La signature électronique. Aspects juridiques et socials J.F. KAMDEM

Transcription

1 La signature électronique Aspects juridiques et socials J.F. KAMDEM Guillaume PERRIER Jean PRIVAT 17 juin 2001

2 Table des matières Introduction 2 1 Généralités sur la signature électronique Définition technique et juridique Point de vue de l union européenne La reconnaissance juridique Les effets juridiques de la signature électronique Les conditions de validité de la signature électronique Données législatives La loi française La redéfinition de la preuve littérale La consécration de la force probante de l écrit électronique Droit québécois Les solutions en Common Law Cas allemand Solution italienne Aspect particulier : les prestataires de services de certification Rôle des tiers certificateurs La fourniture de services de certification La responsabilité des PSC Libre circulation des produits Aspects internationaux Quelques prestataires reconnus Conclusion 17 Annexes 18 A Extraits du Code civil français 19 B Directive européenne 22 C Bibliographie 36 C.1 Ouvrages et monographies C.2 Sites Internet

3 Introduction Le développement et l utilisation des nouvelles infrastructures de communication numériques sont en passe de devenir l un des enjeux du troisième millénaire. Aujourd hui, sous l impulsion de ces nouvelles technologies telles que le multimédia et le réseau Internet, on assiste à une véritable mutation du secteur de la distribution et à une modification des modes de commercialisation. A cet égard, le succès d Internet, qualifié de réseau des réseaux attise déjà la convoitise de nombreux opérateurs économiques qui y voient un nouveau marché aux débouchés commerciaux importants. Le caractère très particulier de ce nouveau mode de commercialisation suscite cependant, un certain nombre de questions et de préoccupations d ordre juridique. L essor rapide de ces échanges à partir de l ordinateur, le succès du réseau informatique ouvert Internet, et vraisemblablement, celui d autres réseaux à venir, plaident pour que des principes de fonctionnement soient dégagés prioritairement. La question centrale à laquelle il nous faut répondre est la suivante : les règles juridiques existantes du droit des contrats peuvent-elles s adapter aux opérations du commerce électronique ou, à l inverse, les nouveaux impératifs de sécurité liés à la nature des transactions rendent-ils indispensables l élaboration de règles spécifiques à Internet? La réponse n est pas aisée. En effet même si le commerce électronique n est rien d autre qu une technique de commerce parmi d autre, il repose sur des particularités qui conduisent à un bouleversement des pratiques juridiques traditionnelles. En effet, le commerce électronique implique une dématérialisation totale des relations entre les différents acteurs économiques (banques, commerçants, prestataires de services) et leurs clients. La question est encore plus aiguë pour la plupart des pays dont les exigences légales s accommodent mal à l informatique. Certaines règles sont totalement incompatibles avec le commerce électronique. La plupart des législations européennes n apportent actuellement pas de solutions assurant une sécurité juridique optimale. Or, pour tirer le meilleur parti des possibilités qu offre aujourd hui le commerce électronique, il est nécessaire d instaurer un environnement juridique sûr en ce qui concerne notamment l authentification électronique. A cet égard, une législation adaptée aux innovations technologiques permettra de gagner la confiance non seulement des professionnels mais aussi celles des consommateurs et constituera un atout majeur pour ces pays. On peut d autre part relever que les messages électroniques se substituent désormais fréquemment aux documents sur support papier. Ce processus donne lieu à de 2

4 multiples interrogations sur le statut juridique des messages électronique. Lorsque la loi exige un écrit, peuvent-ils satisfaire à cette obligation? Ces messages sont-ils dotés d une valeur probante? Une signature électronique peut-elle conférer à un message électronique une valeur juridique? Il apparaît sans conteste que cette dématérialisation des échanges contractuels bouleverse les données fondamentales du droit de la preuve. Or les principes de ce droit s ancrent dans une réalité matérielle. Dans un environnement électronique, l original d un contrat ne se distingue pas d une copie, ne comporte aucune signature manuscrite et n est transcrit sur aucun papier. Nombres de contrats ainsi conclus supposeraient en effet, pour leur efficacité juridique, une signature manuscrite. Certains problèmes peuvent dès lors se poser lorsqu il s agit de transposer les concepts d écrit et de signature aux pratiques actuelles de communication. Le développement du commerce électronique est conditionné par une sécurisation complète des transactions. Différents impératifs doivent à cette fin être satisfaits. Les différents intervenants impliqués dans l opération commerciale doivent pouvoir s assurer que les messages qu ils reçoivent proviennent effectivement de l auteur présumé. A ce titre, la signature électronique constituera un aspect essentiel de la réalité du contrat virtuel. Dans ce domaine, comme nous l avons souligné, les initiatives législatives se multiplient dans plusieurs Etats d Europe et du monde en général. Or, la notion même de signature ne recouvre pas les mêmes réalités dans les systèmes juridiques gouvernés par la Common Law 1 et dans les droits français ou luxembourgeois. Les systèmes de preuve varient d un droit à l autre. L étude comparative de ces différents systèmes juridiques permettra d enrichir notre réflexion et d apporter les solutions nécessaires et suffisantes à l adaptation des nouvelles technologies. On peut cependant relever que traditionnellement, les liens contractuels sont fondés sur la reconnaissance des fonctions de la signature apposée sur les contrats. Ces fonctions sont l identification des contractants et la marque de leur adhésion au contrat. Diverses techniques sont actuellement sur le marché ou en cours de mise au point, qui consistent à créer les conditions techniques pour qu une signature électronique présente un certain nombre, ou la totalité, des fonctions perçues comme caractéristiques d une signature manuscrite. Ces techniques se sont particulièrement développées ces dernières années. C est ainsi que divers Etats, considérant que cette méthodologie résout les problèmes d identification des intervenants et de l intégralité des contenus circulant dans un cyberespace, ont déjà retenu la signature numérique (Allemagne, Italie, Danemark, certains Etats des Etats-Unis, le Québec...). On peut penser que l emploi de cette signature se généralisera en raison de sa capacité à remplir les fonctions traditionnelles de la signature. On s aperçoit également qu une harmonisation au niveau international doit s imposer. Tel est le constat dressé par la CNUDCI 2 à partir duquel elle a adopté, le 12 juin 1997, une loi type sur le commerce électronique. Ce sont ces mêmes préoccupations qui inspirent les travaux actuellement menés par la Commission européenne. En outre, un projet de Directive communautaire sur la signature électronique est en préparation pour la mise en oeuvre d un cadre réglementaire approprié. 1. Droit d Etat, droit coutumier, civil (méthode de droit en Angleterre établie par les juges 2. Commission des Nations Unies pour le droit commercial international 3

