Version du 9 juin 2009 à 22:25

Cet article est une ébauche relative au droit français, vous pouvez partager vos connaissances juridiques en le modifiant, vous pouvez également faire une recherche dans le moteur...' ' Recherche en droit français ‎

France > Droit civil (fr) > Preuve civile (fr) > Comment prouver ?(fr)

Problématique

Le développement rapide de la société de l'information est l'occasion d'un déploiement important de mesures techniques visant à rencontrer les exigences de sécurité juridique d'une telle société. Conscients des risques induits par des échanges non sécurisés au sein des réseaux électroniques, et désireux de stimuler la confiance dans le commerce électronique, les pouvoirs publics ont graduellement mis en place les conditions de mise en oeuvre de la signature électronique.

Le besoin de sécurité lié au commerce

Une des applications les plus répandues du commerce électronique est certainement la conclusion et l'exécution de véritables transactions juridiquement contraignantes sur un réseau ouvert comme Internet. De telles transactions peuvent se nouer entre entreprises (business to business ou B2B) ou entre entreprises et consommateurs (business to consumers ou B2C). Mais l'on trouve également un commerce électronique entre particuliers (private to private [P2P] ou consumer to consumer [C2C]).

Les caractéristiques suivantes

1. Automatisation des manifestations de volonté, en ce sens que l'ordre de commande ou son acceptation peut être transmis automatiquement sans qu'une personne physique confirme à chaque fois manuellement la volonté d'être lié contractuellement en visualisant les commandes à l'écran. 2. Dématérialisation du support d'expression des volontés, puisque le contenu de l'accord n'est pas couché sur papier, ni, a fortiori, signé à la main.

Dans cet article, nous nous concentrerons sur quelques caractéristiques juridiques de la signature à travers une visite de ses caractéristiques dans un premier temps et dans un second temps en revisitant son cadre juridique.

Caractéristiques de la signature électronique

Qu'est-ce que la signature électronique ?

Le développement du commerce électronique est subordonné à l'existence de garanties sur la sécurité des transmissions de données et des paiements en ligne. Grâce à un système de chiffrement appliqué au message transmis, sans que ce dernier soit nécessairement lui-même chiffré, la signature électronique constitue une réponse au problème, car elle garantit l'authenticité et l'intégrité des données, ainsi que l'identité du signataire. Si la confidentialité est requise, il faut chiffrer le contenu du message. De façon générale, le chiffrement consiste à rendre le texte d'un message illisible pour qui ne détient pas la clé de déchiffrement. Dans les systèmes de chiffrement symétriques, une seule clé sert à la fois à chiffrer et à déchiffrer les données. Elle doit être gardée secrète par les parties intéressées pour que la sécurité de l'information soit garantie. L'inconvénient principal réside dans le fait que l'expéditeur et le destinataire doivent convenir à l'avance de la clé et doivent disposer d'un canal sûr pour l'échanger. C'est pourquoi les systèmes de signature électronique qui se développent depuis quelques années reposent sur des algorithmes de chiffrement asymétriques, où, de plus, chaque utilisateur dispose de deux clés, une clé publique et une clé privée. Ces deux clés sont elles-mêmes créées à l'aide d'algorithmes mathématiques. Elles sont associées l'une à l'autre de façon unique et sont propres à un utilisateur donné. Un message chiffré à l'aide d'un algorithme asymétrique et d'une clé privée, qui constitue l'un des paramètres de l'algorithme, ne peut être déchiffré qu'avec la clé publique correspondante, et inversement. La clé publique doit donc être connue de tous, tandis que la clé privée reste secrète, la carte à puce semblant être le meilleur support de stockage des clés privées. Lorsque l'algorithme de chiffrement asymétrique est utilisé seulement pour créer la signature électronique, les mêmes clés, privée et publique, sont utilisées, mais seulement pour vérifier l'authenticité et l'intégrité du message. Ces signatures électroniques, obtenues par l'application d'algorithmes asymétriques, sont parfois qualifiées de numériques ou de " digitales ", par opposition aux signatures électroniques créées au moyen d'autres dispositifs. Selon la Commission des Nations Unies pour le droit commercial international, une signature numérique est " une valeur numérique apposée à un message de données et qui, grâce à une procédure mathématique bien connue associée à la clé cryptographique privée de l'expéditeur, permet de déterminer que cette valeur numérique a été créée à partir de la clé cryptographique privée de l'expéditeur. Les procédures mathématiques utilisées pour créer les signatures numériques sont fondées sur le chiffrement de la clé publique. Appliquées à un message de données, ces procédures mathématiques opèrent une transformation du message de telle sorte qu'une personne disposant du message initial et de la clé publique de l'expéditeur peut déterminer avec exactitude : a) si la transformation a été opérée à l'aide de la clé privée correspondant à celle de l'expéditeur ; et b) si le message initial a été altéré une fois sa transformation opérée (...) "

