LA SIGNATURE ELECTRONIQUE
Table des matières
NOTE DE SYNTHESE
Le
projet de loi français portant adaptation du droit de la preuve aux
nouvelles
technologies de l'information et relatif à la signature
électronique
tend à introduire une présomption de
fiabilité au profit des signatures électroniques qui
répondent à certaines conditions, lesquelles devront être
précisées par décret en Conseil d'Etat.
Ce projet amène à s'interroger sur le régime juridique de
la signature électronique chez nos principaux voisins. La
présente étude couvre plusieurs pays européens
(
Allemagne
,
Belgique
,
Danemark
,
Espagne
,
Italie,
Luxembourg
et
Royaume
-
Uni
). Pour chacun de ces pays, elle
vérifie si la signature électronique bénéficie de
la reconnaissance législative et en analyse les effets juridiques. Elle
examine ensuite, le cas échéant, les conditions de
validité de la signature électronique. La
directive
européenne sur un cadre communautaire pour les signatures
électroniques
, adoptée le 30 novembre 1999, a
également été étudiée, et les conditions de
validité de la signature électronique dans les différents
pays sous revue - qu'elles s'appliquent déjà ou qu'elles ne
soient que prévues - ont été comparées aux
dispositions prises au niveau européen.
L'examen de la situation dans ces sept pays fait apparaître que :
-
l'Allemagne et l'Italie sont actuellement les seuls pays où un
texte définit le régime juridique de la signature
électronique ;
- les textes allemand et italien ne reconnaissent que certaines formes de
signature électronique et leur accordent des effets
différents ;
- les projets espagnol et luxembourgeois, ainsi que les avant-projets anglais,
belge et danois, visent toutes les formes de signature électronique,
mais ils divergent dans les effets qu'ils leur reconnaissent.
|
Qu'est-ce que la signature électronique ?
Le
développement du commerce électronique est subordonné
à l'existence de garanties sur la sécurité des
transmissions de données et des paiements en ligne. Grâce à
un système de chiffrement appliqué au message transmis, sans que
ce dernier soit nécessairement lui-même chiffré, la
signature électronique constitue une réponse au problème,
car elle garantit l'authenticité et l'intégrité des
données, ainsi que l'identité du signataire. Si la
confidentialité est requise, il faut chiffrer le contenu du message.
|
1)
Seules l'Allemagne et l'Italie disposent de textes sur la signature
électronique, mais des législations sont en préparation
dans les autres pays
a)
Depuis 1997, le régime juridique de la signature
électronique est déterminé par une loi en Allemagne et par
un décret en Italie
En effet, l'Allemagne a adopté en juin 1997 la loi sur la signature
" digitale ", qui constitue en fait la troisième partie d'une
loi générale sur la société de l'information et qui
a été complétée par une ordonnance entrée en
vigueur le 1
er
novembre 1997.
En Italie, un décret du Président de la République, pris
en 1997 en application de la loi Bassanini sur la réforme de
l'administration publique, définit le régime juridique des
documents informatiques, parmi lesquels la signature électronique. Les
dispositions de ce décret qui concernent cette dernière ont
été précisées au début de l'année
1999 par un décret du Président du conseil.
b) Dans chacun des autres pays, un projet de loi est actuellement en
préparation ou en discussion
En Belgique, le gouvernement en fonction jusqu'aux élections
législatives de juin 1997 avait adopté deux projets de loi :
l'un visant à modifier certaines dispositions du code civil sur la
preuve des obligations et l'autre concernant les tiers de certification. Seul
le premier avait été déposé au Parlement, mais il
est devenu caduc. Le gouvernement actuel a préparé un projet sur
les tiers de certification, mais il ne l'a pas encore déposé au
Parlement.
Le projet de loi danois sur la signature électronique est en cours
d'élaboration. Un premier avant-projet de loi avait été
rédigé au début de l'année 1998 et les parties
intéressées avaient été consultées.
Cependant, les désaccords entre les ministères de la Recherche et
de la Justice ont conduit le gouvernement à attendre l'adoption de la
directive pour rendre public un nouvel avant-projet de loi. De même, au
Royaume-Uni, l'avant-projet de loi sur les moyens électroniques de
communication, qui définit notamment le régime juridique de la
signature électronique, a été rendu public en juillet
1999, et le projet de loi devrait être déposé au
début de l'année 2000.
En revanche, en Espagne, le projet de loi sur la signature électronique
est actuellement soumis à la commission compétente du
Congrès des députés. Il devrait être adopté
au cours des premières semaines de l'année 2000. Au Luxembourg,
les dispositions relatives à la signature électronique font
partie d'un projet plus large, qui concerne le commerce électronique et
qui a déjà été déposé au Parlement.
2) Les textes allemand et italien ne reconnaissent que certaines formes de
signature électronique et leur accordent des effets différents
a) La loi allemande et le décret italien ne traitent que de la
signature électronique fondée sur un système de
chiffrement asymétrique
Le domaine d'application des deux textes est limité aux signatures
numériques, c'est-à-dire aux signatures électroniques
créées à l'aide d'un procédé de chiffrement
asymétrique
.
Aucun de ces textes n'évoque les autres signatures électroniques,
dont la valeur est donc laissée à l'appréciation du juge.
b) Les deux textes n'accordent pas les mêmes effets juridiques
à la signature numérique
Le décret italien confère à la signature
numérique les mêmes effets juridiques qu'à la signature
manuscrite
et prévoit qu'elle puisse remplacer n'importe quel signe,
sceau, cachet, poinçon... Il prévoit même que, à
l'image de la signature manuscrite, elle puisse être authentifiée
par un officier ministériel.
En revanche,
la loi allemande ne contient aucune disposition explicite sur
la recevabilité en justice et sur la valeur probante de la signature
numérique.
Elle ne remet pas non plus en cause la liberté
qu'a le juge d'apprécier les éléments de preuve qui lui
sont soumis. Elle définit seulement les conditions dans lesquelles le
destinataire peut être sûr de l'identité de
l'émetteur et de l'intégrité des données
transmises. Il paraît donc probable que, sauf dans les cas où une
signature manuscrite est expressément exigée, le juge admettra la
valeur probante des signatures numériques.
3) Les projets de loi espagnol et luxembourgeois, ainsi que les
avant-projets anglais, belge et danois, visent toutes les formes de signature
électronique, mais divergent dans les effets qu'ils leur
reconnaissent
a) Les cinq projets s'appliquent à toutes les formes de signature
électronique, indépendamment de la technologie retenue...
Reprenant plus ou moins fidèlement la formulation de la directive, les
cinq textes définissent la signature électronique comme une
donnée électronique qui sert de méthode
d'authentification. Même s'ils paraissent avoir été
rédigés pour s'appliquer aux signatures électroniques
créées grâce à un procédé de
chiffrement asymétrique, ils n'excluent
a priori
aucune autre
forme de signature électronique et respectent donc le principe de
neutralité technologique qui sous-tend la directive.
Malgré ce principe, certains textes ne sont pas destinés à
s'appliquer à toutes les signatures électroniques. En effet,
l'avant-projet de loi belge ne traite que de la signature électronique
" avancée ", c'est-à-dire la signature
électronique produite grâce à un dispositif qui est
lié de manière unique et certaine au signataire et qu'il peut
garder sous son contrôle exclusif. Il en va de même de
l'avant-projet danois, qui, sans se référer explicitement
à la signature électronique " avancée ", ne
s'applique qu'aux signatures électroniques les plus fiables.
