Signature électronique RGPD : réglementation, preuves et données à protéger

Parler de signature électronique RGPD, ce n'est pas parler d'un certificat qu'on achète. La conformité recouvre deux choses : la signature respecte les règles du droit qui gouverne le document, et vous pouvez le prouver plus tard devant un juge, un auditeur ou une autorité. Si l'une des deux manque, un contrat pourtant bien signé peut être démonté.

En France, le cadre se répartit en quatre blocs. Le règlement eIDAS donne à la signature électronique sa valeur de principe. Le Code civil (articles 1366 et 1367) dit quand un écrit électronique vaut preuve et ce qu'est une signature fiable. Le RGPD et la loi Informatique et Libertés, sous le contrôle de la CNIL, encadrent les données personnelles du circuit de signature. Reste la conservation, qui relève du Code de commerce et du Code de la consommation.

La plupart des contrats se contentent d'une signature électronique ordinaire. Les ennuis viennent des exceptions (certains actes de droit de la famille et des successions), des contreparties étrangères et des documents réglementés, où une autorité ajoute ses propres règles.

Si vous voulez simplement faire signer un document aujourd'hui, signer un document en ligne prend quelques minutes. Le reste de l'article sert le jour où un auditeur ou l'avocat d'en face pose des questions plus dures.

Si votre contrepartie est américaine, le droit fédéral règle la question depuis 2000. L'ESIGN Act dit qu'une signature, un contrat ou un enregistrement ne peut pas se voir refuser d'effet juridique au seul motif qu'il est électronique. Sa définition est large : un son, un symbole ou un procédé associé à un enregistrement et adopté dans l'intention de signer. Un nom tapé au clavier compte. Un clic aussi, à condition que l'enregistrement garde la trace de ce qui a été cliqué et par qui.

À l'échelle des États, l'UETA fait le même travail dans presque tous, et New York a sa propre loi, l'Electronic Signatures and Records Act. L'UETA ajoute une règle d'attribution bien pratique : une signature appartient à une personne si c'est son acte, et on peut le prouver par tout moyen, y compris la procédure de sécurité utilisée.

Concrètement, les exigences américaines se ramènent à cinq éléments que vous devez pouvoir montrer :

• Intention : le signataire a choisi de signer, pas seulement d'ouvrir le fichier.
• L'accord pour conclure l'affaire par voie électronique, que l'UETA déduit du contexte et du comportement.
• L'attribution, c'est-à-dire la preuve de qui a agi (lien par e-mail, code d'accès, contrôle d'identité).
• Association : la signature est liée à cette version exacte de l'enregistrement.
• La conservation, soit une copie qui « reflète fidèlement » l'enregistrement et reste accessible à toutes les personnes autorisées, selon le § 7001(d).

Les documents que l'ESIGN Act ne couvre pas

Les exclusions figurent au § 7003. L'ESIGN Act ne vise ni les testaments, codicilles et trusts testamentaires, ni les actes d'adoption et de divorce, ni l'essentiel de l'Uniform Commercial Code, ni les décisions et actes de procédure, ni une courte liste d'avis : coupure de services essentiels, saisie ou expulsion du logement principal, résiliation d'une assurance santé ou vie, rappels de produits et documents accompagnant des matières dangereuses. Pour ceux-là, c'est un autre droit qui décide.

Franchement, la barre est basse aux États-Unis pour un contrat d'affaires ordinaire. Les entreprises trébuchent du côté des consommateurs, où les formalités avant la signature pèsent autant que la signature.

Pour la conformité eIDAS, partez de la phrase que la plupart des guides sautent. L'article 25, paragraphe 1, du règlement (UE) n° 910/2014 dit qu'on ne peut pas refuser d'effet juridique à une signature électronique, ni la rejeter comme preuve, au seul motif qu'elle est électronique ou qu'elle n'est pas qualifiée. Une signature simple est donc valable. Elle prouve seulement moins, à elle seule.

eIDAS définit trois niveaux :

• Simple (SES) : toute donnée électronique servant à signer, du nom tapé au clic assorti d'une trace par e-mail.
• Avancée (AES) : l'article 26 ajoute quatre critères. Elle est liée au signataire de manière univoque, permet de l'identifier, est créée avec des données que le signataire peut, avec un niveau de confiance élevé, garder sous son contrôle exclusif, et est liée au document de sorte que toute modification ultérieure soit détectable.
• Qualifiée (QES), une signature avancée créée avec un dispositif de création qualifié et un certificat qualifié. L'article 25, paragraphe 2, lui donne l'effet d'une signature manuscrite dans toute l'UE.

