Le Code du numérique en 5 minutes

Le Code du numérique de la République Démocratique du Congo est une ordonnance-loi promulguée le 13 mars 2023. L'article 1er en fixe le champ : il s'applique aux activités et services numériques, aux écrits et outils électroniques, aux contenus numériques, ainsi qu'à la sécurité et à la protection pénale des systèmes informatiques. Il fixe en outre le régime fiscal, parafiscal, douanier et de change applicable au secteur.

Avant lui, le numérique congolais relevait de textes épars. Ce Code réunit ces matières dans un corps unique, auquel les autres textes renvoient désormais.

L'article 2 définit les mots employés dans tout le texte : accès, adresse, donnée, système informatique, prestataire, contenu illicite, et des dizaines d'autres.

Ce n'est pas un détail. En droit pénal, la définition décide de la condamnation. Savoir ce que le Code entend exactement par « accès » ou par « système informatique » détermine si un comportement tombe ou non sous le coup de la loi. Quand une notion vous échappe dans un article, c'est à l'article 2 qu'il faut revenir.

Le premier livre organise le secteur. Il institue l'Autorité de Régulation du Numérique, établissement public placé sous la tutelle du ministre ayant le numérique dans ses attributions, chargée de réguler les activités et services, de veiller à l'équité des prix et à la qualité des services rendus.

Il distingue surtout deux régimes. L'autorisation préalable, pour les centres de données, les services de confiance qualifiés et les services numériques essentiels. La simple déclaration, pour les serveurs cache, les points d'échange Internet et le développement d'applications. C'est la première question à trancher avant de lancer une activité.

Il impose enfin aux fournisseurs de publier et tenir à jour, de façon accessible, leurs services, leurs tarifs et leurs conditions générales.

Le deuxième livre répond à une question simple : à quelles conditions un document électronique vaut-il autant qu'un document papier ?

Pour l'archivage, l'article 42 pose trois exigences : l'information doit rester accessible et consultable, le document doit être conservé dans la forme où il a été créé ou reçu, et son origine, sa destination et sa date doivent pouvoir être identifiées. Un fichier illisible ou sans traçabilité ne satisfait pas à l'exigence de conservation.

Pour la signature, l'article 108 est décisif : la signature électronique qualifiée, liée à un certificat qualifié, a la même force probante que la signature manuscrite. L'article 110 précise ce qui la qualifie — un procédé fiable d'identification qui rende détectable toute modification ultérieure de l'acte. Une image de signature collée dans un fichier ne remplit aucune de ces conditions.

Le troisième livre est le plus proche de la vie quotidienne. Il régit le traitement des données personnelles et la responsabilité des intermédiaires.

L'article 192 en est le pivot : un traitement n'est licite que si la personne concernée y a consenti, ou s'il est nécessaire au respect d'une obligation légale pesant sur le responsable du traitement. Sans l'un ou l'autre, le traitement est illicite, quel qu'en soit l'intérêt.

L'article 201 pose que les données personnelles sont stockées ou hébergées en République Démocratique du Congo, le transfert vers l'étranger n'étant admis que dans les cas qu'il prévoit. L'article 219 oblige à tenir les données à jour. L'article 262 crée l'Autorité de protection des données, chargée de contrôler le respect de ces règles.

Le même livre traite de l'hébergement : l'article 293 fait dépendre la responsabilité de l'hébergeur de la connaissance qu'il a du caractère illicite d'un contenu, et de ce qu'il fait une fois cette connaissance acquise.

Le quatrième livre est le plus volumineux, avec cent douze articles. C'est le versant pénal du Code.

L'article 332 en est l'infraction de base : accéder ou se maintenir frauduleusement et sans droit dans tout ou partie d'un système informatique, avec une intention frauduleuse, est puni de trois à cinq ans de servitude pénale et d'une amende de cinquante à cent millions de francs congolais. Le maintien compte autant que l'accès : rester dans un système où l'on n'a plus le droit d'être suffit.

L'article 335 institue une infraction distincte pour le transfert de données personnelles sans autorisation. L'article 356 réprime la diffusion de contenus racistes ou xénophobes par un système informatique. L'article 371 prévoit la peine la plus lourde du Code, de cinq à quinze ans, lorsque l'infraction profite à un gouvernement ou à une entreprise étrangère.

Le cinquième livre, court, porte les dispositions diverses, transitoires, abrogatoires et finales. L'article 390 fixe l'entrée en vigueur à la date de promulgation.

Retenez trois choses. D'abord, ce Code vous concerne, que vous vendiez en ligne, que vous traitiez des données ou que vous soyez simplement titulaire d'un compte. Ensuite, la définition précède toujours la règle : revenez à l'article 2. Enfin, le portail vous conduit à l'article, mais ne se substitue pas à un professionnel du droit pour une situation qui vous engage.