Quand on s’apprête à quitter le monde des signatures manuscrites, le prix et la facilité d’usage des signatures électroniques sont les principales motivations.
C’est ensuite que ça se complique.
- Quel niveau de sécurité dois-je choisir, et pour quel usage ?
- Comment dois-je archiver, aussi assurer la confidentialité de mes données ?
- Et puis quelques questions opérationnelles, tout de même : je veux/peux signer quoi ? Comment puis-je être certain de l’intégrité du contenu qui m’engagera ?
Allons-y dans l’ordre :
1. Le procédé qui vous est proposé est-il juridiquement solide ?
Le code-civil dispose que « l’écrit électronique a la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité ».C’est dit avec clarté, mais ça pose immédiatement d’autres questions plus complexes.
Il y a lieu de se référer au règlement européen dit eIDAS, qui s’impose aux états membres. Ce même règlement n’est pas d’une lecture aisée pour un non juriste (Règlement (UE) n ° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014) Il prévoit différents niveaux de sécurité pour identifier les signataires. Un nouveau règlement dit eIDAS 2 devrait être rendu applicable avant la fin 2024. Les principales nouveautés traiteront d’identité numérique (Wallet), d’archivage et des registres électroniques.
En France, l’ANSSI (Agence nationale de la sécurité des systèmes d’information en France) est garante de la sécurité des moyens d’identification, est l’organe de contrôle français des services de confiance qualifiés qui en font la demande. Elle délivre des qualifications qui permettent d’être reconnues comme Services de confiance de l’UE. La société LSTI est actuellement la seule à être habilitée par l’ANSSI à qualifier des prestataires de service de confiance.
Pour vérifier la qualité d’une signature, l’État Français propose un outil nommé e-signature : https://esignature.chorus-pro.gouv.fr/#/verifier/process/(verification:resultat). Téléversez un document signé et lisez la synthèse.
Se pose ensuite d’autres questions :
2. Quel type de signature dois-je choisir ?
Il existe 3 niveaux de signature : simple, avancé et qualifié. Les différences relèvent de l’intégrité des données, de la solidité du lien entre le contrat et la signature et bien-sûr de l’identité des signataires (ce qui est différent de leur qualité). Sur ce dernier point, rien ne change par rapport aux signatures manuscrites : il faut toujours s’assurer que la personne physique ait le pouvoir d’engager une personne morale (Kbis, pouvoir notarié, délégation de pouvoir).
L’ ANSSI à édité un guide de sélection des niveaux de signature et des cachets électroniques. On y retrouve :
- La signature simple : il n’y aucune exigence de mise en œuvre, pas d’audit par un tiers compétent ni de qualification par un organe de contrôle. Sa valeur juridique est limitée, voire faible. Les garanties affichées par les prestataires ne sont que déclaratives.
- La signature avancée « doit être liée au signataire de manière univoque », et donc permettre de l’identifier de manière formelle. Elle exige une double authentification liée au contrôle exclusif des signataires, doit garantir que « l’acte auquel la signature s’attache ne pourra pas être modifié ». Il faut comprendre que la signature avancée se voit imposer un résultat à obtenir et pas les moyens d’y parvenir. Les opérateurs choisissent donc telle ou telle sécurité afin d’augmenter la valeur probante de leur procédé (la présentation d’une pièce d’identité est couramment celle qui est retenue). Les garanties sont déclaratives, ne sont ni auditées ni certifiées.
- La signature avancée avec certificat qualifié et signature qualifiée répondent à des exigences plus strictes. Elles nécessitent un certificat délivré aux signataires par un prestataire de service de confiance. Le procédé le plus courant consiste l’acheter (plusieurs centaines d’euros par signataire). Une rencontre physique est nécessaire pour que le prestataire s’assure de votre identité avant de vous remettre un certificat (clé USB valable quelques années, sans limite de nombre de signatures). Cette signature bénéficie d’une présomption de fiabilité (dit autrement : celui qui nie avoir signé devra en apporter la preuve).
Le 1er mars 2021, l’ANSSI a publié un référentiel d’exigence destiné à fixer les règles de vérification d’identité à distance. Ce sujet était dans les cartons depuis longtemps, s’est vu accéléré à la suite des confinements de 2020.
