FI/SP/00

Problèmes juridiques liés à la sécurité des transactions sur le réseau

Michel Jaccard,avocat à Genève et chargé de cours à l'Uni-Fribourg, jaccard@ttv.ch

Introduction

Une des applications les plus répandues du commerce électronique est certainement la conclusion et l'exécution de véritables transactions juridiquement contraignantes sur un réseau ouvert comme Internet.

De telles transactions peuvent se nouer entre entreprises (business to business ou B2B) ou entre entreprises et consommateurs (business to consumers ou B2C), pour tous les cas où l'une des parties (personne physique) achète des biens, consomme des marchandises ou utilise des services à des fins non professionnelles. Mais l'on trouve également un commerce électronique entre particuliers (private to private [P2P] ou consumer to consumer [C2C]), dont un des aspects les plus spectaculaires est sans doute l'essor des ventes aux enchères en ligne, auxquelles participent d'ailleurs parfois aussi des sociétés commerciales.

Dans cet article, nous nous concentrerons sur quelques caractéristiques juridiques du commerce B2C en milieu ouvert, qui offre la plus grande vulnérabilité au plan de la sécurité. En effet, le commerce B2B se déroule en général entre partenaires connus faisant des affaires ensemble sur le long terme plutôt qu'occasionnellement, la plupart du temps au sein d'un réseau fermé. Dès lors, les problèmes sécuritaires, techniques et commerciaux sont généralement traités préalablement dans des contrats-cadres négociés, parfois appelésConventions d'interchange.

Les transactions B2C en milieu ouvert

Concrètement, les transactions B2C typiques qui se déroulent sur le réseau s'analysent au plan juridique comme l'achat/vente de marchandises ou la prestation de services de toutes sortes (téléchargement de logiciels ou accès à des bases de données en ligne par exemple).

De telles transactions sont-elles juridiquement valables? La véritable question est plutôt: pour quelles raisons les transactions en cause ne seraient-elles plus juridiquement valables, ou seraient valables à des conditions différentes, par hypothèse plus strictes, que celles qui s'appliqueraient à ces mêmes transactions si elles étaient conclues et/ou exécutées en dehors du réseau, de façon traditionnelle?

Schématiquement, le passage à Internet entraîne les caractéristiques suivantes:

Les véritables problèmes juridiques du commerce électronique: la preuve et la sécurité

Au plan civil, les règles de preuves devant les tribunaux varient de canton à canton, même si quelques principes sont unifiés au plan fédéral. Il en va ainsi de la libre appréciation des preuves. En vertu de ce principe, il n'existe pas de catégories privilégiées de preuve (témoignage plutôt que document écrit, original plutôt que copie par exemple). Ainsi, un papier original signé à la main n'aura pas, a priori, une valeur probante supérieure à celle du print-out d'un log file stocké sur disque optique. Il demeure bien entendu qu'un avantage de fait peut subsister en faveur de celui ou celle qui étaie ses affirmations par des moyens de preuve plus traditionnels que des données informatiques, auxquelles les tribunaux suisses ne sont pas encore (entièrement) familiarisés.

Le principe de la libre appréciation des preuves implique également que toute preuve doit obligatoirement emporter l'intime conviction du juge pour être retenue. Prétendre donc qu'une preuve informatique est admissible a priori devant les tribunaux suisses ne dispense en aucun cas celui ou celle qui cherche à s'en prévaloir de tout mettre en oeuvre pour que le juge soit effectivement convaincu de la véracité du contenu de la preuve en question.

Dans cette perspective, c'est bien entendu la fiabilité des systèmes de sauvegarde, le professionnalisme de l'organisation interne et la qualité des mesures de sécurité prises qui joueront un rôle décisif. Typiquement, c'est par une combinaison des différents modes de preuve qu'une allégation pourra être démontrée: en plus de la production des documents pertinents imprimés à partir d'une copie de sauvegarde sûre, il s'agira de faire en sorte que le responsable de la sécurité informatique de la société incriminée témoigne des mesures prises dans le traitement de l'information, dont la fiabilité pourrait encore être corroborée par un expert neutre.

Des solutions sont donc possibles; leur coût risque pourtant d'être disproportionné par rapport à l'objet du litige. C'est pourquoi l'adoption récente en Suisse d'une réglementation en matière d'infrastructure à clé publique (Public Key Infrastructure ou PKI) revêt une importance particulière.

L'ordonnance du Conseil fédéral du 12 avril 2000 sur les services de certification électronique (OSCert)

Cette ordonnance, entrée en vigueur le 1er mai 2000, est le premier texte réglementaire en Suisse qui traite de manière cohérente de l'introduction d'une PKI et de la possibilité de recourir à des systèmes de signature numérique pour, en particulier, faciliter la preuve des transactions informatiques.

