Comme à chaque rentrée, l’heure du focus sur les actualités en droit du numérique et des nouvelles technologies est arrivée. Au cours de l’année passée, l’intelligence artificielle a été au cœur de l’actualité et des préoccupations. Extractive, générative, l’IA est vue comme un accélérateur de compétence par certains (de plus en plus nombreux), et comme un danger par d’autres (menace pour le travail, insécurité du contenu, qualité approximative). Le recours à l’IA par les collectivités ne relève plus du simple domaine prospectif. L’IA est notamment utilisée en matière de mobilité, de vidéoprotection, pour l’instruction des dossiers d’aide sociale des départements. L’utilisation, par tous les agents, de ces outils et, bientôt, d’assistants comme l’assistant basé sur ChatGPT que Microsoft prévoit d’intégrer dans sa suite bureautique, soulève de nombreuses questions notamment en ce qui concerne la maîtrise des usages et des données, conduisant certaines collectivités à limiter et même, parfois, à interdire le recours à certains outils issus de l’IA. A ce jour, les tribunaux français n’ont pas eu, à notre connaissance, à se pencher sur des affaires impliquant l’IA et notre focus ne vise qu’une décision rendue par une juridiction américaine. Outre cette actualité, et pour la 5ème année consécutive, le focus fait le bilan des dernières décisions rendues en droit du numérique, des nouvelles technologies et des contrats et projets informatiques (vous pouvez consulter les focus « Droit du numérique » et des nouvelles technologies des années précédentes en suivant les liens suivants : LAJ de septembre 2022 (numéro #136), LAJ de septembre 2021 (numéro#124), LAJ de septembre 2020 (numéro #112) et LAJ d’octobre 2019 (numéro #101). Bonne lecture.
Audrey LEFEVRE, Sara BEN ABDELADHIM et Lucile MARTIN
CA Paris, 25 janvier 2023, n° 19/15256
CA Bordeaux, 6 juin 2023, n° 23/00962
CA Paris, 17 mai 2023, n° 21/15795
I. Actualités en droit de la propriété intellectuelle
1. 1 Intelligence artificielle et droit d’auteur
En matière d’intelligence artificielle, l’une des questions qui se pose de manière récurrente porte sur la reconnaissance ou non d’une protection au titre du droit d’auteur sur une œuvre entièrement créée par un outil d’intelligence artificielle.
Si les tribunaux français ne se sont pas encore prononcés à ce sujet, les juridictions de première instance américaines ont eu à se pencher sur cette question récemment, au sujet d’une image intitulée « A Recent Entrance to Paradise », créée par un outil d’intelligence artificielle.
En l’espèce, le créateur de cet outil revendiquait les droits d’auteur sur cette image. La juridiction américaine a rejeté la protection du droit d’auteur (notion de « copyright » en droit américain) et la qualification d’œuvre, le processus de création n’ayant pas été à l’initiative du demandeur mais de l’outil d’intelligence artificielle.
Il semble ressortir de cette décision que la protection au titre du droit d’auteur ne devrait pouvoir être reconnue (ou partiellement reconnue) que dès lors qu’il y a une intervention humaine dans le processus de création de l’œuvre.
Ce raisonnement sera probablement suivi par les juridictions françaises dont l’approche est déjà très humaniste en matière de droit d’auteur.
A ce titre, on peut relever la proposition de loi en date du 12 septembre 2023[1] visant à encadrer l’intelligence artificielle par le droit d’auteur, dont le but est principalement d’offrir une protection plus poussée et une meilleure rémunération aux artistes impactés par l’intelligence artificielle notamment dans le marché de l’art.
