Loi 35/2014, du 27 novembre, des services de confiance électronique

Article 1.

Objet de la Loi L'objet de la présente Loi est de :

a) Réglementer les effets juridiques des signatures électroniques, des cachets électroniques, des horodatages électroniques, des certificats électroniques d'authentification de site internet et des services d'envoi électronique.

b) Établir un régime juridique des prestataires de services de confiance électronique et de leur activité, les conditions de supervision et le régime des sanctions et des infractions.

c) Établir les conditions dans lesquelles Andorre reconnaît l'efficacité, sur son territoire, des services de confiance électronique fournis par les prestataires de services de confiance électronique étrangers.

Article 2.

Champ d'application

1. La présente Loi s'applique aux prestataires de services de confiance électronique établis en Andorre et aux services fournis par l'intermédiaire d'un établissement stable dans le pays. Un prestataire est réputé établi en Andorre lorsque le lieu où sont effectivement centralisées la gestion administrative et la direction de ses affaires se trouve sur le territoire andorran. À cet effet, il est présumé, sauf preuve contraire, que la gestion administrative et la direction des affaires d'un prestataire sont centralisées sur le territoire d'Andorre lorsque ledit prestataire a sa résidence habituelle ou son domicile social en Andorre, ou lorsqu'il s'est inscrit au Registre des sociétés ou à un autre registre public d'Andorre dans lequel l'inscription était nécessaire à l'acquisition de la personnalité juridique. Un prestataire est considéré comme agissant par l'intermédiaire d'un établissement stable situé en Andorre lorsqu'il y dispose, de manière continue ou habituelle, d'installations ou de lieux de travail dans lesquels il exerce tout ou partie de son activité. L'utilisation de moyens technologiques situés en Andorre pour la prestation des services ou l'accès à ceux-ci ne sert pas, à elle seule, de critère pour déterminer l'établissement en Andorre de l'opérateur.

2. La présente Loi ne s'applique pas à la prestation de services de confiance électronique offerts au sein d'un système fermé, établi par une disposition légale ou en vertu d'un contrat, lorsqu'ils sont offerts à un ensemble défini de participants et que ceux-ci les utilisent exclusivement entre eux sans qu'ils produisent d'effets à l'égard des tiers.

3. Les dispositions de la présente Loi ne modifient pas les conditions requises applicables à la formalisation, à la validité et à l'efficacité des affaires et des actes juridiques, ni des documents dans lesquels ils sont consignés. Elles ne modifient pas non plus les règles applicables en matière de protection des consommateurs et des usagers, ni en matière de commerce.

Article 3.

Définitions Aux fins de la présente Loi, les définitions suivantes s'appliquent :

1. « Authentification » : processus électronique qui permet la validation de l'identification électronique d'une personne physique ou morale, ou de l'origine et de l'intégrité d'une donnée électronique.

2. « Certificat électronique » : déclaration électronique qui associe les données de validation d'une signature ou d'un cachet électroniques d'une personne physique ou morale, respectivement, au certificat, et confirme les données de cette personne.

3. « Certificat électronique qualifié d'authentification de site internet » : déclaration qui permet d'authentifier un site internet et de l'associer à la personne à laquelle le certificat électronique a été délivré par un prestataire de services de confiance électronique qualifié qui satisfait aux conditions requises établies par la présente Loi.

4. « Certificat électronique qualifié de cachet électronique » : déclaration utilisée à l'appui d'un cachet électronique, délivrée par un prestataire de services de confiance électronique qualifié et qui satisfait aux conditions requises établies par l'article 8.

5. « Certificat électronique qualifié de signature électronique » : déclaration utilisée à l'appui des signatures électroniques, délivrée par un prestataire de services de confiance électronique qualifié et qui satisfait aux conditions requises établies par l'article 6.

6. « Créateur d'un cachet » : personne morale qui crée un cachet électronique.

7. « Données de création de la signature électronique » : données uniques utilisées par le signataire pour créer une signature électronique.

8. « Données de création du cachet électronique » : données uniques utilisées par le créateur du cachet électronique pour le créer.

9. « Données de validation » : données utilisées pour valider une signature électronique ou un cachet électronique.

10. « Données de vérification de signature et de cachet électroniques » : données utilisées pour vérifier la signature électronique et le cachet électronique.

11. « Numérisation » : processus technologique qui permet l'obtention d'un ou de plusieurs fichiers électroniques contenant l'image codée, fidèle et intégrale d'un document sur support papier au moyen de techniques photoélectriques de numérisation par balayage ou de toute autre technique pouvant exister. Ce fichier est constitué de l'image électronique obtenue, de ses métadonnées et, le cas échéant, de la signature ou du cachet électroniques associés au processus de numérisation.

12. « Dispositif de création de signatures et de cachets électroniques » : équipement ou programme informatique configuré pour créer une signature ou un cachet électroniques.

13. « Dispositif de création de signatures et de cachets électroniques qualifiés » : dispositif de création de signatures et de cachets électroniques qui satisfait aux conditions requises énumérées à l'article 10.

14. « Document électronique » : tout contenu stocké sous forme électronique, en particulier un texte ou un enregistrement sonore, visuel ou audiovisuel.

15. « Standards » : normes ou spécifications techniques d'application volontaire qui sont applicables à une matière déterminée.

16. « Dossier électronique » : ensemble de documents électroniques correspondant à une procédure administrative, quel que soit le type d'information qu'ils contiennent.

17. « Identification électronique » : processus consistant à utiliser les données d'identification d'une personne sous forme électronique, qui représentent sans équivoque une personne physique ou morale.

18. « Interopérabilité » : capacité des systèmes d'information, et par conséquent des procédures auxquelles ces systèmes apportent leur appui, de partager des données et de permettre l'échange d'informations et de connaissances entre eux.

19. « Horodatage électronique » : données sous forme électronique qui associent d'autres données électroniques à un instant précis et apportent la preuve que ces données existaient à cet instant.

20. « Horodatage électronique qualifié » : horodatage électronique qui satisfait aux conditions requises établies par l'article 18.

21. « Métadonnée » : tout type d'information sous forme électronique associée aux documents électroniques, de caractère instrumental et indépendante de leur contenu, destinée à la connaissance immédiate et automatisable de l'une de leurs caractéristiques, afin de garantir la disponibilité, l'accès, la conservation et l'interopérabilité du document lui-même.

22. « Moyen électronique » : mécanisme, installation, équipement ou système qui permet de produire, de stocker ou de transmettre des documents, des données et des informations ; il comprend tous réseaux de communication ouverts ou restreints tels qu'Internet, la téléphonie fixe et mobile ou d'autres.

23. « Numéros de référence de normes » : références numériques au moyen desquelles est identifiée une norme technique susceptible d'application.

24. « Produit » : équipement ou programme informatique, ou composants qui en font partie, destinés à être utilisés pour la prestation de services de confiance électronique.

25. « Prestataire de services de confiance électronique » : personne physique ou morale qui fournit un ou plusieurs services de confiance électronique.

26. « Prestataire de services de confiance électronique qualifié » : prestataire de services de confiance électronique qui satisfait aux conditions requises établies par la présente Loi.

27. « Cachet électronique » : données sous forme électronique jointes à d'autres données électroniques, ou qui y sont associées logiquement, pour garantir l'origine et l'intégrité des données associées.

28. « Cachet électronique avancé » : cachet électronique qui satisfait aux conditions requises suivantes :

a) Être lié au créateur du cachet de manière univoque.

b) Permettre l'identification du créateur du cachet.

c) Avoir été créé à l'aide de données de création du cachet électronique que le créateur du cachet peut utiliser pour créer un cachet électronique, avec un niveau élevé de confiance électronique, sous son contrôle exclusif.

d) Être lié aux données auxquelles il se rapporte de telle sorte que toute modification ultérieure soit détectable.

29. « Cachet électronique qualifié » : cachet électronique avancé qui est créé au moyen d'un dispositif de création de cachets électroniques qualifiés et qui repose sur un certificat électronique qualifié de cachet électronique.

30. « Services de confiance électronique » : services électroniques relatifs à la création, à la vérification et à la validation des signatures électroniques, des cachets électroniques, des horodatages électroniques, des documents électroniques, de l'envoi électronique, de l'authentification de sites internet et de la fourniture de certificats électroniques et de chiffrement, y compris les certificats électroniques de signature électronique et de cachet électronique.

31. « Service de confiance électronique qualifié » : service de confiance électronique qui satisfait aux conditions requises applicables prévues par la présente Loi.

32. « Service d'envoi électronique recommandé » : service qui permet de transmettre des données entre des tiers par voie électronique et qui fournit des preuves relatives à la gestion des données transmises, y compris la preuve de l'envoi et de la réception des données, et qui protège les données transmises contre les risques de perte, de vol, de détérioration ou d'altération non autorisée.

33. « Siège électronique » : adresse électronique mise à la disposition des citoyens par l'intermédiaire de réseaux de télécommunications, dont la titularité, la gestion et l'administration reviennent à une administration publique, à un organe ou à une entité administrative dans l'exercice de leurs compétences.

34. « Signataire » : personne physique qui crée une signature électronique.

35. « Signature électronique » : données sous forme électronique jointes à d'autres données électroniques ou associées logiquement à celles que le signataire utilise pour signer.

36. « Signature électronique avancée » : signature électronique qui réunit les conditions requises suivantes :

a) Être liée au signataire de manière univoque.

b) Permettre l'identification du signataire.

c) Avoir été créée à l'aide de données de création de la signature électronique que le signataire peut utiliser, avec un niveau élevé de confiance électronique, sous son contrôle exclusif.

d) Être liée aux données auxquelles elle se rapporte de telle sorte que toute modification ultérieure soit détectable.

37. « Signature électronique qualifiée » : signature électronique avancée qui réunit les conditions requises suivantes :

a) Avoir été créée au moyen d'un dispositif de création de signatures électroniques qualifié.

b) Reposer sur un certificat électronique qualifié de signature électronique.

38. « Utilisateur de services de confiance électronique » : personne qui fait usage d'un service de confiance électronique.

