Archives pour la catégorie Enjeux juridiques

Cloud computing et archives publiques

L’externalisation des ressources informatiques selon le modèle de l’informatique en nuage ou cloud computing est une tendance de plus en plus forte, dans le secteur privé comme dans le public. En effet, de nombreuses administrations sont amenées à faire héberger et/ou traiter une partie ou la totalité de leurs données chez des prestataires de cloud. Ce billet vise à reprendre et compléter la note d’information DGP/SIAF/2016/006 du 5 avril 2016 cosignée par le SIAF et la Direction Générale des Collectivités Locales (DGCL) relative à cette question.

Continuer la lecture de Cloud computing et archives publiques 

Publication du règlement eIDAS

Le Parlement européen et le Conseil de l’Union européenne ont publié au Journal officiel de l’Union européenne du 28 août 2014 le règlement (UE) n° 910/2014 du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur, qui abroge la directive 1999/93/CE relative à la signature électronique.

Ce règlement a pour objectif la mise en place du marché unique numérique en créant les conditions appropriées pour la reconnaissance mutuelle des outils clés entre les pays, tels que l’identification électronique, les documents électroniques, les signatures électroniques et les services de fourniture électronique, ainsi que pour la mise au point de services interopérables d’administration en ligne dans toute l’Union européenne.

La directive 1999/93/CE du Parlement européen et du Conseil régissait les signatures électroniques, mais sans fournir de cadre transfrontalier complet pour des transactions électroniques sécurisées et fiables. C’est la raison pour laquelle le règlement renforce et développe les acquis de l’ancienne directive.

Ce règlement fixe :

  1. d’une part, les conditions dans lesquelles un État membre reconnaît les moyens d’identification électronique des personnes physiques et morales qui relèvent d’un schéma d’identification électronique d’un autre État membre.
  2. d’autre part, des règles applicables aux services de confiance, en particulier pour les transactions électroniques.
  3. Enfin, il instaure un cadre juridique pour les services de signatures électroniques, de cachets électroniques, d’horodatages, de documents électroniques, d’envoi recommandé électronique et les services de certificats pour l’authentification de sites internet.

Sa date d’exécution est variable suivant les parties mais est fixée, pour la majorité des dispositions, au 1er juillet 2016. Le règlement s’applique à l’ensemble des États de l’Union européenne (sans besoin de transposition). S’agissant de la France, ce règlement aura des impacts sur la réglementation déjà existante dans ce domaine (1) et sur le Référentiel général de sécurité (voir la présentation de la version 2.0 du RGS sur notre carnet de recherche).

Outre les dispositions générales, le règlement s’articule autour des trois parties suivantes :

 

1) L’identification électronique

La délivrance de ce moyen d’identification relève d’un schéma d’identification électronique qui figure sur une liste publiée par la Commission européenne au Journal officiel de l’Union européenne. Ce schéma détermine les spécifications de trois niveaux de garantie des moyens d’identification délivrés : « faible », « substantiel » et « élevé ».

Le niveau de garantie « substantiel » doit permettre de « réduire substantiellement le risque d’utilisation abusive ou d’altération de l’identité  », tandis que le niveau de garantie « élevé » doit permettre « d’empêcher l’utilisation abusive ou l’altération de l’identité ».

Les schémas de différents niveaux sont interopérables et, pour ce faire, un cadre d’interopérabilité doit être établi conformément aux critères énoncés par le règlement. C’est au plus tard le 18 septembre 2015 que la Commission doit fixer les spécifications techniques, normes et procédures sur la base desquelles ces différents niveaux seront spécifiés, ainsi que le cadre d’interopérabilité.

2) Les services de confiance

Il est acté que les États membres désignent un service de contrôle établi sur leur territoire ou sur celui d’un autre État membre avec qui un accord aura été passé. Ce service contrôlera les prestataires de services de confiance qualifiés.