5 L ensemble de ces projets est regardé avec beaucoup d attention par les Gouvernements qui ont engagé un vaste travail de réforme et de modernisation de leur législation. Il semble en tout état de cause que l objectif à satisfaire est bien celui d une sécurité optimale des transactions en ligne. En toute hypothèse, même si le commerce électronique ne justifie pas un bouleversement systématique des règles applicables, un sérieux approfondissement des concepts est nécessaire, accompagné du remodelage d un certain nombre de textes fondamentaux. 4

6 Chapitre 1 Généralités sur la signature électronique Le début sur la signature électronique est né du développement du commerce électronique. L idée est de sécuriser les échanges commerciaux par un cadre législatif approprié aux diverses contraintes. Des études sur ce thème ont été lancées, notamment, par la commission européenne. Nous verrons la directive qui en est ressortie, ainsi que la loi française respectant cette directive. En effet, la loi française n est compréhensible qu à la lumière du texte de la directive. C est pourquoi nous verrons cette directive avant la loi française. Mais avant cela, une définition technique et juridique est utile, pour cerner le problème. 1.1 Définition technique et juridique Le développement du commerce électronique est subordonné à l existence de garanties sur la sécurité des transmissions de données et des paiements en ligne. Grâce à un système de chiffrement appliqué au message transmis, sans que ce dernier soit nécessairement lui-même chiffré, la signature électronique constitue une réponse au problème, car elle garantit l authenticité et l intégrité des données, ainsi que l identité du signataire. Si la confidentialité est requise, il faut chiffrer le contenu du message. De façon générale, le chiffrement consiste à rendre le texte d un message illisible pour qui ne détient pas la clé de déchiffrement. Dans les systèmes de chiffrement symétriques, une seule clé sert à la fois à chiffrer et à déchiffrer les données. Elle doit être gardée secrète par les parties intéressées pour que la sécurité de l information soit garantie. L inconvénient principal réside dans le fait que l expéditeur et le destinataire doivent convenir à l avance de la clé et doivent disposer d un canal sûr pour l échanger. C est pourquoi les systèmes de signature électronique qui se développent depuis quelques années reposent sur des algorithmes de chiffrement asymétriques, où, de plus, chaque utilisateur dispose de deux clés, une clé publique et une clé privée. Ces 5

7 deux clés sont elles-mêmes créées à l aide d algorithmes mathématiques. Elles sont associées l une à l autre de façon unique et sont propres à un utilisateur donné. Un message chiffré à l aide d un algorithme asymétrique et d une clé privée, qui constitue l un des paramètres de l algorithme, ne peut être déchiffré qu avec la clé publique correspondante, et inversement. La clé publique doit donc être connue de tous, tandis que la clé privée reste secrète, la carte à puce semblant être le meilleur support de stockage des clés privées. Lorsque l algorithme de chiffrement asymétrique est utilisé seulement pour créer la signature électronique, les mêmes clés, privée et publique, sont utilisées, mais seulement pour vérifier l authenticité et l intégrité du message. Ces signatures électroniques, obtenues par l application d algorithmes asymétriques, sont parfois qualifiées de numériques ou de digitales, par opposition aux signatures électroniques créées au moyen d autres dispositifs. Selon la CNUDCI, une signature numérique est «une valeur numérique apposée à un message de données et qui, grâce à une procédure mathématique bien connue associée à la clé cryptographique privée de l expéditeur, permet de déterminer que cette valeur numérique a été créée à partir de la clé cryptographique privée de l expéditeur. Les procédures mathématiques utilisées pour créer les signatures numériques sont fondées sur le chiffrement de la clé publique. Appliquées à un message de données, ces procédures mathématiques opèrent une transformation du message de telle sorte qu une personne disposant du message initial et de la clé publique de l expéditeur peut déterminer avec exactitude : a) si la transformation a été opérée à l aide de la clé privée correspondant à celle de l expéditeur ; et b) si le message initial a été altéré une fois sa transformation opérée (...)» Contrairement à la signature manuscrite, la signature numérique, composée de chiffres, de lettres et d autres signes, ne comporte aucun élément permettant de l attribuer à une personne donnée. Chaque utilisateur doit donc établir avec certitude l identité de ses correspondants. C est pourquoi on recourt à des services de certification, souvent désignés comme tiers de certification, qui disposent de la confiance de chacun et qui garantissent l appartenance d une signature à une personne. Comme le destinataire utilise la clé publique de l expéditeur pour vérifier la signature électronique de ce dernier, la vérification suppose que le tiers certifie au destinataire que la clé publique qu il utilise correspond bien à la clé privée de l expéditeur signataire et que ce dernier est bien celui qu il prétend être. Les tiers de certification délivrent donc des certificats d authentification qui contiennent, d une part, divers renseignements sur la personne dont on souhaite vérifier l identité (nom, prénom, date de naissance...) et, d autre part, sa clé publique. Ces certificats sont généralement réunis dans des bases de données mises en ligne sur le réseau Internet, ce qui permet à chacun d y accéder facilement. La signature numérique constitue donc un bloc de données créé à l aide d une clé privée ; la clé publique correspondante et le certificat permettent de vérifier que la signature provient réellement de la clé privée associée, qu elle est bien celle de l expéditeur et que le message n a pas été altéré. 1.2 Point de vue de l union européenne Le 13 mai 1998, la Commission a présenté la proposition de directive sur un cadre commun pour les signatures électroniques. 6

