eIDAS : signatures simples, avancées et qualifiées dans l'UE

Un seul règlement pour toute l'UE

Dans l'Union européenne, les signatures électroniques sont régies par le règlement (UE) n° 910/2014 sur l'identification électronique et les services de confiance, appelé eIDAS. Il s'applique directement dans chaque État membre depuis le 1er juillet 2016; chaque pays n'a donc pas à adopter sa propre version. En 2024, il a été modifié par le règlement (UE) 2024/1183, parfois appelé eIDAS 2, qui ajoute le portefeuille européen d'identité numérique et met à jour les services de confiance. Les trois niveaux de signature décrits ici n'ont pas changé.

Cet article explique les trois niveaux et les cas où chacun est utilisé. Il s'agit de renseignements généraux, et non de conseils juridiques. Le droit des États membres détermine toujours quels documents doivent revêtir une forme particulière; vérifiez donc les règles locales pour tout cas inhabituel.

La règle de base : aucun refus d'effet juridique

L’article 25(1) d’eIDAS prévoit que l’effet juridique et la recevabilité comme preuve en justice d’une signature électronique ne peuvent être refusés au seul motif que cette signature se présente sous une forme électronique ou qu’elle ne satisfait pas aux exigences de la signature qualifiée. En termes simples : tous les niveaux de signature électronique sont valides, et un tribunal doit l’examiner selon ses propres mérites.

La différence entre les niveaux tient à ce que la loi présume. Plus le niveau est élevé, moins vous avez à prouver vous-même.

Signatures électroniques simples

L’article 3(10) définit la signature électronique comme des données sous forme électronique, qui sont jointes ou associées logiquement à d’autres données sous forme électronique et que le signataire utilise pour signer. On parle souvent de signature électronique simple, ou SES.

Un nom saisi, une signature dessinée ou un clic sur un bouton Signer combiné à une vérification par courriel constitue une signature électronique simple. C'est le type le plus courant, utilisé pour les ententes de tous les jours : conditions de vente, ententes de confidentialité, formulaires de fournisseurs, la plupart des documents RH dans de nombreux pays, formulaires de consentement et approbations internes.

Avec une signature simple, en cas de contestation, vous présentez les preuves : la vérification d'identité, le journal des événements, l'horodatage et la preuve que le document n'a pas été modifié. Une bonne piste d'audit est ce qui rend une signature simple solide en pratique.

Signatures électroniques avancées

L’article 26 énonce quatre exigences pour une signature électronique avancée, ou AdES. Elle doit être liée au signataire de manière univoque. Elle doit permettre d’identifier le signataire. Elle doit avoir été créée à l’aide de données de création de signature électronique que le signataire peut, avec un niveau de confiance élevé, utiliser sous son contrôle exclusif. Et elle doit être liée aux données signées de telle sorte que toute modification ultérieure des données soit détectable.

En pratique, les signatures avancées reposent sur des vérifications d'identité plus rigoureuses et sur une cryptographie qui lie la signature au contenu exact du document. On choisit souvent les signatures avancées pour les contrats commerciaux de plus grande valeur, les documents financiers et les ententes pour lesquels les parties souhaitent une présomption plus forte quant à l'identité du signataire.

eSora Sign prend en charge les signatures électroniques simples dans tous les forfaits. Combiné à des vérifications plus robustes, comme les codes par texto, les codes d'accès ou la pièce d'identité avec photo accompagnée d'un égoportrait, et au sceau d'intégrité qui rend détectable toute modification ultérieure du PDF, il est conçu pour répondre aux exigences de la signature avancée. La conformité d'une signature donnée à l'article 26 dépend de la façon dont elle a été configurée; choisissez donc la vérification d'identité en conséquence.

Signatures électroniques qualifiées

Une signature électronique qualifiée (QES) est une signature avancée créée au moyen d'un dispositif qualifié de création de signature et fondée sur un certificat qualifié de signature électronique. Le certificat doit être délivré par un prestataire de services de confiance qualifié figurant sur la liste de confiance d'un État membre de l'UE. L'obtention d'une telle signature nécessite généralement une identité vérifiée, souvent en personne ou au moyen d'une vérification vidéo réglementée.

L’article 25(2) confère aux signatures qualifiées un effet juridique équivalent à celui d’une signature manuscrite. L’article 25(3) prévoit qu’une signature qualifiée fondée sur un certificat qualifié délivré dans un État membre est reconnue en tant que signature qualifiée dans tous les autres États membres.

Les signatures qualifiées sont nécessaires lorsque la loi nationale exige une forme écrite que seule une signature électronique qualifiée (QES) peut remplacer. L'Allemagne en est un exemple courant. Lorsque le Code civil allemand exige la forme écrite, l'article 126a permet la forme électronique seulement avec une signature électronique qualifiée. Certains documents ne peuvent pas du tout être signés électroniquement : en vertu de l'article 623 du Code civil allemand, la fin d'une relation d'emploi exige la forme écrite, et la forme électronique est exclue.

eSora Sign ne délivre pas de certificats qualifiés ni de signatures qualifiées. Si un document doit porter une signature électronique qualifiée (QES), faites appel à un prestataire de services de confiance qualifié pour ce document.

Les cachets électroniques sont différents

Le règlement eIDAS définit aussi les cachets électroniques. Une signature est apposée par une personne physique. Un cachet est apposé par une personne morale, comme une entreprise, pour montrer qu'un document provient d'elle et n'a pas été modifié. Les cachets comportent les trois mêmes niveaux : simple, avancé et qualifié. Lorsque eSora Sign appose son sceau d'intégrité sur un document finalisé, il montre que le fichier n'a pas été modifié depuis la signature; il ne signe pas au nom de qui que ce soit.

Choisir le bon niveau

Commencez par cette question : une loi exige-t-elle une forme précise pour ce document? Sinon, une signature électronique simple accompagnée d'une bonne piste d'audit suffit habituellement, et c'est la plus facile pour les signataires.

Si le document présente un risque plus élevé, ou si l'autre partie demande plus de garanties, utilisez des vérifications d'identité plus rigoureuses afin que la signature puisse satisfaire aux exigences avancées.

Si le droit national exige la forme écrite et que seule une signature qualifiée y satisfait, faites appel à un prestataire qualifié. Si le droit national exclut entièrement la forme électronique, utilisez le papier.

Hors de l'UE

Le Royaume-Uni a conservé une version d'eIDAS dans son droit interne après avoir quitté l'UE, en parallèle de l'article 7 de l'Electronic Communications Act 2000. La Law Commission d'Angleterre et du pays de Galles a confirmé, dans un rapport de 2019, que les signatures électroniques peuvent généralement servir à signer des documents. La Suisse a sa propre loi sur la signature électronique, appelée ZertES. Si vous envoyez des documents à des signataires dans ces pays, le même raisonnement s'applique : adaptez le niveau au document et conservez de bonnes preuves.

Protection des données

Signer un document crée des renseignements personnels : noms, adresses courriel, adresses IP et parfois des images de pièces d'identité. Le Règlement général sur la protection des données (RGPD) s'applique à ces données. Ne demandez que ce dont le document a besoin, définissez des règles de conservation et sachez où les données sont stockées. eSora Sign stocke les données au Canada par défaut, et les espaces de travail Entreprise peuvent choisir la résidence des données dans l'UE.