Signature électronique qualifiée au Canada : comprendre la QES

Introduction

Une entreprise canadienne peut devoir utiliser une signature électronique qualifiée dans une opération européenne, mais cela ne signifie pas que le Canada possède une catégorie nationale équivalente appelée « signature qualifiée ». Le terme QES, ou signature électronique qualifiée, appartient au cadre eIDAS de l’Union européenne.

Au Canada, les catégories et les critères diffèrent selon le régime applicable. Le droit fédéral prévoit notamment une « signature électronique sécurisée » dans un champ déterminé, tandis que le Québec mise sur la fonction de la signature, l’intégrité du document technologique et le maintien du lien entre la signature et le document.

Pour un contrat Canada–Union européenne, l’enjeu est donc terminologique et opérationnel : déterminer quelle règle vise chaque usage, choisir la méthode correspondante et conserver les preuves sans déclarer d’équivalence automatique entre des catégories distinctes.

Ce qu’est une signature électronique qualifiée

Le règlement eIDAS définit la signature électronique qualifiée comme une signature électronique avancée créée au moyen d’un dispositif de création de signature qualifié et fondée sur un certificat qualifié.

L’article 25 prévoit qu’une QES a un effet juridique équivalent à celui d’une signature manuscrite dans l’Union européenne. Il prévoit aussi qu’une autre signature électronique ne peut se voir refuser un effet juridique ou sa recevabilité comme preuve au seul motif qu’elle est électronique ou qu’elle ne répond pas aux exigences de la QES.

Ces règles doivent être lues dans leur contexte. Une QES est une catégorie juridique et technique de l’Union européenne. Elle ne devient pas une catégorie canadienne simplement parce qu’une partie canadienne l’utilise.

Le dossier du contrat devrait identifier le prestataire de services de confiance, le certificat qualifié, le dispositif ou le service de création utilisé, le résultat de validation et la liste de confiance pertinente. Le seul libellé « qualifiée » dans une interface ou un rapport n’est pas une preuve suffisante du statut.

Ce que le Canada appelle une signature électronique sécurisée

La partie 2 de la Loi sur la protection des renseignements personnels et les documents électroniques définit la signature électronique sécurisée par renvoi à un procédé prescrit. Le Règlement sur les signatures électroniques sécurisées décrit une signature numérique produite par une suite d’opérations comprenant une fonction de hachage, une paire de clés et un certificat.

Ce terme ne correspond pas à la QES européenne. Le régime fédéral canadien ne reprend ni le certificat qualifié, ni le prestataire qualifié, ni le dispositif qualifié comme catégories eIDAS.

Il faut également éviter d’étendre le règlement fédéral à tous les contrats commerciaux privés. Son champ est lié au régime fédéral des documents électroniques et aux dispositions auxquelles celui-ci s’applique. Une organisation devrait citer la disposition pertinente plutôt que supposer que l’expression « sécurisée » règle à elle seule l’analyse.

L’approche québécoise ne crée pas une catégorie QES

Au Québec, l’article 39 de la Loi concernant le cadre juridique des technologies de l’information prévoit qu’une signature peut être apposée par tout procédé satisfaisant aux exigences de l’article 2827 du Code civil du Québec.

Pour un document technologique, l’intégrité doit être assurée et le lien entre la signature et le document doit être établi au moment de la signature puis maintenu. Le cadre québécois n’établit pas une échelle identique aux catégories eIDAS AES et QES.

Une QES peut néanmoins être une méthode techniquement pertinente dans un processus impliquant une entreprise québécoise et un usage européen. Dans ce cas, son statut européen et sa valeur dans le cadre canadien doivent être analysés séparément.

Quand une organisation canadienne peut choisir une QES

Une QES peut être envisagée lorsqu’un document doit produire des effets dans l’Union européenne, qu’une règle applicable ou une politique de la contrepartie l’exige, ou que les parties choisissent ce niveau d’assurance pour un risque particulier.

La décision devrait partir du contrat :

• Quel document est signé et dans quel but?
• Quelle loi gouverne l’accord?
• Où le document devra-t-il être présenté ou exécuté?
• Une exigence de forme ou une règle sectorielle vise-t-elle l’une des parties?
• Le signataire canadien peut-il obtenir et utiliser la QES prévue?
• Le processus permettra-t-il de valider le certificat et le prestataire?
• Quelle preuve devra rester accessible pendant la durée utile?

La résidence d’une partie ne suffit pas à elle seule à attribuer une règle à chaque signature. La clause de droit applicable, les règles impératives, le type de document et le lieu d’utilisation peuvent tous être pertinents.

Construire une table de correspondance sans créer d’équivalence

Une table de décision aide à empêcher les glissements terminologiques :

La table ne traduit pas un terme en un autre. Elle indique plutôt quelle catégorie est évaluée, quelle source la définit et quelle preuve soutient la conclusion.

Dans le contrat et la documentation, il est préférable d’écrire « QES au sens du règlement eIDAS » ou « signature électronique sécurisée au sens du régime fédéral cité » que d’utiliser le mot « qualifiée » sans référence.

Vérifier le certificat et le contexte de validation

Une vérification de QES ne se limite pas à ouvrir le PDF et à constater une coche verte. Le dossier devrait préciser :

• la version exacte du document;
• l’identité indiquée dans le certificat;
• l’émetteur et son statut de prestataire qualifié;
• la validité du certificat au moment pertinent;
• l’intégrité des données signées;
• la présence et la nature des données temporelles;
• le résultat et la date de la validation;
• les avertissements ou limites de l’outil.

Pour une signature canadienne fondée sur un certificat, les contrôles techniques peuvent être comparables — identité, chaîne, révocation, intégrité — sans que la catégorie juridique devienne pour autant une QES.

Les pouvoirs de représentation demeurent un contrôle distinct. Un certificat identifie son titulaire selon les attributs qu’il contient, mais il ne confirme pas nécessairement que cette personne peut engager l’entreprise dans l’opération.

Configurer le processus et conserver les preuves

Avant la signature, associez chaque signataire à la méthode prévue et à la version finale. Les résultats de validation devraient rester séparés par signature, même si les parties signent le même document.

Le dossier de clôture peut réunir le contrat signé, les certificats ou références nécessaires, les résultats de validation, les événements du processus, la preuve des pouvoirs et la décision juridique qui explique le choix de la méthode.

Nota Sign prend en charge les parcours nationaux et transfrontaliers, y compris les flux QES configurés avec le prestataire et le certificat qualifiés retenus. L’organisation valide le statut européen de la méthode et son traitement dans le dossier canadien. Pour cadrer ce choix, faites évaluer votre processus Canada–UE dans Nota Sign.