Plus généralement, le règlement précise les exigences de sécurité pour les différents services de confiance :

  • les prestataires de service de confiance, la signature électronique avancée, les certificats qualifiés (annexe I),
  • les dispositifs de création de signature électronique qualifiés (annexe II),
  • la validation des signatures électroniques qualifiées, des cachets électroniques avancés, des certificats qualifiés de cachet électronique (annexe III),
  • les horodatages électroniques qualifiés, les services d’envoi recommandés électroniques qualifiés ou encore les certificats qualifiés d’authentification de site internet (annexe IV).

Il est demandé que chaque État membre établisse, tienne à jour et publie des listes de confiance de prestataires de services de confiance, ainsi que des services de confiance qualifiés qu’ils fournissent. Leurs spécifications techniques et formats seront arrêtés au plus tard le 18 septembre 2015. L’inscription sur la liste vaudra aux prestataires concernés de pouvoir utiliser le label de confiance de l’Union.

S’agissant des signatures électroniques, le règlement précise bien que l’effet juridique d’une signature électronique qualifiée est équivalent à celui d’une signature manuscrite. La signature qualifiée qui repose sur un certificat qualifié délivré par un État membre est reconnue en tant que telle dans tous les autres États membres. Il est acté que la Commission établit, publie et met à jour une liste des dispositifs certifiés de création de signature électronique qualifiée. Le règlement fait également mention d’un service de conservation qualifié des signatures électroniques qualifiées qui ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des signatures électroniques au-delà de leur période de validité technologique.

Le règlement se prononce sur les cachets électroniques qui ont les mêmes fonctions qu’une signature électronique mais qui sont délivrés, non par une personne physique mais par une personne morale. Ce sont des signatures réalisées avec un certificat serveur. Comme pour la signature électronique, un cachet électronique qualifié qui repose sur un certificat qualifié délivré par un État membre est reconnu en tant que tel par les autres États membres. Le même processus est prévu pour les horodatages électroniques qualifiés.

C’est également au plus tard le 18 septembre 2015 que seront définis les formats de référence des signatures électroniques ou des cachets électroniques, ou les méthodes de référence lorsque d’autres formats seront utilisés.

3) Les documents électroniques

Le règlement rappelle que l’effet juridique et la recevabilité d’un document électronique comme preuve en justice ne peuvent être refusés au seul motif que ce document se présente sous une forme électronique.

 

Notes

(1) Décrets et arrêtés relatifs à la signature électronique, à l’évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l’information, aux accusés de réception électroniques, à l’identification électronique, à l’horodatage électronique… (retour au texte)

Lancement de la base juridique pour la collecte des archives (BaJuCA)

Le Service interministériel des Archives de France (SIAF) lance un nouvel outil de capitalisation de veille juridique : la base juridique pour la collecte des archives (BaJuCA).

Suite à un sondage lancé en novembre 2012 sur les usages de la chronique bimensuelle de veille juridique diffusée par le SIAF sur sa liste de diffusion, il était apparu que des améliorations étaient attendues, notamment en termes de capitalisation des références collectées et d’enrichissement par de la jurisprudence. La BaJuCA, qui est accessible librement via un navigateur internet, a été élaborée en réponse à ces attentes. Elle vient en particulier conserver la mémoire de la chronique juridique qui continuera d’être publiée tous les quinze jours.

 

L’outil choisi : Zotero

L’outil retenu pour  constituer et consulter cette base, Zotero, est un logiciel libre de gestion de références bibliographiques et également une application accessible en ligne par internet sur le site www.zotero.org. Pour plus de facilité et d’économie, le SIAF a fait le choix d’une solution générique déjà existante dont l’ergonomie est certes perfectible, mais qui offre déjà de nombreuses possibilités d’enrichissement documentaire et d’options de recherche.

 

Le contenu de la BaJuCA

1) La BaJuCA résulte de la capitalisation partielle de la chronique réglementaire et législative

La BaJuCA contient les références des textes juridiques récents repérés dans la chronique et portant sur :

  • les missions et l’organisation des principaux producteurs d’archives publiques (centraux et locaux) ;
  • la création ou la modification de processus administratifs notamment quand ces textes permettent de déterminer les durées d’utilité administratives des documents ;
  • le suivi de la dématérialisation des processus administratifs ;
  • les traitements de données à caractère personnel.

