Marie-Gabrielle Pic

SOMMAIRE

1. La valeur juridique de la signature électronique en France
2. Le règlement européen eIDAS 
3. Les différents niveaux de sécurité de la signature électronique 

La valeur juridique de la signature électronique en France

En France, la valeur juridique de la signature électronique est établie par l’article 1367 du Code Civil. Il définit la signature électronique de la manière suivante: « La signature nécessaire à la perfection d’un acte juridique identifie celui qui l’appose. Elle manifeste le consentement des parties aux obligations qui découlent de cet acte. Quand elle est apposée par un officier public, elle confère l’authenticité à l’acte. Lorsqu’elle est électronique, elle consiste en l’usage d’un procédé fiable d’identification garantissant son lien avec l’acte auquel elle s’attache. La fiabilité de ce procédé est présumée, jusqu’à preuve contraire, lorsque la signature électronique est créée, l’identité du signataire assurée et l’intégrité de l’acte garantie, dans des conditions fixées par décret en Conseil d’Etat ».

En résumé, le Code Civil considère un procédé numérique comme signature électronique « l’usage d’un procédé fiable d’identification garantissant son lien avec l’acte auquel il s’attache ». Le Code Civil ne fait aucune différence de fond entre une signature manuscrite et une signature électronique, tant que cette dernière permet:

1. D’identifier son auteur et le signataire
2. Afficher le consentement du ou des signataires
3. Faire le lien entre le document signé et la ou les personnes physiques.

Si la loi française encadre l’utilisation de la signature de cette façon, c’est parce que l’Union européenne a légiféré sur le sujet et établi un socle commun pour sécuriser les interactions électroniques entre les citoyens, les entreprises et les autorités publiques.

Le règlement européen eIDAS sur la signature électronique

En 2014, les pays membres de l’Union européenne ont voté le règlement (UE) n°910/2014 du Parlement européen et du Conseil du 23 juillet 2014 relatif à “l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur”. Ce règlement a abrogé la directive en place depuis 1999 et contraint les Etats membres de l’Union européenne à préciser et renforcer les conditions de validité de la signature électronique. Pour se conformer au règlement européen, plus connu sous le nom de “eIDAS”, la France a donc instauré le décret n°2017-1417 du 28 septembre 2017 relatif à la signature électronique.

L’article 1 de ce Décret dispose : « La fiabilité d’un procédé de signature électronique est présumée, jusqu’à preuve du contraire, lorsque ce procédé met en œuvre une signature électronique qualifiée. Est une signature électronique qualifiée une signature électronique avancée, conforme à l’article 26 du règlement susvisé et créée à l’aide d’un dispositif de création de signature électronique qualifié répondant aux exigences de l’article 29 dudit règlement, qui repose sur un certificat qualifié de signature électronique répondant aux exigences de l’article 28 de ce règlement ».

En clair, ce décret précise les critères exigés pour assurer une fiabilité, une sécurité et une reconnaissance légale maximum de la signature électronique dans l’Union européenne. Une signature électronique dite “avancée” se rapproche le plus des exigences de sécurité préconisées par le règlement eIDAS. Il définit trois types de signatures électroniques.

Les différentes catégories de signatures électroniques

Le règlement eIDAS distingue plusieurs types de signatures électroniques et plusieurs niveaux de sécurité: la signature électronique simple, avancée ou qualifiée. Selon ce règlement, la signature électronique correspond à « des données sous forme électronique, qui sont jointes ou associées logiquement à d’autres données sous forme électronique et que le signataire utilise pour signer ». Afin d’assurer un maximum de sécurité, la signature doit idéalement respecter les normes de signature ETSI (Institut européen des normes de télécommunications) et du Règlement eIDAS.

Elle doit aussi faire l’usage d’un certificat électronique, inclure un moyen de vérifier l’identité du signataire et de prouver que le document n’a pas été modifié après signature. Pour cela, il est recommandé de faire appel à un tiers de confiance et une autorité de certification reconnue pour réaliser ses signatures électroniques.

La liste des autorités de certification européennes qualifiées est consultable sur le site de la Commission européenne. Ce qui différencie les trois types de signatures, c’est donc le niveau de sécurité obtenu grâce aux critères cités précédemment et aux multiples étapes mises en place pour valider l’identité du signataire. En sommes, plus il y a de preuves sur l’identité de la personne signataire et de preuves que le document signé est bien celui adressé, plus la signature sera forte.

