Article 41 eIDAS : ce que couvre la présomption de l'horodatage qualifié, et ce qu'elle ne couvre pas

La réponse courte

Un horodatage électronique qualifié est présumé indiquer la date et l'heure exactes, et les données auxquelles il est lié sont présumées ne pas avoir changé depuis ce moment. C'est toute la présomption de l'article 41, paragraphe 2, du règlement (UE) n° 910/2014 (eIDAS).

Elle ne présume ni que le contenu est vrai, ni qui l'a créé, ni qu'une page web capturée montre tout ce qu'un visiteur a vu. Ces questions relèvent de la preuve que vous construisez autour de l'horodatage : méthode de capture, artefacts et documentation.

Ce que dit vraiment l'article 41

L'article 41 compte trois paragraphes, chacun avec un rôle distinct :

• Article 41(1) : l'effet juridique et la recevabilité comme preuve en justice ne peuvent être refusés à un horodatage électronique au seul motif qu'il se présente sous forme électronique ou qu'il n'est pas qualifié. Un horodatage simple n'est donc pas sans valeur, il ne bénéficie simplement d'aucune présomption légale.
• Article 41(2) : un horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données auxquelles se rapportent cette date et cette heure.
• Article 41(3) : un horodatage électronique qualifié délivré dans un État membre est reconnu en tant qu'horodatage qualifié dans tous les États membres.

Le règlement modificatif (UE) 2024/1183, souvent appelé eIDAS 2, n'a pas réécrit cet effet juridique. Il porte sur la supervision et la spécification technique des services de confiance qualifiés, pas sur ce que présume un horodatage qualifié.

Ce que couvre la présomption

Lisez le texte de près. La présomption ne porte que sur deux éléments :

• Le temps : la date et l'heure du jeton sont présumées exactes. L'article 42 exige une source de temps liée au temps universel coordonné (UTC).
• L'intégrité : les données liées à ce temps, en pratique l'empreinte d'un fichier ou d'un ensemble de fichiers, sont présumées inchangées depuis la délivrance de l'horodatage.
• L'effet transfrontière : par l'article 41(3), le même statut qualifié vaut devant les juridictions et autorités de tous les États membres, sans nouvelle reconnaissance.

Ce que la présomption ne couvre pas

C'est ici que naissent la plupart des exagérations. Un horodatage qualifié ne dit rien, à lui seul, sur :

• La véracité du contenu : une publication diffamatoire horodatée est présumée avoir existé sous cette forme à ce moment, pas être exacte.
• L'auteur et l'identité : le jeton n'indique pas qui a écrit le contenu ni qui gérait le compte.
• L'exhaustivité d'une capture web : ce qu'un visiteur donné a vu dépend de la méthode de capture, pas de l'horodatage.
• Les faits antérieurs à l'horodatage : il prouve que les données existaient au plus tard à l'heure indiquée. Il ne prouve pas quand elles ont été créées ou publiées pour la première fois.

La présomption est donc forte sur la question du quand et du si cela a changé, et muette sur la question de ce que cela signifie. Traitez-la comme l'ancre d'un dossier de preuve, pas comme le dossier entier.

Qualifié ou non : ce qu'exige l'article 42

Seul un horodatage électronique qualifié bénéficie de la présomption de l'article 41(2). Les exigences figurent à l'article 42 :

• Il lie la date et l'heure aux données de manière à exclure raisonnablement la possibilité de modification indétectable des données.
• Il est fondé sur une horloge exacte liée au temps universel coordonné.
• Il est signé au moyen d'une signature électronique avancée ou cacheté au moyen d'un cachet électronique avancé du prestataire de services de confiance qualifié, ou par une méthode équivalente.
• Il est délivré par un prestataire de services de confiance qualifié pour l'horodatage, ce que vous pouvez vérifier dans les listes de confiance de l'UE.

En pratique, les horodatages qualifiés suivent la RFC 3161 et les normes ETSI d'horodatage (EN 319 421 et EN 319 422). Un horodatage d'un service non qualifié, un journal serveur ou une transaction blockchain peuvent être des preuves au titre de l'article 41(1), mais le juge les apprécie librement, sans présomption.

