Explications des différentes signatures électroniques eIDAS

Le volet du Règlement (UE) n° 910/2014 relatif à l'identification électronique introduit et formalise trois niveaux distincts de signature et de cachet électroniques. Chacun des niveaux possède des caractéristiques, des usages et des effets juridiques différents que nous allons détailler dans cet article.

Une fois les niveaux de signature et de cachet électroniques présentés, des éléments de réflexion permettant de choisir le niveau le plus pertinent au regard de vos besoins seront proposés.

Afin de simplifier la lecture de l'article, seul le terme « signature électronique » sera utilisé pour parler indifféremment de signature et de cachet électroniques.

La signature électronique dite « simple »

La signature électronique dite « simple » - Simple Electronic Signature (SES) - est le niveau le plus élémentaire de signature électronique en raison de l'accessibilité et de la simplicité d'utilisation pour accepter quelque chose par voie électronique. Il peut ainsi s’agir de données figurant sur un formulaire électronique accessible depuis une tablette et utilisé par un signataire pour signer avec un stylet.

La signature électronique avancée

La signature électronique avancée

La signature électronique avancée - Advanced Electronic Signature (AES) - correspond au deuxième niveau du Règlement eIDAS et doit répondre aux exigences spécifiques formalisées par l'article 26 du Règlement. Ce niveau de signature électronique doit ainsi permettre, en principe, d’identifier le signataire.

La signature électronique avancée reposant sur un certificat qualifié

Ce niveau de signature reprend les mêmes exigences que la signature électronique avancée décrite ci-dessus. L'utilisation d'un certificat électronique qualifié apporte un degré d'assurance supplémentaire sur la fiabilité d’identité du signataire.

La signature électronique qualifiée

La signature électronique qualifiée - Qualified Electronic Signature (QES) - est le troisième niveau du Règlement eIDAS et le niveau le plus élevé en termes de fiabilité de l’identité du signataire, en se reposant sur un certificat qualifié de signature électronique, et de sécurité des données contenues dans le document signé grâce à l’utilisation d’un dispositif de création de signatures électroniques qualifiées - Qualified electronic Signature Creation Device (QSCD) -.

Quelle signature choisir pour quel usage ?

Analyse des besoins et des risques

Afin d'analyser le plus précisément possible les besoins et les risques associés à la signature d'un document de manière électronique, les éléments suivants peuvent aider au choix d'un niveau de signature électronique adapté.

  • Quels sont les besoins de reconnaissance du document à signer ?

La portée du document à signer (nationale, européenne, internationale) et le type de document (acte sous seing privé, acte notarié, décision administrative, etc.) sont à prendre en considération dans la sélection du niveau de signature électronique.

  • Quelles sont les obligations réglementaires ?

Le recensement des obligations réglementaires spécifiques au besoin doit permettre de déterminer un niveau minimal de signature électronique obligatoire. Le choix d'un niveau de signature supérieur à celui obligatoire peut être retenu en fonction du résultat des autres risques.

  • Quelle est la vraisemblance d'occurrence d'un litige ?

L’estimation de la probabilité de survenue d’un litige sur une période donnée et de la gravité du litige (impacts liés à l’annulation de l’acte signé électroniquement) permettent de se positionner sur le niveau offrant les garanties de fiabilité et de sécurité adéquates.

Ainsi, plus la vraisemblance et la gravité estimées d’un litige sont importantes, plus la sélection d’un niveau de signature électronique disposant d’une force probante élevée est recommandée.

