eIDAS V2 inaugure un service de confiance très attendu : l’archivage électronique

L’archivage électronique est un composant essentiel de la preuve numérique puisque celle-ci, contrairement à la preuve papier, est susceptible d’altération au cours du temps. Jusqu’ici, le droit français ne comportait aucune définition de l’archivage électronique et le domaine restait essentiellement technique et normatif. Il en résultait une véritable insécurité juridique et judiciaire au regard de la validité d’un document électronique sur le long terme, amenée à s’aggraver avec l’augmentation de la production de documents dématérialisés à fort enjeu. Le règlement eIDAS V2 vient combler cette lacune.

Sommaire

• Archivage électronique et droit de la preuve
• La définition d’un service de confiance d’archivage électronique vient combler une lacune au regard de la reconnaissance juridique et judiciaire de la preuve numérique
• Présentation du service d’archivage électronique eiDAS V2

Archivage électronique et droit de la preuve

Un service d’archivage électronique doit assurer aux documents électroniques les mêmes garanties que celles que procure un service d’archivage physique aux documents papier. Pour le juriste, la plus importante d’entre elles est d’éviter la détérioration du contenu des documents, ce qui, dans le monde numérique, correspond à la garantie d’intégrité tout au long de son cycle de vie. Cette exigence fondamentale est inscrite dans le Code civil (Art. 1366), qui dispose que « L’écrit électronique a la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité ».

Au-delà de la garantie d’intégrité, la fiabilité d’un service d’archivage électronique dépend de nombreuses conditions techniques et organisationnelles. Celles-ci font l’objet d’un consensus international relativement homogène et représentent un « état de l’art » matérialisé par un florilège de normes et de standards techniques reconnus à l’échelle d’un pays ou d’une région du monde. Mais au plan juridique, les modalités de conservation fiable des documents relevant de la sphère privée ne sont que rarement abordées par les lois nationales. C’est notamment le cas de la France, qui à ce jour ne dispose d’aucune définition légale de l’archivage électronique.

Définition d’un service de confiance d’archivage électronique

La première version du règlement eIDAS, parue le 23 juillet 2014, posait la base des premiers services de confiance européens. Ils ont rencontrés des succès divers, les plus reconnus étant à ce jour la signature électronique, le cachet électronique et l’horodatage. L’archivage électronique n’était pas mentionné dans eIDAS V1.

Le texte final du règlement eIDAS V2 a été publié le 20 mai 2024 par la Commission européenne. Il était très attendu sur la partie consacrée à l’identité numérique et notamment le futur « wallet » européen, et on en oublierait presque qu’il consacre également le nouveau service de confiance qu’est l’archivage électronique (« Electronic archiving »). Ce nouveau service représente un double enjeu pour le droit français.

Tout d’abord parce que faute de définition légale, la valeur juridique d’un système d’archivage électronique faisait l’objet d’un flottement. Certes, un certain nombre de normes AFNOR constituent des références très reconnues en France, notamment la norme AFNOR NF Z 42 013 (associée à la certification NF 461) ou encore la norme AFNOR NF Z 42 026 pour la partie numérisation. Mais faut-il en déduire qu’un système d’archivage électronique n’est pas fiable parce qu’il n’est pas conforme à l’une de ces normes ? Evidemment non, mais à défaut de référentiel juridique, le positionnement du juriste est malaisé pour défendre un système d’archivage non rattaché à ces références connues.

Ensuite, le référentiel de conformité d’un service d’archivage électronique varie d’un pays à l’autre, et ce même au sein de l’Europe. La norme AFNOR Z 42 013 bénéficie également d’un nommage européen ISO (14641-1), mais elle est loin de constituer la référence unique dans la culture technique et sécuritaire de nos voisins en matière d’archivage électronique. Cette dispersion est une source de difficulté pour les groupes établis sur plusieurs pays européens dès lors qu’ils mettent en œuvre un service d’archivage centralisé pour toutes leurs implantations nationales, car ils peinent à mettre en place des systèmes qui assurent une bonne efficacité judiciaire dans tous les pays concernés.

Ainsi, et même si un certain temps risque de s’écouler entre la parution d’eIDAS V2 et la disponibilité effective des services d’archivage qualifiés, l’introduction de ce nouveau service dans la législation européenne est d’ores et déjà une avancée pour la sécurité juridique et judiciaire de la preuve numérique.

Présentation du service d’archivage électronique eiDAS V2

Définitions juridiques du service d’archivage électronique et du service d’archivage électronique qualifié

Le Règlement eIDAS V2 introduit dans le droit français deux nouvelles définitions : celle de l’archivage électronique (« electronic archiving ») et celle de l’archivage électronique qualifié.

