مشروع قانون يتعلق بمكافحة جرائم أنظمة المعلومات والاتصال

Titre premier- Dispositions générales

Article premier – La présente loi vise à prévenir et réprimer les infractions des systèmes d’information et de communication et à fixer les dispositions relatives à la collecte des preuves électroniques Les dispositions du code pénal, du code de procédure pénale, du code de justice militaire ainsi que les textes spéciaux sont applicables aux infractions régies par la présente loi sans préjudice des dispositions qui lui sont contraires. Les enfants sont soumis au Code de la protection de l’enfant.

Art. 2 – Aux fins de la présente loi, les expressions suivantes désignent :

• Système informatique : un ensemble de logiciels, outils et dispositifs, isolés ou interconnectés, ou inter liées qui assurent un traitement automatisé de données.
• Données informatiques : toute représentation de faits, d'informations ou de concepts sous une forme qui se prête à un traitement informatique, y compris les logiciels permettant à un système informatique d’exécuter une fonction précise
• Fournisseur de services de communication : toute entité publique ou privée fournissant un service de télécommunication y compris les services d’Internet au sens du code des télécommunications.
• Trafic de communication ou données d’accès : des données produites par un système informatique indiquent l’origine, la destination, l’itinéraire, l’heure, la date, la taille et la durée de la communication et  son type de service.
• Support d’information : c’est un dispositif de stockage des informations qui peut être installé ou enlevé de l’ordinateur et qui est souvent utilisé pour transporter les données tels que les flashes disques, les disques durs et les CDs.
• La programmation : formulation des données ou des procédures ou des preuves d’instructions techniques qui effectuent une certaine tâche dans le système d’exploitation de l’ordinateur.

Chapitre Premier - Du devoir de conservation des données

Art. 3 – Les fournisseurs de services de communication sont appelés à conserver les données stockées dans un système informatique, pendant une année à partir de la date de l’inscription, chacun dans la mesure des engagements qui lui sont imposés par les dispositions législatives et réglementaires en vigueur.

Les données à conserver consistent en ce qui suit :

• Les données permettant de reconnaitre les utilisateurs du service.
• Les données relatives au trafic de la communication.
• Les données relatives aux périphériques de la communication.

Chapitre 2 – De la constatation des infractions et l'exécution des ordonnances d’interception et d’accès

Art. 4 –Sont chargés de la constatation des infractions chacun dans la limite de leurs compétences :

• Les officiers de police judiciaire visés aux 3 et 4 de l'article premier du code de procédure pénale et les officiers de police judiciaire militaire visés au 3 de l'article premier du code de la justice militaire.
• Les agents assermentés du ministère chargé des technologies de l'information et de la communication qualifiés à cet effet et visés au code des télécommunications. 

Art.5 – L’agence technique des télécommunications est chargée d’assurer l’appui technique afin d’exécuter les ordres relatifs à l’accès aux données stockées dans les bases de données ou de collecter les données de trafic des télécommunications ou d’intercepter, copier ou enregistrer le contenu des télécommunications.

Les fournisseurs de services de communication sont appelés à coopérer avec l’agence technique et l’assister dans l’exécution de ses fonctions chacun selon le type de service à prêter.

L’agence est chargée de la rédaction d’un procès-verbal administratif des opérations d’accès ou de collection qu’elle a exécuté.

Le procès-verbal administratif doit impérativement inclure :

• Le texte de l’ordre dont elle est chargée de son exécution.
• Les arrangements techniques dont elle a mené afin d’exécuter l’ordre et le type d’assistance qu’elle a eu des fournisseurs de services
• Les mesures techniques que l’agence a menées pour conserver les données collectées et assurer leur validité et leur intégrité dans toutes les étapes
• La date et l’heure du début et de la fin des opérations.

Le procès-verbal est joint de résultats des opérations d’accès ou d’interception aussi bien que les programmes et les données techniques nécessaires qui assurent sa conservation et son exploitation sans atteinte à sa validité et son intégrité.

Art. 6 – les résultats d’accès ou d’interception et les données techniques y jointes sont transmis aux parties concernées fixées par l'ordonnance d'accès ou d'interception pour exploitation.