Synthèse des caractéristiques des signatures électroniques

Simple
  • Peu de contraintes pour l'utilisateur et le prestataire.
  • Accessible au grand public à faible coût étant donné les nombreuses solutions disponibles.
Avancée
  • Contraintes variables pour l'utilisateur en fonction des dispositifs et procédures de collecte et de vérification d'identité mis en place par le prestataire.
  • Solution généralement peu coûteuse pour l'utilisateur.
  • Contraintes et coûts variables pour le prestataire en fonction des éventuelles certifications passées.
Avancée + certificat qualifié
  • Coût et contraintes significatifs pour l'utilisateur étant donné les contraintes liées à la vérification d'identité, i.e. soit lors d'un face à face physique avec un agent qualifié, soit en utilisant un service de vérification d’identité à distance certifié PVID, soit en fournissant une identité électronique préalablement établie.
Qualifiée
  • Contraintes procédurales et techniques importantes pour l'identification des signataires et la réalisation de la signature.
  • Coûts de mise en œuvre généralement élevés.
Simple
  • La signature ne peut pas être refusée au seul motif qu'elle est électronique (Article 25).
  • Nécessité d'apporter la preuve de la fiabilité via un dossier de preuve (intégrité des données, horodatage électronique et identité du signataire).
Avancée
  • La signature ne peut pas être refusée au seul motif qu'elle est électronique (Article 25).
  • Nécessité d'apporter la preuve de la fiabilité via un dossier de preuve (intégrité des données, horodatage électronique et identité du signataire).
Avancée + certificat qualifié
  • La signature ne peut pas être refusée au seul motif qu'elle est électronique (Article 25).
  • Nécessité d'apporter la preuve de la fiabilité via un dossier de preuve (intégrité des données, horodatage électronique et identité du signataire). La preuve de l'identité du signataire est simplifiée par l'utilisation d'un certificat électronique qualifié.
Qualifiée
  • Effet juridique équivalent à celui d'une signature manuscrite.
  • Présomption de fiabilité induisant un renversement de la charge de la preuve.
Simple
  • Aucun mécanisme de reconnaissance prévu par le Règlement eIDAS.
Avancée
  • Doit être acceptée par les services en ligne des organismes publics des États membres de l'UE exigeant ou utilisant une signature avancée.
Avancée + certificat qualifié
  • Doit être acceptée par les services en ligne des organismes publics des États membres de l'UE exigeant ou utilisant une signature avancée, une signature avancée avec certificat électronique qualifié.
Qualifiée
  • Doit être acceptée par les services en ligne des organismes publics des États membres de l'UE exigeant ou utilisant une signature avancée, une signature avancée avec certificat électronique qualifié ou une signature électronique qualifiée.
Simple
  • Aucune exigence formalisée par le Règlement.
  • Garanties uniquement déclaratives par le fournisseur de la solution.
  • Aucune vérification obligatoire par un organisme tiers indépendant et accrédité par l'ANSSI, ni par l'organe de contrôle national (ANSSI).
Avancée
  • Dépend des mesures de collecte et de vérification d’identité mises en place par le prestataire.
  • Exigences formalisées, mais aucune vérification obligatoire par un organisme tiers indépendant et accrédité par l'ANSSI, ni par l'organe de contrôle national (ANSSI).
  • Garanties uniquement déclaratives par le fournisseur de la solution.
Avancée + certificat qualifié
  • Identité garantie.
  • Exigences formalisées et vérifiées par un organisme tiers indépendant et accrédité par l'ANSSI, puis confirmées par la qualification délivrée par l'ANSSI.
Qualifiée
  • Identité garantie.
  • Exigences formalisées et vérifiées par un organisme tiers indépendant et accrédité par l'ANSSI, puis confirmées par la qualification délivrée par l'ANSSI.
Simple
  • Aucune exigence formalisée par le Règlement.
  • Aucune vérification obligatoire par un organisme tiers indépendant et accrédité par l'ANSSI, ni par l'organe de contrôle national (ANSSI).
Avancée
  • Aucune exigence formalisée par le Règlement.
  • Aucune vérification obligatoire par un organisme tiers indépendant et accrédité par l'ANSSI, ni par l'organe de contrôle national (ANSSI).
Avancée + certificat qualifié
  • Aucune exigence formalisée par le Règlement.
  • Aucune vérification obligatoire par un organisme tiers indépendant et accrédité par l'ANSSI, ni par l'organe de contrôle national (ANSSI).
Qualifiée
  • Niveau de garantie élevé.
  • Exigences formalisées et vérifiées par un organisme de certification indépendant.

Pour aller plus loin

N'hésitez pas à consulter le guide de la Fédération des Tiers de Confiance du Numérique (FnTC) sur la signature électronqiue pour des compléments sur le cadre réglementaire, les niveaux de signature et des cas d'usages.

https://fntc-numerique.com/upload/file/guides-fntc/LaSignatureElectronique_Definiti.pdf