Identité numérique et signature qualifiée : le lien

Dans beaucoup d’organisations, l’identité numérique et la signature électronique sont gérées par deux équipes, avec deux fournisseurs et deux budgets. La première s’occupe de la connexion des usagers ; la seconde, des circuits de signature. Pourtant, juridiquement et techniquement, les deux sujets sont liés : une signature ne vaut que par la certitude que l’on a sur l’identité du signataire. Ce guide explique le lien entre identité et signature, et ce qu’il implique pour vos choix.

Trois niveaux de signature, une seule question : qui a signé ?

Le règlement eIDAS distingue trois niveaux de signature électronique. La signature simple recouvre toute donnée électronique jointe à un document et utilisée pour signer : une case cochée, un nom tapé, un clic après connexion. La signature avancée doit être liée au signataire de manière univoque, permettre de l’identifier et détecter toute modification ultérieure. La signature qualifiée est une signature avancée créée avec un dispositif qualifié et reposant sur un certificat qualifié.

L’article 25 du règlement donne à la signature qualifiée un effet juridique équivalent à celui d’une signature manuscrite, et impose sa reconnaissance dans tous les États membres. C’est ce qui la distingue : on n’a pas à prouver sa fiabilité.

Le certificat qualifié commence par une vérification d’identité

Avant de délivrer un certificat qualifié, le prestataire de services de confiance doit vérifier l’identité de la personne. L’article 24 du règlement eIDAS énumère les moyens admis : présence physique, moyen d’identification électronique de niveau de garantie substantiel ou élevé, certificat qualifié existant, ou autres méthodes reconnues au niveau national offrant une assurance équivalente. La révision du règlement par le texte (UE) 2024/1183 a précisé ces méthodes, notamment pour la vérification à distance.

Conséquence pratique : si votre organisation utilise déjà une identité numérique de niveau substantiel ou élevé pour ses usagers ou ses agents, cette identité peut servir de base à la délivrance d’un certificat qualifié. Et à l’inverse, une signature qualifiée ne vaut pas mieux que la vérification d’identité qui l’a précédée.

Ce que change le portefeuille européen

Le règlement révisé impose à chaque État membre de proposer au moins un portefeuille européen d’identité numérique, attendu d’ici la fin 2026. Parmi les fonctions prévues, le portefeuille doit permettre à son titulaire de créer des signatures électroniques qualifiées, gratuitement lorsqu’il s’agit d’un usage non professionnel, les États membres pouvant prévoir des mesures proportionnées pour encadrer cette gratuité.

Pour les administrations et les entreprises qui reçoivent des documents signés, cette évolution compte : la signature qualifiée, aujourd’hui réservée à des usages spécifiques, devrait devenir accessible au grand public. Les circuits de réception doivent donc savoir vérifier ces signatures, quel que soit le pays d’émission, en s’appuyant sur les listes de confiance européennes.

Choisir le bon niveau pour chaque démarche

L’erreur inverse existe aussi : exiger une signature qualifiée là où une identification fiable et un consentement tracé suffisent. On ajoute alors une étape qui fait abandonner une partie des usagers, sans gain juridique. Le choix se fait démarche par démarche, en trois questions.

1. La loi exige-t-elle un écrit signé ? Si oui, vérifiez quel niveau de signature est requis ou admis par le texte applicable dans votre pays.
2. Quel est l’enjeu en cas de contestation ? Plus l’engagement est lourd (financier, juridique, patrimonial), plus une signature avancée ou qualifiée se justifie.
3. Le document doit-il circuler dans d’autres pays de l’Union ? La reconnaissance mutuelle automatique ne vaut que pour la signature qualifiée.

Pour la majorité des démarches courantes, une connexion avec une identité de niveau adapté et une trace horodatée de l’acceptation suffisent. Pour les actes engageants, la signature qualifiée devient le choix sûr, d’autant plus qu’elle sera bientôt dans la poche des usagers.

Notre dossier de référence sur l’identité numérique détaille les niveaux de garantie. Pour articuler identité, signature et démarches dans un même projet, voyez notre expertise identité numérique.

Questions fréquentes

Une signature électronique simple a-t-elle une valeur juridique ?

Oui. Le règlement eIDAS interdit de refuser une signature électronique comme preuve au seul motif qu'elle est électronique ou qu'elle n'est pas qualifiée. Mais sa force probante est à démontrer en cas de contestation, alors que la signature qualifiée bénéficie d'un effet juridique équivalent à la signature manuscrite.

Faut-il exiger une signature qualifiée pour toutes les démarches ?

Non. La plupart des démarches se contentent d'une identification fiable et d'un consentement tracé. La signature qualifiée se justifie quand la loi exige un écrit signé, quand l'enjeu est élevé, ou quand un document doit être opposable sans discussion dans un autre pays de l'Union.

Qu'est-ce qu'une signature qualifiée à distance ?

C'est une signature qualifiée dont la clé est conservée par un prestataire dans un dispositif sécurisé, et que l'utilisateur déclenche après s'être authentifié. Elle évite la carte à puce et le lecteur, mais exige que le prestataire soit qualifié pour ce service.