Une fiduciaire a Zoug ouvre un avenant signe envoye par la filiale allemande d'un client. La signature est qualifiee, la chaine de certificats est validee, et le nom correspond au gerant inscrit au registre du commerce. Bien. Puis le client pose une autre question : le projet que nous vous avons envoye en mars, avant que la negociation ne tourne, peut-on montrer qu'il existait en mars ? A celle-la, la signature ne repond pas.
A partir de decembre 2026, la premiere moitie de cette histoire devient nettement plus simple dans toute l'UE. La seconde moitie ne bouge pas du tout.
La date de decembre, et l'autre qui n'est pas decembre 2026
L'article 5a paragraphe 1 du reglement (UE) 2024/1183, le cadre europeen d'identite numerique qui modifie eIDAS, impose a chaque Etat membre de fournir au moins un European Digital Identity Wallet dans les 24 mois suivant l'entree en vigueur des actes d'execution vises dans cet article et a l'article 5c paragraphe 6. Ces actes, les reglements (UE) 2024/2977 a 2024/2982, sont entres en vigueur le 24 decembre 2024. L'obligation des Etats membres tombe donc au 24 decembre 2026.
Un point est regulierement brouille dans les reprises. L'obligation faite aux acteurs prives d'accepter le portefeuille, la ou une authentification forte de l'utilisateur est deja exigee pour un service en ligne, est une obligation distincte, avec une date ulterieure en decembre 2027. Les deux sont citees comme une seule echeance. Ce sont deux dates, a un an d'intervalle.
La Commission europeenne tient un apercu a jour sur sa page consacree au portefeuille d'identite numerique. Chaque Etat construit son propre portefeuille : des clients dans trois pays, cela veut dire trois applications sous un meme cadre.
Ce que le portefeuille fait vraiment bien
Il repond tres bien a une question : qui est cette personne, et l'attestation est-elle authentique. Il est delivre ou reconnu par un Etat membre, lie a une personne verifiee, et presente depuis un appareil que cette personne controle. Pour qui a passe des annees a collecter des passeports scannes, c'est un vrai progres, et cela merite d'etre dit sans nuance inutile.
Cela se prolonge dans la signature. Lorsqu'une attestation du portefeuille sert a apposer une signature electronique qualifiee, cette signature a le meme effet juridique qu'une signature manuscrite en droit de l'UE. Un mandat transfrontalier qui exigeait de l'encre et un coursier devient une operation qu'un client termine depuis son telephone, avec un niveau de garantie d'identite qu'une signature scannee n'a jamais eu.
La seconde question, a laquelle aucun portefeuille ne repond
L'identite n'est pas la paternite. Un portefeuille prouve qui detient une attestation a l'instant present et, au moment de signer, qui a appose la signature. Il ne dit rien de l'origine du contenu signe ni du temps pendant lequel il existait auparavant. Une heure de signature n'est pas une heure de creation.
Un consultant signe aujourd'hui un document de methodologie avec une attestation du portefeuille. Cela prouve qu'il l'a signe aujourd'hui. Cela ne prouve pas que la methode etait la sienne au printemps dernier, et cela n'aidera pas si un ancien client publie le mois prochain quelque chose de similaire en affirmant qu'il l'avait en premier.
La faille apparait la ou l'enjeu est le plus fort : un design copie, un modele qui refait surface chez un concurrent, un travail conteste une fois la relation client terminee. Dans aucun de ces cas le fait conteste n'est de savoir qui a signe. C'est de savoir quand le travail existait, et entre quelles mains.
Question par question
| La question posee | Ce a quoi l'EU Digital Identity Wallet repond | Ce a quoi il ne repond pas |
|---|---|---|
| Qui est cette personne, et l'attestation est-elle authentique ? | Directement. Delivree par un Etat, liee a une personne verifiee. | Rien ne manque ici. C'est ce pour quoi il a ete construit. |
| Cette personne nommee a-t-elle signe ce document ? | Oui. Avec une signature electronique qualifiee, elle a le meme effet juridique qu'une signature manuscrite en droit de l'UE. | Si elle avait le pouvoir de signer, ce qui reste une question de mandat. |
| Le document a-t-il change depuis la signature ? | Oui. La validation echoue des que le fichier est modifie. | Tout ce qui concerne l'etat du fichier avant l'apposition de la signature. |
| Quand ce fichier precis a-t-il existe pour la premiere fois ? | Il enregistre le moment de la signature. | Si le contenu existait deja un jour, un mois ou un an plus tot. |
| Ce travail etait-il le mien avant que quiconque l'ait ? | Hors perimetre. | Tout element d'anteriorite opposable a qui pretend etre arrive en premier. |
Ce que le portefeuille traite, c'est une personne et un moment d'accord. Ce qu'il laisse ouvert, c'est un fichier et son histoire.
Ou se situe la Suisse
La Suisse n'est pas dans l'UE : le 24 decembre 2026 n'est donc pas une echeance suisse, et les residents suisses ne recevront pas de portefeuille de l'UE. Sur le plan interne, les services de certification qualifies relevent de la ZertES, tandis que l'equivalence avec la signature manuscrite pour une signature electronique qualifiee decoule de l'art. 14 al. 2bis CO, et non de la ZertES elle-meme. Cette distinction compte des que vous redigez une clause sur la forme de la signature, et nous l'avons detaillee sur notre page ZertES.
A partir de decembre, une fiduciaire suisse avec des clients dans l'UE se tiendra des deux cotes : des contreparties europeennes avec des attestations de portefeuille, des contreparties suisses avec des certificats qualifies ZertES. Aucun des deux cotes ne touche a la question de la paternite.
Que faire avant decembre
- Separez les deux questions dans vos dossiers. Un enregistrement pour qui a signe et quand. Un autre pour le moment ou le travail a existe pour la premiere fois.
- Verifiez tout modele destine aux clients qui laisse entendre qu'une signature prouve l'origine ou la date de creation. Ce n'est pas le cas, et cette formulation sera testee des le premier litige porte devant un conseil.
- Demandez a vos clients de l'UE quel portefeuille leur pays delivre et si leur propre processus de signature l'accepte, puisque cela se decide au niveau national.
- Pour un travail dont la perte ferait mal, mettez en place un enregistrement date au moment ou il est termine, pas au moment ou il est conteste. Swiss Trust Layer appose un horodatage qualifie et un sceau sur le fichier lui-meme, de sorte que la date est fixee par un tiers plutot que par vos propres metadonnees. Faites-le aussi pour les projets, car c'est en general le projet dont la date finit par etre discutee.
Le portefeuille est une bonne infrastructure et il comble une faille ouverte depuis longtemps. Il comble la faille d'identite. La faille de date est un autre travail, et il reste le votre.