Concrètement, la signature électronique d'un fichier (texte, son, image) résulte de l'utilisation d'une clé mathématique privée (connue du seul signataire) et d'un algorithme cryptographique, appliqué au texte original. Ainsi, la signature électronique constitue un ensemble de données numériques chiffrées, distinctes du message original. Le lien entre le texte et sa signature n'est plus physique, mais logique. A la clé privée de l'expéditeur correspond une clé cryptographique publique, connue du destinataire, que celui-ci va utiliser pour déchiffrer la signature électronique et comparer le résultat au message original. S'ils correspondent, c'est la garantie que le message a été signé électroniquement par le titulaire de la clé privée correspondante et qu'il n'a pas été modifié ni altéré pendant sa transmission, puisque seul le titulaire de la clé privée peut générer une signature électronique et qu'il est (quasiment) impossible de la reconstituer en connaissant uniquement la clé publique. La confidentialité de la transmission est par ailleurs assurée si l'expéditeur du message le chiffre avec la clé publique du destinataire avant de le signer électroniquement avec sa propre clé privée. L'ensemble du processus est bien évidemment automatisé, quasi transparent pour l'utilisateur et ne prend que quelques secondes.

Pour parfaire la sécurité du système, il importe encore qu'une autorité de certification tierce (parfois appelée cybernotaire) atteste vis-à-vis de tous et notamment du destinataire d'un message signé numériquement que le titulaire de la clé privée qui a signé le message est bien une personne déterminée plutôt qu'une autre. La première tâche de l'autorité de certification est donc la vérification de l'identité de la personne en cause, par une apparition physique à un guichet d'enregistrement et la présentation de documents de légitimation. Sur cette base, un certificat électronique (sorte de passeport pour le monde virtuel) est établi, contenant en particulier le nom du client et la clé publique qui l'identifie vis-à-vis des tiers. Pour garantir son authenticité, ce certificat est signé électroniquement par l'autorité de certification elle-même, avant d'être mis à disposition de tous dans un registre librement accessible sur le réseau. L'autorité de certification doit enfin, le cas échéant, s'engager à suspendre ou à révoquer immédiatement un certificat s'il s'avère que son titulaire le demande ou que la clé privée a été perdue.

Dans un tel système, authentification, intégrité et confidentialité sont garanties, ce qui est bien entendu propre à renforcer la confiance des utilisateurs sur le réseau et à faciliter la preuve des transactions qui s'y déroulent.

Alors que la directive communautaire sur la question, adoptée en décembre dernier, règle non seulement le fonctionnement d'une PKI mais consacre également l'équivalence entre la signature manuscrite et la signature électronique, l'Ordonnance du Conseil fédéral se contente de prévoir les conditions juridiques, techniques et financières auxquelles autorités de certification doivent satisfaire si elles entendent être soumises à l'Ordonnance. Bien que volontaire, le régime est cependant incitatif si l'on considère qu'une autorité de certification reconnue jouira certainement d'une légitimité supérieure et du «label de qualité» officiel.

Sans entrer dans les détails, les conditions posées par l'Ordonnance ont trait en particulier à la qualification du personnel et à la solidité financière qui doit être suffisante pour faire face à l'éventuelle responsabilité qui découlerait d'une certification erronée. La responsabilité d'une autorité de certification peut en effet être engagée tant vis-à-vis de son client, au nom duquel elle a établi un certificat électronique erroné, que vis-à-vis des destinataires des messages signés électroniquement. De façon à renforcer la prévisibilité, l'Ordonnance prévoit que l'autorité de certification sera responsable en cas de certification erronée, à moins de pouvoir démontrer qu'aucune faute ne lui est imputable. Cette réglementation spécifique du régime de responsabilité est très certainement un des aspects importants de l'Ordonnance et devrait renforcer la confiance des utilisateurs. Dans ce même souci, l'Ordonnance prévoit également la possibilité d'obtenir des autorités de surveillance des fournisseurs des services de certification une attestation de la conformité et de la validité du certificat électronique à un moment donné, ce qui devrait faciliter la preuve des transactions, notamment dans le cadre de poursuites judiciaires.

Conclusion

Dans le cadre du commerce électronique les problèmes juridiques liés à la sécurité informatique sur un réseau ouvert comme Internet ne concernent pas en premier lieu la validité des contrats qui pourraient s'y conclure puisqu'une signature manuscrite et un support papier ne sont que rarement exigés par la loi pour les transactions en cause. La preuve n'est pas non plus impossible, même si elle risque d'être coûteuse, pour autant qu'elle s'appuie sur un ensemble de mesures préventives efficaces.

Dès lors, la véritable problématique juridique liée à la sécurité des transactions en ligne consiste à faciliter la preuve de l'intégrité des communications et l'identification des partenaires commerciaux sur le réseau, ce qu'une infrastructure à clé publique permet.

Dans cette perspective, l'entrée en vigueur de l'Ordonnance du Conseil fédéral sur les services de certification électronique constitue sans conteste un premier pas important vers la sécurisation du commerce électronique en Suisse. En choisissant une réglementation compatible avec les textes internationaux déjà existants, la Suisse démontre en outre qu'elle entend fournir aux acteurs de la Nouvelle Economie un environnement juridique et réglementaire adéquat. Cependant, un texte légal consacrant l'équivalence véritable entre la signature électronique et la signature manuscrite doit encore être adopté, et un projet de loi dans ce sens est d'ores et déjà annoncé dans les prochains mois. Espérons que le législateur suisse continue à ce rythme.

Quelques références bibliographiques et sites Internet utiles


retour au sommaire du Flash informatique spécial été 2000
retour à la page principale des Flash informatique
Vos commentaires
© FI spécial été 2000 du 5 septembre 2000