L'Europe est divisée sur la signature électronique

L'Europe de la signature électronique n'existe pas encore. La marge de man?"uvre laissée aux États engendre des réglementations divergentes.

Garantir la reconnaissance juridique des signatures électroniques, au sein d'un cadre commun, dans tous les États membres de l'Union, telle est l'ambition de la directive européenne adoptée le 13 décembre 1999. La date limite de transposition de cette directive dans les législations nationales était fixée au 19 juillet 2001. À ce jour, certains États n'ont pas franchi le pas, et de fortes divergences subsistent sur le régime d'accréditation des prestataires de services de certification (PSC).La signature électronique garantit l'authenticité, la confidentialité et l'intégrité des données ainsi que l'identité du signataire. Les législations confèrent au PSC un rôle décisif dans ce processus. La directive européenne fixe des règles minimales en matière de sécurité et de responsabilité. Elle crée un cadre juridique fiable pour les transactions transfrontalières en ligne, tout en étant flexible pour pouvoir s'adapter aux évolutions technologiques.Mais, si elle fixe les exigences à satisfaire, les États sont libres de choisir les moyens. Cette marge de man?"uvre engendre donc des réglementations divergentes.L'Allemagne et l'Italie ont été les précurseurs. Leurs textes législatifs se limitent aux signatures créées par chiffrement asymétrique. La loi fédérale allemande reconnaît l'usage de la signature électronique avancée. Elle instaure même un régime de PSC habilités par le gouvernement, au sein duquel la clé privée identifie le propriétaire de la signature et renforce l'intégrité des données.Une signature électronique remplit les exigences légales si elle est vérifiée par la clé publique indiquée dans le certificat émis par un PSC habilité, et les intervenants sont certains de la validité de la signature dès que les procédures ont été respectées.Mais, la loi ne cite ni la recevabilité en justice ni la valeur probante de la signature électronique, le juge restant libre d'apprécier les éléments de preuve qui lui sont soumis.

La signature électronique avancée, reconnue

En Italie, c'est un décret du président de la République qui confère à la signature électronique avancée les mêmes effets qu'à la signature manuscrite, y compris la même force probante dans le domaine judiciaire. La signature électronique avancée est reconnue pour tout type d'acte et dans tous les domaines.La France, la Belgique et le Luxembourg s'inspirent de la directive européenne. Leurs réglementations ne traitent que de la signature électronique avancée et considèrent comme équivalentes aux signatures manuscrites les signatures électroniques avancées associées à un certificat. Elles posent un principe de liberté de fourniture des services de certification, sans autorisation préalable. Pour les certificats qualifiés, les PSC communiquent leur nom et numéro de RCS à l'Administration.

Interopérabilité des certificats

Cette liberté doit être relativisée. L'accréditation s'imposera au juge comme une présomption de fiabilité du prestataire. Elle peut dispenser l'usager du certificat d'apporter la preuve de cette fiabilité. Pour la confidentialité, l'agrément de l'État est obligatoire, au vu de la réglementation française sur le chiffrement. Pour la signature, si l'État est partie prenante, il contrôle l'accréditation, comme pour le Télé TVA.Pour des échanges commerciaux, ce sont les communautés professionnelles qui organisent les outils de reconnaissance. Si les consommateurs sont impliqués, l'État peut amener une accréditation minimale afin de préserver leurs droits.Au sein d'un Extranet, l'accréditation dépend de l'entreprise. Ces textes législatifs prévoient qu'elle vise des services non réglementés. En l'absence de cadre juridique, l'incertitude demeure. L'interopérabilité n'est pas assurée.Au Royaume-Uni ou au Danemark, les systèmes ont l'inconvénient de faire supporter la preuve de l'authenticité de la signature électronique à la partie voulant prouver son consentement. La loi danoise ne comporte pas la notion de signature avancée, mais détermine les conditions dans lesquelles les signatures seront considérées comme fiables, le juge restant libre d'évaluer leur force probante.Enfin, la directive européenne prévoit des mécanismes de coopération avec les pays tiers afin de reconnaître la signature électronique au niveau international et d'obtenir une interopérabilité des certificats. Aux États-Unis, le 30 juin 2000, la loi Electronic Signatures in Global and National Commerce Act, ou E-Sign, a octroyé aux signatures électroniques la même valeur juridique qu'aux signatures manuscrites. Mais ce texte ne régit pas l'interopérabilité des certificats émis par des États membres et ceux d'organismes américains. Une situation regrettable, car la majorité des PSC est d'origine américaine. D'où une reconnaissance mutuelle non universelle, mais résultant d'accords au cas par cas entre les protagonistes.* (avocat)

Les éditeurs adaptent leurs offres aux PKI

À peine quinze mille certificats en France, alors que l'Italie en revendique un million. Comment doper le marché ? " Le décollage de la signature électronique dépend de sa prise en main par les concepteurs d'applications et les responsables de la gestion des risques dans l'entreprise ", rappelle Thierry Autret, directeur chez Ernst & Young. Les éditeurs rusent en insérant des options PKI dans leurs offres. CA propose d'utiliser son serveur SSO pour amener l'usage des certificats X509 dans l'écosystème de l'entreprise.

Lexique

Signature électronique avancée : uniquement rattachée au signataire, elle l'identifie. Créée par des moyens qu'il garde sous son contrôle exclusif, elle est liée aux données auxquelles elle se rapporte, de telle sorte que toute modification ultérieure des données est détectable.
Certificat électronique qualifié : émis par un PSC, il correspond à des critères spécifiques.