Règlement eIDAS et loi sur la signature électronique pour les entreprises

L’essentiel en bref : le règlement eIDAS définit, à l’échelle de l’Union européenne, les conditions dans lesquelles une signature électronique est juridiquement assimilée à une signature manuscrite. Il distingue trois niveaux : les signatures électroniques simples, avancées et qualifiées (QES). Conformément à l’article 25 du règlement eIDAS, ces trois niveaux sont admissibles comme moyens de preuve devant les tribunaux, mais seule la signature électronique qualifiée (QES) peut se substituer à la forme écrite légale prévue à l’article 126a du Code civil allemand (BGB). Pour la plupart des processus commerciaux, la signature électronique avancée (FES) suffit.

Le règlement (UE) n° 910/2014, publié au Journal officiel de l’Union européenne en 2014, est directement applicable dans tous les États membres de l’UE depuis juillet 2016. Il a remplacé à la fois l’ancienne loi allemande sur la signature électronique et la directive européenne 1999/93/CE qui en constituait la base. Il est intéressant de noter que les trois niveaux de signature connus aujourd’hui existent pour l’essentiel depuis les années 1990 et sont restés pratiquement inchangés depuis lors. La principale nouveauté apportée par l’eIDAS réside dans le fait que ces niveaux s’imposent désormais de manière contraignante dans tous les États membres de l’UE, alors que l’ancienne directive laissait une marge de manœuvre aux États membres. En outre, l’eIDAS a introduit des innovations concernant les signatures à distance ainsi que les cachets électroniques, les horodatages et les services de notification. Concrètement, cela signifie pour les entreprises qu’un document signé de manière qualifiée en Allemagne est automatiquement reconnu en France ou en Espagne.

Précision terminologique préalable : le terme « signature numérique » désigne techniquement un procédé cryptographique, tandis que « signature électronique » correspond à la notion juridique telle que définie par l’eIDAS. Dans le langage courant, ces deux termes sont souvent utilisés comme synonymes. Dans cet article, nous suivons la définition juridique de l’eIDAS relative à la « signature électronique », mais nous signalons les différences techniques le cas échéant.

La signature électronique simple (EES) désigne tout marquage numérique pouvant être attribué à une personne, comme une signature numérisée. Elle possède la force probante la plus faible et ne nécessite aucune vérification d’identité. Elle n’est donc pas adaptée aux processus commerciaux sérieux impliquant un litige.

La signature électronique avancée (FES) attribue sans ambiguïté la signature à une personne. Elle peut être générée de différentes manières : un pavé de signature signotec enregistre pour cela des caractéristiques biométriques telles que la pression, la vitesse d’écriture, le temps et l’accélération. L’attribution unique peut également s’effectuer via une authentification par mot de passe à usage unique (OTP) envoyé par SMS ou par un contrôle d’identité. Dans les deux cas, c’est la signature cryptographique du PDF, basée sur un certificat, qui garantit que les modifications ultérieures apportées au document restent détectables – et non les données biométriques elles-mêmes. Pour la grande majorité des processus commerciaux ne faisant pas l’objet d’une exigence légale de forme, ce niveau est suffisant sur le plan juridique.

La signature électronique qualifiée (SEQ) repose sur un certificat qualifié délivré par un prestataire de services de confiance et nécessite une vérification préalable de l’identité, par exemple via l’identification vidéo. C’est la seule forme de signature pour laquelle la loi prévoit un allègement de la charge de la preuve : conformément à l’article 25, paragraphe 2, du règlement eIDAS, la signature électronique qualifiée (QES) a la même valeur juridique qu’une signature manuscrite, et, en liaison avec l’article 371a du Code de procédure civile allemand (ZPO), une signature électronique qualifiée dont la validité a été vérifiée bénéficie d’une présomption d’authenticité : en cas de litige, c’est donc à la partie adverse de justifier des doutes sérieux quant à l’authenticité, et non au signataire de prouver celle-ci. La QES est ainsi assimilée à la signature manuscrite et satisfait à l’exigence de la forme écrite prévue par l’article 126a du BGB.

La plupart des contrats conclus dans le cadre des activités commerciales quotidiennes ne sont soumis à aucune exigence de forme. Les contrats de fourniture, de prestation de services et la plupart des contrats de vente peuvent être conclus en toute sécurité juridique au moyen d’un FES. C’est pourquoi les banques ont souvent recours à la signature électronique simple (FES) pour les ouvertures de compte et les contrats de crédit ne soumises à aucune exigence de forme particulière, les compagnies d’assurance pour la conclusion de contrats, le secteur de la santé pour les déclarations de consentement et les services des ressources humaines pour la plupart des contrats de travail.

