Valeur probante de la signature eIDAS QES
Pourquoi la signature qualifiée a la même valeur que la signature manuscrite.
La signature électronique appliquée à un PV d'AGOA n'est pas un simple "scan signé". Lorsqu'elle est de niveau qualifié (QES) au sens du règlement européen eIDAS, elle a strictement la même valeur juridique que la signature manuscrite devant les juridictions françaises et européennes.
Cette page explique le cadre légal, les trois niveaux de signature, et les conditions techniques précises qui font qu'un PV signé via PV-Express est opposable.
Le règlement eIDAS
Le règlement européen n° 910/2014 dit "eIDAS" (electronic IDentification, Authentication and trust Services), entré en application le 1er juillet 2016, harmonise la signature électronique dans l'ensemble de l'Union européenne.
Il est directement applicable en droit français, sans transposition nationale, et prime sur le droit national en cas de conflit.
Côté français, le Code civil a été aligné via l'article 1367 alinéa 2 :
"Lorsqu'elle est électronique, [la signature] consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte auquel elle s'attache."
Et plus précisément, le décret n° 2017-1416 précise que la signature électronique qualifiée bénéficie d'une présomption de fiabilité.
Les 3 niveaux eIDAS
eIDAS distingue trois niveaux de signature électronique, par ordre croissant de robustesse juridique :
| Niveau | Article eIDAS | Valeur probante | Cas d'usage typiques |
|---|---|---|---|
| Simple | Art. 25.1 | Recevable mais charge de la preuve sur celui qui s'en prévaut | Devis, accusés de réception |
| Avancée | Art. 26 | Forte mais réfutable | Contrats commerciaux, NDA |
| Qualifiée (QES) | Art. 25.2 | Équivalence stricte avec signature manuscrite | PV AG, actes notariés, mandats bancaires |
Signature simple
Tout procédé électronique permettant d'apposer une marque identifiante : case à cocher, mot de passe, scan d'image. Elle est recevable en justice mais le juge évaluera sa fiabilité au cas par cas, et la charge de la preuve repose sur celui qui invoque la signature.
Signature avancée
Niveau intermédiaire. Doit cumulativement :
- être liée au signataire de manière univoque ;
- permettre d'identifier le signataire ;
- être créée par des moyens que le signataire peut garder sous contrôle exclusif ;
- être liée aux données signées de telle sorte que toute modification ultérieure soit détectable.
C'est le niveau par défaut de la plupart des solutions cloud "signature électronique" entrée de gamme.
Signature qualifiée (QES)
Une signature avancée plus :
- créée par un dispositif de création de signature qualifié (QSCD) — typiquement une carte cryptographique distante hébergée chez un prestataire de services de confiance qualifié ;
- s'appuie sur un certificat qualifié émis par un prestataire de services de confiance qualifié (QTSP) inscrit sur la Trusted List de l'ANSSI (en France).
C'est ce niveau qu'utilise PV-Express via Yousign V3 par défaut.
L'article 25.2 eIDAS : équivalence stricte
L'article 25.2 du règlement eIDAS pose le principe d'équivalence :
"L'effet juridique d'une signature électronique qualifiée est équivalent à celui d'une signature manuscrite."
Conséquences pratiques pour un PV d'AGOA signé en QES :
- Le juge n'a pas à apprécier la fiabilité du procédé : la présomption est légale.
- Le PV est opposable sans que le cabinet ait à produire un expert technique.
- La charge de la preuve s'inverse : c'est à celui qui conteste la signature de prouver que le procédé a été compromis (ce qui est cryptographiquement extrêmement difficile, le cas est très rare en jurisprudence).
- Acceptable au dépôt au greffe sans formalité spécifique supplémentaire.
Qu'est-ce qui rend la signature "qualifiée" en pratique
Trois éléments cumulatifs :
1. Certificat qualifié
Émis par un QTSP (prestataire de services de confiance qualifié) listé sur la Trusted List française tenue par l'ANSSI (liste officielle).
Pour Yousign V3, les certificats qualifiés sont émis par CertEurope (filiale Oodrive, QTSP français) ou Idnow Trust Services (QTSP allemand opérant en France).
Le certificat lie cryptographiquement l'identité vérifiée du signataire à la clé privée utilisée pour signer.
2. Vérification d'identité face-to-face ou équivalent
Le signataire doit avoir été identifié de manière forte avant émission du certificat. Trois méthodes admises par eIDAS :
| Méthode | Description | Provider Yousign |
|---|---|---|
| Face-to-face physique | Présence physique chez le QTSP | Rare, sur RDV |
| Vidéo-identification | Visio temps réel + pièce d'identité | Idnow (intégré Yousign) |
| Identification électronique notifiée | eIDAS niveau "élevé" | France Connect+ (en cours déploiement) |
PV-Express utilise par défaut la vidéo-identification Idnow : upload pièce d'identité + selfie vidéo, vérification automatique
- revue humaine express.