L’archivage électronique désigne un service qui assure la réception, le stockage, le retrait et la suppression des données ou documents électroniques de façon d’une part à garantir leur pérennité et leur lisibilité, et d’autre part à préserver leur intégrité, leur confidentialité et la preuve de leur provenance, et ce pendant toute leur durée de conservation[1].

Lorsqu’il est qualifié, le service d’archivage électronique doit respecter les exigences suivantes :

• Être fourni par un prestataire de service de confiance qualifié ;
• Utiliser des procédures et des technologies propres à assurer la pérennité et la lisibilité de la donnée électronique au-delà de sa péremption technologique et au moins pendant sa période de conservation légale ou contractuelle, tout en préservant son intégrité et l’exactitude de son origine ;
• Assurer que les modalités de conservation de la donnée électronique la préservent de toute perte et altération, sous réserve des modifications induites par un transfert de média ou de format électronique ;
• Faire en sorte que les parties autorisées reçoivent automatiquement un rapport confirmant qu’une donnée électronique extraite d’un service qualifié d’archivage bénéficie d’une présomption d’intégrité depuis son versement dans l’archive jusqu’au moment de son retrait. Ce rapport doit être fourni de façon fiable et efficace et être revêtu de la signature ou du cachet électronique qualifié du fournisseur du service d’archivage électronique qualifié.

L’archivage électronique figure dorénavant dans la liste des services de confiance (« trust services ») définis par le Règlement eIDAS, et, suivant la même logique que les autres services qualifiés du Règlement eIDAS :

• Un service d’archivage qualifié dans un état membre est reconnu comme tel dans tous les états membres (interopérabilité des services qualifiés) ;
• Un document électronique conservé dans un service d’archivage qualifié bénéficie d’une présomption de son intégrité et de son origine pendant toute sa durée de conservation.

Enfin, le Règlement précise que les dispositions de droit interne relatives aux archives publiques ou nationales des états membre ne sont pas affectées par le nouveau service de confiance, ces dernières pouvant continuer à être opérées selon les dispositions existantes au niveau local.

Les documents éligibles : document électronique natif – copie fiable d’un document papier numérisé

Le règlement eIDAS V2 dispose que tant les documents électroniques natifs que les documents papier numérisés peuvent bénéficier du service d’archivage électronique. Ainsi, dès lors qu’un document numérisé sera versé dans un système d’archivage qualifié, on peut raisonnablement penser qu’il bénéficiera de la présomption d’intégrité posée par l’Art. 1379 du code civil et son décret d’application. On peut même se prendre à rêver que le législateur français remplace la référence au décret de 2016, largement resté lettre morte, par un renvoi au service d’archivage qualifié du Règlement eIDAS.

Les migrations de media et de formats

Si un document doit être conservé sur une très longue période, il est possible que le média sur lequel il est stocké, ou que son format, devienne obsolète. Le Règlement eIDAS V2 prévoit expressément l’hypothèse de la migration de media ou de format, sous réserve bien sûr d’éviter toute perte ou altération, c’est-à-dire de préserver l’intégrité informationnelle du document.

Documents sécurisés par une signature ou un cachet électronique qualifié

Pour les documents qui ont fait l’objet d’une signature ou d’un cachet électronique qualifié, le service d’archivage doit proposer des moyens permettant d’étendre leur fiabilité sur l’ensemble de la durée de conservation [2].

Référentiel normatif

Le service d’archivage qualifié devra bénéficier d’un référentiel normatif explicitant et développant les spécifications fonctionnelles très générales posées par le Règlement eIDAS V2. La Commission a 12 mois à compter de la publication du règlement pour établir une liste des standards de référence, par voie d’actes d’implémentation. Il reviendra ensuite à chaque autorité de contrôle nationale (en France l’ANSSI) de certifier la conformité d’un service d’archivage électronique à ces standards pour que celui-ci puisse prétendre au statut qualifié. La France sera bien placée avec ses normes AFNOR/ISO. Sachant néanmoins qu’il existe d’autres références, il est difficile de prévoir ce qui sortira de la négociation qui aura lieu au niveau des groupes de travail ad-hoc, espérant toutefois qu’un accord en sorte rapidement aux fins de pouvoir mettre en œuvre sans tarder le très attendu service d’archivage électronique qualifié.

[1] Art3, point 47 eIDASv2

[2] Art.33 eIDAS V2