Préparation du document
Pour pouvoir apposer sur un document une signature électronique, ce qui est généralement requis pour les saisies électroniques dans l’administration, il faut d’abord convertir le document dans un format approprié. En pratique, il s’agit généralement du format PDF, ou mieux, de sa version archivable PDF/A.
On utilise pour cela un programme tel que Print to PDF de Microsoft, les produits Microsoft Office, Libre Office (logiciel gratuit) ou l’un des nombreux programmes gratuits de conversion.
Pour les saisies électroniques des autorités, le format PDF/A (ISO 32000-x, ISO 19005-x, ISO 14289) n’est pas obligatoire mais recommandé, voire souhaité.
Les collaborateurs de l’administration fédérale créent généralement des documents PDF/A à l’aide de fonctions du système de gestion des affaires (GEVER) ou d’applications spécialisées.
Apposition de la signature
Un programme ou un service de signature est nécessaire pour apposer une signature électronique. Les programmes et services utilisés pour signer des documents PDF ne disposent souvent que d’une fonction « signature » (par défaut), parfois aussi d’une fonction « certification » (avec ou sans les options présentées ci-après). Selon les normes PDF, la signature en mode « certification » sert à garantir l’intégrité et l’origine d’un document. Elle ne peut être apposée sur le document qu’à titre de première signature ou de signature unique. Elle n’a toutefois pas la valeur juridique requise pour valider le contenu du document ou confirmer la déclaration de volonté du signataire. Dans l’administration fédérale, les services de signature ne permettent pas de signer en mode « certification ».
Remarque destinée aux officiers publics
Les programmes de signature qui disposent de la fonction « certification » proposent en général trois options :
option 1= il n’est plus possible de modifier ou d’ajouter d’autres signatures au document après la certification ;
option 2= il est uniquement possible d’ajouter des signatures en mode « signature » après la certification ;
option 3= il est uniquement possible d’ajouter des signatures en mode « signature » et des annotations après la certification.
Si un document est signé en mode « certification » avec l’option 1, il n’est pas possible, par exemple pour les actes électroniques, d’apposer la confirmation d’admission du registre des officiers publics sous la forme d’un cachet électronique réglementé sans casser ou invalider la signature qualifiée précédente de l’officier public. Des problèmes rencontrés dans ce contexte en 2022 ont conduit à une modification du logiciel Cygillum à partir de la version 1.06, de sorte que depuis le début 2023, les actes signés en mode « certification » sont refusés, quelle que soit l’option choisie.
Choix et obtention d'un certificat
Pour signer un document, il faut une clé de signature et le certificat correspondant. La loi sur la signature électronique (SCSE) connaît deux types de certificat réglementé, à savoir le certificat qualifié personnel et le cachet électronique réglementé pour les organisations. On préférera un certificat qualifié pour les signatures dans lesquelles il faut avoir toute confiance, qui doivent faire foi en toute circonstance et qui doivent répondre à l’exigence de forme écrite au sens des art. 12 à 14 du code des obligations (CO, RS 220).
Les collaborateurs de l’administration fédérale doivent demander des certificats à l’OFIT en passant par le fournisseur Swiss Government PKI (SG-PKI), reconnu conformément à la SCSE. Toutefois, SG-PKI ne délivre des certificats qu’à l’administration. Les personnes qui n’en font pas partie doivent commander leurs certificats auprès de l’un des trois prestataires de services de certification privés reconnus (pour plus d’information, voir l’offre du secteur privé).
Toute personne qui demande un certificat qualifié doit s’identifier personnellement selon des dispositions légales précises auprès du fournisseur de services de certification reconnu de son choix, en présentant un passeport ou une carte d’identité ou en s’identifiant au moyen d’une procédure vidéo réglée légalement. Les certificats qualifiés sont proposés soit localement sur une carte à puce, soit sous forme d’accès à un certificat qualifié déposé, ou généré à chaque fois, sur un service de signature à distance.
Si le droit applicable requiert une signature électronique valable dans l’espace européen, celle-ci doit être demandée à un fournisseur de services de certification également reconnu selon le règlement européen eIDAS. Dès lors, le service de signature à distance permet de choisir pour chaque signature si elle doit être effectuée au moyen d’un certificat réglementé ou qualifié selon le droit suisse ou le droit européen. Les trois fournisseurs reconnus proposent des certificats qualifiés conformes au droit européen.
Certificats locaux et carte à puce
Les certificats enregistrés sur une carte à puce font aujourd’hui office d’exceptions, étant donné qu’ils ne peuvent pas être utilisés sur des smartphones ou des tablettes. Il reste toutefois possible de les commander auprès des fournisseurs de services de certification reconnus selon la SCSE.
La signature avec un certificat local requiert des pilotes pour le lecteur de carte à puce (souvent une clé USB) et pour la carte à puce, ainsi qu’une application locale de signature, par exemple Adobe Acrobat Reader. L’application doit contenir un service d’horodatage pour que la signature qualifiée réponde aux exigences légales. Il est recommandé de se renseigner auprès du fournisseur pour savoir s’il faut installer des pilotes sur le système d’exploitation (Windows, Apple, Linux) et configurer un service d’horodatage.
Services de signature à distance
Tous les fournisseurs de services de certification reconnus proposent des services de signature à distance centralisés sur Internet. Ces services peuvent contenir des certificats pour une personne identifiée, ou générer pour chaque processus de signature un certificat de courte durée pour une personne identifiée par le système (la signature ainsi apposée reste valable).
Lors du processus de signature, la valeur de hachage (empreinte digitale du document) est signée au moyen de la clé de signature et du certificat correspondant enregistré sur le service à distance. Selon le service, il faut saisir un code PIN sur un smartphone en utilisant une application ou une mobile ID. La valeur de hachage signée est ensuite renvoyée à l’application de l’utilisateur qui dirige le processus et la signature ainsi générée est ajoutée au document. Une mobile ID peut être activée sur tous les smartphones au moyen d’une carte SIM d’un fournisseur de téléphonie mobile suisse.
Selon le service de signature à distance et l’application utilisés, deux cas de figure sont possibles.
- Le document à signer est téléchargé sur une application web qui gère l’ensemble du processus de signature et insère la signature dans le document. Le document signé est ensuite téléchargé ; ou
- une application de signature locale génère la valeur de hachage du document, qui est envoyée au service à distance, où elle est signée et renvoyée à l’application locale. Celle-ci ajoute la valeur de hachage signée au document, mais le document n’est transmis à aucun moment.
Lorsqu’un haut niveau de confidentialité est requis ou lorsque les règles déontologiques interdisent (par ex. aux avocats, notaires, fiduciaires, etc.) de télécharger des documents au contenu confidentiel sur une application web centrale, la signature peut être apposée soit au moyen d’un certificat local sur carte à puce et d’une application locale pour la signature, soit au moyen d’un service de signature à distance avec une application locale pour la signature, afin que le document ne soit jamais transmis.
