ITALIE

1) La reconnaissance législative de la signature électronique

L'article 15-2 de la loi n° 59 du 15 mars 1997 relative à la réforme de l'administration publique et à la simplification administrative (dite Loi Bassanini) affirme la valeur juridique des documents électroniques .

Il énonce en effet : " Les actes, données et documents constitués par l'administration publique et par les personnes de droit privé à partir d'outils informatiques ou télématiques, les contrats rédigés sous cette même forme, ainsi que leur enregistrement ou leur transmission informatiques, sont valables et produisent tous les effets juridiques au regard de la loi. (...) " .

Plus loin, le même alinéa prévoit que, dans le délai de six mois suivant l'entrée en vigueur de la loi, des dispositions réglementaires devront être prises pour déterminer les critères et les modalités d'application de ce principe.

Le décret n° 513 du 10 novembre 1997 , relatif aux critères et aux modalités de constitution, d'archivage et de transmission des documents informatiques et télématiques, pris par le Président de la République pour l'application de la disposition légale susmentionnée définit la signature " digitale " comme " le résultat de la procédure informatique fondée sur un système de clés asymétriques, une publique et une privée, qui permet au signataire, par l'intermédiaire de la clé privée, de garantir l'origine et l'intégrité d'un document informatique ou d'un ensemble de documents informatiques, et au destinataire, par l'intermédiaire de sa clé publique, de vérifier ces deux éléments ".

2) Les effets juridiques de la signature électronique

Dans certaines conditions, définies par le décret n° 513 du 10 novembre 1997, la signature " digitale " a la même valeur que la signature manuelle et peut également remplacer un sceau, un poinçon, un tampon, ainsi que n'importe quel autre signe ou marque.

Ce texte prévoit que, tout comme la signature manuscrite, la signature " digitale " peut être authentifiée par un officier ministériel : celui-ci, après vérification de l'identité de l'intéressé et de la validité de la clé utilisée, atteste que la signature électronique a été apposée en sa présence par son titulaire.

En revanche, le décret ne traite pas du tout des autres signatures électroniques.

3) Les conditions de validité de la signature électronique

Le décret pris par le Président du conseil des ministres le 8 février 1999 détermine toutes les modalités techniques (définition des algorithmes utilisés pour produire et vérifier les signatures, caractéristiques des clés, obligations des détenteurs de clés et des tiers de certification, contenu des certificats...) permettant l'application du décret n° 513. Il précise ainsi les conditions d'équivalence entre la signature " digitale " et la signature manuelle, déjà définies par le décret n° 513 du 10 novembre 1997.

a) Les certificats

La signature " digitale " doit être produite par une clé privée dont la clé publique correspondante, préalablement certifiée par un prestataire de service de certification agréé, est encore valable. Les titulaires des certificats sont des personnes physiques . Le décret de 1999 précise toutes les informations nécessairement présentes sur les certificats. Ces exigences correspondent à celles de l'annexe I de la directive. La validité de ces certificats ne peut excéder trois ans.

b) Les tiers de certification

Les articles 8 et 9 du décret de 1997, qui précisent respectivement les critères que doivent remplir les tiers de certification et les obligations qu'ils doivent respecter, sont similaires aux exigences posées par l'annexe II de la directive. L'article 8 prévoit en particulier qu'il doit s'agir de sociétés par actions dont le capital social est au moins égal à celui qui est exigé pour les établissements financiers .

C'est l' Autorité pour l'informatique dans l'administration publique , organisme indépendant créé par un décret de février 1993 relatif aux systèmes informatiques publics, qui vérifie que les tiers de certification remplissent les conditions requises. Dans le secteur public, l'activité de certification est réalisée par les administrations elles-mêmes.

Le décret de 1997 ne comporte aucune disposition sur la responsabilité des tiers de certification , mais celui de 1999 leur impose le respect de mesures de sécurité et de dispositions techniques très sévères (établissement d'un plan général de sécurité dont la structure est définie par le décret lui-même ; enregistrement de toutes les opérations réalisées sur un journal de contrôle, qui doit être conservé pendant au moins dix ans ; obligation pour le personnel de remplir les différentes fonctions énumérées par le décret lui-même et de détenir certaines compétences...).

Les tiers de certification doivent conserver les clés publiques pendant au moins dix ans.

c) Le dispositif de création de la signature électronique

Les clés privées, produites par leur titulaire ou par les tiers de certification, ne doivent pas l'être à l'aide du système sur lequel elles seront utilisées ensuite. Le dispositif de création des clés privées doit remplir des exigences analogues à celle de l'annexe III de la directive.

Les tiers de certification n'ont pas le droit d'archiver les clés privées, qui doivent être conservées à l'intérieur d'un dispositif électronique ad hoc , les informations nécessaires à leur utilisation devant être stockées séparément.