L'identification du signataire

L'identification du signataire passe par un signe, qui, comme le remarque Isabelle Dauriac, doit émaner du signataire et être distinctif. D'une part, ce signe permet au signataire de se faire connaître, et d'autre part, il lui permet d'être reconnu. Cette reconnaissance est fonction de la capacité de celui qui aura à interpréter ce signe et à en tirer les conséquences. Bien entendu, l'identification ne passe pas obligatoirement par le nom et le prénom: tout autre signe remplissant les conditions ci-dessus est susceptible de remplir les fonctions d'identification assurées par la signature.

La manifestation du consentement du signataire

La signature atteste la volonté du signataire de donner son approbation finale aux dispositions contenues dans l'acte11. Le texte de l'article 1316-4 établit le lien formel entre l'acte et la signature de l'acte. Ce lien est réalisé par l'apposition de la signature. Lorsqu'elle est électronique, le législateur a pris la peine d'expliciter la manière dont cette apposition doit être formalisée. C'est par l'utilisation d'un «!procédé fiable … garantissant [le lien de la signature électronique] avec l'acte auquel elle s'attache!»

Procédé technique de la signature

Le paradigme de signature électronique (appelé aussi signature numérique) est un procédé permettant de garantir l'authenticité de l'expéditeur (fonction d'authentification) et de vérifier l'intégrité du message reçu. La signature électronique assure également une fonction de non-répudiation, c'est-à-dire qu'elle permet d'assurer que l'expéditeur a bien envoyé le message (autrement dit elle empêche l'expéditeur de nier avoir expédié le message).

Qu'est-ce qu'une fonction de hachage ?

Une fonction de hachage (parfois appelée fonction de condensation) est une fonction permettant d'obtenir un condensé (appelé aussi condensat ou haché ou en anglais message digest) d'un texte, c'est-à-dire une suite de caractères assez courte représentant le texte qu'il condense. La fonction de hachage doit être telle qu'elle associe un et un seul haché à un texte en clair (cela signifie que la moindre modification du document entraîne la modification de son haché). D'autre part, il doit s'agir d'une fonction à sens unique (one-way function) afin qu'il soit impossible de retrouver le message original à partir du condensé. S’il existe un moyen de retrouver le message en clair à partir du haché, la fonction de hachage est dite « à brèche secrète ». Ainsi, le haché représente en quelque sorte l'empreinte digitale (en anglais finger print) du document. Les algorithmes de hachage les plus utilisés actuellement sont  : • MD5 (MD signifiant Message Digest). documents en téléchargement sur Internet accompagnés d'un fichier MD5, il s'agit Développé par Rivest en 1991, MD5 crée une empreinte digitale de 128 bits à partir d'un texte de taille arbitraire en le traitant par blocs de 512 bits. • SHA (pour Secure Hash Algorithm, pouvant être traduit par Algorithme de hachage sécurisé) crée des empreintes d'une longueur de 160 bits

Vérification d'intégrité

En expédiant un message accompagné de son haché, il est possible de garantir l'intégrité d'un message, c'est-à-dire que le destinataire peut vérifier que le message n'a pas été altéré (intentionnellement ou de manière fortuite) durant la communication. Lors de la réception du message, il suffit au destinataire de calculer le haché du message reçu et de le comparer avec le haché accompagnant le document. Si le message (ou le haché) a été falsifié durant la communication, les deux empreintes ne correspondront pas.

Le scellement des données

L'utilisation d'une fonction de hachage permet de vérifier que l'empreinte correspond bien au message reçu, mais rien ne prouve que le message a bien été envoyé par celui que l'on croit être l'expéditeur. Ainsi, pour garantir l'authentification du message, il suffit à l'expéditeur de chiffrer (on dit généralement signer) le condensé à l'aide de sa clé privée (le haché signé est appelé sceau) et d'envoyer le sceau au destinataire. A réception du message, il suffit au destinataire de déchiffrer le sceau avec la clé publique de l'expéditeur, puis de comparer le haché obtenu avec la fonction de hachage au haché reçu en pièce jointe. Ce mécanisme de création de sceau est appelé scellement.

