Signature électronique et RGPD : la maîtrise des données

• Selon la procédure utilisée, une signature électronique génère des données à caractère personnel telles que le nom, l’horodatage ou l’adresse IP ; dans le cas d’une saisie biométrique, s’y ajoutent des caractéristiques telles que la pression exercée, la vitesse d’écriture et la durée.
• Les données de signature biométrique peuvent relever de l’article 9 du RGPD si elles sont utilisées pour identifier de manière univoque une personne – la configuration technique concrète est déterminante.
• En cas de traitement par un prestataire externe, un contrat de sous-traitance conforme à l’article 28 du RGPD est généralement requis.
• signoSign/2 fonctionne en local ; signoSign/Universal est disponible en mode « on-premises » ou sous forme de solution SaaS hébergée en Allemagne.

Cet article ne remplace pas un conseil juridique dans un cas particulier ni une analyse d’impact individuelle en matière de protection des données.

Une signature électronique est-elle conforme au RGPD ? La réponse courte : Oui, si le traitement des données ainsi générées repose sur une base juridique, est garanti contractuellement avec le prestataire et est conçu techniquement de manière à ce que seules les données nécessaires soient collectées et stockées. Ce n’est pas tant la signature elle-même qui est déterminante, mais plutôt la question de savoir quelles données sont générées en arrière-plan et où elles aboutissent.

Chaque signature électronique génère au moins des métadonnées : le nom de la personne signataire, la date et l’heure, souvent l’adresse IP et une valeur de hachage du document signé. Si la signature est saisie à la main sur une tablette de signature signotec, des caractéristiques biométriques s’y ajoutent, telles que la vitesse d’écriture, la pression exercée et la durée de la signature. Ces caractéristiques permettent, en cas de litige, d’attribuer la signature à une personne donnée – à l’instar d’un spécimen de signature sur papier, mais exploitable sous forme numérique.

Les données biométriques font partie des catégories de données faisant l’objet d’une protection particulière lorsqu’elles sont traitées dans le but d’identifier de manière univoque une personne. L’article 4, point 14, du RGPD lie cette définition au fait que les données permettent ou confirment une identification univoque ; l’article 9 du RGPD interdit en principe le traitement de telles données, sauf si l’une des exceptions qui y sont mentionnées s’applique. Dans la pratique, selon la finalité concrète, un consentement explicite peut notamment être envisagé. La base juridique de l’exécution du contrat, prévue à l’article 6, paragraphe 1, point b) du RGPD et souvent utilisée dans d’autres contextes, ne suffit pas à elle seule pour les données relevant de l’article 9.

Dans les solutions signotec, les données biométriques brutes de la signature sont cryptées et intégrées de manière inviolable dans le document PDF : ce n’est pas le document lui-même qui est crypté, mais les données biométriques qu’il contient. Elles ne sont pas conservées dans une base de données centrale à des fins d’identification ; elles servent à la vérification a posteriori d’une personne déjà connue, et non à l’identification initiale à partir d’un ensemble de données. Cette distinction fait l’objet d’interprétations divergentes dans la pratique. Les entreprises ayant des besoins élevés en matière de protection devraient clarifier cette classification avec leur propre délégué à la protection des données et la documenter dans le registre des activités de traitement.

Si la solution de signature est gérée par un prestataire externe ou un prestataire de services de confiance, celui-ci traite les données à caractère personnel pour le compte du responsable du traitement. Cela nécessite un contrat de sous-traitance conformément à l’article 28 du RGPD, qui régit notamment la finalité, la durée, la nature des données, les catégories de personnes concernées, les mesures techniques et organisationnelles ainsi que les délais de suppression. Si un prestataire de services de confiance est impliqué dans la signature électronique qualifiée, s’ajoute à cela son obligation légale de conservation des certificats de signature, qui s’applique indépendamment de la politique de suppression de l’entreprise.