Par ailleurs, à l'image de la directive, les projets de lois espagnol et
luxembourgeois établissent une distinction en fonction du degré
de fiabilité des signatures électroniques : ils opposent en
effet la signature électronique et la signature
électronique
" avancée ".
b) ... sans leur reconnaître la même valeur juridique
Comme la directive, les projets belge, espagnol et luxembourgeois
considèrent comme
équivalentes aux signatures manuscrites les
signatures électroniques créées dans des conditions de
sécurité optimales
, c'est-à-dire les signatures
électroniques " avancées " qui, de plus, sont
associées à un certificat particulièrement fiable et sont
créées par un dispositif sécurisé. En revanche, ils
ne reconnaissent aucun effet juridique particulier aux autres signatures
électroniques. Cependant, les projets espagnol et luxembourgeois
précisent explicitement, tout comme la directive, qu'elles seront
recevables en justice.
Les avant-projets de loi anglais et danois ne comportent pas la notion de
signature électronique " avancée ". Le premier
prévoit, de façon générale, la recevabilité
des signatures électroniques, quelles qu'elles soient, mais laisse au
juge le soin d'apprécier leur valeur probante, tandis que le second
détermine seulement les conditions dans lesquelles les signatures
électroniques peuvent être considérées comme
sûres, sans remettre en cause la totale liberté du juge pour
évaluer leur recevabilité et leur valeur probante.
* *
*
Outre
ces divergences importantes dans son régime même, il faut
souligner que les conditions de validité de la signature
électronique, notamment celles qui se rapportent aux tiers de
certification, sont assez différentes d'un pays à l'autre.
Ainsi, la loi allemande et le décret italien ne contiennent aucune
disposition sur leur responsabilité. Il en va de même de
l'avant-projet de loi anglais, qui est particulièrement libéral.
En effet, conformément aux recommandations de la commission
parlementaire, il laisse les professionnels mettre en place un dispositif
d'accréditation, alors que tous les autres textes, en vigueur ou en
préparation, définissent un système d'accréditation
obligatoire, au moins pour les tiers de certification qui délivrent les
certificats les plus fiables.
UNION EUROPEENNE
Le
13 mai 1998, la Commission a présenté la
proposition de
directive sur un cadre commun pour les signatures électroniques
.
Le Parlement européen l'a approuvée le 13 janvier 1999,
après avoir introduit quelques amendements. La Commission a donc
présenté une proposition modifiée le 29 avril 1999,
sur laquelle le Conseil a adopté une position commune. Le
27 octobre 1999, le Parlement européen a adopté quelques
amendements formels à ce texte, sur lequel le Conseil s'est
prononcé le 29 novembre 1999.
1) La reconnaissance juridique de la signature électronique
L'article premier de la directive énonce :
"
L'objectif de la présente directive est de faciliter
l'utilisation des signatures électroniques et de contribuer à
leur reconnaissance juridique (...)
".
A l'article suivant, elle définit
deux niveaux de signature
électronique
. Elle distingue en effet la " signature
électronique ", qu'elle qualifie de "
donnée
sous forme électronique, qui est jointe ou liée logiquement
à d'autres données électroniques et qui sert de
méthode d'authentification
", de la " signature
électronique avancée ", qui doit en outre satisfaire aux
exigences suivantes :
"
a) être liée uniquement au signataire ;
"
b) permettre d'identifier le signataire ;
"
c) être créée par des moyens que le signataire
puisse garder sous son contrôle exclusif ; et
"
d) être liée aux données auxquelles elle se
rapporte de telle sorte que toute modification ultérieure des
données soit détectable
".
2) Les effets juridiques de la signature électronique
D'après la directive,
seules les signatures
électroniques
créées dans des conditions de
sécurité optimale peuvent avoir la même valeur que les
signatures manuscrites
. En effet, cette équivalence est
réservée aux signatures électroniques avancées
"
basées sur un certificat qualifié et
créées par un dispositif sécurisé de
création de signature
".
Toutefois,
les autres signatures électroniques doivent pouvoir
être reconnues en justice
. Le seul fait qu'elles ne reposent pas sur
un certificat qualifié, que le certificat n'ait pas été
délivré par un tiers de certification agréé, ou
qu'elles ne résultent pas d'un dispositif sécurisé de
création de signature ne doit pas empêcher
a priori
qu'elles soient reçues comme preuves.
3) Les conditions de validité de la signature électronique
La
recevabilité en justice des signatures électroniques et la
qualification de signature électronique " avancée ",
reposent sur des conditions relatives :
- aux certificats ;
- aux tiers de certification ;
- au processus de création de la signature électronique.
a) Les certificats
Les
titulaires des certificats sont des
personnes physiques
qui peuvent, le
cas échéant, agir pour le compte d'une personne morale. La
directive ne mentionne aucune indication de durée de validité
maximale pour les certificats.
L'annexe I de la directive énumère les exigences relatives aux
certificats " qualifiés ".
Ces derniers comportent
nécessairement :
"
a) une mention indiquant que le certificat est délivré
à titre de certificat qualifié ;
" b) l'identification du prestataire de service de certification, ainsi que le
pays dans lequel il est établi ;
" c) le nom du signataire ou un pseudonyme qui est identifié comme
tel ;
" d) la possibilité d'inclure, le cas échéant, une
qualité spécifique du signataire, en fonction de l'usage auquel
le certificat est destiné ;
" e) des données afférentes à la vérification de
signature qui correspondent aux données pour la création de
signature sous le contrôle du signataire ;
" f) l'indication du début et de la fin de la période de
validité du certificat ;
" g) le code d'identité du certificat ;
" h) la signature électronique avancée du prestataire de service
de certification qui délivre le certificat ;
" i) les limites à l'utilisation du certificat, le cas
échéant ; et
" j) les limites à la valeur des transactions pour lesquelles le
certificat peut être utilisé, le cas
échéant
".
b) Les tiers de certification
Si la
fourniture de services de certification ne peut être soumise à une
autorisation préalable, et peut être assurée par toute
personne physique ou morale, les Etats membres doivent cependant instaurer un
système de contrôle des tiers de certification. La directive
prévoit par ailleurs que les Etats membres puissent, pour
"
améliorer le niveau du service de certification
fourni
", instaurer un système d'accréditation.
L'annexe II de la directive définit les exigences concernant les
tiers de certification qui délivrent des certificats
agréés.
