Signature qualifiée eIDAS : vérifier une QES dans un flux Canada-UE

Introduction

Une signature électronique qualifiée (QES) appartient au cadre européen eIDAS. Pour une organisation canadienne qui signe avec une partie de l’Union européenne, elle ne devient pas une « signature canadienne plus forte » et ne crée pas une équivalence automatique entre les deux régimes.

Le dossier doit répondre à deux séries de questions. Du côté européen, il faut vérifier que la signature correspond réellement au niveau qualifié, que le certificat et le dispositif requis sont présents et que la validation produit un résultat exploitable. Du côté canadien, les exigences fédérales, québécoises ou sectorielles du document demeurent à analyser.

Une fiche Canada–Union européenne permet de relier ces décisions à une seule version du document. Elle distingue les règles applicables, la méthode de chaque signataire et la preuve qui restera disponible après la clôture.

Ce qui fait d’une signature une QES

Le règlement (UE) no 910/2014, appelé eIDAS, définit la QES comme une signature électronique avancée créée à l’aide d’un dispositif qualifié de création de signature électronique et fondée sur un certificat qualifié de signature électronique.

Les trois composantes doivent être examinées ensemble :

1. la signature satisfait aux exigences d’une signature électronique avancée;
2. elle est créée au moyen d’un dispositif qualifié;
3. elle repose sur un certificat qualifié.

Un certificat visible dans un fichier ne permet donc pas, à lui seul, de conclure à une QES. Le service, le dispositif et le résultat de validation doivent correspondre au niveau annoncé.

L’article 25, paragraphe 2, attribue à la QES un effet juridique équivalent à celui d’une signature manuscrite dans le cadre eIDAS. Cette règle ne résout pas automatiquement toutes les questions relatives au contrat, comme le pouvoir de représentation, le consentement, les formalités propres au document ou les règles impératives applicables.

Vérifier le certificat et le dispositif qualifiés

Avant l’envoi, l’équipe devrait identifier le prestataire de services de confiance, le titulaire du certificat et le service utilisé pour créer la signature. Le statut qualifié ne se déduit pas du nom commercial : il se vérifie dans les sources européennes appropriées, notamment les listes de confiance, selon le service et la date concernés.

Le contrôle du certificat porte notamment sur son émetteur, sa période de validité, son état et son rattachement au signataire. La vérification doit également couvrir le dispositif ou le service de création qualifié réellement utilisé dans le flux.

Une validation effectuée longtemps après la signature peut dépendre des renseignements conservés au moment de l’opération. Il est donc prudent d’enregistrer le résultat de validation, les renseignements de certificat et les données temporelles disponibles lors de la clôture, plutôt que de compter sur une vérification future sans contexte.

Ce que la reconnaissance européenne ne couvre pas au Canada

eIDAS prévoit la reconnaissance d’une QES fondée sur un certificat qualifié délivré dans un État membre comme QES dans les autres États membres. Le Canada ne fait pas partie de ce mécanisme de reconnaissance.

Au fédéral, il faut plutôt se reporter aux définitions de la partie 2 de la LPRPDE et à la suite d’opérations cryptographiques fixée par DORS/2005-30. Pour le Québec, le dossier doit démontrer l’intégrité du fichier et la continuité de son association avec la signature.

Ces catégories ne doivent pas être converties les unes dans les autres. Une QES peut constituer un élément important du dossier canadien, mais son effet dépend encore du document, du droit applicable, des parties et de toute exigence sectorielle ou contractuelle.

Constituer une preuve européenne exploitable

Pour le signataire européen, le dossier devrait conserver le fichier signé dans son format d’origine et les éléments permettant de comprendre la validation. Selon le service utilisé, cela peut comprendre :

• l’identité ou le pseudonyme indiqué dans le certificat;
• l’émetteur et l’identifiant du certificat;
• le statut qualifié du service pertinent;
• le résultat de validation et les renseignements d’état disponibles;
• le dispositif ou le service de création utilisé;
• les moments et événements pertinents du flux.

La durée et la méthode de conservation doivent être définies selon le document. Garder uniquement une copie rendue ou imprimée peut faire perdre les données nécessaires à la validation de la signature.

Le volet canadien conserve ses propres éléments de preuve et sa propre conclusion. Les deux volets se rejoignent par l’identifiant du document et du flux, pas par une déclaration d’équivalence.

Homologuer le flux avant son utilisation

La fiche d’homologation devrait nommer la version du document, les parties, le droit examiné, le niveau de signature de chaque participant, la preuve attendue et la personne responsable de la décision. Un changement de prestataire, de certificat, de document ou de règle applicable déclenche une nouvelle revue ciblée.

Nota Sign prend en charge les flux Canada–UE et les parcours QES configurés avec le prestataire, le dispositif et le certificat qualifiés sélectionnés. Le dossier conserve séparément la validation européenne et l’analyse canadienne, reliées à la même version. Pour cadrer l’intégration, planifiez votre flux Canada–UE avec Nota Sign.