Lois sur la signature électronique dans l'UE : le règlement eIDAS expliqué pour les entreprises

Il y a quelques mois, j'aidais une amie qui dirige une petite agence de marketing à Lisbonne à conclure un contrat avec un client allemand. Tout se passait à merveille jusqu'à la partie contractuelle. L'équipe juridique allemande a envoyé un PDF en demandant une « signature électronique qualifiée ». Mon amie a fixé l'e-mail pendant une bonne minute avant de m'écrire : « C'est quoi ce truc, et pourquoi je peux pas juste utiliser le même outil de signature que j'utilise depuis deux ans ? »

Si tu diriges une entreprise en Europe, tu as probablement déjà heurté ce mur. L'UE a un règlement unique qui régit les signatures électroniques dans les 27 États membres, mais il est rempli d'acronymes et de subtilités juridiques que la plupart des fondateurs ne prennent jamais la peine d'apprendre, jusqu'au jour où ils en ont besoin. Alors corrigeons ça.

Voici tout ce que j'aurais aimé qu'on m'explique sur eIDAS, écrit comme si je l'expliquais à un ami devant un café.

Ce qu'est vraiment eIDAS

eIDAS signifie « electronic IDentification, Authentication and trust Services ». C'est un règlement de l'UE (n° 910/2014) en vigueur depuis juillet 2016. Tout l'objectif était de créer un cadre juridique unique pour les signatures électroniques, les cachets électroniques, les horodatages et l'identification numérique dans toute l'Union européenne.

Avant eIDAS, chaque pays avait ses propres règles. La France avait une approche, l'Allemagne une autre, l'Espagne faisait sa propre chose. Si tu signais un contrat numériquement en Italie et que tu essayais de l'utiliser devant un tribunal en Belgique, tu pouvais avoir des soucis. eIDAS a tué ce problème en disant : une signature électronique créée dans n'importe quel État membre de l'UE doit être reconnue dans tous les autres.

C'est énorme pour les PME. Ça veut dire que je peux vendre un abonnement SaaS à un client à Athènes, obtenir sa signature électronique, et le même document a le même poids légal à Helsinki, Dublin ou Varsovie.

Pour aller plus loin sur le fonctionnement général des signatures électroniques, mon guide juridique de la signature électronique couvre les bases en langage clair.

Une petite histoire (promis, c'est court)

La première tentative de l'UE a été la directive eSignature de 1999. Les directives en droit européen sont bizarres parce qu'elles doivent être transposées en droit national par chaque pays, et c'est là que les choses se sont compliquées. Chaque État membre interprétait la directive un peu différemment, ce qui annulait tout l'objectif.

eIDAS a remplacé cette directive en 2014 et s'applique directement dans tous les États membres depuis le 1er juillet 2016. Pas de transposition, pas de marge nationale (enfin, presque). Et puis en 2024, l'UE a adopté eIDAS 2.0, qui introduit le portefeuille européen d'identité numérique. On y reviendra.

Les trois niveaux de signature : SES, AES et QES

C'est ici que la soupe d'acronymes commence. eIDAS définit trois niveaux de signatures électroniques, et ils ne sont pas interchangeables. Choisir le mauvais est l'une des erreurs les plus fréquentes que je vois chez les PME.

Signature électronique simple (SES)

C'est la version basique. Une SES, c'est « des données sous forme électronique, jointes ou associées logiquement à d'autres données sous forme électronique, et utilisées par le signataire pour signer ». C'est la définition légale, et elle est volontairement large.

En pratique, une SES peut être :

• Taper ton nom au bas d'un e-mail
• Cocher une case « J'accepte »
• Scanner une signature manuscrite et la coller dans un PDF
• Dessiner une signature avec ta souris ou ton doigt sur une tablette

C'est la plus facile à utiliser et ça fonctionne pour la grande majorité des situations professionnelles. NDA, contrats de vente, offres d'emploi, accords avec des fournisseurs, contrats freelance : tout cela passe généralement très bien avec une SES.

Signature électronique avancée (AES)

Une AES, c'est un cran au-dessus. Pour être qualifiée d'AES, la signature doit répondre à quatre exigences précises :

1. Elle est liée de manière unique au signataire
2. Elle permet d'identifier le signataire
3. Elle est créée à l'aide de données que le signataire peut garder sous son contrôle exclusif
4. Toute modification des données signées après la signature est détectable

En pratique, ça veut généralement dire une signature cryptographique utilisant une clé privée, plus une forme de vérification d'identité (lien e-mail, code SMS, téléversement de pièce d'identité). La plupart des plateformes de signature électronique modernes, dont la nôtre chez CanUSign, génèrent par défaut des signatures de niveau AES pour les forfaits professionnels.