" Les prestataires de service de certification doivent :
" a) faire la preuve qu'ils sont suffisamment fiables pour fournir des services
de certification ;
" b) assurer le fonctionnement d'un service d'annuaire rapide et sûr et
d'un service de révocation sûr et immédiat ;
" c) veiller à ce que la date et l'heure d'émission et de
révocation d'un certificat puissent être déterminées
avec précision ;
" d) vérifier, par des moyens appropriés et conformes au droit
national, l'identité et, le cas échéant, les
qualités spécifiques de la personne à laquelle un
certificat qualifié est délivré ;
" e) employer du personnel ayant les connaissances spécifiques,
l'expérience et les qualifications nécessaires à la
fourniture des services et, en particulier, des compétences au niveau de
la gestion, des connaissances spécialisées en technologie des
signatures électroniques et une bonne pratique des procédures de
sécurité appropriées ; ils doivent également
appliquer des procédures et méthodes administratives et de
gestion qui soient adaptées et conformes à des normes
reconnues ;
" f) utiliser des systèmes et des produits fiables qui sont
protégés contre les modifications et qui assurent la
sécurité technique et cryptographique des fonctions qu'ils
assument ;
" g) prendre des mesures contre la contrefaçon des certificats et, dans
les cas où le prestataire de service de certification
génère des données afférentes à la
création de signature, garantir la confidentialité au cours du
processus de génération de ces données ;
" h) disposer des ressources financières suffisantes pour fonctionner
conformément aux exigences prévues par la présente
directive, en particulier pour endosser la responsabilité de dommages,
en contractant, par exemple, une assurance appropriée ;
" i) enregistrer toutes les informations pertinentes concernant un certificat
qualifié pendant le délai utile, en particulier, pour pouvoir
fournir une preuve de la certification en justice. Ces enregistrements peuvent
être effectués par des moyens électroniques ;
" j) ne pas stocker ni copier les données afférentes à la
création de signature de la personne à laquelle le prestataire de
service de certification a fourni des services de gestion de clés ;
" k) avant d'établir une relation contractuelle avec une personne
demandant un certificat à l'appui de sa signature électronique,
informer cette personne par un moyen de communication durable des
modalités et conditions précises d'utilisation des certificats, y
compris des limites imposées à leur utilisation, de l'existence
d'un régime volontaire d'accréditation et des procédures
de réclamation et de règlement des litiges. Cette information,
qui peut être transmise par voie électronique, doit être
faite par écrit et dans une langue aisément
compréhensible. Des éléments pertinents de cette
information doivent également être mis à la disposition,
sur demande, de tiers qui se prévalent du certificat ;
" l) utiliser des systèmes fiables pour stocker les certificats sous une
forme vérifiable, de sorte que :
- seules les personnes autorisées puissent introduire et modifier des
données,
- l'information puisse être contrôlée quant à son
authenticité,
- les certificats ne soient disponibles au public pour des recherches que dans
les cas où le titulaire du certificat a donné son consentement,
et
- toute modification technique mettant en péril ces exigences de
sécurité soit apparente pour l'opérateur.
"
La directive prévoit la responsabilité des tiers de
certification pour tout préjudice causé par l'utilisation d'un
certificat inexact ou invalide
. Ils peuvent cependant dégager leur
responsabilité en prouvant qu'ils n'ont commis aucune négligence.
c) Le dispositif de création de la signature électronique
Les
dispositifs sécurisés de création de signature sont
définis à l'annexe III de la directive :
"
1. Les dispositifs sécurisés de création de
signature doivent au moins garantir, par les moyens techniques et
procédures appropriés, que :
"
a) les données utilisées pour la création de la
signature ne puissent, pratiquement, se rencontrer qu'une seule fois et que
leur confidentialité soit raisonnablement assurée ;
"
b) l'on puisse avoir l'assurance suffisante que les données
utilisées pour la création de la signature ne puissent être
trouvées par déduction et que la signature soit
protégée contre toute falsification par les moyens techniques
actuellement disponibles ;
"
c) les données utilisées pour la création de la
signature puissent être protégées de manière fiable
par le signataire légitime contre leur utilisation par d'autres.
"
2. Les dispositifs sécurisés de création de signature
ne doivent pas modifier les données à signer ni empêcher
que ces données soient soumises au signataire avant le processus de
signature
".
ALLEMAGNE
1) La reconnaissance législative de la signature électronique
La
loi fédérale établissant les conditions
générales pour les services d'information et de
communication
, adoptée le 13 juin 1997, comprend plusieurs
parties. La troisième correspond à la
loi sur la signature
" digitale "
, qui est entrée en vigueur le
1
er
août 1997. Une
ordonnance
, entrée en
application le 1
er
novembre 1997, précise les conditions
de mise en oeuvre de cette loi.
L'article 1
er
de la loi sur la signature " digitale "
définit l'objet de la loi, qui est "
de poser les conditions
générales auxquelles sont soumises les signatures digitales pour
être considérées comme sûres et pour que les faux en
signature digitale ou la manipulation des données puissent être
établis de manière fiable
".
La loi sur la signature " digitale " définit donc les
conditions techniques
d'une transmission fiable des données
électroniques
, pour que le destinataire soit sûr de
l'identité de l'émetteur et de l'intégrité des
données transmises.
Elle ne traite que de la signature " digitale ", qui est
fondée sur la cryptographie asymétrique et qu'elle définit
à l'article 2 comme : "
un sceau attaché
à une donnée numérique qui est produit par une clé
privée, qui authentifie le propriétaire de la clé et
établit l'intégrité des données au moyen d'une
clé publique correspondante fournie avec un certificat de clé,
lequel est délivré par un prestataire de service de certification
ou par l'autorité de contrôle
".
2) Les effets juridiques de la signature électronique
La loi
ne
contient aucune disposition explicite sur la recevabilité en
justice et sur la valeur probante de la signature " digitale "
.
Elle ne remet pas non plus en cause le principe selon lequel le juge
apprécie librement la force probante des éléments qui lui
sont soumis.
Le code de procédure civile reconnaît cinq moyens de preuve, parmi
lesquels " l'observation ". Or, la jurisprudence admet depuis
plusieurs années que " l'observation " ne se limite pas
à l'observation visuelle et qu'elle peut s'appliquer à des
documents informatiques.
Comme le juge apprécie librement la valeur probante des
éléments qui lui sont soumis et que la loi garantit la
fiabilité des signatures " digitales ", parce qu'elles
répondent aux critères qu'elle-même définit et que
l'ordonnance précise, il paraît probable que les signatures
" digitales " seront reconnues comme moyen de preuve, sauf dans les
cas où la loi exige une signature manuscrite.
Le législateur allemand a souhaité pouvoir faire un bilan de la
mise en oeuvre de la loi avant de reconnaître une équivalence
entre la signature " digitale " et la signature manuscrite,
conformément à l'article 5 de la directive. Cependant, le
ministère de la Justice a déjà publié une note dans
laquelle il propose que, pour certains actes juridiques requérant une
signature manuscrite, l'équivalence soit reconnue.
Depuis le 1
er
janvier 1999,
un règlement administratif
relatif à la comptabilité en matière de
sécurité sociale autorise la signature " digitale "
dans la mesure où elle est conforme à la réglementation en
vigueur.
3) Les conditions de validité de la signature électronique
La
qualification de signature " digitale " dépend du respect de
conditions relatives :
- aux certificats ;
- aux tiers de certification ;
- au processus de création de la signature
électronique.
a) Les certificats
L'article 2 de la loi définit le
titulaire
du
certificat comme une
personne physique
.
Il prévoit, outre le certificat de clé, le
certificat
d'attribution,
qui est "
un certificat électronique
séparé contenant de plus amples informations et qui fait
expressément référence à un certificat de
clé spécifique
".
L'article 7 de la loi, qui indique les informations que doit contenir le
certificat de clé, ne correspond pas totalement aux exigences concernant
les certificats " qualifiés " et figurant à
l'annexe I de la directive.