Il y est notamment proposé de préciser certaines dispositions du Code de la propriété intellectuelle en indiquant :
- la mention « œuvre générée par IA » ainsi que le nom de l’auteur de l’œuvre artificielle ;
- que les titulaires de droits d’auteur en cas de création d’une œuvre par une intelligence artificielle sans intervention humaine directe, restent les auteurs ayant permis de concevoir l’œuvre artificielle ; et
- qu’une taxation pourra être instaurée au bénéfice de l’organisme chargé de la gestion collective dès lors que l’origine de l’œuvre engendrée par l’intelligence artificielle ne peut être déterminée.
1.2 Contrefaçon de logiciels
Non-cumul des responsabilités contractuelle et délictuelle en matière de contrefaçon de logiciel
Cass. Civ., 1ère, 5 octobre 2022, n° 21-15.386
Dans cette affaire, la société Entr’Ouvert, éditrice du logiciel dénommé « Lasso », a assigné la société Orange en contrefaçon de droits d’auteur et en parasitisme du fait de la fourniture, par cette dernière, dans le cadre de l’appel d’offre pour la réalisation du portail « Mon Service Public » de l’Etat, d’une solution informatique intégrant ce logiciel en violation des clauses du contrat de sa licence libre.
Les juges de première instance, dans un jugement rendu le 21 juin 2019, avaient déclaré la société EntrOuvert irrecevable à agir sur le fondement délictuel de la contrefaçon, rejetant également sa demande au titre du parasitisme. Par un arrêt en date du 19 mars 2021, la Cour d’appel a, pour sa part, confirmé le jugement de première instance considérant que dès lors que le fait générateur de l’atteinte aux droits d’auteur résultait d’un manquement contractuel, seule l’action en responsabilité contractuelle était recevable par application du principe de non-cumul des responsabilités. La Cour a, en revanche, infirmé le jugement de première instance en ce qu’il n’a pas retenu le parasitisme, considérant au contraire que le logiciel « Lasso » modifié par la société Orange lui avait bien procuré l’avantage de pouvoir répondre à l’appel d’offre de l’Etat en respectant les prérequis demandés, et a condamné cette dernière à payer 500.000 euros au titre du parasitisme.
La Cour de cassation a cassé la décision et considéré que, dans le cadre d’une atteinte portée à ses droits d’auteur, le titulaire, lorsqu’il ne bénéficie pas de la protection nécessaire sur le fondement de la responsabilité contractuelle, peut agir en contrefaçon sur le terrain délictuel, sans contrevenir aux règles de non-cumul des responsabilités contractuelle et délictuelle, même en présence d’un contrat de licence.
Sur cette actualité, voir également notre brève de décembre 2022.
Appréciation de la contrefaçon de logiciel
TJ Paris, 3e ch, 2e sec., 25 novembre 2022
S’agissant de l’appréciation de la contrefaçon de logiciel, les juges du Tribunal judiciaire de Lille rappellent que celle-ci s’apprécie par la reprise des codes sources.
Dans cette affaire, la société Clecim soutenait que la société Deepgray Vision, qui était intervenue pour la maintenance d’un système informatique d’un client, avait utilisé des codes source de son logiciel, violant ainsi ses droits d’auteur sur ce logiciel.
Le Tribunal a conclu à l’absence de contrefaçon du logiciel en considérant, d’une part, que la société Clecim ne prouvait pas l’utilisation des codes source de son logiciel, et, d’autre part, que la société Deepgray Vision avait développé une solution de logiciel unique.
En outre, le Tribunal a considéré que la société Clecim n’avait pu démontrer techniquement le fondement de ses demandes financières élevées, notamment sur l’utilisation des codes source du logiciel litigieux. Il a également constaté le refus de la contreproposition de la société Deepgray Vision et son refus de toute médiation et a condamné la société Clecim à une indemnité de 40.000 euros au titre de procédure abusive.
Il ressort de cette décision qu’il est dans l’intérêt de tout demandeur de justifier ses demandes et de démontrer sa volonté résoudre un litige par voie amiable afin d’éviter une condamnation pour procédure abusive qui peut s’avérer très lourde.
