des documents ou des actes administratifs.

Art. 26. - En application de l'article 43 de la loi sur les transactions électroniques, les actes des autorités administratives peuvent faire l'objet d'une signature électronique.

Art. 27. - Une autorité administrative peut répondre par voie électronique à toute demande d'information qui lui a été adressée par cette voie par un usager ou par une autre autorité administrative.

Sauf dispositions contraires, lorsqu'une personne doit communiquer à une autorité administrative une information et que cette information émane d'une autre autorité administrative, cette communication peut, à condition que l'intéressé l'ait préalablement acceptée de manière expresse, être directement opéré par voie électronique.

Art. 28. - Toute autorité administrative mettant en place un système d'information doit prendre les mesures de sécurité nécessaires pour protéger ledit système.

Art. 29. - Lorsqu'un usager a transmis par voie électronique à une autorité administrative une demande, une déclaration, un paiement ou une information par voie électronique, il doit recevoir en retour un accusé de réception.

L'accusé de réception doit préciser la date de réception de la demande, le service saisi et la date à laquelle cette demande sera acceptée ou rejetée. Le cas échéant, elle doit mentionner le délai de réponse.

L'autorité administrative doit traiter le dossier sans exiger, de l'usager, la confirmation ou la répétition de l'envoi de sa correspondance sous une autre forme.

Art. 30 - Les délais de recours ne sont pas opposables à l'usager lorsque l'accusé de réception ne lui a pas été transmis ou ne comporte pas les indications mentionnées à l'article 29 du présent décret.

Art. 31. - L'autorité administrative n'est pas tenue d'accuser réception des envois abusifs, notamment par leur nombre, leur caractère répétitif ou systématique.

Art. 32. - Le Premier Ministre et les ministres sont chargés, de l'application du présent décret qui sera publié au Journal officiel.

Fait à Dakar, le 30 juin 2008.

Par le Président de la République : Abdoulaye WADE.

Le Premier Ministre, Cheikh Hadjibou SOUMARE.

Décret n° 2008-720 du 30 juin 2008 relatif à la certification électronique pris pour l'application de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques

Olivier SAGNA — 2008-06-30T00:00:00Z

Décret n° 2008-720 du 30 juin 2008 relatif à la certification électronique pris pour l'application de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques

RAPPORT DE PRESENTATION

Le présent projet de décret est pris en application des dispositions de la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques.

Le Sénégal a choisi d'adopter le système de la certification comme moyen privilégié d'authentification électronique des personnes et des documents.

L'une des composantes de ce système est la mise en place d'une Autorité de certification.

Le présent décret apporte les précisions relatives, notamment :

1) à la gestion d'un système d'accréditation ;

2) aux conditions de délivrance d'un certificat électronique ;

3) aux obligations de l'autorité et des organismes de certification.

Telle est l'économie du présent projet de décret.

Le Président de la République,

Vu la Constitution, notamment en ses articles 43 et 76 ;

Vu la loi 90-07 du 26 juin 1990 relative à l'organisation et au contrôle des entreprises du secteur parapublic et au contrôle des personnes morales de droit privé bénéficiant du concours financier de la puissance publique ;

Vu la loi n° 2008-08 du 25 janvier 2008 sur les transactions électroniques :

Vu le décret n° 2004-1038 du 23 juillet 2004 fixant les règles d'organisation et de fonctionnement de l'Agence de l'Informatique de l'Etat (ADIE) ;

Vu le décret 2007-826 du 19 juin 2007 portant nomination du Premier Ministre ;

Vu le décret n° 2008-362 du 7 avril 2008 portant répartition des services de l'Etat et du contrôle des établissements publics, des sociétés nationales et des sociétés à participation publique entre la Présidence de la République, la Primature et les ministères ;

Sur le rapport du Premier Ministre ;

Décrète :

Chapitre premier. - Des conditions générales.

Article premier. - Le présent décret fixe les conditions et les procédures d'exercice de l'activité de certification électronique conformément aux dispositions de la loi n° 2008-08 du 25 janvier 2008 relatives aux transactions électroniques.

Art. 2. - Au sens du présent décret, on entend par :

1) Certificat : attestation électronique qui lie des données afférentes à la vérification d'une signature ou de tout autre document numérique, à une personne. Le certificat confirmant l'identité d'une personne ou la conformité d'un document, est un lien entre l'entité physique et l'entité électronique.