À noter : à la date de son lancement, la BaJuCA inclut toutes les références de ce type relevées dans la chronique juridique bimensuelle depuis octobre 2013, ainsi que tous les textes relatifs à des traitements de données à caractère personnel publiés au Journal officiel depuis octobre 2012.

En outre, sont présents dans la chronique de veille juridique du SIAF, mais n’ont pas été repris dans BaJuCA les textes :

  • portant sur des producteurs locaux concernant précisément un département ;
  • portant sur l’agrément pour la conservation d’archives publiques, la liste à jour étant disponible sur le site internet des Archives de France ;
  • portant sur les recrutements et mesures nominatives.

2) La BaJuCA contient aussi des références juridiques, notamment de jurisprudence, collectées au cours de recherches variées

Le SIAF alimente aussi régulièrement la BaJuCA avec des références juridiques plus anciennes croisées au cours de ses recherches.

C’est par le même biais que la BaJuCA est complétée avec des décisions de jurisprudence concernant les archives publiques.

 

Consulter la BaJuCA

La BaJuCA est accessible depuis cette adresse URL. Vous pouvez également disposer de fonctionnalités avancées via la version complète de Zotero disponible librement sous la forme d’un module complémentaire du navigateur Firefox ou bien d’un logiciel indépendant appelé Zotero Standalone.

Deux modes d’emploi sont à votre disposition pour vous accompagner dans l’utilisation de la BaJuCA :

Archiver Actes ou archiver des actes ?

Dans le cadre du projet AD-ESSOR mené par le SIAF pour encourager le développement de solutions d’archivage électronique dans les collectivités territoriales, des réunions ont été organisées avec des services d’archives départementales menant des projets d’archivage électronique. Au cours des discussions, a émergé la question de l’archivage électronique des documents transmis via l’application ACTES pour le contrôle de légalité. Lydiane Gueit-Montchal, directrice des Archives départementales de l’Indre-et-Loire, avait alors exposé son expérience sur cette question. Nous lui avons proposé de la résumer afin de vous en faire part dans ce carnet de recherche.

ACTES, qu’est-ce que c’est ?

Parmi les projets les plus fréquemment mis en œuvre en matière d’archivage électronique dans les collectivités figure « Actes », c’est-à-dire l’archivage des flux sortant du système Actes, dans le cadre de la procédure du contrôle de légalité par les représentants de l’État des décisions prises par ces collectivités : délibérations, arrêtés… La transmission des actes au contrôle de légalité est une des conditions qui les rend exécutoires de plein droit, l’autre condition étant leur publication ou leur notification (art. L. 2131-1, L. 3131-1, L. 5211-3 du Code général des collectivités territoriales).

Les flux dématérialisés Actes sont des processus bien identifiés, homogènes, dans un dispositif encadré réglementairement et maîtrisé techniquement. C’est pourquoi il est d’usage aujourd’hui de mettre en œuvre l’archivage des documents en sortie de ce dispositif. Mais si l’on considère ces données du point de vue de l’action administrative qu’elles représentent, il me semble que cette pratique introduit une confusion gênante sur la nature de ce qui est conservé.

Distinguer les originaux et les copies

En effet, en matière de documents réglementaires des collectivités, on prend bien soin depuis très longtemps de distinguer

  • les délibérations elles-mêmes, fruit d’une décision votée par la collectivité ;
  • les doubles que celle-ci transmet a posteriori aux services de l’État chargé de contrôler la légalité de ses délibérations.

L’exemple le plus parlant est celui des communes, qui tiennent un registre des délibérations dont la forme est réglementée, et envoient au contrôle des extraits de ce registre. Il est souvent nécessaire, lors des inspections communales, de rappeler la distinction entre les deux, car on trouve de registres entiers constitués d’extraits, alors qu’il s’agit de l’original, et que par définition l’extrait doit bien être tiré d’un ensemble plus vaste que lui-même ! Logiquement, les circulaires de tri (cf. la circulaire de 2009 sur le tri et la conservation des archives des services communs des collectivités) prescrivent donc la destruction, au terme d’un délai plus ou moins long, de ces extraits ou copies.