Si le but de l’accès ou de l’interception était préventif, la structure chargée de la réception et l’analyse des résultats rédige un procès-verbal administratif incluant impérativement les données suivantes :

• Le texte de l'ordonnance qui a chargé la structure de traiter les résultats des opérations d’accès et d’interception.
• La date de la réception des résultats.
• Une description totale de ces résultats et de leurs annexes en termes de type, de dimension ou de volume et de forme
• Les mesures administratives et techniques prises afin de conserver la validité et l’intégrité des données obtenues.
• les identités des personnes intervenant dans l’exploitation de ces résultats, leurs titres et leurs signatures sur chaque page du procès-verbal.

Les structures concernées doivent conserver les procès-verbaux administratifs pour pas moins de dix ans même si les résultats sont détruits, après en avoir besoin, ou traduits en justice.

Chapitre 3 – De la collecte des preuves

Art. 7 – Le procureur de la République, le juge d’instruction ou les officiers de police judiciaire autorisés, sont habilités à ordonner, selon les cas, leur accès aux données informatiques stockées dans un système informatique ou un support de stockage informatique et relatives au trafic de télécommunications ou à leurs utilisateurs ou autres données pouvant aider à révéler la vérité.

Art. 8 – Le procureur de la République, le juge d’instruction ou les officiers de police judiciaire autorisés, sont habilités à permettre, selon les cas, l’accès direct ou avec l’assistance des experts en la matière à tout système informatique ou support de stockage informatique et y opérer une recherche afin d’obtenir les données stockées aidant à révéler la vérité

Art. 9 – Le procureur de la République, le juge d’instruction ou les officiers de police judiciaire autorisés, sont habilités à autoriser, selon les cas, la saisie du système informatique en totalité ou en partie ou d’un support de stockage informatique aidant à révéler la vérité.

Si la saisie du système informatique s’avère sans importance ou impossible, les données en relation avec l’infraction ainsi que celles permettant leur lecture et leur compréhension seront copiées sur un support de stockage informatique.

Les précautions nécessaires seront prises afin de conserver l'intégrité des données saisies y compris les moyens techniques pour la préservation de son contenu.

Art. 10 – Il en est fait inventaire, autant que possible, en présence du prévenu, ou de celui en possession duquel se trouvaient les objets saisis.

Un procès-verbal comportant la description des objets saisis est dressé.

Les objets saisis sont conservés selon l'état dans une enveloppe ou un dossier scellé accompagné d'un papier contenant la date et l'heure de la saisie, le numéro du procès-verbal ou l'affaire.

Art. 11 – Dans le cas où on se trouve dans l'impossibilité de requérir la saisie effective, il est tenu, aux fins de conservation des preuves de l’infraction, d’utiliser tous les moyens appropriés afin de prévenir l’atteinte ou l’accès aux données stockés dans un système informatique.

Art. 12 – Le procureur de la République ou le juge d’instruction ou les officiers de police judiciaire autorisés, sont habilités à autoriser, selon les cas, la collecte ou l’enregistrement en temps réel des données relatives au trafic par l’application des moyens techniques appropriés avec l’assistance, le cas échéant, de fournisseurs de services chacun selon le service qu’il fournit.

Art. 13 – Le juge d’instruction ordonne l’interception immédiate du contenu de télécommunications, les enregistrer ou les copier. 

L’arrêté du juge d’instruction comporte tous les éléments permettant de définir les télécommunications objet de la demande d’interception, les faits qui y sont nécessaires et sa durée.

Art. 14 – La durée de l’interception ne peut pas dépasser trois mois à partir de la date du commencement d'exécution effective et peut être prorogée une seule fois par un arrêté motivé du juge d’instruction saisi de l’affaire.

La partie chargée de l’exécution de l’arrêté est tenue d’aviser le juge d’instruction de la date effective du commencement de l’interception et de coordonner avec lui concernant la prise des mesures nécessaires pour le bon déroulement de l’opération.

Titre III – Des infractions liées aux systèmes d’information et de communication

Chapitre premier - De la violation de l’intégrité des systèmes d’informations et les données et leur confidentialité

Art. 15 – Est puni d’un an d'emprisonnement et d'une amende de dix mille dinars quiconque sciemment accède ou demeure illégalement dans un système informatique en totalité ou en partie.

