Article 26

Article 26.

Conditions requises pour les prestataires de services de confiance électronique qualifiés

1. Les prestataires de services de confiance électronique qualifiés qui souhaitent fournir des services de confiance électronique qualifiés :

a) Doivent informer toute personne souhaitant utiliser un service de confiance électronique qualifié des conditions nécessaires relatives à l'utilisation de ce service.

b) Doivent utiliser des systèmes et des produits sûrs qui soient protégés contre toute altération et qui garantissent la sécurité et la fiabilité techniques des processus qu'ils prennent en charge.

c) Doivent utiliser des systèmes sûrs pour stocker les données qui leur sont fournies, sous une forme vérifiable, de manière que :

• Elles ne soient mises à la disposition du public pour consultation que lorsque le consentement de la personne à laquelle les données ont été délivrées a été obtenu.
• Seules des personnes autorisées puissent y apporter des annotations et des modifications.
• L'authenticité des informations puisse être vérifiée.

d) Doivent prendre des mesures contre la falsification et le vol de données.

e) Doivent enregistrer, pendant une période minimale de quinze ans à compter de la fin de la validité du service fourni, toutes les informations pertinentes concernant les données qu'ils ont générées et reçues, en particulier celles qui servent de preuve dans les procédures légales. Cette activité d'enregistrement peut être effectuée par voie électronique.

f) Doivent disposer d'un plan de cessation d'activité actualisé afin de garantir la continuité du service, conformément aux dispositions de l'organe de contrôle, en application de l'article 33.2.b).

g) Doivent garantir un traitement licite des données à caractère personnel conformément à l'article 28.

2. Lorsqu'il délivre un certificat électronique qualifié, le prestataire de services de confiance électronique qualifié doit vérifier de manière probante l'identité et, le cas échéant, tout autre attribut spécifique de la personne physique ou morale à laquelle il délivre le certificat électronique qualifié, au moyen de la présentation des documents publics ou privés qui les attestent de manière suffisante. Ces informations doivent être vérifiées par le prestataire de services qualifié ou par un tiers autorisé agissant sous la responsabilité du prestataire de services qualifié :

a) en présence de la personne physique ou d'un représentant autorisé de la personne morale, ou

b) à distance, au moyen d'autres certificats électroniques qualifiés émis par un prestataire de services qualifié, ou

c) à distance, au moyen de moyens d'identification électronique pour lesquels, avant l'émission du certificat qualifié, la personne physique ou un représentant autorisé de la personne morale s'est présenté en personne et qui satisfont aux conditions requises prévues à l'article 8 en ce qui concerne les niveaux de garantie substantiel et élevé, ou

d) au moyen d'autres méthodes d'identification reconnues au niveau national qui fournissent une garantie équivalente en termes de fiabilité personnelle. La garantie équivalente est confirmée par un organisme d'évaluation de la conformité.

e) Les systèmes de visioconférence sont également admis si les conditions requises prévues au présent article et celles qui peuvent être développées par voie réglementaire sont remplies, en ce qui concerne les niveaux de garantie nécessaires.

3. Lorsqu'il s'agit de certificats électroniques émis à des personnes physiques mais qui ont un lien avec une organisation, une entité, une institution, une société ou une autre personne morale, les prestataires de services de confiance électronique doivent vérifier, outre l'identité du demandeur et de la personne identifiée dans le certificat électronique, les données relatives à la constitution et à la personnalité juridique de l'entité, ainsi qu'à l'étendue et à la validité des facultés ou des pouvoirs de représentation du demandeur, au moyen des documents publics qui les attestent de manière probante ou de la consultation du registre public pertinent, lorsqu'il s'agit de données qui doivent y figurer.

4. Il n'y a pas lieu d'appliquer les dispositions des paragraphes 2 et 3 lorsqu'il s'agit d'un demandeur dont l'identité et la situation sont connues du prestataire de services de confiance électronique, en raison d'une relation préexistante dans le cadre de laquelle ont été utilisés les moyens d'identification qui y sont établis, si trois ans ne se sont pas écoulés depuis l'identification et s'il est établi que toutes les données sont à jour.

5. Les prestataires de services de confiance électronique sont personnellement responsables des opérations de vérification prévues au présent article, même lorsqu'ils les délèguent à d'autres personnes.

6. Les prestataires de services de confiance électronique qualifiés qui délivrent des certificats électroniques qualifiés doivent enregistrer dans la base de données des certificats électroniques la révocation du certificat électronique dans un délai de dix minutes après que la révocation a pris effet.

7. En ce qui concerne les dispositions du paragraphe 6, les prestataires de services de confiance électronique qualifiés qui délivrent des certificats électroniques qualifiés doivent fournir à toute partie utilisatrice des informations sur le statut de validité ou de révocation des certificats électroniques qualifiés qu'ils ont délivrés. Ces informations doivent être disponibles à tout moment, au moins pour chaque certificat électronique, sous une forme automatisée qui soit fiable, gratuite et efficace.

8. Le Gouvernement peut établir des numéros de référence de normes pour des systèmes et des produits dignes de confiance électronique. Le respect des conditions requises établies par le présent article est présumé lorsque les systèmes et produits très sûrs sont conformes à ces normes.