Simple, avancée, qualifiée : celle dont votre document a besoin

eIDAS définit trois niveaux de signature électronique : simple, avancée et qualifiée. Seul le niveau qualifié équivaut automatiquement à une signature manuscrite dans toute l'Union européenne. Les deux autres sont recevables comme preuve, mais il faut les défendre. closeit.fast émet des signatures électroniques simples, ce qui est le bon outil pour la plupart des accords commerciaux et le mauvais pour une liste courte et précise de documents.

Presque tous les fournisseurs de cette catégorie décrivent leur produit comme « conforme à eIDAS » et s'arrêtent là. La formule est presque vide de sens, car la conformité n'est pas une propriété qu'une signature possède ou ne possède pas. eIDAS répartit les signatures en niveaux et donne à chaque niveau un effet juridique différent.

Les trois niveaux

Le règlement (EU) 910/2014 les définit à l'article 3.

Signature électronique simple

Article 3(10) : « des données sous forme électronique qui sont jointes ou associées logiquement à d'autres données sous forme électronique et que le signataire utilise pour signer. » Voilà toute la définition. Un nom saisi au clavier, un tracé à la main, un « j'accepte » coché, l'image scannée d'une signature — tout cela convient. Il n'y a strictement aucune exigence technique.

C'est ce que produit closeit.fast, et ce que produisent par défaut presque tous les produits de signature courants, quoi qu'en dise le marketing.

Signature électronique avancée

L'article 26 ajoute quatre exigences. Elle doit être liée au signataire de manière univoque, permettre de l'identifier, être créée à l'aide de données que le signataire peut utiliser sous son contrôle exclusif avec un niveau de confiance élevé, et être liée aux données signées de telle sorte que toute modification ultérieure soit détectable.

Le contrôle exclusif est l'exigence difficile. En pratique, il suppose un matériel de signature détenu par le signataire plutôt qu'un enregistrement détenu par la plateforme, ce qui est une autre architecture et non un réglage.

Signature électronique qualifiée

Article 3(12) : une signature avancée créée par un dispositif de création de signature électronique qualifié et reposant sur un certificat qualifié. Ces deux notions sont des termes techniques. Le certificat provient d'un prestataire de services de confiance qualifié inscrit sur la liste de confiance de l'UE, et l'identité est vérifiée au préalable, généralement en personne ou par un procédé vidéo accrédité.

L'article qui compte vraiment

L'article 25 est court, et c'est là que se joue la différence pratique.

25(1) — « L'effet juridique et la recevabilité d'une signature électronique comme preuve en justice ne peuvent être refusés au seul motif que cette signature se présente sous une forme électronique ou qu'elle ne satisfait pas aux exigences de la signature électronique qualifiée. » Une signature simple ne peut donc pas être écartée au motif qu'elle est simple. C'est un plancher, pas une garantie.

25(2) — « L'effet juridique d'une signature électronique qualifiée est équivalent à celui d'une signature manuscrite. » Seul ce niveau obtient cette phrase.

25(3) — une signature qualifiée reposant sur un certificat qualifié délivré dans un État membre est reconnue dans tous les autres.

L'écart entre 25(1) et 25(2), c'est toute la décision produit. Une signature simple est une preuve qu'il vous faudra peut-être défendre. Une signature qualifiée est une conclusion que vous n'avez pas à plaider.

Ce que cela signifie en pratique

Pour l'immense majorité des accords commerciaux — un accord de confidentialité, un cahier des charges, un contrat fournisseur, une mission de conseil — une signature électronique simple adossée à une véritable piste d'audit est l'outil proportionné. Personne ne la contestera, et si quelqu'un le fait, c'est l'enregistrement qui portera l'argumentation.

Le calcul change dès que l'un de ces points est vrai :

• Le droit national impose une forme précise. eIDAS harmonise l'effet, pas le formalisme. Les États membres conservent leurs propres règles sur ce qui doit être écrit, notarié ou signé devant témoins, et ces règles survivent au règlement.
• La politique de la partie adverse impose un niveau. Les banques, les assureurs, les portails de marchés publics et certaines grandes entreprises exigent tout simplement une signature qualifiée. C'est une exigence contractuelle et non légale, et la discuter ne vaut pas votre après-midi.
• Vous vous attendez à ce que la signature soit contestée. Si la relation est déjà conflictuelle, achetez le niveau qui supprime le débat.
• L'enjeu financier écrase le coût de la montée en niveau. Une signature qualifiée coûte de l'argent réel par signataire et suppose une vérification d'identité. C'est cher face à une petite mission et négligeable face à une grande.

Là où nous ne sommes pas la réponse

Si vous avez besoin d'une signature avancée ou qualifiée, closeit.fast ne vous en donnera pas, et aucune option de configuration n'y change quoi que ce soit. Il vous faut un prestataire de services de confiance qualifié inscrit sur la liste de confiance de l'UE. Envoyer une signature simple dans une situation qui en exige une qualifiée produit un document qui a l'air terminé et ne l'est pas, ce qui est pire qu'un document non signé, parce que personne ne le relance.

Les États-Unis ne fonctionnent pas ainsi

Le droit américain ne connaît pas de niveaux. ESIGN (15 U.S.C. § 7001(a)) et UETA rendent une signature valable parce qu'une personne a exécuté un enregistrement avec l'intention de le signer, et ne disent rien du tout de la technologie employée. UETA § 9 tranche ensuite l'imputation sur la base des preuves, par tout moyen, y compris la démonstration de l'efficacité de la procédure de sécurité appliquée.

La question américaine n'est donc jamais « quel niveau ». Elle est « quelle est la qualité de votre enregistrement », ce qui relève de la piste d'audit et non de la cryptographie. UETA est en vigueur dans 49 États, le district de Columbia, Porto Rico et les îles Vierges américaines ; New York est le seul État à ne pas l'avoir adopté et applique à la place son propre Electronic Signatures and Records Act.

Le résumé honnête

1. Vous signez un accord commercial ordinaire, aux États-Unis ou dans l'UE, avec une partie qui veut le signer : une signature électronique simple assortie d'une piste d'audit complète est proportionnée. Utilisez-nous.
2. La partie adverse, le régulateur ou le portail a exigé une signature avancée ou qualifiée : adressez-vous à un prestataire de services de confiance qualifié. Nous ne pouvons pas vous aider.
3. Le document est un testament, un acte, ou quelque chose que votre droit national veut notarié ou signé devant témoins : aucun niveau de signature électronique ne règle cela à lui seul.

Personne ne vous vend la troisième réponse, et c'est exactement pour cela qu'il vaut la peine de l'écrire.