Les articles 35 à 37
Le Fournisseur de services numériques est toute personne physique ou morale opérant dans le secteur des activités et services numériques et pendant longtemps, un fournisseur numérique pouvait être perçu comme un simple intermédiaire technique.
Le Code du numérique adopte une approche beaucoup plus exigeante.
Le fournisseur n'est plus uniquement celui qui met un service à disposition.
Il devient progressivement :
- Un acteur de confiance ;
- Un acteur de sécurité ;
- Un acteur de conformité.
Les articles 35 à 37 illustrent parfaitement cette évolution.
Ils ne lui demandent pas seulement de fournir un service.
Ils lui imposent également de protéger certains intérêts d'ordre public.
Ce que prévoit exactement le Code
Article 35
Le fournisseur de services numériques a l’obligation de garantir l’accès aux services d’urgence conformément aux règles applicables et dans les conditions précisées par l’Autorité de Régulation du Numérique.
L’accès à ces services dans les zones couvertes par les activités du fournisseur ne peut souffrir d’aucune limitation.
Article 36
Le fournisseur de services numériques ne peut utiliser leurs infrastructures ou sciemment en permettre l’utilisation à des fins contraires aux dispositions légales et réglementaires en vigueur.
Il est tenu de prendre toutes mesures appropriées pour s’assurer que ses infrastructures ne soient pas utilisées à des fins illégales ou frauduleuses.
Article 37
Sauf en cas de réquisitions judiciaires, le fournisseur de services numériques est tenu aux exigences de confidentialité des données qu’il traite conformément aux dispositions du Livre III de la présente ordonnance-loi.
Ce que cela signifie concrètement
Les trois articles traduisent une idée simple.
Le fournisseur numérique doit désormais protéger trois intérêts distincts :
- L'intérêt général (services d'urgence) ;
- La légalité (lutte contre les usages illicites) ;
- La vie privée (confidentialité).
Autrement dit, exploiter une plateforme numérique ne consiste plus uniquement à maintenir des serveurs en fonctionnement.
Il faut également mettre en place des procédures adaptées.
Analyse juridique
A. Les services d'urgence
Le Code consacre une obligation de continuité au profit des services d'urgence.
Cette disposition s'inscrit dans la logique classique des réseaux de communications électroniques, où certains services essentiels doivent rester accessibles.
Ce que dit le texte
Le fournisseur doit garantir l'accès aux services d'urgence.
Ce que le texte ne dit pas
L'article 35 ne fixe pas lui-même :
- La liste exhaustive des services concernés ;
- Les modalités techniques ;
- Les exigences de disponibilité.
Il convient donc de rechercher ces éléments dans les textes sectoriels applicables.
B. L'utilisation illicite des infrastructures
L'article 36 est souvent mal compris.
Il ne transforme pas automatiquement le fournisseur en responsable de toutes les infractions commises par ses utilisateurs.
Le texte utilise une formule importante :
Permettre sciemment.
Autrement dit, la connaissance de l'usage illicite joue un rôle essentiel.
Il serait donc inexact d'affirmer que tout fournisseur devient responsable du simple fait qu'un utilisateur commet une infraction sur son infrastructure.
La responsabilité dépendra notamment :
- Du texte applicable ;
- Du niveau de connaissance ;
- Des mesures effectivement prises.
C. La confidentialité
L'article 37 protège les données traitées par le fournisseur.
Cette obligation ne concerne pas uniquement les données personnelles.
Le texte vise plus largement les informations auxquelles le fournisseur accède dans le cadre de son activité.
Le Livre III viendra ensuite préciser le régime spécifique applicable aux données personnelles.
5. Analyse scientifique
Ces dispositions traduisent une évolution largement observée à l'échelle internationale.
Le fournisseur numérique n'est plus seulement un prestataire technique.
Il devient progressivement :
- Un acteur de cybersécurité ;
- Un acteur de confiance ;
- Un acteur de gouvernance des données.
Cette évolution accompagne :
- La multiplication des cyberattaques ;
- L'importance croissante des infrastructures numériques critiques ;
- Le développement des plateformes.
Elle rejoint également les grandes tendances internationales visant à renforcer les obligations des fournisseurs tout en évitant de leur imposer une responsabilité générale de surveillance.
Analyse technique
A. Garantir les services d'urgence
Selon le type de fournisseur, cela peut impliquer :
- La disponibilité de certains services ;
- Des mécanismes de redondance ;
- Une architecture résiliente.
Le Code ne détaille toutefois pas les solutions techniques à mettre en œuvre.
B. Prévenir les usages illicites
Les mesures peuvent notamment comprendre :
- La surveillance des incidents de sécurité ;
- Des procédures internes de signalement ;
- La conservation des journaux techniques lorsque la loi l'impose ;
- Des mécanismes de suspension ou de limitation lorsqu'une utilisation illicite est légalement constatée.