Le respect de ce référentiel permet d’attester de la mise en œuvre de mesures de réduction de la fraude selon deux niveaux de garantie : substantiel et élevé. A date, 5 prestataires ont obtenu le niveau de garantie substantiel. Ce type de reconnaissance à distance peut être compris comme étant équivalent aux conditions du monde physique. Avec son smartphone, le signataire est invité à filmer sa pièce d’identité en recto/verso puis à filmer son visage en effectuant une action aléatoire (destinée à vérifier qu’il ne s’agit pas d’un enregistrement). Une IA va s’assurer de la concordance de la photographie de la pièce d’identité avec la capture vidéo. Le résultat est alors transmis pour validation à un opérateur humain.
En comparaison avec les certificats achetés et remis en présentiel, la rapidité et l’expérience utilisateur de ce type de vérification d’identité à distance est incomparable.
Et pour quel cas d’usage ?
Je me permets de simplifier les critères de choix :
- Signatures simples : Actes courants ou comportant des risques juridiques et financiers faibles ou limités
- Signatures avancées : transactions financières plus conséquentes et/ou pouvant présenter des enjeux juridiques plus importants
- Signatures qualifiées : actes authentiques, actes produisant des effets hors de France, passation de marchés publics, actes de certaines professions règlementées, voire tout contrat pouvant présenter des enjeux majeurs.
Entre Les trois solutions, le choix se fera en analysant le contexte contractuel et juridique, en positionnant le curseur entre l’expérience utilisateur et la solidité (qui s’obtient toujours au détriment de la facilité d’usage),
Les signatures simples sont, et de très loin, les plus répandues en France. A mon sens, elles le sont à l’excès.
A ce titre, la Cour d’appel d’Orléans RG n° 22/00539 a jugé qu’un dossier de preuve d’une signature simple qui ne décrit ni ne justifie les « vérifications concrètement effectuées pour s’assurer de l’identité du signataire » ne peut être reconnu comme tel, qui plus est si « le lien entre la signature et le contrat n’est pas établi ».
On évitera bien-sûr les signatures scannées (Cour de cassation- 13 mars 2024, 22-16.487) et les gri-gri sur les écrans.
3. Quels types de documents voulez-vous signer ?
Par la force des habitudes du papier, voici une question qui n’est que trop rarement posée.
Les signatures électroniques que je me permets d’appeler traditionnelles dématérialisent l’ancien monde. Elles proposent de signer des pdf au lieu de documents papier, de les faire archiver sur des serveurs et plus dans des cartons. Elles ont par contre une limite technologique que le papier n’avait pas : celle du volume documentaire, usuellement de l’ordre de 50 Mo. Pour ces type de support et volumes documentaires, il existe des solutions très sérieuses.
Pour de gros volumes documentaires, Il faut avec ces outils multiplier les parapheurs (il en faut 20 à 25 pour 1 GigaOctet) et qu’ils soient contractuellement liés les uns aux autres pour constituer un ensemble indissociable. On peut aussi appeler ContractChain (attention, pub !) pour ne déposer qu’une signature sur un unique pdf.
Un autre point nous différencie, celui du type de documents. Avec notre procédé, vous pouvez signer tout type de fichier (Excel, Autocad, Revit, photos et films ou tout type de modèle numérique).
Pour un meilleur engagement contractuel, vos contrats pourront alors être constitués d’une documentation plus précise, engageante et opérationnelle qu’avec de simples PDF (prenons l’exemple d’un excel ou les formules sont embarquées ou d’un plan Autocad qui comprendra bien plus de données que sa retranscription en une « image » PDF).
Pour annexer ces types de fichiers (par essence illisibles sans ordinateur), le procédé consiste le plus souvent à retranscrire les données originales en une empreinte numérique qu’on appelle « hash ». Pour l’exemple, si vous ajoutez une virgule dans un texte, l’empreinte sera différente et le fichier ne pourra plus être considéré comme un original. Il existe de nombreuses empreintes numériques, plus ou moins sécures. Il faut choisir celle ou le risque de collision est suffisamment faible pour être considéré comme nul, aussi qu’elle soit sécurisée contre d’éventuelles attaques informatiques.
Même si elle est reconnue pour sa fiabilité, une empreinte numérique doit répondre à l’article 1365 du code-civil, « L’écrit consiste en une suite de lettres, de caractères, de chiffres ou de tous autres signes ou symboles dotés d’une signification intelligible, quel que soit leur support. » Intelligible voulant dire « Qui peut être compris, aisé à comprendre », il ne peut être raisonnablement soutenu qu’un hash (qui s’écrit sous cette forme : db54b29e95f77f3d82e710b3f4315140bb1636f8f12d157a70d701a3a0021509) est intelligible.