Cass. Civ., 1ère, 6 juillet 2022, n° 20-21.270
Dans une autre affaire portant également sur une action en contrefaçon pour reprise d’un logiciel, la Cour de cassation a, de manière surprenante, confirmé la décision de la Cour d’appel qui avait écarté la contrefaçon au motif que la seule reprise d’une fonctionnalité ne constituait pas automatiquement une contrefaçon.
En l’espèce, elle a considéré que le logiciel litigieux ne reprenait pas d’éléments caractéristiques du logiciel initial, en se fondant, pour cette appréciation, sur l’existence de fonctionnalités supplémentaires.
Cette décision surprend en ce qu’elle laisse entendre que la contrefaçon résulterait de la comparaison des fonctionnalités du logiciel alors qu’il est de jurisprudence constante que la protection des logiciels porte sur la forme (le code source et la documentation du logiciel) et non sur les concepts et idées (les fonctionnalités) qui restent de libre parcours.
Il est également étonnant de constater que les juges s’appuient exclusivement sur les différences entre les logiciels pour en déduire l’absence de contrefaçon alors que les logiciels ne dérogent pas au principe d’appréciation de la contrefaçon par les ressemblances portant sur les parties essentielles de l’œuvre, peu important les différences. Ils justifient tant bien que mal leur décision en invoquant l’absence de reprise d’éléments « caractéristiques » du logiciel initial.
Dès lors que la contrefaçon s’apprécie par la reprise des codes source, nonobstant la décision étonnante de la Cour de cassation susmentionnée, l’absence de précision de l’assignation sur ce point est susceptible d’entraîner la nullité de l’assignation Pour manque de précision.
Dans le cadre d’une action en contrefaçon pour utilisation au-delà de certains droits concédés portant sur un logiciel, le juge de la mise en état a ainsi constaté la nullité d’une assignation.
En l’espèce, la société demanderesse n’avait pas suffisamment identifié et explicité le code source de son logiciel, considéré comme l’élément principal permettant de déterminer la présence de l’originalité alléguée.
Il est ici rappelé l’importance, en matière de contrefaçon de logiciel, d’identifier les logiciels opposés et de définir leurs caractéristiques originales dès le stade de l’assignation.
On notera, enfin, que la vigilance est de mise quant au point de départ du délai en matière de contrefaçon. La contrefaçon est traditionnellement analysée en un délit successif, le point de départ de la prescription étant le dernier fait de contrefaçon.
Par décision du 17 mai 2023, la Cour d’appel de Paris a rappelé que malgré la présence d’actes litigieux continus, le moment où le titulaire a eu connaissance ou aurait dû connaitre les faits doit être pris en compte pour déterminer le point de départ du délai de prescription (CA de Paris, 17 mai 2023, n° 21/15795 ).
1.3 Contrepartie financière pour les logiciels réalisés par des non-agents accueillis au sein d’une personne morale de droit public réalisant de la recherche
Un décret publié en août 2023 précise les conditions d’application du nouvel article L. 113-9-1 du Code de la propriété intellectuelle, introduit par l’Ordonnance du 15 décembre 2021.
Par cette ordonnance, une dévolution automatique des droits patrimoniaux de propriété intellectuelle est prévue pour les logiciels créés par les personnes accueillies par une personne morale réalisant de la recherche, mais qui ne sont ni salariées ni agent public.
Cette dévolution est toutefois soumise à certaines conditions cumulatives (sur ce point voir notre brève de février 2022). L’une de ces conditions était que l’auteur du logiciel perçoive une contrepartie pour la mission qu’il exerce.
En sus de cette contrepartie, les personnes accueillies au sein d’une personne morale de droit public réalisant de la recherche recevront une prime d’intéressement calculée sur les produits tirés de ces logiciels.
Cette prime a été fixée à 50 % des recettes hors taxes tirées de l’exploitation du logiciel, après déduction des frais directs supportés et après affectation du coefficient représentant la contribution de l’auteur.