8 Le Parlement européen l a approuvée le 13 janvier 1999, après avoir introduit quelques amendements. La Commission a donc présenté une proposition modifiée le 29 avril 1999, sur laquelle le Conseil a adopté une position commune. Le 27 octobre 1999, le Parlement européen a adopté quelques amendements formels à ce texte, sur lequel le Conseil s est prononcé le 29 novembre La reconnaissance juridique L article premier de la directive énonce : «L objectif de la présente directive est de faciliter l utilisation des signatures électroniques et de contribuer à leur reconnaissance juridique (...)». A l article suivant, elle définit deux niveaux de signature électronique. Elle distingue en effet la signature électronique, qu elle qualifie de «donnée sous forme électronique, qui est jointe ou liée logiquement à d autres données électroniques et qui sert de méthode d authentification», de la signature électronique avancée, qui doit en outre satisfaire aux exigences suivantes : être liée uniquement au signataire ; permettre d identifier le signataire ; être créée par des moyens que le signataire puisse garder sous son contrôle exclusif ; et être liée aux données auxquelles elle se rapporte de telle sorte que toute modification ultérieure des données soit détectable Les effets juridiques de la signature électronique D après la directive, seules les signatures électroniques créées dans des conditions de sécurité optimale peuvent avoir la même valeur que les signatures manuscrites. En effet, cette équivalence est réservée aux signatures électroniques avancées «basées sur un certificat qualifié et créées par un dispositif sécurisé de création de signature». Toutefois, les autres signatures électroniques doivent pouvoir être reconnues en justice. Le seul fait qu elles ne reposent pas sur un certificat qualifié, que le certificat n ait pas été délivré par un tiers de certification agréé, ou qu elles ne résultent pas d un dispositif sécurisé de création de signature ne doit pas empêcher a priori qu elles soient reçues comme preuves Les conditions de validité de la signature électronique La recevabilité en justice des signatures électroniques et la qualification de signature électronique avancée, reposent sur des conditions relatives : Les certificats Les titulaires des certificats sont des personnes physiques qui peuvent, le cas échéant, agir pour le compte d une personne morale. La directive ne mentionne aucune indication de durée de validité maximale pour les certificats. 7

9 L annexe I de la directive énumère les exigences relatives aux certificats qualifiés. Les tiers de certification Si la fourniture de services de certification ne peut être soumise à une autorisation préalable, et peut être assurée par toute personne physique ou morale, les Etats membres doivent cependant instaurer un système de contrôle des tiers de certification. La directive prévoit par ailleurs que les Etats membres puissent, pour «améliorer le niveau du service de certification fourni», instaurer un système d accréditation. L annexe II de la directive définit les exigences concernant les tiers de certification qui délivrent des certificats agréés. La directive prévoit la responsabilité des tiers de certification pour tout préjudice causé par l utilisation d un certificat inexact ou invalide. Ils peuvent cependant dégager leur responsabilité en prouvant qu ils n ont commis aucune négligence. Le dispositif de création de la signature électronique Les dispositifs sécurisés de création de signature sont définis à l annexe III de la directive. 8

10 Chapitre 2 Données législatives Le problème est mondial, ce qui n est pas le cas des législations des différents états. Chaque pays doit donc développer une solution propre. Voyons quelques exemples de ce qui a déjà été fait, en France, au Québec, dans le Common Law, en Allemagne et en Italie. 2.1 La loi française Le texte adopté par la commission des lois du sénat, après avoir été voté à l unanimité par le Sénat le 8 février 2000, a été adopté dans des termes identiques par l Assemblée Nationale le 29 février La loi n o du 13 mars 2000 portant adaptation du droit de la preuve aux technologies de l information et relative à la signature électronique a été ainsi adoptée. Le texte qui a été adopté modifie les règles du Code civil relatives à la preuve, en consacrant la valeur probante de l écrit sous forme électronique, d une part, et en introduisant la signature électronique dans notre droit, d autre part. La loi est saluée comme constituant une avancée fondamentale du droit de la preuve. Pourtant, l apport de la loi reste limité au domaine de la preuve, et de nombreuses questions techniques devront être résolues avant que l écrit électronique ne puisse se substituer effectivement aux échanges de documents sur «papier». La loi comporte deux volets particulièrement novateurs : la redéfinition de la preuve littérale et la consécration de la force probante de l écrit électronique La redéfinition de la preuve littérale Selon le nouvel article 1316 du Code civil : «La preuve littérale, ou preuve par écrit, résulte d une suite de lettres, de caractères, de chiffres ou de tous autres signes ou symboles dotés d une signification intelligible, quels que soient leur support et leurs modalités de transmission». 9

