La signature numérique et le droit

Transcription

1 Page 1 sur 11 La signature numérique et le droit Conditions, situation actuelle et perspectives d une reconnaissance juridique en Suisse (publié en 'La Vie économique - Revue de politique économique' 6/99, Berne, 1999) Il existe depuis plusieurs années un procédé technique très fiable, dénommé la signature numérique asymétrique, qui permet de vérifier l'identité de l'expéditeur d'un message numérique et l'intégrité du contenu de ce dernier. La réglementation et la mise en place de l'infrastructure que requiert une application sûre et à grande échelle de la signature numérique se précisent également. Par ailleurs, l'avènement des opérations commerciales sur l'internet en démontre la grande utilité dans la pratique. Il est donc parfaitement cohérent de pousser le raisonnement jusqu'au bout et de requérir la pleine reconnaissance de la signature numérique par la justice. De prime abord, cette reconnaissance paraît largement acquise et réalisable à peu d'efforts législatifs. Pourtant, il surgit à la réflexion toute une série de questions et problèmes, parfois dans des domaines surprenants. Lorsque l'on évoque l'éventuelle reconnaissance de la signature numérique, on se demande très vite si des documents qui en seraient dotés peuvent être à l'origine d'actes juridiques valables et exécutables. Réduite en ces termes élémentaires et fondamentaux, la question trouve d'ailleurs une réponse assez simple: le droit suisse considère bien évidemment les contrats pourvus d'une signature électronique ou numérique comme valables et exécutables. Comme en Suisse la majorité des actes juridiques ne sont soumis à aucune prescription de forme, ils peuvent être conclus par voie électronique, avec ou sans signature numérique. Cette constatation est certes importante, mais elle ne résout qu'une partie du problème. Car il importe d'appréhender la question dans un contexte plus large. Il s'agit en effet de garantir juridiquement que l'ensemble des processus électroniques mis au service de la conclusion d'opérations commerciales, mais certainement aussi de la correspondance avec les autorités, constitue pour tous les intéressés une option acceptable en lieu et

2 Page 2 sur 11 place de la méthode conventionnelle. Traditionnellement on se demande quel serait le type de déclarations de volonté susceptibles de validité juridique au moyen d'une signature numérique? Mais cela n'est pas la seule et unique question qui se pose. Ainsi, quel usage pourrait-il être fait des documents électroniques, avec ou sans signature numérique, dans les poursuites pour dettes, devant les tribunaux ou dans d'autres procédures? Quelle serait leur valeur juridique, comment les produire devant le juge? Les nombreuses étapes conduisant à la conclusion d'actes juridiques sont de plus exposées à d'autres risques et incertitudes, telle la problématique de l'accès au destinataire. Une analyse plus poussée révèle aussi quelques inconnues d'ordre technique et au niveau de l'aménagement concret de l'infrastructure de fiabilité, ce qui pourrait avoir une influence déterminante sur une reconnaissance de la signature numérique. La présente contribution se contentera forcément d'un bref survol de la situation actuelle, en évoquant quelques-uns des problèmes existants et certaines solutions envisageables: Importance pour l'économie On estimait ces dernières années que le développement favorable du commerce électronique, à savoir son acceptabilité généralisée par la confiance qu'il inspire, serait subordonné à la reconnaissance juridique de la signature numérique. Or la réalité dément cette hypothèse, puisque le commerce électronique s'est avéré extrêmement florissant - du moins dans certains secteurs -, même sans reconnaissance explicite de la signature numérique. Il apparaît que les acteurs traditionnels du monde des affaires (les banques, les sociétés de cartes de crédit, le commerce) ont su mettre à disposition des procédés suffisamment sûrs en matière de ventes et de paiements, tels que SET ou ecash. Certes, ces deux méthodes recourent aussi à la signature numérique, mais elle intervient à l'arrière-plan et les clés de chiffrement ne sont pas personnalisées. Des contrats passés entre les participants et une organisation centrale définissent les engagements issus des procédés utilisés. Le fournisseur s'assure par une sorte de paiement direct. Dans la pratique, des procédés fort simples apportent fréquemment une sécurité suffisante. Lorsque, par exemple, un client passant commande s'identifie au moyen du

