Vers un cadre juridique pour certains prestataires de services de confiance L expérience belge Etienne MONTERO Professeur Ordinaire à l Université de Namur (Belgique) Directeur de recherches au Centre de Recherches Informatique et Droit (CRID) Allocution présentée dans le cadre du séminaire «Confiance et environnements électroniques» Montréal, 20 novembre 2008 Dans le souci de renforcer la «sécurité» et la «confiance» sur les réseaux numériques, on assiste depuis quelques années à l apparition de «tiers de confiance», dont la fonction est d apporter des garanties de sécurité et de fiabilité : services de certification, d archivage et d horodatage de données électroniques, de recommandé électronique, de blocage transitoire des sommes versées, etc. Si le marché de ces services de confiance tend à se développer, c est avec difficulté et un niveau de qualité variable. L absence de cadre juridique entraîne plusieurs inconvénients : certains prestataires peu scrupuleux offrent des services insuffisamment fiables sur le plan technique et juridique ; l absence de critère minimal de qualité empêche les destinataires des services de savoir quel prestataire est digne de confiance et, partant, de choisir un service apte à satisfaire leurs besoins ; les juges risquent d être confrontés à des questions juridiques épineuses relatives à ces services, pour lesquelles le droit commun s avère insuffisant. insécurité quant à la reconnaissance juridique des documents et données traités par ces services (p. ex. valeur juridique d un recommandé électronique lorsque la loi exige le recours à une lettre recommandée? opposabilité d un horodatage? droit de détruire ses archives papier une fois numérisées?). On imagine la déconvenue en cas de perte de documents archivés, de faillite d un prestataire de confiance en l absence de règles relatives à la reprise de ses activités, ou d utilisation de technologies inaptes à assurer les garanties attendues. Pareils incidents seraient évidemment de nature à ruiner la confiance déposée en ces tiers dits de confiance! Il est dès lors primordial d encadrer juridiquement ces nouveaux «métiers de la confiance» 1, d une manière comparable au régime juridique d ores et déjà prévu dans le contexte limité des services de certification de clés cryptographiques utilisées à des fins de signature électronique 2. Réflexion menée autour de deux axes : établissement d un cadre juridique pour certains «tiers de confiance» (définition d un tronc commun de critères à satisfaire et de dispositions propres à chaque service) et reconnaissance juridique de documents, données ou envois 1 Cf. Avis n 3 relatif aux pistes pour renforcer la confiance dans le commerce électronique (01/06/2004). 2 Loi du 9 juillet 2001 fixant certaines règles relatives au cadre juridique pour les signatures électroniques et les services de certification, M.B., 29 septembre 2001. E. Montéro novembre 2008 1
électroniques (concrètement, un certain nombre de présomptions ou d assimilations sont prévues en faveur des documents issus de services ou de systèmes conformes à la loi). I. Méthodologie adoptée La prise en considération d un certain nombre de données et contraintes factuelles et juridiques, justifie les grands choix architecturaux arrêtés. Difficulté de définir une notion générique et uniforme de prestataire de confiance La notion de service de confiance est protéiforme et recouvre, dans son acception habituelle, des métiers extrêmement divers. 1 Certains services sont toujours fournis en ligne, normalement contre rémunération et à la demande individuelle du destinataire de service, et répondent dès lors à la notion de «service de la société de l information» (ex. le recommandé électronique ou le blocage transitoire des sommes versées), mais ce n est pas le cas de tous les services. Ainsi, dans le cas du service d archivage électronique, le contrat n est pas toujours conclu et exécuté à distance et par voie électronique. Il se peut en effet que le destinataire du service préfère rencontrer le prestataire, négocier le contrat, lui apporter personnellement ses documents électroniques au lieu de les envoyer en ligne... C est pourquoi le critère de la prestation à distance et par voie électronique ne pouvait être retenu en toutes hypothèses. C est également la raison pour laquelle tout service de confiance ne peut être assimilé à un service de la société de l information. 2 Le prestataire d un service de confiance se positionne souvent comme un tiers par rapport à une relation entre deux ou plusieurs personnes (il y est recouru en fonction d une qualification particulière 3 ou afin de disposer d un élément de preuve opposable : une date, le moment d un envoi ), mais ce n est pas toujours le cas. Par exemple, les documents archivés peuvent être à vocation purement interne à une entreprise, sans que l on songe à l opposer à une autre partie. 3 S il pouvait sembler séduisant d élaborer un régime général pour tous les services de confiance, existants ou à venir, une étude attentive nous a dissuadé d adopter une telle démarche, pour le moins hasardeuse et inadéquate. Tout d abord, il est apparu clairement, à la lumière d une étude empirique, que quatre services de confiance spécifiques avaient le plus grand besoin de réglementation : l archivage électronique, le recommandé électronique, l horodatage électronique et le blocage transitoire des sommes versées. Par contre, ont été écartés: les services qui fonctionnent très bien dans un cadre contractuel, tel le dépôt de codes sources (escrow) les services déjà réglementés (certification) les services auto-régulés (labellisation) les services trop peu développés ou inexistants en Europe (certification de la qualité de mineur, infomédiaire ). 3 Ainsi, la conservation de données est un métier en soi. D où le recours à un professionnel spécialisé, dans le but d assurer la pérennité de ses archives. E. Montéro novembre 2008 2