11 La définition de la preuve par écrit est donc extensive, ce qui valide toutes formes d écrits, y compris mais non exclusivement ceux sous formes électroniques. Traditionnellement, l écrit avait fini par se confondre avec son support papier. Pourtant, le dictionnaire définit l écriture comme «une représentation de la parole et de la pensée par des signes», sans qu il soit fait référence à un quelconque support papier. La loi met donc fin à cette confusion : la preuve littérale est redéfinie afin de la rendre indépendante de son support. La preuve littérale ne s identifie plus au papier, ne dépend ni de son support matériel, ni de ses modalités de transmission. La définition respecte ainsi le principe de neutralité technologique. La suite de signes constituant l écrit doit être ordonné de manière à être intelligible : l écrit doit pouvoir être produit de façon lisible et compréhensible par l homme. Un texte peut être crypté, mais il doit pouvoir être déchiffré pour posséder une vocation probatoire La consécration de la force probante de l écrit électronique Selon le nouvel article : «L écrit sous forme électronique est admis en preuve au même titre que l écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu il soit établi et conservé dans des conditions de nature à en garantir l intégrité». L article précise : «L écrit sur support électronique a la même force probante que l écrit sur support papier». Ainsi, le législateur n a pas voulu instituer de hiérarchie entre support électronique et support papier. L avant-projet de loi prévoyait que : «la preuve contraire peut être rapportée contre un écrit électronique sur le fondement de présomptions graves, précises et concordantes.» Il s agissait d un point controversé, certains considérant que donner aux preuves informatiques la même force probante qu aux écrits traditionnels sur support papier aurait été prématuré, d autres considérant au contraire que cela remettait en cause l objectif même qui était poursuivi. L admission d un écrit sous forme électronique en tant que preuve au même titre que l écrit papier est consacrée à la double condition que puisse être identifié celui dont il émane et que les conditions dans lesquelles il est établi et conservé en garantissent l intégrité. Pour les actes unilatéraux, l article 1326 du Code civil prévoyait la mention manuscrite de la somme en toutes lettres et en chiffres. Désormais, les mots «de sa main» sont remplacés par les mots : «par lui-même». 2.2 Droit québécois Le droit québécois a le mérite incontestable d avoir mis fin à l incertitude environnante dans son nouveau Code civil. Ainsi, l article 1387 C.c.Q dispose que «Le contrat est formé au moment où l offrant reçoit l acceptation et au lieu où cette acceptation est reçue, quel qu ait été le moyen utilisé pour la communiquer et lors même que les parties ont convenu de réserver leur accord sur certains éléments secondaires.» Précisons que la question du lieu de formation du contrat se posait déjà dans les relations entre commerçants et consommateurs depuis l adoption de Loi sur la protec- 10

12 tion du consommateur en Celle-ci considère systématiquement que le contrat à distance a été «conclu à l adresse du consommateur». 2.3 Les solutions en Common Law Nous nous contenterons ici d exposer simplement la solution envisagée par la Mailbox rule, introduite aux Etats-Unis sous l influence de l arrêt anglais Adams v. Lindsell, selon lequel une acceptation faite par courrier valide le contrat dès qu elle est postée. La théorie de l expédition prédomine donc en droit américain pour la plupart des contrats à distance, peu importe la synchronicité des moyens de communication envisagés. 2.4 Cas allemand La loi fédérale établissant les conditions générales pour les services d information et de communication, adoptée le 13 juin 1997, comprend plusieurs parties. La troisième correspond à la loi sur la signature digitale, qui est entrée en vigueur le 1er août Une ordonnance, entrée en application le 1er novembre 1997, précise les conditions de mise en oeuvre de cette loi. L article 1er de la loi sur la signature digitale définit l objet de la loi, qui est «de poser les conditions générales auxquelles sont soumises les signatures digitales pour être considérées comme sûres et pour que les faux en signature digitale ou la manipulation des données puissent être établis de manière fiable». La loi sur la signature digitale définit donc les conditions techniques d une transmission fiable des données électroniques, pour que le destinataire soit sûr de l identité de l émetteur et de l intégrité des données transmises. Elle ne traite que de la signature digitale, qui est fondée sur la cryptographie asymétrique et qu elle définit à l article 2 comme : «un sceau attaché à une donnée numérique qui est produit par une clé privée, qui authentifie le propriétaire de la clé et établit l intégrité des données au moyen d une clé publique correspondante fournie avec un certificat de clé, lequel est délivré par un prestataire de service de certification ou par l autorité de contrôle». La loi ne contient aucune disposition explicite sur la recevabilité en justice et sur la valeur probante de la signature digitale. Elle ne remet pas non plus en cause le principe selon lequel le juge apprécie librement la force probante des éléments qui lui sont soumis. 2.5 Solution italienne L article 15-2 de la loi n o 59 du 15 mars 1997 relative à la réforme de l administration publique et à la simplification administrative (dite Loi Bassanini) affirme la valeur juridique des documents électroniques. 11