En revanche, une signature électronique qualifiée (QES) est obligatoire lorsque la loi exige la forme écrite tout en autorisant la forme électronique : c’est le cas, par exemple, des contrats de prêt à la consommation (article 492 du Code civil allemand, BGB) ou des contrats de travail à durée déterminée conformément à l’article 14, paragraphe 4, de la loi sur le travail à temps partiel et à durée déterminée. Il convient également de noter que : pour les baux à durée déterminée de plus d’un an, la forme écrite s’applique en vertu de l’article 550 du BGB, et pour certains types de documents – tels que la déclaration de cautionnement de particuliers en vertu de l’article 766, deuxième phrase, du BGB – la forme électronique est totalement exclue par la loi ; dans ce cas, la signature manuscrite sur papier reste obligatoire, et même une signature électronique qualifiée (QES) ne suffit pas.

Conséquence pratique : avant de numériser un processus, les entreprises devraient vérifier quel niveau de sécurité est réellement requis pour le type de document concerné, plutôt que de recourir systématiquement à la signature électronique qualifiée (QES), plus complexe, par manque de certitude. Un processus de signature juridiquement sûr repose sur trois éléments techniques : une capture biométrique ou basée sur un certificat fiable, un lien inviolable entre la signature et le contenu du document, ainsi qu’une piste d’audit complète. Pour les processus FES locaux, signoSign/2 répond à ces exigences ; pour les cas de QES et à distance, signoSign/Universal est utilisé en association avec un prestataire de services de confiance externe.

Avec l’amendement eIDAS 2.0, entré en vigueur en mai 2024, l’UE met en place un « portefeuille numérique » reconnu par l’État, l’European Digital Identity Wallet (EUDI-Wallet). Les États membres doivent mettre à disposition, d’ici 2026, au moins une application de ce type, grâce à laquelle les citoyens pourront s’identifier et apposer une signature qualifiée dans toute l’Europe. Pour les entreprises traitant un volume important de signatures électroniques qualifiées (QES), il peut être intéressant de se pencher dès maintenant sur cette évolution, car elle devrait simplifier les processus d’identification à moyen terme.

Une signature numérisée a-t-elle une valeur juridique ?

Elle est considérée comme une signature électronique simple, dotée de la force probante la plus faible, et est difficile à prouver en cas de litige.

Le règlement eIDAS remplace-t-il le droit national ?

Non, il vient le compléter. Les dispositions formelles telles que l’article 126a du Code civil allemand (BGB) continuent de déterminer le niveau de signature requis dans chaque cas particulier.

Peut-on créer une signature électronique qualifiée (QES) à l’aide d’un pavé de signature ?

Pas directement, car cela nécessite une procédure basée sur un certificat. En combinaison avec un prestataire de services de confiance et signoSign/Universal, il est possible de mettre en place ce processus.

Une signature électronique allemande est-elle également valable dans les autres pays de l’UE ?

Oui. La reconnaissance mutuelle des signatures électroniques dans tous les États membres de l’UE est l’objectif principal du règlement eIDAS et s’applique aux trois niveaux de signature, et pas uniquement à la signature électronique qualifiée (QES).

Combien coûte une signature électronique qualifiée ?

Une signature électronique qualifiée (QES) sans identification coûte généralement entre un et deux euros par opération de signature. À cela s’ajoute, selon le prestataire, la procédure d’identification, dont le coût est souvent compris entre dix et vingt euros. Ces coûts rendent la signature électronique qualifiée peu rentable pour de nombreuses opérations commerciales courantes – une raison supplémentaire de ne l’utiliser de manière ciblée que lorsque la loi l’exige.

Le règlement eIDAS précise clairement dans quelles conditions les signatures électroniques sont juridiquement valables, sans pour autant contraindre automatiquement les entreprises à opter pour la solution la plus coûteuse. En choisissant le niveau de signature adapté à chaque type de document, il est possible d’accélérer les processus de signature sans compromettre la sécurité juridique. Depuis plus de 25 ans, signotec accompagne les entreprises en leur proposant des solutions matérielles et logicielles qui répondent à toutes les exigences, de la signature électronique simple à la signature électronique qualifiée.

Sources principales : Règlement (UE) n° 910/2014 (règlement eIDAS) ; Directive 1999/93/CE ; § 126a du BGB ; § 492 du BGB ; § 550 du BGB ; § 766, 2e phrase, du BGB ; § 14, al. 4, de la TzBfG ; § 371a du ZPO.