La retranscription d’un contenu électronique en un algorithme se doit donc d’être compris et vérifiable de manière aisée et indépendante (d’abord pour le signataire, et éventuellement par un juge ou son sapiteur). A défaut, l’écrit pourrait ne pas permettre « de vérifier le détail de la commande » Art 1127-2 du code-civil, voire être jugé comme inintelligible ou empreint d’un vice de consentement.
Ce sujet, qui fusionne le droit et l’informatique, nécessite que vous en ayez une connaissance suffisante, pour pouvoir juger de celles des autres. A défaut, des avocats spécialisés sauront vous donner des conseils avisés.
Pour signer des PDF avec de faibles volumes documentaires, il faudra bien-sûr privilégier les solutions qui se limitent à ce service. Elles sont plus simples d’usage, moins onéreuses et ne nécessitent pas de s’assurer que tous les critères décrits dans le présent article ont des réponses adaptées.
4. Comment être certain que les documents à signer sont à la bonne version
D’un point de vue juridique, une signature engage le consentement de son auteur. J’oublie volontairement (et indûment) les sujets de vice de consentement, de dol ou de violence Art 1130 et suivants du code-civil.
Dans le monde du papier, il fallait relire (et se lasser), parapher, tamponner et enfin signer. Les paraphes permettaient de ne pas pouvoir substituer une page, aussi de matérialiser (?) le déroulement d’une relecture.
Sur ce même sujet, les signatures électroniques dématérialisent l’ancien monde en proposant des paraphes, et toujours (évidemment) un simple un clic qui veut dire « je suis loin d’avoir tout relu mais je n’ai pas d’autre choix que cocher cette case pour passer à l’écran suivant».
Dans la vraie vie, et s’il y a une coquille au milieu de milliers de pages, alors chacun la signera.
Pour une parfaite adhésion, ContractChain propose une revue de contrat plus rigoureuse : avant de signer, le co-contractant propose les fichiers qui sont en sa possession (ceux dont il est certain). ContractChain les compare alors aux versions qui ont été certifiés blockchain et qui lui sont proposés. A l’issue de cette double vérification, plus personne ne peut avoir de doute, les coquilles et autres omissions sont écartées.
Nous pensons que cette revue de contrat éclaire de manière certaine et inédite le consentement des parties.
Pour les contrats dont les négociations et mises au point préalables ont été longues et très documentées, nous proposons une phase préalable à la transmission d’un parapheur, avec un outil de mise au point : après que chacune des parties ait déposer le dossier qu’elle pense conforme à son engagement, ContractChain liste les documents qui sont strictement identiques puis, pour les autres, met en avant les différences de contenu (ce qui a été ajouté, supprimé ou déplacé).
Nous permettons donc aux parties de converger de manière itérative
5. Comment s’assurer que les documents signés et archivés sont à la bonne version
Le code-civil précise qu’un écrit électronique doit être » établi et conservé dans des conditions de nature à en garantir l’intégrité ». Sur vos contrats électroniques, fussent-ils sécurisés par une signature, il faut redoubler de vigilance quant aux liens hypertexte qui renvoient nécessairement vers des serveurs extérieurs.
- Leur accès peut être coupé (votre prestataire sera-t-il encore de ce monde dans 10 ans ?)
- Le contenu du lien peut être modifié par son propriétaire sans que quiconque ne le sache (ni vous ni une machine). Pour l’exemple, je peux modifier le contenu du texte que vous êtes en train de lire sans que le lien https qui vous permet d’y accéder ne soit modifié
La liaison entre l’écrit et sa signature peut donc être rompue.
Sauf à pouvoir apporter la preuve du contraire (c’est ce sujet qui doit être traité), il pourrait s’agir d’un vice de consentement. Je serai bien étonné que le risque ne soit pas une nullité du contrat.
Pour vous forger une opinion, ouvrez un contrat signé avec un visualisateur PDF, lisez tout ce qui est lisible, essayez de comprendre comment lire ce qui ne l’est pas, et cliquez sur tout ce qui est cliquable. C’est très instructif.