De la signature à la certification

Contrairement à la signature manuscrite, la signature numérique, composée de chiffres, de lettres et d'autres signes, ne comporte aucun élément permettant de l'attribuer à une personne donnée. Chaque utilisateur doit donc établir avec certitude l'identité de ses correspondants. C'est pourquoi on recourt à des services de certification, souvent désignés comme " tiers de certification ", qui disposent de la confiance de chacun et qui garantissent l'appartenance d'une signature à une personne. Comme le destinataire utilise la clé publique de l'expéditeur pour vérifier la signature électronique de ce dernier, la vérification suppose que le tiers certifie au destinataire que la clé publique qu'il utilise correspond bien à la clé privée de l'expéditeur signataire et que ce dernier est bien celui qu'il prétend être. Les tiers de certification délivrent donc des certificats d'authentification qui contiennent, d'une part, divers renseignements sur la personne dont on souhaite vérifier l'identité (nom, prénom, date de naissance...) et, d'autre part, sa clé publique. Ces certificats sont généralement réunis dans des bases de données mises en ligne sur le réseau Internet, ce qui permet à chacun d'y accéder facilement.

La signature numérique constitue donc un bloc de données créé à l'aide d'une clé privée ; la clé publique correspondante et le certificat permettent de vérifier que la signature provient réellement de la clé privée associée, qu'elle est bien celle de l'expéditeur et que le message n'a pas été altéré.

Cadre juridique

Des sources juridiques internationales

Parler de l’émergence de règles juridiques transnationales du commerce électronique ne se discute plus. La plupart des États considèrent, en outre, que l’adoption de textes législatifs sur certaine problématiques typiques du commerce électronique est devenue une nécessité. L’ampleur d’actions centrifuges, ainsi que la spécificité de la portée des règles ainsi édictées mérite d’être mise en relief. Le droit du commerce électronique se caractérise par le pluralisme de ses sources ; Même s’il puise ses sources dans le droit du commerce international, il s’en différencie néanmoins, spécialement parce qu’il ne touche pas, en principe, aux transactions sous -jacentes et qu’il relève pour partie exclusivement du droit interne. Il ne se confond avec aucun droit tant celui de la propriété intellectuelle, de l’informatique ou celui des télécommunications, c’est un droit spécifique qui emprunte des parcelles de son contenu à de multiples domaines juridiques, sans pour autant s’arrêter aux traditionnelles distinctions droit privé-droit public

Le cadre européen

Le 13 mai 1998, la Commission a présenté la proposition de directive sur un cadre commun pour les signatures électroniques. Le Parlement européen l'a approuvée le 13 janvier 1999, après avoir introduit quelques amendements. La Commission a donc présenté une proposition modifiée le 29 avril 1999, sur laquelle le Conseil a adopté une position commune. Le 27 octobre 1999, le Parlement européen a adopté quelques amendements formels à ce texte, sur lequel le Conseil s'est prononcé le 29 novembre 1999. Décision de la Commission du 14 juillet 2003 (2003/511/CE) relative à la publication des numéros de référence de normes généralement admises pour les produits de signatures électroniques conformément à la directive 1999/93/CE du Parlement européen et du Conseil [notifiée sous le numéro C(2003) 2439]

La reconnaissance juridique de la signature électronique

L'article premier de la directive énonce : " L'objectif de la présente directive est de faciliter l'utilisation des signatures électroniques et de contribuer à leur reconnaissance juridique (...) ".

A l'article suivant, elle définit deux niveaux de signature électronique. Elle distingue en effet la " signature électronique ", qu'elle qualifie de " donnée sous forme électronique, qui est jointe ou liée logiquement à d'autres données électroniques et qui sert de méthode d'authentification ", de la " signature électronique avancée ", qui doit en outre satisfaire aux exigences suivantes : " a) être liée uniquement au signataire ; " b) permettre d'identifier le signataire ; " c) être créée par des moyens que le signataire puisse garder sous son contrôle exclusif ; et " d) être liée aux données auxquelles elle se rapporte de telle sorte que toute modification ultérieure des données soit détectable ".

Les effets juridiques de la signature électronique

D'après la directive, seules les signatures électroniques créées dans des conditions de sécurité optimale peuvent avoir la même valeur que les signatures manuscrites. En effet, cette équivalence est réservée aux signatures électroniques avancées " basées sur un certificat qualifié et créées par un dispositif sécurisé de création de signature ". Toutefois, les autres signatures électroniques doivent pouvoir être reconnues en justice. Le seul fait qu'elles ne reposent pas sur un certificat qualifié, que le certificat n'ait pas été délivré par un tiers de certification agréé, ou qu'elles ne résultent pas d'un dispositif sécurisé de création de signature ne doit pas empêcher a priori qu'elles soient reçues comme preuves.

