Quinze ans après la directive de 1999 sur un cadre communautaire pour les signatures électroniques, et abrogeant cette dernière, l’Europe se dote de son premier règlement, sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur, applicable en juillet 2016.
Ce règlement est destiné à assurer le bon fonctionnement du marché intérieur avec un niveau adéquat de sécurité des moyens d’identification électronique et des services de confiance.
- Il fixe les conditions d’un État membre afin de reconnaître les moyens d’identification électronique des personnes physiques et morales
- Il établit des règles applicables aux services de confiance, en particulier pour les transactions électroniques
- Il instaure un cadre juridique pour les services de signatures électroniques, de cachets électroniques, d’horodatages électroniques, de documents électroniques, d’envoi recommandé électronique et les services de certificats pour l’authentification de site internet.
Le lien pour accéder au texte complet : http://eur-lex.europa.eu/legal-content/FR/TXT/PDF/œuri=CELEX:32014R0910&rid=1
Sur la forme, rappelons qu’un règlement s’impose à l’ensemble des États membres alors qu’une directive nécessite son adaptation aux différents droits nationaux. S’agissant de mettre en place un dispositif destiné à offrir un maximum d’interopérabilité au niveau des États européens, il était en effet indispensable qu’il ne puisse y avoir aucune interprétation divergente au cours de cette phase d’adaptation.
Avant tout, ce nouveau règlement tient compte du vécu de ces dernières années, en particulier autour de la signature électronique avec une complexité de mise en œuvre incontestable, sans doute justifiée par la peur du changement. Certaines réflexions nationales ont également été reprises par exemple avec la loi belge de 2007 relative à la définition des tiers de confiance dont on retrouve beaucoup d’éléments.
L’identification électronique
Il est très significatif de constater que ce règlement commence par établir les bases d’une identification électronique et d’une authentification transfrontalière suivant différents niveaux (faible substantiel, élevé) à choisir en fonction de ses besoins. La qualité de l’identification constitue en effet l’essentiel de la valeur d’une signature électronique, son lien avec la personne physique étant bien évidemment déterminant quelle que soit la technique sous-jacente.
De plus, afin de lever toute ambiguïté, la différence est faite entre une signature électronique qui ne concerne que des personnes physiques et le cachet électronique réservé aux personnes morales sachant que la signature électronique d’une personne déléguée peut également jouer ce rôle.
On notera avec intérêt les précisions quant aux envois recommandés ainsi que les certificats électroniques d’authentification de site ainsi que l’ouverture à des nouveaux services jusque-là laissés pour compte comme la validation de la signature électronique et sa conservation.
Au-delà de ces différents services de confiance, l’organisation et la reconnaissance des prestataires de service de confiance a été également particulièrement soignée et gérée de façon transverse, beaucoup plus facile à appréhender même si certains services possèdent encore leurs propres exigences.
Les prestataires de service de confiance
Sont désormais reconnus les prestataires de service de confiance qualifiés ou non, la différence se traduit dans les faits côté utilisateur, par le renversement de la preuve et surtout côté prestataire, par les garanties qu’il sera capable d’offrir en cas de dommage en fonction de sa solidité financière et d’une assurance adaptée.
L’aspect sécurité est également omniprésent avec une importance toute particulière quant au fait de notifier tout incident en la matière, sans oublier la protection des données à caractère personnelle. A retenir enfin les obligations fortes pour le secteur public avec de vraies garanties offertes aux utilisateurs de tous ces services en particulier sous l’aspect transfrontalier.
Applicable dès juillet 2016, ce règlement représente une étape extrêmement structurante en attendant le prochain règlement plus orienté sur la gestion des données à caractère personnel.
Jean-Marc Rietsch est expert en dématique (dématérialisation des supports, des échanges et des processus métier) et en archivage électronique concernant plus particulièrement les aspects conformité, économie et risque. Il est également membre fondateur et actuel président de FEDISA.
