Réglementation - OTP Service

IT • EN

L'eIDAS (Electronic Identification, Authentication and Trust Services) définit trois types de signatures électroniques

Signature Électronique Simple (SES)

Signature Électronique « Simple » est un nom couramment utilisé qui regroupe toutes les signatures électroniques à l’exclusion de celles avancées et qualifiées.

Signature Électronique Avancée (SEA)

Elle consiste en un ensemble de données sous forme électronique liées à un document informatique qui permettent l’identification du signataire du document.

Signature Électronique Qualifiée

Utilisée pour les signatures de documents entre représentants légaux d’une entreprise et l’administration publique ou pour les actes notariés nécessitant le niveau de sécurité maximum.

La différence entre les trois types de signature réside principalement dans le niveau de sécurité de chaque type et la complexité du système de vérification de l’identité du signataire que chacun d’eux utilise. La force de la signature réside donc dans le degré de confiance qu’elle fournit concernant l’identification du signataire et dans la preuve que le document est effectivement celui qui a été signé, ainsi que naturellement dans une valeur probante croissante en cas de jugement.

Pour un choix éclairé des avantages et inconvénients de chacune d’elles, nous allons expliquer ci-dessous la différence entre les différents types de signature électronique.

Souvent, les personnes ont tendance, par instinct, à choisir le type de signature le plus fort en absolu. Il faut cependant toujours tenir compte du rapport coût/bénéfice, où le coût n’est pas seulement une question économique mais aussi de praticité et de rapidité d’utilisation tant pour le proposant (celui qui propose un document à la signature) que pour le signataire (celui qui doit signer le document qui lui est proposé).

Le proposant doit donc équilibrer le niveau de signature réellement nécessaire, conscient que, plus le niveau de sécurité requis augmente, plus le processus devient complexe et coûteux, surtout en termes de temps, tant pour le proposant que pour le signataire.

Nous, chez OTP service, proposons les deux premiers niveaux de signature, la simple (FS) et l’avancée (SEA).

Suit la description de la signature électronique simple et de la signature électronique avancée qui sont toutes deux achetables sur ce site web. OTP Service est le premier et unique fournisseur de signature qui n’oblige pas à un abonnement récurrent mais offre à la fois un service entièrement gratuit (mais limité en nombre de signatures) et à la consommation, dégressif à partir d’un crédit prépayé utilisable soit depuis notre interface web soit intégré dans votre système de gestion via nos API.

Signature électronique simple (SES)

Signature Électronique « Simple » est un nom couramment utilisé qui regroupe toutes les signatures électroniques à l’exclusion de celles avancées et qualifiées. Bien qu’il soit utilisé par la majorité des fournisseurs de signature numérique, l’eIDAS n’utilise pas ce terme. Cependant, pour simplifier la compréhension de ce document, nous utiliserons le terme « signature simple » pour indiquer le premier des trois niveaux de signature électronique.

Aujourd’hui, la grande majorité des signatures électroniques commercialisées sont dites « simples » car elles sont à la portée de tous, en effet, elles sont faciles et rapides. La FS correspond au premier niveau de sécurité en termes de validité légale pour un document signé à distance.

Niveau de sécurité pour la signature électronique simple

Il n’existe donc pas de liste établie d’exigences pour ce type de signature. On peut donc, sans aucun processus concret de vérification ou de consentement de l’identité, faire signer un document très rapidement. Dans ce cas cependant, il serait très facile pour le signataire de désavouer la signature. Selon cette définition, une signature scannée ou une signature numérique de base, comme celle que vous apposez sur le terminal du livreur qui vous apporte un colis, par exemple, sont les signatures dites simples.

Cependant, précisément en vertu du fait que pour la signature électronique simple c’est le juge qui l’évalue au cas par cas, otpservice.io a décidé de la renforcer, acquérant ainsi une plus grande valeur légale, grâce à une série de mesures que nous avons puisées directement dans la réglementation plus stricte de la signature électronique avancée. Par exemple, nous avons ajouté une étape d’authentification supplémentaire, comme le système de double authentification par lequel un code OTP, envoyé au signataire par SMS ou email, est nécessaire pour signer le document.

De même, bien qu’il ne soit pas obligatoire d’avoir un suivi de contrôle avec les signatures électroniques simples, nous avons renforcé toutes les informations qui sont collectées pendant le processus de signature.

Dans le registre des événements, sont enregistrés : l’email du signataire, son numéro de téléphone, l’adresse IP de l’ordinateur utilisé pour signer le document, etc. Le but de ce registre est de donner aux avocats la possibilité de retracer facilement les différentes phases d’une transaction étape par étape, fournissant ainsi une plus grande crédibilité en cas de contestation de signature du document.

Toutes ces informations supplémentaires sont exposées dans le certificat de signature qu’otpservice.io ajoute, automatiquement, à la fin du document après la signature. Une copie de ce document est envoyée au signataire par otpservice.io et est toujours disponible pour le proposant via le panneau de contrôle pratique qui lui est réservé.