2) Certification : procédure qui sert à faire valider la conformité d'un système selon certaines normes par un organisme. Elle permet de donner une assurance écrite par l'intervention d'un tiers qu'un produit, un processus ou un service est conforme aux exigences spécifiées.

3) Dispositif de vérification de la signature :

dispositif logiciel ou matériel utilisé pour procéder à la vérification de la signature électronique.

4) Données afférentes à la création de signature :

données que le signataire utilise pour créer une signature électronique ;

5) Dispositif sécurisé de création de signature : dispositif logiciel ou matériel de création de signature qui satisfait aux exigences prévues à l'article 36 du présent décret.

6) Organisme de certification : l'organisme chargé de délivrer les certificats, de leur assigner une date de validité ou de les révoquer.

7) Produit : tout élément matériel ou logiciel destiné à être utilisé pour la fourniture de services de signature électronique notamment pour la création ou la vérification de ladite signature.

8) Signataire : toute personne qui détient un dispositif de création de signature et qui agit soit pour son propre compte, soit pour celui d'une personne physique ou morale qu'elle représente.

9) Titulaire du certificat : une personne, physique ou morale, à laquelle un organisme de certification a délivré une attestation électronique.

Chapitre 2. - De la délivrance des agréments.

Art. 3. - Conformément à l'article 40 de la loi sur les transactions électroniques, l'Agence de l'Informatique de l'Etat (ADIE) est chargée notamment :

1) d'octroyer des agréments aux organismes assurant une activité de certification électronique ;

2) de contrôler le respect par les organismes de certification des dispositions en vigueur en matière de certification ;

3) de contrôler les certificats émis par les organismes de certification de signatures électroniques ;

4) de fixer les caractéristiques du dispositif de création et de vérification de la signature électronique ;

5) de conclure les conventions de reconnaissance mutuelle entre le Sénégal et des pays tiers voire des organisations internationales ;

6) d'émettre, de délivrer et de conserver des certificats électroniques relatifs aux agents de l'Etat ;

7) d'élaborer un cahier des charges, approuvé par décret, qui fixe les conditions et les procédures d'exercice de la politique nationale de certification ;

8) de tenir un registre des organismes de certification agréés.

Art. 4. - Toute personne physique ou morale désirant exercer les activités de fournisseur de services de certification électronique doit obtenir l'autorisation préalable de l'agence de l'informatique de l'Etat.

Les demandes d'agrément sont adressées, soit par lettre recommandée, soit par voie électronique sur le site de l'Agence de l'informatique de l'Etat. Il en est accusé dans les mêmes formes. A défaut, elles peuvent être déposées directement auprès de l'Agence de l'informatique de l'Etat contre décharge.

Art. 5. - Le dossier des demandes d'agrément, leur renouvellement ou leur extension contient obligatoirement les documents suivants :

1) une fiche de renseignement fournie par l'Agence de l'informatique de l'Etat dûment remplie et signée par le demandeur de l'agrément ;

2) les documents justificatifs des moyens matériels, financiers et humains de l'organisme de certification ;

3) les caractéristiques techniques des équipements informatiques à utiliser pour la fourniture des services proposés, accompagnées d'un schéma du dispositif de certification ;

4) une description détaillée des procédures de sécurité adoptées pour la sécurisation des locaux et des équipements informatiques ;

5) un récépissé de paiement des frais de dossier prévu par le cahier des charges mentionné au point 7 de l'article 3 du présent décret.

Art. 6. - L'Agence de l'informatique de l'Etat est tenue de répondre à la demande formulée dans un délai fixé par le cahier des charges prévu au point 7 de l'article 3 du présent décret.

Art. 7. - Les demandes d'agrément sont refusées dans les cas suivants :

1) Si les conditions d'octroi telles que précisées par le cahier des charges ne sont pas respectées ;

2) Si, à l'expiration d'un délai fixé par le cahier des charges susmentionné, le demandeur de l'agrément ne fournit pas à l'Agence de l'informatique de l'Etat les informations nécessaires qu'elle exige pour compléter le dossier.

Art. 8. - Les agréments sont octroyés sur la base d'un rapport de constat établi par les services de l'Agence de l'informatique de l'Etat. Ce rapport comprend une évaluation des moyens techniques, financiers et humains conformément aux dispositions du cahier des charges prévu par le point 7 de l'article 3 du présent décret.