Cette liste constitue une bonne pratique technique.
C. Garantir la confidentialité
Sur le plan technique, cette obligation peut notamment conduire à utiliser :
- Des contrôles d'accès ;
- Le chiffrement ;
- La journalisation des accès ;
- Des politiques de gestion des privilèges ;
- Des mesures organisationnelles limitant l'accès aux données.
L'article 37 n'impose cependant aucune technologie particulière.
Cas pratique
Une entreprise congolaise exploite une plateforme d'hébergement.
Elle découvre qu'un utilisateur héberge un site utilisé pour diffuser des campagnes massives de fraude.
En parallèle, plusieurs employés accèdent librement aux fichiers des autres clients sans justification professionnelle.
Première question
Le fournisseur peut-il ignorer la fraude ?
L'article 36 impose de ne pas permettre sciemment l'utilisation des infrastructures à des fins illégales ou frauduleuses.
La découverte d'un tel usage oblige donc le fournisseur à examiner les mesures appropriées prévues par le droit applicable.
Deuxième question
Les employés peuvent-ils consulter librement les données ?
L'article 37 impose une obligation de confidentialité.
Le fournisseur devrait donc limiter l'accès aux seules personnes qui en ont réellement besoin.
Mesures de conformité
Un fournisseur devrait notamment :
- Identifier les services pouvant relever des obligations de continuité ;
- Mettre en place une politique interne de traitement des signalements d'usages illicites ;
- Définir une procédure de coopération avec les autorités compétentes ;
- Limiter les accès aux données ;
- Documenter les accès sensibles ;
- Former les équipes à la confidentialité.
La conformité doit être pensée à la fois comme une exigence juridique et organisationnelle.
Regard critique
Les articles 35 à 37 traduisent un changement profond de philosophie.
Le fournisseur n'est plus considéré comme un simple opérateur technique.
Il devient un acteur participant :
- À la protection de l'ordre public ;
- À la lutte contre la fraude ;
- À la protection de la confidentialité.
Le choix du législateur paraît cohérent.
Toutefois, plusieurs notions demeurent ouvertes.
Par exemple :
- Quelles mesures sont « appropriées » au sens de l'article 36 ?
- Jusqu'où va la connaissance nécessaire pour « permettre sciemment » un usage illicite ?
- Quelles exigences concrètes découlent de l'obligation de confidentialité selon la nature du service ?
Ces questions devront probablement être précisées par la pratique administrative, les décisions du régulateur et la jurisprudence.
Ce qu'il faut retenir
Le fournisseur est-il responsable de toutes les infractions commises par ses utilisateurs ?
Non. L'article 36 ne crée pas une responsabilité générale. Il vise notamment le fait d'utiliser ou de permettre sciemmentl'utilisation des infrastructures à des fins illégales ou frauduleuses.
Les données traitées doivent-elles rester confidentielles ?
Oui. L'article 37 consacre une obligation générale de confidentialité, sous réserve des exceptions prévues par la loi.
Le Code impose-t-il déjà des solutions techniques précises ?
Non. Les articles 35 à 37 posent des obligations générales sans détailler l'ensemble des moyens techniques permettant de les satisfaire.
Existe-t-il des sanctions propres à ces trois articles ?
Le texte n'établit pas de régime autonome de sanction. Les conséquences doivent être recherchées dans les autres dispositions applicables.
Idée essentielle : Le fournisseur numérique n'est plus seulement responsable du fonctionnement de son infrastructure ; il doit également contribuer à la protection de l'intérêt général, de la légalité et de la confidentialité.
📍 Zones desservies par Avocats.cd
Nos avocats partenaires sont disponibles dans toutes les provinces de la RDC :
Provinces : Bas-Uélé • Équateur • Haut-Katanga • Haut-Lomami • Haut-Uélé • Ituri • Kabinda • Kasaï • Kasaï-Central • Kasaï-Oriental • Kinshasa • Kongo-Central • Kwango • Kwilu • Lomami • Lualaba • Lulua • Maï-Ndombe • Maniema • Mongala • Nord-Kivu • Nord-Ubangi • Sankuru • Sud-Kivu • Sud-Ubangi • Tanganyika • Tshopo • Tshuapa
Villes : Bandundu • Baraka • Beni • Boende • Boma • Bukavu • Bumba • Bunia • Buta • Gandajika • Gbadolite • Gemena • Goma • Inongo • Isiro • Kabinda • Kalemie • Kamina • Kananga • Kikwit • Kindu • Kinshasa • Kipushi • Kisangani • Kolwezi • Likasi • Lodja • Lubumbashi • Lusambo • Matadi • Mbandaka • Mbanza-Ngungu • Mbuji-Mayi • Moanda • Mwene-Ditu • Tshikapa • Uvira • Zongo
✍️ Auteur : Me. Timothée MALEMBE AFIKEN – Défenseur judiciaire et Legal Content, Équipe Avocats.cd