Pour la signature électronique en assurance, le règlement eIDAS distingue trois niveaux : simple, avancée et qualifiée. Tous ont une valeur juridique, mais seule la qualifiée équivaut à une signature manuscrite et bénéficie d'une présomption de fiabilité. Le bon niveau dépend de l'enjeu de l'acte et du risque de contestation, pas du produit.
Prenons un cas d'école, celui d'un litige successoral. Une modification de clause bénéficiaire d'un contrat d'assurance vie important a été validée par un simple clic sur un lien reçu par courriel. Les héritiers écartés contestent la signature. Si le cabinet ne peut produire ni l'identification du signataire, ni la preuve que le document n'a pas été modifié, il découvre, trop tard, la différence entre les niveaux.
DDA 15, le spécialiste de la formation DDA, traite la signature électronique dans le module de vente à distance de son tronc commun. Cet article appartient à notre série sur la distribution à distance, que nous abordons aussi dans notre article sur la vente à distance et le droit de renonciation.
Une signature électronique a-t-elle une valeur juridique ?
Oui, et c'est le premier point à rappeler à un client inquiet.
En droit français, l'article 1366 du code civil prévoit que l'écrit électronique a la même force probante que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité. L'article 1367 précise que la signature électronique consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte auquel elle s'attache.
Au niveau européen, le règlement (UE) n° 910/2014 du 23 juillet 2014, dit règlement eIDAS, pose un principe de non-discrimination à son article 25, paragraphe 1 : l'effet juridique et la recevabilité d'une signature électronique comme preuve en justice ne peuvent être refusés au seul motif qu'elle se présente sous forme électronique ou qu'elle ne satisfait pas aux exigences de la signature électronique qualifiée.
Autrement dit, même la signature la plus simple existe juridiquement. La vraie question n'est donc pas « est-elle valable ? », mais « pourrai-je prouver qui a signé, et que le document n'a pas changé ? ».
Quels sont les trois niveaux eIDAS ?
La signature électronique simple
L'article 3, point 10 du règlement la définit comme des données sous forme électronique, jointes ou associées logiquement à d'autres données sous forme électronique, et que le signataire utilise pour signer.
Aucune exigence technique n'est posée. Une case cochée, un clic sur un bouton « j'accepte », un code reçu par message et saisi dans un formulaire peuvent constituer une signature électronique simple. Elle existe, mais elle est fragile : en cas de contestation, c'est à celui qui s'en prévaut de démontrer sa fiabilité.
La signature électronique avancée
L'article 26 du règlement fixe quatre exigences cumulatives. Une signature avancée doit :
- être liée au signataire de manière univoque ;
- permettre d'identifier le signataire ;
- avoir été créée à l'aide de données de création de signature électronique que le signataire peut, avec un niveau de confiance élevé, utiliser sous son contrôle exclusif ;
- être liée aux données associées de telle sorte que toute modification ultérieure des données soit détectable.
Depuis le règlement (UE) 2024/1183 du 11 avril 2024, ces quatre exigences figurent au paragraphe 1 de l'article 26, auquel un paragraphe 2 a été ajouté.
La signature électronique qualifiée
L'article 3, point 12 la définit comme une signature électronique avancée, créée à l'aide d'un dispositif de création de signature électronique qualifié, et reposant sur un certificat qualifié de signature électronique.
L'article 25, paragraphe 2 en tire l'effet principal : l'effet juridique d'une signature électronique qualifiée est équivalent à celui d'une signature manuscrite.
En droit français, le décret n° 2017-1416 du 28 septembre 2017 précise que la fiabilité d'un procédé de signature électronique est présumée, jusqu'à preuve du contraire, lorsque ce procédé met en œuvre une signature électronique qualifiée.
| Niveau | Exigences | Effet juridique | Charge de la preuve en cas de contestation |
|---|---|---|---|
| Simple | Aucune exigence technique | Recevable en justice, non discriminée | Celui qui s'en prévaut doit démontrer la fiabilité |
| Avancée | Quatre exigences de l'article 26 | Recevable, force probante renforcée par le dossier de preuve | Démonstration facilitée par l'identification et l'intégrité |
| Qualifiée | Avancée + dispositif qualifié + certificat qualifié | Équivalente à la signature manuscrite | Fiabilité présumée jusqu'à preuve du contraire |
Trois confusions à éviter
« Conforme eIDAS » ne veut pas dire « qualifié ». Le règlement couvre les trois niveaux. Une plaquette qui annonce la conformité ne dit rien du niveau fourni. Demandez-le par écrit, service par service.
Une image de signature n'est pas une signature électronique fiable. Une signature scannée collée dans un fichier n'est ni liée de façon univoque au signataire, ni protégée contre la modification. Elle ne satisfait aucune des exigences de la signature avancée.
Un code reçu par SMS ne fait pas, à lui seul, une signature avancée. Il prouve l'accès à un téléphone à un moment donné. Il ne prouve ni le contrôle exclusif d'un moyen de signature, ni l'intégrité du document signé. Il peut faire partie d'un dispositif avancé, mais il ne suffit pas à le constituer.
