Ce que dit vraiment eIDAS sur les signatures électroniques (et ce qu’il ne garantit pas)

[!CAUTION] AVERTISSEMENT : cet article fournit des informations générales sur eIDAS et les signatures électroniques. Il ne constitue pas un conseil juridique et ne peut pas déterminer si un accord donné sera opposable dans votre situation particulière. Pour un avis sur votre situation, consultez un avocat qualifié.

En bref

eIDAS est le règlement de l’UE qui établit un cadre juridique commun pour les signatures électroniques et les services de confiance.

Il dispose que l’effet juridique et la recevabilité comme preuve en justice d’une signature électronique ne peuvent être refusés au seul motif que cette signature se présente sous une forme électronique ou qu’elle ne satisfait pas aux exigences de la signature électronique qualifiée.

Cela ne signifie pas que tout accord accepté par voie électronique est automatiquement valable ou opposable.

Les signatures électroniques sont généralement réparties en trois niveaux : simple, avancée et qualifiée, chaque niveau ayant des exigences plus strictes que le précédent. Seule une signature électronique qualifiée a un effet juridique équivalent à celui d’une signature manuscrite dans toute l’UE. Les deux autres niveaux ont tout de même un effet juridique en vertu d’eIDAS, mais le poids qu’ils ont comme preuve dans un litige est apprécié au cas par cas, selon le droit national.

Ce court article explique comment fonctionne ce cadre. Il ne constitue pas un conseil juridique et ne peut pas vous dire si un accord donné sera opposable dans votre situation. Pour cela, adressez-vous à un avocat qualifié.

Pourquoi c’est important lorsque vous envoyez du travail à des clients

Si vous êtes un indépendant qui envoie un fichier Figma, un pitch deck, une proposition ou un document stratégique, vous vous êtes peut-être demandé si le destinataire devait accepter quelque chose avant d’y avoir accès.

Pour certains, cela mène à une autre question :

« Une case à cocher sur un site web peut-elle vraiment compter comme une signature ? »

La réponse honnête est oui, c’est possible, mais cela dépend de la manière dont le processus d’acceptation fonctionne. L’existence d’une case à cocher ne suffit pas à elle seule.

Les trois niveaux de signature électronique

Signature électronique simple

Une signature électronique simple, généralement abrégée SES, est le niveau le plus large.

Un nom tapé, une réponse par e-mail indiquant « J’accepte » ou un clic d’acceptation peuvent compter comme une signature électronique lorsque quelqu’un les utilise avec l’intention d’accepter les conditions précises qui y sont liées.

L’effet juridique d’une SES ne peut pas être refusé au seul motif qu’elle est électronique. Cependant, elle n’établit pas automatiquement qui a effectué l’action, et elle ne rend pas l’accord sous-jacent opposable.

Vérifier une adresse e-mail n’est pas non plus la même chose qu’accepter un accord. La vérification de l’e-mail peut montrer que quelqu’un avait accès à une boîte de réception donnée. C’est l’action d’acceptation distincte qui enregistre son intention apparente d’accepter les conditions.

Signature électronique avancée

Une signature électronique avancée, ou AES, doit répondre à une norme plus stricte.

Elle doit être liée au signataire de manière univoque et permettre de l’identifier. Elle doit être créée à l’aide de données de création de signature que le signataire peut, avec un niveau de confiance élevé, utiliser sous son contrôle exclusif. Elle doit aussi être liée aux données signées de telle sorte que toute modification ultérieure soit détectable.

Signature électronique qualifiée

Une signature électronique qualifiée, ou QES, est une signature électronique avancée créée à l’aide d’un dispositif de création de signature électronique qualifié et reposant sur un certificat qualifié délivré par un prestataire de services de confiance qualifié.

C’est le seul type de signature électronique auquel eIDAS confère un effet juridique équivalent à celui d’une signature manuscrite dans toute l’UE.

Cela ne signifie pas qu’une QES ne peut jamais être remise en question. Comme une signature manuscrite, elle peut toujours être contestée selon les règles de procédure nationales. La Cour de justice de l’Union européenne a confirmé que les juridictions nationales peuvent apprécier la valeur probante d’une QES selon les mêmes règles que celles applicables aux signatures manuscrites.

Où se situent les parcours d’acceptation du quotidien

De nombreux accords commerciaux courants sont acceptés en cliquant sur un bouton. Cela inclut les processus où quelqu’un doit accepter des conditions avant de consulter un fichier.

Cette acceptation peut être qualifiée de SES si l’action du destinataire montre clairement une intention d’accepter les conditions précises présentées.

C’est le type de processus que SignToSee est conçu pour prendre en charge. Savoir si une acceptation donnée constitue juridiquement une signature électronique dépend toujours de ce que le destinataire a vu, de l’action qu’il a effectuée, de la manière dont cette action était liée aux conditions et des preuves conservées.

Une QES est destinée aux situations où la loi ou l’une des parties exige un niveau d’assurance plus élevé. Elle implique un prestataire de services de confiance qualifié, un dispositif de création de signature qualifié et une procédure de vérification d’identité prescrite.

Pour l’accès à un fichier à des fins d’évaluation, ce niveau de formalité peut être disproportionné. La bonne approche dépend de la valeur en jeu, des risques et des éventuelles exigences légales applicables.

Avec une SES, l’étiquette seule ne rend pas la preuve solide. Ce qui compte, ce sont les informations qui entourent l’acceptation.

Recevable en justice ne veut pas dire automatiquement gagnant

On traite parfois l’acceptation électronique comme un simple interrupteur : soit elle est juridiquement contraignante, soit elle ne l’est pas.