Art. 9. - L'agrément conféré à l'organisme de certification est octroyé à titre personnel. Sa durée est déterminée par le cahier des charges prévu au point 7 de l'article 3 du présent décret. Il ne peut être ni cédé ni transféré à un tiers sans autorisation expresse de l'Agence de l'informatique de l'Etat.

Art. 10. - L'Agence de l'informatique de l'Etat tient un registre des organismes de certification, qui fait l'objet, à la fin de chaque année, d'une publication au Journal officiel.

Cette insertion ne préjudicie en rien la possibilité, pour l'Agence de l'informatique de l'Etat, de publier à tout moment, soit sur son site web, soit dans un ou plusieurs journaux, sénégalais ou étrangers, une radiation du registre des certificats électroniques, si une telle mesure de publicité est commandée par l'intérêt public.

Art. 11. - L'Agence de l'informatique de l'Etat peut, soit d'office, soit à la demande de toute personne intéressée, vérifier ou faire vérifier la conformité des activités d'un organisme de certification délivrant des certificats.

Les opérations de contrôles sont effectuées périodiquement et chaque fois que l'Agence de l'informatique de l'Etat le jugera utile.

Art. 12. - L'Agence de l'informatique de l'Etat peut recourir à des auditeurs externes agréés pour procéder aux vérifications prévues à l'article 11 du présent décret.

Les auditeurs externes doivent justifier d'une qualification professionnelle adéquate, d'une expérience dans le domaine des technologies des signatures électroniques, de la sécurité des systèmes et des réseaux informatiques. Ils doivent également présenter des garanties d'honorabilité professionnelle et d'indépendance par rapport aux organismes de certification dont elles sont appelées à vérifier les activités.

Toute personne désirant être agréée en tant qu'auditeur externe doit en faire la demande écrite auprès de l'Agence de l'informatique de l'Etat, les minima d'expérience, de qualification professionnelle et de formation requis pour l'octroi de l'agrément sont fixés par le cahier des charges prévu à l'article 7 du présent décret.

L'Agence de l'informatique de l'Etat peut conformément au cahier des charges visé à l'alinéa précédent, annuler un agrément en cas de manquement du bénéficiaire à ses obligations ou lorsque les conditions requises pour l'octroi dudit agrément ne sont pas réunies.

Art. 13. - Dans l'accomplissement de leur mission de vérification, les agents de l'Agence de l'informatique de l'Etat, ainsi que les auditeurs externes agréés ont, sur justification de leurs qualités, le droit d'obtenir la communication de toutes les informations ou de tous les documents qu'ils estimeront utiles ou nécessaires à l'accomplissement de leur mission.

Art. 14. - En cas de manquement aux dispositions de la loi sur les transactions électroniques ou celles du présent décret, constaté sur procès verbal par ses agents ou par les auditeurs externes agréés, l'Agence de l'informatique de l'Etat met en demeure l'organisme concerné à se conformer, dans le délai qu'elle détermine, aux dispositions susmentionnées.

Le rapport établi par les personnes mentionnées au présent article est communiqué à l'organisme, de certification qui peut faire valoir ses observations et commentaires.

Si, passé ce délai, l'organisme ne s'est pas conformé aux décisions de l'Agence de l'informatique, la suspension ou le retrait de l'agrément peut être prononcée. Le retrait entraîne automatiquement la radiation de l'organisme de certification.

L'Agence de l'informatique de l'Etat peut également, en cas de refus de la part d'un organisme de certification de collaborer activement lors d'une vérification, procéder à la radiation de l'organisme concerné du registre des certificats électroniques.

Art. 15. - La décision de suspension ou de radiation est notifiée à l'organisme de certification conformément aux dispositions de l'alinéa 2 de l'article 4 du présent décret.

L'organisme de certification est tenu de mentionner immédiatement dans son registre des certificats électroniques la suspension ou la radiation de l'accréditation et d'en informer sans délai les titulaires de certificat.

Art. 16. - En cas de constatation d'une violation grave des dispositions en vigueur en matière de certification, l'Agence de l'informatique de l'Etat peut également en informer les autorités judiciaires compétentes.