39. « Adresse DLT » ou « DLT Address » : valeur qui identifie un compte DLT impliqué dans une transaction.

40. « Arbre de Merkle » ou « Merkle tree » : Structure de données auxquelles a été attribué un hash ou condensé cryptographique, et combinées jusqu'à une racine de hash ou de condensé cryptographique unique et singulière qui représente la structure entière de données.

41. « Bifurcation dure » ou « Hard fork » : changement dans une plateforme DLT dans lequel les nouveaux registres distribués ou blocs créés par les nœuds DLT, à partir de la nouvelle version de la plateforme DLT, ne sont pas acceptés comme valides par les nœuds DLT lorsqu'ils utilisent d'anciennes versions de la plateforme DLT.

42. « Bloc confirmé » ou « Confirmed block » : bloc qui a été confirmé.

43. « Bloc genèse » ou « Genesis block » : premier bloc d'une chaîne de blocs.

44. « Bloc » ou « Block » : Unité agrégée et immuable de données au moyen de la technologie de livre-registre distribué, qui est constituée d'une collection de transactions, réalisées au cours d'une période de temps précise, avec un en-tête de bloc, un hash de l'en-tête du bloc précédent et un arbre de Merkle.

45. « Chaîne de blocs » ou « Blockchain » : registre distribué qui contient des blocs confirmés organisés en une chaîne séquentielle d'ajout au moyen de liens cryptographiques.

46. « Chaîne latérale » ou « Sidechain » : système de chaîne de blocs qui interopère avec un système de chaîne de blocs indépendant associé pour exécuter des fonctions spécifiques en relation avec le système de chaîne de blocs associé.

47. « En-tête de bloc » ou « Block Header » : données structurées qui comprennent un lien cryptographique avec le bloc précédent, à moins que ce bloc précédent n'existe pas.

48. « Confirmé » ou « Confirmed » : acceptation de l'inclusion d'un enregistrement dans un registre distribué conformément à son propre protocole de consensus.

49. « Consensus » ou « Consensus » : accord entre nœuds DLT portant sur 1) le fait qu'une transaction a été validée et 2) le fait que le registre distribué contient un ensemble cohérent et ordonné de transactions validées.

50. « Contrat intelligent » ou « Smart contract » : programme informatique stocké dans un système DLT dans lequel le résultat de toute exécution du programme est enregistré dans le registre distribué.

51. « Cryptographie » ou « Cryptography » : discipline qui comprend les principes, moyens et méthodologies pour la transformation des données dans le but de dissimuler leur contenu sémantique, d'empêcher leur utilisation non autorisée ou d'empêcher leur modification non détectée.

52. « De pair à pair » ou « Peer-to-peer » : faire partie d'un réseau de paires de participants qui se considèrent mutuellement comme égaux et qui partagent des informations et des ressources directement entre eux, sans devoir dépendre d'une entité centrale.

53. « Données de bloc » ou « Block data » : données structurées qui comprennent des données de bloc et un en-tête de bloc.

54. « Dans le livre-registre » ou « On-ledger » : situé, réalisé ou exécuté à l'intérieur d'un système DLT.

55. « Dans la chaîne » ou « On-chain » : situé, réalisé ou exécuté à l'intérieur d'un système de chaîne de blocs.

56. « Hors chaîne » ou « Off-chain » : lié au système de chaîne de blocs, mais situé, réalisé ou exécuté en dehors de ce système.

57. « Hors livre-registre » ou « Off-ledger » : lié à un système DLT, mais situé, réalisé ou exécuté en dehors de ce système.

58. « Fonction de hachage cryptographique » ou « Cryptographic hash function » : fonction qui associe une chaîne de bits de longueur arbitraire à une chaîne de bits de longueur fixe, de telle sorte qu'elle soit unidirectionnelle, c'est-à-dire qu'il soit informatiquement impossible de trouver une quelconque entrée correspondant à une sortie prédéfinie, et qu'elle soit résistante aux collisions, c'est-à-dire qu'il soit informatiquement impossible de trouver deux entrées différentes correspondant à la même sortie.

59. « Immuabilité » ou « Immutability » : propriété selon laquelle les enregistrements distribués ne peuvent être ni modifiés ni supprimés une fois insérés dans le registre distribué.

60. « Interopérabilité » ou « Interoperability » : capacité de deux ou plusieurs systèmes ou applications à échanger des informations et à utiliser mutuellement les informations échangées.

61. « Livre-registre distribué » ou « Distributed Ledger » : registre partagé avec un ensemble de nœuds DLT et synchronisé entre les nœuds DLT au moyen d'un mécanisme de consensus.

62. « Livre-registre partagé » ou « Shared Ledger » : registre distribué dont le contenu est accessible à plusieurs entités.

63. « Livre-registre distribué » ou « Ledger record » : livre-registre qui contient des enregistrements transactionnels, des valeurs de hachage cryptographique des enregistrements transactionnels, ou des références à des enregistrements transactionnels enregistrés dans un registre distribué.

64. « Livre-registre » ou « Ledger » : dépôt d'informations qui conserve des enregistrements de transactions finales, définitives et immuables.

65. « Mécanisme de consensus » ou « Consensus mechanism » : règles et procédures permettant de parvenir au consensus.

66. « Mineur » : nœud DLT consacré au minage.

67. « Minage » ou « Mining » : activité qui, conformément à certains mécanismes de consensus, initie, enregistre, crée ou valide des blocs, ou réalise une combinaison des opérations précédentes.

68. « Portefeuille » ou « Wallet » : application utilisée pour générer, gérer, stocker ou utiliser des clés privées et publiques, et qui permet aux utilisateurs du livre-registre distribué d'effectuer des transactions.

69. « Sans permission » ou « Permissionless » : qui ne requiert pas d'autorisation pour réaliser une activité précise.

70. « Nœud » : logiciel, dispositif ou processus qui participe à un environnement de livre-registre distribué pour traiter ou communiquer des éléments d'information entre participants.

71. « Nœud racine » ou « Root node » : nœud qui n'a pas de nœud parent.

72. « Nœud DLT » ou « DLT Node » : logiciel, dispositif ou processus qui participe à un environnement de livre-registre distribué pour traiter ou communiquer des éléments d'information entre les participants.

73. « Nœuds qualifiés » : L'activité de nœud qualifié de système de technologie de registre distribué, à l'appui de la génération d'enregistrements ayant valeur probante, doit garantir des mesures techniques et organisationnelles appropriées aux transactions, y compris les modèles de gouvernance et de consensus, la synchronisation horaire, la sécurité cryptographique, la certification de logiciels, l'utilisation de logiciels libres ou l'autorisation administrative pour effectuer une bifurcation.

74. « Nombre unique » ou « Nonce » : nombre ou chaîne de bits utilisé dans un ensemble d'opérations cryptographiques.

75. « Avec permission » ou « Permissioned » : qui requiert une autorisation pour réaliser une ou plusieurs activités précises.

76. « Plateforme DLT » ou « DLT Platform » : ensemble d'entités de traitement, de stockage et de communication qui fournissent les capacités du système DLT dans chaque nœud DLT.

77. « Enregistrement transactionnel » ou « Transaction record » : enregistrement qui documente tout type de transaction.

78. « Horodatage » ou « Timestamp » : paramètre temporel variable qui indique un moment précis par rapport à une référence temporelle commune.

79. « Système de chaîne de blocs » ou « Blockchain System » : système qui met en œuvre une chaîne de blocs.

80. « Système décentralisé » ou « Descentralitzed System » : système distribué dans lequel le contrôle est réparti entre les personnes ou organisations qui participent au fonctionnement du système.

81. « Système distribué » ou « Distributed System » : système dans lequel les composants situés sur des ordinateurs connectés en réseau communiquent et coordonnent leurs actions par leur interaction.

82. « Système DLT » ou « DLT System » : système qui met en œuvre un registre distribué.

83. « Système DLT sans permission » ou « Permissionless DLT System » : système DLT sans permission ou d'accès public sans qu'une autorisation soit requise.

84. « Système DLT avec permission » ou « Permissioned DLT System » : système DLT qui nécessite des autorisations.

85. « Système DLT privé » ou « Private DLT System » : système DLT accessible pour son utilisation uniquement à un groupe limité d'utilisateurs DLT.

86. « Système DLT public » ou « Public DLT System » : système DLT dont l'utilisation est accessible au public.

87. « Sous-chaîne » ou « Subchain » : chaîne logiquement séparée qui peut faire partie d'un système de chaîne de blocs.

88. « Technologie de livre-registre distribué » ou « Distributed Ledger Technology » ou « DLT » : technologie qui permet le fonctionnement et l'utilisation de registres distribués.

89. « Transaction » ou « Transaction » : plus petite unité d'un processus de travail, qui constitue une ou plusieurs séquences d'actions nécessaires pour produire un résultat conforme aux règles de gouvernance et qui implique un échange d'informations entre nœuds.

90. « Transaction confirmée » ou « Confirmed transaction » : transaction qui a été confirmée.

91. « Utilisateur DLT » ou « DLT User » : entité qui utilise des services fournis par un système DLT.

92. « Valeur de hachage cryptographique » ou « Hash value » : chaîne de bits résultant d'une fonction de hachage cryptographique.

93. « Lien cryptographique » ou « Cryptographic link » : référence créée au moyen de techniques de fonction de hachage cryptographique qui renvoie aux données.

94. « Réseau DLT » ou « DLT Network » : réseau de nœuds DLT qui constituent un système DLT.

Article 4.

Accessibilité pour les personnes en situation de handicap Dans la mesure du possible, les services de confiance électronique fournis et les produits utilisés par les utilisateurs finaux dans les prestations de ces services doivent être accessibles aux personnes en situation de handicap.

Article 5.

Effets juridiques de la signature électronique

1. Lorsqu'une loi exige la signature d'une personne physique, cette condition requise est réputée remplie par l'usage de la signature électronique appropriée.

2. Les effets juridiques et la recevabilité comme preuve dans les procédures judiciaires et administratives de toute nature ne sont pas refusés à une signature électronique au seul motif qu'elle remplit cette condition.

