Projet de loi relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à

(24361); Trib. adm., 13 juillet 2009

(25167), confirmé par Cour adm., 26 janvier 2010 (26004C) ; Trib. adm., 30 octobre 2013

(31317); Trib. adm., 3 juillet 2019

(39701)). 2 Code des relations entre le public et l’administration (voir notamment les articles L.112-7 à R-112-20 relatifs aux échanges par voie électronique, et les articles L.212-1 à L-212-3 relatifs à la signature des décisions administratives) ; Ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives. 2 sur les relations entre l’administré et l’administration les modalités de l’échange interinstitutionnel. Ce n’est que sous réserve des considérations qui précèdent que le Conseil d’État procède à l’examen des articles. En ce qui concerne les exigences qui découlent du règlement eIDAS, le Conseil d’État relève que, contrairement aux développements qui figurent à l’exposé des motifs, celles-ci s’appliquent aux signatures électroniques visées par le dispositif sous revue. Il renvoie à cet égard notamment aux articles 27 et 37 dudit règlement eIDAS, portant sur les signatures et cachets électroniques dans les services publics ainsi qu’au considérant 2 visant les « interactions électroniques entre les citoyens, les entreprises et les autorités publiques » et au considérant 12 visant les « services publics ». Le Conseil d’État renvoie également à l’arrêt « Ekofrukt » de la Cour de justice de l’Union européenne du 20 octobre 20223 duquel il ressort que le règlement eIDAS s’applique aux décisions administratives signées électroniquement. En effet, il résulte de cette jurisprudence que si ledit règlement n’impose aux États membres ni de recourir à la voie électronique ni le type particulier de signature électronique auquel il faut avoir recours dans le cadre de l’établissement d’un acte juridique donné, notamment d’une décision administrative adoptée sous la forme d’un document électronique, il s’applique toutefois à partir du moment où le droit national prévoit la possibilité d’un acte électronique, notamment pour ce qui concerne les effets juridiques attachés aux signatures électroniques qualifiées. Le Conseil d’État rappelle encore que les traitements de données qui tombent dans le champ d’application du règlement eIDAS s’effectuent, en vertu de l’article 5 de ce règlement, conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (Règlement général sur la protection des données), ci-après « RGPD ». Outre les exigences qui découlent du RGPD, le Conseil d’État tient également à souligner que le traitement des données à caractère personnel relève d’une matière réservée à la loi en application de l’article 31 de la Constitution. Le Conseil d’État approfondira ces aspects lors de l’examen des articles. Concernant finalement la fiche financière jointe au présent projet de loi, le Conseil d’État aurait trouvé utile de procéder à la ventilation des différents coûts notamment pour ce qui est des dépenses d’investissement liées à la création de la plateforme sécurisée et des dépenses annuelles relatives à son fonctionnement. 3 CJUE, 20 octobre 2022, Ekofrukt, aff. C-362/21, ECLI:EU:C:2022:

1. 3 Examen des articles Article 1er Paragraphes 1er et 3 Le paragraphe 1er prévoit que les « actes en matière administrative peuvent se voir apposer une signature ou un cachet électroniques ». D’après le commentaire, cette disposition traduit l’objet du projet de loi, qui est « d’introduire la possibilité d’apposer la signature électronique ou le cachet électronique sur les actes en matière administrative ». Il résulte du commentaire de l’article que les auteurs veulent donner à l’expression « actes en matière administrative » une portée large, visant à la fois les actes émanant de l’administration et ceux que les citoyens adressent à l’administration, « le but du projet étant de couvrir la quasi-totalité des actes susceptibles d’être produits tant entre l’État et ses administrés, qu’entre les différents services étatiques au sens large ». Seuls sont en définitive exclus du champ d’application les actes sous seing privé et les actes authentiques que l’État est amené à passer, et ce au motif que ces actes sont régis par d’autres dispositions légales. Tout en renvoyant aux développements figurant dans les considérations générales, le Conseil d’État se demande si un enchevêtrement de définitions tel qu’il figure au paragraphe 3 de l’article sous examen est véritablement nécessaire pour atteindre l’objectif ainsi décrit. Aux yeux du Conseil d’État, il suffirait pour cela de prévoir dans la loi en projet que « les administrés peuvent signer électroniquement tout acte qu’ils adressent à une autorité administrative ou à une entité exerçant une activité administrative » et que « les autorités administratives et les entités exerçant une activité administrative peuvent signer électroniquement l’ensemble des actes relatifs à l’exercice de leur activité ». Au vu de l’objectif annoncé qui est de permettre la signature électronique de tous les actes produits par les autorités administratives, il est en effet préférable de donner à la loi un champ d’application large et, le cas échéant, de n’énumérer précisément que les actes exclus de ce champ d’application. L’exclusion des actes sous seing privé et des actes authentiques du champ d’application ne paraît pas requise. Dès lors que le droit commun autorise l’établissement des uns et des autres sous format électronique (articles 1317-1, 1317-2 et 1322-1 du Code civil), le Conseil d’État n’entrevoit pas pour quelle raison les actes relatifs à une activité administrative ne pourraient pas également être dressés sous cette forme. Si le Conseil d’État est suivi, les définitions prévues aux points 1° à 4° du paragraphe 3 pourront être supprimées. Si le Conseil d’État n’était pas suivi dans sa proposition de renoncer à une définition autonome de la notion d’autorité administrative, la référence au Grand-Duc « en sa qualité de chef de l’État » qui figure au point 4° devrait cependant être reconsidérée au regard des observations formulées à l’endroit des considérations générales. 4 Au même endroit, la définition devrait encore être complétée par l’ajout d’une référence aux sociétés, associations et groupements formés par une ou plusieurs des autorités y visées. Il est en effet possible de recourir à des formes associatives autres que le syndicat intercommunal pour exercer certaines activités administratives. Concernant les « autres entités » visées au point 5° du paragraphe 3, le Conseil d’État observe qu’elles n’exercent pas, à titre principal, une activité administrative et ne sont donc susceptibles de produire des « actes relatifs à l’exercice d’une activité administrative » que dans des cas bien spécifiques
2. Il renvoie par ailleurs à ses considérations générales dans lesquelles il a émis la recommandation de traiter les rapports interinstitutionnels séparément des rapports des administrés avec les administrations. Si le Conseil d’État est suivi, les auteurs devront veiller à ne plus se référer, aux articles 3 et 4, à la notion spécifique d’« acte public » définie au point 1°. Cette expression n’a en effet pas de signification univoque dans le droit administratif général, qui se réfère plutôt à des notions comme « acte administratif » ou « acte relatif à l’exercice d’une activité administrative ». Paragraphe 2 Au paragraphe 2, il convient de préciser que sont visés les termes et expressions qui sont définis à l’article 3 du règlement eIDAS, au lieu de viser en général « les termes et expressions utilisés dans la présente loi ». Ainsi, il est suggéré de reformuler le paragraphe en question comme suit : «

(2)Les termes et expressions définis à l’article 3 du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE ont la même signification dans la présente loi. » Article 2 Les paragraphes 1er et 4 de l’article sous revue ne font que rappeler, en d’autres termes, l’objet du texte en projet qui est déjà énoncé à suffisance à l’article 1er, paragraphe 1er, de sorte qu’il convient de les supprimer comme étant redondants. Les paragraphes 2, 3, 5 et 6 sont à supprimer, sous peine d’opposition formelle, au motif qu’ils entravent l’applicabilité directe du règlement eIDAS. En effet, les paragraphes 2 et 5 ne font que rappeler les règles figurant aux articles 25 et 35 du règlement eIDAS, pris dans leur globalité, tandis que les paragraphes 3 et 6 réitèrent spécifiquement les règles figurant à l’article 25, paragraphe 1er, et 35, paragraphe 1er, du règlement eIDAS

