L'utilisation d'un prestataire étranger de signature électronique est-elle reconnue au Luxembourg ?
Réponse courte
Oui pour l'Union européenne, et sans formalité. Le règlement eIDAS établit un cadre unique : une signature électronique qualifiée délivrée dans un État membre produit les mêmes effets dans tous les autres. Un prestataire inscrit sur la liste de confiance allemande, française ou estonienne vaut donc exactement un prestataire luxembourgeois.
La reconnaissance suit la qualification, non la nationalité. Chaque État désigne un organe de contrôle — l'ILNAS au Luxembourg — qui publie sa liste de confiance nationale, et l'ensemble de ces listes forme le référentiel européen. C'est l'inscription qu'il faut vérifier, pas le pays d'établissement.
Hors de l'Union, le régime est différent : la reconnaissance suppose un accord conclu par l'Union avec l'État tiers concerné. À défaut, la signature reste valable mais perd la présomption d'équivalence, et sa fiabilité devra être démontrée.
Définition
La reconnaissance mutuelle est le principe selon lequel un service de confiance qualifié dans un État membre l'est dans toute l'Union, sans procédure supplémentaire.
La liste de confiance recense les prestataires qualifiés supervisés par un État. Elle est publiée et actualisée régulièrement, au moins tous les six mois pour la liste luxembourgeoise.
Questions fréquentes
Conditions d’exercice
Ce qui se vérifie est l'inscription du prestataire, à la date de la signature.
| Situation | Régime |
|---|---|
| Prestataire qualifié d'un État membre | Reconnu au Luxembourg, sans formalité |
| Signature qualifiée | Présomption d'équivalence avec la signature manuscrite (eIDAS, art. 25) |
| Signature avancée ou simple | Valable, sans présomption, quel que soit le pays |
| Prestataire d'un État tiers | Reconnaissance subordonnée à un accord conclu par l'Union |
| Vérification | Inscription sur une liste de confiance au jour de la signature |
| Organe de contrôle | L'ILNAS au Luxembourg, un homologue dans chaque État membre |
| Retrait de qualification | Possible : la liste évolue |
Modalités pratiques
Le contrôle porte sur la liste de confiance, et se documente au moment de la signature.
| Étape | Détail |
|---|---|
| Vérification de l'inscription | Consulter la liste de confiance de l'État où le prestataire est établi |
| Conservation de la preuve | Garder une copie de la vérification, datée |
| Niveau de signature | Contrôler qu'il s'agit bien du niveau qualifié, non avancé |
| Horodatage | L'ajouter pour établir la validité du certificat après son expiration |
| Piste d'audit | L'extraire et l'archiver avec le document signé |
| Prestataire hors Union | Vérifier l'existence d'un accord ; à défaut, prévoir un autre procédé |
| Données personnelles | Le recours à un prestataire hors Union suppose un fondement du chapitre V du RGPD |
Pratiques et recommandations
Le réflexe de chercher un prestataire national n'a pas de fondement juridique. Une entreprise luxembourgeoise peut signer avec un prestataire qualifié établi ailleurs dans l'Union sans que la valeur de la signature en souffre. Le critère est la qualification, et le vérifier prend une minute.
Deux régimes se superposent pour un prestataire hors Union. La question de la signature — reconnaissance subordonnée à un accord — et celle des données personnelles, qui relève du chapitre V du RGPD. Les deux doivent être traitées : un prestataire dont la signature serait reconnue mais qui hébergerait les données sans fondement resterait problématique.
Documentez la vérification au moment où vous signez. Un prestataire radié plus tard ne remet pas en cause l'acte, mais un prestataire qui n'était pas encore inscrit lors de la signature ne produisait pas de signature qualifiée. La preuve de l'inscription à cette date ferme le débat.
Cadre juridique
| Référence | Objet |
|---|---|
| Règlement (UE) 910/2014, art. 25 | Effet juridique et présomption d'équivalence de la signature électronique qualifiée |
| Règlement (UE) 910/2014, art. 17 | Organe de contrôle national, l'ILNAS au Luxembourg |
| Règlement (UE) 910/2014, art. 22 | Listes de confiance nationales des prestataires qualifiés |
| Loi du 17 juillet 2020 | Alignement de la loi de 2000 sur eIDAS et désignation de l'ILNAS |
| Art. 1322-1 du Code civil | Signature électronique : intégrité et identification du signataire |
| Règlement (UE) 2016/679, art. 44 et suivants | Transferts de données hors de l'Union |
Note
La reconnaissance suit la qualification, non la nationalité : un prestataire qualifié de n'importe quel État membre vaut un prestataire luxembourgeois. Hors de l'Union, la reconnaissance suppose un accord, et la question des données personnelles s'ajoute à celle de la signature.