Ce décret vise à aligner les règles d’intéressement des personnels non-agents sur celles applicables aux personnels permanents de recherche agents publics de la structure d’accueil.
Il est ainsi assuré une égalité de traitement des personnes contribuant au même effort de recherche.
Encore faut-il, pour bénéficier du régime de l’article L. 133-9-1 du Code de la propriété intellectuelle, que la personne accueillie par la structure réalisant des activités de recherche ait bien la qualité d’auteur dudit logiciel, ce qui n’est pas le cas d’un stagiaire se contentant d’effectuer un travail d’exécution sous supervisé (CA Bordeaux, 1re., 6 juin 2023, n° 23/00962 ).
Et pour les personnes n’entrant ni dans le champ de l’article L. 113-9-1 du Code de la propriété intellectuelle, ni dans celui de l’article L. 113-9 du même code (portant sur la dévolution automatique des droits patrimoniaux des créateur de logiciels salariés), il sera recommandé de prévoir une clause de cession de droits au sein du contrat de travail prévoyant la cession de droits au fur et à mesure de la réalisation des œuvres. La Cour d’appel de Paris a récemment rappelé qu’une telle clause est bien licite, même si elle ne prévoit pas de rémunération complémentaire au titre de ladite cession de droit (CA Paris, pôle 5 – ch. 1 – 25 janv. 2023, n° 19/15256 ).
II. Actualités en matière de droit des contrats et projets informatiques
2.1 Responsabilité du prestataire informatique à l’égard d’une communauté d’agglomération
CE, 17 mars 2023, n° 459518, Communauté d’agglomération de l’Etampois-Sud-Essonne
L’affaire portait sur l’engagement de la responsabilité d’un prestataire informatique dans le cadre d’un marché visant à la refonte du système de production informatique d’une collectivité.
Une erreur de manipulation de l’un des employés du prestataire a occasionné une importante perte de données, ce qui était constitutif d’une faute.
Toutefois, les juges ont également relevé qu’il appartenait à la collectivité de sauvegarder ses données avant l’intervention de son prestataire et de veiller régulièrement au bon fonctionnement des sauvegardes. Cette faute de la collectivité était de nature, pour les juges, à exonérer le prestataire de la moitié de sa responsabilité.
S’agissant du préjudice, le Conseil d’Etat a sanctionné la Cour d’administrative d’appel de Versailles pour avoir débouté la collectivité de ses demandes d’indemnisation au titre du temps passé par ses agents sur les opérations de ressaisies des données perdues « aux seuls motifs que celle-ci ne justifiait pas avoir dû recruter du personnel supplémentaire, ni avoir versé des compléments de rémunération pour accomplir le travail de ressaisie, ni avoir renoncé à l’exercice de missions de service public ».
Parallèlement à cette affaire, on relève également la décision du Tribunal de commerce de Lille qui a retenu un manquement contractuel de l’hébergeur OVH au titre de l’incendie qui a touché ses datacenters strasbourgeois. La faute d’OVH était en l’espèce caractérisée par le fait d’avoir stocké des sauvegardes dans le même bâtiment que le serveur principal en violation de son engagement d’isoler lesdites sauvegardes (T. com. Lille, 26 janv. 2023, n° 2021013526).
Il semble qu’OVH a fait appel de cette décision.
2.2 Obligation de collaboration du client
Si le prestataire est tenu à une obligation de délivrance conforme qui l’oblige à rechercher une solution technique aux dysfonctionnements constatés par son client, ce dernier est pour sa part tenu par une obligation de collaboration que les juges ne manquent pas de rappeler régulièrement.
Ainsi, c’est en application de ce principe qu’il a été rappelé qu’un client ne peut refuser l’offre de son cocontractant de rechercher avec lui la cause du problème (CA Rennes, 11 octobre 2022) ou ne peut reprocher la rupture du contrat à son prestataire après avoir refusé de tenir compte des nombreuses alertes de ce dernier au sujet des multiples modifications demandées (CA Paris, 30 sept. 2022, n° 20/04813).