L'AES, c'est ce que tu veux pour les contrats à plus forte valeur : accords B2B SaaS, partenariats, documents de prêt, et tout ce où tu veux des preuves solides de qui a signé et que le document n'a pas été altéré.

Signature électronique qualifiée (QES)

C'est l'artillerie lourde. Une QES est essentiellement une AES avec deux exigences supplémentaires : elle doit être créée à l'aide d'un « dispositif qualifié de création de signature » (pense à un module matériel de sécurité ou une carte à puce), et elle doit être adossée à un « certificat qualifié » émis par un prestataire de services de confiance officiellement listé sur la liste de confiance de l'UE.

La caractéristique imbattable d'une QES ? Elle a le même effet juridique qu'une signature manuscrite dans toute l'UE. Point. Aucun tribunal ne peut la refuser au motif qu'elle est électronique.

L'inconvénient, c'est que la QES est pénible à mettre en place. Le signataire doit généralement vérifier son identité en personne ou par appel vidéo, obtenir un certificat émis par un prestataire de services de confiance qualifié (QTSP), et utiliser un dispositif de signature spécial. C'est plus lent et plus cher que la SES ou l'AES.

Si tu veux comprendre le côté technique du fonctionnement réel des signatures numériques, j'ai écrit là-dessus dans signature numérique vs signature électronique.

SES vs AES vs QES : comparaison rapide

Validité transfrontalière (la vraie magie)

C'est la partie d'eIDAS qui, à mon avis, ne reçoit pas assez de crédit. L'article 25 du règlement dit qu'on ne peut pas refuser à une signature électronique son effet juridique ou sa recevabilité en justice au seul motif qu'elle est sous forme électronique, ou parce qu'elle ne répond pas aux exigences d'une QES.

Et l'article 25(3) va plus loin : une QES d'un État membre a le même effet juridique qu'une signature manuscrite dans tous les autres États membres. Pas de « mais notre pays a des règles spéciales » qui tienne.

C'est énorme pour les PME transfrontalières. J'ai travaillé avec des fondateurs qui payaient des avocats dans trois pays différents pour refaire des contrats parce qu'ils pensaient que chaque juridiction avait besoin de sa propre signature papier. C'était faux. Une seule signature électronique conforme à eIDAS aurait suffi.

Cas d'usage pratiques pour les PME

Soyons concrets. Voici ce qui fonctionne réellement pour les petites et moyennes entreprises en Europe :

Contrats de vente et devis : la SES suffit dans 99 % des cas. Si la taille moyenne de tes deals est inférieure à 50 000 € et que tu ne vends pas à des secteurs très réglementés, ne te prends pas la tête.

Contrats de travail : l'AES est le bon compromis. Tu veux pouvoir prouver qui a signé et quand, et tu veux la détection d'altérations. La plupart des pays acceptent l'AES pour les contrats de travail, même si quelques-uns (comme l'Allemagne pour certains types d'accords) préfèrent encore ou exigent la QES.

NDA : SES, toujours. Passe à la suite.

Accords avec des freelances : SES ou AES selon la valeur. En dessous de 5 000 €, la SES suffit. Au-dessus, je pencherais pour l'AES.

Baux commerciaux : AES dans la plupart des pays. QES dans quelques-uns. Vérifie localement.

Contrats de prêt (B2B) : AES s'il s'agit d'un petit prêt aux entreprises. QES si tu traites avec des banques ou des prêteurs réglementés.

Achats immobiliers : QES, presque toujours. Et dans de nombreux pays, il te faut encore un notaire en plus.

Contrats fournisseurs transfrontaliers : l'AES est le choix sûr. Ça fonctionne partout et te donne les preuves dont tu as besoin si les choses tournent mal.

Ce qui requiert une QES dans certains États membres

Là, je dois être honnête : eIDAS ne remplace pas le droit national sur le type de signature requis pour des types de documents spécifiques. Chaque État membre conserve le droit de dire « pour ce type de document, il faut une QES, point ».

Quelques exemples :

• Allemagne : la résiliation des contrats de travail (dans certains cas), les contrats de crédit à la consommation et certains dépôts au registre du commerce exigent une QES. L'Allemagne est probablement le pays le plus strict de l'UE sur ce point.
• France : la plupart des contrats de consommation peuvent utiliser une AES, mais les transactions immobilières et certains accords financiers requièrent une QES.
• Italie : de nombreux documents d'administration publique et certains dépôts commerciaux exigent une QES, souvent appelée localement « firma digitale ».
• Espagne : les déclarations fiscales auprès de l'AEAT (autorité fiscale espagnole) et de nombreuses interactions avec l'administration nécessitent une QES, généralement via le DNI electrónico (carte d'identité espagnole avec puce intégrée).
• Pologne : la plupart des contrats B2B fonctionnent avec une AES, mais les dépôts judiciaires nécessitent une QES.