La durée de validité des certificats ne peut excéder
cinq ans.
b) Les tiers de certification
La loi
réglemente l'activité des tiers de certification en instaurant
des licences, qui sont délivrées par une autorité de
contrôle
. Il s'agit de l'
Autorité de régulation pour
les télécommunications et la poste
, mise en place par la loi
sur les télécommunications du 25 juillet 1996, et dont les
membres sont désignés par le gouvernement fédéral,
le Bundestag et le Bundesrat.
La loi n'interdit pas explicitement l'activité de tiers de certification
non accrédités, mais cette activité se déroule
alors en dehors du cadre de la loi. Les signatures associées ne
bénéficient donc pas de la garantie de fiabilité
définie par la loi.
Cet organisme veille également à ce que les tiers de
certification respectent l'ensemble de la réglementation. Elle est
aidée, pour les vérifications techniques, par des organismes (un
public et trois privés) qu'elle désigne et qui lui rendent compte
de façon très détaillée.
L'article 4 de la loi et l'article 1
er
de l'ordonnance
précisent les conditions que doivent remplir les tiers de certification
et les obligations qu'ils doivent respecter. Elles sont analogues aux exigences
posées par l'annexe II de la directive. En revanche,
le
législateur n'a pas introduit de dispositions spécifiques
relatives à la responsabilité des tiers de certification
,
faute d'être parvenu à un consensus.
La loi impose aux tiers de certification le respect de
mesures de
sécurité et de dispositions d'ordre technique assorties de
conditions qualitatives très strictes
. L'article 14
décrit les composants techniques qui doivent être utilisés,
notamment pour la production et l'archivage des clés, ainsi que pour la
production et la vérification des signatures " digitales ".
Des précisions sont apportées dans l'ordonnance par les articles
16 et 17. Ce dernier article fait référence à des normes
techniques particulièrement précises. Ces dispositions ont
été elles-mêmes complétées par la
publication, en 1998, par l'Autorité de régulation pour les
télécommunications et la poste, de deux catalogues de mesures
techniques rédigés selon les conseils du Bureau
fédéral pour la sécurité dans la technique
d'information.
L'article 8 de l'ordonnance oblige le prestataire de service de certification
à conserver les certificats qu'il a délivrés dans un
registre public
. Le certificat doit figurer au registre au moins pendant
la durée de qualification de l'algorithme et des paramètres
pertinents utilisés. L'Autorité de régulation pour les
télécommunications et la poste publie la liste des algorithmes et
paramètres pertinents qualifiés avec leur durée de
validité. Celle-ci doit être d'au moins six ans, sauf
problème particulier.
L'article 13 de l'ordonnance précise que l'
ensemble des informations
relatives aux mesures de sécurité et aux certificats doit
être gardé au moins trente-cinq ans
à compter de
l'émission du certificat de clé et archivé de
manière à être consultable à tout moment pendant
cette période.
L'article 5 de l'ordonnance
interdit l'archivage des clés
privées par l'autorité de certification
.
c) Le dispositif de création de la signature électronique
L'article 6 de l'ordonnance prévoit que le tiers de
certification transmet la clé privée et les données
d'identification
au signataire en personne, qui en accuse réception
par écrit
. Dès cet instant, elles sont
sous la garde
personnelle du signataire
.
En pratique, c'est une carte à puce qui contient la clé
privée et les autres paramètres nécessaires à la
création de la signature " digitale ". Le document
électronique est signé en introduisant cette carte dans un
lecteur spécial branché sur l'ordinateur et en tapant un code
secret.
BELGIQUE
1) La reconnaissance législative de la signature électronique
Le
gouvernement en fonction jusqu'aux élections législatives de juin
1999 avait déposé au Parlement, le 14 avril 1999, un projet
de loi visant à modifier certaines dispositions du code civil relatives
à la preuve des obligations, parmi lesquelles l'article 1322
relatif à la valeur probante des actes sous seing privé. Le
projet introduisait une définition fonctionnelle de la signature et
disposait que celle-ci pouvait être "
un ensemble de
données numériques pour autant qu'elle puisse être
imputée à une personne déterminée et qu'elle
établisse le maintien de l'intégrité de l'acte
".
En reconnaissant une équivalence probatoire entre la signature
manuscrite et la signature électronique, il transposait partiellement la
directive et devait être complété par un autre projet sur
les tiers de certification. Ce dernier avait été adopté en
conseil des ministres, mais n'avait pas été déposé
au Parlement.
Le gouvernement actuel n'a pas repris le texte déposé, qui est
donc devenu caduc, et a choisi d'élaborer un
projet de loi sur
l'activité des prestataires de service de certification en vue de
l'utilisation de signatures électroniques
. Approuvé par le
Conseil d'Etat, le projet de loi doit être signé par le Roi avant
d'être déposé au Parlement.
Cet avant-projet de loi a pour objet de : "
fixer les conditions
générales d'accréditation des prestataires de services de
certification (...) afin de renforcer la sécurité et la confiance
dans l'utilisation de la signature électronique avancée en
réseaux ouverts
".
Ce
projet de loi ne vise que la signature électronique
avancée
, dont la définition, mentionnée à
l'article premier, reprend celle de la directive.
2) Les effets juridiques de la signature électronique
L'avant-projet de loi relatif à l'activité des
prestataires de service de certification en vue de l'utilisation des signatures
électroniques reconnaît à certaines
signatures
électroniques créées dans des conditions de
sécurité optimales la même force probante qu'à une
signature manuscrite
.
En effet, l'article 4-4 de ce texte prévoit "
qu'une
signature électronique avancée réalisée sur la base
d'un certificat qualifié et créé par un dispositif
sécurisé de création de signature est assimilée
à une signature au sens de l'article 1322 du code civil
".
Cette catégorie de signatures électroniques avancées
bénéficierait d'une assimilation automatique
à une
signature manuscrite. Leur valeur probante s'imposerait au juge.
En revanche, la valeur des autres signatures électroniques continuerait
à être librement appréciée par le juge.
Il convient par ailleurs de rappeler que, en matière civile,
l'article 1341 du code civil prévoit qu'"
il doit
être passé acte devant notaire ou sous signature privée, de
toutes choses excédant une somme ou une valeur de
15 000 F
", (c'est-à-dire 2 500 FRF). Par
conséquent, le juge civil est en mesure de rejeter un document au seul
motif qu'il est signé électroniquement.
* *
*
La
signature électronique est
actuellement reconnue dans le secteur de
la sécurité sociale
par l'
arrêté royal du
11 avril 1999
, qui prolonge
jusqu'au 30 juin 2000
l'application de l'arrêté royal du 16 octobre 1998 portant
dispositions relatives à la signature électronique, lequel
s'applique à la sécurité sociale, conformément
à l'article 38 de la loi du 26 juillet 1976 portant
modernisation de la sécurité sociale et assurant la
viabilité des régimes légaux de pension. Ainsi, certaines
déclarations d'emploi sont signées électroniquement au
moyen de certificats numériques proposés par des autorités
de certification accréditées par la Banque Carrefour de la
sécurité sociale, qui est l'organisme chargé de collecter,
pour le compte de toutes les institutions de sécurité sociale,
les informations relatives aux assurés sociaux et aux employeurs.
Par ailleurs, en septembre 1998, les administrations fédérales
belges ont achevé de rédiger un protocole d'accord :
Agora ou l'infrastructure nécessaire à l'utilisation de la
signature électronique par les administrations
fédérales
.
