ZertES et la signature électronique qualifiée : ce que vous devez savoir

En novembre 2024, un fiduciaire zurichois a transmis à son client une convention de cession de droits logiciels signée numériquement par les deux co-fondateurs. Lors de la due diligence pour une série A, l'avocat du fonds a demandé de prouver que la cession avait bien eu lieu avant la date de fondation déclarée. Les signatures utilisées, un code SMS par signataire, n'offraient aucune présomption légale d'authenticité ni de date. Quatre semaines de procédure supplémentaire. CHF 12,000 d'honoraires additionnels. Une décote de valorisation de 12 %.

Ce cas illustre une réalité que beaucoup de praticiens découvrent trop tard : toutes les signatures électroniques n'ont pas la même valeur juridique. Un code SMS ou une case cochée peut suffire pour un accord commercial courant. Pour un document qui devra résister à une contestation, la seule option qui tient est la Signature Électronique Qualifiée (SEQ).

Les trois niveaux de signature électronique

Signature Électronique Simple (SES) : Votre image de signature scannée, une case cochée, ou un nom tapé dans un champ. Aucune vérification d'identité. Aucune protection cryptographique. Si quelqu'un conteste le document, vous aurez très peu de preuves sur qui l'a signé ou quand.

Signature Électronique Avancée (SEA) : La signature est liée à vous par un processus (comme un code SMS ou une confirmation par e-mail) et est détectable si le document est modifié ultérieurement. Utilisée pour la plupart des contrats commerciaux courants. Suffisante dans de nombreuses situations, mais sans présomption légale d'équivalence à une signature manuscrite devant un tribunal.

Signature Électronique Qualifiée (SEQ) : Votre identité est vérifiée par une autorité accréditée. La signature est liée cryptographiquement au document. La loi déclare explicitement qu'elle est équivalente à une signature manuscrite.

Pourquoi "équivalent à une signature manuscrite" est décisif

Cette formulation a des conséquences juridiques considérables. Un contrat signé avec une SEQ ne peut pas être contesté simplement parce qu'il a été signé numériquement. Un tribunal doit le traiter de la même façon qu'une signature à l'encre. La charge de la preuve pour contester une SEQ est extrêmement élevée : le contestataire doit prouver que le processus cryptographique a été compromis, pas simplement affirmer que la signature est invalide.

Pour la protection de la propriété intellectuelle, les accords de confidentialité, les accords de licence, et tout document où l'authenticité et le moment de la signature sont importants, cette distinction détermine si votre document tient ou s'effondre sous examen.

ZertES : la loi suisse sur la signature électronique

En Suisse, la SEQ est régie par ZertES, la Loi fédérale sur les services de certification dans le domaine de la signature électronique (RS 943.03). L'article 2 définit les exigences :

• La signature doit être émise par un prestataire de services de certification accrédité par ZertES (ZDA)
• Le prestataire doit être accrédité par l'OFCOM (Office fédéral de la communication)
• Le processus doit utiliser un certificat qualifié émis après des vérifications d'identité avérées

Swisscom Trust Services est un ZDA accrédité par l'OFCOM. Une signature ou un horodatage émis par Swisscom bénéficie d'un statut légal complet ZertES devant les tribunaux suisses et les autorités réglementaires.

eIDAS : le cadre européen

Pour les transactions transfrontalières dans l'Union européenne, le cadre applicable est eIDAS, le Règlement (UE) n° 910/2014. L'article 25 stipule : une signature électronique qualifiée a le même effet juridique qu'une signature manuscrite. Et l'article 41 ajoute quelque chose de déterminant spécifiquement pour les horodatages : un horodatage électronique qualifié bénéficie d'une présomption légale que la date et l'heure indiquées sont exactes, et que l'intégrité des données auxquelles l'horodatage est lié est intacte.

Cela signifie que le fardeau de la preuve est renversé. La personne qui conteste l'horodatage doit prouver qu'il est faux, pas le signataire prouver qu'il est correct. En pratique, un horodatage qualifié émis par un PSCO qualifié inscrit sur la liste de confiance de l'UE est extrêmement difficile à contester avec succès. Swisscom Trust Services est inscrit sur la liste de confiance de l'UE en tant que PSCO qualifié. Les signatures et horodatages émis par Swisscom sont reconnus dans les 27 États membres de l'UE.

Ce qui se serait passé différemment

Si le fiduciaire zurichois avait conseillé à son client d'utiliser une SEQ émise selon ZertES art. 2 via Swiss Trust Layer, la convention de cession aurait bénéficié d'une présomption légale d'authenticité et d'exactitude de la date. L'avocat du fonds aurait reçu un certificat PAdES vérifiable en ligne sur swisstrustlayer.com/validate. La due diligence aurait abouti en deux jours, pas quatre semaines. CHF 12,000 en moins. Aucune décote de valorisation.

Le flux de travail ZertES en pratique avec Swiss Trust Layer

Dépôt du fichier. Vous uploadez votre document sur swisstrustlayer.com. N'importe quel format est accepté : PDF, DOCX, images, fichiers de code, fichiers audio. Le fichier lui-même n'est jamais transmis ni stocké : seule son empreinte cryptographique SHA-256 est calculée.

Liaison d'identité. Votre compte Swiss Trust Layer est lié à une identité vérifiée. C'est cette liaison qui satisfait l'exigence d'identification du signataire prévue par ZertES art. 2 et eIDAS art. 28.

Horodatage par Swisscom. L'empreinte SHA-256 est transmise à Swisscom Trust Services, ZDA accrédité et PSCO qualifié sur la liste de confiance de l'UE. Swisscom émet un horodatage qualifié contenant : l'empreinte de votre fichier, le moment de la requête en UTC, la chaîne de certificats Swisscom, et une signature cryptographique qui rend toute manipulation ultérieure détectable.

Certificat PAdES. Vous recevez un certificat conforme au format PAdES (PDF Advanced Electronic Signature) directement utilisable devant les tribunaux, les notaires et les autorités en Suisse et dans l'UE.

Vérification publique. N'importe qui peut vérifier l'authenticité de votre document sur swisstrustlayer.com/validate, sans compte et sans contacter Swiss Trust Layer. Il suffit de déposer le fichier original ; le système vérifie que l'empreinte SHA-256 correspond à celle enregistrée dans le certificat.

Quand avez-vous besoin d'une SEQ ?

Vous n'avez pas besoin d'une SEQ pour tout. Mais vous en avez probablement besoin pour :

• La documentation de propriété intellectuelle (prouver quand vous avez créé quelque chose)
• Les accords de licence à valeur commerciale significative
• Les contrats où l'une des parties est dans une juridiction différente
• Les documents susceptibles d'être présentés devant un tribunal
• Les documents des secteurs réglementés (finance, santé, juridique)
• Les accords de cofondateurs et arrangements de capital

Pour les documents administratifs courants, une SEA est généralement suffisante. Pour tout ce pour lequel vous pourriez un jour avoir besoin de dire "ce document est authentique, je l'ai signé à cette date, et voici la preuve", la SEQ est le bon standard.

Le calcul pour le fiduciaire zurichois

Pour le fiduciaire et son client, le coût de cette erreur s'est chiffré à CHF 12,000 d'honoraires additionnels plus une décote de 12 % sur la valorisation - soit plusieurs centaines de milliers de francs de valeur perdue sur le tour. Contre CHF 5 par document pour un sceau Swiss Trust Layer au moment de la signature. Ce n'est pas une question de technologie. C'est une question de choix du bon standard au bon moment.

Commencez sur swisstrustlayer.com. CHF 5 par document.