eIDAS et certification de données : tout ce qu’une entreprise ou un particulier doit savoir

Pendant longtemps, eIDAS a été une affaire de juristes : un acronyme technique caché dans les mentions légales des logiciels de signature électronique. Douze ans après son entrée en application, le contexte a changé sur deux fronts à la fois. D’un côté, les entreprises signent et échangent la quasi-totalité de leurs documents en ligne. De l’autre, l’IA générative permet aujourd’hui de fabriquer en quelques secondes une photo, une vidéo ou un document qui n’a jamais existé.

Cette double évolution pose une question simple à toute direction juridique, financière ou opérationnelle : comment prouver qu’une chose est vraie, quand produire du faux ne coûte presque plus rien ? Le règlement eIDAS apporte une première réponse. Mais il en appelle une autre, plus récente : celle de la certification de photo, c’est-à-dire la capacité à garantir qu’une image correspond bien à un événement réel, capté à un endroit et à un instant précis — un besoin que Certificall couvre directement.

eIDAS, en une phrase

eIDAS (electronic IDentification, Authentication and trust Services) est le règlement européen n° 910/2014, entré en application le 1er juillet 2016, qui donne un cadre juridique unique à l’identification électronique et aux services de confiance dans les 27 États membres. Son objectif fondateur est simple : qu’un document ou une identité électronique validés dans un pays de l’Union aient la même valeur juridique dans tous les autres, et que cette valeur soit reconnue devant un tribunal.

Avant eIDAS, chaque pays avait sa propre législation. En France, la loi du 13 mars 2000 avait déjà posé les bases de la valeur probatoire de l’écrit électronique. Mais cette mosaïque de règles nationales incompatibles freinait les échanges numériques transfrontaliers. eIDAS l’a remplacée par un socle commun, directement applicable dans tous les États membres, sans transposition nationale nécessaire.

Ce que change réellement eIDAS : la présomption légale

Le règlement eIDAS ne rend pas le numérique « légal » : un écrit électronique avait déjà une valeur probatoire avant 2014. Son apport se situe ailleurs, dans un mécanisme central : la présomption.

Le principe de non-discrimination

Pour chaque service de confiance, eIDAS pose un principe simple, aux articles 25, 35, 41 et 43 : l’effet juridique et la recevabilité d’une preuve électronique ne peuvent pas être refusés au seul motif qu’elle est électronique. Un juge ne peut donc pas rejeter une preuve simplement parce qu’elle est numérique.

La présomption qualifiée, vrai levier commercial du règlement

eIDAS va plus loin en créant des niveaux de fiabilité gradués. C’est là que se joue l’essentiel pour une entreprise :

On appelle présomption qualifiée le mécanisme par lequel, une fois un service qualifié utilisé, ce n’est plus à l’entreprise de prouver que sa preuve est fiable : c’est à la partie adverse de démontrer qu’elle ne l’est pas. Ce renversement de la charge de la preuve est transposé en droit français aux articles 1366 et 1367 du Code civil, et précisé par le décret n° 2017-1416 du 28 septembre 2017.

Signature électronique et cachet électronique : deux outils à ne pas confondre

C’est l’un des points les plus mal compris, et pourtant central pour une entreprise qui traite un grand volume de documents ou de preuves.

La signature électronique identifie une personne physique et manifeste son consentement au contenu d’un acte. Au niveau qualifié, elle équivaut juridiquement à une signature manuscrite. Le cachet électronique, lui, identifie une personne morale et garantit l’intégrité et l’origine d’un document, sans engager de consentement individuel et sans équivalence manuscrite. C’est l’outil adapté à l’authentification massive de flux : factures, rapports, preuves de terrain.

C’est précisément ce second mécanisme, associé à un horodatage qualifié, que Certificall utilise pour délivrer un cachet de signature qualifié eIDAS sur chaque preuve visuelle générée par ses utilisateurs.

eIDAS 2.0 : la vague de l’identité numérique et du portefeuille européen

Le règlement modificatif (UE) 2024/1183, entré en vigueur le 20 mai 2024, ne remplace pas eIDAS 1.0 : il le complète. Trois apports structurent cette seconde vague.

D’abord, l’EUDI Wallet, un portefeuille européen d’identité numérique unique et gratuit, permettant à chaque citoyen et chaque entreprise de s’identifier, de stocker des attestations et de signer électroniquement, reconnu dans les 27 États membres. Ensuite, de nouveaux services qualifiés, dont les attestations électroniques d’attributs et l’archivage électronique qualifié. Enfin, une extension du champ d’application : eIDAS 2.0 impose aux grandes plateformes numériques, banques, assurances et télécoms d’accepter l’EUDI Wallet comme moyen d’identification.

Le calendrier à connaître pour toute direction conformité :

Cette dynamique réglementaire crée un marché mesurable. Le marché des services de confiance qualifiés est évalué à 1,5 milliard de dollars en 2024, avec une croissance annuelle moyenne attendue de 17,2 % jusqu’en 2033, l’Europe représentant déjà plus de la moitié de ce marché mondial.