1. 4 Cour admin., 8 décembre 2009, n° 25668C, p.
2. Selon le commentaire, « le troisième paragraphe de l’article 2 a pour objet d’assurer qu’aucune exigence légale ou réglementaire d’ordre formel, relative à la validité des actes en matière administrative, ne puisse faire obstacle à la signature électronique de ces actes. Ainsi, on ne pourra priver de validité juridique les actes en matière administrative au seul motif qu’ils ont été signés par voie électronique » et « le paragraphe six précise que pour le cachet électronique également, ne peuvent être privés de validité juridique les actes en matière administrative au seul motif qu’ils ont été cachetés électroniquement ». 5 5 Le paragraphe 7 ne fait qu’énoncer une évidence et peut être omis pour être superfétatoire, de sorte que l’article 2 peut être supprimé dans son intégralité. Article 3 La disposition vise à déterminer le type de signature ou de cachet électroniques requis pour la perfection juridique de l’acte, attribution qui revient effectivement aux États membres au regard, notamment, de l’article 2 du règlement eIDAS
3. Le Conseil d’État fait cependant observer que tel que le dispositif est formulé, il s’appliquera seulement « lorsqu’une signature électronique (ou un cachet électronique) est nécessaire à la perfection d’un acte public », soit dans les cas uniquement où la loi ou le règlement prévoient expressément l’apposition d’une signature ou d’un cachet électroniques. Comme il n’est vraisemblablement pas dans l’intention des auteurs de restreindre ainsi le champ d’application de la disposition, le Conseil d’État propose d’étendre l’exigence d’une signature électronique qualifiée à l’ensemble des actes signés ou cachetés électroniquement par les autorités administratives et les entités exerçant une activité administrative en écrivant : «

(1)Lorsqu’une signature électronique est nécessaire à la perfection d’un acte public, celle-ci La signature électronique apposée par une autorité administrative ou une entité exerçant une activité administrative au sens de la présente loi doit correspondre à une signature électronique qualifiée telle que prévue à l’article 3, point 12, du règlement (UE) n° 910/2014 précité.

