Signature électronique : les trois niveaux eIDAS
Un contrat signé à distance n’offre pas toujours le même niveau de preuve. Le règlement européen eIDAS distingue la signature électronique simple, la signature électronique avancée et la signature électronique qualifiée, avec des exigences croissantes.
Le choix dépend notamment du risque de contestation et des conséquences d’une signature niée. Une commande courante ne présente pas les mêmes enjeux qu’un bail, un cautionnement ou un contrat de travail litigieux.
De la signature simple à l’avancée
La signature simple couvre des procédés variés, comme une case cochée ou un code reçu par SMS. Elle peut être valable, mais le dispositif doit permettre d’établir l’identité du signataire et de préserver l’intégrité du document.
La signature avancée doit satisfaire quatre critères : être liée uniquement au signataire, permettre son identification, rester sous son contrôle avec un niveau de confiance élevé et révéler toute modification ultérieure du document. Ces exigences rendent la preuve électronique plus structurée, sans lui conférer automatiquement la présomption réservée au niveau qualifié.
Un certificat qualifié, à lui seul, ne transforme pas une signature avancée en signature qualifiée. Il faut aussi un dispositif qualifié de création de signature, conformément aux exigences d’eIDAS.
Critères des signatures eIDAS :
- Simple : association électronique avec l’acte signé
- Avancée : identité, contrôle et intégrité vérifiables
- Qualifiée : signature avancée, dispositif et certificat qualifiés
Valeur juridique et force probante : deux enjeux distincts
Validité du contrat et admissibilité de la preuve
Cette distinction est essentielle : la validité juridique d’un acte ne se confond pas avec la force de la preuve qui démontre sa signature. L’article 25 d’eIDAS interdit d’écarter une signature uniquement parce qu’elle est électronique ou non qualifiée.
En droit français, les articles 1174 et 1175 du Code civil admettent généralement la forme électronique pour les actes sous signature privée. Des exceptions concernent notamment certains actes relatifs à la famille, aux successions et aux sûretés, sous réserve des cas prévus par la loi.
Pour la preuve, les articles 1366 et 1367 du Code civil exigent que l’auteur puisse être identifié et que l’écrit soit établi et conservé dans des conditions garantissant son intégrité. Le décret du 28 septembre 2017 réserve la présomption de fiabilité à la signature qualifiée.
Comparaison de la valeur probatoire :
| Niveau | Admissibilité | Présomption de fiabilité |
|---|---|---|
| Simple | Ne peut être écartée du seul fait de sa forme électronique | Non |
| Avancée | Peut être produite en justice | Non |
| Avancée avec certificat qualifié | Peut être produite en justice | Non, si le dispositif n’est pas qualifié |
| Qualifiée | Effet équivalent à la signature manuscrite dans l’Union | Oui, sous réserve de preuve contraire |
Selon le règlement eIDAS, l’équivalence avec la signature manuscrite concerne le niveau qualifié. Les autres niveaux restent recevables, mais leur fiabilité devra être étayée si la signature est contestée.
Signature contestée : les enseignements des décisions récentes
Le juge doit examiner le procédé utilisé
La difficulté probatoire devient concrète lorsqu’une partie nie avoir signé. Le 5 mars 2026, la troisième chambre civile de la Cour de cassation a cassé une décision concernant un bail meublé, car les juges n’avaient pas recherché si le procédé reposait sur une signature qualifiée.
Cette décision, rendue sous le pourvoi n° 24-21.034, rappelle que la qualification du procédé ne peut être ignorée. En l’absence de présomption, l’entreprise qui produit l’acte doit être en mesure de documenter l’identification du signataire et les conditions de création et de conservation.
La chambre commerciale avait déjà précisé, le 13 mars 2024, qu’une signature manuscrite scannée ne bénéficie pas de la présomption attachée à une signature qualifiée. Une image collée dans un PDF ne démontre pas, à elle seule, qui a signé ni si le document a été modifié.
Un dossier de preuve utile :
- Identité vérifiée et méthode d’authentification horodatée
- Empreinte cryptographique et algorithme employés
- Journal des envois de codes et des consentements
- Document signé et preuves exportables hors plateforme
Selon la Cour de cassation, la signature scannée ne se confond pas avec une signature électronique qualifiée. Selon le décret de 2017, la présomption de fiabilité dépend du respect des conditions propres à ce niveau.
Choisir le niveau adapté au document et au risque
Adapter la protection aux conséquences d’une contestation
Le montant du contrat ne suffit pas à déterminer le niveau nécessaire. Il faut aussi considérer la probabilité qu’un signataire conteste l’acte et les conséquences d’une preuve insuffisante : impayé, rupture de contrat ou désaccord sur un engagement personnel.
Une entreprise peut réserver la signature qualifiée aux actes sensibles et employer une signature avancée pour les parcours nécessitant une identification renforcée. Pour les documents courants, une signature simple peut convenir si le processus laisse des traces fiables et cohérentes.
Exemples de choix selon l’usage :
- Documents internes courants : niveau simple, avec traces conservées
- Contrat de travail : avancée et identification renforcée
- Bail ou engagement contestable : niveau qualifié à envisager
- Signature scannée : image seule, preuve particulièrement fragile
Selon eIDAS, les signatures simples et avancées ne peuvent être rejetées uniquement parce qu’elles n’atteignent pas le niveau qualifié. Pour autant, dans un secteur exposé aux contestations, renforcer l’authentification peut éviter une preuve difficile à reconstruire.
Dossier de preuve et RGPD : sécuriser le parcours complet
Exiger des preuves exportables et une conservation maîtrisée
Une plateforme doit fournir un dossier vérifiable indépendamment de l’abonnement. Il devrait associer le document signé, les éléments d’identification, l’horodatage et les événements utiles, tout en permettant de contrôler l’intégrité du document.
La conservation doit suivre le délai applicable à l’acte et survivre à la résiliation du service. Le délai de prescription de droit commun est généralement de cinq ans, mais certaines obligations documentaires imposent des durées différentes.
Vérifications à demander au prestataire :
- Export autonome du dossier et format durable
- Durée de conservation et modalités de restitution
- Statut précis des services sur la liste de confiance
- Répartition des rôles et suppression des données à la fin du contrat
Le RGPD ajoute une vigilance particulière lorsque le parcours utilise une comparaison faciale. Ces données biométriques relèvent de l’article 9 : leur traitement exige une exception applicable et des garanties adaptées, notamment une véritable solution alternative lorsque le consentement est invoqué.
Le règlement européen 2024/1183 ajoute le portefeuille européen d’identité numérique sans changer la hiérarchie des signatures. Selon le calendrier prévu par ce texte, les États membres doivent mettre à disposition un portefeuille au plus tard le 24 décembre 2026, puis certaines organisations devront accepter les portefeuilles concernés à partir du 24 décembre 2027.
