Signature électronique : valeur juridique et preuve 2026

Le 5 mars 2026, la troisième chambre civile de la Cour de cassation a cassé un arrêt de la cour d’appel d’Aix-en-Provence pour une raison qui devrait inquiéter toutes les entreprises signant à distance (pourvoi n° 24-21.034). Un locataire contestait avoir signé électroniquement un bail meublé. Les juges du fond avaient retenu la signature sans se demander de quel type de signature il s’agissait. Cassation : le juge devait rechercher si le procédé mettait en œuvre une signature électronique qualifiée, seule à emporter présomption de fiabilité.

Traduction opérationnelle : la quasi-totalité des signatures produites chaque jour par les outils SaaS du marché ne bénéficient d’aucune présomption. Elles restent valables — mais le jour où elles sont déniées, c’est à vous de prouver qu’elles sont fiables. Voici comment le système fonctionne réellement, et ce qu’il faut faire.

Les trois niveaux de signature électronique du règlement eIDAS

Le règlement (UE) n° 910/2014, dit eIDAS, applicable depuis le 1er juillet 2016, ne connaît pas de « signature électronique » unique. Il en distingue trois, par emboîtement.

La signature électronique simple (art. 3(10)) est définie de façon volontairement large : des données sous forme électronique jointes ou associées logiquement à d’autres données électroniques, que le signataire utilise pour signer. Une case cochée, un code SMS, un tracé au doigt sur une tablette entrent dans la catégorie.

La signature électronique avancée (art. 3(11) et 26) ajoute quatre exigences cumulatives : être liée au signataire de manière univoque, permettre de l’identifier, être créée à l’aide de données que le signataire peut utiliser sous son contrôle exclusif avec un niveau de confiance élevé, et être liée aux données signées de telle sorte que toute modification ultérieure soit détectable. C’est le niveau que servent par défaut la plupart des plateformes du marché.

La signature électronique qualifiée (art. 3(12)) est une signature avancée créée à l’aide d’un dispositif qualifié de création de signature (QSCD, annexe II) et reposant sur un certificat qualifié délivré par un prestataire de services de confiance qualifié, inscrit sur la liste de confiance nationale — en France, tenue par l’ANSSI et agrégée dans la liste européenne.

Niveau	Base eIDAS	Vérification d’identité	Effet en droit français	Friction
Simple	Art. 3(10)	Aucune exigence	Recevable, aucune présomption	Nulle
Avancée	Art. 3(11), 26	Variable (e-mail + SMS, pièce d’identité)	Recevable, aucune présomption	Faible
Avancée avec certificat qualifié	Art. 3(11) + annexe I	Renforcée, certificat qualifié	Recevable, aucune présomption	Moyenne
Qualifiée	Art. 3(12) + annexes I et II	Face-à-face ou PVID certifié ANSSI	Présomption de fiabilité	Élevée

Le quatrième niveau du tableau — l’avancée adossée à un certificat qualifié — est celui qui piège le plus de juristes. Beaucoup de prestataires le commercialisent en laissant croire qu’il équivaut à la signature qualifiée. Il n’en est rien : sans dispositif qualifié de création de signature, on reste sous le seuil de l’article 3(12), et donc hors présomption.

Deux règles transversales méritent d’être retenues. L’article 25(1) d’eIDAS pose la non-discrimination : on ne peut refuser à une signature son effet juridique ni sa recevabilité en justice au seul motif qu’elle est électronique ou qu’elle n’atteint pas le niveau qualifié. L’article 25(2) confère à la signature qualifiée un effet juridique équivalent à celui de la signature manuscrite dans toute l’Union. Le règlement (UE) 2024/1183 (eIDAS 2) n’a modifié ni cette hiérarchie, ni cette équivalence.

Force probante et validité : deux questions distinctes

C’est la confusion la plus répandue, et elle coûte cher.

La validité relève des articles 1174 et 1175 du code civil. Depuis 2016, la forme électronique est admise pour tous les actes sous signature privée nécessaires à la validité d’un contrat — avec deux exceptions strictes : les actes relatifs au droit de la famille et des successions, et ceux relatifs à des sûretés personnelles ou réelles, sauf lorsqu’ils sont passés par une personne pour les besoins de sa profession. Un cautionnement souscrit par un dirigeant pour les besoins de son entreprise peut donc être signé électroniquement ; le même engagement souscrit par son conjoint à titre personnel, non.