3. Une signature électronique qualifiée a, à l'égard des données consignées sur support numérique, le même effet juridique que la signature manuscrite à l'égard des données consignées sur papier. La signature électronique qualifiée est réputée réunir les conditions nécessaires pour produire les effets indiqués dans le présent article lorsque le certificat qualifié sur lequel elle repose a été fourni par un prestataire de services de confiance électronique qualifié conformément aux dispositions de la présente Loi et que le dispositif qualifié de création de signature au moyen duquel elle est produite est certifié.

4. Lorsque la signature électronique est utilisée dans le cadre de conditions convenues préalablement par les parties pour entretenir des relations exclusivement privées entre elles, il doit être tenu compte de ce que les parties ont stipulé, sauf si cela est contraire au droit.

5. Le Gouvernement peut adopter des dispositions réglementaires pour définir les différents niveaux de sécurité de la signature électronique, ainsi qu'établir des numéros de référence de normes relatives à ces mêmes niveaux, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des niveaux de sécurité est présumé lorsque la signature électronique est conforme à ces normes.

Article 5 bis. Effets juridiques de l'identification électronique d'une personne physique

1. Lorsque la Loi exige l'identification d'une personne physique dans une transaction en ligne, cette condition requise est réputée remplie par une identification et une authentification électroniques appropriées.

2. Les effets juridiques et la recevabilité comme preuve dans les procédures judiciaires et administratives de toute nature ne sont pas refusés à une authentification électronique de personne physique au seul motif qu'elle remplit cette condition.

3. Une authentification électronique fondée sur un certificat qualifié de signature électronique qualifiée contenant les données d'identification univoque d'une personne physique a, dans les démarches à distance, le même effet juridique que celle effectuée en personne au moyen des documents officiels correspondants.

4. Lorsque l'identification et l'authentification électroniques d'une personne physique sont utilisées dans le cadre de conditions convenues préalablement par les parties pour entretenir des relations exclusivement privées entre elles, il doit être tenu compte de ce que les parties ont stipulé, sauf si cela est contraire au droit.

5. Le Gouvernement peut adopter des dispositions réglementaires pour définir les différents niveaux de sécurité de l'identification et de l'authentification électroniques d'une personne physique, ainsi qu'établir des numéros de référence de normes relatives à ces mêmes niveaux, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des niveaux de sécurité est présumé lorsque l'identification et l'authentification électroniques de la personne physique sont conformes à ces normes.

Article 6.

Conditions requises des certificats électroniques qualifiés de signature électronique

1. Les certificats électroniques qualifiés de signature électronique doivent indiquer expressément qu'ils sont délivrés en cette qualité et doivent comporter, au minimum, le contenu suivant :

a) Une mention, au moins sous une forme adaptée au traitement automatisé, indiquant que le certificat électronique a été délivré en tant que certificat électronique qualifié de signature électronique.

b) Un ensemble de données représentant sans ambiguïté le prestataire de services de confiance électronique qualifié qui délivre les certificats électroniques qualifiés, comprenant au minimum l'État dans lequel le prestataire est établi, et - pour les personnes physiques : le nom de la personne. - pour les personnes morales : le nom et le numéro d'immatriculation tels qu'ils figurent dans les registres officiels.

c) Un ensemble de données représentant sans ambiguïté le signataire auquel le certificat électronique a été délivré, comprenant au moins son nom ou un pseudonyme, identifié comme tel.

d) Des données de validation de la signature électronique correspondant aux données de création de la signature électronique.

e) Les données relatives au début et à la fin de la période de validité du certificat électronique.

f) Le code d'identité du certificat électronique, qui doit être unique pour le prestataire de services de confiance électronique qualifié.

g) La signature électronique avancée ou le cachet électronique avancé du prestataire de services de confiance électronique émetteur.

h) L'endroit où peut être obtenu gratuitement le certificat électronique sur lequel reposent la signature électronique avancée ou le cachet électronique avancé visés à la lettre g).

i) La localisation des services d'état de validité du certificat électronique pouvant être utilisés pour vérifier l'état de validité du certificat électronique qualifié.

j) Lorsque les données de création de la signature électronique associées aux données de validation de la signature électronique se trouvent dans un dispositif de création de signatures électroniques qualifié, une mention appropriée de cette circonstance, au moins sous une forme adaptée au traitement automatisé.

2. Le certificat électronique peut contenir toute autre circonstance ou tout autre attribut personnel significatif du titulaire, en fonction de la finalité même du certificat électronique et à condition que le titulaire y consente, dans les conditions rendues publiques dans la déclaration de pratiques de confiance électronique.

3. Si un certificat électronique qualifié de signature électronique est révoqué après son activation initiale, il perd sa validité et ne peut en aucun cas retrouver son statut par le renouvellement de sa validité.

4. Le Gouvernement peut adopter des dispositions réglementaires pour définir de manière plus précise les exigences applicables aux certificats électroniques qualifiés de signature électronique, ainsi qu'établir des numéros de référence de normes relatives à ces mêmes certificats, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises établies au paragraphe 1 est présumé lorsque le certificat électronique qualifié de signature électronique est conforme à ces normes.

Article 7.

Effets juridiques du cachet électronique

1. Lorsqu'une loi exige la signature d'une personne morale, cette condition requise est réputée remplie par l'utilisation du cachet électronique approprié.

2. Les effets juridiques et la recevabilité comme preuve dans les procédures judiciaires et administratives de toute nature ne seront pas refusés à un cachet électronique au seul motif qu'il se présente sous forme électronique.

3. Un cachet électronique qualifié bénéficie de la présomption légale de garantir l'origine et l'intégrité des données auxquelles il est lié. Le cachet électronique qualifié est réputé réunir les conditions nécessaires pour produire les effets indiqués dans le présent article lorsque le certificat qualifié sur lequel il repose a été fourni par un prestataire de services de confiance électronique qualifié conformément aux dispositions de la présente Loi et que le dispositif qualifié de création de cachet au moyen duquel celui-ci est produit est certifié.

4. Le Gouvernement peut adopter des dispositions réglementaires pour définir les différents niveaux de sécurité du cachet électronique, ainsi qu'établir des numéros de référence de normes relatives à ces mêmes niveaux, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des niveaux de sécurité est présumé lorsque le cachet électronique est conforme à ces normes.

5. Sans préjudice des dispositions légales et réglementaires relatives à la représentation des personnes morales, un cachet électronique qualifié utilisé dans le cadre d'actes juridiques soumis à la législation andorrane équivaut à la signature manuscrite de la personne physique qui représente la personne morale ayant créé le cachet. Le titulaire d'un certificat de cachet électronique qualifié doit prendre les mesures nécessaires pour établir le nom, la qualité et les pouvoirs de la personne physique qui représente la personne morale et qui utilise le cachet électronique qualifié, de sorte que, chaque fois que le cachet est utilisé, son propriétaire et, le cas échéant, les autorités administratives ou judiciaires compétentes intervenant dans la recherche et la détection des infractions puissent établir l'identité et les pouvoirs de représentation de la personne physique.

Article 7 bis. Effets juridiques de l'identification électronique d'une personne morale

1. Lorsque la Loi exige l'identification d'une personne morale dans une transaction en ligne, cette condition requise est réputée remplie par une authentification électronique appropriée.

2. Les effets juridiques et la recevabilité comme preuve dans les procédures judiciaires et administratives de toute nature ne sont pas refusés à une authentification électronique de personne morale au seul motif qu'elle remplit cette condition.

3. Une authentification électronique fondée sur un certificat qualifié de cachet électronique qualifié a le même effet juridique, dans les démarches à distance, que celle effectuée en personne par le représentant de la personne morale, au moyen des documents officiels correspondants.

4. Lorsque l'identification et l'authentification électroniques d'une personne morale sont utilisées dans le cadre de conditions convenues au préalable par les parties pour entretenir des relations exclusivement entre elles à titre privé, il doit être tenu compte de ce que les parties ont stipulé, sauf si cela est contraire au droit.

5. Le Gouvernement peut adopter des dispositions réglementaires pour définir les différents niveaux de sécurité de l'identification et de l'authentification électroniques d'une personne morale, ainsi qu'établir des numéros de référence de normes relatives à ces mêmes niveaux, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des niveaux de sécurité est présumé lorsque l'identification et l'authentification électroniques de la personne morale sont conformes à ces normes.

Article 8.

Conditions requises des certificats électroniques qualifiés de cachet électronique

1. Les certificats électroniques qualifiés de cachet électronique doivent contenir :

a) Une mention indiquant, au moins sous une forme adaptée au traitement automatisé, que le certificat électronique a été délivré en tant que certificat électronique qualifié de cachet électronique.

b) Un ensemble de données représentant sans ambiguïté le prestataire de services de confiance électronique qualifié qui délivre les certificats électroniques qualifiés, comprenant au minimum l'État dans lequel le prestataire est établi, et - pour les personnes physiques : le nom de la personne. - pour les personnes morales : le nom et le numéro d'immatriculation tels qu'ils figurent dans les registres officiels.

c) Un ensemble de données représentant sans ambiguïté la personne morale à laquelle le certificat électronique a été délivré, comprenant au moins le nom et le numéro d'immatriculation, tels qu'ils figurent dans les registres officiels.

d) Les données de validation du cachet électronique qui correspondent aux données de création du cachet électronique.

e) Les données relatives au début et à la fin de la période de validité du certificat électronique.

f) Le code d'identité du certificat électronique, qui doit être unique pour le prestataire de services de confiance électronique qualifié.

g) La signature électronique avancée ou le cachet électronique avancé du prestataire de services de confiance électronique émetteur.

h) Le lieu où se trouve gratuitement le certificat électronique sur lequel repose la signature électronique avancée, ou le cachet électronique avancé visé à la lettre g).

i) L'emplacement des services d'état de validité du certificat électronique qui peuvent être utilisés pour vérifier l'état de validité du certificat électronique qualifié.

j) Lorsque les données de création du cachet électronique liées aux données de validation du cachet électronique se trouvent dans un dispositif de création de cachets électroniques qualifié, une mention appropriée l'indiquant, au moins sous une forme adaptée au traitement automatisé.