3 Page 3 sur 11 numéro de sa carte de chèques postaux, et que la poste veille à ne livrer la marchandise qu'à l'adresse de ce client, on obtient une sécurité suffisante pour certains types d'opérations commerciales. Les choses évoluant rapidement, il est difficile d'imaginer la direction que prendra le commerce électronique et la contribution que pourrait y apporter une signature numérique personnalisée ainsi que sa reconnaissance, au besoin élargie, par le biais d'une réglementation de l'etat. Etat des conditions techniques et organisationnelles Les signatures numériques utilisées de nos jours reposent sur le chiffrement dit asymétrique. Les qualités qu'on leur reconnaît usuellement en matière d'authenticité et d'intégrité des messages transmis sont pourtant tributaires de critères techniques et organisationnels bien déterminés. Si les échanges ne se limitent pas uniquement à un groupe restreint de personnes (EDI par exemple), mais à un nombre indéfini de participants, une infrastructure adaptée (ou infrastructure à clé publique, ICP; voir aussi l'article sur sa réglementation dans le présent numéro) s'impose pour assurer la fiabilité de la distribution de la clé publique. Les principaux acteurs d'une telle ICP sont les autorités de certification qui, à titre de tiers de confiance, attestent notamment, dans un certificat numérique, l'appartenance d'une clé publique à une personne déterminée. Pour mériter la confiance des participants et, d'autant plus, une éventuelle reconnaissance juridique "particulière", l'icp doit présenter, à plusieurs égards, une qualité définie et vérifiable. Par sa nature même, le commerce électronique s'arrête difficilement aux frontières nationales. Cela est particulièrement vrai pour la Suisse. Or si l'on veut recourir globalement à la signature numérique, il y a lieu d'harmoniser aussi bien les procédés techniques utilisés que la réglementation de l'icp et les modalités de la reconnaissance juridique. A maints égards, on est encore loin d'une situation claire et d'une interopérabilité effective, que ce soit sur le plan national ou international. Des divergences surgissent déjà quant à savoir si le marché est, à lui seul, en mesure de développer une ICP clairement définie, parfaitement harmonisée et de qualité suffisante ou si une régle-

4 Page 4 sur 11 mentation étatique s'avère nécessaire. La majorité des pays favorisent une réglementation étatique de l'icp. Pourtant, les réglementations actuellement en vigueur et les modèles envisagés présentent des différences importantes et déterminantes en vue d'une reconnaissance juridique. Citons par exemple toute la question complexe de la répartition des risques et responsabilités entre l'autorité de certification, le propriétaire de la clé et le destinataire d'un message, et notamment celle des limites dans lesquelles l'acquéreur du certificat s'engage, au moment de la certification, à répondre de tous les messages qu'il produira avec la paire de clés certifiée. La pratique en matière de certificats anonymes, de certificats d'entreprises et de certification des pouvoirs de représentation sont d'autres points à résoudre. Les conceptions diffèrent aussi quant à l'ampleur de la réglementation applicable à l'infrastructure de signature de l'utilisateur (SmartCard, mise en oeuvre d'éléments biométriques). Compte tenu de ces divergences, il est évident que la reconnaissance réciproque de certificats sur le plan international - voire national dans les pays dépourvus d'une réglementation sur l'icp - fait encore défaut. Il n'existe même pas une vue commune sur le déroulement d'une telle reconnaissance supranationale (hiérarchie privée, hiérarchie réglementée par l'etat ou reconnaissance réciproque au niveau des autorités de certification). Les problèmes et les lacunes évoqués n'empêchent pourtant pas qu'il soit actuellement déjà possible, dans un contexte relativement simple, de recourir à la signature numérique de manière structurée, fiable et juridiquement valable. D'ailleurs, il existe en Suisse une autorité privée de certification à la fois solidement établie et bien reconnue. Mais il faut savoir que des pans entiers de tout l'aspect technicoorganisationnel sont encore en voie de développement. La signature numérique en remplacement de la forme écrite Dans le cadre des travaux préparatifs préludant à une réglementation juridique de la signature numérique, l'office fédéral de la justice a dernièrement délivré un avis de droit sur la place pouvant être assignée à la signature numérique dans le droit privé suisse (Office fédéral de la justice, Digitale Signatur und Privatrecht (Vertragsrecht), JAAC 63.46, Berne 1999). Ce document développe en profondeur les aspects de droit privé de la question. Davantage axée sur les exigences techniques et pratiques,