La leçon : si tu opères entre plusieurs pays et que tu n'es pas sûr, demande à un avocat local. Ça coûte moins cher que de voir un contrat rejeté.

eIDAS 2.0 et le portefeuille européen d'identité numérique

L'UE a adopté eIDAS 2.0 en 2024, et les États membres le déploient jusqu'en 2026. Le grand changement, c'est le portefeuille européen d'identité numérique (EUDI Wallet), que chaque État membre de l'UE doit proposer à ses citoyens d'ici 2026.

Le portefeuille, c'est en gros une appli pour smartphone qui te permet de stocker ton identité vérifiée par l'État, ton permis de conduire, tes diplômes, tes moyens de paiement, et oui, ton certificat de signature qualifiée. L'idée, c'est que tu pourras signer un document de niveau QES d'un simple toucher sur ton téléphone, sans carte à puce ni vérification en personne pour les signatures suivantes.

Pour les PME, ça devrait rendre la QES bien plus accessible. À l'heure actuelle, mettre en place une QES pour un seul signataire peut prendre une semaine et coûter plus de 100 €. Avec l'EUDI Wallet, ça devrait plutôt être cinq minutes et gratuit pour les citoyens.

Le hic ? La mise en œuvre est inégale. Certains pays sont en avance (l'Estonie fait ça depuis des années avec son programme e-Residency), d'autres sont très en retard. Ne t'attends pas à un déploiement fluide partout d'ici 2026.

Comment choisir le bon niveau de signature

Mon petit cadre de décision rapide :

1. Quelle est la valeur du document ? Moins de 10 000 € et non réglementé ? SES. 10 000 à 100 000 € ? AES. Au-dessus, ou secteur réglementé ? Envisage la QES.
2. La QES est-elle légalement obligatoire ? Si oui, pas de débat. Utilise la QES.
3. Est-ce que ça risque d'aller au tribunal ? Si un litige est ne serait-ce qu'un peu probable, mise au minimum sur l'AES. La piste d'audit en vaut la peine.
4. Transfrontalier ? L'AES est le minimum sûr. La SES peut se voir refuser son effet juridique dans certains tribunaux même si eIDAS dit que ça ne devrait pas être le cas.
5. Que veut ta contrepartie ? Si un client grand compte allemand dit qu'il lui faut une QES, donne-lui une QES. Discuter ne vaut pas le deal.

Limites honnêtes

eIDAS est super, mais ce n'est pas une baguette magique. Quelques points à garder en tête :

• Le droit national compte toujours. eIDAS fixe un plancher, pas un plafond. Les États membres peuvent exiger une QES pour des types de documents spécifiques, et ils le font.
• L'interprétation des tribunaux varie. La SES est techniquement valide partout, mais un tribunal français et un tribunal roumain pourraient peser les preuves très différemment.
• La QES reste chère. Même avec l'arrivée d'eIDAS 2.0, la friction est bien réelle. Ne promets pas la QES à tes clients si tu n'as pas de chemin clair pour la livrer.
• La qualité des prestataires de services de confiance varie. Reste avec les QTSP de la liste de confiance officielle de l'UE. Elle est publique et mise à jour régulièrement.
• La reconnaissance hors UE est une autre question. Ce n'est pas parce qu'un contrat est valide dans l'UE sous eIDAS qu'il sera exécutoire aux États-Unis, au Royaume-Uni (post-Brexit), ou ailleurs. Vérifie les règles locales.

Pour conclure

S'il y a une seule chose à retenir de tout ça, c'est celle-ci : la plupart des contrats de PME n'ont pas besoin d'une QES. L'AES suffit pour la grande majorité des situations professionnelles, et la SES convient pour le quotidien. L'astuce, c'est de savoir quand monter d'un cran.

eIDAS a donné aux entreprises européennes le meilleur cadre juridique au monde pour les signatures électroniques, et la plupart d'entre nous ne l'utilisent toujours pas bien. On paie des outils anciens et coûteux quand de meilleures options existent, ou on reste bloqué sur le papier parce qu'on a peur du juridique. Ni l'un ni l'autre n'est nécessaire.

Si tu cherches une plateforme de signature électronique qui gère l'AES nativement et ne va pas te ruiner, jette un œil à notre comparatif des alternatives moins chères à DocuSign. Et si tu veux voir à quoi ressemble vraiment une signature conforme à eIDAS, tu peux essayer CanUSign gratuitement et signer ton premier document en moins de deux minutes.

La loi est de ton côté. Sers-t'en.