La signature électronique simple (FS), bien qu’elle ne satisfasse pas aux exigences des signatures électroniques qualifiées, est néanmoins reconnue par l’eIDAS comme une signature pleinement admissible dans les procédures judiciaires.

L’art. 20 alinéa 1-bis du CAD (Code de l’administration numérique) établit que l’aptitude du document informatique à satisfaire l’exigence de la forme écrite et sa valeur probante sont librement évaluables en justice, en relation avec les caractéristiques de sécurité, d’intégrité et d’inaltérabilité de la solution de signature électronique adoptée.

Signature Électronique Avancée (SEA)

En référence au DPCM du 22/02/2013 article 55 et suivants, la Signature Électronique Avancée (SEA) consiste en un ensemble de données sous forme électronique liées à un document informatique qui permettent l’identification du signataire du document et garantissent la connexion univoque au signataire.

Elles doivent être créées avec des moyens sur lesquels le signataire peut conserver un contrôle exclusif et l’inaltérabilité du document objet de la signature doit être garantie.

La SEA constitue une signature plus forte par rapport à la signature électronique simple car :

elle permet l’identification du signataire et la connexion univoque de celui-ci au document signé ;
cette connexion est créée en utilisant des moyens sur lesquels le signataire peut conserver le contrôle exclusif ;
elle permet de détecter si les données ont été modifiées postérieurement à l’apposition de la signature électronique avancée.

La SEA a la même valeur légale qu’un document signé de manière autographe en personne entre un proposant et un signataire.
Le processus de SEA géré par OTP service est sécurisé car :

le signataire est contacté pour l’inviter à la signature et en pièce jointe est transmise une copie du document à signer. De cette manière, le signataire peut le consulter avant de donner son consentement. Dans le même email, on commence à décrire le processus et comment est générée l’empreinte du fichier contenant le document à signer ;
l’empreinte numérique du document à signer garantit que le document signé est le même que celui anticipé au signataire avant la signature ;
impose au signataire l’acceptation des conditions d’utilisation de la SEA de manière qu’il soit conscient de la validité légale de la signature qu’il s’apprête à apposer ;
demande au signataire la saisie ou la vérification de ses propres données personnelles et de son propre document d’identité
demande au signataire de fournir une photo de lui-même avec à côté son propre document d’identité en plus de la photo recto/verso de son propre document d’identité en cours de validité ;
demande au signataire de cocher tous les points de signature obligatoires requis par le proposant ;
transmet au signataire, par email ou SMS, un code OTP (mot de passe à usage unique) pour associer le numéro de portable ou l’adresse email à la signature, au moment où elle est apposée ;
partage, de manière sécurisée et cryptée, photos et informations au proposant de manière qu’il puisse les valider ;
en cas de validité confirmée de toutes les données reçues, le système efface automatiquement la photo avec le visage et maintient en revanche les deux photos du document d’identité, selon ce qui est prévu par la réglementation en vigueur (DPCM 22 février 2013 Art. 57 point 1b). De plus, il complète le processus de signature en transmettant aux deux parties le document souscrit ;
Enfin, dans l’email de conclusion est décrite la procédure pour vérifier en autonomie l’ensemble du processus de signature.

Signature Électronique Qualifiée

OTP service n’offre pas la Signature Qualifiée (ou Signature Numérique) car elle est typiquement utilisée pour les signatures de documents entre représentants légaux d’une entreprise et l’administration publique ou pour les actes notariés nécessitant le niveau de sécurité maximum. Ce type de signature nécessite habituellement un matériel (token USB) qui contient à son tour un certificat valide seulement pour une certaine période de temps et délivré par les chambres de commerce ou autres organismes accrédités après un processus de reconnaissance de visu. Un logiciel résidant sur la clé permet d’apposer signature et cachet temporel directement dans le document. Pour visualiser le fichier signé, un logiciel approprié est nécessaire. Si tant le signataire que le proposant doivent signer, les deux parties doivent disposer de leur propre token USB et du mot de passe de signature relatif (qui sont strictement personnels et qui ne devraient jamais être délégués à des tiers, par exemple : à l’intérieur d’une entreprise).

Valeur Juridique des signatures

Le Règlement UE n° 910/2014 du Parlement Européen et du Conseil du 23 juillet 2014, connu sous l’acronyme eIDAS (Electronic IDentification Authentication and Signature), a fixé des normes et procédures pour les signatures électroniques.

Au niveau européen, le système des signatures électroniques doit être rattaché à la directive 1999/93/CE, Directive du Parlement européen et du Conseil relative à un cadre communautaire pour les signatures électroniques. Publiée au J.O.C.E. 19 janvier 2000 L. 13, elle est entrée en vigueur le 19 janvier 2000. L’article 5 de la directive revêt une importance particulière, qui prévoit des obligations des États membres relatives tant aux « signatures électroniques avancées basées sur un certificat qualifié et créées au moyen d’un dispositif de création de signature sécurisé » qu’à d’autres systèmes de signature (qui aujourd’hui sont génériquement appelés faibles ou simples). On renvoie à la rubrique Téléadministration. L’Italie s’est adaptée à la directive en 2002 (D. lgs. 23 janvier 2002, n° 10)

Solutions