Comment conserver un document signé électroniquement pour préserver sa valeur légale ?

Contrairement à un document signé manuellement, vous ne pouvez pas vous contenter de stocker votre document signé électroniquement dans une clé USB rangée dans un placard pendant 15 ou 20 ans, et le ressortir en cas de litige.

Il y aura de grande chance que l’intégrité de votre document soit compromise à cause des avancées technologiques, et que sa force probante ne soit pas suffisante en cas de litige.

Pour donner toute la force probante nécessaire à votre document devant un juge, il y a des conditions à respecter.

Dans cet article, nous allons vous donner les clés pour tout savoir sur la bonne conservation de vos documents signés électroniquement.

Ce que dit la loi

Intégrité, accessibilité et lisibilité

La force probatoire d’un document dépend de votre capacité à démontrer que son intégrité est préservée durant toute sa conservation.

Autrement dit, quand vous avez signé un document électroniquement et que vous voulez le conserver, il vous incombe d’en garantir :

• L’authenticité : Vous devez garantir que lacopie numérique est conforme au document papier initial ou au document signé électroniquement.
  
  
• L’intégrité : Vous devez prouver que le document n’a pas été modifié, altéré ou dénaturé depuis qu’il a été signé.
  
  
• L’accessibilité : Vous devez vous assurer que le document signé est dans un format standard pour garantir son accessibilité dans le temps, comme le format PDF par exemple.
  
  
• La lisibilité : Vous devez faire en sorte que votre document soit clairement lisible, par exemple, vous assurer de la bonne mise en page après la conversion d’un format vers un autre.

Les articles de loi

En France, c’est l’article 1366 du code civil qui définit les contours de la conservation d’un document signé électroniquement :

“L’écrit électronique a la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité.“

Le règlement eIDAS harmonise les usages de la signature électronique en Europe. Il définit aussi le cadre légal pour la conservation qualifiée des signatures et des cachets électroniques qualifiés :

• Article 24.2.e : Utilisation de systèmes et produits fiables, sécurité et fiabilité des processus
  
• Article 24.2.h Conservation des données d’un service de conservation des signatures électroniques et des cachets électroniques
  
• Article 24.2.i: Plan d’arrêt d’activité d’un service de conservation des signatures électroniques et des cachets électroniques
  
• Article 34.1 : Utilisation de procédures et technologies permettant d’étendre la fiabilité des signatures électroniques qualifiées au-delà de la période de validité technologique
  
  

Que doit-on conserver concrètement ?

Pour conserver un document signé électroniquement, vous devez archiver trois types d’éléments :

1. Document signé, dans un format standard comme le PDF.
   
2. Signature électronique, souvent encapsulée dans le document mais parfois présente séparément.
   
3. Les éléments de preuves (comme la pièce d’identité utilisée), pour garantir l’identité des signataires et l’intégrité des preuves au cours du temps.

En conservant l’intégrité de ces documents dans le temps, vous aurez tous les éléments probants à votre disposition en cas de litige ou de contestation.

Quels sont les enjeux de la conservation d’un document signé électroniquement sur le long terme ?

Avant de rentrer dans le vif du sujet des méthodes de conservation, il est important de vous expliquer les enjeux auxquels votre document et votre signature vont devoir faire face.

Conserver un document signé électroniquement sur le long terme, plus de 10 ans, soulève 3 risques connus :

• Obsolescences technologique et algorithmique
  Les ordinateurs deviennent de plus en plus puissants et nombreux, jusqu’à pouvoir contourner certains algorithmes de signature électronique un jour. De même, la recherche fondamentale permet au fil des avancées de trouver de nouvelles méthodes de ruptures d’algorithmes. Il deviendra alors possible d’altérer votre document et de compromettre son intégrité sans laisser la moindre trace.
  
  
• Indisponibilité des informations de validation
  Su le long terme, il est probable que des services nécessaires à la vérification de la validité d’une signature électronique soient arrêtés.
  
  
• Perte de confiance dans le PSCo (Prestataire de Services de Confiance, entreprise qui réalise la signature électronique dans notre cas)
  Si une faille de sécurité venait à être identifiée chez un PSCo, ce sont alors tous les documents déjà signés qui verraient leur validité remise en cause. Le risque est aujourd’hui minime grâce à de meilleurs contrôles, mais le risque zéro n’existe pas en informatique.