Quelles conséquences en matière d’archivage électronique ?

Il n’y a donc pas d’intérêt juridique ou historique à archiver « Actes » de manière pérenne. En revanche, il est fondamental de conserver les actes réglementaires produits par la collectivité, qui sont le fondement de leur organisation et leur procédé d’administration. Outre l’intérêt particulier de chacun d’entre eux, ils prennent sens dans leur ensemble, comme reflet d’une séance de conseil municipal ou d’une assemblée délibérante, lors de laquelle ces décisions ont été entérinées parmi d’autre débats, n’ayant parfois pas donné lieu à des décisions. C’est pourquoi il me paraît important, dès lors que l’on dématérialise ces processus, de faire porter les efforts sur l’archivage des registres dans leur ensemble, et non sur leur contrôle, en privilégiant le flux sortant du logiciel de gestion des délibérations plutôt que le flux Actes.

Bien sûr, on peut considérer que cela n’est qu’une simple question de terminologie ; on peut aussi souligner que la dématérialisation apporte un changement majeur à la forme de ces documents : autrefois, en mode papier, l’accusé de réception de l’État était apposé sur une copie (l’extrait), tandis que les techniques actuelles permettent d’estampiller directement la délibération originale dématérialisée, par ailleurs équipée de sa signature, elle-aussi électronique. Ainsi, que la pièce archivée provienne directement du système Actes ou du logiciel de gestion des délibérations, elle est en quelque sorte encapsulée dans un arsenal d’éléments garantissant son caractère exécutoire, tel que défini par les textes ; l’acte et son extrait ne font plus qu’un. Mais c’est laisser de côté tout l’environnement dans lequel ont été prises ces délibérations.

Il me semble donc, pour ma part, que ce n’est pas une simple question de vocabulaire ; je pense que nous devons être très attentifs au contraire, s’agissant de dématérialisation, à ne pas perdre de vue la nature de ce que l’on archive et pourquoi on le fait ; on conserve de manière définitive les délibérations des collectivités car ce sont les actes fondamentaux qui procèdent de leur fonctionnement ; leur contrôle de légalité n’en est, sur le long terme, qu’un épisode très secondaire. Le fait que ce dernier soit techniquement plus facile à appréhender aujourd’hui que le premier ne doit pas renverser la perspective, faute de quoi on risque, si ce principe se généralise, d’archiver pour archiver, et non plus pour garder la trace des activités des organisations.

Lydiane Gueit-Montchal, directrice des Archives départementales de l’Indre-et-Loire

La valeur juridique de l’écrit numérique (3/3) : quelle formalisation quand le régime de la preuve est libre ?

Si vous avez manqué les épisodes précédents, vous pouvez les lire ici et .

Comme nous l’avons vu dans le billet précédent, il convient d’être conscient que la loi du 13 mars 2000 s’attache à fonder la recevabilité devant les tribunaux civils, à titre de preuve, d’un écrit nativement numérique témoignant d’un acte juridique (actes authentiques, contrats et obligations engageant l’administration en matière de droit civil, de droit immobilier…), soit un domaine très spécifique.

Or en droit administratif, pénal, commercial et civil (pour les faits juridiques), la preuve est libre et le juge est souverain pour décider de la recevabilité des preuves et de leur qualité.