En pratique, c’est plus compliqué.

eIDAS dispose que l’effet juridique et la recevabilité comme preuve en justice d’une signature électronique ne peuvent être refusés au seul motif qu’elle est électronique ou qu’elle ne satisfait pas aux exigences d’une QES.

Si un litige arrive devant un tribunal, les preuves disponibles peuvent tout de même devoir être appréciées. Un tribunal pourrait examiner des questions comme :

L’identité du signataire a-t-elle été établie, ou simplement saisie dans un formulaire ?
Existe-t-il une trace fiable du moment où l’acceptation a eu lieu ?
Les modifications ultérieures des conditions acceptées peuvent-elles être détectées ?
Dans quelle mesure cette personne est-elle clairement liée à l’acceptation ?
Quelle version des conditions a-t-elle vue ?

Une SES accompagnée de peu d’informations peut être plus difficile à authentifier si elle est contestée.

Sa force dépend de l’ensemble des preuves disponibles. Par exemple, l’autre partie pourrait reconnaître avoir effectué l’action d’acceptation. Cela pourrait largement trancher cette question précise, même si des désaccords pourraient subsister sur son intention, son pouvoir de représentation ou les conditions qu’elle a vues.

Si l’acceptation est contestée, le droit procédural national détermine qui doit prouver quoi. En pratique, une partie qui s’appuie sur une SES doit être prête à montrer comment l’acceptation était liée à la personne qui l’aurait effectuée.

La preuve de l’accès au compte e-mail indiqué, un horodatage fiable, les conditions exactes présentées et une trace correctement protégée peuvent rendre l’acceptation plus facile à étayer. Elle reste néanmoins une SES.

Ce qu’eIDAS ne promet pas

eIDAS ne confère pas à une SES une valeur probante fixe. Il ne garantit pas qu’une SES sera traitée comme une preuve solide dans chaque litige, ne rend pas chaque clic juridiquement contraignant et ne répare pas des conditions floues ou inopposables.

Il ne garantit pas non plus que la personne qui utilise un compte e-mail est celle nommée dans l’accord.

Le droit national des contrats et la procédure judiciaire comptent toujours.

La loi applicable et la compétence juridictionnelle sont aussi des questions distinctes. Dans de nombreux litiges au sein de l’UE impliquant des parties de pays différents, la loi applicable à un accord est déterminée selon le règlement Rome I. La compétence est traitée séparément par le règlement Bruxelles I bis.

Choisir la loi d’un pays ne signifie pas automatiquement que seules les juridictions de ce pays peuvent connaître d’un litige. Des règles particulières peuvent aussi s’appliquer, notamment pour les contrats de consommation et de travail.

Le rôle de la trace d’acceptation

La force d’une SES dépend en partie des informations qui l’entourent. Ces informations doivent être enregistrées au moment où le destinataire accepte les conditions, plutôt que reconstituées plus tard de mémoire ou à partir d’un échange d’e-mails.

Un processus d’acceptation bien conçu peut enregistrer :

L’adresse e-mail utilisée lors de l’acceptation
La preuve que quelqu’un avait accès à ce compte e-mail à ce moment-là
La date et l’heure de l’acceptation
La version exacte de l’accord présenté
Le contenu protégé lié à l’accord
Un moyen de détecter les modifications ultérieures de l’accord ou de la trace d’acceptation

Les destinataires doivent aussi pouvoir enregistrer ou reproduire les conditions mises à leur disposition.

Il y a deux limites importantes.

Premièrement, la vérification de l’e-mail montre l’accès à une boîte de réception. Elle n’établit pas nécessairement l’identité juridique de la personne qui l’utilise.

Deuxièmement, une empreinte cryptographique (hash) peut aider à détecter les modifications des conditions, mais elle ne prouve ni l’identité, ni l’intention, ni le moment de l’acceptation. Son utilité dépend aussi de la sécurité avec laquelle l’empreinte et les traces associées sont stockées et protégées.

Horodatages ordinaires et horodatages électroniques qualifiés

Un horodatage ordinaire généré par une plateforme peut constituer une preuve utile. Ce n’est pas la même chose qu’un horodatage électronique qualifié au sens d’eIDAS.

Un horodatage électronique qualifié bénéficie d’une présomption légale d’exactitude de la date et de l’heure qu’il indique et d’intégrité des données auxquelles il se rapporte.

Un horodatage ordinaire ne bénéficie pas de cette même présomption. Il peut tout de même étayer une trace d’acceptation, mais sa fiabilité peut être appréciée avec les autres preuves.

Quand faire appel à un avocat

Faire relire des conditions importantes par un avocat est toujours judicieux. Cet article explique le cadre juridique général, mais il ne peut pas déterminer si des conditions précises seront valables ou opposables dans un pays ou un litige donné.

Un examen juridique devient particulièrement important lorsque :

Le travail contient une propriété intellectuelle précieuse ou sensible
Vous entamez une relation commerciale suivie
Une somme importante est en jeu
Vous traitez avec des consommateurs plutôt qu’avec d’autres entreprises
Vous souhaitez choisir une loi applicable ou une juridiction particulière
Vous n’êtes pas sûr que l’accord réponde aux exigences d’un pays donné

En résumé

eIDAS établit un cadre juridique commun pour les signatures électroniques dans toute l’UE.

L’effet juridique et la recevabilité comme preuve d’une signature électronique ne peuvent être refusés au seul motif qu’elle est électronique ou qu’elle ne satisfait pas aux exigences d’une QES.

Cela ne rend pas chaque clic automatiquement valable, contraignant ou tout aussi convaincant comme preuve. La loi applicable, les conditions présentées, l’intention du destinataire et les informations entourant l’acceptation comptent toujours.

Essayez SignToSee gratuitement et créez jusqu’à 3 liens protégés pour votre prochain document client.