6. Comment dois-je archiver ?
Un contrat a une durée d’existence opérationnelle, puis une durée de garantie (pouvant dans le domaine de nos clients atteindre 30 ans). Il doit donc être conservé pour cette même durée. Cette conservation doit garantir l’intégrité et la pérennité des données archivées.
Que dois-je archiver ? Les contrats et leurs annexes, les éléments de suivi contractuel, puis tout ce qui décrit l’ouvrage tel qu’exécuté (dans le monde de l’immobilier, c’est cet objet qui est assuré).
Pour ce qui relève de la qualité de la conservation, les tiers-archiveurs numériques se doivent (hors cas particulier – archives publiques, domaine de la santé…) d’être certifiés AFNOR NF 461, de respecter la norme NF Z42-013 et usuellement d’être certifié ISO 27001. Au regard de la durée de vos engagements, il ne sera pas inutile de s’assurer de la respectabilité du prestataire.
Si l’archivage se fait en interne, il faut alors vous assurer que cette prestation est confiée à un service qui en comprend bien les enjeux et donc des règles à appliquer.
Il faut donc exclure un archivage (qu’il faut plutôt nommer conservation) qui serait effectué par un prestataire non qualifié (même s’il l’est pour les signatures), et encore moins si des documents nombreux et/ou volumineux ont été annexées au contrat sans être formellement signés (en cas de perte, de défaut d’intégrité ou d’impossibilité d’en apporter la preuve, la description détaillée du contenu du contrat aura disparu ou pourrait être écartée par un juge).
7. La confidentialité de mes données est-elle un critère ?
Évidemment, personne ne répond non à cette question. Il faut donc savoir dans quelles mains elles se trouvent et les garanties qu’elles vous apportent pour qu’elles ne soient pas utilisées, volées, vendues ou perdues.
Si elles ont transité dans d’autres mains que celles qui devront les archiver durablement, assurez-vous de leur destruction.
Il y a aussi une manière de faire moins risquée : ne pas confier vos données contractuelles à des prestataires non agréés pour l’archivage (ce qui est le cas de ContractChain). Ca tombe bien : si vous le souhaitez, vos données ne transiteront jamais par nos serveurs. On ne pourra donc pas les utiliser, les détruire, les vendre, les perdre ou se les faire voler.
8. Dois-je développer ma propre solution ou acheter cette prestation ?
Si vous êtes destiné à être signataires des contrats, un développement internalisé (et même si vous achetez des certificats) ferait endosser deux rôles à la même entité juridique : celui d’une partie prenante aux obligations, et celui d’un service tiers auquel les signataires doivent (auquel cas « devraient ») faire confiance.
Sauf à ce que la solution développée soit la plus transparente et complète possible, je ne crois pas sage de prendre ce risque. Une « non-présomption de fiabilité » pourrait être interprétée comme une présomption de non-fiabilité.
Synthèse
Au-delà de leur facilité d’usage, les signatures électroniques comportent par nature des risques qui sont bien plus nombreux que dans le monde physique. Ça n’est qu’après une analyse juridique et technique rigoureuse que vous pourrez considérer tel ou tel service comme étant réellement de confiance, et choisir parmi des solutions plus ou moins solides.
Chaque critère technique doit être analysé sous le prisme du code-civil :
- Les signataires doivent être identifiés de manière certaine
- Le contrat doit être établi et conservé dans des conditions de nature à en garantir l’intégrité
Il me parait aussi nécessaire qu’un contrat renforce l’opérationnel (le contenu, son exhaustivité et l’engagement éclairé des signataires) au moins autant que sur ses aspects juridiques. C’est un des points ou les supports numériques vous apporteront une faiblesse ou un progrès (plus qu’une innovation). Lapalisse nous rappelle que 99,9% des contrats sont mis en œuvre alors qu’une infime partie se retrouvera contestée devant un tribunal.
Et enfin une question que j’entends parfois : a-t-on besoin d’une blockchain pour rendre un document infalsifiable ? Non, les signatures électroniques sérieuses font ça très bien.
Mais, hors présence d’un officier ministériel, comment faire pour s’assurer que les données sont exactes, qu’elles sont intègres et le resteront avant de déposer votre signature ?
christophe@contractchain.io
Le 12 mai 2024. V1.2 octobre 2024
Exposé à rattacher au contexte juridique des clients de ContractChain