13 Il énonce en effet : «Les actes, données et documents constitués par l administration publique et par les personnes de droit privé à partir d outils informatiques ou télématiques, les contrats rédigés sous cette même forme, ainsi que leur enregistrement ou leur transmission informatiques, sont valables et produisent tous les effets juridiques au regard de la loi. (...)». Plus loin, le même alinéa prévoit que, dans le délai de six mois suivant l entrée en vigueur de la loi, des dispositions réglementaires devront être prises pour déterminer les critères et les modalités d application de ce principe. Le décret n o 513 du 10 novembre 1997, relatif aux critères et aux modalités de constitution, d archivage et de transmission des documents informatiques et télématiques, pris par le Président de la République pour l application de la disposition légale susmentionnée définit la signature digitale comme «le résultat de la procédure informatique fondée sur un système de clés asymétriques, une publique et une privée, qui permet au signataire, par l intermédiaire de la clé privée, de garantir l origine et l intégrité d un document informatique ou d un ensemble de documents informatiques, et au destinataire, par l intermédiaire de sa clé publique, de vérifier ces deux éléments». Dans certaines conditions, définies par le décret n o 513 du 10 novembre 1997, la signature digitale a la même valeur que la signature manuelle et peut également remplacer un sceau, un poinçon, un tampon, ainsi que n importe quel autre signe ou marque. Ce texte prévoit que, tout comme la signature manuscrite, la signature digitale peut être authentifiée par un officier ministériel : celui-ci, après vérification de l identité de l intéressé et de la validité de la clé utilisée, atteste que la signature électronique a été apposée en sa présence par son titulaire. En revanche, le décret ne traite pas du tout des autres signatures électroniques. 12

14 Chapitre 3 Aspect particulier : les prestataires de services de certification Les procédés de cryptographie à clé publique fournissent ainsi une solution au problème d identification des interlocuteurs échangeant des messages en milieu ouvert. Ce système peut nécessiter l intervention d un tiers : le tiers certificateur, dont le rôle va consister à administrer et publier les clés publiques. 3.1 Rôle des tiers certificateurs Le tiers certificateur permet de s assurer qu une clé publique est bien celle du correspondant, et donc de vérifier son identité et ses pouvoirs. En l absence d un réseau de certification, la question des échanges entre personnes qui ne sont jamais rentrées en relation auparavant reste entière : comment ces personnes vont-elles échanger de manière sécurisée leurs clés publiques, qui garantira que la clé donnée est bien celle de la personne annoncée et non pas celle d un imposteur? Sans certitude sur l identité du cocontractant, la validité de la signature et donc de la transaction peut être contestée. Il existe actuellement des serveurs de clés publiques, mais qui ne fournissent pas toujours de garanties quant à la vérification de l identité des déposants. Pour que le recours au système de cryptage à clé publique offre une sécurité juridique, des réseaux de certification doivent être mis en place. Le tiers certificateur est un organisme, public ou privé, qui émet des certificats électroniques. Le certificat est un registre informatique revêtu d une signature électronique qui identifie l émetteur du certificat, identifie le souscripteur et donne sa clé publique. Il s agit d une sorte de carte d identité électronique qui serait émise par un tiers indépendant et neutre. La signature électronique correspondant à un certificat est considérée appartenir à la personne mentionnée dans le certificat. Un certificat peut permettre de vérifier l identité d une personne, mais également ses pouvoirs et sa capacité, ses qualifications professionnelles (par exemple il sera possible 13

15 de vérifier si la personne est bien médecin, avocat...), le pouvoir d engager une société. La directive sur les signatures électroniques vise à instaurer une reconnaissance communautaire des services de certification des signatures électroniques. D après une recommandation n o 509 de l UIT-T, une autorité de certification est «une autorité chargée par un ou plusieurs utilisateurs de créer et d attribuer leur clé publique et leur certificat» Il a pour fonction de formaliser le lien qui existe entre une personne physique ou morale et une paire de clés asymétrique. Dans la directive, les tiers certificateurs sont appelés prestataires de services de certification» (ou PSC). Le PSC est défini comme : «toute entité ou personne physique ou morale qui délivre des certificats ou fournit d autres services liés aux signatures électroniques» La directive définit le certificat comme une attestation électronique qui lie des données afférentes à la vérification de signature à une personne et confirme l identité de cette personne». Le certificat doit répondre à des exigences fixées par l annexe I de la directive. Le champ d application de la directive est plus large que celui des seules autorités de certification qui délivrent des certificats liés à la signature électronique. Les prestataires de la directive pourront fournir également des services d horodatage, d archivage, des services de publications et de consultation, etc. Cette activité ne fait l objet d aucune réglementation spécifique en droit français, hormis en ce qui concerne la réglementation de la cryptologie. La directive, intégrée dans notre législation, donnera un cadre juridique à ces services. 3.2 La fourniture de services de certification La fourniture de services de certification ne pourra être soumise à aucune autorisation préalable (article 3 de la directive). Les états peuvent prévoir un processus de reconnaissance professionnelle ou accréditation pour l exercice de la mission de PSC. Cependant, la procédure d accréditation repose sur le volontariat et n aurait pas de caractère obligatoire. Le décret régira le système d accréditation volontaire des autorités de certification, conformément à la directive. Par ailleurs, l annexe II de la directive fixe un certain nombre d exigences auxquelles doivent satisfaire les PSC, parmi lesquelles : assurer le fonctionnement d un service d annuaire rapide et sûr et d un service de révocation sûr et immédiat ; vérifier, par des moyens appropriés et conformes au droit national, l identité de la personne à laquelle le certificat est délivré ; utiliser des systèmes fiables ; archiver les informations relatives aux certificats pendant le délai utile, en particulier pour pouvoir fournir une preuve de la certification en justice ; disposer de ressources financières suffisantes. 14