3. Dispositif de création de signature qualifié (QSCD)
La clé privée utilisée pour signer doit être stockée dans un dispositif certifié Common Criteria EAL4+ ou équivalent. Pour les solutions cloud, il s'agit de HSM (Hardware Security Modules) hébergés chez le QTSP, accessibles via une session sécurisée authentifiée par OTP.
Le signataire ne manipule jamais directement la clé privée : elle reste dans le HSM, qui exécute l'opération de signature au nom du signataire après authentification.
Format technique : PAdES-LTV
Les PV signés par PV-Express via Yousign sont au format PAdES (PDF Advanced Electronic Signatures), profil LTV (Long-Term Validation).
Concrètement, le PDF signé contient :
- Le document original (PV de l'assemblée).
- La signature cryptographique détachée et embarquée dans le PDF.
- Le certificat qualifié du signataire.
- L'horodatage qualifié émis par un TSA (Time Stamping Authority) qualifié.
- Les informations de révocation (CRL/OCSP) figées au moment de la signature → permettent de vérifier la validité du certificat même 10 ans plus tard, après expiration éventuelle.
Le format PAdES est reconnu par tous les greffes (Infogreffe accepte les dépôts dématérialisés en PAdES) et par les juridictions françaises et européennes.
Archivage : 10 ans
L'article L. 123-22 du Code de commerce impose la conservation des documents comptables, dont les PV d'assemblées, pendant 10 ans à compter de la clôture de l'exercice.
PV-Express conserve par défaut tous les PV signés et leur dossier de preuve associé pendant 10 ans, sur infrastructure hébergée en France (Scaleway Paris) avec :
- Chiffrement at-rest AES-256.
- Sauvegardes incrémentales quotidiennes + complète hebdomadaire.
- Réplication géographique sur un second datacenter français.
- Procédure documentée de restitution sous 24h ouvrées en cas de contrôle ou contentieux.
Le dossier de preuve Yousign (PDF séparé livré avec chaque PV signé) contient tous les éléments techniques nécessaires à une reconstitution forensique : timestamps, IP, user-agent du signataire, hash du document à chaque étape, copie pseudonymisée des pièces d'identité, log d'authentification OTP.
Reconnaissance transfrontalière
Une signature QES émise dans n'importe quel État membre de l'UE est automatiquement reconnue dans tous les autres États membres (article 25.3 eIDAS), sans formalité supplémentaire.
Donc un PV signé via Yousign (QTSP français) ou DocuSign EU (QTSP irlandais) est opposable identiquement à Paris, Berlin, Madrid ou Rome.
Hors UE, la reconnaissance dépend des accords bilatéraux. Le Royaume-Uni post-Brexit reconnaît les signatures eIDAS via UK eIDAS Regulations 2019. Les USA, Canada, Suisse ont leurs propres réglementations (UETA/E-SIGN, ESDA, SCSE) avec des règles de reconnaissance partielle au cas par cas.
Conformité ANSSI
Les QTSP français utilisés par PV-Express (CertEurope) sont conformes aux référentiels :
- RGS (Référentiel Général de Sécurité) niveau ★★★ pour les certificats.
- PSCo (Prestataires de Services de Confiance qualifiés) pour les services de confiance.
- Audit qualifié biennal par un organisme accrédité COFRAC.
La liste à jour des QTSP français est consultable sur le site de
l'ANSSI : cyber.gouv.fr/anssi/decisions-de-qualification.
Récapitulatif
- Cadre : règlement eIDAS n° 910/2014, art. 25.2 (équivalence QES / manuscrite)
- 3 niveaux : simple, avancée, qualifiée (QES) — PV-Express utilise QES par défaut
- Conditions QES : certificat qualifié + identification forte + QSCD
- Format : PAdES-LTV, accepté greffe et juridictions
- Archivage : 10 ans (art. L. 123-22 Code commerce), inclus PV-Express
- Reconnaissance UE automatique, hors UE selon accords bilatéraux
- QTSP utilisés : CertEurope, Idnow (Trusted List ANSSI)
Pour le workflow d'envoi côté utilisateur, voir Envoyer un PV en signature électronique. Pour comprendre la facturation au coût Yousign sans markup, voir Wallet signature prépayé. Pour approfondir le choix entre providers et le contexte AGOA, lisez Signature électronique eIDAS : guide pour experts-comptables.