La signature électronique simple

C’est le type de signature correspondant au premier stade de sécurité et de reconnaissance légale pour la signature de documents. A ce jour, la majorité des signatures électroniques sont “simples” car considérées plus adaptées et permettant un usage rapide. Par exemple, les signatures manuscrites scannées ou les signatures réalisées sur la bornes des livreurs qui vous apportent vos colis sont des signatures simples. Il faut savoir qu’il n’existe pas encore de liste faisant référence aux exigences liées à ce modèle de signature.

Il n’y a pas vraiment de processus préétabli pour vérifier l’identité ou le consentement du signataire. Cela signifie qu’il pourra facilement nier avoir signé le document. Cependant, il est possible de rajouter une étape d’authentification pour renforcer la sécurité de la signature et acquérir une valeur légale plus importante. Par exemple, l’envoie d’un code par SMS nécessaire à la signature du document peut être une solution. De même, la constitution d’un dossier de preuves retraçant les étapes d’authentification du signataire est une solution pour apporter un niveau de crédibilité supérieur en cas de contestation de la signature. Ce dossier peut contenir l’adresse e-mail du signataire, son numéro de téléphone, son adresse IP…

La signature électronique avancée

Le niveau “avancé” repose quant à lui sur des moyens d’identification plus poussés et doit répondre à des critères de vérification d’identité plus strictes. La signature doit:

• Être liée au signataire de manière univoque;
• Permettre d’identifier le signataire:
• Avoir été créé à l’aide de données de création de signature électronique que le signataire peut, avec un niveau de confiance élevé, utiliser sous son contrôle exclusif;
• Être liée aux données qui lui sont associées de telle sorte que toute modification ultérieure des données soit détectable.

Par conséquent, la signature avancée est plus sécurisée et est recommandée dans le cadre de signatures de documents à enjeux juridiques importants. Pour répondre aux critères cités précédemment, il est possible de mettre un place un système de téléchargement et de vérification de la pièce d’identité du signataire, et de l’ajouter dans un dossier de preuves.

Il existe d’autres façons de renforcer la preuve du consentement du signataire: ajout d’une case à cocher attestant de la bonne compréhension du document, texte à recopier…Cela ne fera que renforcer la preuve d’implication du signataire dans la signature du document en cas de litiges. Autrement, il est possible de générer un certificat qualifié. Cette procédure nécessite la vérification de l’identité du signataire, en face à face ou en distanciel. Cette solution est encore plus renforcée et se rapproche de la signature qualifiée.

La signature électronique qualifiée

Elle correspond au niveau de sécurité le plus avancé et se différencie largement de la signature électronique simple d’un point de vue légal. Ce niveau de signature est soumis à des contraintes réglementaires précises en matière de vérification de l’identité du signataire et de protection de la clé de signature, nécessaire à la signature du document. Seules les instances certifiées fiables par une autorité de certification peuvent produire une signature électronique qualifiée.

En amont, ces autorités de certification sont contrôlées par l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). En sommes, la procédure de signature qualifiée contient les mêmes critères de sécurité que la signature avancée, mais requiert que l’identité du signataire soit validée avant le moment de la signature du document et que la clé de signature se trouve dans un dispositif qualifié de création de signature électronique, abrégé “QSCD”. La validation de l’identité du signataire par l’autorité de certification peut alors se faire à l’occasion d’une rencontre physique, au cours de laquelle le signataire recevra un moyen d’identification matériel que l’on appelle souvent “token” (clé USB, badge, carte à puce…).

Il sera activé après saisie d’un code PIN sur téléphone mobile. Ce niveau de signature peut se révéler très contraignant, c’est pourquoi il ne concerne que certaines signatures bien précises comme les actes de notaires, d’huissiers de justice, greffes de tribunaux…

Quel que soit le niveau de sécurité, la mise en place d’une signature électronique requiert de bien analyser le contexte réglementaire et juridique afin d’identifier les contraintes et risques liées à la signature des documents concernés. Plus le dossier de preuves sur l’authentification du signataire et sur la réalisation de la procédure sera poussé, plus la signature aura une valeur juridique solide et moins elle pourra être contestée. Pour choisir un type de signature électronique, il ne vous reste alors qu’à déterminer si vous souhaitez faire de la sécurité une priorité, ou si vous accordez une plus grande importance à l’expérience utilisateur.