Voici ce qu'on comprend de travers : eIDAS ne dit pas quel niveau un contrat exige. Ce sont les règles de forme nationales qui le disent. En France, l'article 1366 du Code civil donne à l'écrit électronique la même force probante que le papier, à condition que son auteur soit dûment identifié et que l'écrit soit établi et conservé dans des conditions qui en garantissent l'intégrité. L'article 1367 demande, pour la signature électronique, un procédé fiable d'identification qui garantit son lien avec l'acte. Cette fiabilité n'est présumée, jusqu'à preuve contraire, que pour la signature qualifiée, selon le décret n° 2017-1416 du 28 septembre 2017. Une signature simple ou avancée reste valable, mais sa fiabilité se discute devant le juge si l'autre partie la conteste. Et quand la loi exige un écrit pour la validité d'un contrat, l'article 1174 le permet sous forme électronique dans les mêmes conditions.

Côté contrôle, vous pouvez vérifier un prestataire sur la liste de confiance de l'UE ou consulter la liste nationale de confiance de l'ANSSI. Si un contrat exige vraiment ce niveau, lisez comment fonctionne le niveau qualifié. La modification de 2024, le règlement (UE) 2024/1183, a conservé les effets de l'article 25 et les quatre critères de la signature avancée. Elle porte surtout sur le portefeuille d'identité numérique, traité dans ce qu'a changé la modification de 2024.

Le Royaume-Uni n'a jamais eu besoin d'eIDAS pour accepter les signatures électroniques. La section 7 de l'Electronic Communications Act 2000 les rend admissibles sur les questions d'authenticité et d'intégrité. Le rapport de 2019 de la Law Commission a confirmé qu'une signature électronique peut servir à passer un acte, y compris un acte formel (deed), si le signataire entendait l'authentifier et que les formalités sont respectées. Le piège, c'est le témoin : un acte qui exige un témoin doit toujours être signé en sa présence physique, une visioconférence ne suffit pas. Le Royaume-Uni a conservé après le Brexit sa propre version des règles eIDAS, et l'UK GDPR s'occupe du volet données.

Chaque circuit de signature collecte des données personnelles : noms, adresses e-mail et IP, informations sur l'appareil, parfois un numéro de téléphone et, avec un contrôle d'identité, le scan d'une pièce d'identité et un selfie. Le RGPD s'applique à tout cela, quel que soit le niveau de signature. Pour la signature électronique et le RGPD, c'est le volet que les auditeurs ouvrent en premier. En France, la CNIL est l'autorité de contrôle, et la loi Informatique et Libertés complète le règlement.

Cinq questions règlent l'essentiel :

1. 1.
   Qui est responsable de traitement ? Votre entreprise, pour les contrats que vous envoyez. Le prestataire est en général votre sous-traitant, et l'article 28 exige un contrat qui couvre les instructions, la confidentialité, la sécurité, la suppression et les audits.
2. 2.
   Quelle est la base légale ? Le plus souvent l'exécution d'un contrat (article 6, paragraphe 1, point b) pour les signataires, et l'obligation légale (point c) pour conserver l'acte signé.
3. 3.
   Collectez-vous plus que nécessaire ? La minimisation explique pourquoi un contrôle d'identité se justifie pour les affaires qui le méritent, pas pour chaque NDA.
4. 4.
   Combien de temps gardez-vous les données ? La limitation de la conservation tire d'un côté, les durées légales de l'autre : dix ans pour les documents comptables et les pièces justificatives (article L. 123-22 du Code de commerce), cinq ans pour la prescription de droit commun (article 2224 du Code civil). L'article 17, paragraphe 3, permet de refuser l'effacement quand une loi impose la conservation ou qu'une action en justice la nécessite.
5. 5.
   Où vont les données ? Les transferts hors de l'UE exigent une base au titre du chapitre V, comme une décision d'adéquation ou des clauses contractuelles types.