16 3.3 La responsabilité des PSC Il doit exister des garanties juridiques pour le cas où le PSC manquerait à ses obligations. La question de la responsabilité du PSC est particulièrement sensible lorsque le certificat est erroné. La directive prévoit la responsabilité des PSC sur l exactitude des informations certifiées par eux et sur l imputabilité de la signature à la date où le certificat a été délivré (article 6). C est au prestataire de service de prouver qu il n a commis aucune négligence. Or, une preuve négative est très difficile à rapporter... D une manière générale, le PSC a l obligation d assurer la sécurité du système mis en place (voir les Exigences concernant les PSC, Annexe II). 3.4 Libre circulation des produits Les services établis dans un Etat et les éventuelles accréditations délivrées par un Etat devront être reconnus dans les autres Etats. Les produits de signature électronique doivent pouvoir circuler librement sur le marché intérieur. 3.5 Aspects internationaux Dans la perspective de la mise en place d un système de reconnaissance mutuelle des signatures et certificats avec les pays tiers, la directive prévoit les conditions pour que les certificats délivrés par un PSC d un pays tiers soient juridiquement reconnus comme équivalents aux certificats délivrés par un PSC établi dans la Communauté européenne. En particulier, un PSC établit dans la Communauté pourra garantir les certificats d un PSC d un pays tiers. 3.6 Quelques prestataires reconnus Les autorités de certification ne sont pas légion en France, même si on peut penser qu elles se développeront dans le futur. Les chambres de commerce et d industrie ont donc pris la décision de jouer un rôle de chef de file sur ce secteur en créant une autorité de certification dénommée Chambersign. Mais cette initiative ne s arrête pas à la France comme le souligne Frédéric Desclos, directeur commercial de Chambersign France : "C est avant tout un réseau européen". Elle rassemble en effet les chambres de commerce européennes, avec pour l instant une représentation dans dix pays (France, Grande Bretagne, Belgique, Luxembourg, Pays-Bas, Allemagne, Autriche, Italie, Espagne). Elle vise aussi à s étendre à l Amérique du sud (Brésil, Colombie et Uruguay dans un premier temps) et à l Asie. Ce réseau présente un avantage considérable pour cette activité. En effet, la délivrance de certificats électroniques peut se faire par la communication par courrier de diverses photocopies de papiers d identité, factures...mais ceux-ci peuvent être considérés comme plus fiable si leur délivrance est subordonnée à un face à face, ce qui est 15

17 facilité par ce réseau existant appartenant à une organisation d une notoriété importante. Au niveau technique, l infrastructure à clé publique est gérée par le prestataire de services de confiance Certplus, pour le niveau français. Ce service devrait toutefois faire l objet d ici quelque mois d un appel d offre européen, comme le prévoit le code des marchés public. Chaque pays dispose d une autorité de certification, et toutes sont reliées à une autorité racine. Le premier produit de Chambersign est le certificat Inition, proposé à 40 euros. D autres sociétés proposent divers services de certification : Click & Trust (filiale du Groupe Banques Populaires) spécialisé dans les échanges entre entreprises. Omnikles (de la société Omnicertis) une autorité de certification pour les professions libérales. Certinomis (filiale de La Poste et Sagem) comprenant des offres accessibles autant aux particuliers qu aux entreprises. 16

18 Conclusion Les prestataires de services de certification vont devenir de véritables agents de la preuve. A côté des services de signature électronique proprement dits, ils devront proposer également des services d horodatage et d archivage, deux questions étroitement liées à la preuve des actes juridiques, voire même des services de sécurité. L apparition d un tiers certificateur dans la relation contractuelle afin d assurer la preuve de l acte conclu par voie électronique n est pas sans rappeler l acte authentique. La loi du 13 mars 2000 ne fait aucune référence à l intervention des prestataires de services de certification qui interviennent dans le processus de signature électronique et dont le rôle est pourtant fondamental. La question se pose de savoir s il n aurait pas fallu les mentionner dans le texte de la loi. La signature, fonction personnelle, reflet de la personnalité, va se trouver dépersonnalisée et déléguée à un système informatique géré par un tiers, dans lequel l utilisateur devra avoir toute confiance. L intervention d un tiers dans le processus de signature est un changement radical, dont toutes les conséquences non plus juridiques, mais sociologiques, n ont pas encore été mesurées. 17

19 Annexes 18

20 Annexe A Extraits du Code civil français Extraits du Code civil incluant les modifications apportées par la loi n o du 13 mars 2000 (JO du 14 mars 2000) portant adaptation du droit de la preuve aux technologies de l information et relative à la signature électronique Note : les modifications résultant de la loi du 13 mars 2000 apparaissent en italiques. Art Celui qui réclame l exécution d une obligation doit la prouver. Réciproquement, celui qui se prétend libéré, doit justifier le payement ou le fait qui a produit l extinction de son obligation. Art Les règles qui concernent la preuve littérale, la preuve testimoniale, les présomptions, l aveu de la partie et le serment, sont expliquées dans les sections suivantes. Art La preuve littérale, ou preuve par écrit, résulte d une suite de lettres, de caractères, de chiffres ou de tous autres signes ou symboles dotés d une signification intelligible, quels que soient leur support et leurs modalités de transmission. Art L écrit sous forme électronique est admis en preuve au même titre que l écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu il soit établi et conservé dans des conditions de nature à en garantir l intégrité. Art Lorsque la loi n a pas fixé d autres principes, et à défaut de convention valable entre les parties, le juge règle les conflits de preuve littérale en déterminant par tous moyens le titre le plus vraisemblable, quel qu en soit le support. Art L écrit sur support électronique a la même force probante que l écrit sur support papier. Art La signature nécessaire à la perfection d un acte juridique identifie celui qui l appose. Elle manifeste le consentement des parties aux obligations qui découlent de cet acte. Quand elle est apposée par un officier public, elle confère l authenticité à l acte. Lorsqu elle est électronique, elle consiste en l usage d un procédé fiable d identification garantissant son lien avec l acte auquel elle s attache. La fiabilité de ce procédé est présumée, jusqu à preuve contraire, lorsque la signature électronique est créée, l identité du signataire assurée et l intégrité de l acte garantie, dans des conditions fixées par décret en Conseil d Etat. Art L acte authentique est celui qui a été reçu par officiers publics ayant le droit d instrumenter dans le lieu où l acte a été rédigé, et avec les solennités requises. Il 19