D’autres articles sur des thématiques connexes:

• Le consentement patient dématérialisé: définition et fonctionnement
• La publicité chez les médecins: perspectives et e-réputation

Pour gagner en praticité, en fiabilité et pour éliminer progressivement le papier, les professionnels et les établissements de santé numérisent de plus en plus les documents médicaux. La loi Touraine de 2016 a fortement encouragé l’utilisation du Dossier Médical Partagé (DMP) ainsi que la dématérialisation totale du parcours de soins. Le consentement patient en fait partie. Il représente un enjeu important puisqu’il est obligatoire pour les professionnels de santé. On vous explique dans cet article à quoi il correspond et quelles sont les différentes étapes nécessaires à sa dématérialisation.

SOMMAIRE

1. Le consentement patient: de quoi parle-t-on?
2. Vers un consentement dématérialisé
3. Le consentement dématérialisé et le RGPD
4. Une évolution de la législation française 
5. Les différentes étapes de la dématérialisation du consentement du patient

Le consentement patient: de quoi parle-t-on?

Assurer un consentement libre et éclairé

Dans le milieu médical, il existe plusieurs types de consentement. Le consentement à l’acte médical, le consentement à la communication du dossier médical, ou encore le consentement au Dossier médical partagé (DMP). Il existe également le consentement des personnes âgées à la conclusion d’un contrat de séjour dans un EHPAD. Et enfin, le consentement du patient à l’échange d’information entre professionnels de santé. Le plus impactant d’entre eux en termes de responsabilité pour le médecin est le consentement à l’acte médical. On dit que celui-ci doit être libre et éclairé. Cela signifie qu’il ne doit être en aucun cas obtenu sous la contrainte ni par soumission. De plus, il se doit d’être éclairé. En tant que patient, cela implique que vous devez être informé sur les conséquences de l’opération/intervention. Vous pouvez alors approuver ou refuser en toute conscience un acte médical ou un traitement. 

Une obligation pour les professionnels de santé

Pour recueillir le consentement du patient, il faut savoir que la loi ne requiert pas un consentement écrit. En effet, le code de santé publique ne précise pas la forme que doit prendre le consentement. A l’exception de certaines situations comme le don et l’utilisation de gamètes, les prélèvements sanguins, les tests cliniques impliquant une personne humaine ou encore la stérilisation à visée contraceptive. Seulement, le code de santé publique ne précise pas la forme du recueil du consentement. Le professionnel de santé doit alors impérativement être capable de démontrer qu’il a recueilli le consentement du patient avant de pratiquer un acte médical.

Dans le cas contraire, cela constitue une faute grave. La responsabilité civile du professionnel de santé est alors engagée. Cela l’expose à de lourdes sanctions. Le professionnel de santé se doit donc de recueillir le consentement du patient. Les informations relatives au consentement patient peuvent être énoncées à l’oral par le professionnel de santé, ou à l’écrit sous forme papier. Cependant, l’augmentation de l’usage du numérique en santé a fait naître le besoin d’un consentement patient dématérialisé, aussi appelé “e-consentement”.

Vers un consentement dématérialisé

Le secteur de la santé est poussé par un usage accru du numérique. En effet, on observe une digitalisation du secteur de la santé à tous les niveaux Prise de rendez-vous via les plateformes en ligne, généralisation du Dossier Médical Partagé (DMP), ouverture au patient du Dossier Patient Informatisé, gestion des données de santé…Le parcours de soins du patient est de plus en plus numérisé. Et la dématérialisation des documents médicaux comporte de nombreux avantages pour les patients, les professionnels et les établissements de santé.

Il leur permet de bénéficier d’une plus grande efficacité en réduisant les temps d’échange d’informations concernant leurs patients. Et durant les différentes étapes du parcours de soins. Par ailleurs, l’intégration automatique des documents médicaux dans les systèmes d’information des établissements de santé permet de mieux contrôler l’information et d’éviter certaines erreurs ou pertes de documents. Par conséquent, cela fluidifie la communication et l’organisation des professionnels et des établissements de santé. Au final, elle améliore la prise en charge du patient.