3) Les conditions de validité de la signature électronique
L'avant-projet de loi relatif à l'activité des
prestataires de service de certification en vue de l'utilisation de signatures
électroniques prévoit que les effets juridiques de la signature
électronique avancée dépendent du respect de conditions
relatives :
- aux certificats ;
- aux tiers de certification ;
- au processus de création de la signature
électronique.
a) Les certificats
Le texte
traite du seul
certificat " qualifié "
, qui est fourni
par un prestataire de service de certification accrédité et qui
doit contenir les informations obligatoires mentionnées à
l'article 12. Cet article reprend les dispositions de l'annexe I de
la directive.
Le titulaire du certificat peut être une
personne physique ou
morale
.
b) Les tiers de certification
L'avant-projet de loi prévoit que l'activité de
certification puisse être exercée librement par une
personne
physique ou une personne morale
. Il met en place un
système
facultatif d'accréditation
des tiers de service de certification.
La plupart de ses articles ne s'appliquent qu'aux tiers de certification
accrédités par l'administration de la qualité et
sécurité du ministère des Affaires économiques
,
l'accréditation étant nécessaire pour la délivrance
des certificats " qualifiés ".
Les conditions que les tiers de certification devront remplir pour obtenir et
conserver l'accréditation sont inspirées directement de l'annexe
II de la directive. Un texte réglementaire devra les préciser,
ainsi que la procédure d'accréditation.
L'article 15 prévoit
la responsabilité des tiers de
certification accrédités
pour tout préjudice subi par
une personne qui s'est fiée au contenu d'un certificat
" qualifié ". C'est donc le droit commun de la
responsabilité qui s'applique aux tiers de certification qui
délivrent des certificats ordinaires.
L'article 14 impose aux tiers de certification accrédités de
conserver "
toutes les informations pertinentes concernant le
certificat qualifié pendant une
durée de vingt ans
, en
particulier pour pouvoir fournir une preuve de la certification en
justice
".
c) Le dispositif de création de la signature électronique
S'agissant des dispositifs sécurisés, l'avant-projet
de loi reprend la formulation de l'annexe III de la directive.
De plus, il prévoit à l'article 20-1 que :
"
Dès le moment de la création des données
afférentes à la création de signature, le
titulaire du
certificat est seul responsable de la confidentialité de ces
données
".
DANEMARK
Immédiatement après l'adoption de la directive, le
ministre de la Recherche a rendu public un avant-projet de loi sur les
signatures électroniques
, qui va faire l'objet d'une vaste
consultation avant son dépôt au Parlement.
Comme le recommande la directive, cet avant-projet de loi traite de toutes les
signatures électroniques, de quelque nature qu'elles soient. Son champ
d'application diffère de celui de l'avant-projet de loi
précédent, qui ne traitait que des signatures
électroniques produites par un procédé de chiffrement
asymétrique. Elaboré en 1998, ce texte avait été
examiné par toutes les parties intéressées, mais le
processus d'élaboration du projet avait été suspendu
à cause de désaccords entre le ministère de la Justice et
celui de la Recherche.
1) La reconnaissance législative de la signature électronique
L'article premier de l'avant-projet sur les signatures
électroniques détermine l'objet de la loi : promouvoir
l'utilisation sûre et efficace des moyens électroniques de
communication en fixant les exigences auxquelles doivent satisfaire, d'une
part, les tiers de certification " qualifiés " pour
l'utilisation des signatures électroniques, et, d'autre part, les
systèmes sécurisés de création de signature
électronique.
L'article 4 définit la signature électronique comme
"
des données sous forme électronique, qui sont jointes
ou liées logiquement à d'autres données
électroniques grâce à un dispositif de création de
signature et qui sont utilisées comme moyen
d'authentification
".
L'avant-projet reprend donc, à quelques mots près, la
définition de la directive, mais n'établit pas de distinction
entre " signature électronique " et " signature
électronique avancée ".
2) Les effets juridiques de la signature électronique
L'avant-projet de loi n'évoque pas explicitement les
effets juridiques des signatures électroniques
, car son objectif
premier est de déterminer le régime juridique des tiers de
certification qui délivrent des certificats
" qualifiés ", ainsi que définir les systèmes
sécurisés de création de signature électronique.
Il ne remet pas non plus en cause le principe selon lequel les juges
apprécient librement la valeur probante des éléments qui
leur sont soumis.
Cependant, comme les tiers de certification qui exerceront leur activité
dans le cadre de la loi garantiront la totale fiabilité des certificats,
le respect des règles de création sécurisée des
signatures électroniques devrait permettre aux tribunaux de
reconnaître la valeur probante de ces dernières.
La question de la valeur juridique des signatures électroniques devrait
être traitée de manière explicite ultérieurement. En
effet, à la suite de la consultation qui avait été
organisée au début de l'année 1998 sur l'avant-projet de
loi précédent, lequel déterminait non seulement le
régime juridique des tiers de certification, mais également la
valeur juridique de certaines signatures électroniques, il était
apparu que ce second aspect posait de nombreux problèmes transversaux et
supposait la révision de plusieurs lois dans des domaines
différents (droit des obligations, de la consommation...). C'est
pourquoi le ministère de la Justice a institué une commission sur
ce sujet, dans laquelle le ministère de la Recherche est
représenté.
3) Les conditions de validité de la signature électronique
La
fiabilité de la signature électronique, dépend du respect
de certaines conditions relatives :
- aux certificats ;
- aux tiers de certification ;
- au processus de création de la signature électronique.
a) Les certificats
L'avant-projet de loi définit les certificats d'une
façon générale, mais ne traite que des certificats
" qualifiés ". Cette appellation sera réservée
aux certificats remplissant des conditions similaires, à quelques mots
près, à celles qui figurent à l'annexe I de la
directive.
Les certificats pourront être détenus par des personnes physiques
ou par des personnes morales.
b) Les tiers de certification
L'avant-projet de loi consacre le principe du libre exercice de
l'activité de certification par toute personne, physique ou morale,
et oblige tous les tiers de certification à respecter la
législation relative à la protection des données
personnelles.
Pour le reste, l'avant-projet de loi ne traite que des tiers de certification
qui délivreront des certificats " qualifiés ". Ces
tiers de certification devront être accrédités par
Telestyrelsen, qui est l'
Agence
nationale des
télécommunications
.
Telestyrelsen devra vérifier que les tiers de certification qui
souhaitent délivrer des certificats " qualifiés "
remplissent les conditions techniques, financières et humaines de
sécurité et de fiabilité établies par
l'avant-projet de loi et qui correspondent à celles de l'annexe II
de la directive.
Ces tiers de certification auront l'interdiction de stocker ou de copier les
éléments personnels qui permettent la création d'une
signature électronique et dont ils auront pu avoir connaissance. Ils
devront conserver pendant une période que l'avant-projet de loi qualifie
de " raisonnable " tous les renseignements relatifs aux certificats.
L'avant-projet de loi prévoit également la
responsabilité
des tiers de certification qui délivrent
des certificats " qualifiés " pour tout préjudice
résultant du non-respect des règles qui leur seront
imposées.
c) Le dispositif de création de la signature électronique
L'avant-projet de loi délègue au ministre de la Recherche le soin de prendre un règlement qui déterminera les conditions de la création sécurisée des signatures électroniques.