Les conditions de validité de la signature électronique

La recevabilité en justice des signatures électroniques et la qualification de signature électronique " avancée ", reposent sur des conditions relatives : - aux certificats ; - aux tiers de certification ; - au processus de création de la signature électronique.

Les certificats

Les titulaires des certificats sont des personnes physiques qui peuvent, le cas échéant, agir pour le compte d'une personne morale. La directive ne mentionne aucune indication de durée de validité maximale pour les certificats. L'annexe I de la directive énumère les exigences relatives aux certificats " qualifiés ". Ces derniers comportent nécessairement : " a) une mention indiquant que le certificat est délivré à titre de certificat qualifié ; " b) l'identification du prestataire de service de certification, ainsi que le pays dans lequel il est établi ; " c) le nom du signataire ou un pseudonyme qui est identifié comme tel ; " d) la possibilité d'inclure, le cas échéant, une qualité spécifique du signataire, en fonction de l'usage auquel le certificat est destiné ; " e) des données afférentes à la vérification de signature qui correspondent aux données pour la création de signature sous le contrôle du signataire ; " f) l'indication du début et de la fin de la période de validité du certificat ; " g) le code d'identité du certificat ; " h) la signature électronique avancée du prestataire de service de certification qui délivre le certificat ;

" i) les limites à l'utilisation du certificat, le cas échéant ; et " j) les limites à la valeur des transactions pour lesquelles le certificat peut être utilisé, le cas échéant ".

Les tiers de certification

Si la fourniture de services de certification ne peut être soumise à une autorisation préalable, et peut être assurée par toute personne physique ou morale, les Etats membres doivent cependant instaurer un système de contrôle des tiers de certification. La directive prévoit par ailleurs que les Etats membres puissent, pour " améliorer le niveau du service de certification fourni ", instaurer un système d'accréditation. L'annexe II de la directive définit les exigences concernant les tiers de certification qui délivrent des certificats agréés. " Les prestataires de service de certification doivent : " a) faire la preuve qu'ils sont suffisamment fiables pour fournir des services de certification ;

" b) assurer le fonctionnement d'un service d'annuaire rapide et sûr et d'un service de révocation sûr et immédiat ; 

" c) veiller à ce que la date et l'heure d'émission et de révocation d'un certificat puissent être déterminées avec précision ; " d) vérifier, par des moyens appropriés et conformes au droit national, l'identité et, le cas échéant, les qualités spécifiques de la personne à laquelle un certificat qualifié est délivré ;

" e) employer du personnel ayant les connaissances spécifiques, l'expérience et les qualifications nécessaires à la fourniture des services et, en particulier, des compétences au niveau de la gestion, des connaissances spécialisées en technologie des signatures électroniques et une bonne pratique des procédures de sécurité appropriées ; ils doivent également appliquer des procédures et méthodes administratives et de gestion qui soient adaptées et conformes à des normes reconnues ; 

" f) utiliser des systèmes et des produits fiables qui sont protégés contre les modifications et qui assurent la sécurité technique et cryptographique des fonctions qu'ils assument ; " g) prendre des mesures contre la contrefaçon des certificats et, dans les cas où le prestataire de service de certification génère des données afférentes à la création de signature, garantir la confidentialité au cours du processus de génération de ces données ; " h) disposer des ressources financières suffisantes pour fonctionner conformément aux exigences prévues par la présente directive, en particulier pour endosser la responsabilité de dommages, en contractant, par exemple, une assurance appropriée ;

" i) enregistrer toutes les informations pertinentes concernant un certificat qualifié pendant le délai utile, en particulier, pour pouvoir fournir une preuve de la certification en justice. Ces enregistrements peuvent être effectués par des moyens électroniques ; 

" j) ne pas stocker ni copier les données afférentes à la création de signature de la personne à laquelle le prestataire de service de certification a fourni des services de gestion de clés ;

" k) avant d'établir une relation contractuelle avec une personne demandant un certificat à l'appui de sa signature électronique, informer cette personne par un moyen de communication durable des modalités et conditions précises d'utilisation des certificats, y compris des limites imposées à leur utilisation, de l'existence d'un régime volontaire d'accréditation et des procédures de réclamation et de règlement des litiges. Cette information, qui peut être transmise par voie électronique, doit être faite par écrit et dans une langue aisément compréhensible. Des éléments pertinents de cette information doivent également être mis à la disposition, sur demande, de tiers qui se prévalent du certificat ; 

" l) utiliser des systèmes fiables pour stocker les certificats sous une forme vérifiable, de sorte que :

- seules les personnes autorisées puissent introduire et modifier des données,

- l'information puisse être contrôlée quant à son authenticité, 

- les certificats ne soient disponibles au public pour des recherches que dans les cas où le titulaire du certificat a donné son consentement, et - toute modification technique mettant en péril ces exigences de sécurité soit apparente pour l'opérateur. "

La directive prévoit la responsabilité des tiers de certification pour tout préjudice causé par l'utilisation d'un certificat inexact ou invalide. Ils peuvent cependant dégager leur responsabilité en prouvant qu'ils n'ont commis aucune négligence.