Réglementer un marché si jeune, voire inexistant, est apparu périlleux dans la mesure où il est quasiment impossible de déterminer quelles sont les caractéristiques précises de ces services, les bonnes et les mauvaises pratiques, les dangers pour le destinataire, les attentes du marché, etc. En adoptant un cadre juridique général commun aux services de confiance, abstraitement définis, et susceptible de couvrir des services inexistants à ce jour, on risquait de freiner les initiatives nouvelles et de voir tomber dans son champ d application des activités qui sont en réalité étrangères aux services de confiance. En définitive, il a semblé préférable de recourir à la voie énumérative, en bâtissant un cadre juridique souple pour les quatre services de confiance précités, qui ont le mérite d exister et qui ont réellement besoin d une réglementation pour favoriser leur développement. Ce qui n empêche évidemment pas le législateur d élargir ultérieurement ce champ d application, si d autres services venaient à apparaître sur le marché, avec le même besoin d encadrement juridique. Tenir compte des règles déjà existantes et applicables aux métiers de la confiance Les activités des prestataires de services de confiance sont déjà soumises à des règles ressortissant au droit des contrats (devoir de bonne foi, obligation d information en sa triple déclinaison : obligation de renseignement, de conseil et de mise en garde), au droit de la responsabilité, au droit de la concurrence (usages honnêtes, pratiques commerciales déloyales ), au droit de la consommation (clauses abusives, obligations d information spécifiques ) ou encore à la loi sur les services de la société de l information. Les prestataires de service de confiance peuvent aussi se voir appliquer les règles relatives à la publicité trompeuse ou mensongère. De même, si le prestataire de service de confiance peut être considéré comme prestataire de service de la société de l information, il est tenu de fournir une série d informations générales relatives à son activité professionnelle. Ces dispositions étant déjà d application, seuls les aspects spécifiques aux services de confiance doivent encore être réglés. Opportunité de dispositions spécifiques ou plus contraignantes dans les relations B2C À la vérité, la question a semblé prématurée pour certains services. L étude empirique a révélé, d entrée de jeu, que les services d archivage et d horodatage électroniques s adressent en priorité aux professionnels, organismes publics ou privés. Les prestataires du secteur ont choisi de s orienter d abord vers le monde des affaires et de l e-government, là où la demande était la plus forte, sur un marché émergeant. Les acteurs et les observateurs du marché estiment que ces services de confiance doivent se développer suffisamment entre professionnels avant de s orienter B2C. Par ailleurs, la plupart des services offerts sont encore trop coûteux pour attirer le consommateur. Par contre, le service de recommandé électronique s adresse à tout destinataire, professionnel ou consommateur. On relève néanmoins que, pour l instant, les particuliers y recourent moins que les professionnels. Au total, il n a pas paru opportun de prévoir, au niveau du cadre général des prestataires de services de confiance, des dispositions spécifiques pour les destinataires des services qui auraient la qualité de consommateurs. Cela ne s est avéré utile que pour la réglementation du service particulier de blocage transitoire des sommes versées (en ce qu il fallait envisager le régime spécifique en Belgique des paiements anticipés). Pour les autres régimes particuliers (archivage, horodatage et recommandé électroniques), il ne semble pas y avoir E. Montéro novembre 2008 3
une nécessité actuelle de protéger particulièrement le consommateur. À vrai dire, dans les services de confiance, les destinataires, qu ils soient professionnels ou consommateurs, souffrent souvent d une même fragilité : leur manque de maîtrise des technologies. À cet égard, tous méritent un même niveau de protection. En outre, l existence en soi d une réglementation des services de confiance, applicable à tous, devrait suffire à inciter le consommateur à utiliser ces services, sans qu il soit besoin de lui accorder une couche de protection supplémentaire. Tenir compte des contraintes européennes Conformément aux principes du droit européen (principes de la loi du pays d origine, de la reconnaissance mutuelle et de non-autorisation préalable), il est interdit à un Etat membre de prétendre soumettre les prestataires établis dans un autre État membre à ses propres règles et contrôles. De surcroît, l accès à l activité d un prestataire de services de la société de l information et l exercice de celle-ci ne peuvent être soumis à aucune autorisation préalable, ni à aucune autre exigence ayant un effet équivalent. Or, on pourrait être tenté de voir une exigence d effet équivalent dans le fait de n accorder des effets juridiques