21 peut être dressé sur support électronique s il est établi et conservé dans des conditions fixées par décret en Conseil d Etat. Art L acte qui n est point authentique par l incompétence ou l incapacité de l officier, ou par un défaut de forme, vaut comme écriture privée, s il a été signé des parties. Art L acte authentique fait pleine foi de la convention qu il renferme entre les parties contractantes et leurs héritiers ou ayants cause. Néanmoins, en cas de plaintes en faux principal, l exécution de l acte argué de faux sera suspendue par la mise en accusation; et, en cas d inscription de faux faite incidemment, les tribunaux pourront, suivant les circonstances, suspendre provisoirement l exécution de l acte. Art L acte, soit authentique, soit sous seing privé, fait foi entre les parties, même de ce qui n y est exprimé qu en termes énonciatifs, pourvu que l énonciation ait un rapport direct à la disposition. Les énonciations étrangères à la disposition ne peuvent servir que d un commencement de preuve.... Art L acte sous seing privé, reconnu par celui auquel on l oppose, ou légalement tenu pour reconnu, a, entre ceux qui l ont souscrit et entre leurs héritiers et ayants cause, la même foi que l acte authentique. Art Celui auquel on oppose un acte sous seing privé, est obligé d avouer ou de désavouer formellement son écriture ou sa signature. Ses héritiers ou ayants cause peuvent se contenter de déclarer qu ils ne connaissent point l écriture ou la signature de leur auteur. Art Dans le cas où la partie désavoue son écriture ou sa signature, et dans le cas où ses héritiers ou ayants cause déclarent ne les point connaître, la vérification en est ordonnée en justice. Art Les actes sous seing privé qui contiennent des conventions synallagmatiques, ne sont valables qu autant qu ils ont été faits en autant d originaux qu il y a de parties ayant un intérêt distinct. Il suffit d un original pour toutes les personnes ayant le même intérêt. Chaque original doit contenir la mention du nombre des originaux qui en ont été faits. Néanmoins le défaut de mention que les originaux ont été faits doubles, triples, etc., ne peut être opposé par celui qui a exécuté de sa part la convention portée dans l acte. Art L acte juridique par lequel une seule partie s engage envers une autre à lui payer une somme d argent ou à lui livrer un bien fongible doit être constaté dans un titre qui comporte la signature de celui qui souscrit cet engagement ainsi que la mention, écrite "par lui-même", de la somme ou de la quantité en toutes lettres et en chiffres. En cas de différence, l acte sous seing privé vaut pour la somme écrite en toutes lettres.... Art Les actes sous seing privé n ont de date contre les tiers que du jour où ils ont été enregistrés, du jour de la mort de celui ou de l un de ceux qui les ont souscrits, ou du jour où leur substance est constatée dans les actes dressés par des officiers publics, tels que procès-verbaux de scellé ou d inventaire.... Art Les copies, lorsque le titre original subsiste, ne font foi que de ce qui est contenu au titre, dont la représentation peut toujours être exigée. Art Lorsque le titre original n existe plus, les copies font foi d après les distinctions suivantes: Les grosses ou premières expéditions font la même foi que l original; il en est de même des copies qui ont été tirées par l autorité du magistrat, parties 20

22 présentes ou dûment appelées, ou de celles qui ont été tirées en présence des parties et de leur consentement réciproque. Les copies qui, sans l autorité du magistrat, ou sans le consentement des parties, et depuis la délivrance des grosses ou premières expéditions, auront été tirées sur la minute de l acte par le notaire qui l a reçu, ou par l un de ses successeurs, ou par officiers publics qui, en cette qualité, sont dépositaires des minutes, peuvent, au cas de perte de l original, faire foi quand elles sont anciennes. Elles sont considérées comme anciennes quand elles ont plus de trente ans; Si elles ont moins de trente ans, elles ne peuvent servir que de commencement de preuve par écrit. Lorsque les copies tirées sur la minute d un acte ne l auront pas été par le notaire qui l a reçu, ou par l un de ses successeurs, ou par officiers publics qui, en cette qualité, sont dépositaires des minutes, elles ne pourront servir, quelle que soit leur ancienneté, que de commencement de preuve par écrit. Les copies de copies pourront, suivant les circonstances, être considérées comme simples renseignements.... Art Il doit être passé acte devant notaires ou sous signatures privées de toutes choses excédant une somme ou une valeur fixée par décret, même pour dépôts volontaires, et il n est reçu aucune preuve par témoins contre et outre le contenu aux actes, ni sur ce qui serait allégué avoir été dit avant, lors ou depuis les actes, encore qu il s agisse d une somme ou valeur moindre. Le tout sans préjudice de ce qui est prescrit dans les lois relatives au commerce.... Art Les règles ci-dessus reçoivent exception lorsqu il existe un commencement de preuve par écrit. On appelle ainsi tout acte par écrit qui est émané de celui contre lequel la demande est formée, ou de celui qu il représente, et qui rend vraisemblable le fait allégué. Peuvent être considérés par le juge comme équivalant à un commencement de preuve par écrit les déclarations faites par une partie lors de sa comparution personnelle, son refus de répondre ou son absence à la comparution. Art Les règles ci-dessus reçoivent encore exception lorsque l obligation est née d un quasi-contrat, d un délit ou d un quasi-délit, ou lorsque l une des parties, soit n a pas eu la possibilité matérielle ou morale de se procurer une preuve littérale de l acte juridique, soit a perdu le titre qui lui servait de preuve littérale, par suite d un cas fortuit ou d une force majeure. Elles reçoivent aussi exception lorsqu une partie ou le dépositaire n a pas conservé le titre original et présente une copie qui en est la reproduction non seulement fidèle mais aussi durable. Est réputée durable toute reproduction indélébile de l original qui entraîne une modification irréversible du support. 21