La force probante relève des articles 1366 et 1367. L’article 1366 pose que l’écrit électronique a la même force probante que le papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité. L’article 1367 alinéa 2 ajoute que la signature électronique consiste en l’usage d’un procédé fiable d’identification garantissant son lien avec l’acte, et que la fiabilité de ce procédé « est présumée, jusqu’à preuve contraire », dans des conditions fixées par décret en Conseil d’État.

Ce décret, c’est le décret n° 2017-1416 du 28 septembre 2017. Son article 1er réserve la présomption à la signature électronique qualifiée au sens d’eIDAS. Point final. Aucun autre procédé n’y a accès.

Un acte signé au niveau simple ou avancé est donc parfaitement valable et parfaitement recevable. Il est simplement dépourvu du filet de sécurité probatoire. Tant que personne ne conteste, la différence est invisible. Le jour du contentieux, elle est déterminante.

Ce qui se passe quand la signature est déniée

L’article 287 alinéa 3 du code de procédure civile organise le mécanisme : lorsque la dénégation porte sur un écrit ou une signature électroniques, le juge vérifie si les conditions posées par les articles 1366 et 1367 du code civil sont satisfaites. Il ne peut pas s’en dispenser.

Deux décisions récentes ont fixé les conséquences pratiques.

Cass. com., 13 mars 2024, n° 22-16.487 — la signature scannée. La chambre commerciale juge que le procédé consistant à scanner une signature manuscrite, s’il est valable, ne peut être assimilé à celui utilisé pour les signatures électroniques bénéficiant de la présomption de fiabilité de l’article 1367 alinéa 2. Une image de signature collée dans un PDF est donc répudiable sans effort particulier. La Cour rejette aussi l’argument tiré d’une pratique habituelle antérieure entre les parties : l’usage ne purge pas le vice probatoire.

Cass. 3e civ., 5 mars 2026, n° 24-21.034 — l’obligation de qualifier. Au visa combiné des articles 287 du code de procédure civile, 1366 et 1367 du code civil et 1er du décret de 2017, la Cour censure la cour d’appel qui avait retenu la signature sans rechercher si le procédé mettait en œuvre une signature qualifiée. La qualification du niveau de signature devient un préalable procédural obligatoire dès que la signature est déniée.

Situation	Qui doit prouver quoi
Signature qualifiée déniée	Celui qui dénie doit renverser la présomption de fiabilité
Signature avancée déniée	Celui qui invoque l’acte doit établir la fiabilité du procédé
Signature simple déniée	Idem, avec un dossier de preuve généralement plus mince
Signature scannée déniée	Aucune présomption ; répudiation quasi automatique

Dans mon expérience de conseil, c’est ce basculement de charge qui décide de l’issue. Prouver a posteriori la fiabilité d’un procédé avancé n’est pas impossible — mais cela suppose de produire un dossier de preuve complet, cohérent et daté, que beaucoup d’entreprises découvrent ne pas détenir au moment où elles en ont besoin.

Choisir le bon niveau : grille de décision

Signer tout en qualifié serait ruineux et ferait chuter les taux de complétion. Signer tout en simple revient à parier qu’aucun de vos contrats ne sera contesté. La bonne méthode consiste à croiser deux paramètres : l’enjeu financier et la probabilité de dénégation.

Type d’acte	Niveau recommandé	Motif
Devis, bon de commande courant	Simple ou avancée	Enjeu limité, exécution vaut confirmation
Contrat commercial B2B récurrent	Avancée	Relation suivie, dénégation improbable
Contrat de travail, avenant, rupture conventionnelle	Avancée renforcée	Contentieux prud’homal fréquent
Bail, mandat immobilier	Avancée renforcée à qualifiée	Dénégation avérée en jurisprudence
Crédit, cautionnement professionnel	Qualifiée	Enjeu élevé, signataire souvent défaillant
Marché public, réponse à appel d’offres	Qualifiée	Souvent imposée par le règlement de consultation
Acte authentique électronique	Qualifiée	Régime notarial spécifique

Le critère décisif n’est pas la valeur du contrat mais le profil du signataire en cas de difficulté. Un consommateur en situation d’impayé, une caution appelée, un salarié licencié : ce sont eux qui dénient. Les décisions de 2024 et de 2026 portaient toutes deux sur ce type de configuration. Si vous exercez dans l’immobilier, la banque ou le recrutement, montez d’un cran.