qu aux services des prestataires qui respectent le cadre juridique belge des services de confiance et qui se sont en outre déclarés auprès de l Administration. Afin de permettre aux prestataires établis dans un autre État membre de bénéficier des présomptions ou assimilations instaurées par la loi, il convenait d imaginer un système d accréditation volontaire. Ainsi, comme leurs homologues belges, les prestataires établis à l étranger peuvent demander une accréditation, moyennant un audit pratiqué, à leurs frais, par l entité de leur choix. En effet, les entités habilitées à procéder à de tels audits sont certifiées par le système belge d accréditation, ou par tout organisme équivalent établi dans l Espace économique européen. Ce qui implique, par exemple, qu un prestataire de service de confiance établi en Pologne pourrait en théorie se faire accréditer suite à un audit pratiqué par une entité polonaise certifiée par un système polonais d accréditation. Principe de neutralité technologique La loi pose essentiellement des principes, tout en évitant de faire référence à des standards techniques voués à une obsolescence rapide. A cet effet, le cadre juridique élaboré prévoit : un tronc commun d exigences applicables à l ensemble des services visés ; des règles spécifiques à chacun des services ; la création d une Commission des services de confiance chargée de rédiger des référentiels techniques de manière à assurer un suivi des évolutions technologiques et de pouvoir procurer des directives concrètes aux prestataires. La Commission est également compétente pour rédiger les formulaires de déclaration et d accréditation volontaire, formuler des avis concernant les services de confiance ou l opportunité d élargir le champ d application du cadre légal et statuer sur les recours et les plaintes en matière d accréditation et de déclaration. Principe d équivalence fonctionnelle Ce principe vise à éviter des différences de traitement juridique entre documents papier et documents électronique. Par exemple, on constate qu en pratique, le recommandé électronique est de nature à offrir des garanties supplémentaires par rapport au recommandé papier. Ainsi, le recommandé électronique permet de procéder à une vérification de l identité de l expéditeur (alors ce n est pas l usage en matière de recommandé traditionnel, du moins E. Montéro novembre 2008 4
en Belgique) et de garantir l intégrité du contenu du message envoyé. Pour éviter toute différence de traitement entre le recommandé papier et le recommandé électronique, il a été préconisé d imposer au prestataire d un service de recommandé électronique des obligations similaires à celles assumées par La Poste dans le cadre du recommandé papier : fournir à l expéditeur un accusé d envoi de son message au destinataire ; mettre en œuvre des moyens raisonnables de manière à protéger le contenu du message de l expéditeur contre toute altération et modification et à prévenir contre toute perte ou tout détournement du message par un tiers ; fournir un accusé, selon le cas, de réception ou de refus du message par le destinataire ou de sa non-délivrance, vérifier l identité du destinataire, etc. À condition de respecter les obligations communes à tous les prestataires de service de confiance et les obligations propres au prestataire de recommandé électronique, le recommandé électronique serait valable et pleinement assimilé à une lettre recommandée à «La Poste». Autre exemple : l horodatage. Dans le système actuel, seuls les actes enregistrés ou mentionnés dans un acte authentique autrement dit, soumis à la perception d une taxe ou d un droit permettent à une personne d obtenir volontairement date certaine. Permettre à l horodatage électronique de conférer date certaine eût créé une distorsion entre les personnes recourant à l horodatage électronique (non taxé) et celles recourant aux méthodes traditionnelles (soumises à taxation). En définitive, le corps de règles envisagé cherche un équilibre entre souplesse et sécurité. Il s est agi d établir un cadre relativement souple pour stimuler l offre des services de confiance, dans le respect des contraintes européennes. En même temps, ce cadre devait être suffisamment sécurisant pour protéger les destinataires des services de confiance et assurer un niveau minimum de qualité. II. Vue générale du cadre juridique Concrètement, le cadre juridique des prestataires de services de confiance se compose de dispositions générales impératives, communes aux quatre services de confiance retenus, et d obligations supplétives, spécifiques à chaque service (pour permettre un certain nombre d adaptations contractuelles en fonction des demandes et des attentes du client, plus ou moins rigoureuses selon les besoins ; les prestataires peuvent librement décider de se conformer à ces obligations particulières additionnelles, dont le respect entraîne une reconnaissance juridique renforcée). Dispositions communes. Toute personne physique ou morale fournissant un des services concernés doit au minimum respecter un tronc commun comportant les obligations suivantes : devoir d impartialité 4, confidentialité des données transmises 5, sécurisation des données 6, information du destinataire sur certains aspects du service 7, qualification et expérience du personnel eu égard au service fourni 8, solidité financière 9, etc. 4 Les prestataires doivent faire preuve d impartialité vis-à-vis des destinataires de leurs services et des tiers. 