Il faut bien sûr prêter attention au fait que des dispositions légales ou réglementaires précises encadrent parfois la tenue ou la validité de tel ou tel document :

  • Des dispositions relatives au support du document : par exemple, le code général des collectivités territoriales oblige les communes à la tenue de leurs registres de délibérations, d’arrêtés et de décisions sur support papier (articles R2121-9, R2122-7 et R2122-7-1).
  • Indication expresse de la nécessité d’une signature sur le document : c’est notamment le cas dans le Code de la santé publique, qui mentionne régulièrement des documents médicaux devant être signés par le personnel de santé ayant réalisé la prise en charge, ou l’ayant suscité, ou par le patient (1). En cas de contentieux devant la justice impliquant des versions dématérialisées de ces documents, le juge s’appuiera sur l’article 1316-4 du Code civil : si le document a été signé manuscritement avant d’être dématérialisé, sans qu’une signature électronique ne vienne confirmer son authenticité, il y a un risque que le juge estime que les conditions de validité du document ne soient pas remplies et le rejette comme preuve (2).
  • Précision des conditions informatiques de réalisation : l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives indique ainsi dans son article 8 que les autorités administratives peuvent signer électroniquement leurs actes. Ce n’est donc pas une obligation. Si elles le font, cette signature doit être conforme aux préconisations du Référentiel général de sécurité.

[Ajout du 29/12/2014 : cependant, l’article 4 de la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations prévoit bien que « Toute décision prise par l’une des autorités administratives mentionnées à l’article 1er comporte, outre la signature de son auteur, la mention, en caractères lisibles, du prénom, du nom et de la qualité de celui-ci ». Il n’est pas dit qu’en contexte électronique cette signature doive être une signature électronique conforme à l’état de l’art, mais le juge peut être amené à le penser.

En tout état de cause, l’article 34 de la loi n° 2014-1545 du 20 décembre 2014 relative à la simplification de la vie des entreprises exempte les téléservices tels que définis aux articles 2 à 4 de l’ordonnance n° 2005-1516 du 8 décembre 2005 de l’obligation de signature des décisions de l’administration prévue à l’article 4 de la loi n° 2000-321. Un décret est prévu à l’article 4 de l’ordonnance précitée pour préciser les conditions de mise en œuvre des téléservices. Il devrait permettre de mieux estimer l’impact de cette mesure.]

Une fois ces vérifications effectuées quant à la formalisation du document, il est possible d’envisager assez librement les solutions appropriées pour mener à bien un projet de dématérialisation. Il faudra alors s’attacher à mettre en œuvre des solutions techniques permettant de constituer un faisceau de preuves (3), qui laissera au juge, au regard des enjeux de l’affaire, des raisons suffisantes de penser que l’authenticité et l’intégrité des documents en jeu n’ont pas été altérées(4).

Notes
(1) Code de la santé publique, L 1131-1, R 1112-3 et 58, R 1131-19 et 20, R 1211-19, R 1232-3, R 2132-11, R 4127-76, R 4311-8 et 14, R 4312-29, R6211-21 et 44, D5134-9… (retour au texte)
(2) Décision n°351931 du Conseil d’État, 5e et 4e sous-sections réunies, 17 juillet 2013, § 5 : « […] que, pour regarder comme constitutif d’une faute le fait que les comptes-rendus d’analyse étaient revêtus d’une simple signature scannée des biologistes qui les avaient établis, la chambre de discipline s’est fondée sur l’absence d’un procédé technique fiable garantissant l’authenticité de cette signature […] » (les comptes-rendus d’analyse de laboratoire doivent être signés conformément à l’article R 6211-21 du Code de la santé publique). (retour au texte)
(3) Ces critères sont précisément l’objet du vade-mecum publié par le Service interministériel des Archives de France en mars 2014. (retour au texte)
(4) Décision n° 311095 du Conseil d’État, 5e et 4e sous-sections réunies, 31 mars 2008 : « l’apposition de la signature du sous-directeur de la circulation et de la sécurité routières au ministère de l’intérieur sur les décisions « 48 » et « 48 S » sous la forme d’un fac-similé, procédé inhérent à un traitement automatisé des décisions, identifie l’auteur de la décision et atteste que l’ensemble des informations qui y sont rapportées ont été enregistrées sous l’autorité et le contrôle du ministre de l’intérieur dans les conditions prévues par le code de la route et que la notification de chaque décision intervient à l’issue de l’ensemble des étapes rappelées ci-dessus ». (retour au texte)