Le dossier de preuve : ce qu’il faut exiger du prestataire

Puisque la présomption ne joue pas au niveau avancé, tout se joue sur le dossier de preuve — le fichier de preuve ou audit trail que votre prestataire génère. Exigez qu’il contienne, et surtout qu’il soit exportable de façon autonome :

• l’identité du signataire et la méthode de vérification employée, avec horodatage ;
• l’empreinte cryptographique du document signé et l’algorithme utilisé ;
• la chaîne de certification et l’état de validité du certificat au moment de la signature ;
• un horodatage qualifié au sens de l’article 42 d’eIDAS, opposable et vérifiable indépendamment ;
• la trace des consentements et des vues du document (ouverture, défilement, acceptation) ;
• les adresses IP, les identifiants d’appareil et l’historique des envois d’OTP ;
• la politique de signature applicable, référencée et versionnée.

Trois questions à poser en phase de sélection, dont les réponses figurent rarement dans les plaquettes commerciales. Premièrement : le fichier de preuve reste-t-il vérifiable si je résilie mon abonnement ? Deuxièmement : combien de temps le conservez-vous, et sous quel format ? Troisièmement : êtes-vous inscrit sur la liste de confiance et pour quels services précisément — un prestataire peut être qualifié pour l’horodatage sans l’être pour la signature.

Sur le volet conservation, appliquez la même logique que pour l’archivage des factures électroniques : le dossier doit survivre à la prescription applicable, soit cinq ans en droit commun (art. 2224 du code civil), davantage pour les actes de construction ou les documents comptables. Un abonnement SaaS résilié ne doit jamais emporter la disparition de vos preuves. C’est la même exigence de traçabilité continue que celle imposée par la piste d’audit fiable en matière de TVA.

La signature électronique face au RGPD

Le sujet est presque toujours traité sous l’angle du droit de la preuve, et presque jamais sous celui de la protection des données. C’est une erreur, car la signature à distance concentre plusieurs points de friction.

Qualification des rôles : le prestataire a une double casquette

Quand votre plateforme de signature exécute vos parcours, elle agit pour votre compte : c’est un sous-traitant au sens de l’article 4(8), et un contrat conforme à l’article 28 du RGPD s’impose, avec les mentions de l’article 28(3) — y compris l’obligation de supprimer ou de restituer les données au terme de la prestation.

Mais lorsque ce même prestataire délivre un certificat qualifié, il détermine les finalités et les moyens de ce traitement en application d’obligations qui lui sont propres au titre d’eIDAS. Il est alors responsable de traitement. La qualification est donc mixte, et votre contrat doit la refléter traitement par traitement. J’ai vu beaucoup de DPA signés à l’aveugle qui traitent le prestataire comme un pur sous-traitant : c’est inexact et cela crée un angle mort dans le registre des activités de traitement.

Vérification d’identité à distance : attention à l’article 9

Pour délivrer un certificat qualifié sans face-à-face, le prestataire doit recourir à un PVID — prestataire de vérification d’identité à distance — certifié selon le référentiel publié par l’ANSSI le 1er mars 2021, aux niveaux substantiel ou élevé. Ces parcours reposent sur la capture du titre d’identité et sur une comparaison faciale.

Or la comparaison faciale produit des données biométriques aux fins d’identifier une personne physique de manière unique. Elles relèvent de l’article 9 du RGPD et sont en principe interdites, sauf exception. En pratique, la voie retenue est le consentement explicite de l’article 9(2)(a) — ce qui implique une conséquence trop souvent négligée : un consentement n’est libre que s’il existe une alternative réelle. Vous devez donc prévoir un parcours de substitution, typiquement une vérification en présentiel ou par visioconférence assistée. Sur la qualification et le régime de ces données, voir nos analyses des données biométriques et des données sensibles.