Est puni de la même peine encourue quiconque sciemment dépasse les limites du droit d’accès qui lui est accordé.

La tentative est exigible de peine.

Art. 16 – Est puni de deux ans d'emprisonnement et d'une amende de vingt mille dinars quiconque utilise sciemment, et sans droit, des moyens techniques pour l’interception de données de communication dans un envoi non destiné au public à l’intérieur, à partir ou vers un système d’informations y compris les rayonnements électromagnétiques émis par le système et transportant des données de communication.

L’interception comprend l’obtention de données relatives au trafic des télécommunications et leur contenu, aussi bien que les copiées ou les enregistrées.

La tentative est exigible de peine.

Art. 17 – Est puni de deux ans d'emprisonnement et d'une amende de vingt mille dinars quiconque sciemment produit, vend, importe, distribue, approvisionne, expose, obtient pour usage ou possède ce qui suit :

• Un dispositif ou un programme informatique conçu ou apprivoisé pour commettre les infractions régies par la présente loi.
• Un mot de passe, un code d’accès ou toutes données informatiques similaires permettant d’accéder, en totalité ou en partie, à un système d’informations en vue de commettre les infractions régies par la présente loi.

Art. 18 – Est puni de trois ans d'emprisonnement et d'une amende de trente mille dinars quiconque endommage, modifie, supprime, annule ou détruit sciemment des données informatiques.

La tentative est exigible de peine.

Art. 19 – Est puni de cinq ans d'emprisonnement et d'une amende de trente mille dinars quiconque subtilise sciemment des données informatiques. La tentative est exigible de peine. Sont appliquées aux faits cités au premier paragraphe, les circonstances aggravantes relatives à l’infraction du vol, prévues par le Code pénal.

Art. 20 – Est puni de six ans d'emprisonnement et d'une amende de cinquante mille dinars quiconque entrave sciemment et d'une manière illégale le fonctionnement d’un système informatique en y introduisant des données informatiques ou les envoyées, les endommagées, les modifiées, les supprimées, les annulées ou les détruire.

Le tribunal peut augmenter l’amende à l’équivalent de la valeur du dommage. La peine est doublée en cas où les faits cités sont commis lors de l’exercice d’une activité professionnelle ou d’une atteinte aux intérêts vitaux de l’Etat.

Chapitre II – Des Infractions commises par des systèmes ou des données informatiques

Section première – La fraude informatique

Art. 21 – Est puni de six ans d'emprisonnement et d'une amende de cinquante mille dinars quiconque cause intentionnellement un préjudice patrimonial à autrui par toute introduction, altération, effacement ou suppression de données informatiques ou par toute forme d’atteinte au fonctionnement d’un système informatique, dans l'intention d'obtenir sans droit un bénéfice économique pour soi-même ou pour autrui.

La peine est doublée en cas où les faits cités ci-dessus sont commis dans le cadre de l’exercice d’une activité professionnelle.

Section 2 – La falsification informatique

Art. 22 – Est puni de dix ans d'emprisonnement et d'une amende de cent mille dinars quiconque commis une falsification pouvant causer un préjudice par l'introduction, l’altération, l’effacement ou la suppression intentionnels et sans droit de données informatiques, engendrant des données non authentiques, dans l'intention qu’elles soient prises en compte ou utilisées comme si elles étaient authentiques.

La peine est doublée en cas où les faits cités ci-dessus sont commis dans le cadre de l’exercice d’une activité professionnelle.

Chapitre 3 - Des infractions se rapportant au contenu illégal

Art. 23 – Est puni de six ans d'emprisonnement et d'une amende de cinquante mille dinars quiconque produit, diffuse, approvisionne, publie, envoie, obtient ou possède intentionnellement des données informatiques d’un contenu pornographique se rapportant à un enfant de moins de 18 an révolus.

Est considéré comme contenu pornographique, aux fins du paragraphe ci-dessus, toutes données représentant de manière visuelle un mineur ou une personne qui apparaît comme un mineur se livrant à un comportement sexuellement explicite.

Art. 24 – Est puni de six mois d'emprisonnement et d'une amende de cinq mille dinars quiconque utilise intentionnellement un système d’information ou de communication pour la propagation de données contenant des paroles obscènes ou un outrage aux bonnes mœurs.