Le manquement à l’obligation de collaboration du client n’est toutefois retenu à son encontre que si ce manquement est à l’origine de l’impossibilité pour le prestataire de délivrer une prestation conforme (CA Pau, 30 mars 2023, n° 21/02662).
Il en va de même lorsque la prestation est réalisée selon la méthode Agile, qui ne dispense pas le client de devoir collaborer notamment en exprimant ses besoins et objectifs. Etant précisé qu’ayant signé les procès-verbaux de recette attestant d’une livraison conforme à ses attentes, il est plus difficile pour le client de reprocher un manquement du prestataire à son obligation de délivrance conforme (CA Paris, pôle 5, ch. 11, 6 janvier 2023).
2.3 Indemnisation du préjudice et inopposabilité des clauses limitatives de responsabilité
Deux sociétés ont conclu entre elles divers contrats de prestation de services informatiques portant notamment sur la gestion du matériel et de fonctionnement du système d’information et la sauvegarde de données de la société cliente.
A la suite d’une perte de données notamment de comptabilité, la société cliente a sollicité réparation auprès de la société prestataire.
La Cour d’appel de Paris a rappelé qu’en cas de faute lourde, en l’espèce pour défaut d’information et de conseil quant aux risques relatifs au périmètre des sauvegardes réalisées, les clauses limitatives de responsabilité sont inopposables de sorte que le préjudice du client doit être intégralement réparé (CA Paris, 25 nov. 2022, n° 21/05032).
Rappelons le principe de réparation intégrale du dommage, qui oblige le prestataire à réparer l’ensemble des préjudice directs subis par ce dernier. Voici quelques illustrations des préjudices retenus :
- Le préjudice commercial (perte de chiffre d’affaires) : à la suite de dysfonctionnements importants relevés du site internet après la conclusion d’un contrat de location de site web, une société a assigné son prestataire notamment aux fins d’indemnisation de son préjudice subi. La Cour a calculé le préjudice de perte de chiffre d’affaires en analysant la chute des commandes passées par référence aux chiffres d’affaires des 4 années précédentes suivant attestation de l’expert-comptable (CA Lyon, ch. A, 21 juillet 2022, n° 19/08633) ;
- Le préjudice salarial (travaux réalisés en pure perte) : la Cour de cassation a rappelé que la réparation du préjudice subi incluait les travaux réalisés en pure perte par les personnels du client affectés au projet et qu’il revient de les évaluer, au besoin en recourant à une mesure d’instruction complémentaire ( com., 29 mars 2023, n° 21-21.432) ;
- Le préjudice en matière de retard pris dans un projet : si l’emploi de salariés supplémentaires pour la mise en place de nouveaux outils ne peut être pris en compte dans le calcul du préjudice (dès lors qu’un tel surcroît d’activité est normal pour ce type de projet), le surcoût lié à la prolongation d’un contrat de travail pour pallier au retard accumulé peut être pris en compte dans le calcul (CA Versailles, 26 juill. 2022, n° 21/03036) ;
- Le préjudice d’image : dans le cadre d’une faute commise lors d’une prestation de migration de données dans un serveur cloud, conduisant à la perte de données de la société cliente, cette dernière a pu obtenir une indemnisation de 30.000 euros pour préjudice d’image, déduit des éléments suivants (CA Limoges, 15 juin 2022, n° 21/00432) :
- errements en matière de prix,
- attente en caisse des clients pour établir manuellement des bons,
- désaffectation des clients des grands groupes nationaux de BTP,
- image négative donnée vis-à-vis des clients et tiers, et de ses fournisseurs.
Comme dans toutes matières, l’enjeu restera de démontrer l’existence d’un lien de causalité le préjudice allégué et la faute du prestataire.