2. Les certificats électroniques qualifiés de cachet électronique ne doivent être soumis à aucune exigence obligatoire allant au-delà des conditions requises établies au paragraphe précédent.

3. Si un certificat électronique qualifié de cachet électronique est révoqué après son activation initiale, il perd sa validité et ne peut, en aucune circonstance, recouvrer son statut par le renouvellement de sa validité.

4. Le Gouvernement peut adopter des dispositions réglementaires pour définir de manière plus précise les exigences relatives aux certificats électroniques qualifiés de cachet électronique, ainsi qu'établir des numéros de référence de normes relatives à ces mêmes certificats, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises établies au paragraphe 1 est présumé lorsque le certificat électronique de cachet est conforme à ces normes.

Article 9.

Dispositifs de création de signature électronique et de cachet électronique

1. Un dispositif de création de signature électronique et de cachet électronique est un équipement ou un logiciel servant à appliquer les données de création de signature et de cachet électroniques.

2. Un dispositif sécurisé de création de signature et de cachet électroniques est celui qui garantit, au minimum, par les moyens techniques et de procédure appropriés, les conditions requises de l'article 10.

3. Le Gouvernement peut établir des numéros de référence de normes relatives aux dispositifs de signature électronique et de cachets électroniques, ainsi qu'aux autres systèmes, moyens et produits connexes visés par la présente Loi, lesquels doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises établies par la présente Loi est présumé lorsque le dispositif est conforme à ces normes.

Article 10.

Conditions requises des dispositifs de création de signatures électroniques qualifiées et de cachets électroniques qualifiés

1. Les dispositifs de création de signatures électroniques qualifiées et de cachets électroniques qualifiés doivent garantir au minimum, par des moyens techniques et de procédure appropriés, que :

a) Le secret des données de création de la signature électronique et de cachet électronique utilisées pour la génération de signatures électroniques et de cachets électroniques est garanti.

b) Les données de création de la signature électronique et du cachet électronique utilisées pour la génération d'une signature électronique et d'un cachet électronique n'apparaissent qu'une seule fois.

c) L'on peut avoir l'assurance raisonnable que les données de création de la signature électronique et du cachet électronique utilisées pour la génération d'une signature électronique et d'un cachet électronique ne peuvent être trouvées par déduction et que la signature et le cachet électroniques sont protégés contre la falsification par la technologie disponible au moment considéré.

d) Les données de création de la signature électronique et du cachet électronique utilisées pour la génération d'une signature électronique et d'un cachet électronique peuvent être protégées de manière fiable par le signataire légitime contre leur utilisation par d'autres.

2. Les dispositifs de création de signatures électroniques qualifiées et de cachets électroniques qualifiés ne doivent pas altérer les données à signer ni empêcher que ces données soient présentées au signataire avant la signature.

3. La génération ou la gestion des données de création de la signature électronique et du cachet électronique pour le compte du signataire incombent à un prestataire de services de confiance électronique qualifié.

4. Les prestataires de services de confiance électronique qualifiés qui gèrent les données de création de la signature électronique et du cachet électronique pour le compte du signataire peuvent effectuer des copies de sauvegarde des données de création de la signature électronique et du cachet électronique, à condition que les conditions requises suivantes soient remplies :

a) Que la sécurité des ensembles de données copiés soit du même niveau que celle des ensembles de données originaux.

b) Que le nombre d'ensembles de données copiés n'excède pas le minimum nécessaire pour garantir la continuité du service.

Article 11.

Certification des dispositifs de création de signatures électroniques qualifiées et des cachets électroniques qualifiés

1. Les dispositifs de création de signatures électroniques qualifiées et de cachets électroniques qualifiés doivent être certifiés par les organismes publics ou privés appropriés désignés par le Gouvernement, à condition qu'ils aient été soumis à un processus d'évaluation de la sécurité mené conformément aux normes d'évaluation de la sécurité des produits des technologies de l'information.

2. Le Gouvernement publie les noms et les adresses des organismes publics ou privés visés au paragraphe 1.

Article 12.

Publication d'une liste de dispositifs de création de signatures électroniques qualifiés certifiés et de cachets électroniques qualifiés certifiés Le Gouvernement publie au Bulletin officiel de la Principauté d'Andorre une liste des dispositifs de création de signatures électroniques qualifiées et de cachets électroniques qualifiés, certifiés par les organismes visés à l'article précédent, ainsi que les informations relatives aux dispositifs de création de signatures électroniques et de cachets électroniques qui ont cessé d'être certifiés.

Article 13.

Dispositifs de vérification de signature électronique et de cachet électronique

1. Un dispositif de vérification de signature et de cachet électroniques est un équipement ou un logiciel servant à appliquer les données de vérification de signature et de cachet électroniques.

2. Les dispositifs sécurisés de vérification de signature électronique et de cachet électronique doivent garantir, dans la mesure où cela est techniquement possible, que le processus de vérification d'une signature électronique et d'un cachet électronique remplit les conditions suivantes :

a) Que les données utilisées pour vérifier la signature et le cachet électroniques correspondent aux données présentées à la personne qui vérifie la signature et le cachet électroniques.

b) Que la signature et le cachet électroniques sont vérifiés de manière fiable et que le résultat de la vérification est présenté correctement.

c) Que la personne qui vérifie la signature électronique et le cachet électronique peut établir de manière fiable le contenu du message de données signé.

d) Qu'il vérifie de manière fiable l'authenticité et la validité du certificat électronique exigé pour vérifier la signature et le cachet électroniques.

e) Qu'il présente clairement le résultat de la vérification et l'identité de l'utilisateur de services de confiance électronique ou, le cas échéant, fait apparaître clairement l'usage d'un pseudonyme.

f) Que toute modification pertinente relative à la sécurité peut y être détectée.

3. Les données relatives à la vérification de signature et de cachet électroniques, telles que le moment où intervient une constatation de la validité du certificat électronique, doivent pouvoir être stockées par la personne qui vérifie la signature et le cachet électroniques ou, sous sa responsabilité, par des tiers de confiance électronique.

Article 14.

Conditions requises pour la validation des signatures électroniques qualifiées et des cachets électroniques qualifiés

1. Le processus de validation d'une signature électronique qualifiée et d'un cachet électronique qualifié confirme la validité de la signature et du cachet électroniques pour autant que :

a) Le certificat électronique sur lequel repose la signature ou le cachet électronique est un certificat électronique qualifié de signature électronique ou de cachet électronique conforme aux dispositions de l'article 6 ou de l'article 8, respectivement.

b) Le certificat électronique qualifié requis est authentique et valide.

c) Les données de validation de la signature et du cachet électroniques correspondent aux données communiquées à l'utilisateur.

d) L'ensemble unique de données représentant le signataire est correctement fourni à l'utilisateur.

e) Dans le cas où un pseudonyme est utilisé, l'utilisation de ce pseudonyme est clairement indiquée à l'utilisateur.

f) La signature électronique et le cachet électronique ont été créés au moyen d'un dispositif de création de signatures électroniques qualifié.

g) L'intégrité des données signées n'a pas été compromise.

h) Les conditions requises prévues à l'article 3, paragraphes 36 et 28, respectivement, ont été remplies.

i) Le système utilisé pour valider la signature et le cachet électroniques fournit à la partie utilisatrice le résultat correct du processus de validation et lui permet de détecter tout problème touchant à la sécurité.

2. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les exigences relatives à la validation des signatures électroniques qualifiées et des cachets électroniques qualifiés, ainsi que fixer des numéros de référence de normes relatives à cette validation, lesquels doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises établies au paragraphe 1 est présumé lorsque la validation est conforme à ces normes.

Article 15.

Service de validation qualifié des signatures électroniques qualifiées et des cachets électroniques qualifiés

1. Fournit un service de validation qualifié des signatures électroniques qualifiées et des cachets électroniques qualifiés le prestataire de services de confiance électronique qualifié qui :

a) effectue la validation conformément à l'article 14, et

b) permet aux parties utilisatrices de recevoir le résultat du processus de validation d'une manière automatisée fiable, efficace, et portant la signature électronique avancée ou le cachet électronique avancé du prestataire de services de validation qualifié.

2. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les exigences relatives au service qualifié de validation des signatures électroniques qualifiées et des cachets électroniques qualifiés, ainsi que fixer des numéros de référence de normes relatives à ce service qualifié de validation, lesquels doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises établies au paragraphe 1 est présumé lorsque le service de validation est conforme à ces normes.

Article 16.

Service de conservation des signatures électroniques qualifiées et des cachets électroniques qualifiés

1. Fournit un service de conservation qualifié de signatures électroniques et de cachets électroniques le prestataire de services de confiance électronique qualifié qui utilise des procédures et des technologies permettant d'étendre la fiabilité des données de validation de la signature électronique qualifiée et du cachet électronique qualifié au-delà de la période de validité technologique.

2. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les exigences relatives à la conservation des signatures électroniques qualifiées et des cachets électroniques qualifiés, ainsi que fixer des numéros de référence de normes relatives à cette conservation, lesquels doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises établies au paragraphe 1 est présumé lorsque le service de conservation est conforme à ces normes.

Article 17.

Effet juridique des horodatages électroniques

1. L'effet juridique et la recevabilité comme preuve dans les procédures judiciaires et administratives de toute nature ne sont pas refusés à un horodatage électronique au seul motif qu'il remplit cette condition.

2. L'horodatage électronique qualifié bénéficie d'une présomption légale d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données auxquelles se rapportent cette date et cette heure.

Article 18.

Conditions requises pour les horodatages électroniques qualifiés

1. Un horodatage électronique qualifié doit remplir les conditions requises suivantes :

a) Être lié de manière exacte au Temps universel coordonné (UTC) de façon à éliminer toute possibilité de modification indétectable des données.

b) Être fondé sur une source d'information temporelle exacte.

c) Avoir été délivré par un prestataire de services de confiance électronique qualifié.

d) Avoir été signé au moyen d'une signature électronique avancée, ou d'un cachet électronique avancé du prestataire de services de confiance électronique qualifié, ou par toute méthode équivalente.

2. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les exigences relatives au lien exact entre la date et l'heure et les données, et à une source d'information temporelle exacte, ainsi que fixer des numéros de référence de normes relatives à ces données, lesquels doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des niveaux de sécurité est présumé lorsque l'horodatage électronique est conforme à ces normes.

Article 19.

Conditions requises pour les certificats électroniques qualifiés d'authentification de sites internet

1. Les certificats électroniques qualifiés d'authentification de sites internet doivent contenir :

a) Une mention indiquant, au moins sous une forme adaptée au traitement automatisé, que le certificat électronique a été délivré comme certificat électronique qualifié d'authentification de site internet.

b) Un ensemble de données représentant sans ambiguïté le prestataire de services de confiance électronique qualifié délivrant les certificats électroniques qualifiés, comprenant au minimum l'État dans lequel le prestataire est établi, et - pour les personnes physiques : le nom de la personne. - pour les personnes morales : le nom et le numéro d'immatriculation tels qu'ils figurent dans les registres officiels.

c) Un ensemble de données représentant sans ambiguïté la personne morale à laquelle le certificat électronique a été délivré, comprenant au moins le nom et le numéro d'immatriculation, tels qu'ils figurent dans les registres officiels.

d) Des éléments de l'adresse, comprenant au moins la ville et l'État, de la personne morale à laquelle le certificat électronique est délivré, tels qu'ils figurent dans les registres officiels.

e) Le ou les noms de domaine exploités par la personne à laquelle le certificat électronique est délivré.

f) Les données relatives au début et à la fin de la période de validité du certificat électronique.

g) Le code d'identité du certificat électronique, qui doit être unique pour le prestataire de services de confiance électronique qualifié.

h) La signature électronique avancée ou le cachet électronique avancé du prestataire de services de confiance électronique émetteur.

i) L'endroit où peut être obtenu gratuitement le certificat électronique sur lequel repose la signature électronique avancée ou le cachet électronique avancé visé à la lettre h).

j) L'emplacement des services de statut de validité du certificat électronique qui peuvent être utilisés pour vérifier le statut de validité du certificat électronique qualifié.

2. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les exigences applicables aux certificats électroniques qualifiés d'authentification de site internet, ainsi qu'établir des numéros de référence de normes relatives à ces mêmes exigences, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Les conditions requises au paragraphe 1 sont présumées remplies lorsque le certificat électronique d'authentification de site internet est conforme à ces normes.

Article 20.

Effet juridique d'un service d'envoi recommandé électronique

1. Les données envoyées, reçues ou mises à disposition au moyen d'un service d'envoi recommandé électronique sont admissibles comme preuve dans les procédures judiciaires et administratives de toute nature en ce qui concerne l'intégrité des données et la certitude de la date et de l'heure auxquelles les données ont été envoyées à un destinataire déterminé, reçues par celui-ci ou mises à sa disposition.

2. Les données envoyées, reçues ou mises à disposition au moyen d'un service d'envoi recommandé électronique qualifié bénéficient de la présomption légale d'intégrité des données et d'exactitude de la date et de l'heure d'envoi, de réception ou de mise à disposition des données indiquées par le système d'envoi recommandé électronique qualifié.

Article 21.

Conditions requises pour les services d'envoi recommandé électronique qualifiés

1. Les services d'envoi recommandé électronique qualifiés doivent remplir les conditions requises suivantes :

a) Être fournis par un ou plusieurs prestataires de services de confiance électronique qualifiés.

b) Assurer avec un haut niveau de fiabilité l'identification de l'expéditeur et garantir l'identification du destinataire avant la fourniture des données.

c) Protéger le processus d'envoi ou de réception des données au moyen d'une signature électronique avancée ou d'un cachet électronique avancé d'un prestataire de services de confiance électronique qualifié, de manière à exclure toute possibilité de modification indétectable des données.

d) Indiquer clairement à l'expéditeur et au destinataire des données toute modification des données nécessaire aux fins de l'envoi ou de la réception des données.

e) Indiquer, au moyen d'un horodatage électronique qualifié, la date et l'heure d'envoi, de réception et de modification éventuelle des données.

f) Lorsque les données sont transférées entre deux prestataires de services de confiance électronique qualifiés ou plus, les conditions requises prévues à toutes les lettres précédentes doivent s'appliquer à tous les prestataires de services de confiance électronique qualifiés.

2. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les exigences applicables aux services d'envoi recommandé électronique qualifié, ainsi qu'établir des numéros de référence de normes relatives à ces mêmes services, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Les conditions requises au paragraphe 1 sont présumées remplies lorsque le service est conforme à ces normes.

Article 21 bis. Effets juridiques de la présentation électronique d'un attribut vérifié d'identité de personne physique ou morale

1. Lorsque la Loi exige la justification, dans une démarche en ligne, d'un attribut d'identité d'une personne physique ou morale, cette condition est réputée remplie par la présentation électronique d'un attribut vérifié d'identité qui s'avère appropriée.

2. Les effets juridiques et la recevabilité comme preuve dans les procédures judiciaires et administratives de toute nature ne sont pas refusés à une présentation électronique d'un attribut vérifié d'identité de personne physique ou morale au seul motif qu'elle remplit cette condition.

3. Une présentation électronique d'un attribut vérifié d'identité de personne physique ou morale fondée sur un certificat qualifié d'attributs vérifiés a, dans les opérations à distance, le même effet juridique que celle effectuée en personne au moyen des documents publics ou privés correspondants.

4. Lorsque la présentation électronique d'un attribut d'identité vérifié de personne physique ou morale est effectuée dans le cadre de conditions préalablement convenues par les parties pour leurs relations exclusivement privées entre elles, il doit être tenu compte de ce que les parties ont stipulé, sauf si cela est contraire au droit.

5. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les conditions requises pour la présentation électronique d'un attribut d'identité vérifié de personne physique ou morale, ainsi qu'établir des numéros de référence de normes relatives à cette même présentation électronique, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Les conditions requises prévues au paragraphe 1 sont présumées remplies lorsque la présentation électronique d'un attribut d'identité vérifié de personne physique ou morale est conforme à ces normes.

Article 21 ter. Conditions requises des certificats électroniques qualifiés d'attributs vérifiés

1. Les certificats électroniques qualifiés d'attributs vérifiés doivent contenir :

a) Une mention indiquant, au moins sous une forme adaptée au traitement automatisé, que le certificat électronique a été délivré en tant que certificat qualifié d'attributs vérifiés.

b) Un ensemble de données représentant sans ambiguïté l'autorité publique ou le prestataire de services de confiance électronique qualifié qui délivre les certificats électroniques qualifiés, comprenant au minimum l'État dans lequel le prestataire est établi, et

i) pour les personnes physiques : le nom de la personne ii) pour les personnes morales : le nom et le numéro d'immatriculation tels qu'ils figurent dans les registres officiels.

c) Un ensemble de données représentant sans ambiguïté la personne physique ou morale à laquelle le certificat électronique a été délivré.

d) Les attributs vérifiés.

e) Les données relatives au début et à la fin de la période de validité du certificat électronique.

f) Le code d'identité du certificat électronique, qui doit être unique pour le prestataire de services de confiance électronique qualifié.

g) La signature électronique avancée ou le cachet électronique avancé du prestataire de services de confiance électronique émetteur.

h) L'endroit où peut être obtenu gratuitement le certificat électronique sur lequel repose la signature électronique avancée, ou le cachet électronique avancé visé à la lettre g).

i) L'emplacement des services d'état de validité du certificat électronique, ou des attributs vérifiés, qui peuvent être utilisés pour vérifier l'état de validité du certificat électronique qualifié.

2. Les certificats électroniques qualifiés d'attributs vérifiés ne doivent être soumis à aucune exigence obligatoire allant au-delà des conditions requises fixées au paragraphe précédent.

3. Si un certificat électronique qualifié d'attributs vérifiés est révoqué, il perd sa validité et ne peut en aucun cas recouvrer son statut par le renouvellement de sa validité.

4. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les conditions requises des certificats électroniques qualifiés d'attributs vérifiés, ainsi que fixer des numéros de référence de normes relatives à ces certificats, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises fixées au paragraphe 1 est présumé lorsque le certificat électronique d'attributs vérifiés est conforme à ces normes.

Article 21 quater. Conditions requises des répertoires électroniques personnels de données qualifiés

1. Les répertoires électroniques personnels de données qualifiés permettent le stockage de certificats de signature ou de cachet électroniques et de certificats d'attributs vérifiés d'identité, dans des conditions de sécurité et de contrôle, par le titulaire des certificats concernés, ainsi que l'accès à ces répertoires et leur partage.

2. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les conditions requises des répertoires électroniques personnels de données qualifiés, ainsi que fixer des numéros de référence de normes relatives à ces répertoires, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises du paragraphe 1 est présumé lorsque le service est conforme à ces normes.

Article 21 quinquies. Conditions requises des nœuds qualifiés de systèmes de technologie de registre distribué

1. L'activité de nœud qualifié de système de technologie de registre distribué, à l'appui de la génération d'enregistrements ayant valeur probante, doit garantir des mesures techniques et organisationnelles appropriées aux transactions, y compris les modèles de gouvernance et de consensus, la synchronisation horaire, la sécurité cryptographique, la certification de logiciels, l'utilisation de logiciels libres ou l'autorisation administrative pour effectuer une bifurcation.

2. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les conditions requises des nœuds qualifiés de systèmes de technologie de registre distribué, ainsi que fixer des numéros de référence de normes relatives à ces nœuds qualifiés, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises du paragraphe 1 est présumé lorsque le service est conforme à ces normes.

Article 22.

Document électronique

1. Chaque fois que la loi exige que l'information soit consignée par écrit, cette condition requise est réputée remplie si elle figure sur un support numérique et accessible pour une consultation ultérieure.

2. Un document électronique peut être considéré comme un document public dès lors qu'il remplit les conditions requises par la législation spécifique applicable.

3. Les documents électroniques sont considérés comme équivalents aux documents sur papier, sont recevables comme preuve documentaire dans les procédures judiciaires et administratives de toute nature, et ont la valeur et les effets juridiques correspondant à leur nature.