5 Page 5 sur 11 la présente contribution ne reprend que quelques-unes de ces principales réflexions et conclusions. Le droit (privé) suisse régit l'exigence de la forme écrite. Les articles 13 et 14 du code des obligations (CO) la définissent - parfois implicitement - comme un document de papier sur lequel est apposée à la main la signature de toutes les personnes qui s'obligent par le contenu dudit document. Comme cela a été indiqué plus haut, les actes juridiques requérant la forme écrite qui, pour l'heure, paraissent se prêter à un traitement électronique sont peu nombreux. Même s'il faut reconnaître l'existence de toute une série d'exigences en matière de forme écrite dans le cadre de la protection des consommateurs (paiements à tempérament, communication du droit de révocation, renonciation au for légal), mais auxquels il n'est généralement pas attribué d'effet constitutif. A propos du remplacement de la signature manuscrite par une signature électronique ou numérique, il faut savoir que les formulations du type "mise sur pied d'égalité de la signature numérique avec la signature manuscrite" sont trompeuses. Ainsi n'est-il pas possible de pourvoir un document sur papier d'une signature numérique. Cette dernière appartient au document électronique - ou plutôt numérique - comme la signature manuscrite appartient au papier. L'actuel droit privé suisse pourrait donc uniquement mettre sur pied d'égalité les documents électroniques avec signature numérique et les documents sur papier avec signature manuscrite. La forme écrite, telle qu'elle est comprise à ce jour, remplit en droit différentes fonctions. Citons en particulier l'identification du ou des déclarants, la conservation, la démonstration et l'authenticité du contenu ainsi qu'une certaine protection contre les décisions précipitées. La signature numérique remplit certaines de ces fonctions tout aussi bien voire mieux, par exemple pour assurer l'authenticité du contenu. Mais les choses diffèrent quelque peu avec d'autres fonctions, comme l'identification du déclarant. Tant que des éléments biométriques n'entrent pas en jeu (actuel état de la technique), seul est établi le lien avec le propriétaire d'une clé de chiffrement privée, mais pas avec une personne physique. Quant à la protection contre les décisions précipitées, la technologie actuelle ne permet pas à la signature numérique de rem-

6 Page 6 sur 11 plir cette fonction, à moins, éventuellement, de prescrire l'utilisation vérifiable de programmes particuliers d'apposition de la signature numérique. Seule la réglementation allemande tend dans cette direction, mais elle ne semble pas faire école au niveau international. Mettre entièrement sur pied d'égalité la signature numérique (selon l'état actuel de la technique) et la signature manuscrite modifierait assez profondément la substance juridico-politique du droit privé en vigeur. Au besoin, l'on pourrait imaginer une équivalence "là, où la forme écrite sert à l'identification du déclarant ou à la conservation et l'authenticité du contenu de la déclaration". Mais à ce jour, le législateur et la doctrine n'ont pas eu à se prononcer concrètement sur les conditions exigeant la forme écrite. Car il n'existait qu'une seule forme écrite avec toutes les fonctions lui étant inhérentes. En résumé, une telle réglementation ne servirait pas vraiment la sécurité juridique. La signature numérique en tant que forme particulière Particulier en soi, le document électronique avec signature numérique présente des attributs juridiquement très intéressants qui, dans de nombreux cas, le rendent apte à remplacer la forme écrite. La question à résoudre est son intégration appropriée dans le droit existant. Ce problème n'est en aucun cas spécifique à la Suisse. En Allemagne par exemple, une reconnaissance juridique ne se profile pas non plus à l'horizon, en dépit d'une vaste réglementation de l'icp appliquée depuis plus de deux ans déjà et dont l'objectif avoué était de préparer le terrain pour la reconnaissance juridique. Une série de développements dans le droit privé international tend à distinguer plusieurs variantes de forme écrite. Suivant les exigences du cas d'espèce, certaines formes de transmission (présentation sur papier avec ou sans signature, téléfax, messages électroniques avec ou sans signature numérique) sont acceptées ou ne le sont pas. Au niveau du droit privé suisse, les adaptations nécessaires seraient relativement profondes, et il faudrait des années pour les mettre en oeuvre. Les risques avant et après