III. Actualités en matière de gestion du risque cyber
3.1 Obligations accrues en matière de cybersécurité
Le législateur se saisit du risque cyber et de l’enjeu de la cybercriminalité qui touche de plus en plus les personnes publiques, tout particulièrement les collectivités et établissements de santé (l’une des dernières en date étant celle du CHU de Rennes en juin dernier).
On note, à cet égard, l’adoption de la Directive 2022/2555 du 14 décembre 2022 concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union (NIS 2) qui abroge la Directive NIS. Pour rappel, cette directive qualifie les entités administratives d’entités essentielles.
A ce titre, elles sont soumises à des exigences en matière de cybersécurité les obligeant à adopter des mesures de gestion des cyber risques approuvées par leurs organes, qui devront en superviser la mise en œuvre et qui engagent leur responsabilité à ce titre.
La Directive NIS 2 doit être transposée en droit national avant le 17 octobre 2024.
3.2 Nouveautés du Code des assurances
Par ailleurs, plus le risque de cyberattaque s’installe, plus l’enjeu de son assurabilité devient important et nécessite une adaptation des pratiques assurantielles (outre une prise en compte opérationnelle de ce risque au niveau des mesures de sécurité mises en place).
On assiste ainsi à une véritable prise de conscience et une responsabilisation de l’ensemble des acteurs, qu’il s’agisse des collectivités, du législateur, de l’ANSSI ou même de l’internaute.
En ce sens, le Code des assurances a été modifié par l’article 4 de la Loi n° 2023-22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’intérieur qui porte sur l’indemnisation des dommages causés par les cyberattaques.
L’arrêté du 13 décembre 2022 encadre la gestion du risque cyber par les assureurs en précisant la classification des engagements d’assurance consécutifs aux atteintes aux systèmes d’information et de communication. Deux nouvelles catégories de dommages sont créées :
- Les « dommages aux biens consécutifs aux atteintes aux systèmes d’information et de communication»
- Les « pertes pécuniaires consécutives aux atteintes aux systèmes d’information et de communication».
Etant précisé qu’assurer son risque cyber n’est pas une obligation pour les personnes publiques (cf. sur ce point notre brève de juillet 2022).
Compte-tenu de l’impact de telles attaques, notamment du point de vue financier, l’enjeu de la sécurisation des systèmes d’information et de l’assurabilité de ce préjudice est aujourd’hui un enjeu majeur pour les collectivités et les établissements de santé.
IV. Sites internet
4.1 Blocage et déréférencement des sites miroirs
Décret n° 2023-454 du 12 juin 2023 relatif au blocage et déréférencement des « sites miroirs »
Les collectivités, garantes d’une certaine qualité liée à leurs missions de service public, lorsqu’elles bénéficient d’une certaine notoriété, peuvent parfois faire face à la reprise de leur nom, de leur image et de leur marque. Il peut même arrivée qu’elles soient confrontées à la reprise de l’intégralité de leur site. Ces sites « miroirs » permettent, à travers un URL différent, d’accéder à un contenu similaire ou identique au site initial.
Le décret du 12 juin 2023 est venu apporter les précisions nécessaires à l’article 6-3 de la LCEN qui indiquait que sur décision judiciaire exécutoire, l’autorité administrative pouvait exiger le blocage de l’accès à un service de communication en ligne reprenant du contenu illicite.
- Le décret précise désormais que l’autorité administrative en question est la direction générale de la police nationale, et plus précisément l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication ;
- Il précise également qu’une copie de la décision sera transmise par le greffe sous 7 jours à l’Office mentionné supra, sauf urgence ;
- Il ajoute également les mentions nécessaires et modalités de la saisine de l’Office, soit via le portail électronique officiel soit par lettre recommandée avec demande d’avis de réception ;
- L’Office sera chargé d’identifier le service de communication au public en ligne reprenant le contenu illégal, ainsi qu’à toute personne visée par la décision judiciaire ;
- Enfin, les fournisseurs d’accès à internet devront rediriger les utilisateurs des sites internet vers une page d’information du ministère de l’intérieur, leur indiquant la mesure de blocage ou de déréférencement.
