« De l'authentification à la signature électronique : quel ... - uncitral

quarantième session de la Commission en 2007 16 . L’intervention de tiers, prestataires de
services de confiance, présente des difficultés spécifiques, notamment pour ceux qui, dans le
cadre d’une infrastructure à clé publique (ICP), émettent et gèrent des certificats
d’authentification, de signature électronique ou permettant le chiffrement de données.
En effet, chaque application appellera un flux spécifique de données – identification,
authentification, signature ou chiffrement – qui dépend du niveau de sécurité des
informations échangées sur le web, mais également de son cadre juridique. Certains Etats se
sont d’ores et déjà saisis de la question de l’identification sur les réseaux, en incluant dans
leur titre national d’identité plusieurs catégories de certificats, publics ou privés 17 .
A titre d’exemple, la dématérialisation des moyens de paiement – virements, cartes de
crédit, prélèvements - fait depuis longtemps appel à des mécanismes relativement robustes
de confirmation d’identité et de solvabilité 18 ; les moyens traditionnellement admis (usages)
ne suffisent plus à garantir une identité dans le cadre de l’économie numérique. Ainsi, une
simple adresse électronique suffit-elle à garantir l’identité d’un commerçant ? Avec le
développement actuel de l’économie numérique, des règles fiables, traduites sous forme de
normes juridiques internationales, doivent être instaurées pour prévenir les menaces de
fraude et pour garantir un niveau de confiance suffisant. L’utilisation des communications
électroniques dans les contrats commerciaux internationaux ne peuvent plus reposer
uniquement sur les moyens classiques de reconnaissance mutuelle des parties (valables si
les parties sont dans une relation courante d’affaires, … car une fraude ou une usurpation
d’identité peut affecter les communications électroniques) 19 , mais sur les nouvelles
méthodes d’authentification et de signature électronique (3D Secure 20 , PCI-DSS) 21 .
En outre, bien que se situant hors du domaine d’intervention de la C.N.U.D.C.I., il convient
de souligner que sur le plan de la cybercriminalité, la gestion de l’identité numérique a de
multiples incidences juridiques. Des travaux ont été initiés récemment dans le cadre de
16 V. Documents officiels de l’Assemblée générale, soixantième et unième session, supplément no 17 (A/61/17),
paragraphe 21 ; v. aussi Promouvoir la confiance dans le commerce électronique : questions juridiques relatives
à l’utilisation internationale des méthodes d’authentification et de signatures électroniques, CNUDCI, Vienne
2009. Disponible sur http://www.uncitral.org/pdf/french/texts/electcom/08-55699_Ebook.pdf.
17 Voir notamment la carte d’identité électronique en Belgique (eid) à l’adresse : http://welcome-to-ebelgium.be/fr/
; en Estonie (Card id, disponible à l’adresse www.id.ee) ; en Italie (http://www.cnipa.gov.it).
18 A titre d’exemple, le réseau des cartes de paiement certifie – quasiment en temps réel – la solvabilité de
l’acheteur mais également la possession légitime du titre par la génération du code PIN et son contrôle lors des
transactions.
19 L’envoi de documents bancaires et de pièces d’identité à des inconnus peuvent servir à de nombreuses
fraudes non seulement à l’encontre des personnes physiques, mais aussi des entreprises.
20 Rappelons ici que 3D Secure est un protocole sécurisé de paiement sur l’Internet. Il consiste à s’assurer, lors
de chaque paiement en ligne, que la carte est bien utilisée par son titulaire. Ainsi, en plus du numéro de carte
bancaire, de la date d'expiration de la carte et des trois chiffres du code de sécurité (imprimés au dos de la
carte), l’internaute doit saisir un mot de passe, tel que sa date de naissance ou un code dynamique à usage
unique. Voir notamment le site : http://visa-europe.fr/fr.
21 Le Payment Card Industry Data Security Standard (PCI DSS) est un standard de sécurité des données pour l’
industrie des cartes de paiement créé par le comité PCI SSC pour les plus importantes entreprises de carte de
débit et crédit (Visa, MasterCard, American Express, Discover, JCB). Cette norme comporte 12 exigences
applicables aux commerçants en ligne et aux fournisseurs de services de paiement en vue de protéger leurs
données et de prévenir les fraudes. Voir notamment
http://fr.pcisecuritystandards.org/_onelink_/pcisecurity/en2frfr/doc/pci_dss_v1-2.pdf.
© Eric A. CAPRIOLI, Avocat à la Cour de Paris Page 6