Preuve et signature électroniques : eIDAS, horodatage, archivage

La preuve électronique est l'ensemble des éléments numériques (écrit électronique, signature électronique, horodatage, journaux, courriels) qui permettent d'établir un fait ou un acte devant un juge. Le Code civil reconnaît à l'écrit électronique la même valeur que le papier si l'on peut identifier son auteur et garantir son intégrité, et le règlement européen eIDAS, révisé en 2024 (eIDAS 2), organise les services de confiance qui apportent ces garanties : signature, cachet, horodatage, archivage, identité numérique. Ce chapitre explique comment produire une preuve électronique solide et combien de temps conserver les documents.

Les règles de preuve en bref

Le cours CEJM : droit présente le droit de la preuve ; rappelons l'essentiel :

• celui qui réclame l'exécution d'une obligation doit la prouver (article 1353 du Code civil) ;
• les faits (une panne, une intrusion, un retard) se prouvent par tout moyen : journaux, courriels, captures, témoignages ;
• les actes juridiques (un contrat) au-delà de 1 500 € se prouvent en principe par écrit (article 1359), sauf entre commerçants, où la preuve est libre (article L110-3 du Code de commerce) ;
• l'écrit électronique a la même force probante que l'écrit papier, à condition que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité (article 1366) ;
• la copie fiable d'un document a la même force probante que l'original ; la fiabilité est présumée quand la copie est réalisée selon les conditions fixées par décret (article 1379 et décret du 5 décembre 2016), ce qui permet de numériser des documents papier et de détruire les originaux, sauf exceptions.

Une preuve électronique doit donc répondre à trois questions : qui (l'auteur est identifié), quoi (le contenu n'a pas été modifié) et quand (la date est fiable). Chaque service de confiance répond à l'une d'elles.

La signature électronique

La signature électronique consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte auquel elle s'attache (article 1367 du Code civil). Techniquement, la signature avancée et la signature qualifiée reposent sur la cryptographie asymétrique : le signataire chiffre l'empreinte (le haché) du document avec sa clé privée ; n'importe qui peut vérifier la signature avec la clé publique contenue dans son certificat, et toute modification du document la rend invalide (cours cybersécurité de l'infrastructure).

Le règlement eIDAS distingue trois niveaux :

Le cachet électronique est l'équivalent pour une personne morale : il garantit l'origine et l'intégrité d'un document émis par une organisation (une facture, une attestation), sans désigner une personne physique. Le cachet qualifié bénéficie d'une présomption d'intégrité et d'exactitude de l'origine.

L'horodatage, le recommandé électronique et l'archivage

L'horodatage électronique associe une date et une heure à un document, de façon à prouver que ce document existait sous cette forme à cet instant. Un horodatage qualifié, délivré par un prestataire qualifié, bénéficie d'une présomption d'exactitude de la date et de l'heure et d'intégrité des données auxquelles il se rapporte (article 41 d'eIDAS). Il sert à dater un dépôt de code, un rapport d'audit, des journaux, une antériorité de création.

L'envoi recommandé électronique remplace la lettre recommandée : le prestataire prouve l'envoi, la date, l'identité de l'expéditeur et du destinataire et la réception. Sa forme qualifiée a la même valeur que la lettre recommandée papier (article L100 du Code des postes et des communications électroniques).

L'archivage électronique à valeur probante conserve des documents de façon à garantir leur intégrité, leur lisibilité et leur traçabilité pendant toute la durée de conservation. Un système d'archivage électronique (SAE) conforme à la norme française NF Z42-013 ou à la norme internationale équivalente ISO 14641 apporte ces garanties : formats pérennes, empreintes et scellement, journal des événements inaltérable, contrôles d'intégrité, réversibilité. eIDAS 2 crée en plus un service d'archivage électronique qualifié.

eIDAS 2 et le portefeuille européen d'identité numérique

Le règlement 2024/1183, entré en vigueur le 20 mai 2024, révise eIDAS. Ses principaux apports :

• le portefeuille européen d'identité numérique (EUDI Wallet) : chaque État membre doit en proposer au moins un à ses citoyens, d'ici fin 2026. Gratuit et facultatif pour les personnes, il permet de prouver son identité en ligne, de présenter des attestations (diplôme, permis de conduire, majorité sans révéler sa date de naissance) et de signer de façon qualifiée. En France, l'application France Identité est la brique destinée à évoluer vers ce portefeuille ;
• l'obligation, pour les services publics, les très grandes plateformes et les secteurs réglementés (banques, télécommunications, transports…), d'accepter ce portefeuille quand ils exigent une authentification forte ;
• de nouveaux services de confiance qualifiés : attestations électroniques d'attributs, archivage électronique, registres électroniques (horodatage et ordre de données, y compris des technologies de type chaîne de blocs), gestion à distance des dispositifs de signature.