ESPAGNE
1) La reconnaissance législative de la signature électronique
Le
21 octobre 1999, le Congrès des députés a
ratifié le décret-loi sur la signature électronique,
manifestant ainsi son approbation pour qu'il soit déposé comme
projet de loi
et examiné en urgence. Le texte est actuellement
soumis à l'examen de la commission de la justice et de
l'intérieur. Son adoption définitive devrait avoir lieu avant les
prochaines élections législatives de mars 2000.
Dans son exposé des motifs, le projet de loi sur la signature
électronique précise qu'il vise, "
dans le respect de la
position commune relative à la directive sur la signature
électronique, à établir une réglementation claire
de son utilisation, en lui accordant pleine efficacité juridique et en
prévoyant le régime applicable aux prestataires de service de
certification
".
A l'article 2, le projet définit la signature électronique et la
signature électronique " avancée ", en reprenant la
même formulation que la directive.
2) Les effets juridiques de la signature électronique
Le
projet de loi reprend les dispositions de la directive.
Il prévoit
en effet :
- l'équivalence de la signature manuscrite et de la signature
électronique " avancée ", dans la mesure où elle
se fonde sur un certificat qualifié et où elle a
été créée par un dispositif
sécurisé ;
- le non-rejet
a priori
de la valeur probante des autres signatures
électroniques.
3) Les conditions de validité de la signature électronique
La
recevabilité comme moyen de preuve des signatures électroniques
et la qualification de signature électronique
" avancée " reposent sur des conditions relatives :
- aux certificats ;
- aux tiers de certification ;
- au processus de création de la signature électronique.
a) Les certificats
Ils ne
pourront être détenus que par des
personnes physiques
, et
leur validité sera limitée à
quatre ans
.
Le projet de loi définit seulement le contenu des certificats
" reconnus ", c'est-à-dire de ceux que la directive qualifie
de " qualifiés ". Les certificats " reconnus "
devront répondre aux mêmes critères que ceux posés
à l'annexe I de la directive.
b) Les tiers de certification
L'activité de certification sera exercée par toute
personne physique ou morale
, sans que le projet de loi prévoie un
quelconque système d'autorisation préalable.
Cependant, les tiers de certification devront se faire inscrire sur un registre
spécifique, tenu par le ministère de la Justice. L'inscription ne
sera réalisée qu'après la vérification de certaines
conditions, particulièrement sévères pour les tiers qui
délivreront des certificats " reconnus ". Ces derniers devront
en effet remplir des conditions correspondantes à celles de
l'annexe II de la directive.
Le projet de loi prévoit la
responsabilité
de tous les
tiers de certification pour les préjudices résultant du
non-respect des règles relatives à l'activité de
certification. C'est pourquoi les tiers de certification qui délivrent
des certificats " reconnus " devront disposer de ressources
suffisantes pour pouvoir faire face à leur responsabilité. A cet
effet, ils devront déposer
une garantie auprès d'un
établissement financier
. Cette garantie sera limitée à
4 % du montant total des transactions susceptibles d'être
réalisées grâce à leurs propres certificats
. Le
projet de loi prévoit qu'un règlement pourra abaisser ce
pourcentage à 2 %. En l'absence de plafonnement du montant des
transactions pour lesquelles les certificats pourront être
utilisés, la garantie devra être d'au moins un milliard de pesetas
(c'est-à-dire environ 40 millions de francs).
Les tiers de certification auront l'obligation de garder pendant au moins
quinze ans toutes les informations relatives aux certificats
" reconnus ".
L'activité de tous les tiers de certification sera
contrôlée par le Secrétariat général pour les
communications, qui dépend du
ministère des Travaux
publics
.
Le projet de loi prévoit aussi que le gouvernement pourra
établir, par décret, des systèmes facultatifs
d'accréditation.
c) Le dispositif de création de la signature électronique
Le
projet de loi reprend les dispositions contenues à l'annexe III de
la directive.
Les tiers de certification pourront faire certifier par des organismes
d'évaluation
ad hoc
les dispositifs de création
sécurisée de signature électronique.
ITALIE
1) La reconnaissance législative de la signature électronique
L'article 15-2 de la loi n° 59 du
15 mars 1997
relative à la réforme de
l'administration publique et à la simplification administrative (dite
Loi Bassanini) affirme
la valeur juridique des documents
électroniques
.
Il énonce en effet :
" Les actes, données et
documents constitués par l'administration publique et par les personnes
de droit privé à partir d'outils informatiques ou
télématiques, les contrats rédigés sous cette
même forme, ainsi que leur enregistrement ou leur transmission
informatiques, sont valables et produisent tous les effets juridiques au regard
de la loi. (...) "
.
Plus loin, le même alinéa prévoit que, dans le délai
de six mois suivant l'entrée en vigueur de la loi, des dispositions
réglementaires devront être prises pour déterminer les
critères et les modalités d'application de ce principe.
Le décret n° 513 du 10 novembre 1997
, relatif
aux critères et aux modalités de constitution, d'archivage et de
transmission des documents informatiques et télématiques, pris
par le Président de la République pour l'application de la
disposition légale susmentionnée définit la signature
" digitale " comme "
le résultat de la
procédure informatique fondée sur un système de
clés asymétriques, une publique et une privée, qui permet
au signataire, par l'intermédiaire de la clé privée, de
garantir l'origine et l'intégrité d'un document informatique ou
d'un ensemble de documents informatiques, et au destinataire, par
l'intermédiaire de sa clé publique, de vérifier ces deux
éléments
".
2) Les effets juridiques de la signature électronique
Dans
certaines conditions, définies par le décret n° 513 du
10 novembre 1997,
la signature
" digitale " a la
même valeur que la signature manuelle
et peut également
remplacer un sceau, un poinçon, un tampon, ainsi que n'importe quel
autre signe ou marque.
Ce texte prévoit que, tout comme la signature manuscrite, la signature
" digitale " peut être
authentifiée par un officier
ministériel
: celui-ci, après vérification de
l'identité de l'intéressé et de la validité de la
clé utilisée, atteste que la signature électronique a
été apposée en sa présence par son titulaire.
En revanche, le décret ne traite pas du tout des autres signatures
électroniques.
3) Les conditions de validité de la signature électronique
Le décret pris par le Président du conseil des ministres le 8 février 1999 détermine toutes les modalités techniques (définition des algorithmes utilisés pour produire et vérifier les signatures, caractéristiques des clés, obligations des détenteurs de clés et des tiers de certification, contenu des certificats...) permettant l'application du décret n° 513. Il précise ainsi les conditions d'équivalence entre la signature " digitale " et la signature manuelle, déjà définies par le décret n° 513 du 10 novembre 1997.
a) Les certificats
La signature " digitale " doit être produite par une clé privée dont la clé publique correspondante, préalablement certifiée par un prestataire de service de certification agréé, est encore valable. Les titulaires des certificats sont des personnes physiques . Le décret de 1999 précise toutes les informations nécessairement présentes sur les certificats. Ces exigences correspondent à celles de l'annexe I de la directive. La validité de ces certificats ne peut excéder trois ans.
b) Les tiers de certification
Les
articles 8 et 9 du décret de 1997, qui précisent respectivement
les critères que doivent remplir les tiers de certification et les
obligations qu'ils doivent respecter, sont similaires aux exigences
posées par l'annexe II de la directive. L'article 8 prévoit en
particulier qu'il doit s'agir de
sociétés par actions dont le
capital social est au moins égal à celui qui est exigé
pour les établissements financiers
.