Art. 17. -La décision portant sur la suspension ou le retrait de l'agrément est susceptible d'un recours devant les tribunaux compétents.

Chapitre 3. - Des organismes de certification.

Art. 18. - En application de l'article 42 de la loi sur les transactions électroniques, l'organisme de certification, agréé conformément à l'article 40 de la loi susvisée, délivre un certificat , après avoir vérifié les conditions définies à l'article 33 du présent décret.

L'organisme de certification peut délivrer un ou plusieurs certificats à toute personne qui en fait la demande conformément aux textes en vigueur.

Art. 19. - Tout organisme de certification doit :

1) informer les utilisateurs des certificats de leurs droits et leurs obligations ;

2) veiller à ce que la date, l'heure d'émission et de révocation du certificat soient mentionnées clairement ;

3) assurer la gestion d'un registre des certificats électroniques rapide et sécurisé ainsi qu'un service de révocation immédiat ;

4) mettre en place une politique de sécurité adéquate pour ses équipements terminaux ainsi que pour ses serveurs dont l'accès est contrôlé ;

5) vérifier, sur présentation d'un document officiel d'identification, l'identité et, le cas échéant, les qualités spécifiques de la personne physique ou morale à laquelle un certificat est délivré. Cette vérification peut s'effectuer par voie électronique ;

6) avoir du personnel ayant des connaissances spécialisées en technologie des signatures électroniques et une bonne pratique des procédures de sécurité appropriées ;

7) faire la preuve qu'il est suffisamment fiable pour fournir des services de certification ;

8) utiliser des systèmes et des produits fiables qui sont protégés contre les modifications éventuelles et qui assurent la sécurité technique des fonctions qu'ils assument :

9) prendre des mesures contre la contrefaçon des certificats ;

10) garantir, lorsqu'il génère des données afférentes à la création de signature, la confidentialité au cours du processus de génération de ces données ;

11) ne pas stocker ni copier les données afférentes à la création de signature de la personne à laquelle l'organisme de certification a fourni des services de gestion de clés ;

12) Elaborer, mettre en œuvre et publier les modalités de l'utilisation en bonne et due forme des certificats ;

13) Utiliser des systèmes fiables pour stocker les certificats de telle sorte :

a) que l'information puisse être contrôlée quant à son authenticité ;

b) que seules les personnes autorisées puissent introduire et modifier des données ;

c) qu'ils ne soient disponibles au public uniquement que pour des recherches avec le consentement du titulaire dudit certificat.

Art. 20. - Tout organisme de certification doit procurer, sur un support durable et de manière intélligible, les informations nécessaires à l'utilisation correcte et sûre de ses services, notamment :

1) la procédure à suivre afin de créer et de vérifier une signature électronique ;

2) les conditions contractuelles de délivrance d'un certificat ;

3) les tarifs appliqués aux services fournis ;

4) les obligations qui pèsent sur le titulaire du certificat et l'organisme de certification ;

5) les modalités et les conditions précises d'utilisation des certificats, y compris les limites imposées à leur utilisation ;

6) les procédures de réclamation et de règlement des lignes.

Ces informations doivent être approuvées, au préalable, par l'Agence de l'informatique du Sénégal.

Art. 21. - Un certificat non révoqué est renouvelé sur demande à l'approche de la fin de la validité dudit certificat.

Art. 22. - L'organisme de certification révoque un certificat immédiatement lorsque :

1) la date de validité expire ;

2) la demande émane de son titulaire ;

3) le certificat a été délivré sur la base d'informations erronées ou falsifiées ;

4) les informations contenues dans le certificat ne sont plus conformes à la réalité ;

5) la confidentialité des données à caractère personnel du certificat a été violée ;

6) le certificat a été utilisé frauduleusement ;

7) le titulaire décède ou en cas de dissolution de la personne morale.

Art. 23. - En cas de révocation, l'organisme de certification informe le titulaire du certificat dans les meilleurs délais en motivant sa décision.

Lorsque la révocation intervient suite à l'expiration de la date de validité, l'organisme de certification doit prévenir le titulaire de l'échéance du certificat. Le délai d'avertissement est fixé par le cahier des charges prévu au point 7 de l'article 3 du présent décret.

La révocation d'un certificat est définitive.

Art. 24. - L'organisme de certification doit inscrire impérativement, sans délai, la décision de révocation dans le registre des certificats électroniques prévu au point 3 de l'article 19 du présent décret.

