Une signature numérique sur une proposition a-t-elle une valeur juridique ? Quelle est la différence entre une signature simple, avancée et qualifiée, que dit l'article 25 et que contient un audit trail ? Les règles eIDAS expliquées pour les Pays-Bas et l'UE.
Oui, dans presque tous les cas. Le fondement est le règlement européen eIDAS (UE 910/2014), applicable directement dans chaque État membre depuis 2016 et transposé aux Pays-Bas par l'article 3:15a du Code civil néerlandais. La règle de base est qu'une signature électronique a le même effet juridique qu'une signature manuscrite, tant que la méthode utilisée est suffisamment fiable au regard de la finalité qu'elle sert. Pour une proposition commerciale entre deux entreprises, cette finalité est simple : consigner que le client accepte le périmètre et le prix décrits. Il n'y a aucune raison d'attendre un PDF signé par la poste. Ce qui compte, ce sont les preuves dont vous disposez si un litige survient plus tard sur la question de savoir qui a accepté quelle version et quand. Cet article explique les trois niveaux eIDAS, ce que doit contenir un audit trail et quand vous avez besoin d'un niveau plus élevé. Il s'agit d'informations générales, pas de conseil juridique, consultez donc un avocat en cas de doute.
eIDAS distingue trois niveaux, chacun avec ses exigences. Une signature électronique simple (SES) est toute donnée électronique jointe à d'autres données et utilisée par le signataire pour signer. Un nom saisi sous un e-mail, une case cochée à côté de "j'accepte" ou une signature tracée à la souris sont toutes des SES. Une signature électronique avancée (AES) ajoute quatre exigences : elle est liée au signataire de manière univoque, elle permet d'identifier le signataire, elle est créée à l'aide de moyens que le signataire contrôle seul, et elle est liée au document de telle sorte que toute modification ultérieure soit détectable. Une signature électronique qualifiée (QES) est une AES créée avec un dispositif qualifié de création de signature et fondée sur un certificat qualifié délivré par un prestataire de services de confiance supervisé, aux Pays-Bas sous le contrôle de l'Autorité néerlandaise pour l'infrastructure numérique. Seule la QES est automatiquement équivalente à une signature manuscrite par la loi. Pour la SES et l'AES, un juge apprécie au cas par cas si la méthode était suffisamment fiable.
L'article 25 d'eIDAS est celui qu'il faut connaître. Le paragraphe 1 dispose qu'une signature électronique ne peut être privée d'effet juridique ni d'admissibilité comme preuve au seul motif qu'elle se présente sous forme électronique ou qu'elle ne satisfait pas aux exigences de la signature qualifiée. Cela signifie qu'un juge ne peut pas écarter une SES au motif qu'elle n'est "qu'une" signature électronique. Le paragraphe 2 confère à la QES l'effet juridique d'une signature manuscrite. Le paragraphe 3 dispose qu'une QES fondée sur un certificat délivré dans un État membre est reconnue dans tous les autres. En pratique, cela veut dire qu'une SES vous donne une signature valable, mais qu'en cas de litige vous devez démontrer vous-même que la signature vient du client et que le document n'a pas changé depuis. C'est là qu'intervient l'audit trail.
Un audit trail est le journal de bord autour de la signature et il détermine la force de vos preuves. Un audit trail exploitable contient au moins les éléments suivants. 1. L'identité du signataire : nom et adresse e-mail, ainsi que la manière dont cette personne a eu accès au document, par exemple un lien unique envoyé à cette seule adresse. 2. L'heure de chaque événement : envoi, ouverture, consultation des sections et signature, avec fuseau horaire. 3. L'adresse IP et l'appareil utilisé pour signer. 4. Une empreinte cryptographique du document au moment de la signature, afin de pouvoir montrer que le texte n'a pas changé. 5. La version de la proposition qui a été signée, car les propositions sont souvent révisées après envoi. 6. Un scellement du document signé et un endroit où le client ou un tiers peut vérifier la signature. Proposal Expert fournit une SES au sens d'eIDAS avec exactement ce type d'audit trail : horodatage, journalisation de l'IP, document scellé et URL de vérification unique par signature. La page sur la signature électronique liste les champs que contient le rapport de preuve.
Une QES est requise dans un nombre limité de situations. Lorsqu'une loi prescrit expressément une signature qualifiée, comme pour certains actes et certaines procédures judiciaires ou administratives. Lorsqu'un contrat avec une contrepartie ou une règle sectorielle exige ce niveau, ce que l'on voit surtout chez les institutions financières et dans les marchés publics. Lorsque l'enjeu est suffisamment élevé pour vouloir exclure toute discussion sur l'identité du signataire, par exemple une acquisition ou un contrat de longue durée d'une valeur importante. Et lorsque vous travaillez au-delà des frontières et voulez être certain que la signature est reconnue dans chaque État membre sans discussion. Pour une proposition portant sur un site web, une mission de conseil ou une rénovation, rien de tout cela ne s'applique. Une SES avec un audit trail solide y suffit, et c'est précisément ce que Proposal Expert fournit délibérément.
Un exemple. Une agence marketing envoie lundi une proposition de 14 500 euros à un client via un lien unique. Mardi, le client ouvre la proposition, lit la méthode et le prix, et transfère le lien au directeur financier. Mercredi, le directeur signe via le même lien avec un nom saisi et une case cochée à côté des conditions. Le rapport de preuve montre alors : deux adresses IP et deux appareils différents, l'heure de chaque étape, l'empreinte de la version 2 de la proposition ouverte à ce moment-là, et le scellement apposé après la signature. Si, trois mois plus tard, le client prétend qu'un autre montant avait été convenu, vous pouvez montrer quel texte était à l'écran au moment de la signature et qu'il n'a pas été modifié depuis. C'est exactement la preuve que l'article 25 vous demande avec une SES.
C'est une SES, donc valable en principe, mais la preuve est faible. N'importe qui peut copier cette image et le document peut être modifié après signature sans que cela se voie. Vous n'avez ni horodatage, ni journal, ni scellement. En cas de litige, la question de savoir qui a signé quoi et quand devient difficile à trancher.
Au sein de l'UE, oui, eIDAS s'applique dans chaque État membre. Le Royaume-Uni a conservé après le Brexit sa propre version d'eIDAS qui fonctionne de la même manière dans les grandes lignes. Pour des clients hors d'Europe, par exemple aux États-Unis, d'autres lois comme l'ESIGN Act s'appliquent et elles reconnaissent aussi les signatures électroniques. Pour des montants importants hors UE, vérifiez ce qui s'applique localement.
Tout repose alors sur votre audit trail. Vous montrez que le lien a été envoyé uniquement à l'adresse e-mail du client, depuis quelle adresse IP et quel appareil la signature a été apposée et à quelle heure, et que le document est scellé depuis. Conservez le rapport de preuve avec la proposition signée aussi longtemps que courent l'accord et le délai de prescription.