Article 144

Le prestataire de services de confiance qualifié doit : 1. informer l’Autorité Nationale de Certification Électronique de toute modification dans la fourniture de ses services de confiance qualifiés et de son intention éventuelle de cesser ses activités ; 2. démontrer qu’il dispose des moyens techniques fiables en vue de fournir les services de confiance qualifiée en toute sécurité ; 3. assurer le fonctionnement d’un service d’annuaire rapide et sûr et d’un service de révocation sûr et immédiat ; 4. veiller à ce que la date et l’heure d’émission et de révocation d’un certificat puissent être déterminée avec précision ; 5. prendre des mesures contre la contrefaçon des certificats et, dans les cas où le prestataire de services de confiance génère des données afférentes à la création de signature ou de cachet électroniques, garantir la confidentialité au cours du processus de génération de ces données ; 6. souscrire à une police d’assurance garantissant les dommages susceptibles d’être causés dans l’exercice de cette activité ; 7. employer un personnel disposant de l’expertise, de l’expérience et des qualifications nécessaires en matière de sécurité des réseaux et systèmes informatiques ; 8. informer les utilisateurs de services de confiance qualifiés, de manière claire, exhaustive et avant toute relation contractuelle, sur les conditions précises d’utilisation du service, y compris les limites à son utilisation, les procédures de réclamation et de règlement des litiges. Cette information peut être transmise par voie électronique et doit être aisément compréhensible. Des éléments pertinents de cette information doivent également, sur demande, être mis à la disposition de tiers qui se prévalent du certificat ; 9. utiliser des systèmes et équipements fiables, protégés contre les risques de modifications et assurant la sécurité technique des processus pris en charge ; 10. utiliser des systèmes fiables de stockage des données qui lui sont communiquées, sous une forme vérifiable de sorte que : - les données ne soient publiquement disponibles pour des traitements qu’après avoir obtenu le consentement de la personne concernée ; - seuls les responsables de traitement puissent introduire des données et modifier les données conservées ; - l’authenticité des données puisse être vérifiée. 11. prendre les mesures appropriées contre la falsification, le piratage et le vol de données ; 12. enregistrer, conserver et maintenir accessibles pour une durée d’utilité administrative fixée dans un calendrier de conservation des archives, y compris après la cessation des activités du prestataire de services de confiance qualifié, toutes les informations pertinentes concernant les données envoyées et reçues par le prestataire de services de confiance qualifié, notamment à des fins probatoires et de continuité du service ; 13. disposer d’un plan actualisé d’arrêt d’activités afin d’assurer la continuité du service ; 14. assurer le traitement licite des données à caractère personnel conformément aux dispositions de la présente ordonnance-loi ; 15. établir, rendre public et tenir à jour une base de données des certificats octroyés ; 16. s’assurer que les certificats ne sont disponibles au public que dans les cas où le titulaire du certificat a donné son consentement ; 17. souscrire à une police d’assurance responsabilité civile.