À retenir
- Toute signature électronique a une valeur juridique : la question est ce que vous pourrez prouver.
- La signature avancée repose sur quatre exigences cumulatives : lien univoque, identification, contrôle exclusif, détection des modifications.
- Seule la signature qualifiée équivaut à la manuscrite et bénéficie d'une présomption de fiabilité.
- Le niveau se choisit selon le litige probable, pas selon le produit.
- Le dossier de preuve se conserve chez vous, quel que soit le niveau retenu.
Ces notions sont travaillées dans le tronc commun de la formation DDA de 15 heures, avec des cas de cabinet.
Signature électronique en assurance : quel niveau pour quel acte ?
Aucun texte n'impose un niveau eIDAS pour un contrat d'assurance en particulier. Le choix relève donc de votre analyse du risque. Une seule question guide cette analyse : si ce document est contesté dans cinq ans, que devrai-je prouver, et devant qui ?
Trois critères aident à y répondre :
- l'enjeu financier de l'acte ;
- la probabilité de contestation, souvent liée à la durée de l'engagement et à la présence de tiers intéressés, comme des héritiers ;
- la difficulté d'identifier le signataire à distance.
Une grille d'arbitrage
La grille suivante n'est prescrite par aucun texte. C'est une méthode d'arbitrage du risque, à adapter et à écrire dans votre procédure interne, avec les seuils que vous retenez.
| Type d'acte | Enjeu et risque de contestation | Niveau raisonnable |
|---|---|---|
| Demande d'attestation, mise à jour d'adresse, accord de rendez-vous | Faible enjeu, acte réversible, rarement contesté | Simple |
| Souscription d'un contrat de dommages, avenant courant | Enjeu modéré, cœur de l'activité | Avancée |
| Mandat de courtage, lettre de mission, questionnaire de risque | Enjeu de responsabilité, preuve du conseil | Avancée |
| Désignation ou modification d'une clause bénéficiaire | Enjeu patrimonial élevé, contestation par des tiers après décès | Qualifiée |
| Arbitrage important, rachat, renonciation à un droit | Effet difficilement réversible | Avancée renforcée ou qualifiée |
Un parcours uniforme est le pire des deux mondes
Calé sur le niveau le plus élevé, il coûte cher et alourdit des actes anodins. Calé sur le plus faible, il protège mal les actes sensibles. Segmentez votre portefeuille d'actes. Le surcoût unitaire d'une signature qualifiée se compare en une minute au coût d'un contentieux perdu sur un dossier patrimonial.
Le niveau ne vaut que ce que vaut l'identification
Un procédé avancé alimenté par une simple adresse électronique déclarée prouve peu de chose sur l'identité réelle du signataire. Interrogez votre prestataire sur trois points :
- Comment le signataire est-il identifié ? Vérification d'une pièce d'identité, face à face à distance, identité numérique ?
- Comment garantissez-vous qu'il contrôle seul le moyen de signature ?
- Comment détectez-vous une modification du document après signature ?
Notez les réponses et conservez-les. Elles font partie de votre dossier de preuve.
Que contient un dossier de preuve, et où le conserver ?
Quel que soit le niveau, le document signé seul ne suffit pas. Ce qui vous protège est le dossier de preuve qui l'accompagne. Il comprend généralement :
- l'identifiant unique de la transaction ;
- l'horodatage de chaque étape ;
- les éléments d'identification du signataire ;
- les traces de session : adresse, terminal, étapes franchies ;
- la version exacte du document signé ;
- le certificat utilisé, pour une signature avancée ou qualifiée.
Exigez que ce dossier vous soit remis, ou exportable, et stockez-le chez vous, rattaché au dossier client. Si le prestataire disparaît ou si vous changez d'outil, c'est cette pièce qui restera.
Stocker n'est pas archiver
Stocker, c'est poser un fichier quelque part. Archiver à valeur probatoire, c'est pouvoir démontrer que le document est bien celui d'origine, qu'il n'a pas été modifié et qu'il est resté lisible.
Le décret n° 2016-1673 du 5 décembre 2016 relatif à la fiabilité des copies, pris pour l'application de l'article 1379 du code civil, décrit les conditions dans lesquelles une copie électronique est présumée fiable : informations identifiant la copie et sa date, empreinte électronique permettant de détecter toute modification, conservation évitant toute altération, traçabilité des opérations de migration. L'intégrité est notamment présumée lorsque l'empreinte est protégée par un horodatage qualifié, un cachet électronique qualifié ou une signature électronique qualifiée.
Trois questions suffisent à qualifier un prestataire d'archivage : comment l'empreinte de chaque document est-elle scellée, et par quel service qualifié ? Que se passe-t-il lors des migrations de format, et comment sont-elles tracées ? Que puis-je récupérer, dans quel format, si je résilie demain ?
Ni trop court, ni trop long
L'archivage se dimensionne sur la durée du risque, pas sur la durée du contrat : un contrat résilié depuis trois ans peut encore faire l'objet d'une réclamation, et un contrat d'assurance vie peut être contesté longtemps après le décès de l'assuré. À l'inverse, conserver indéfiniment n'est pas une solution : le RGPD impose de limiter la durée de conservation à ce qui est nécessaire. Écrivez vos durées par type de document, purgez à l'échéance, et gardez la trace de la purge. Notre article sur le RGPD en cabinet d'assurance détaille les durées applicables.
