Dans les différents services de confiance eIDAS, celui qui concerne l’envoi recommandé électronique qualifié reste un mystère pour de nombreuses entités. De quoi s’agit-il vraiment ?

Rien de bien nouveau ?

Le recommandé électronique est un service qui est proposé par plusieurs oragnismes et sociétés en France depuis plusieurs années. En 2005, le code civil s'est enrichi de l'article 1369-8 pour cadrer l'envoi du recommandé par courrier électronique via un tiers. L’article L100 de la Loi sur la République numérique du 7 octobre 2016 remplace l'ensemble des textes précédents et déclare que  "l'envoi recommandé électronique est équivalent à l'envoi par lettre recommandée, dès lors qu'il satisfait aux exigences de l'article 44 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/ CE.".

Valeur juridique du recommandé électronique en France

Comme le précise le site officle de l'Administration française, "la valeur juridique de la lettre recommandée électronique est la même que celle d'une lettre recommandée avec accusée de réception classique". Pour être juridiquement valable, l'envoi d'une lettre recommandée électronique doit remplir les conditions suivantes :

• le tiers chargé de l'acheminement doit garantir l'identité du destinataire et de l'expéditeur ;
• si le destinataire n'est pas un professionnel, son accord préalable doit être obtenu ;
• les dates d'expédition et de réception doivent être garanties et vérifiables.

Le tiers chargé de l'acheminement de la lettre recommandée électronique doit conserver ces informations pendant 1 an , ainsi que :

• le document original électronique,
• et son empreinte informatique.

L'expéditeur peut y avoir accès pendant 1 an".

Le service eIDAS d'envoi de recommandé électronique qualifié

En plus du texte de loi Français, la LRE eIDAS est également cadrée par un service de confiance eIDAS. Vous pouvez donc envoyer une LRE dans toute l'Europe avec une reconnaissance juridique obligatoire dans tous les pays dès lors que vous utilisez le service de confiance eIDAS consacré. Comme tous les serices de confiance qualifiés eIDAS, les services d’envoi recommandé électronique qualifiés doivent être fournis par un Prestataire de Services de Confiance Qualifié (PSCQ). Pour la France, ce PSCQ propose un service conforme aux critères d'évaluation de la conformité au réglement eIDAS publié par l'ANSSI.

l'ANSSI qui a constitué pour la France les règles qui régissent le service mentionne les obligations suivantes:

• Utilisation de systèmes et produits fiables, sécurité et fiabilité des processus;
• Conservation des informations délivrées et reçues dans le cadre d’envoi recommandé électronique ;
• Continuité de service suite à l’arrêt d’activité d’envoi recommandé électronique;
• Fourniture des services par un ou plusieurs prestataires de services de confiance qualifiés ;
• Identification de l'expéditeur avec un degré de confiance élevé;
• Identification du destinataire avant la fourniture des données;
• Sécurisation de l’envoi et la réception des données par une signature électronique avancée ou par un cachet électronique avancé d'un prestataire de services de confiance qualifié de manière à exclure toute possibilité de modification indétectable des données.
• Signalement à l’expéditeur et au destinataire des données de toute modification des données nécessaire pour l'envoi ou la réception de celles-ci ;
• L'Indication de la date et l'heure d'envoi, de réception et de toute modification des données au moyen d’un horodatage électronique qualifié.

Le service eIDAS est-il également un service d'archivage?

l'ANSSI précise : "Le prestataire de service d’envoi recommandé électronique qualifié doit conserver pendant une durée minimale de sept (7) ans après la date d’envoi et de réception des données toutes les informations pertinentes concernant les données délivrées et reçues, notamment à fin de pouvoir fournir des preuves en justice". 

Les données à conserver sont au moins :

• l’identité de l’expéditeur du recommandé électronique ;
• une preuve de validation de l’identité de l’expéditeur ;
• une référence au document faisant l’objet de la demande d’envoi recommandé électronique ;
• les jetons d’horodatage électronique qualifié correspondant à la date et heure d’envoi, de réception et de modification des données le cas échéant
• l’identité du destinataire du recommandé électronique,
• une preuve de validation de l’identité du destinataire ;
• les données relatives à la sécurisation de l’envoi (cachets électroniques).

Il est à noter que l'ANSSI mentionne que pour la conservation des informations, le respect des exigences de la norme ETSI "EN_319_401" relatives à la conservation des preuves et au plan d’arrêt d’activité est exigé.

A la lecture de ce texte, le PSCo ne doit pas archiver les contenus mais doit "conserver la référence au document" faisant l'objet de la demande d'envoi recommandé. 

Y-a-t-il un marché pour ce service de confiance eIDAS?

Combien de LRE avez-vous envoyé en dehors de la France? Certainement assez peu. Cependant, l'objectif du service eIDAS est de permettre le developpement de la confiance numérique sur le territoire européen. Ainsi, en cas de besoin, la LRE eIDAS représente un véritable moyen d'action pour permettre le developpement des échanges sur l'Europe et va bien au delà de la LRE Française.

Comment identifier qu'un prestataire est en mesure de fournir un service qualifié eIDAS?

Il existe un site Internet qui liste tous les prestataires et services sur l'Europe. Ce site propose pour chaquepays européen la liste des entreprises ou organismes qui proposent des services de confiance eIDAS. C'est ainsi qu'il est possible de voir que certains pays proposent déjà des services que d'autres ne fournissent pas encore. 

Le plus simple est donc de commencer à chercher dans cette liste le service souhaité. Les services eIDAS sont référencés via des sigles:

• QCert for ESig ==> Qualified Certificate for eletronic signature
• QCert for ESeal ==> Qualified Certificate for Electronic seal
• QTimestamp ==> Qualified time stamp
• QVal for QESig ==> Qualified Validation service for qualified electronic signature
• QVal for QEsael ==> Qualified Validation service for qualified electronic  seal
• QWAC ==> Qualified certificate for website authentication
• QPres for QeSEal ==> Qualified Preservation Service for Qualified Electronic Seal
• QPres for QESig ==> Qualified Preservation Service for Qualified Electronic Signature
• QeRDS ==> Qualified Electronic registered delivery service

Christian Dubourg

Responsable du GT eIDAS eFutura
Directeur Marketing Produit Spark Archives

Sources

• Site officiel de l'administration 
• ANSSI - Services d’envoi recommandé électronique qualifiés - Critères d’évaluation de la conformité au règlement eIDAS
• ETSI EN 319 401 - Electronic Signatures and Infrastructures (ESI); General Policy Requirements for trust Service Providers 
• Trusted List Browser - Tool to browse the national Trusted Lists and the European List of Trusted Lists (LOTL).