L'article 32 demande une sécurité « appropriée au risque ». C'est volontairement souple, et c'est pourquoi les acheteurs réclament un certificat ISO 27001 comme raccourci.

La signature adossée à une blockchain pose une question gênante : comment répondre à une demande d'effacement dans un registre que personne ne peut modifier ? Le Comité européen de la protection des données (CEPD) y répond dans ses lignes directrices sur la blockchain, dont la version finale a été adoptée le 7 juillet 2026. En règle générale, dit-il, les données personnelles ne doivent pas figurer sur une chaîne, et jamais dans le contenu des transactions. Quand quelque chose doit y figurer, cela doit servir de preuve d'existence (un pointeur, un engagement ou une empreinte à clé), les données nécessaires à la vérification restant hors chaîne.

Deux détails comptent plus que le titre. Le CEPD traite l'empreinte d'une donnée personnelle comme une donnée personnelle, et il estime qu'une empreinte sans sel ni clé ne protège en général pas assez sur une chaîne publique. « Nous ne stockons que des empreintes » n'est donc pas, à soi seul, une réponse RGPD. La CNIL tient la même ligne dans sa page Blockchain et RGPD : pas de donnée personnelle en clair sur la chaîne, et une analyse d'impact (AIPD) pour juger de la proportionnalité. Demandez à votre prestataire ce qu'il écrit exactement sur la chaîne et si une personne peut y être rattachée, puis consignez la réponse dans votre analyse d'impact.

Reste qu'une empreinte sur un registre public est une trace que ni vous ni le prestataire ne pouvez réécrire discrètement. Documenter ce compromis fait partie de la conformité d'une signature électronique.

Si vous fabriquez des médicaments, des dispositifs médicaux ou des produits biologiques, ou si vous menez des essais cliniques sous la supervision de la FDA, vous avez affaire à une couche que le droit ordinaire de la signature électronique ne connaît pas. La Part 11 couvre les enregistrements et signatures électroniques que les règles de la FDA vous obligent à conserver ou à transmettre. C'est la forme la plus stricte de conformité de signature électronique que la plupart des entreprises rencontreront.

Les exigences de la 21 CFR Part 11 sur lesquelles les équipes butent :

• Manifestation de la signature (§ 11.50). L'enregistrement signé affiche le nom imprimé du signataire, la date et l'heure, et le sens : revue, approbation, responsabilité ou paternité.
• Lien (§ 11.70). Les signatures sont rattachées à leurs enregistrements de façon à ne pas pouvoir être retirées, copiées ou transférées pour falsifier un autre enregistrement par des moyens ordinaires.
• Chaque signature est unique à une personne, jamais réattribuée, et délivrée seulement après vérification de l'identité de cette personne par l'organisation (§ 11.100).
• Un courrier unique à la FDA, portant une signature manuscrite, certifiant que les signatures électroniques de votre personnel ont la même valeur. C'est un courrier, pas un réglage, et c'est pour cela qu'on l'oublie.
• Deux éléments d'identification distincts, comme un identifiant et un mot de passe, pour les signatures non biométriques (§ 11.200).
• Des pistes d'audit sécurisées, générées par ordinateur et horodatées, qui n'écrasent jamais les entrées antérieures (§ 11.10(e)), plus la validation, des limites d'accès et des politiques écrites de responsabilité.

Relisez la liste et notez combien de points décrivent votre système et vos procédures. Dans l'UE, l'annexe 11 des lignes directrices de bonnes pratiques de fabrication, consacrée aux systèmes informatisés, pose des questions voisines sur la validation, les pistes d'audit et les signatures électroniques. Pour la partie journalisation, voyez ce qu'une piste d'audit de signature enregistre.