4.2 Responsabilité des hébergeurs renforcée en cas de contenus illicites
CA Paris, pôle 5 ch. 1, 12 avril 2023, n° 21/10585
Dans cette affaire, la société de jeux japonaise NINTENDO a reproché à la plateforme DSTORAGE d’héberger sur ses serveurs des copies illicites de ses jeux vidéo.
La plateforme s’est défendue en indiquant qu’il appartenait à la société NINTENDO d’engager une procédure aux fins de constater le caractère manifestement illicite des contenus ou de suivre la procédure contractuelle qu’elle offrait directement via sa plateforme.
Face à ce refus de supprimer immédiatement les liens permettant le téléchargement des copies non autorisées, la société NINTENDO l’a assignée devant le Tribunal judiciaire de Paris afin d’engager directement sa responsabilité en qualité d’hébergeur.
La Cour d’appel a rappelé que la connaissance des contenus illicites par l’hébergeur est présumée dès lors qu’il est notifié dans les formes imposées par l’article 6-I-5 de la LCEN, ce qui était le cas en l’espèce.
Pour l’évaluation du préjudice, la Cour a pris en compte la marge moyenne réalisée sur les jeux, multipliée par le nombre de téléchargements illicites pour la période s’écoulant de l’absence de prompt retrait des contenus illicites par la plateforme jusqu’à la date de l’assignation. Dans son évaluation de préjudice, la Cour a également tenu compte du fait que les utilisateurs ayant téléchargé de manière illégale n’auraient pas tous acquis les jeux sur la boutique en ligne de NINTENDO.
V. Signature électronique
CJUE, 20 oct. 2022, no C-362/21, Ekofrukt EOOD c/ Bulgarie
CA Toulouse – 2ème chambre, 14 février 2023, n° 21/02297
La signature électronique doit être liée au signataire de manière univoque pour ne pas être remise en cause.
La Cour de justice européenne s’est prononcée pour la première fois sur le règlement n° 910/2014 du 23 juillet 2014 portant sur l’identification électronique et les services de confiance pour les transactions électroniques dit « eIDAS », dans son arrêt du 20 octobre 2022.
Elle est venue préciser que le règlement ne s’oppose pas à ce qu’un acte signé électroniquement soit déclaré nul dès lors que la signature ne satisfait pas aux exigences du règlement. Pour cela, le juge doit examiner la fiabilité de la signature électronique.
La Cour d’appel de Toulouse a apporté sa « pierre à l’édifice » en rappelant que « la fiabilité d’un procédé de signature électronique est présumée, jusqu’à preuve du contraire, lorsque ce procédé met en œuvre une signature électronique qualifiée ».
Pour cela, elle doit être suffisamment liée au signataire de manière univoque et permettre de l’identifier.
Ainsi, une banque n’a pu démontrer la validité d’une signature électronique d’un particulier dans le cadre d’un contrat de prêt.
Pourtant, elle se prévalait d’un fichier de preuve créé par la société DocuSign en qualité de prestataire de service de certification électronique, montrant que le particulier s’était identifié via un code transmis par la banque.
L’adresse IP avancée par la banque n’a pas été considérée comme suffisamment liée au signataire.
La banque a ainsi été déboutée de l’ensemble de ses demandes notamment au titre du remboursement de prêt.
En conséquence, il convient d’être vigilant en cas de signature électronique, et de s’assurer de pouvoir démontrer que la signature est liée de manière univoque au signataire.
[1] Proposition de loi n° 1630 visant à encadrer l’intelligence artificielle par le droit d’auteur du 12 septembre 2023 – https://www.assemblee-nationale.fr/dyn/16/textes/l16b1630_proposition-loi