La révocation devient opposable aux tiers dès son inscription dans ledit registre.

Art. 25. - L'organisme de certification qui délivré à l'intention du public un certificat ou qui le garantit est responsable du préjudice causé à toute personne qui se fie raisonablement :

1) à l'exactitude des informations contenues dans le certificat délivré ;

2) à l'assurance que, au moment de la délivrance du certificat, le signataire identifié dans le certificat détenait les données afférentes à la création de ladite signature ;

3) à l'assurance que le dispositif de création de signature et le dispositif de vérification de signature fonctionnent ensemble de façon complémentaire, au cas où le prestataire a généré les deux dispositifs.

Art. 26. - Le registre des certificats éléctroniques, mentionné au point 3 de l'article 19 du présent décret, contient le nom et la qualité des demandeurs.

Si le demandeur est une personne morale, il est fait mention du nom et de la qualité de la personne physique qui représente ladite pesrsonne et qui fait usage de la signature liée au certificat.

La non inscription d'uné révocation d'un certificat dans le registre des certificats électroniques engage la responsabilité de l'organisme de certification.

Art. 27. - L'orsqu'un certificat arrive à échéance ou a été révoqué, son titulaire ne peut plus utiliser les données correspondantes.

L'organisme de certification n'est pas tenu responsable des préjudices dont pourraient être victimes les utilisateurs du certificat révoqué ou qui est à son terme.

De même, il n'est pas responsable du préjudice résultant de l'usage abusif d'un certificat.

Art. 28. - En cas de cessation d'activités, l'organisme de certification accrédité informe dans un délai d'un mois l'Agence de l'informatique de l'Etat de son intention de mettre fin à ses activités ou, le cas échéant, de son incapacité de les poursuivres.

Dans cette hypothèse, l'organisme de certification indique, à chaque titulaire de certificat, le droit qu'il a d'accepter ou de refuser le transfert envisagé ainsi que les délais et modalités dans lesquelles il peut donner ou refuser son accord. Au terme du délai imparti, le certificat est réputé nul et nul effet à défaut d'acceptation écrite de son titulaire.

Le transfert des certificats est opéré aux conditions suivantes :

1) l'organisme de certification avertit chaque titulaire de certificat encore en vigueur qu'il envisage de transférer les certificats à un autre organisme de certification au moins un mois avant le transfert envisagé ;

2) l'organisme de certification indique à chaque titulaire de certificat leur faculté de refuser le transfert envisagé ainsi que les délais et modalités dans lesquelles il peut le refuser. A défaut d'acceptation expresse du titulaire au terme de ce délai, le certificat est révoqué d'office.

Art. 29. - Le décès, l'incapacité, la fallite, la dissolution volontaire et la liquidation, ou tout autre motif involontaire d'arrêt des activités sont assimilés à une cessation d'activité de l'organisme de certification.

Art. 30. - L'organisme de certification ne peut tranférer ou déplacer, à l'étranger, ses serveurs contenant des données afférentes aux certificats délivrés, sans l'accord de l'Agence de l'informatique de l'Etat.

Art. 31. - L'organisation de certification doit conserver, conformément à l'article 37 de la loi sur les transactions électroniques et à compter de la date de son traitement, les enregistrements relatifs, notamment à :

1) l'émission, le renouvellement, la suspension et la révocation des certificats ;

2) les procédures de gestion des équipements et des programmes informatiques ;

3) tout document dont la conservation est jugée utile par l'Agence de l'informatique de l'Etat.

Chapitre 4. - Des certificats

Art. 32. - Les certificats que l'organisme de certification peut émettre sont classés en plusieurs catégories, notamment :

1) les certificats de classe 1 : aucun contrôle de l'identité du détenteur du certificat n'est requis ;

2) les certificats de classe 2 : l'organisme de certification effectue un contrôle sur le dossier de demande de certificat ;

3) les certificats de classe 3 : l'organisme de certification demande une vérification physique avec la présence de l'utilisateur ;

4) les certificats de classe 4 : l'organisme de certification exige la présence de l'utilisateur qui recevra son certificat sur un support physique (carte à puce ou clé USB).

L'Agence de l'informatique de l'Etat peut décider, en cas de besoin, de créer d'autres catégories de certificats électroniques.