C'est l'
Autorité pour l'informatique dans l'administration
publique
, organisme indépendant créé par un
décret de février 1993 relatif aux systèmes informatiques
publics, qui vérifie que les tiers de certification remplissent les
conditions requises. Dans le secteur public, l'activité de certification
est réalisée par les administrations elles-mêmes.
Le décret de 1997 ne comporte aucune disposition sur la
responsabilité des tiers de certification
, mais celui de 1999 leur
impose le respect de mesures de sécurité et de dispositions
techniques très sévères (établissement d'un plan
général de sécurité dont la structure est
définie par le décret lui-même ; enregistrement de
toutes les opérations réalisées sur un journal de
contrôle, qui doit être conservé pendant au moins dix
ans ; obligation pour le personnel de remplir les différentes
fonctions énumérées par le décret lui-même et
de détenir certaines compétences...).
Les tiers de certification doivent conserver les clés publiques pendant
au moins dix ans.
c) Le dispositif de création de la signature électronique
Les
clés privées, produites par leur titulaire ou par les tiers de
certification, ne doivent pas l'être à l'aide du système
sur lequel elles seront utilisées ensuite. Le dispositif de
création des clés privées doit remplir des exigences
analogues à celle de l'annexe III de la directive.
Les tiers de certification n'ont pas le droit d'archiver les clés
privées, qui doivent être conservées à
l'intérieur d'un dispositif électronique
ad hoc
, les
informations nécessaires à leur utilisation devant être
stockées séparément.
LUXEMBOURG
1) La reconnaissance législative de la signature électronique
Le
projet de loi relatif au commerce électronique
, adopté par le
gouvernement le 10 mars 1999, traite des multiples aspects du commerce
électronique. Son titre II,
De la preuve et de la signature
électronique
, prévoit de reconnaître cette
dernière.
Le gouvernement luxembourgeois envisage d'introduire une définition de
la signature dans le chapitre du code civil relatif à la preuve
littérale des obligations. En cela, il s'inspire des travaux
menés par la France. En effet, le régime probatoire
luxembourgeois est très proche du nôtre.
Le projet de loi prévoit d'insérer dans le
code civil
un
nouvel article
1322-1 définissant
la signature par ses deux
fonctions essentielles : l'identification du signataire
et
son
adhésion au contenu de l'acte
.
Le même article précise que la signature pourrait être
manuscrite ou électronique, et définit la signature
électronique comme "
un ensemble de données liées
de façon indissociable à l'acte, qui en garantit
l'intégrité (...)
".
Le projet de loi adopte donc une approche neutre sur le plan technologique.
Toutes les technologies peuvent être employées, dès lors
qu'elles permettent la réalisation des fonctions caractéristiques
de la signature.
2) Les effets juridiques de la signature électronique
Ils
figurent dans la partie du projet de loi qui est consacrée aux
autorités de certification.
Seules les signatures
électroniques créées dans des conditions de
sécurité optimales auront la même valeur que la signature
manuscrite
. L'article 17 du projet de loi prévoit en effet
qu'"
une signature électronique créée par un
dispositif que le signataire puisse garder sous son contrôle exclusif et
qui repose sur un certificat agréé
" émis par un
prestataire de service de certification accrédité
bénéficie automatiquement des conséquences juridiques
attachées à la signature au sens du code civil. Elle sera
considérée comme équivalente à une signature
manuscrite : elle sera recevable en justice et le juge ne pourra remettre
en cause sa valeur probante intrinsèque.
En revanche,
la signature électronique
qui ne satisfait pas
à ces exigences ne bénéficiera pas de cette
équivalence automatique
. En effet, si l'alinéa 2 de
l'article 17 prévoit
qu'elle soit recevable en justice
("
Une signature électronique ne peut être rejetée
par un juge au seul motif qu'elle se présente sous forme
électronique
"), la personne qui s'en prévaut devra
convaincre le juge qu'elle répond à la définition
fonctionnelle du code civil en apportant la
preuve de la fiabilité de
la technique utilisée
. A défaut, l'acte auquel elle est
attachée pourrait servir de commencement de preuve par écrit ou
d'indice à l'appui d'une preuve par présomption.
* *
*
La loi du 22 décembre 1986 sur la preuve des actes juridiques reconnaît déjà aux enregistrements informatiques en matière civile la même force probante qu'aux écrits sous seing privé sous certaines conditions.
3) Les conditions de validité de la signature électronique
Le
projet de loi relatif au commerce électronique prévoit que les
effets juridiques de la signature électronique dépendent de
conditions relatives :
- aux certificats ;
- aux tiers de certification ;
- au processus de création de la signature
électronique.
a) Les certificats
Le
projet de loi envisage deux catégories de certificats : les
certificats
"
agréés
", qui correspondent
aux certificats " qualifiés " au sens de la directive, et les
autres certificats. La plupart des dispositions du projet ne concernent que les
certificats " agréés ".
Qu'il soit " agréé " ou non, un certificat peut
être détenu par
une personne physique ou morale
. Le projet
de loi ne comporte aucune mention explicite sur la durée de
validité des certificats.
Le contenu des certificats " agréés " sera
déterminé par un règlement, qui devra correspondre
à l'annexe II de la directive. Les certificats
" agréés " devront en particulier comporter
l'indication de leurs dates d'émission et d'expiration.
b) Les tiers de certification
Le
projet de loi consacre le principe du
libre exercice de l'activité de
certification par toute personne physique ou morale
. Il oblige les tiers de
certification à tenir "
un registre des certificats disponibles
au public, accessible en permanence par voie électronique
".
Cependant, la délivrance des certificats
" agréés " sera réservée aux tiers de
certification accrédités, ainsi qu'à ceux qui ne sont pas
accrédités, mais qui "
satisfont aux exigences de
sécurité et de fiabilité déterminées par un
règlement grand-ducal
". Ce règlement devrait reprendre
les termes de l'annexe II de la directive.
Les tiers de certification seront surveillés par
l'
Autorité
nationale d'accréditation et de
surveillance
, qui sera également chargée de délivrer
une accréditation à ceux d'entre eux qui en font la demande.
Le ministère de l'Economie devrait être désigné
comme Autorité nationale d'accréditation et de surveillance
.
Le contenu de l'accréditation sera variable
en fonction des
critères de fiabilité du demandeur (garanties financières,
techniques...) et du domaine dans lequel il souhaite exercer son
activité.
Le projet de loi prévoit la
responsabilité de tous les tiers
de certification
, qu'ils délivrent ou non des certificats
" agréés ", lorsque l'utilisation d'un certificat
entraîne un dommage.
L'article 21 du projet de loi oblige les tiers de certification au
"
secret concernant tous les renseignements qui leur sont
confiés dans le cadre de leurs activités
professionnelles
. " Le
secret professionnel
sera d'ordre
public, et sa violation sera sanctionnée pénalement. Ces
dispositions sont inspirées de la loi modifiée du 5 avril
1993 relative au secteur financier.