7 Page 7 sur 11 Implicitement, les propos qui précèdent portaient en premier lieu sur des questions relatives à la contestation de l'origine ou du contenu d'une déclaration. Or les multitudes d'activités intervenant dans l'accomplissement d'opérations commerciales par voie électronique recèlent toute une série de dangers supplémentaires. Les conditions générales peuvent-elles, par exemple, valablement faire partie intégrante d'un contrat commercial par le biais d'un renvoi à un document stocké sur un serveur de l'internet? Et quelle garantie a-t-on que la version utilisée au moment de la conclusion du contrat peut être reproduite à une date ultérieure? Il faudrait exiger en l'occurrence la signature numérique et, probablement aussi, un pointage horaire. L'accès soulève lui aussi une foule de questions. Où et quand exactement le destinataire entre-t-il en possession de la déclaration électronique? Et comment l'accès peut-il être démontré? En fait, les algorithmes de la signature numérique permettent de créer un accusé de réception très fiable. Seulement, il n'est pas usuel d'y recourir dans le domaine du courrier électronique. D'autres problèmes naissent de la manifestation unilatérale de la volonté (résiliation, licenciement): une adresse de courrier électronique publiée à quelque endroit que ce soit fait-elle office d'adresse valable du destinataire? Et que se passe-t-il, lorsque le format de fichier utilisé n'est pas connu du destinataire? Ces questions, et d'autres d'ailleurs, se sont posées au niveau du commerce électronique EDI et ont été réglementées par des conventions types. Mais cela n'est possible qu'au sein d'un groupe fermé d'utilisateurs. Pour l'heure, ces questions sont sans réponse par rapport au grand public. Exécution judiciaire Tout comme d'autres moyens de preuve (audition des parties, témoins, experts), les documents électroniques avec signature numérique devraient également être admis par les tribunaux. Qu'ils soient électroniques ou sur papier, ces documents n'ont pas un poids supérieur à la force probante effective qui leur est accordée compte tenu du cas d'espèce et de l'ensemble des circonstances en jeu.

8 Page 8 sur 11 Au vu de cette situation, on veillera à ne pas placer d'espoirs démesurés dans une reconnaissance élargie de la signature numérique au sens des réflexions qui précèdent. Elle permettrait seulement de conclure d'autres formes de contrats juridiquement valides. Pourtant, les documents portant la signature numérique qui seraient alors établis n'en demeureraient pas moins un moyen de preuve parmi d'autres, moyen qui est soumis à la libre appréciation du juge. En fait, leur force probante ne serait pas supérieure du fait de cette reconnaissance élargie, ce qui importe surtout c'est la réglementation et la qualité de l'icp utilisée. Voilà pour l'aspect juridique de la question. Dans la pratique, les preuves reposant sur des documents avec signature numérique devraient aujourd'hui poser encore bien d'autres problèmes. Ainsi, le mode de production des documents électroniques devant le tribunal n'est pas encore bien défini. Une expertise s'avère-t-elle toujours nécessaire? Ou ne faudrait-il pas, à moyen terme, que les tribunaux disposent de l'infrastructure nécessaire pour évaluer l'authenticité du document électronique? Quoi qu'il en soit, les tâches engendrées restent plus lourdes lorsque les documents produits sont électroniques et non pas sur papier. Il serait judicieux de prévoir, en sus de la réglementation sur l'icp, des organismes de légalisation des documents avec signature numérique. Cela pourrait être des services administratifs ou, par exemple, des notaires spécialement agréés. En cas de différend, un tel organisme serait rapidement en mesure, à peu de frais et avec peu de moyens, de fournir un document sur papier certifiant l'authenticité du contenu, l'identité des signataires et la date de l'établissement du document avec signature numérique. Mais il faudra attendre plusieurs années avant que tous ces procédés soient bien rodés et connus partout. Un motif majeur de limitation au niveau du droit de l'exécution forcée est apparu. Même si l'acte juridique fondamental n'est pas soumis à la forme écrite, la mainlevée provisoire ne peut finalement être obtenue que par une reconnaissance de dette écrite. Dans la pratique, il s'agit là d'une inégalité grave. Le problème est connu et on y travaille, s'il le faut en légiférant. Mais le problème de la présentation concrète du moyen de preuve se posera ici aussi. Correspondance électronique avec les autorités La correspondance électronique avec les autorités est, à notre avis, moins complexe.