23 Annexe B Directive européenne DIRECTIVE 1999/93/CE DU PARLEMENT EUROPEEN ET DU CONSEIL du 13 décembre 1999 sur un cadre communautaire pour les signatures électroniques (JOCE L. 13 du pp.12-20) LE PARLEMENT EUROPEEN ET LE CONSEIL DE L UNION EUROPEENNE, vu le traité instituant la Communauté européenne, et notamment son article 47, paragraphe 2, et ses articles 55 et 95, vu la proposition de la Commission (JO C 325 du , p. 5), vu l avis du Comité économique et social (JO C 40 du , p. 29), vu l avis du Comité des régions (JO C 93 du , p. 33), statuant conformément à la procédure visée à l article 251 du traité (Avis du Parlement européen du 13 janvier 1999 (JO C 104 du , p. 49), position commune du Conseil du 28 juin 1999 (JO C 243 du , p. 33) et décision du Parlement européen du 27 octobre 1999) (non encore parue au Journal officiel). Décision du Conseil du 30 novembre 1999), considérant ce qui suit : (1) le 16 avril 1997, la Commission a présenté au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions, une communication sur une initiative européenne dans le domaine du commerce électronique ; (2) le 8 octobre 1997, la Commission a présenté au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions, une communication intitulée "Assurer la sécurité et la confiance dans la communication électronique - Vers un cadre européen pour les signatures numériques et le chiffrement" ; (3) le 1er décembre 1997, le Conseil a invité la Commission à présenter dès que possible une proposition de directive du Parlement européen et du Conseil sur les signatures numériques ; 22

24 (4) les communications et le commerce électroniques nécessitent des "signatures électroniques" et des services connexes permettant d authentifier les données ; toute divergence dans les règles relatives à la reconnaissance juridique des signatures électroniques et à l accréditation des "prestataires de service de certification" dans les Etats membres risque de constituer un sérieux obstacle à l utilisation des communications électroniques et au commerce électronique ; par ailleurs, l établissement d un cadre communautaire clair concernant les conditions applicables aux signatures électroniques contribuera à renforcer la confiance dans les nouvelles technologies et à en favoriser l acceptation générale ; la diversité des législations des Etats membres ne saurait entraver la libre circulation des marchandises et des services dans le marché intérieur; (5) il convient de promouvoir l interopérabilité des produits de signature électronique ; conformément à l article 14 du traité, le marché intérieur comporte un espace dans lequel la libre circulation des marchandises est assurée ; des exigences essentielles spécifiques aux produits de signature électronique doivent être respectées afin d assurer la libre circulation dans le marché intérieur et de susciter la confiance dans les signatures électroniques, sans préjudice du règlement (CE) n o 3381/94 du Conseil du 19 décembre 1994 instituant un régime communautaire de contrôle des exportations de biens à double usage (JO L 367 du , p. 1. Règlement modifié par le règlement (CE) n o 837/95 (JO L 90 du , p. 1) et de la décision 94/942/PESC du Conseil du 19 décembre 1994 relative à l action commune adoptée par le Conseil, concernant le contrôle des exportations de biens à double usage (JO L 367 du , p. 8. Décision modifiée en dernier lieu par la décision 99/193/PESC(JO L 73 du , p. 1). (6) la présente directive n harmonise pas la fourniture de services en ce qui concerne la confidentialité de l information quand ils sont couverts par des dispositions nationales relatives à l ordre public ou à la sécurité publique ; (7) le marché intérieur garantit la libre circulation des personnes et que dès lors les citoyens et résidents de l Union européenne ont de plus en plus souvent affaire aux autorités d Etats membres autres que celui où ils résident; la disponibilité de communications électroniques pourrait être d une grande utilité dans ce contexte ; (8) eu égard à la rapidité des progrès techniques et à la dimension mondiale d internet, il convient d adopter une approche qui prenne en compte les diverses technologies et services permettant d authentifier des données par la voie électronique ; (9) les signatures électroniques seront utilisées dans des circonstances et des applications très variées, ce qui entraînera l apparition de toute une série de nouveaux services et produits liés à celles-ci ou les utilisant ; il convient que la définition de ces produits et services ne soit pas limitée à la délivrance et à la gestion de certificats mais couvre également tout autre service et produit utilisant des signatures électroniques ou connexe à celles-ci, tels les services d enregistrement, les services horodateurs, les services d annuaires, les services informatiques ou les services de consultation liée aux signatures électroniques ; (10) le marché intérieur permet aux prestataires de service de certification de développer leurs activités internationales en vue d accroître leur compétitivité, et d offrir ainsi aux consommateurs et aux entreprises de nouvelles possibilités d échanger des informations et de commercer en toute sécurité par voie électronique indépendamment des frontières ; afin de favoriser la fourniture à l échelle communautaire de services de certification sur des réseaux ouverts, il y a lieu que les prestataires de service de cer- 23