4. Tout document comportant une signature électronique qualifiée ou un cachet électronique qualifié de la personne compétente pour délivrer le document en question bénéficie de la présomption légale d'authenticité et d'intégrité, à condition que le document ne comporte aucune caractéristique dynamique susceptible de le modifier automatiquement.

Article 23.

Numérisation documentaire

1. Pour autant que la reproduction ne porte pas atteinte à des droits de propriété intellectuelle, les copies électroniques des documents sur support papier ou sur un autre support susceptible de numérisation sont autorisées, qu'il s'agisse de documents publics ou privés.

2. Un document public ou privé sur papier peut être conservé sur support numérique avec les effets prévus au paragraphe suivant du présent article si la numérisation est réalisée au moyen d'un processus de numérisation qualifiée.

3. Le processus de numérisation qualifiée permet de considérer les documents électroniques obtenus comme équivalents aux documents sur papier numérisés, et recevables comme preuve dans les procédures judiciaires et administratives de toute nature, avec la même valeur que les originaux sur support papier originaux, et sans qu'il soit nécessaire de disposer de ces originaux.

4. Le Gouvernement peut adopter des dispositions réglementaires afin de définir de manière plus précise les exigences des processus de numérisation qualifiée, ainsi que fixer des numéros de référence de normes relatives à ces processus, qui doivent être publiés au Bulletin officiel de la Principauté d'Andorre. Le respect des conditions requises du paragraphe 1 est présumé lorsque le processus est conforme à ces normes.

Article 24.

Prestataires de services de confiance électronique

1. Les services de confiance électronique sont fournis en régime de libre concurrence, conformément aux règles générales qui régissent l'exercice des activités économiques.

2. Les administrations publiques qui fournissent des services de confiance électronique, directement ou par l'intermédiaire d'organismes ou d'entités qui leur sont rattachés, doivent le faire conformément aux principes d'objectivité, de transparence, de non-discrimination et de libre concurrence.

Article 25.

Prestataires de services de confiance électronique de pays tiers

1. Les services de confiance électronique qualifiés de pays tiers sont considérés comme équivalents aux services de confiance électronique qualifiés fournis par les prestataires de services de confiance électronique qualifiés établis en Andorre, dans les cas suivants :

a) Dans le cas de prestataires de services de confiance électronique établis sur le territoire de l'Union européenne, si le prestataire du service qualifié est supervisé de manière satisfaisante par l'autorité compétente du pays de l'Union européenne concerné et si cette condition figure sur la liste de confiance électronique publiée par l'Union européenne.

b) Si le régime de prestation de services du prestataire de services de confiance électronique qualifié d'un pays tiers est conforme aux normes retenues par le Gouvernement, qui sont celles de l'Union européenne, et si le prestataire a été certifié conformément à ces normes.

c) Si les services de confiance électronique qualifiés originaires du pays tiers sont reconnus en vertu d'un accord entre l'Andorre et des pays tiers ou des organisations internationales.

2. Dans le cas de la lettre

c) du paragraphe précédent, ces accords doivent garantir que les prestataires de services de confiance électronique de pays tiers ou d'organisations internationales satisfont aux conditions requises applicables aux services de confiance électronique qualifiés, et aux certificats électroniques qualifiés fournis par les prestataires de services de confiance électronique qualifiés établis sur le territoire de la Principauté d'Andorre, notamment en ce qui concerne la protection des données à caractère personnel, la sécurité et la supervision.

Article 26.

Conditions requises pour les prestataires de services de confiance électronique qualifiés

1. Les prestataires de services de confiance électronique qualifiés qui souhaitent fournir des services de confiance électronique qualifiés :

a) Doivent informer toute personne souhaitant utiliser un service de confiance électronique qualifié des conditions nécessaires relatives à l'utilisation de ce service.

b) Doivent utiliser des systèmes et des produits sûrs qui soient protégés contre toute altération et qui garantissent la sécurité et la fiabilité techniques des processus qu'ils prennent en charge.

c) Doivent utiliser des systèmes sûrs pour stocker les données qui leur sont fournies, sous une forme vérifiable, de manière que :

• Elles ne soient mises à la disposition du public pour consultation que lorsque le consentement de la personne à laquelle les données ont été délivrées a été obtenu.
• Seules des personnes autorisées puissent y apporter des annotations et des modifications.
• L'authenticité des informations puisse être vérifiée.

d) Doivent prendre des mesures contre la falsification et le vol de données.

e) Doivent enregistrer, pendant une période minimale de quinze ans à compter de la fin de la validité du service fourni, toutes les informations pertinentes concernant les données qu'ils ont générées et reçues, en particulier celles qui servent de preuve dans les procédures légales. Cette activité d'enregistrement peut être effectuée par voie électronique.

f) Doivent disposer d'un plan de cessation d'activité actualisé afin de garantir la continuité du service, conformément aux dispositions de l'organe de contrôle, en application de l'article 33.2.b).

g) Doivent garantir un traitement licite des données à caractère personnel conformément à l'article 28.

2. Lorsqu'il délivre un certificat électronique qualifié, le prestataire de services de confiance électronique qualifié doit vérifier de manière probante l'identité et, le cas échéant, tout autre attribut spécifique de la personne physique ou morale à laquelle il délivre le certificat électronique qualifié, au moyen de la présentation des documents publics ou privés qui les attestent de manière suffisante. Ces informations doivent être vérifiées par le prestataire de services qualifié ou par un tiers autorisé agissant sous la responsabilité du prestataire de services qualifié :

a) en présence de la personne physique ou d'un représentant autorisé de la personne morale, ou

b) à distance, au moyen d'autres certificats électroniques qualifiés émis par un prestataire de services qualifié, ou

c) à distance, au moyen de moyens d'identification électronique pour lesquels, avant l'émission du certificat qualifié, la personne physique ou un représentant autorisé de la personne morale s'est présenté en personne et qui satisfont aux conditions requises prévues à l'article 8 en ce qui concerne les niveaux de garantie substantiel et élevé, ou

d) au moyen d'autres méthodes d'identification reconnues au niveau national qui fournissent une garantie équivalente en termes de fiabilité personnelle. La garantie équivalente est confirmée par un organisme d'évaluation de la conformité.

e) Les systèmes de visioconférence sont également admis si les conditions requises prévues au présent article et celles qui peuvent être développées par voie réglementaire sont remplies, en ce qui concerne les niveaux de garantie nécessaires.

3. Lorsqu'il s'agit de certificats électroniques émis à des personnes physiques mais qui ont un lien avec une organisation, une entité, une institution, une société ou une autre personne morale, les prestataires de services de confiance électronique doivent vérifier, outre l'identité du demandeur et de la personne identifiée dans le certificat électronique, les données relatives à la constitution et à la personnalité juridique de l'entité, ainsi qu'à l'étendue et à la validité des facultés ou des pouvoirs de représentation du demandeur, au moyen des documents publics qui les attestent de manière probante ou de la consultation du registre public pertinent, lorsqu'il s'agit de données qui doivent y figurer.

4. Il n'y a pas lieu d'appliquer les dispositions des paragraphes 2 et 3 lorsqu'il s'agit d'un demandeur dont l'identité et la situation sont connues du prestataire de services de confiance électronique, en raison d'une relation préexistante dans le cadre de laquelle ont été utilisés les moyens d'identification qui y sont établis, si trois ans ne se sont pas écoulés depuis l'identification et s'il est établi que toutes les données sont à jour.

5. Les prestataires de services de confiance électronique sont personnellement responsables des opérations de vérification prévues au présent article, même lorsqu'ils les délèguent à d'autres personnes.

6. Les prestataires de services de confiance électronique qualifiés qui délivrent des certificats électroniques qualifiés doivent enregistrer dans la base de données des certificats électroniques la révocation du certificat électronique dans un délai de dix minutes après que la révocation a pris effet.

7. En ce qui concerne les dispositions du paragraphe 6, les prestataires de services de confiance électronique qualifiés qui délivrent des certificats électroniques qualifiés doivent fournir à toute partie utilisatrice des informations sur le statut de validité ou de révocation des certificats électroniques qualifiés qu'ils ont délivrés. Ces informations doivent être disponibles à tout moment, au moins pour chaque certificat électronique, sous une forme automatisée qui soit fiable, gratuite et efficace.

8. Le Gouvernement peut établir des numéros de référence de normes pour des systèmes et des produits dignes de confiance électronique. Le respect des conditions requises établies par le présent article est présumé lorsque les systèmes et produits très sûrs sont conformes à ces normes.

Article 27.

Conditions requises de sécurité applicables aux prestataires de services de confiance électronique

1. Les prestataires de services de confiance électronique doivent adopter les mesures techniques et organisationnelles appropriées pour gérer les risques liés à la sécurité des services de confiance électronique qu'ils fournissent. Compte tenu de l'état de la technique, ces mesures doivent garantir un niveau de sécurité adapté au degré de risque. En particulier, ils doivent adopter des mesures pour prévenir et réduire au minimum l'impact des incidents de sécurité et informer les intéressés des effets négatifs de tout incident. Sans préjudice des dispositions de l'article 35, tout prestataire de services de confiance électronique peut présenter à l'organisme de contrôle le rapport d'un audit de sécurité réalisé par un organisme indépendant reconnu afin de confirmer que les mesures de sécurité appropriées ont été prises.

2. Les prestataires de services de confiance électronique qui s'adressent au public et ceux qui sont qualifiés doivent notifier à l'organisme de contrôle compétent, dans les meilleurs délais et de préférence dans un délai de 24 heures après en avoir pris connaissance, toute atteinte à la sécurité ou perte d'intégrité dans le service de confiance électronique fourni et dans les données personnelles correspondantes. L'organisme de contrôle peut informer le public de l'atteinte à la sécurité ou de la perte d'intégrité dans le service de confiance électronique fourni et dans les données personnelles correspondantes, ou exiger du prestataire de services de confiance électronique qu'il le fasse, s'il considère que la divulgation de l'atteinte à la sécurité est d'intérêt public.