9 Page 9 sur 11 Les risques et intérêts à protéger diffèrent en grande partie par rapport à la correspondance dans le droit privé. Suivant les risques concrets à un certain stade du processus, il conviendra d'exiger davantage de qualité quant à la forme de la notification. Dans la mesure où il n'existe pas de réglementation juridique explicite sur la forme de la notification, l'autorité compétente a tout loisir de choisir n'importe quelle notification électronique valable, dès lors qu'elle en possède les moyens techniques et organisationnels. Si la forme écrite était prescrite à ce jour, il conviendra de revoir la question afin, éventuellement, de prévoir dans les prescriptions spécifiques d'autres formes de qualité suffisante - avec ou sans signature numérique. Même si pour l'interprétation de cette forme écrite on se réfèrait à celle du CO, il n'y a pas lieu de croire qu'en la matière les exigences de forme résultent de dispositions du CO. Peutêtre qu'à ce jour la forme écrite selon le CO constituait, tout simplement, la seule forme satisfaisante pour ce stade du processus; il était donc logique de s'y référer. Mais si de nouveaux modes de transmission électronique offrant une qualité suffisante pour une utilisation déterminée sont disponibles, il n'y a alors aucune raison de ne pas en autoriser l'usage. S'agissant des exigences auxquelles devraient satisfaire les certificats numériques, la solution idéale consisterait naturellement à charger l'etat de réglementer les critères de qualité de l'icp. Mais il serait également possible de délivrer des certificats propres à un processus spécifique ou d'accepter un ou plusieurs organes privés de certification, dont la qualité est reconnue. Justificatifs électroniques Les observations du chapitre précédent concernent les rapports directs avec les autorités. Une autre question est la transmission des pièces justificatives électroniques à titre d'annexe. On pense en l'occurrence aux pièces comptables destinées à la déduction de l'impôt préalable versé à titre de taxe sur la valeur ajoutée ou aux pièces justificatives nécessaires pour procéder à une inscription au registre du commerce. Ici aussi le recours exclusif à la forme écrite selon le CO n'est pas impératif. Pourtant, l'état de fait juridiquement déterminant allégué dans la pièce justificative doit être démontré de manière suffisamment crédible par rapport aux risques (d'abus). Pour ce qui est des factures justifiant la déduction de l'impôt préalable, la signature

10 Page 10 sur 11 numérique de l'auteur de la facture - signature accompagnée par un certificat numérique correspondant aux critères de qualité préétablis - devrait s'avérer nécessaire. Nous avons bon espoir que les projets relatifs à la correspondance avec les autorités permettront de dynamiser ce domaine et de favoriser une reconnaissance effective de toutes les formes utiles de communication. Il sera investi dans les infrastructures nécessaires, les processus seront mieux adaptés aux besoins de la pratique et tous les participants gagneront en expérience dans l'utilisation commerciale des moyens électroniques de communication. Perspectives Dans sa stratégie pour une société de l'information en Suisse du 18 février 1998, le Conseil fédéral a chargé le DFJP, le DFF et le DETEC "de l introduction de la signature numérique pour laquelle ils devront concevoir un système de clé publique (Public Key Infrastructure) et élaborer les règles nécessaires". Dans le cadre de la répartition des tâches au sein de l'administration, l'office fédéral de la justice examine les aspects juridiques de la reconnaissance de la signature numérique. L'avis de droit mentionné et les réflexions qui précèdent en sont les premiers résultats. Actuellement, les travaux se concentrent sur quelques questions considérées comme urgentes, à savoir les obstacles existant dans le droit des registres et de l'exécution forcée. La mise sur pied d'égalité des documents avec signature numérique et des documents sur papier ou, plus précisément, la différenciation des formes admises et l'élimination des obstacles purement pratiques nécessitent un travail de fond. Il s'agira en l'occurrence de rester attentif, et, partiellement, aussi de participer à l'évolution du droit international (UE, CNUDCI, OCDE). La perception adéquate des problèmes rencontrés dans la pratique et dans l'économie n'est pas toujours une tâche aisée pour l'administration. Aussi, l'office fédéral de la justice ainsi que l'auteur du présent article souhaitent-ils savoir, avec grand intérêt, quels sont les applications judicieuses auxquelles, de l'avis des acteurs de l'économie, le droit en vigueur pourrait faire obstacle.

11 Page 11 sur 11 Quelques adresses de l internet traitant d aspects juridiques en relation avec la signature numérique: UE: CNUDCI: OCDE: ICC: McBride, Baker & Coles, Summary: Auteur: Urs Bürge, lic.iur. Chef de division DFJP - Office fédéral de la justice urs.buerge@bj.admin.ch (Préposé au 'Service de l'informatique juridique et du droit de l'informatique'; Membre du comité du GCSI, 'Groupe de coordination pour une société de l'information')