Comment la présomption joue dans un litige

Une présomption déplace la charge de la preuve. Si vous produisez des données munies d'un horodatage qualifié valide, vous n'avez pas à prouver que l'heure est exacte ni que le fichier n'a pas été modifié depuis. La partie qui conteste doit apporter un élément concret, par exemple que le prestataire n'avait pas le statut qualifié à ce moment ou que la vérification échoue.

Deux conséquences pratiques en découlent. D'abord, la vérification doit être possible pour le juge, l'expert et la partie adverse, idéalement sans faire confiance au fournisseur qui a produit la preuve. Ensuite, le débat se déplace simplement : vers la manière dont le contenu a été capturé, ce qui pourrait manquer et la pertinence de la page capturée. Ce sont ces points faibles que votre documentation doit fermer.

Pratique tchèque : libre appréciation des preuves

Ce paragraphe concerne spécifiquement le droit tchèque. Dans la procédure civile tchèque, le juge apprécie librement les preuves (article 132 du code de procédure civile tchèque, loi n° 99/1963 Rec.). Le règlement eIDAS s'applique directement : la présomption de l'article 41(2) vaut donc pour les horodatages qualifiés en tant que tels, tandis que tout ce qui sort de son champ, comme la méthode de capture, l'exhaustivité et le contexte, est apprécié librement. Une capture bien documentée compte donc autant que l'horodatage lui-même.

Checklist : pour que la présomption serve une preuve web

• Utilisez un horodatage qualifié d'un prestataire figurant sur la liste de confiance de l'UE et conservez le jeton d'horodatage lui-même, pas seulement un PDF qui le mentionne.
• Horodatez les empreintes de tous les artefacts pertinents (capture d'écran, HTML, journal réseau, vidéo), pas seulement une image.
• Documentez la capture : navigateur, réglages, clics sur le bandeau cookies, éventuelles interventions visuelles.
• Préférez une capture réalisée par une infrastructure indépendante ou un processus forensique documenté à une capture d'écran faite sur votre propre appareil.
• Permettez une vérification hors ligne : joignez les données de la liste de confiance et une méthode de vérification indépendante du fournisseur.
• Capturez avant de signaler ou d'envoyer une mise en demeure. Une fois la partie adverse alertée, le contenu change ou disparaît souvent.

Où intervient GetProofAnchor

GetProofAnchor lie chaque artefact d'une capture (capture d'écran, HTML, MHTML, HAR, vidéo, certificats TLS et métadonnées de capture) par SHA-256 à un horodatage électronique qualifié (RFC 3161) de SK ID Solutions, prestataire de services de confiance qualifié dans l'UE. Toute modification d'un artefact scellé après l'horodatage est détectable hors ligne avec un outil open source (gpa-verify), grâce à l'instantané de la liste de confiance de l'UE inclus dans le ZIP de preuve. Trois façons de l'utiliser :

• Application web : capture côté serveur par URL, et avec les formules Enterprise et Business l'extension de navigateur pour les pages derrière connexion (capturé sur votre appareil, scellé à la réception) ; dès 9 EUR HT pour 3 preuves (10,89 EUR TTC) ou abonnements mensuels dès 19 EUR HT (22,99 EUR TTC).
• Forensic Browser : application Windows pour sessions de plusieurs pages et contenus derrière connexion, produisant un PDF PAdES validé par Adobe Acrobat Reader ou un ZIP pour les experts ; licence annuelle dès 290 EUR HT (350,90 EUR TTC).
• Assisted Capture : nous capturons les URL pour vous et envoyons le dossier de preuve par e-mail ; dès 49 EUR HT (59,29 EUR TTC), formule Rush garantie en 60 minutes.

Rien de tout cela ne garantit la décision d'un tribunal. Vous obtenez la présomption de l'article 41(2) sur le temps et l'intégrité, plus une méthode de capture documentée pour tout ce que la présomption ne couvre pas.

Questions fréquentes

Sources

• Règlement (UE) n° 910/2014 (eIDAS), articles 41 et 42
• Règlement (UE) 2024/1183 modifiant eIDAS
• Listes de confiance de l'UE (Commission européenne)
• RFC 3161 : Time-Stamp Protocol (TSP)
• Code de procédure civile tchèque, loi n° 99/1963 Rec., article 132