Art. 33. - Tout certificat doit contenir les informations suivantes :

1) l'identification de l'organisme de certification ;

2) le nom du demandeur ou de son pseudonyme ;

3) les données afférentes à la vérification de la signature ; 4) la période de validité du certificat ;

5) le code d'identification du certificat ;

6) la qualité du demandeur du certificat ;

7) l'accréditation de l'organisme de certification ;

8) les limites à l'utilisation du certificat.

En cas de doute quant au maintien de la confidentialité des données afférentes à la création de signature ou de perte de la conformité à la réalité des informations contenues dans le certificat, le titulaire est tenu de faire révoquer immédiatement le certificat.

Art. 34. - Toute publication d'un certificat électronique est soumise au consentement de son titulaire.

Art. 35. - Les certificats électroniques, délivrés par un organisme de certification établi dans un pays tiers, ont la même valeur juridique au Sénégal que ceux délivrés par l'Agence de l'informatique de l'Etat, à condition que :

1) l'organisme de certification respecte la légistation sénégalaise en vigueur en la matière ;

2) le certificat ou l'organisme de certification soit reconnu dans le cadre d'un accord bilatéral ou multilatéral entre le Sénégal et des pays tiers ou des organisations internationales.

L'agence de l'informatique de l'Etat publie la liste des accords conclus.

Chapitre 5. - De la signature électronique.

Les dispositifs sécurisés de création de signature électronique doivent garantir, par des moyens techniques et des procédures appropriés, que :

1) les données utilisées pour la création de la signature ne puissent, pratiquement, se rencontrer qu'une seule fois et que leur confidentialité soit assurée ;

2) l'on puisse avoir l'assurance suffisante que les données utilisées pour la création de la signature ne puissent être trouvées par déduction ;

3) la signature créée soit protégée contre toute falsification par les moyens techniques appropriés et évolutifs ;

4) les données utilisées pour la création de la signature puissent être protégées de manière fiable par le signataire légitime contre leur utilisation par des tiers.

Art. 37. - Les dispositifs sécurisés de création de signature ne doivent pas modifier les données à signer ni empêcher que ces données soient soumises au signataire avant le processus de signature.

Art. 38. - En application de l'article 41 de la loi sur les transactions électroniques, la signature nécessaire à la perfection d'un acte sous seing privé peut être manuscrite ou électronique.

Art. 39. - La signature électronique consiste en un ensemble de données qui doivent :

1) permettre d'identifier le signataire ;

2) être liées uniquement au signataire ;

3) être créées par des moyens que le signataire puisse garder sous son contrôle exclusif ;

4) reposer sur un certificat électronique.

Chapitre 6. - Dispositions communes.

Art. 40. - L'Agence de l'informatique de l'Etat et les organismes de certification sont tenus au respect des dispositions légales régissant le traitement de données à caractère personnel.

Toutefois, lorsque le titulaire du certificat utilise un pseudonyme, l'organisme de certification ayant délivré le certificat est tenu de communiquer toute donnée relative à l'identité du titulaire aux autorités judiciaires compétentes.

Art. 41. - Les personnes exerçant ou ayant exercé une activité, soit pour l'Agence informatique de l'Etat agissant en tant qu'autorité d'accréditation, soit pour l'organisme de certification, sont tenus au secrét professionnel et sont passibles des peines prévues par le Code pénal.

Art. 42. - Le Premier Ministre et les ministres sont chargé de l'application du présent décret qui sera publié au Journal officiel.

Fait à Dakar, le 30 juin 2008.

Par le Président de la République : Abdoulaye WADE.

Le Premier Ministre, Cheikh Hadjibou SOUMARE.

Décret n° 2008-222 du 5 mars 2008 fixant le pourcentage a accordé à l'Agence de régulation des télécommunications et des postes sur la contrepartie financière versée à l'Etat à l'occasion de l'attribution de chaque licence d'exploitation des réseaux et services de télécommunications ouverts au public

Olivier SAGNA — 2008-03-05T00:00:00Z

Décret n° 2008-222 du 5 mars 2008 fixant le pourcentage a accordé à l'Agence de régulation des télécommunications et des postes sur la contrepartie financière versée à l'Etat à l'occasion de l'attribution de chaque licence d'exploitation des réseaux et services de télécommunications ouverts au public

- 2008