5 Les prestataires ne peuvent détourner, à quelque fin que ce soit, les données qui leur sont transmises. Ils ne peuvent les détenir et les consulter que dans la mesure nécessaire à l accomplissement de leurs services. 6 Les prestataires mettent en œuvre les moyens nécessaires en vue de préserver la sécurité des données qui leur sont transmises, et notamment d'empêcher qu elles soient déformées, endommagées ou accessibles à des tiers non autorisés. 7 Les prestataires fournissent aux destinataires de leurs services, avant la conclusion du contrat et pendant toute la durée de celui-ci, un accès facile et direct à une série d informations, formulées de manière claire et compréhensible (les modalités et conditions précises d utilisation de leurs services ; le fonctionnement et l accessibilité de leurs services ; les mesures qu ils adoptent en matière de sécurité ; les procédures de E. Montéro novembre 2008 5
Dispositions spécifiques. En matière d archivage électronique, le prestataire doit offrir des garanties spécifiques relatives, notamment, au maintien de la lisibilité des données, à leur intégrité et à la durabilité des documents archivés. maintenir la lisibilité des données* empêcher la modification des données* (excepté support ou format) détection, datation et enregistrement des opérations sur les données mesures de sécurité pas de cession de droits sur les données, ni de droit de rétention restitution des données sous une forme lisible et exploitable* *sinon présumé fautif jusqu à preuve du contraire En matière d horodatage électronique, le prestataire doit veiller essentiellement à utiliser des procédures de datation fiable, reposant sur le temps universel coordonné, et à ne pas laisser entendre qu il délivre une «date certaine» (art. 1328 C.civ.) En matière de recommandé électronique, le prestataire doit fournir, notamment, des garanties particulières concernant la délivrance de certificats de temps et la fiabilité des accusés de réception, la délivrance d une preuve de dépôt par l émetteur et, le cas échéant, une preuve de réception par le destinataire. Il doit également assurer la confidentialité des données, prévenir toute altération, perte ou détournement des données et prévoir une indemnité en cas de perte, d altération ou de détournement du message. En matière de blocage transitoire des sommes versées, le prestataire doit, entre autres : offrir des moyens de paiements sécurisés, assurer une vérification de l identité du prestataire (éviter phishing) et l envoi d un accusé de réception du paiement, gérer l interaction avec le droit de renonciation du consommateur + Obligations corrélatives du vendeur : mode de livraison avec accusé de réception signé envoi copie de l accusé de réception au prestataire BTS informer le prestataire de BTS si droit de renonciation Reconnaissance juridique de données électroniques. En guise d incitant à respecter le nouveau cadre légal, certaines présomptions sont instaurées en faveur des documents électroniques issus de systèmes conformes aux exigences légales et réglementaires : consécration du principe suivant lequel l obligation légale d archivage peut être satisfaite moyennant le recours à un système d archivage électronique respectant certains critères de qualité, sans préjudice d exigences légales ou réglementaires particulières; présomption réfragable d intégrité des données conservées sur support numérique (si le système d archivage électronique respecte certains critères de notification d incidents, de réclamation et de règlement des litiges ; les garanties qu ils apportent ; l étendue de leur responsabilité ; l existence ou l absence d une couverture d assurance et, le cas échéant, son étendue ; la durée du contrat et les modalités pour y mettre fin ; les effets juridiques attachés à leurs services ; le cas échéant, le numéro d accréditation attribué au prestataire par l Administration. 8 Les prestataires recourent à des personnes ayant les connaissances spécifiques, l expérience et les qualifications nécessaires à la fourniture de leurs services. 9 Les prestataires disposer des ressources financières suffisantes pour fonctionner conformément aux exigences prévues par la loi et ses arrêtés d exécution, en particulier pour endosser la responsabilité de dommages, en contractant, au besoin, une assurance appropriée. E. Montéro novembre 2008 6
qualité) ; présomption réfragable de fiabilité des copies numériques 10 ; équivalence entre le titre original et sa copie numérique ; présomption réfragable d exactitude de la date apposée par horodatage ; équivalence de principe entre le recommandé électronique et le recommandé papier. En ce qui concerne l archivage et l horodatage électroniques, il convient de noter que ces présomptions concernent non seulement les documents ou les données électroniques issus des services de confiance, mais également les documents ou les données électroniques issus de systèmes utilisés par une personne physique ou morale pour son propre compte, en interne. Enfin, des mesures de contrôle, d avertissement et de règlement transactionnel sont prévues, ainsi que des sanctions. 10 Les documents issus d un système de numérisation présentant un certain nombre de qualités sont reconnus comme la copie fidèle et durable de l original papier, sous réserve de la preuve contraire, et bénéficient de la même valeur probante que lui si ce dernier a été détruit. E. Montéro novembre 2008 7