La peine est de 3 ans d'emprisonnement et d’une amende de dix mille dinars si le contenu des données vise à inciter à l’adultère ou la lubricité.

Art. 25 – Est puni de cinq ans d'emprisonnement et d'une amende de cinquante mille dinars quiconque utilise intentionnellement un système d’informations pour le traitement des données personnelles d’autrui afin de les lier à un contenu portant atteinte aux bonnes mœurs ou les montrer d’une manière blessant son honneur et son estime.

La tentative est exigible de peine. 

Chapitre 4 – De la répression du manquement aux obligations de la collecte des preuves électronique

Art. 26 – Est puni d’une année d'emprisonnement et d'une amende de dix mille dinars ou de l’une de ces deux peines, le fournisseur de services qui ne respecte pas l’obligation de conservation qui lui est imposée en vertu des dispositions de l’article 3 de la présente loi.

Art. 27 – Est puni d’une année d'emprisonnement et d'une amende de dix mille dinars quiconque entrave le déroulement de l’investigation en refusant de fournir des données informatiques ou les moyens à y accéder pour lire et comprendre les données saisies ou les détruits ou les caches avant la confiscation.

Art. 28 – Est puni de 2 ans d'emprisonnement et d'une amende de vingt mille dinars quiconque entrave intentionnellement et de tout moyen la violation de la confidentialité des procédures relatives à la collection, l’interception, l’enregistrement de données de trafic de télécommunications ou leur contenu, la divulgation des données obtenues ou son utilisation sans droit.

Chapitre 5 – De la responsabilité pénale des personnes morales

Art. 29 – Les peines régies par la présente loi s’appliquent sur les personnes morales et leurs représentants en cas ou reconnues personnellement responsables sur les faits impliquant ces peines.

Ceci n’empêche pas la poursuite de ces personnes s’il s’avère que les infractions commises ont eu à leur profit ou qu’ils en ont obtenu des revenus et que cela constitue le but de l’acte.

La peine est d’une amende qui égale cinq fois l’amende due par les personnes naturelles.

Le tribunal peut également prononcer la privation de la personne morale de poursuivre l’activité pour une durée maximale de cinq ans ou de juger sa destitution.

Titre IV – Des mesures de sécurité publique et de défense nationale

Chapitre Premier – De certaines procédures préventives

Art. 30 – Les autorités publiques chargées de la protection de la sécurité publique et de la défense nationale peuvent accéder exceptionnellement et en vertu des dispositions du titre 4 de la présente loi aux données stockées dans les bases des données publiques et privées, collecter des données de trafic de télécommunications ou intercepter le contenu des télécommunications et les copier ou les enregistrer.

Ceci en vue de prévenir les crimes organisés ou terroristes ou porter atteinte à la sécurité nationale et dans les cas de disponibilité de données sur l'existence de risques potentiels pouvant menacer les intérêts vitaux de l'Etat.

Art. 31 – Les ministres de l’Intérieur et de la Défense nationale sont habilités à ordonner par écrit l’accès aux données relatives à l’identification d’utilisateurs de services de communication ou la collecte de données de trafic de télécommunications.

Il est interdit d’utiliser les données recueillis dans des fins non spécifiés dans l’ordre.

Il est également interdit de transférer ces données à d’autres organismes que les autorités chargées de l’exécution de la loi.

Art. 32 – Les ministres de l’Intérieur et de la Défense nationale sont habilités à ordonner par écrit l’accès au contenu des données stockées dans des bases de données publiques et privées ou l’interception en temps réel de données relatives au contenu, les copiées ou les enregistrées.

L’ordre inclut impérativement ses causes, ses fins, sa durée et la partie chargée de l’exploitation des résultats.

L’ordre est accordé pour une durée maximale de six mois susceptibles de prolongation une seule fois pour la même durée conformément aux mêmes procédures.

L’ordre est impérativement transféré au Chef du gouvernement dans un délai maximal de deux jours de sa date (date d’émission).

Le Chef du gouvernement prend, dans un délai maximal de quatre jours de la date de réception de l’ordre, une décision d’approbation ou de rejet qui s’annonce immédiatement à travers tout moyen une trace écrite.

