Reconnaissance juridique d’une signature électronique : attention aux niveaux de signature du règlement eIDAS

Le développement des contrats en ligne a favorisé le recours à des solutions de signature électronique, qui permettent au signataire de signer le contrat depuis son ordinateur personnel, sans se déplacer.

Cependant, quelle est la validité d’un contrat signé électroniquement ? Une simple signature scannée apposée sur un document a-t-elle la même valeur qu’une signature électronique utilisant des cartes à puce et des certificats électroniques embarqués, garantis par des prestataires de confiance ? Qu’en est-t-il des solutions intermédiaires, comme les « certificats à la volée » de plus en plus utilisés pour signer des contrats par internet ?

Selon l’article 1367 du code civil, une signature électronique aura la même valeur juridique qu’une signature manuscrite si elle fait usage d’un « procédé fiable d’identification garantissant son lien avec l’acte auquel il s’attache ».

La reconnaissance d’une signature électronique est ainsi liée à la reconnaissance de la fiabilité du procédé utilisé pour signer.

La réglementation européenne actuelle, en l’espèce le règlement « eIDAS » n°910/2014 du 23 juillet 2014, prévoit trois niveaux de signature électronique, du moins sécurisé au plus sécurisé :

• Signature simple, définie à l’article 3-10, du règlement ;
• Signature avancée, définie aux articles 3-11, et 26 du règlement ;
• Signature qualifiée, définie à l’article 3-12, du règlement.

En droit français, l’article 1^er du décret n°2017-1416 du 28 septembre 2017 précise que seul un procédé mettant en œuvre une « signature électronique qualifiée » bénéficie d’une présomption de fiabilité.

Il faut remarquer que la mise en œuvre d’une signature électronique qualifiée a un coût financier et technologique très important, car elle nécessite :

• Une signature électronique avancée, répondant aux exigences de l’article 26 du règlement (signature liée au signataire de manière univoque, identification du signataire possible, usage exclusif de la signature par le signataire, modification ultérieure du document non autorisée) ;
• un dispositif de création de signature qualifié, par exemple une carte à puce mentionnée sur la liste de la Commission européenne ;
• un certificat qualifié de signature électronique, délivré par un prestataire de confiance également qualifié, selon des conditions strictes.

Ainsi, même si la présomption de fiabilité est une présomption « simple », le signataire aura de grandes difficultés à apporter des preuves contraires montrant qu’il n’a pas signé le document.

La mise en œuvre d’une telle signature pour des signatures électroniques de contrats B2C ou C2C a un coût financier et des exigences de sécurité très importants. Ainsi, la plupart des solutions ne permettent que des signatures non qualifiées, qui ne seront recevables en justice que comme commencements de preuve par écrit, au même titre qu’un email ou une télécopie.

La charge de la preuve de la fiabilité du procédé reposera donc sur le commerçant ou la plateforme de signature électronique. Cette partie fournira le plus souvent au moins une « piste d’audit » reprenant les étapes techniques ayant abouti à la signature (identification de l’utilisateur sur la plateforme, génération du certificat, signature du document, etc.)

La recevabilité en justice d’une signature électronique est en conséquence intimement liée à la qualité de la solution de signature électronique :

• Permet-elle une identification univoque du signataire ? Une autre personne aurait-elle pu facilement signer le document à la place du signataire ?
• Le signataire a-t-il bien un contrôle exclusif des données de signature ?
• La piste d’audit comprend-elle assez d’éléments permettant de montrer la fiabilité du procédé ?
• Les éléments apportés seront-ils facilement compréhensibles malgré la technicité de la solution ?

Les fournisseurs et utilisateurs de ces solutions devront ainsi envisager  en amont la recevabilité des éléments leur permettant de démontrer la fiabilité de leur solution en cas de contentieux.

POGGI Avocats IT sera présent au Séminaire de l’Académie de Versailles sur le numérique le 24 novembre 2017 consacré cette année à la responsabilité juridique et la sécurité lors du développement des usages du numérique dans les établissements de 1er et de 2nd degrés.Intervenants :

• Anne-Sophie Poggi, avocat à la Cour, cabinet POGGI AVOCATS IT,
• Anne Souvira, chargée de mission « cybercriminalité », cabinet du
  Préfet de Police,
• Jean-Paul Pinte, maître de conférences, membre de La Réserve
  citoyenne de l’Éducation nationale,
• Eric Allies-de-Gavini, proviseur du lycée Jules Ferry à Versailles,
• Philippe Alverny, IEN Hautil, chargé de la mission numérique 1er degré
  dans le Val-d’Oise
• Fabrice Lemoine, adjoint au Délégué Académique au Numérique,
• Fabrice Mollo, correspondant Informatique et Libertés de l’académie
  de Versailles
• Olivier Miller, directeur de projet « confiance numérique et sécurité »
  de l’académie de Versailles

Anne-Sophie POGGI interviendra lors de La Matinale organisée par le magazine IT for Business le 9 juin 2017 sur le thème :

CONDAMNATION DE L’EDITEUR D’UN SERVICE DE COMMUNICATION EN LIGNE POUR NON-RESPECT DE SON OBLIGATION D’IDENTIFICATION

TGI de Paris, 17 ch. Corr.,  14 mars 2017, LICRA, UEJF, AIPJ, SOS Racisme et MRAP c. Monsieur X

 Par un jugement en date du 14 mars 2017, le Tribunal de grande instance de Paris a condamné l’éditeur d’un site internet pour avoir manqué à son obligation de mise à disposition du public d’informations l’identifiant.

En l’espèce, le site internet www.egaliteetreconciliation.fr désignait à tort, comme directeur de publication et directeur adjoint de publication, deux individus incarcérés au moment des faits. A la suite de ce signalement, une enquête diligentée le 12 mai 2016 a démontré que toutes les données techniques d’identification présentes sur le site (adresse IP, comptes de messagerie, adresses physiques, numéros de téléphone etc.) convergeaient vers le président de l’association.

Or, l’article 6 III-1 c) de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique impose de mettre à disposition du public le nom du directeur ou du codirecteur de la publication.

Le Tribunal de grande instance de Paris a ainsi jugé que le président de l’association était le véritable éditeur du service de communication offert par le site d’Egalité & Réconciliation ainsi que son directeur de la publication et qu’il avait donc manqué à son obligation d’identification.

Ce dernier ayant déjà été condamné à six reprises pour des infractions de presse et ne s’étant pas présenté pour répondre de ces faits, le Tribunal l’a donc condamné à trois mois d’emprisonnement avec sursis et de 5.000 euros d’amende.