Deuxième point de vigilance : la durée de conservation des images. Le référentiel PVID impose une conservation destinée à la traçabilité du contrôle, mais elle doit rester proportionnée. Conserver indéfiniment des selfies vidéo et des copies de titres d’identité dans un bucket de stockage est exactement le type de manquement à l’article 5(1)© et (e) que la CNIL sanctionne.

Base légale, minimisation, sécurité

La signature elle-même repose généralement sur l’article 6(1)(b) — exécution du contrat ou mesures précontractuelles. La conservation du dossier de preuve au-delà de la relation relève plutôt de l’intérêt légitime au titre de l’article 6(1)(f), ou de l’obligation légale de l’article 6(1)© lorsqu’un texte impose l’archivage. Documentez ce basculement de base légale dans votre registre : c’est un point que les contrôles CNIL regardent.

Côté sécurité, la signature à distance concentre des données d’identification à forte valeur : titres d’identité, biométrie, coordonnées, historique contractuel. Un incident sur ce périmètre déclenche presque à coup sûr l’obligation de notification de l’article 33. Vérifiez les certifications du prestataire — ISO/IEC 27001 au minimum, SecNumCloud si vous manipulez des données sensibles ou opérez sous NIS2 — et localisez précisément les traitements. Beaucoup de solutions largement déployées en France reposent sur des sous-traitants ultérieurs établis hors de l’Union : le chapitre V s’applique et l’analyse doit être formalisée.

Si vous industrialisez un parcours de signature avec vérification biométrique auprès d’un large public, une analyse d’impact est difficilement évitable : traitement de données sensibles à grande échelle, recours à une technologie innovante, deux critères des lignes directrices WP248 du G29. Notre guide pratique de l’AIPD détaille la méthode.

Ce qui change avec eIDAS 2 et le portefeuille européen

Le règlement (UE) 2024/1183 du 11 avril 2024, entré en vigueur le 20 mai 2024, ne bouleverse pas la hiérarchie des signatures. Il ajoute une couche d’identité.

Chaque État membre doit mettre à disposition au moins un portefeuille européen d’identité numérique (EUDI Wallet) d’ici le 24 décembre 2026. Ce portefeuille permettra de prouver son identité par authentification forte et de partager des attestations électroniques d’attributs — un diplôme, un permis, un mandat social, une qualité professionnelle — de façon vérifiable et sélective.

Deux conséquences concrètes pour les entreprises.

D’abord, le portefeuille embarquera une capacité de signature électronique qualifiée gratuite pour les usages non professionnels. L’obstacle historique à la généralisation du niveau qualifié — le coût et la lourdeur de l’enrôlement — est en voie de disparition côté consommateurs. La grille de décision présentée plus haut devra être révisée à partir de 2027.

Ensuite, un large éventail d’organisations devra accepter les portefeuilles nationaux sur ses services à horizon 24 décembre 2027 : plateformes soumises au DSA, et acteurs des secteurs réglementés — banque, assurance, santé, transport, énergie, télécoms, éducation. Si votre parcours d’entrée en relation repose aujourd’hui sur la collecte de copies de pièces d’identité, cette échéance est aussi une opportunité de minimisation : le portefeuille permet de prouver un attribut isolé (la majorité, la résidence) sans transmettre le document entier. C’est de la minimisation par construction, et cela réduit mécaniquement votre exposition en cas de violation.

Anticipez enfin la coordination avec la facturation électronique obligatoire et avec la directive ViDA : cachet électronique qualifié, horodatage et archivage à valeur probante relèvent du même corpus eIDAS et gagnent à être traités dans un projet unique plutôt que dans trois chantiers parallèles.