Le dispositif de création de la signature électronique

Les dispositifs sécurisés de création de signature sont définis à l'annexe III de la directive :

" 1. Les dispositifs sécurisés de création de signature doivent au moins garantir, par les moyens techniques et procédures appropriés, que : " a) les données utilisées pour la création de la signature ne puissent, pratiquement, se rencontrer qu'une seule fois et que leur confidentialité soit raisonnablement assurée ; " b) l'on puisse avoir l'assurance suffisante que les données utilisées pour la création de la signature ne puissent être trouvées par déduction et que la signature soit protégée contre toute falsification par les moyens techniques actuellement disponibles ; " c) les données utilisées pour la création de la signature puissent être protégées de manière fiable par le signataire légitime contre leur utilisation par d'autres. " 2. Les dispositifs sécurisés de création de signature ne doivent pas modifier les données à signer ni empêcher que ces données soient soumises au signataire avant le processus de signature ".

La transposition française

Loi n° 2000-230 du 13 mars 2000 portant adaptation du droit de la preuve aux technologies de l'information et relative à la signature électronique. Cette loi introduit ou modifie notamment les articles 1316, 1316-1, 1316-2, 1316-3, 1316-4 et 1326 du code civil
Loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, notamment son article 33 qui précise le régime de responsabilité des prestataires de services de certification électronique délivrant des certificats électroniques qualifiés
Décret n° 2001-272 du 30 mars 2001 pris pour l'application de l'article 1316-4 du code civil et relatif à la signature électronique
Décret n° 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information
Arrêté du 28 février 2003 portant nomination au comité directeur de la certification en sécurité des technologies de l'information
Arrêté du 26 juillet 2004 relatif à la reconnaissance de la qualification des prestataires de services de certification électronique et à l'accréditation des organismes qui procèdent à leur évaluation

La modification du code civil

La modification principale est l’insertion de l’article 1316-4 dans le code civil par l’article 4 de la loi n° 2000-230 du 13 juillet 2000. Cet article définit la signature et pose l’équivalence entre la signature électronique et la signature électronique et la signature manuscrite sous certaines conditions. Les réflexions menées à propos de la transposition de la directive européenne en droit français ont permis l’introduction dans le code civil d’une définition de la signature et particulièrement de la signature électronique.

Effet juridiques de la signature électronique

La signature électronique simple

L’article 4 de la loi du 13 mars 2000 définit la signature électronique en ces termes : « Lorsque la signature est électronique, elle consiste en l’usage d’un procédé fiable d’identification garantissant son lien avec l’acte auquel elle s’attache ». A ce niveau, le procédé de signature électronique n’était pas présumé fiable mais l’écrit signé ainsi sous forme électronique ne pourra être refusé en justice au titre de preuve dès lors que le procédé permet d’identifier le signataire et de garantir le lien avec l’acte signé. En cas de contestation, il est nécessaire de prouver la fiabilité du procédé de signature électronique utilisé.

La signature électronique présumée fiable

L’article 4 de la loi du 13 mars 2000 précise que la charge de la preuve peut être inversée, en cas de contestation, sous certaines conditions définies par décret : « la fiabilité de ce procédé est présumée jusqu’à preuve du contraire, lorsque la signature électronique est créée, l’identité du signataire est assurée et l’intégrité de l’acte garantie, dans des conditions fixées en conseil d’état »

Spécifications techniques

Le document CWA 14169, produit par le CEN, est écrit sous la forme de trois profils de protection (présentés respectivement dans les annexes A B et C), correspondant à trois dispositifs de création de signature électronique différents : PPSSCD type 1 PPSSCD type 2 PPSSCD type 3 Lorsque les données de création sont de signature électronique et de vérification de signature électronique sont générées par le prestataire de service de certification, le module cryptographique qu’il utilise doit être évalué et certifié

Conclusion

• Trouver la notion "Signature électronique" dans l'internet juridique français
• Loi n° 2000-230 du 13 mars 2000 portant adaptation du droit de la preuve aux technologies de l'information et relative à la signature électronique