Le Parlement européen et le Conseil de l’Union européenne ont publié au Journal officiel de l’Union européenne du 28 août 2014 le règlement (UE) n° 910/2014 du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur, qui abroge la directive 1999/93/CE relative à la signature électronique.

Ce règlement a pour objectif la mise en place du marché unique numérique en créant les conditions appropriées pour la reconnaissance mutuelle des outils clés entre les pays, tels que l’identification électronique, les documents électroniques, les signatures électroniques et les services de fourniture électronique, ainsi que pour la mise au point de services interopérables d’administration en ligne dans toute l’Union européenne.

La directive 1999/93/CE du Parlement européen et du Conseil régissait les signatures électroniques, mais sans fournir de cadre transfrontalier complet pour des transactions électroniques sécurisées et fiables. C’est la raison pour laquelle le règlement renforce et développe les acquis de l’ancienne directive.

Ce règlement fixe :

1. d’une part, les conditions dans lesquelles un État membre reconnaît les moyens d’identification électronique des personnes physiques et morales qui relèvent d’un schéma d’identification électronique d’un autre État membre.
2. d’autre part, des règles applicables aux services de confiance, en particulier pour les transactions électroniques.
3. Enfin, il instaure un cadre juridique pour les services de signatures électroniques, de cachets électroniques, d’horodatages, de documents électroniques, d’envoi recommandé électronique et les services de certificats pour l’authentification de sites internet.

Sa date d’exécution est variable suivant les parties mais est fixée, pour la majorité des dispositions, au 1^er juillet 2016. Le règlement s’applique à l’ensemble des États de l’Union européenne (sans besoin de transposition). S’agissant de la France, ce règlement aura des impacts sur la réglementation déjà existante dans ce domaine (1) et sur le Référentiel général de sécurité (voir la présentation de la version 2.0 du RGS sur notre carnet de recherche).

Outre les dispositions générales, le règlement s’articule autour des trois parties suivantes :

1) L’identification électronique

La délivrance de ce moyen d’identification relève d’un schéma d’identification électronique qui figure sur une liste publiée par la Commission européenne au Journal officiel de l’Union européenne. Ce schéma détermine les spécifications de trois niveaux de garantie des moyens d’identification délivrés : « faible », « substantiel » et « élevé ».

Le niveau de garantie « substantiel » doit permettre de « réduire substantiellement le risque d’utilisation abusive ou d’altération de l’identité  », tandis que le niveau de garantie « élevé » doit permettre « d’empêcher l’utilisation abusive ou l’altération de l’identité ».

Les schémas de différents niveaux sont interopérables et, pour ce faire, un cadre d’interopérabilité doit être établi conformément aux critères énoncés par le règlement. C’est au plus tard le 18 septembre 2015 que la Commission doit fixer les spécifications techniques, normes et procédures sur la base desquelles ces différents niveaux seront spécifiés, ainsi que le cadre d’interopérabilité.

2) Les services de confiance

Il est acté que les États membres désignent un service de contrôle établi sur leur territoire ou sur celui d’un autre État membre avec qui un accord aura été passé. Ce service contrôlera les prestataires de services de confiance qualifiés.

Plus généralement, le règlement précise les exigences de sécurité pour les différents services de confiance :

• les prestataires de service de confiance, la signature électronique avancée, les certificats qualifiés (annexe I),
• les dispositifs de création de signature électronique qualifiés (annexe II),
• la validation des signatures électroniques qualifiées, des cachets électroniques avancés, des certificats qualifiés de cachet électronique (annexe III),
• les horodatages électroniques qualifiés, les services d’envoi recommandés électroniques qualifiés ou encore les certificats qualifiés d’authentification de site internet (annexe IV).

Il est demandé que chaque État membre établisse, tienne à jour et publie des listes de confiance de prestataires de services de confiance, ainsi que des services de confiance qualifiés qu’ils fournissent. Leurs spécifications techniques et formats seront arrêtés au plus tard le 18 septembre 2015. L’inscription sur la liste vaudra aux prestataires concernés de pouvoir utiliser le label de confiance de l’Union.

S’agissant des signatures électroniques, le règlement précise bien que l’effet juridique d’une signature électronique qualifiée est équivalent à celui d’une signature manuscrite. La signature qualifiée qui repose sur un certificat qualifié délivré par un État membre est reconnue en tant que telle dans tous les autres États membres. Il est acté que la Commission établit, publie et met à jour une liste des dispositifs certifiés de création de signature électronique qualifiée. Le règlement fait également mention d’un service de conservation qualifié des signatures électroniques qualifiées qui ne peut être fourni que par un prestataire de services de confiance qualifié qui utilise des procédures et des technologies permettant d’étendre la fiabilité des signatures électroniques au-delà de leur période de validité technologique.

Le règlement se prononce sur les cachets électroniques qui ont les mêmes fonctions qu’une signature électronique mais qui sont délivrés, non par une personne physique mais par une personne morale. Ce sont des signatures réalisées avec un certificat serveur. Comme pour la signature électronique, un cachet électronique qualifié qui repose sur un certificat qualifié délivré par un État membre est reconnu en tant que tel par les autres États membres. Le même processus est prévu pour les horodatages électroniques qualifiés.

C’est également au plus tard le 18 septembre 2015 que seront définis les formats de référence des signatures électroniques ou des cachets électroniques, ou les méthodes de référence lorsque d’autres formats seront utilisés.

3) Les documents électroniques

Le règlement rappelle que l’effet juridique et la recevabilité d’un document électronique comme preuve en justice ne peuvent être refusés au seul motif que ce document se présente sous une forme électronique.

Notes