Signature électronique qualifiée ou non  : rappel à l'ordre de la Cour de cassation

Date :

L'arrêt rendu par la Cour de cassation le 5 mars 2026 (C.Cass Civ.3 5 mars 2026 n°24-21.034) rappelle l'enjeu lié à la signature électronique qualifiée, dans une espèce où le titulaire présumé d'un bail d'habitation prétendait échapper à son obligation de paiement en soutenant qu'il n'en était pas le signataire.

En l'occurrence, la Cour d'Appel d'Aix en Provence, dans un arrêt rendu le 27 juin 2024, avait considéré que le bail d'habitation était opposable audit titulaire puisque ce dernier ne produisait aucun élément de nature à prouver qu'il n'en était pas le signataire : "Pour retenir que le bail du 15 septembre 2021 est opposable à M. [O] [K], l'arrêt relève que, s'il nie être le signataire de ce bail, il ne produit aucun élément démontrant que ses documents d'identité ont été subtilisés et utilisés par un tiers ni que les coordonnées utilisées n'étaient pas les siennes, qu'un certificat de preuve est joint à la signature électronique, que sont annexés au contrat différents documents établis au nom de M. [O] [K], avec son adresse effective, et que les éléments avancés par ce dernier sur l'usurpation d'identité ne sont donc pas de nature à remettre en cause la fiabilité de sa signature électronique".

Ce raisonnement était radicalement à l'encontre de la règle probatoire posée par l'Art. 1367 Al.2 du Code civil. La Cour de cassation, sans surprise, casse et annule l'arrêt attaqué : "En se déterminant ainsi, sans rechercher si le procédé de signature électronique utilisé mettait en oeuvre une signature électronique qualifiée, seule de nature à permettre de retenir une présomption de fiabilité, la cour d'appel n'a pas donné de base légale à sa décision."

AU DELA DE SON EVIDENCE JURIDIQUE, CET ARRÊT DE LA COUR DE CASSATION POSE UNE LUMIERE CRUE SUR L'INCOMPREHENSION GENERALISEE DES ACTEURS DU DROIT SUR LA REALITE TECHNIQUE DE LA SIGNATURE ELECTRONIQUE QUALIFIEE

Une signature électronique qualifiée repose sur deux composants :

- le premier, le certificat qualifié de signature électronique, est relativement facile à identifier.

- le second, à savoir le dispositif qualifié de création de signature électronique, est beaucoup plus difficile à caractériser, et certains prestataires eux‑mêmes rechignent à délivrer cette information très technique - au point que nous nous sommes entendu dire par un prestataire bien connu sur le marché que nous étions bien effrontée de faire cette demande pour les besoins d'une legal opinion, alors que nos honorables confrères n'avaient pas cette audace...

La conséquence de cette difficulté objective est une confusion largement partagée par conseils et magistrats, parfaitement reflétée par la décision de Cour d'appel cassée par la Haute Juridiction : la Cour a raisonné comme elle le fait d'habitude, sur la base des éléments habituellement produits lors d'un litige de signature électronique, sans réflexion sur ce que cela impliquait en termes de recherche sur le niveau de la signature électronique.

Il y a un véritable travail d'information à faire sur ce sujet, et ce travail incombe en premier lieu aux prestataires de services de confiance : ils doivent délivrer une information claire et complète sur leurs offres et sur les certifications associées.



À lire également

Date :
Le Data Act est applicable depuis le 12 septembre 2025, et il ne porte pas que sur les données connectées de l'internet des objets. Il vise également tous les fournisseurs de services ajoutés en mode SaaS français, par exemple dans le domaine de la GED, de la comptabilité, de la facturation, de l'archivage, etc. qui devront dorénavant permettre à leurs clients une résiliation pour convenance à tout moment et une réversibilité dont le périmètre est difficile à appréhender. Ce n'est pas qu'un outil de souveraineté numérique. C'est également un texte aux effets de bord dangereux pour des fournisseurs nationaux, parfois fragiles, dont les clients se voient offrir sur un plateau la possibilité de passer à la concurrence, pourquoi pas américaine...
Le Data Act ne s'applique pas aux contrats en cours, ce que semblent ignorer un certain nombre d'entreprises, voire d'avocats, qui voient dans ce texte l'occasion rêvée et gratuite de résilier un contrat ou d'exiger la fourniture d'informations non prévues contractuellement. Il leur faut se modérer, car le Data Act ne s'applique qu'aux contrats conclus après le 12 septembre 2025, qui doivent maintenant intégrer des clauses permettant d'aménager au mieux les dispositions du texte.
Date :
La directive NIS2 bientôt transposée en France, le règlement CRA sur la cybersécurité, et le règlement DORA sur la cyber résilience du secteur financier sont soit déjà en vigueur soit en passe de l’être. Ils organisent un écosystème de cybersécurité auquel doivent se conformer la quasi-totalité des éditeurs SaaS, au prix d’un effort de conformité assez considérable : textes complexes à décoder, obligations de notifications dans tous les sens, documentation, mise en œuvre opérationnelle… Pour commencer, nous vous livrons ce qu’il faut a minima savoir sur leur applicabilité à votre service