7 août 2026
Introduction
La signature électronique sécurisée est une notion précise du droit fédéral canadien. Elle ne désigne pas toute signature électronique dotée d’une mesure de sécurité, et elle ne constitue pas un niveau général à appliquer automatiquement à tous les contrats.
La LPRPDE définit cette signature par renvoi à une technologie ou à un procédé réglementaire. Le Règlement sur les signatures électroniques sécurisées (DORS/2005-30) décrit ensuite les opérations cryptographiques et les vérifications qui produisent le résultat visé.
Pour décider si cette méthode convient à un document, une équipe doit d’abord confirmer que le cadre fédéral concerné l’appelle ou la permet. Elle peut ensuite vérifier le procédé, le certificat et les éléments de preuve, sans déduire l’effet juridique du seul nom de la technologie.
La définition fédérale et son champ d’application
Le paragraphe 31(1) de la LPRPDE définit la signature électronique sécurisée comme une signature électronique résultant de l’application d’une technologie ou d’un procédé prévu par règlement pris en vertu du paragraphe 48(1).
Cette définition se trouve dans la partie 2 de la LPRPDE, consacrée aux documents électroniques. Elle doit donc être lue dans ce contexte. Le fait qu’un procédé corresponde à la définition ne signifie pas que chaque document canadien doit l’utiliser, ni qu’il satisfait automatiquement toute exigence de forme ou toute règle provinciale.
La fiche de décision devrait nommer la disposition fédérale pertinente, le document visé et la raison pour laquelle une signature électronique sécurisée est envisagée. Sans ce rattachement, l’expression risque de devenir une simple étiquette commerciale.
Le procédé prescrit par DORS/2005-30
L’article 2 du règlement décrit une signature numérique issue d’opérations consécutives. En résumé, une fonction de hachage produit un condensé du document, la clé privée chiffre ce condensé, puis le document et le condensé chiffré sont transmis avec un certificat de signature numérique ou un moyen d’y accéder.
À la réception, la clé publique du certificat permet de déchiffrer le condensé. Le système calcule aussi un nouveau condensé à partir du document reçu, compare les deux résultats et vérifie la validité du certificat selon le règlement.
Cette chaîne est plus exigeante qu’une image de signature ou qu’un nom tapé dans un champ. L’apparence visuelle n’établit pas que les opérations réglementaires ont été réalisées.
Ce que l’équipe doit vérifier avant l’envoi
La vérification commence par la version exacte du document. Son identifiant et son empreinte doivent correspondre à la version approuvée. Le dossier précise ensuite quel service ou composant exécute le procédé, quel certificat sera utilisé et comment son état sera validé.
L’identité du signataire et son pouvoir d’agir pour la partie concernée demeurent des contrôles distincts. Un certificat peut aider à relier une clé à son titulaire, mais il ne démontre pas nécessairement que cette personne avait l’autorisation de signer le document au nom d’une organisation.
Il faut également prévoir le traitement des échecs. Un certificat expiré ou révoqué, une comparaison de condensés non concluante ou une version différente devrait interrompre le flux et produire un résultat explicite, plutôt que d’être remplacé par une approbation manuelle non documentée.
Quels éléments conserver après la signature
Le dossier devrait permettre de reconstruire le contrôle sans dépendre de l’apparence du PDF. Selon le procédé utilisé, il peut comprendre :
- le fichier signé dans sa version originale;
- l’identifiant du flux et des participants;
- le certificat ou les renseignements permettant d’y accéder;
- le résultat de la validation et les données de révocation disponibles;
- les événements et moments pertinents du processus;
- la règle interne ou la disposition qui justifiait la méthode.
La durée de conservation dépend du document et des obligations applicables. Elle ne découle pas uniquement de la qualification « sécurisée ».
Ne pas confondre les catégories fédérale, québécoise et européenne
La signature électronique sécurisée fédérale n’est pas l’équivalent canadien automatique d’une signature électronique qualifiée au sens d’eIDAS. La QES repose sur ses propres exigences européennes, notamment un dispositif qualifié et un certificat qualifié.
Le Québec pose aussi un cadre différent. Pour un document technologique, l’intégrité du document et le maintien du lien entre la signature et le document sont des éléments importants de l’analyse. Un flux qui touche plusieurs régimes devrait conserver une conclusion par régime, sans convertir une catégorie dans une autre.
Nota Sign prend en charge un flux configuré pour la signature électronique sécurisée retenue et associe le document au certificat, aux événements et aux preuves disponibles. L’équipe applique ensuite au document la décision juridique consignée dans sa fiche. Pour mettre la méthode en production, configurez votre parcours avec Nota Sign.