Ce qu’il faut retenir

• Seule la signature qualifiée bénéficie de la présomption de fiabilité en droit français (décret n° 2017-1416, art. 1er). Les niveaux simple et avancé sont valables et recevables, mais sans filet probatoire.
• La signature scannée n’est pas une signature électronique : la chambre commerciale l’a jugé le 13 mars 2024 (n° 22-16.487). Elle est répudiable sans effort.
• Depuis le 5 mars 2026 (Cass. 3e civ., n° 24-21.034), le juge saisi d’une dénégation doit rechercher le niveau de signature employé. La qualification devient un préalable procédural.
• Calibrez le niveau sur le risque de dénégation, pas sur le montant du contrat : baux, crédits, cautionnements et actes de rupture appellent le niveau qualifié ou une avancée fortement documentée.
• Le dossier de preuve doit être exportable et survivre à la résiliation de votre abonnement, au minimum jusqu’à la prescription applicable.
• Côté RGPD, le prestataire a une double casquette responsable/sous-traitant, la vérification faciale relève de l’article 9, et un parcours alternatif au consentement biométrique est obligatoire.
• Deux échéances à inscrire au plan de charge : portefeuille européen disponible au 24 décembre 2026, obligation d’acceptation au 24 décembre 2027.

FAQ

Une signature électronique simple a-t-elle une valeur juridique ?

Oui. L’article 25(1) du règlement eIDAS interdit de refuser à une signature son effet juridique ou sa recevabilité en justice au seul motif qu’elle est électronique ou qu’elle n’atteint pas le niveau qualifié. Un contrat signé par simple case cochée est donc valable et opposable. La différence ne porte pas sur la validité mais sur la preuve : en cas de dénégation, c’est à vous de démontrer la fiabilité du procédé, alors que la signature qualifiée bénéficie d’une présomption.

Peut-on signer un contrat de travail par signature électronique ?

Oui, aucun texte ne l’interdit et l’article 1174 du code civil admet la forme électronique pour les actes sous signature privée. Compte tenu de la fréquence du contentieux prud’homal, il est recommandé d’utiliser au minimum une signature avancée avec vérification d’identité renforcée, et de conserver le dossier de preuve pendant toute la durée de la relation puis jusqu’à l’expiration des délais de prescription. Les mêmes précautions valent pour les avenants et les ruptures conventionnelles.

Quelle est la différence entre signature électronique et signature scannée ?

Une signature scannée est une image : elle ne comporte ni lien cryptographique avec le document, ni mécanisme de détection des modifications, ni vérification d’identité. Elle ne remplit donc aucune des exigences de l’article 26 d’eIDAS. La Cour de cassation l’a confirmé le 13 mars 2024 : le procédé de signature scannée, s’il est valable, ne peut être assimilé à celui des signatures électroniques bénéficiant de la présomption de fiabilité. Une pratique habituelle entre les parties ne change rien.

Combien de temps faut-il conserver le dossier de preuve d’une signature ?

Au minimum jusqu’à l’expiration du délai de prescription de l’action fondée sur l’acte signé, soit cinq ans en droit commun (art. 2224 du code civil), dix ans pour les documents comptables (art. L. 123-22 du code de commerce), davantage pour certains actes de construction. La conservation doit reposer sur une base légale identifiée dans votre registre — obligation légale ou intérêt légitime — et le fichier de preuve doit rester vérifiable indépendamment de votre abonnement au prestataire.

La vérification d’identité par selfie est-elle conforme au RGPD ?

Elle peut l’être, à conditions strictes. La comparaison faciale produit des données biométriques d’identification unique, interdites par principe au titre de l’article 9(1). L’exception mobilisée en pratique est le consentement explicite de l’article 9(2)(a), ce qui suppose une alternative réelle offerte à la personne — sans quoi le consentement n’est pas libre. Il faut en outre limiter strictement la durée de conservation des captures, chiffrer les flux et les stockages, et documenter le tout, généralement dans une analyse d’impact.

Quels actes ne peuvent pas être signés électroniquement ?

L’article 1175 du code civil écarte la forme électronique pour deux catégories : les actes sous signature privée relatifs au droit de la famille et des successions, et ceux relatifs à des sûretés personnelles ou réelles, sauf lorsqu’ils sont passés par une personne pour les besoins de sa profession. Un cautionnement souscrit par un dirigeant pour son entreprise peut donc être signé électroniquement ; le même engagement souscrit à titre purement personnel, non.

---

Vous voulez recevoir ce type d’analyse chaque semaine ? Décisions de justice décryptées, méthodes applicables, échéances réglementaires anticipées : inscrivez-vous à la newsletter. Une analyse par semaine, rien d’autre.