Cryptographie et transactions électroniques.

Section II - La responsabilité du prestataire de services de cryptologie

La loi française du 21 juin 2004 pour la confiance dans l'économie numérique définit la prestation de cryptologie comme « toute opération visant à la mise en oeuvre, pour le compte d'autrui, de moyens de cryptologie ». Un contrat lie ce prestataire à un utilisateur à qui il transmet des clés de chiffrement qui lui permettront de crypter ses messages. Le rôle du prestataire de cryptologie est de détenir et de gérer les clés de chiffrement.

S'il vient à manquer aux exigences légales qui lui sont imposées dans le cadre de cette fonction, le prestataire de service de cryptologie est susceptible d'engager sa responsabilité civile (Paragraphe I). Dans les cas les plus graves, des sanctions administratives et pénales sont prévues (Paragraphe II).

· Paragraphe I - La responsabilité civile des prestataires de services de cryptologie

Autant en droit français qu'en droit sénégalais, la responsabilité des prestataires de service de cryptologie est présumée (A). Cette présomption de responsabilité est cependant limitée à des cas bien spécifiques (B).

· A - La présomption de responsabilité du prestataire de service de cryptologie

Dans le but de renforcer la confiance des utilisateurs dans les prestations de cryptologie, et, plus généralement, dans l'économie numérique, la loi française du 21 juin 2004 met en place une présomption de responsabilité des prestataires de moyens de cryptologie à des fins de confidentialité.

Avant l'intervention de cette loi, la règlementation de l'activité des prestataires de services de certification, passait sous silence la question de leur responsabilité. C'est donc le droit commun de la responsabilité civile qui s'appliquait, ce qui obligeait les tiers victimes à démontrer, sur le fondement des articles 1382 et 1383 du Code civil, à la fois la faute du prestataire, le préjudice subi et le lien de causalité entre ces deux éléments^58(*). La loi du 21 juin 2004 pour la confiance dans l'économie numérique a changé la donne. Ce texte instaure en effet une présomption de responsabilité des tiers certificateurs au bénéfice des personnes qui ont subi un préjudice en se fiant aux certificats présentés comme qualifiés.

En droit sénégalais, c'est l'article 18 de la loi n° 2008 - 41 du 20 août 2008^59(*) sur la cryptologie qui consacre cette présomption de responsabilité du prestataire de service de cryptologie.

Très favorable à l'utilisateur cette disposition signifie que la responsabilité du prestataire sera automatiquement engagée en cas d'atteinte à l'intégrité, à la confidentialité ou à la disponibilité des données transformées à l'aide des conventions secrètes gérées par le prestataire. Le prestataire de cryptologie devra alors indemniser les utilisateurs qui ont subi un préjudice. Le seul moyen pour lui de s'exonérer de sa responsabilité et d'échapper à l'obligation d'indemnisation est de lui-même démontrer qu'il n'a commis aucune faute ou négligence^60(*).

Ce régime a pour but d'atténuer les réticences dans l'usage de la signature électronique et ainsi de favoriser le développement de l'économie numérique. C'est également cet objectif qui explique que la loi ait assorti ce régime de responsabilité de mesures visant à garantir la solvabilité des prestataires de services de certification. La loi prévoit en effet que les tiers certificateurs doivent justifier d'une garantie financière suffisante ou d'une assurance garantissant les conséquences pécuniaires de leur responsabilité civile professionnelle.^61(*)

La loi précise que cette présomption de responsabilité est valable nonobstant toute stipulation contractuelle contraire. Cela signifie que si le prestataire a intégré dans le contrat une clause l'exonérant de toute responsabilité en cas d'atteinte aux données cryptées, ou limitant les conditions d'engagement de sa responsabilité, cette clause ne sera pas valable et n'aura aucun effet. Les dispositions de la loi prévaudront sur celles du contrat.

La présomption de responsabilité du prestataire ne joue cependant pas dans tous les cas.

* 58 In http://www.picsi.org/parcours_impression_6.html [Valide le 21/05/2014]

* 59 Texte disponible à l'adresse http://www.jo.gouv.sn/spip.php?article7197 [Valide le 21/05/2014]

* 60 M. Cahen « La responsabilité des prestataires de services informatiques en sécurité informatique » In http://www.murielle-cahen.com/publications/p_prestataire_informatique.asp [Valide le 21/05/2014]

* 61 Art. 21 LCEN ; Art 62 Décret n° 2010-1209 du 13 Septembre 2010 relatif à la loi n° 2008-41 du 20 Août 2008 sur la Cryptologie au Sénégal.