Les journaux comme preuve

En cybersécurité, la preuve vient souvent des journaux (logs) : qui s'est connecté, quand, depuis où, qu'a-t-il fait. Ce sont des faits juridiques, qui se prouvent par tout moyen, mais leur force dépend de la confiance qu'on peut leur accorder. Un juge ou un expert se demandera s'ils ont pu être modifiés. Pour qu'ils pèsent :

• horloges synchronisées par NTP sur tous les équipements, sinon la chronologie ne tient pas (cours services réseau) ;
• centralisation sur un serveur dédié (syslog, SIEM), hors de portée des administrateurs des systèmes surveillés ;
• intégrité : stockage en écriture seule (WORM), chaînage des empreintes, horodatage, copies régulières ;
• traçabilité de l'accès aux journaux eux-mêmes ;
• durée de conservation fixée et justifiée : la CNIL recommande de 6 mois à 1 an pour les journaux d'accès à un système d'information, davantage si une obligation légale l'impose.

Pour un contenu en ligne (faux site, publication diffamatoire), une capture d'écran se conteste facilement. Le constat d'un commissaire de justice (anciennement huissier de justice), réalisé selon un protocole technique (vérification du réseau, de l'heure, vidage du cache), a une force probante bien supérieure.

Les obligations légales de conservation

Deux logiques s'opposent et se complètent : les textes imposent de garder certains documents au moins un certain temps (pour l'administration fiscale, en cas de litige), tandis que le RGPD interdit de garder des données personnelles plus longtemps que nécessaire. La durée de conservation d'un traitement se construit donc en deux phases : la base active pendant l'utilisation, puis l'archivage intermédiaire, à accès restreint, jusqu'à la fin de l'obligation légale ou de la prescription.

La conservation d'un an des données de connexion repose depuis 2021 sur une injonction de sécurité nationale renouvelée chaque année par décret (le premier est le décret 2021-1363) : vérifie qu'elle est toujours en vigueur.

Et quelques durées maximales recommandées par la CNIL pour des données personnelles courantes : 2 ans pour les candidatures non retenues, 3 ans après le dernier contact pour les prospects, un mois au plus pour les images de vidéoprotection, de 6 mois à 1 an pour les journaux d'accès.

Pour aller plus loin. Le mécanisme technique de la signature numérique (hachage, clé privée, certificat) est expliqué dans les chapitres HMAC et signature numérique et Certificat électronique et PKI du cours Cryptographie, et la conservation des journaux comme preuve dans le chapitre Quoi journaliser.

Exercices

Exercice 1 sur 3 Quel niveau de signature ? Réussi À revoir

Cèdre Habitat veut dématérialiser trois documents. Propose un niveau de signature pour chacun et justifie.

1. L'acceptation, par un locataire, du règlement d'utilisation de la salle commune.
2. Le bail d'habitation.
3. La réponse de Cèdre Habitat à un appel d'offres public qui exige une signature qualifiée.

Voir la réponseMasquer la réponse de l'exercice 1

1. Simple : une case cochée sur le portail, enregistrée avec la date et la version du règlement. L'enjeu est faible.
2. Avancée : le bail engage les deux parties sur une longue durée ; une plateforme de signature qui vérifie l'identité du locataire et fournit un fichier de preuve garantit le lien entre le signataire et le document et détecte toute modification. Une signature qualifiée est possible mais lourde pour le locataire.
3. Qualifiée, puisque l'acheteur public l'exige : certificat qualifié au nom du représentant habilité de Cèdre Habitat et dispositif qualifié.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 3 Prouver une intrusion Réussi À revoir

Thomas Royer a découvert dans les journaux du serveur web des requêtes d'injection SQL réussies, venant d'une adresse IP étrangère, à 3 h 12. Avant de porter plainte, que doit-il faire pour que ces journaux aient une réelle valeur probante ?

Voir la réponseMasquer la réponse de l'exercice 2

• Préserver : copier immédiatement les journaux concernés (serveur web, pare-feu, base de données) sur un support à part, calculer et noter leur empreinte (SHA-256), idéalement les faire horodater.
• Montrer leur fiabilité : vérifier que les horloges des serveurs étaient synchronisées par NTP (fuseau horaire précisé), que les journaux sont centralisés et que leur accès est tracé.
• Contextualiser : rédiger une chronologie des constatations (qui a constaté quoi, quand), sans modifier les originaux.
• Joindre ces éléments à la plainte. En cas d'enjeu important, faire appel à un expert ou à un commissaire de justice pour les constatations.

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 3 sur 3 Combien de temps conserver ? Réussi À revoir

Pour chaque donnée de Cèdre Habitat, indique la durée et sa justification.

1. Les factures de loyer d'un locataire parti.
2. Son compte sur le portail.
3. Les CV des candidats non retenus à un poste de gardien.
4. Les journaux de connexion du Wi-Fi offert dans la salle commune.
5. Les images de vidéoprotection du parking, en l'absence d'incident.

Voir la réponseMasquer la réponse de l'exercice 3

1. 10 ans (pièces comptables, article L123-22 du Code de commerce), en archivage intermédiaire, accès restreint.
2. Supprimé ou anonymisé à la fin du bail, une fois la relation et les éventuels litiges terminés : aucune obligation légale ne justifie de le garder.
3. 2 ans au plus après le dernier contact (recommandation de la CNIL), sauf si le candidat demande la suppression avant ; il est informé de la durée.
4. 1 an : durée de conservation des données de connexion imposée à qui fournit un accès au public, puis purge.
5. Quelques jours, un mois au maximum : au-delà, conservation seulement si une procédure est engagée.

Tu avais trouvé ?

Oui, j'avais bonPas encore