Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia - 399

dispositif sécurisé de création de
signature électronique et que la
vérification de cette signature repose
sur l'utilisation d'un certificat électronique qualifié.
En l'espèce, la capture d'écran
communiquée par le prêteur est
insuffisante à justifier de l'utilisation
d'un certificat électronique qualifié,
étant de surcroît observé que le prestataire 'Y B A C 01 CA' est apparemment
établi aux Etats Unis (abréviation
CA pour Californie) et qu'il n'est pas
justifié qu'il dispose d'une accréditation ou d'une garantie conforme
aux exigences de l'article 8 du même
décret. Pour autant, l'absence de
justification de l'utilisation d'un
certificat électronique qualifié a pour
conséquence de priver le prêteur de la
présomption de fiabilité du procédé
de signature électronique et non
d'invalider celle ci.
En l'absence de contestation du
débiteur de la réalité de sa signature
et dès lors que le prêteur produit des
éléments extrinsèques justifiant de
la réalité du contrat, le premier juge
ne pouvait pas tirer du seul défaut de
présomption de la fiabilité du procédé
de signature électronique l'absence
de preuve du lien d'obligation créé
entre la société Sogefinancement et
M. X, non plus qu'il ne l'aurait fait au vu
d'une signature manuscrite dépourvue de présomption d'authenticité.
En l'espèce, l'existence du prêt
est établie par la justification du
versement des fonds le 2 octobre 2017
sur le compte bancaire de M. X ouvert
à la Société Générale, les documents
pré contractuels et les prélèvements
effectués selon le tableau d'amortissement et l'historique à partir du
30 octobre 2017, en conformité avec
les spécifications contractuelles »

Les deux arrêts mettent en
évidence l'importance de la
« certification » du procédé
de signature
L'intérêt de ces arrêts est de
montrer l'importance que les juges
commencent à apporter à la notion
de « certification » du procédé utilisé.
Dans l'espèce jugée à Toulouse, le
prestataire est français et se prévaut

d'une certification conforme à la
réglementation eIDAS, attestée par le
LSTI, qui est l'organisme d'évaluation de conformité des services de
confiance numérique présents sur le
marché français. L'existence même
de cette certification emporte la
conviction du juge alors même que
l'on ne sait pas exactement ce qui
est certifié, ni même la façon dont
l' « objet » de la certification intervient
dans le processus de signature pour
prouver l'identité du signataire, l'intégrité de l'acte ou son lien avec l'acte
(Art. 1366 et 1367 code civil).
Dans l'espèce jugée à Lyon, le prestataire se présente comme doublement
suspect  : il est américain, et par
surcroît dépourvu de l'«  accréditation  » attendue. Si la société de
financement remporte gain de cause,
c'est grâce aux éléments extrinsèques
qui attestent de la réalité du contrat de
prêt.
Mais pour autant, le procédé utilisé
était peut-être tout à fait capable de
rapporter l'identité du signataire,
l'intégrité de l'acte ou son lien avec
l'acte. On ne le sait pas puisque le
demandeur n'a manifestement pas
produit cette démonstration.
Ces exemples nous invitent à une
réflexion sur la portée exacte de la
certification.

La certification en matière
de signature électronique :
décodage
La création d'une signature électronique à distance est une opération
technique « invisible » pour l'utilisateur mais qui fait intervenir plusieurs
domaines techniques complexes3 :
■	 délivrance des certificats ;
■	 protection des clés privées de
signature ;
■	 format et standard de la
signature ;
■	 création de signature ;
■	 audit des prestataires.
Pour chacun de ces domaines,
plusieurs niveaux de garantie sont
définis, qui ont une terminologie
différente et se mesurent à l'aune
de normes et standards différents.
Ainsi que le remarquent très
EXPERTISES Novembre 2020

justement les auteurs du livre blanc
sur la signature à distance édité
par le Club PSCO et l'AFAI, cette
diversité «  génère bien souvent des
confusions sur la garantie globale
offerte par la signature à distance ».
Ainsi, à titre d'exemple, les signatures
dites «  simples  » sont le plus
souvent générées via le cryptage du
document à signer par un cachet
personne morale ou un cachet
d'horodatage, l'ensemble de la
solution étant présentée par les
fournisseurs comme irréprochable
du fait que les cachets en question
sont au niveau qualifié eIDAS. Mais à
part assurer l'intégrité du document
signé, que valent ces procédés en tant
que signature électronique d'une
personne physique  ? Prouvent-ils
l'identité du signataire  ? Assurentils un lien entre le signataire et
l'acte  ? Oui, peut-être, mais encore
faut-il que ce soit démontré, sans
s'arrêter à l'apparente légitimité
d'une « certification » qui n'a qu'un
lointain rapport avec la fiabilité réelle
du processus de signature pris dans
son ensemble.
Il faut en conclusion se réjouir
que les magistrats commencent à
accorder de l'importance à la certification des processus de signature
électronique qui leur sont soumis,
car l'objectif même de la certification est d'apporter de la confiance.
Mais encore faut-il rester vigilant
sur l'objet de cette certification, qui
n'est pas nécessairement un gage de
fiabilité du processus de signature
électronique mis en œuvre.

Isabelle RENARD
Avocat au Barreau de Paris
Docteur ingénieur
Cabinet IRenard Avocats

Notes
(1)	 CA Toulouse, 3ième Ch., 4 septembre 2020, RG
n°19/01990
(2)	 CA Lyon, 6ième Ch., 3 septembre 2020, RG n°19/06466
(3)	 Livre blanc « Signature à distance - Etat des lieux et
bonnes pratiques » - 2020 - Edité par le Club PSCO et
l'AFAI

399
Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Novembre 2020 - N°462 - Le mensuel du droit de l'informatique et du multimédia