Le NIST revient si souvent dans les questionnaires de sécurité qu'on le croit obligatoire. Pour la plupart des entreprises privées, il ne l'est pas. La SP 800-63-4, finalisée en juillet 2025, s'applique aux systèmes fédéraux américains, et les autres peuvent s'en inspirer. Sa valeur est dans le vocabulaire : les niveaux d'assurance d'identité (IAL) notent la qualité de la vérification d'une personne, les niveaux d'assurance d'authentification (AAL) notent la connexion, et les niveaux de fédération (FAL) notent l'authentification unique. Un client qui demande « AAL2 » parle d'authentification multifacteur. L'autre texte du NIST que vous croiserez, la FIPS 186-5 de février 2023, est le Digital Signature Standard pour la cryptographie elle-même.

Passez-la en revue avant qu'un type de contrat entre en service, pas après un litige. Chaque ligne reprend une exigence de l'un des textes ci-dessus, ce qui la satisfait en général, et la preuve que vous remettriez à un auditeur. Sautez les lignes qui ne s'appliquent pas. Si vous ne pouvez pas remplir la dernière colonne, c'est votre lacune. Pour la durée de conservation des pièces, voyez les durées de conservation des documents en entreprise.

Aucun outil de conformité de signature électronique ne vous rend conforme. Il vous donne des contrôles et des preuves. C'est vous qui décidez quels documents y passent, à quel niveau, avec quel consentement et combien de temps vous les gardez. Écrivez ce partage avant de signer un contrat avec un prestataire, car c'est là que les audits trouvent les failles.

Les prestataires se distinguent surtout par leurs certifications et leurs extras pour les secteurs réglementés, et DocuSign est en avance sur la plupart. Son Trust Center cite ISO 27001:2022, des rapports SOC 1 et SOC 2 Type 2, et la conformité à la 21 CFR Part 11 et à l'annexe 11 de l'UE. Sa filiale Docusign France SAS figure comme prestataire de services de confiance qualifié sur la liste de confiance de l'ANSSI (les deux lus le 14 octobre 2026). Si les achats demandent si DocuSign couvre eIDAS ou la Part 11, ces pages répondent. La colonne de droite ci-dessous reste à votre charge, quel que soit le prestataire.

Voici ce que Chaindoc vous apporte, et où cela s'arrête.

Les signatures standard de Chaindoc sont des signatures électroniques avancées PAdES-BES au sens d'eIDAS, et l'ESIGN Act comme l'UETA les acceptent comme toute signature électronique qui passe les tests ci-dessus. Pour une signature qualifiée, le signataire apporte un certificat d'un prestataire de services de confiance qualifié (une identité électronique nationale ou un prestataire compatible CSC) et Chaindoc conduit la session de signature ; nous ne sommes pas nous-mêmes un prestataire de services de confiance. PAdES-BES ne comporte pas d'horodatage, la validation à long terme n'est donc pas intégrée. Conservez la piste d'audit et le rapport de vérification avec le fichier.

Chaque document terminé s'accompagne d'une piste d'audit en PDF et d'un rapport de vérification. Le serveur calcule l'empreinte d'un fichier au téléversement, l'empreinte de chaque version publiée est écrite sur une blockchain publique, et la preuve de chaque signataire est enregistrée quand il a terminé. Les noms et les adresses e-mail ne vont pas sur la chaîne. Les fichiers transitent par TLS et les clés de signature privées sont chiffrées en AES-256, mais les documents ne sont pas chiffrés de bout en bout : le serveur les lit pour les analyser, les convertir et les signer.

Notre politique de confidentialité désigne Chaindoc comme votre sous-traitant pour les documents téléversés, les signatures et les pistes d'audit, avec un traitement dans l'UE, aux États-Unis ou là où opèrent les sous-traitants ultérieurs. Chaindoc détient les certificats ISO 27001 et ISO 9001. Vous ajoutez des contrôles d'identité affaire par affaire grâce aux contrôles d'identité optionnels, et un ordre de signature fixe passe par les circuits d'approbation du forfait Business. Comparez les forfaits avant de vous engager.

Voilà pour le volet des preuves de la signature électronique RGPD. La colonne de droite plus haut reste à votre charge.