* *
*
Au début de l'année 1999, la Chambre de commerce luxembourgeoise s'est engagée dans un partenariat avec la société Globalsign pour délivrer des certificats numériques. Globalsign joue le rôle d'autorité de certification : elle émet des certificats numériques reposant sur la cryptographie à clé publique, les signe à l'aide de sa clé privée et en assure la gestion. La Chambre de commerce tient les fonctions de tiers certificateur en garantissant notamment la vérification des données relatives à l'établissement du certificat numérique.
c) Le dispositif de création de la signature électronique
Le projet de loi prévoit que le titulaire du certificat est " responsable de la confidentialité et de l'intégrité du dispositif de création de signature qu'il utilise ". Par ailleurs, il renvoie à un règlement grand-ducal qui précisera " l'objet et le niveau de sécurité des dispositifs de création de signature ". Ce règlement transposera l'annexe III de la directive.
ROYAUME-UNI
1) La reconnaissance législative de la signature électronique
Le 5
mars 1999
, le ministère du Commerce et de l'Industrie a
publié un document de consultation intitulé
Construire la
confiance dans le commerce électronique,
dans lequel il indiquait
comment il entendait
moderniser la législation, notamment pour
permettre la reconnaissance de la signature électronique.
Une
synthèse des réponses a été faite en juin 1999.
Le 23 juillet 1999,
le gouvernement a publié l'
avant-projet de
loi sur les moyens électroniques de communication
. Cet avant-projet
se compose de quatre parties. La première traite de tous les
prestataires des services dans le domaine de la cryptographie, parmi lesquels
les tiers de certification. La seconde, qui est consacrée aux moyens de
faciliter le commerce électronique, définit le régime
juridique de la signature électronique.
L'avant-projet a été soumis à une consultation qui a pris
fin le 8 octobre 1999. Le document de consultation de mars 1999 et
l'avant-projet de loi ont donné lieu à deux rapports de la
commission du commerce et de l'industrie de la Chambre des communes,
publiés respectivement en mai et novembre 1999.
L'article 7 de l'avant-projet définit la signature
électronique, lorsqu'elle est utilisée à des fins
judiciaires, comme un bloc de données électroniques :
"
a) qui est incorporé ou logiquement associé à un
message électronique ; et
b) qui vise à être ainsi incorporé ou associé afin
de servir à établir l'authenticité ou
l'intégrité du message ou les deux
".
Le gouvernement estime qu'"
il ne serait pas sensé d'imposer une
équivalence entre les moyens traditionnels de communication et les
moyens électroniques d'un seul coup
". Par conséquent,
afin de permettre l'utilisation des nouvelles technologies de l'information et
de la communication, il indique qu'il a choisi de se faire
déléguer par la loi en préparation les pouvoirs de
procéder de façon progressive à toutes les mises à
jour, législatives ou réglementaires, nécessaires pour
faciliter le développement du commerce électronique. Ainsi, des
textes réglementaires pourront ultérieurement prévoir que
les moyens électroniques de communication et d'archivage pourront
remplacer les écrits, les communications postales, les signatures
manuscrites, les sceaux, les témoignages.
D'après le discours du trône du 17 novembre 1999, qui
présente le programme législatif du gouvernement,
le projet de
loi sur les moyens électroniques de communication devrait être
déposé au début de l'année 2000
.
2) Les effets juridiques de la signature électronique
Dans son
document de consultation, le gouvernement proposait l'instauration d'une
présomption réfutable : la signature électronique,
dans la mesure où elle aurait répondu à certains
critères techniques et où elle aurait été
confortée par un certificat délivré par un tiers de
certification agréé, aurait identifié correctement le
signataire et établi l'intégrité des données. Elle
aurait donc été considérée comme équivalente
à la signature manuscrite.
Ce point avait fait l'objet de vives critiques, notamment de la part de la
commission parlementaire, car il renversait le système traditionnel de
la charge de la preuve.
Dans son avant-projet de loi du 23 juillet 1999, le gouvernement a
abandonné cette proposition. L'article 7 indique que "
dans
tout procès, une signature électronique incorporée ou
logiquement associée à un message électronique
donné, ainsi que la certification d'une telle signature, sont toutes les
deux recevables comme preuves de tout élément relatif à
l'authenticité ou à l'intégrité du
message
".
Le même article précise qu'une signature est
considérée comme certifiée si quelqu'un -avant ou
après la transmission du message- a établi que la signature ou le
procédé de création de la signature sont des moyens
valables d'établir l'authenticité et/ou l'intégrité
du message.
La loi laisserait donc aux tribunaux le soin d'apprécier la valeur
d'une signature électronique, mais le gouvernement a l'intention de
clarifier ce point ultérieurement.
Certains commentateurs s'interrogent sur l'utilité de cet
article 7, puisque
la recevabilité des signatures
électroniques est déjà reconnue par la jurisprudence.
3) Les conditions de validité de la signature électronique
La
recevabilité en justice de la signature électronique est
liée au respect de conditions relatives :
- aux certificats ;
- aux tiers de certification ;
- au processus de création de la signature
électronique.
a) Les certificats
L'avant-projet de loi de juillet 1999 mentionne les certificats sans autre précision. Ce point devrait être précisé lors de la mise en place du système d'accréditation des tiers de certification.
b) Les tiers de certification
L'avant-projet de loi du 23 juillet 1999, dans son article
premier, oblige le secrétaire d'Etat au Commerce et à l'Industrie
à tenir un registre de tous les prestataires des différents
services liés à l'utilisation de la cryptographie. Cette
obligation vaut en particulier pour les tiers de certification
accrédités. L'article 2 impose au ministre de veiller
à ce que des dispositions relatives à l'octroi de
l'agrément, au règlement des litiges, à la modification et
au retrait de l'agrément, et établissant certains principes,
comme ceux de la
libre accréditation
et de la
variabilité du contenu de l'accréditation soient prises
.
Le secrétaire d'Etat pourrait toutefois confier cette mission à
un tiers.
Ainsi, le gouvernement a abandonné l'idée,
développée dans son document de mars 1999, de mettre en place un
système d'accréditation par voie réglementaire. En ceci,
il a suivi la recommandation de la commission parlementaire, qui lui
conseillait de s'en remettre à l'
autorégulation
des
milieux industriels
et de n'intervenir qu'en cas d'échec. Le
gouvernement a donc décidé de faire confiance à un
consortium industriel,
l'Alliance pour le commerce électronique.
Celui-ci devrait établir, en relation avec le ministère du
Commerce et de l'Industrie, un schéma d'accréditation avant la
fin de l'an 2000.
Le gouvernement a également décidé de ne pas prendre de
dispositions sur la responsabilité des tiers de certification, mais il
attend de ces derniers qu'ils expliquent clairement à leurs clients
l'étendue et les limites de leurs responsabilités.
Par ailleurs, en mars 1999, le gouvernement a annoncé qu'il
renonçait à la proposition que les tiers de certification fussent
accrédités à la seule condition d'avoir mis en place un
système obligeant le signataire à confier sa clé
privée à un tiers pour la fournir à la police sous
certaines conditions
, notamment lors d'enquêtes criminelles. En
effet, ce point avait été vivement contesté par les
industriels, les groupes de défense des libertés publiques et les
experts en informatique. La commission parlementaire avait également
critiqué ces dispositions. Dans son rapport de novembre 1999, elle met
d'ailleurs en garde le gouvernement contre toute tentative de
rétablissement du système. Elle indique qu'elle restera vigilante
à ce sujet lors du dépôt du projet de loi.
c) Le dispositif de création de signature électronique
Il ne figure pas dans l'avant-projet de loi. Il devrait être mis en place par voie de consensus dans les milieux industriels.