3. Aux fins de l'application des paragraphes 1 et 2, l'organisme de contrôle compétent est habilité à donner des instructions contraignantes aux prestataires de services de confiance électronique.

4. Les prestataires de services de confiance peuvent recourir à des systèmes de technologie de registre distribué dans la fourniture des services. Lorsque le service de confiance est qualifié, s'il repose sur des systèmes de technologies de registre distribué, les prestataires doivent utiliser exclusivement des réseaux constitués de nœuds qualifiés.

Article 28.

Protection des données personnelles

1. Le traitement des données personnelles dont les prestataires de services de confiance électronique ont besoin pour l'exercice de leur activité est soumis à la législation en vigueur en matière de protection des données personnelles.

2. Les données personnelles requises par le prestataire de services de confiance électronique doivent être celles strictement nécessaires à la prestation d'un service de confiance électronique.

3. Les prestataires de services de confiance électronique doivent garantir la confidentialité et l'intégrité des données relatives à la personne physique concernée par la prestation d'un service de confiance électronique.

4. Les prestataires de services de confiance électronique peuvent procéder à une cession légale de données à un autre prestataire de services de confiance électronique, en cas de cessation d'activité, ou au Gouvernement, conformément à la législation sur la protection des données personnelles.

5. Les prestataires de services de confiance électronique peuvent inscrire dans les certificats électroniques un pseudonyme au lieu du nom d'une personne physique. Dans ce cas, ils doivent identifier la personne physique liée au pseudonyme.

Article 29.

Déclaration des pratiques de confiance électronique

1. Les prestataires de services de confiance électronique doivent élaborer une déclaration préalable des pratiques de confiance électronique dans laquelle doivent figurer les obligations et les garanties auxquelles ils s'engagent en relation avec la gestion des services de confiance électronique et des données impliquées dans ces mêmes services, les conditions applicables aux demandes, à l'utilisation, à la suspension de la validité et à l'extinction, les mesures de sécurité applicables, ainsi que les autres données et informations établies en relation avec chaque service de confiance électronique.

2. Le prestataire de services de confiance électronique doit rendre publique, au moins par voie électronique, la déclaration des pratiques de confiance électronique, de manière gratuite et en accès libre.

Article 30.

Assurance de responsabilité civile

1. Les prestataires de services de confiance électronique doivent avoir souscrit une assurance de responsabilité civile. Le montant minimal de l'assurance de responsabilité civile des prestataires de services de confiance électronique qui s'adressent au public et de ceux qui sont qualifiés est de six cent mille euros afin de garantir la couverture des dommages et préjudices qu'ils peuvent causer en raison de leur activité.

2. Le Gouvernement peut, par décret, modifier le montant de cette garantie et également établir d'autres formules alternatives de garantie pour remplacer tout ou partie de l'assurance.

Article 31.

Cessation de l'activité de prestation de services de confiance électronique

1. La cessation de l'activité de prestation de services de confiance électronique requiert la communication aux utilisateurs de ses services, avec un préavis minimal de deux mois avant la fin de l'activité.

2. Le prestataire qui cesse l'activité de prestation peut transférer, avec le consentement exprès des utilisateurs, les services et les informations associées encore en vigueur à un autre prestataire de services qui les reprend ou, à défaut, en éteindre la validité et rembourser aux utilisateurs la part proportionnelle à la période de validité restante du service.

3. Le prestataire doit également communiquer sa décision de cesser l'activité de prestation à l'entité publique ou privée accréditée par le Gouvernement qui exerce les fonctions d'entité d'accréditation dans le même délai que celui prévu au paragraphe 1. Dans cette communication, il doit déclarer s'il transfère la gestion à un autre prestataire de services ou s'il éteint la validité des certificats électroniques.

4. Le prestataire doit garantir, pendant une période de quatre ans à compter du moment où il cesse de fournir les services de confiance électronique, la disponibilité d'un service de consultation sur la validité des certificats électroniques éteints.

5. Si le prestataire ne transfère pas l'activité de prestation de services à un autre prestataire, le Gouvernement doit prendre en charge les informations d'identification ou la consultation, une fois l'activité de certification cessée, afin de garantir la conservation des données.

Article 32.

Responsabilité

1. Les prestataires de services de confiance électronique sont responsables des dommages et préjudices causés à toute personne, y compris le manque à gagner, en raison du manquement aux obligations établies par la présente Loi, sauf s'ils peuvent prouver qu'ils ont agi avec la diligence requise.

2. Les prestataires de services de confiance électronique ne sont pas responsables des dommages et préjudices ni du manque à gagner occasionnés à l'utilisateur de services de confiance électronique, aux destinataires des services ou aux tiers de bonne foi, lorsque ces dommages et préjudices résultent du manquement aux devoirs de l'utilisateur de services de confiance électronique, des destinataires des services, ou du tiers de bonne foi qui se fie au document signé électroniquement, conformément aux dispositions des articles 14 et

15. Pour invoquer cette exonération de responsabilité, le prestataire de services de confiance électronique doit prouver qu'il a agi avec la diligence requise.

3. Lorsqu'un prestataire de services de confiance électronique informe dûment et préalablement ses clients des limitations de l'utilisation des services qu'il fournit et que ces limitations sont identifiables par un tiers, le prestataire de services de confiance électronique n'est pas responsable des préjudices résultant d'une utilisation des services qui dépasse les limitations indiquées.

4. Dans le cas où le prestataire de services de confiance électronique a fait l'objet de l'une des sanctions accessoires prévues à l'article 41.1.b), ou de la mesure conservatoire établie à l'article 43.a), il doit :

a) Notifier la suspension à tous les utilisateurs de ses certificats électroniques, en indiquant la date de début et la date de fin de celle-ci.

b) Consigner la suspension dans le certificat électronique, en indiquant la date de début et la date de fin de celle-ci.

Article 33.

Supervision et contrôle

1. Le Gouvernement doit contrôler que les prestataires de services de confiance électronique qui s'adressent au public et ceux qui sont qualifiés respectent les obligations établies par la présente Loi. À cette fin, le Gouvernement peut mener les actions de contrôle fiscal nécessaires. Le Gouvernement désigne l'entité publique ou privée qui exerce les fonctions d'entité d'accréditation comme organe de contrôle, laquelle jouit de toutes les compétences de supervision et d'enquête nécessaires à l'exercice de ses fonctions.

2. L'organe de contrôle est responsable de l'accomplissement des tâches suivantes :

a) Se charger de la supervision des prestataires de services de confiance électronique visés au paragraphe 1 établis en Andorre, et des services de confiance électronique qu'ils fournissent, au moyen d'activités de supervision a priori et a posteriori, afin de garantir qu'ils remplissent les conditions requises applicables établies par la présente Loi.

b) Garantir que les informations et les données pertinentes visées à l'article 26.1, lettre e), enregistrées par les prestataires de services de confiance électronique visés au paragraphe 1, sont conservées et accessibles, en cas de cessation des activités d'un prestataire de services de confiance électronique qualifié, pendant la période visée à l'article 26.1.e).

3. L'organe de contrôle doit présenter chaque année au Gouvernement un rapport sur les activités de supervision correspondant à l'année civile précédente avant la fin du premier trimestre de l'année suivante. Ce rapport doit comprendre, au minimum :

a) Des informations détaillées sur ses activités de supervision.

b) Un résumé des notifications de violations reçues des prestataires de services de confiance électronique, conformément à l'article 27.2.

c) Des statistiques sur le marché et l'utilisation des services de confiance électronique, y compris les informations sur les prestataires de services de confiance électronique visés au paragraphe premier, les services de confiance électronique qu'ils fournissent, les produits qu'ils utilisent et la description générale de leurs clients.

4. Les fonctionnaires désignés par l'organe de contrôle pour effectuer les contrôles ont la qualité d'agents de l'autorité dans l'exercice de leurs fonctions.

Article 34.

Devoir d'information et de collaboration

1. Les prestataires de services de confiance électronique visés à l'article 33.1 ont le devoir de fournir à l'organe de contrôle toutes les informations et toute la collaboration qu'il leur demande pour l'exercice de ses fonctions.

2. En particulier, les prestataires de services de confiance électronique visés à l'article 33.1 doivent communiquer au début de leur activité, et mettre à jour selon la périodicité fixée par règlement, leurs données d'identification, les caractéristiques des services qu'ils fournissent, les accréditations et les certifications obtenues pour leurs services et les autres données nécessaires présentant un intérêt pour le public qui sont fixées par voie réglementaire. Ces informations peuvent faire l'objet d'une publication sur le site web de l'organe de contrôle des prestataires de services de confiance électronique afin de leur assurer la plus large diffusion et connaissance.

3. Les prestataires de services de confiance électronique visés à l'article 33.1 doivent permettre aux inspecteurs l'accès à leurs installations et la consultation de toute la documentation qu'ils jugent pertinente pour pouvoir mener à bien efficacement leur mission de contrôle. Lors des contrôles, les inspecteurs peuvent être accompagnés des personnes qu'ils jugent nécessaires.

Article 35.

Supervision des prestataires de services de confiance électronique

1. Les prestataires de services de confiance électronique visés à l’article 33.1 doivent être audités annuellement par un organisme indépendant reconnu afin de confirmer qu’eux-mêmes ainsi que les services de confiance électronique qu’ils fournissent satisfont aux conditions requises établies par la présente Loi. Ce rapport d’audit de sécurité doit être présenté sans retard injustifié à l’organisme de supervision.

2. Sans préjudice des dispositions du paragraphe 1, l’organisme de supervision peut, à tout moment, de sa propre initiative ou en réponse à une demande du Gouvernement, auditer les prestataires de services de confiance électronique visés à l’article 33.1, afin de confirmer qu’eux-mêmes ainsi que les services de confiance électronique continuent de remplir les conditions établies par la présente Loi. L’organisme de supervision doit informer l’Agence andorrane de protection des données des résultats de ses audits lorsque la législation en vigueur en matière de protection des données à caractère personnel a été enfreinte.

