Le point sur la responsabilité des prestataires de services de certification, par Isabelle Renard et Isabelle Védrines du cabinet August& Debouzy.

Le prestataire de service de certification, (" PSC "), est défini par les textes européens et Français comme toute personne physique ou morale qui délivre des certificats ou fournit d’autres services liés aux signatures électroniques.

Le PSC a notamment pour mission de collecter des informations relatives à l’identité et à la qualité de l’émetteur d’un message et d’émettre un certificat garantissant au destinataire le lien entre le message, la signature qui lui est présentée et l’identité de l’émetteur.

Le PSC est donc un acteur fondamental de la confiance dans le domaine de la signature électronique.

Les conditions précises dans lesquelles ce dernier peut voir sa responsabilité engagée restent cependant à ce jour délicates à cerner.

En effet, la directive 1999/93/CE relative à " un cadre communautaire pour les signatures électroniques " établit les différentes hypothèses dans lesquelles les PSC pourraient voir leur responsabilité engagée, mais rien de tel n’existe pour l’heure dans le dispositif législatif français.

La question devrait être traitée dans la Loi sur la Société de l’Information dont le projet, en son état, instaure une présomption de responsabilité à la charge des PSC.

Les professionnels qui souhaitent exploiter des solutions de signature électronique se retrouvent donc aujourd’hui face à une incertitude en ce qui concerne la nature exacte des responsabilités qu’ils devront endosser.

Quelles seront en effet les conséquences d’un manquement du PSC qui le conduirait à avaliser une signature falsifiée ?

Quelle sera l’étendue de sa couverture en cas de préjudice ?

Les textes actuels ne font aucune distinction entre les différents types de PSC : autorité d’enregistrement, opérateur de certification ou autorité de certification.

Y aura t-il en effet un régime de responsabilité unique ou au contraire des responsabilités différentes selon que les prestataires interviendront en qualité d’autorité d’enregistrement ou en qualité d’autorité de certification ?

Le droit commun de la responsabilité nous apporte d’ores et déjà certaines réponses.

Concernant tout d’abord la responsabilité contractuelle des PSC, il semble que de nombreuses difficultés puissent être réglées dans les termes du contrat entre le client et les PSC.

Il conviendra toutefois que les PSC soient particulièrement attentifs aux clauses limitatives ou élusives de responsabilité, qu’ils souhaiteraient insérer dans les contrats les liant à des non-professionnels.

Il existe en effet un risque que de telles clauses soient considérées comme des clauses abusives et soient de ce fait réputées non écrites.

Il conviendra également, dans l’hypothèse où la fonction d’autorité de certification et d’autorité d’enregistrement seraient exercées par deux entités différentes, que les prestataires concernés prennent soin de définir par contrat les responsabilités qui leur incombent respectivement.

Sur le terrain délictuel, les PSC pourront voir leur responsabilité engagée par un tiers qui s’est fié à leurs services, sur le fondement des articles 1382 et 1383 du Code Civil. La responsabilité délictuelle du PSC pourrait par exemple être engagée dans l’hypothèse où celui-ci aurait omis d’enregistrer la révocation d’un certificat en temps voulu ou aurait procédé à des vérifications insuffisantes quant à l’identité du signataire, causant ainsi un dommage au tiers qui, de bonne foi, se sera engagé sur un document invalide ou falsifié.

Les textes sur la responsabilité des PSC ne sont pas près de voir le jour, et, dans leur rédaction actuelle, ils sont d’une portée incertaine. Nous ne saurions trop recommander d’en rester aux bons vieux principes de la responsabilité civile contractuelle et délictuelle qui ont, au moins, le mérite de la stabilité et de la prévisibilité juridique ...

Isabelle Védrines
Avocat
Isabelle Renard
Avocat associée
AUGUST & DEBOUZY