Quelques situations fréquentes en cabinet
Deux co-souscripteurs. Chaque signataire doit être identifié séparément et signer avec son propre moyen de signature. Un seul lien partagé par un couple, validé depuis le même téléphone, ne permet pas de démontrer que chacun a consenti. Paramétrez un circuit à deux signataires.
Un client qui signe pour une société. Vérifiez, avant l'envoi, que la personne dispose du pouvoir d'engager la société : extrait d'immatriculation, délégation de pouvoir. La signature électronique prouve qui a signé, pas que le signataire avait qualité pour le faire.
Un client âgé ou peu à l'aise avec le numérique. Ne lui imposez pas le parcours électronique : proposez une alternative sur papier, et n'accompagnez jamais la signature en prenant la main sur son appareil : c'est précisément ce qui fragiliserait la preuve de son consentement personnel.
Un document modifié après l'envoi. Si le contrat doit être corrigé, annulez la transaction en cours et envoyez un nouveau document. Ne remplacez jamais une page dans un fichier déjà envoyé : la détection des modifications, qui fait la valeur de la signature avancée, jouerait contre vous.
Un acte signé en agence sur une tablette. Le client est présent, mais la signature reste électronique. Les mêmes questions se posent : identification, intégrité du document, dossier de preuve rapatrié dans le dossier client.
Dans chacune de ces situations, la bonne pratique est la même : écrire la règle une fois dans votre procédure, puis l'appliquer à tous les dossiers.
Comment vérifier qu'un prestataire est vraiment qualifié ?
La qualification se vérifie, elle ne se présume pas. Les prestataires de services de confiance qualifiés figurent sur les listes de confiance que chaque État membre de l'Union européenne établit et publie en application du règlement eIDAS, ainsi que sur le portail de la Commission européenne qui les rassemble.
Point essentiel : la qualification vaut service par service, pas prestataire par prestataire. Un même prestataire peut proposer une signature qualifiée et une signature avancée non qualifiée. Vérifiez que le service que vous utilisez, et non seulement l'entreprise, figure sur la liste. Redemandez le document attestant du périmètre de la qualification à chaque renouvellement de contrat.
Et l'identité numérique européenne ?
Le règlement (UE) 2024/1183 du 11 avril 2024 a modifié le règlement eIDAS pour créer le cadre européen relatif à une identité numérique, avec notamment un portefeuille européen d'identité numérique et de nouveaux services de confiance, dont l'archivage électronique qualifié.
Ses échéances d'application courent à compter de l'entrée en vigueur d'actes d'exécution, et non d'une date calendaire fixe. Suivez le sujet avec votre prestataire, sans retenir d'échéance précise tant qu'elle n'est pas confirmée. Vos trois niveaux de signature, eux, ne changent pas.
Signature électronique et sécurité du cabinet
Une signature électronique protège la preuve de l'engagement. Elle ne protège pas contre une messagerie compromise ou une demande frauduleuse de changement de coordonnées bancaires. Un lien de signature envoyé à une adresse piratée sera signé par le fraudeur, pas par votre client.
Deux réflexes complètent donc utilement votre dispositif : vérifier l'adresse et le numéro du client par un canal connu avant d'envoyer un acte sensible, et ne jamais valider une modification de coordonnées bancaires par le canal qui l'a demandée. Nous détaillons ce second point dans notre article sur la fraude au changement de RIB.
Une signature ne prouve pas le conseil
Un dernier point mérite d'être souligné, parce qu'il est souvent mal compris. La signature électronique prouve qu'une personne identifiée a approuvé un document à un moment donné. Elle ne prouve pas que ce document était adapté, ni que le client a été éclairé sur son contenu.
Le devoir de conseil de l'article L. 521-4 du code des assurances impose de préciser par écrit les exigences et les besoins du client, puis de motiver la proposition. Si le parcours en ligne fait signer un contrat sans recueil préalable des besoins, la signature la plus qualifiée du monde ne comblera pas ce manque : elle prouvera seulement que le client a signé un contrat dont le conseil n'est pas documenté.
L'ordre compte donc autant que le niveau : recueil des besoins, remise des documents d'information, conseil motivé, puis signature. Et le rapport de conseil lui-même mérite d'être signé avec le même soin que le contrat, puisqu'il est la première pièce qu'un juge ou un contrôleur demandera.
Une procédure en cinq lignes pour votre cabinet
- Cartographiez vos actes signés à distance et attribuez à chacun un niveau, selon la grille retenue.
- Obtenez de votre prestataire, par écrit, le niveau réel de chaque service et la preuve de la qualification lorsqu'elle est annoncée.
- Vérifiez la méthode d'identification du signataire pour les actes avancés et qualifiés.
- Rapatriez le dossier de preuve de chaque signature dans votre dossier client.
- Archivez avec scellement, traçabilité des migrations et durée écrite, puis purgez à l'échéance.