Le consentement dématérialisé et le RGPD

La dématérialisation des documents médicaux contribue donc à l’amélioration de la qualité des soins. De plus, les récentes évolutions juridiques comme le Règlement général sur la protection des données (RDPG) ou le règlement européen eIDAS garantissent un cadre de confiance pour le développement de la relation-patient informatisée. Ainsi, le numérique répond à plusieurs objectifs: celui d’un accès aux soins facilité pour les patients, ainsi qu’au besoin croissant d’amélioration de la qualité et de l’organisation des établissements de santé, qui cherchent notamment à se débarrasser de la lourdeur administrative et du formalisme lié à la gestion du papier. Face au besoin grandissant d’un consentement patient également dématérialisé, la loi française est en train d’évoluer depuis plusieurs années.

Une évolution récente de la législation française

Instaurée en 2016, la loi de modernisation de notre système de santé, dite loi Touraine, a eu pour objectif de simplifier la législation relative au traitement des données de santé à caractère personnel. Dans le cadre de cette loi, l’ordonnance du 12 janvier 2017 a permis la création d’une nouvelle section dans le code de santé publique afin de donner une valeur légale aux documents numérisés contenant des données de santé. Depuis, la dématérialisation des documents comportant des données de santé est possible, et les professionnels et établissements de santé ont la possibilité de dématérialiser le consentement des patients. Comme le font les notaires, les professionnels de santé peuvent ainsi tout à fait pratiquer le consentement dématérialisé, sur tablette par exemple. Mais à quelles sont les étapes pour recueillir le consentement du patient de manière dématérialisée?

Les différentes étapes de la dématérialisation du consentement du patient

Le processus complet du consentement dématérialisé comporte plusieurs étapes: La fourniture de l’information au patient, le recueil du consentement du patient via son authentification et grâce à l’apposition d’une signature électronique, et la conservation des éléments de preuves du consentement.

Information au patient

Pour effectuer son devoir de recueil du consentement patient, le professionnel de santé se doit d’abord d’informer le patient avant de pratiquer sur lui tout acte médical. Dans la majorité des cas, l’information est fournie verbalement par le médecin, et être accompagnée de documents ou brochures. Ces documents peuvent être remis en main propre, ou bien envoyés par mail. Cette dernière solution permet d’enregistrer et de sécuriser la preuve de la transmission d’information au patient. Ainsi, plus les étapes du consentement seront dématérialisées, plus il sera facile de les tracer et prouver leur existence. Toutefois, si l’information est transmise verbalement, le professionnel de santé peut mentionner cette étape dans le document ci-après, relatif au recueil du consentement.

Recueil du consentement: authentification du patient et signature électronique

Avant d’enregistrer la preuve de son consentement, le patient doit s’identifier. Il peut présenter sa carte vitale, sa carte d’identité national ou encore son passeport ou carte de séjour. L’authentification peut se faire en face à face, ou bien à distance grâce à des dispositifs comme FranceConnect. Ou bien via l’utilisation d’un One Time Passeword (OTP) envoyé par SMS. A la suite de cette authentification, il peut signer électroniquement un document afin de faire valoir son consentement. Par ailleurs, le processus de signature électronique peut faire appel à un certificat électronique. Celui-ci correspond à un document sous forme électronique qui a pour but d’authentifier l’identité de la personne signataire (carte d’identité), l’intégrité des documents échangés (protection contre toute altération) et l’assurance de non-répudiation (impossibilité de renier sa signature).

Le certificat électronique attestant de l’identité du patient peut être délivré de manière éphémère, ce qui est majoritairement le cas en France car nous ne possédons toujours pas de carte nationale d’identité électronique, contenant ces certificats, contrairement à beaucoup de nos voisins européens! Autrement, il est tout à fait possible de signer directement sur une tablette, ce qui rend le processus rapide et fiable. Pour en savoir davantage sur la signature électronique, n’hésitez pas à consulter notre article à ce sujet.

Conservation des preuves

Toutes les étapes réalisées pour le recueil du consentement patient doivent être enregistrées et sécurisées en tant qu’élément de preuve. Un service de confiance d’horodatage peut être utilisé afin d’ajouter de manière automatique la date et l’heure à un document. Cela apporte une garantie supplémentaire sur le déroulé des opérations. Dans tous les cas, toutes les étapes et documents doivent être conservés de façon sécurisée à l’intérieur d’un dossier, afin de garantir la preuve et la validité du e-consentement.

D’autres articles sur des thématiques connexes:

• La signature électronique: Quel cadre légal?
• La publicité chez les médecins: perspectives et e-réputation