3. L’organisme de supervision est habilité à donner des instructions contraignantes aux prestataires de services de confiance électronique visés à l’article 33.1 afin de corriger tout manquement aux conditions requises figurant dans le rapport d’audit de sécurité. Si le prestataire de services de confiance électronique qualifiés mis en demeure ne remédie pas à ce manquement dans le délai fixé par l’organisme de supervision, il perd sa qualification, sans préjudice des sanctions qu’il convient, le cas échéant, d’imposer en cas d’infraction à la présente législation.

Article 36.

Lancement d’un service de confiance électronique

1. Les prestataires de services de confiance électronique visés à l’article 33.1 doivent notifier à l’organisme de supervision leur intention de commencer à fournir un service de confiance électronique, et doivent lui présenter un rapport d’audit de sécurité établi par un organisme indépendant reconnu, conformément aux dispositions de l’article 35.

2. Dès que les prestataires de services de confiance électronique visés à l’article 33.1 peuvent commencer à fournir le service de confiance électronique, ils doivent être inscrits sur les listes de confiance électronique visées à l’article 37, et cette circonstance doit y être indiquée.

3. L’organisme de supervision vérifie la conformité du prestataire de services de confiance électronique et des services de confiance électronique qualifiés qu’il fournit aux conditions requises de la Loi. L’organisme de supervision indique le statut qualifié des prestataires de services qualifiés et des services de confiance électronique qualifiés qu’il fournit sur les listes de confiance électronique après que la vérification s’est conclue positivement, au plus tard un mois après la notification effectuée conformément au paragraphe 1. Si la vérification n’est pas achevée dans le délai d’un mois, l’organisme de supervision en informe le prestataire de services de confiance électronique en précisant les motifs du retard et le délai prévu pour achever la vérification.

Article 37.

Listes de confiance électronique

1. Le Gouvernement établit, tient à jour et publie des listes de confiance électronique contenant des informations relatives aux prestataires de services de confiance électronique, ainsi que les informations relatives aux services de confiance électronique qualifiés fournis par les prestataires.

2. Le Gouvernement établit, tient à jour et publie, de manière sécurisée, les listes de confiance électronique signées ou scellées électroniquement prévues au paragraphe 1 sous une forme adaptée au traitement automatisé.

3. La mise à la disposition du public des informations susmentionnées s’effectue au moyen d’un canal sécurisé, sous une forme signée ou scellée électroniquement adaptée au traitement automatisé.

Article 38.

Certification des services de confiance électronique qualifiés Il est possible d’obtenir une certification de la conformité aux conditions requises applicables aux services de confiance électronique qualifiés, au moyen d’une procédure par laquelle l’entité publique ou privée accréditée par le Gouvernement qui exerce les fonctions d’entité d’accréditation émet une proposition non contraignante, indépendante et objective au Gouvernement après les vérifications appropriées. La certification est délivrée par le Gouvernement et présuppose que le service de confiance électronique certifié est qualifié.

Article 39.

Infractions

1. Les infractions à la présente Loi sont classées en légères, graves et très graves.

2. Constitue une infraction légère le manquement, de la part des prestataires de services de confiance électronique, aux obligations légales non mentionnées aux paragraphes suivants.

3. Constituent des infractions graves :

a) La fourniture d’un service de confiance électronique qualifié en violation de l’une des obligations établies à l’article 26, lorsque le fait ne constitue pas une infraction très grave.

b) La fourniture d’un service de confiance électronique, qualifié ou non, en violation de l’une des obligations établies aux articles 27, 29, 30 et 31.

c) La fausse allégation de conformité à des normes techniques applicables aux produits et services de confiance électronique.

d) La résistance, l’obstruction, l’excuse ou le refus injustifié opposés à l’action d’inspection de l’entité publique ou privée accréditée par le Gouvernement qui exerce les fonctions d’entité d’accréditation.

e) Le non-respect des décisions rendues par l’organe compétent pour garantir que le prestataire de services se conforme à la présente Loi.

f) La récidive dans la commission de deux infractions légères, même si elles sont de nature différente, pour autant qu’elles soient commises dans un délai de deux ans à compter de la première et que leur auteur ait été sanctionné pour celle-ci.

4. Constituent des infractions très graves :

a) La délivrance de certificats électroniques qualifiés de tout type sans effectuer les vérifications préalables établies à l’article 26.

b) La fourniture d’un service de confiance électronique qualifié en violation de l’une des obligations établies à l’article 26 lorsque des dommages ou préjudices ont été causés aux utilisateurs ou lorsque la sécurité du service de confiance électronique a été gravement affectée.

c) La fausse allégation de certifications de services et produits de confiance électronique.

d) La récidive dans la commission de deux infractions graves, même si elles sont de nature différente, pour autant qu’elles soient commises dans un délai de deux ans à compter de la première et que leur auteur ait été sanctionné pour celle-ci.

Article 40.

Compétence et procédure de sanction

1. L'organisme de supervision est compétent pour décider l'ouverture des dossiers de sanction et pour désigner un instructeur, qui peut être l'un de ses membres. La décision sur les dossiers incombe au ministre compétent en matière de commerce lorsqu'il s'agit d'infractions légères, et au Gouvernement lorsqu'il s'agit d'infractions graves ou très graves.

2. Le pouvoir de sanction prévu dans ce chapitre doit s'exercer conformément à la réglementation qui régit l'action de l'Administration générale, avec les spécificités prévues par la présente Loi.

3. Dans le cas d'infractions graves et très graves, la décision de sanction doit être publiée au Bulletin officiel de la Principauté d'Andorre, sans préjudice de la possibilité de la publier également sur les pages web du Gouvernement ou sur celle de l'organisme de supervision.

Article 41.

Sanctions

1. Les sanctions pour les infractions établies à l'article 39 sont les suivantes :

a) Les infractions légères sont sanctionnées d'une amende pouvant aller jusqu'à 50.000 euros.

b) Les infractions graves sont sanctionnées d'une amende de 50.001 à 100.000 euros. En outre, les sanctions accessoires suivantes peuvent également être imposées :

• Suspension de l'exercice de l'activité de prestation de services de confiance électronique en Andorre, pour un délai maximal de deux ans.
• Suspension de la validité des certificats électroniques émis par le prestataire de services faisant l'objet de la sanction, pour un délai maximal de deux ans, avec le remboursement aux utilisateurs de la partie proportionnelle à la période de validité des certificats électroniques affectés par la sanction.

c) Les infractions très graves sont sanctionnées d'une amende de 100.001 à 400.000 euros. En outre, les sanctions accessoires suivantes peuvent également être imposées :

• Interdiction et cessation définitives de l'exercice de l'activité de prestation de services de confiance électronique en Andorre.
• Extinction de tous les certificats électroniques émis par le prestataire de services sanctionné, avec le remboursement aux utilisateurs de la partie proportionnelle à la période de validité restante des certificats électroniques affectés.

2. De même, le Gouvernement doit publier au Bulletin officiel de la Principauté d'Andorre, sur sa page web, les données relatives à la suspension ou à l'extinction établies au paragraphe 1, en indiquant :

a) Le prestataire de services faisant l'objet de la sanction.

b) Les certificats électroniques du prestataire faisant l'objet de la sanction.

c) La nature de la sanction imposée (suspension ou extinction).

d) En cas d'extinction, la date à partir de laquelle les certificats électroniques du prestataire de services affectés cessent d'être valides. La date d'extinction de la validité des certificats électroniques faisant l'objet de la sanction ne peut jamais être antérieure à la date de publication de la sanction sur la page web de l'organisme de supervision.

e) En cas de suspension, la date de début de la suspension et la date de fin à partir de laquelle les certificats électroniques produisent à nouveau les effets juridiques reconnus par la présente Loi. La date de début de la suspension ne peut jamais être antérieure à la date de publication de la sanction sur la page web de l'organisme de supervision.

3. L'accès aux informations indiquées au paragraphe 2 doit toujours être libre et gratuit.

Article 42.

Graduation du montant des sanctions Le montant des sanctions, dans les limites indiquées, est gradué en tenant compte des circonstances suivantes :

a) La répercussion sociale de l'infraction commise et le nombre d'utilisateurs affectés.

b) La récidive ou la réitération.

c) L'existence ou l'absence d'intentionnalité.

d) Le montant et la nature des préjudices causés.

e) Le bénéfice que l'infraction a procuré à l'auteur de l'infraction. Dans ce cas, la sanction ne peut être inférieure au bénéfice obtenu.

Article 43.

Mesures conservatoires Dans les procédures relatives à des infractions graves ou très graves, l'organisme de supervision chargé d'instruire le dossier peut adopter les mesures conservatoires qu'il juge nécessaires pour éviter le maintien des effets de l'infraction et pour assurer l'efficacité de la décision qui sera rendue. Il peut notamment adopter les mesures suivantes :

a) La suspension temporaire de l'activité du prestataire de services de confiance électronique et, le cas échéant, la fermeture temporaire de l'établissement.

b) La mise sous scellés, le dépôt ou la confiscation de registres, supports et fichiers informatiques et de documents en général, ainsi que d'appareils et d'équipements informatiques.

c) L'avertissement du public de l'existence de possibles comportements constitutifs d'infraction, de l'ouverture du dossier de sanction et des mesures conservatoires adoptées.

d) La suspension de la validité des certificats électroniques affectés.

Article 44.

Prescription

1. Les infractions légères se prescrivent par un an à compter de la date de leur commission, les graves par deux ans et les très graves par trois ans.

2. Les sanctions se prescrivent par trois ans à compter de la date de notification de la décision de sanction devenue définitive.

Disposition abrogatoire Sont.

abrogées toutes les dispositions de rang égal ou inférieur à la présente Loi qui lui sont incompatibles et, en particulier, la Loi 6/2009 , du 29 décembre, de signature électronique, le Décret du 2-06-2010 portant approbation du Règlement d'organisation et de fonctionnement de la Commission nationale d'accréditation et le Décret du 2-06-10 portant approbation du Règlement d'accréditation des prestataires de services de certification dans le cas de la signature électronique qualifiée ou reconnue.

Disposition finale La.

présente Loi entrera en vigueur trois mois après sa publication au Bulletin officiel de la Principauté d'Andorre.