Une différence majeure par rapport à de nombreuses solutions de signature : signoSign/2 fonctionne en local sur le poste de travail ou le serveur de terminaux. signoSign/Universal peut être exploité sur site, dans votre propre centre de données. Les données de signature et les documents signés restent ainsi au sein de votre propre infrastructure informatique. Pour les entreprises soumises à des exigences strictes en matière de conformité, notamment dans le secteur de la santé ou dans le secteur financier, cela peut réduire les efforts de coordination lors du traitement des commandes, car il n’est plus nécessaire de faire appel à un prestataire externe supplémentaire.

Les utilisateurs de signoSign/Universal en mode SaaS peuvent également identifier clairement l’emplacement de stockage : signotec certifie que l’hébergement et la localisation des données de la solution cloud se font en Allemagne. Le traitement est régi par un contrat de sous-traitance conformément à l’article 28 du RGPD, qui définit la finalité, la durée et les mesures techniques.

• Consigner l’activité de traitement dans le registre prévu à l’article 30 du RGPD, en précisant notamment la finalité et la base juridique
• Vérifier si, dans la configuration concrète, les données de signature biométriques relèvent de l’article 9 du RGPD, et consigner le résultat
• Conclure un contrat de sous-traitance avec le prestataire de services de signature ou le prestataire de services de confiance
• Préciser le lieu de stockage des données : sur site, dans un centre de données situé dans l’UE ou dans un pays tiers
• Définir les délais de suppression des données de signature, en tenant compte des obligations légales de conservation des certificats
• Mettre en œuvre techniquement les droits des personnes concernées, par exemple l’accès aux données de signature stockées

Les données de signature biométrique sont-elles automatiquement considérées comme des données particulièrement protégées ?

Non, cela dépend de leur conception technique et de leur finalité. Le critère déterminant est de savoir si les données sont utilisées pour une identification univoque ou si elles servent exclusivement à vérifier une signature déjà connue. C’est de cette classification que dépend la base juridique dont vous avez besoin pour le traitement.

Chaque signature électronique nécessite-t-elle un consentement au titre du RGPD ?

Pas nécessairement. Souvent, le traitement repose sur l’exécution d’un contrat, conformément à l’article 6, paragraphe 1, point b) du RGPD. Il en va autrement si, dans le contexte concret, les données de signature biométriques relèvent de l’article 9 du RGPD. Dans ce cas, l’exécution du contrat ne suffit pas à elle seule ; une exception prévue à l’article 9, paragraphe 2, du RGPD doit également s’appliquer, ce qui, dans la pratique, peut par exemple correspondre au consentement explicite, selon la finalité.

Pendant combien de temps les données de signature peuvent-elles être conservées ?

Cela dépend de la finalité du traitement et des éventuelles obligations légales de conservation, issues par exemple du droit commercial ou fiscal. Il n’existe pas de délai forfaitaire.

Une solution de signature dans le cloud est-elle automatiquement interdite ?

Non, les solutions cloud peuvent également être exploitées en conformité avec le RGPD, à condition que le traitement en sous-traitance, le lieu de stockage et les mesures techniques soient réglementés en conséquence. Le déploiement sur site ne fait que réduire le nombre de sous-traitants impliqués.

Qui est responsable en cas de perte de données par le fournisseur de services de signature ?

En principe, l’entreprise, en tant que responsable du traitement, reste redevable vis-à-vis des personnes concernées, mais elle peut se prémunir vis-à-vis du fournisseur par le biais du contrat de sous-traitance.

La conformité au RGPD en matière de signatures électroniques n’est pas un état que l’on obtient uniquement grâce à un outil, mais le résultat d’une conception technique, de garanties contractuelles et d’une documentation adéquate. Les utilisateurs de signoSign/2 en mode local ou de signoSign/Universal On-Premises peuvent réduire le nombre de sous-traitants impliqués. Pour la version SaaS de signoSign/Universal, signotec assure l’hébergement en Allemagne. N’hésitez pas à contacter notre équipe si vous souhaitez mettre en place ou vérifier la conformité de votre configuration de signature avec la réglementation sur la protection des données.