À propos de la directive E018

E018 – Utilisation et validation de signatures électroniques dans des documents PDF

La directive E018 s’applique uniquement aux autorités fédérales soumises à l’ordonnance sur les services numériques et la transformation numérique dans l’administration fédérale (ONum).
Pour obtenir la version actuelle de la directive E018, veuillez écrire à l’adresse info.dti@bk.admin.ch.

Points principaux de la directive E018 :

La loi fédérale sur la procédure administrative (PA, RS 172.021) s’applique aux décisions administratives. Pour les contrats et les conventions, il faut en outre observer le code des obligations (CO, RS 220). Par ailleurs, la loi sur la signature électronique (SCSE, RS 943.03) et l’ordonnance sur la communication électronique dans le cadre de procédures administratives (OCEl-PA, RS 172.021.2) s’appliquent dans tous les cas.
Les documents juridiquement contraignants, comme les accords et les conventions, qui sont transmis à des destinataires extérieurs à l’administration fédérale doivent dans toute la mesure du possible être munis d’une signature électronique qualifiée. Les décisions, tout comme les factures à caractère de décision, doivent obligatoirement être munies d’une signature qualifiée ou d’un cachet électronique réglementé.
Les règles régissant les signatures qui sont édictées par les secrétariats généraux et les unités administratives doivent être modifiées, en ce qui concerne les documents électroniques, de façon à préciser le type de signature (signature électronique qualifiée, signature électronique avancée munie d’un certificat de la classe B pour collaborateur, cachet électronique réglementé) requis en fonction du type de document.
Le certificat personnel (de classe B) délivré aux collaborateurs permet d’apposer une signature électronique sur les documents internes tels que rapports, propositions, décisions, procès-verbaux ou conventions, ainsi que sur tous les courriels. Ce type de signature ne répond cependant à aucune exigence ou prescription formelle. Il ne sert qu’à l’identification et à la conservation de preuves. Les signatures qualifiées sont nécessaires dans les cas où la forme écrite est une condition de validité exigée par la loi. C’est notamment le cas pour les documents du domaine du personnel relatif au début, à la modification ou à la fin de rapports de travail. Dans les systèmes GEVER, il est recommandé, dans la mesure du possible et du raisonnable, d’approuver ce type de documents au moyen de la fonction « Viser » au lieu d’apposer sa signature au moyen du certificat de classe B. Les informations sont alors enregistrées dans les métadonnées et non dans le document même.
La signature électronique est réservée au document définitif. Pour approuver et viser un document, il faut utiliser les fonctions (par ex. « workflow ») de l’application spécialisée concernée ou du système GEVER. L’apposition d’une signature électronique sur un document PDF entre surtout en ligne de compte lorsque la version définitive du document est extraite de l’application spécialisée ou du système GEVER, en particulier lorsque ce document est transmis à un destinataire extérieur à l’administration fédérale.
Avant d’apposer la signature, il faut convertir le document en un format aussi accessible (au moins lisible par ordinateur) et archivable que possible, et ce dans l’application dans laquelle il a été créé. Les décisions administratives doivent, dans la mesure du possible, être converties au format PDF/A-1a ou PDF/A-2a. L’utilisation des formats PDF/A-1b et PDF/A-2b, non accessibles, est à éviter.
Remarque : lorsqu’un collaborateur de l’administration fédérale sauvegarde un fichier au format PDF au moyen de la commande « Enregistrer sous... » de Microsoft Office, le paramétrage par défaut (ISO 1905-1) génère automatiquement un document au format PDF/A-1a. Il en va de même pour les documents numérisés au moyen des imprimantes du service.
Il faut toujours ajouter aux signatures l’information de validation à long terme (LTV) et un horodatage qualifié ; il n’est donc pas possible de signer un document hors connexion.
La signature électronique des documents PDF peut être visible ou invisible. La signature visible équivaut à l’apposition d’un timbre attestant que le document a été signé par voie électronique.
Le document affiché à l’écran conserve ainsi une trace visible permettant de déterminer si (au départ) il a été signé ou non de façon électronique. La signature visible est obligatoire pour tout document transmis à un destinataire extérieur à l’administration fédérale. Elle est recommandée dans tous les autres cas.
La directive E018 définit les exigences auxquelles la forme visible de la signature électronique doit satisfaire, les symboles à utiliser et les éléments textuels des données structurées issues de la signature et du certificat qu’elle recouvre.
Remarque : en dehors des réseaux de l’administration, l’utilisation du logiciel Adobe Acrobat Reader, qui permet d’afficher les signatures électroniques et de les vérifier techniquement, ne va pas de soi. La forme visible permet alors aux destinataires de constater la présence d’une signature électronique.
Un document officiel doit contenir, en plus de la forme visible des signatures qu’il contient, des informations permettant de vérifier son authenticité au moyen du validateur de la Confédération. Il est possible d’ajouter une remarque sur le document ou un renvoi à la page de démarrage de ce site Internet, à côté de la signature électronique.
Depuis la mise en œuvre généralisée des services de signature version 2.0, en août 2021, la signature de documents PDF dans l’administration fédérale passe obligatoirement par les services de signature sur serveur, à partir du système GEVER ou d’une application spécialisée, ou par DesktopSigner, produit installé dans chaque poste de travail.
Les formulaires PDF doivent être complétés avec le logiciel Adobe Acrobat Reader (version originale). Ils doivent être signés avec DesktopSigner.
Les autorités fédérales soumises à l’ONum doivent se procurer les certificats de signature qualifiés nécessaires, de même que les cachets électroniques au nom de l’organisation et tous les autres certificats de la Swiss Government PKI, auprès du fournisseur de prestations qu’est l’Office fédéral de l’informatique et de la télécommunication. La Swiss Government PKI ne délivre de certificats ni aux particuliers ni aux organisations.