Les entreprises utilisant de plus en plus les outils pour la signature électronique des contrats, elles ont intérêt à vérifier que les outils utilisés répondent aux exigences légales en droit français pour la validité des contrats et signatures électroniques.

Ces exigences sont, en partie, définies au niveau de l’Union européenne, qui a créé un cadre juridique pour les signatures électroniques défini par le Règlement (UE) no 910/2014 du parlement européen et du conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur.  Ce cadre juridique est actuellement en cours de révision par la Commission européenne (voir https://ec.europa.eu/digital-single-market/en/policies/trust-services-and-eidentification).

La validité des contrats électroniques est un sujet d’actualité, compte tenu de l’augmentation du contentieux relatif aux documents et signatures électroniques.

Reconnaissance des contrats électroniques

L’article 1366 du code civil reconnait la force probante des écrits (dont les contrats) électroniques :

« L'écrit électronique a la même force probante que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. »

A titre exceptionnel, certains contrats ne peuvent pas être électroniques, notamment mariage, divorce, ou cautionnements.

Mais pour la majorité des contrats, la forme électronique est tout-à-fait permise.  Il y a alors deux critères essentiels à respecter : d’abord, l’identification des signataires, et ensuite, l’intégrité du document pendant l’archivage.

L’identification des signataires est assurée par le processus des signatures électroniques, règlementé au niveau européen.

Signatures électroniques : deux approches

Deux approches existent, pour une stratégie de mise en œuvre de signatures électroniques, conformément à l’article 1367 du code civil et son décret d’application soit des signatures électroniques « qualifiées », pour un maximum de prévisibilité, soit des signatures électroniques « non qualifiées », moins onéreuses mais aussi moins sûres d’être reconnues en cas de litige.

La première approche, de signatures « qualifiées », est appropriée pour les entreprises et applications exigeant un haut niveau de sécurité juridique (par exemple, opérations financières ou avec les consommateurs).  La fiabilité d’un processus de signature électronique est présumée, lorsque ce processus met en œuvre une signature électronique qualifiée. 

Les signatures électroniques qualifiées sont créées, conformément au Règlement (UE) n° 910/2014, à l’aide d’un dispositif de création de signature électronique qualifiée, et reposent sur un certificat qualifié de signature électronique.  Ces certificats sont délivrés par des prestataires de services de confiance qualifiés, qui vérifient l’identité du signataire.  Les prestataires de confiance qualifiés doivent être certifiés par des organismes compétents et respecter une série d’exigences en matière de sécurité, archivage, ressources financiers, assurance, personnel qualifié, formation, et audits périodiques.

Les prestataires de confiance qualifiés sont aussi responsables de la validation d’une signature électronique qualifiée, au moment de la signature, et ils procèdent aux vérifications nécessaires.

Les prestataires de confiance qualifiés peuvent utiliser une « marque de confiance » de l’Union européenne :

La possibilité existe pour la signature d’accords internationaux entre l’Union européenne et de pays tiers, permettant une reconnaissance réciproque des prestataires de confiance qualifiés.  Néanmoins aucun accord n’a été signé avec le Brésil.

Les dispositifs de création de signature électronique qualifiée doivent, quant à eux, répondre à une série d’exigences, notamment en matière de chiffrement pour éviter les piratages de signatures.  Ces dispositifs font l’objet d’une certification par des organismes désignés par les Etats-membres, suite à une évaluation de sécurité.

Force est de constater que les exigences pour la création des signatures qualifiées sont assez lourdes, nécessitant souvent une vérification de l’identité du signataire par une présence physique au moins au stade de la création du certificat d’identification.

Cette lourdeur conduit à limiter l’utilisation des signatures qualifiées aux applications les plus sensibles ayant de fortes exigences de sécurité.

Mais une signature électronique qualifiée n’est pas indispensable à la validité des contrats électroniques.  Il est tout-à-fait possible, de se contenter de mettre en place de signatures « non qualifiées », surtout pour les entreprises dans les marchés « B2B ».  Dans cette deuxième approche, les entreprises utilisent des signatures électroniques ne répondant pas au seuil élevé du statut « qualifié » et évitent les coûts, le temps et les efforts requis pour les signatures qualifiées.

Cette deuxième approche apporte, néanmoins, de risques que la signature non qualifiée ne soit pas considérée comme fiable.  Le cas de figure des signatures « scannées » est un exemple : la jurisprudence diverge sur la fiabilité des signatures « scannées ».

Une version détaillée (en anglais) de cet article a été publié au https://www.lagbd.org/index.php/Enforceability_of_electronic_contracts_and_signatures_under_French_law_(fr).