Les 2 méthodes de conservations

Pour se prémunir efficacement de ces trois risques, l’ANSSI reconnaît deux méthodes pour conserver des documents signés électroniquement : l’extension de signature électronique (LTV) et le système d’archivage électronique (SAE).

Avec l’extension LTV, ce sont vos documents qui sont eux-mêmes « protégés ». Avec le SAE, c’est l’espace de stockage dans lequel vous placez vos documents qui est « protégé ».

Source : ANSSI – Services de conservation qualifiés des signatures et des cachets électroniques qualifiés. Critères d’évaluation de la conformité au règlement eIDAS

Même si ces règles concernent les signatures de niveau qualifié, ces méthodes de conservation sont aussi préconisées pour tous les autres niveaux de signature électronique.

Extension LTV : Long Term Validation

Fonctionnement

Cette méthode consiste simplement à intégrer les éléments de validation nécessaires pour la vérification de la signature, et ensuite apposer un nouvel horodatage qualifié pour garantir l’intégrité des éléments à conserver (documents signés, la signature électronique et les fichiers de preuve associés).

Un horodatage qualifié permet de prouver l’existence et l’intégrité d’un document à une date et une heure précise.

Cet horodatage qualifié fonctionne en quelque sorte comme une surcouche à jour technologiquement, qui vient protéger vos fichiers et empêche quiconque de les altérer.

Chez Universign (Signaturit Group), cet horodate qualifié est apposé tous les 5 ans, ce qui correspond à la fin de validité du certificat utilisé lors de la signature électronique. En général, nos concurrents doivent le renouveler tous les 3 ans car leur certificat ont une durée de validité de 3 ans.

Archivage : Système d’Archivage Électronique (SAE) ou Coffre-Fort Numérique (CFN)

Fonctionnement

Avec cette méthode, c’est le SAE ou le CFN qui enregistre une preuve de dépôt et des journaux de preuves qui permettent de vérifier que les documents archivés n’ont pas été modifiés, altérés ou détruits.

Le SAE s’adresse aux entreprises et collectivités publiques, alors que le coffre-fort numérique (CFN) est principalement destinés aux particuliers.

Le contenu est rendu inintelligible par cryptographie pour les tiers, y compris le prestataire SAE ou CFN.

Afin de répondre aux exigences de sécurité, les SAE doivent répondre aux normes NF_Z42_013 (France) ou ISO_14641-1 (internationale), et NF Z42-020 (sous ensemble de la norme NF Z42-013) pour le CFN.

Pourquoi choisir l’extension LTV plutôt qu’un SAE ?

Chez Universign (Signaturit Group), nous vous recommandons la conservation par extension LTV pour les deux raisons suivantes :

• Moins de plateformes de stockage à gérer et réduction des coûts
  Si vous n’avez pas besoin des fonctionnalités d’un SAE pour gérer vos documents signés, vous pouvez les stocker où bon vous semble avec l’extension LTV, et vous exonérer ainsi d’un SAE.
  
  Chez Universign, nous conservons une copie authentique de votre document sur laquelle nous appliquons une extension LTV. Vous pouvez ainsi retrouver vos documents signés et bénéficier de toute la valeur probante nécessaire auprès d’un juge.
  
  
• Votre signature électronique apparaîtra toujours comme valide en ouvrant votre document sur Adobe Acrobat Reader (ou autre outils de validation de signature électronique), même dans 20 ans. L’extension LTV garantit que le certificat utilisé lors de la signature était valide, et délivre un nouveau certificat valable 1 à 5 ans selon le PSCo.
  
  Avec un SAE, le document n’est pas autoporteur d’un certificat valide une fois sa date d’expiration atteinte, ce qui peut générer des alertes sur Acrobat Reader, quand bien même votre signature est conforme.

Par ailleurs, notre service de conservation est qualifié eIDAS (voir la liste de nos certifications eIDAS) et vous apporte un gage extrêmement fort sur la fiabilité de la conservation de vos documents en cas de litige.

Vous souhaitez mettre en place la signature électronique dans votre entreprise ? Venez discuter de votre projet avec nos experts.