En cas de rejet, toute opération d’accès ou d’interception déjà entamée doit s’arrêter immédiatement et toutes les données requises depuis son déclenchement sont détruites.

Il est interdit d’utiliser les données recueillis dans des fins autres que celles décrites par l’ordre, et de les transmettre à une partie autre que les autorités publiques chargées d’appliquer la loi.

Art. 33 – S’il n’en découle pas des données provenant des opérations d’accès, de collecte ou d’interception des poursuites pénales, ou qu’il y est eu refus d’approbation de l’ordre d’interception, le ministre promulguant l’ordre ordonne les parties chargées d’exploiter les données recueillis de les détruire totalement quel qu’il soit son support matériel. 

Un procès-verbal administratif est rédigé en la matière et doit comporter obligatoirement les données suivantes : 

• le texte de l’ordre et au besoin la décision d’approbation ou de rejet y afférent. 
• Les données du procès-verbal administratif rédigé par l’agence technique et le procès-verbal administratif rédigé par la structure concernée par l’exploitation des résultats. 
• une description globale de l’état des résultats du point de vue de la dimension, la capacité et la forme et leurs attachements. 
• les informations relatives à l’ordre de destruction. 
• les identités des personnes chargées de destruction, leurs titres et leurs signatures dans chaque page du procès-verbal.

Chapitre II - De l'Instance tunisienne de contrôle de l'interception des systèmes de communication et d'informations

Art. 34 – Est créée une instance publique indépendante jouissant de la personnalité morale et de l’autonomie administrative et financière, basée à Tunis appelée "l'Instance tunisienne de contrôle de l'interception" et désignée sous l'expression de l'"instance" dans le présent projet de loi.

L'instance est chargée de contrôler le respect des procédures d'accès aux bases de données et l'interception de trafic des télécommunications et leur contenu.

Est fixée par décret l'organisation administrative et financière de l'instance.

Art. 35 – Sont transmis à l'instance les ordres relatifs à l'accès aux bases des données privées et publiques, le recueil de données de trafic de télécommunications ou l'interception de contenu de communications, les copier et les enregistrer. L'instance est chargée de contrôler le respect des ordres aux procédures spécifiées ci-dessus. En outre, sont transmis à l'instance tous les procès-verbaux administratifs rédigés lors de l'exécution, par l'agence technique ou les structures concernées, des opérations d'accès ou d'interception en exploitant les résultats de ces opérations, dans un délai ne dépassant pas les 15 jours de la date de leur scellement. L'instance est chargée de comparer les procès-verbaux administratifs et les ordres transmis à l'instance afin de contrôler l'obédience des parties concernées aux procédures juridiques lors d'exécution d'opérations d'accès ou d'interception et la mesure dans laquelle elles sont soumises aux restrictions fixées dans les ordres.

Art. 36 – L'instance peut demander à l'agence technique des télécommunications ou aux autorités concernées de lui fournir des données supplémentaires visant à clarifier le contenu de l'ordre ou le procès-verbal et aidant à exercer le contrôle.

Art. 37 – L'instance peut recevoir les plaintes relatives à l'accès aux bases des données et à l'interception du contenu des télécommunications. L'enquête dans ces plaintes incombe à l'instance. Ceci, afin de vérifier le respect des conditions et des procédures juridiques et sans atteinte à la confidentialité des opérations d'accès ou d'interception. Au cas de suspicion d’infractions d'accès, d'interception illicite ou de transgression des dispositions relatives à la conservation des données personnelles, l'instance se charge de rédiger un rapport et le transmettre au procureur de la République territorialement compétent.

Art. 38 – L'instance rédige, chaque année, un rapport comportant une présentation, une analyse des opérations de contrôle effectuées et ses recommandations. Le rapport est soumis au président du Conseil législatif, au Chef du gouvernement et président de la République.

Le rapport ne comporte pas de données personnelles.

Les autorités citées au premier paragraphe peuvent ordonner la publication d'un résumé exécutif au public.

Art. 39 – En cas de manquement aux conditions ou de procédures d'interception, l'instance décide, après la délibération, de communiquer des recommandations au président de la République afin d'ajuster des procédures d'exécution d'une opération d'accès ou d'interception précise ou le cas échéant les suspendre. Au cas de suspicion d’infractions d'accès, d'interception illicite ou de transgression des dispositions relatives à la conservation des données personnelles, l'instance se charge de rédiger un rapport et le transmettre au procureur de la République territorialement compétent.