L’angle mort d’eIDAS : le fait, pas seulement l’acte

eIDAS a été conçu pour authentifier des actes juridiques : qui a signé, qui a émis, à quelle date. Mais une part importante de la valeur probatoire dont les entreprises ont besoin ne concerne pas des actes signés : elle porte sur des faits constatés sur le terrain. L’état d’un logement avant travaux, une malfaçon de chantier, un sinistre, une livraison endommagée n’ont pas besoin d’être « signés » — ils ont besoin d’être prouvés au moment où ils se produisent.

C’est ce vide que comble une nouvelle génération de tiers de confiance numériques, dont Certificall fait partie.

Comment fonctionne la certification photo

On appelle certification photo le procédé qui associe, au moment même de la prise de vue depuis un smartphone, une géolocalisation renforcée, un horodatage qualifié selon la norme ISO 8601 et un cachet électronique qualifié eIDAS. Ce cachet est délivré par Certigna, prestataire de services de confiance qualifié accrédité par l’ANSSI et inscrit sur la liste de confiance européenne (EUTL). Le certificat final est produit au format PDF/A-3B, associé à une empreinte de hachage cryptographique SHA : toute modification ultérieure, aussi minime soit-elle, rend l’empreinte non concordante et la falsification détectable.

Certificall applique ce procédé à l’ensemble des preuves visuelles collectées par ses utilisateurs sur le terrain, avec un stockage sécurisé en France, conforme au RGPD, pendant une durée pouvant aller jusqu’à dix ans pour couvrir les besoins de la garantie décennale.

Exemple concret. Sur un chantier de construction, une entreprise doit prouver la conformité de ses travaux à chaque étape clé : préparation, matériaux utilisés, avancement, livraison. Avec une trame de collecte définie sur mesure, chaque photo prise sur l’application est automatiquement horodatée, géolocalisée et certifiée, puis envoyée à l’entreprise et à son client. En cas de litige sur la date ou l’origine des travaux, le certificat produit fait foi sans qu’il soit nécessaire de faire intervenir un expert pour reconstituer les faits.

Pourquoi la certification photo ne remplace pas eIDAS, mais le prolonge

Il faut être précis sur la portée juridique de ce mécanisme. Le cachet électronique qualifié bénéficie, comme le prévoient l’article 1367 du Code civil et le règlement eIDAS, d’une présomption légale de fiabilité. Il dispense l’utilisateur de démontrer techniquement la validité du procédé, sauf à ce que la partie adverse en prouve la défaillance. Cette preuve est donc difficilement contestable, sans pour autant constituer un acte authentique au sens où l’entend un commissaire de justice.

Cette approche est complémentaire, et non concurrente, d’autres standards émergents. Le standard C2PA répond à une question différente : celle de la divulgation de l’origine IA d’un contenu. Un cachet eIDAS qualifié répond, lui, à celle de l’authenticité des conditions réelles de capture. Les deux logiques se recoupent sans se substituer l’une à l’autre.

Un modèle européen, pas universel

L’approche européenne — cadre unique, niveaux de qualification gradués, supervision étatique des prestataires — n’est pas la seule voie possible.

Aux États-Unis, l’UETA (1999) et l’ESIGN Act (2000) reposent sur l’intention des parties plutôt que sur une hiérarchie de niveaux de signature qualifiés. Il n’existe pas d’équivalent direct au cachet électronique qualifié ni de liste de confiance publique comparable à l’EUTL européenne. En Chine, la loi sur la signature électronique (2004, révisée en 2015 et 2019) s’articule avec des tribunaux internet qui acceptent des preuves horodatées via des registres blockchain. Singapour et l’Inde ont, de leur côté, développé des identités numériques nationales à forte adoption, mais sans l’ambition de reconnaissance transfrontalière de l’EUDI Wallet.

Le trait distinctif du modèle européen n’est donc pas la reconnaissance de la signature électronique — presque toutes les grandes économies la reconnaissent depuis les années 2000. C’est la gradation qualifiée avec présomption légale renforcée, adossée à une liste de confiance unique et vérifiable dans 27 pays.

Ce que les entreprises doivent retenir

eIDAS a fait passer la preuve numérique d’un statut « recevable mais à démontrer » à un statut « présumée fiable » dès lors qu’elle est qualifiée. eIDAS 2.0 déplace ensuite le sujet vers l’identité numérique, avec un calendrier contraignant à horizon 2026-2027 pour les secteurs régulés. Enfin, la montée de l’IA générative crée un besoin que la réglementation historique de la signature ne couvre pas : prouver qu’un contenu visuel correspond à un événement réel. C’est l’espace dans lequel Certificall construit sa certification photo, bâtie sur les mêmes fondations juridiques qu’eIDAS — cachet et horodatage qualifiés — mais appliquée à un nouvel objet : la preuve de terrain.

Pour aller plus loin : Certificall propose une démonstration de sa solution de certification photo et vidéo aux entreprises des secteurs assurance, BTP, immobilier, transport et collectivités, via www.certificall.app.