Art. 40 – L’instance se compose d'un président et deux membres comme suit :

• Un juge de troisième rang, président ;
• Un expert des affaires sécuritaires et militaires, membre ;
• Un ingénieur expert des technologies de communication et d’informations, membre.

Les membres de l’instance sont choisis parmi trois personnalités proposées par le président du Conseil supérieur de la magistrature et le Conseil supérieur du tribunal administratif pour le président de l’instance, par le président de la République pour les experts des affaires sécuritaires et militaires et par le président du Conseil législative pour les experts des technologies de communication et d’informations.

Les membres de l’instance sont désignés en vertu d’un décret.

Le président de l’instance exerce ses fonctions à plein temps pendant cinq ans.

Les deux membres de l’instance exercent leurs fonctions à plein temps pendant quatre ans à condition que la candidature de chacun soit renouvelée alternativement chaque trois ans et suivant les mêmes procédures.

Art. 41 – Les membres de l’instance exercent leurs fonctions dans l’indépendance et la neutralité et sur la base de servir l’intérêt public ; leur destitution ou la suspension de leurs candidatures n’est possible que dans les cas de déficit, d’absence non justifiée de plus d’un mois ou la transgression de leurs devoirs tel que la commission d’une faute grave ou le manquement à leurs devoirs et ce en vertu d’un décret motivé relevant du Chef du gouvernement soumis à l’appel devant le tribunal administratif conformément aux procédures juridiques de l’article relatif au dépassement de pouvoir. Ils sont appelés, pendant l’exercice de leurs fonctions, à éviter tout influence sur leur indépendance et neutralité et à informer le Chef du gouvernement de tous les cas de contrariété d’intérêts ou tout changement survenant à leurs situations et pouvant nuire leur indépendance.

Art. 42 – Les membres de l’instance sont interdits de percevoir, directement ou indirectement, tout émoluments autre que leurs honoraires avant de prendre leurs fonctions tout en tenant compte, en cela, des droits de la propriété littéraire et artistique

Sont fixés par décret les primes et les avantages autorisés aux membres.

Art. 43 – Les membres et les agents de l’instance sont interdits de divulguer les secrets professionnels relatifs aux faits, actions et informations auxquels ils ont accès ou ils en prennent connaissance à l’occasion de l’exercice de leurs fonctions.

En outre, les membres de l’instance sont interdits de divulguer la confidentialité des délibérations de l’instance ou de faire une déclaration relative aux informations recueillis dans les opérations d’interception dont ils ont exercé leur contrôle.

L’interdiction, visée aux les paragraphes ci –dessus, est maintenue même après la fin de fonctions des membres et les agents de l’instance.

Titre V – De soutien des efforts internationaux de lutte contre la cybercriminalité

Art. 44 – Il est possible de suivre et juger toute personne ayant commis, en dehors du territoire tunisien, une des infractions visées dans cette loi comme suit :

• Infraction commise par un citoyen tunisien ;
• Infraction commise contre des parties ou des intérêts tunisiens ;
• Infraction commise contre des parties ou des intérêts étrangers par un étranger ou un apatride dont la demeure habituelle est sur le territoire tunisien ou par un étranger ou un apatride se trouvant sur le territoire tunisien et ne répondant pas aux conditions légales d’extradition.

Art. 45 – Les autorités spécialisées veillent à faciliter la coopération avec leurs homologues dans les pays étrangers dans le cadre des conventions internationales, régionales et bilatérales ratifiées ou selon le principe de réciprocité afin d’accélérer l’échange d’informations. Ceci assure l’avertissement précoce des infractions des systèmes d’informations et de communication, éviter leur perpétration, aider l’enquête et poursuivre leur auteur.

La coopération citée dans le paragraphe précédent, est tributaire de l’engagement de l’Etat étranger concerné de la conservation de la confidentialité des informations qui y sont transmis et de son engagement de ne pas les transmettre à une autre partie ou les exploiter pour des fins autres que lutter contre les infractions régies par la présente loi.