(2)Lorsqu’un cachet électronique est nécessaire à la perfection d’un acte public, celui-ci Le cachet électronique apposé par une autorité administrative ou une entité exerçant une activité administrative au sens de la présente loi doit correspondre à un cachet électronique qualifié tel que prévu à l’article 3, point 27, du règlement (UE) n° 910/2014 précité. » Le Conseil d’État précise que la référence à l’article 3 du règlement eIDAS a été omise puisque les termes employés dans la loi en projet ont, en vertu de son article 1er, paragraphe 2, la signification que leur donne ce règlement. Le Conseil d’État souligne aussi que la proposition de texte qu’il formule ne reprend pas la terminologie spécifique d’« acte public » dès lors qu’il a préconisé la suppression de la définition afférente à l’article 1er du projet de loi sous examen. Si le Conseil d’État n’était pas suivi sur ce point, la proposition de texte devrait être ajustée. Article 4 L’article 4 a trait à la transmission des « actes publics » signés électroniquement. 6 « Les États membres sont libres de décider si les communications et les avis émis notamment par l’administration fiscale à l’égard des assujettis peuvent se présenter sous une forme électronique et, le cas échéant, de déterminer quel type de signature électronique est requis en fonction des circonstances » (CJUE, 20 octobre 2022, Ekofrukt, aff. C-362/21, ECLI:EU:C:2022:815, pt. 36.) 6 Dans la suite de ce qu’il a déjà relevé dans ses considérations générales, le Conseil d’État constate que le texte sous revue omet de régler de nombreux aspects de la procédure de transmission et d’échange par voie électronique des actes en matière administrative. Il estime qu’une application généralisée des règles sous revue aux différents types d’échanges visés par le projet de loi est inconcevable. Comme d’ores et déjà souligné à l’endroit des considérations générales, les échanges par voie électronique entre l’administré et l’administration requièrent la mise en place d’un cadre légal étoffé qui détermine les conditions et modalités spécifiques applicables aux échanges. À titre subsidiaire, le Conseil d’État relève que le dispositif sous revue prévoit tant la possibilité d’une transmission par voie électronique qu’une transmission sur support papier par voie postale dans le chef de l’administration, mais il ne précise pas selon quelles conditions il est recouru à l’une ou l’autre procédure. Tel que libellé, le texte pourrait être interprété comme conférant à l’agent chargé de la transmission le choix d’opter pour l’une ou l’autre voie, ce qui serait inacceptable. Le Conseil d’État comprend néanmoins, à la lecture de l’exposé des motifs, que ceci n’a pas été l’intention des auteurs. Il renvoie ici aussi au dispositif français qui règle de manière détaillée la procédure applicable. En ce qui concerne le paragraphe 4, le Conseil d’État renvoie aux considérations générales à l’endroit desquelles il recommande aux auteurs de régler séparément les échanges interinstitutionnels. Il donne encore à considérer que la disposition sous revue est source d’insécurité juridique en ce qu’elle porte à croire que les autorités administratives pourraient être amenées à transmettre l’ensemble des actes publics mis à leur disposition à la Chambre des députés, au Conseil d’État et aux chambres professionnelles. Au vu de cette insécurité juridique, des imprécisions relevées et du caractère lacunaire de l’article sous revue, le Conseil d’État doit s’y opposer formellement. Article 5 L’article sous revue prévoit que les actes publics signés ou cachetés électroniquement sont conservés pendant une durée de trente ans, et cela sans préjudice de leur durée d’utilité administrative, sur « la plateforme sécurisée ou une plateforme équivalente ». Il découle tant du texte de la disposition sous avis que du commentaire de celle-ci que cette conservation est indépendante de celle effectuée autre part, et notamment dans le dossier d’origine dont la décision en question fait partie, et qui suivra le régime de droit commun, y compris pour ce qui est de l’accès aux documents archivés, établi par la loi modifiée du 17 août 2018 sur l’archivage. Le Conseil d’État comprend que la plateforme est destinée à permettre aux administrés de télécharger l’original numérique au moyen de l’identifiant numérique transmis sur support papier, et ce dès réception et pendant une durée de trente ans. Selon le commentaire des articles, la mise en place de la plateforme de stockage des actes s’inscrit dans le cadre de l’inclusion numérique. Le Conseil d’État a cependant du mal à comprendre en quoi la mesure proposée favoriserait l’e-inclusion, concept qui est généralement compris comme un 7 processus rendant le numérique plus accessible à ceux qui ne disposent pas des compétences et équipements requis en la matière. Dans ce contexte, le Conseil d’État signale que l’article L.311-9 du Code français des relations entre le public et l’administration règle de manière détaillée les modalités du droit à la communication de documents administratifs. Ce dispositif confère à l’administré le choix entre différents modes de mise à disposition des documents. De manière plus substantielle, pour le Conseil d’État, la durée de conservation des actes signés ou cachetés électroniquement ne devrait pas différer de celle prévue pour les actes dotés d’une signature manuscrite. La durée de conservation étant fonction de la finalité du traitement, celle-ci devrait par conséquent être la même pour les actes dotés d’une signature manuscrite que pour ceux dotés d’une signature électronique. L’objet de cette plateforme est de conserver de manière généralisée l’ensemble des actes publics visés pendant une durée de trente ans qui est fixée à partir du moment de la perfection de l’acte. Aucune définition de la finalité poursuivie par ce traitement n’est cependant prévue par la loi en projet, contrairement à ce qu’exige l’article 31 de la Constitution. Une conservation des données à caractère personnel de manière généralisée pendant trente ans est également contraire aux principes de minimisation et de limitation de conservation consacrés par l’article 5 du RGPD. Le Conseil d’État doit dès lors s’opposer formellement à l’article sous revue. Le Conseil d’État renvoie encore à ses observations relatives à l’article 7 du projet sous avis. Article 6 L’article sous revue a trait aux modalités de transmission des actes émanant des administrés qui sont pourvus d’une signature électronique. Le Conseil d’État comprend que l’utilisation de la signature électronique reste facultative pour l’administré. Ce n’est que lorsqu’il fait le choix de signer sa demande ou son acte électroniquement qu’il doit utiliser l’un des moyens de transmission prévus dans l’article sous examen. Cette disposition ne donne pas lieu à d’autres observations. Article 7 L’article 7 décrit « la plateforme sécurisée ainsi que toute plateforme équivalente », qui est mentionnée pour la première fois à l’endroit de l’article 5 relatif à l’accessibilité des actes publics signés ou cachetés électroniquement. Cette plateforme est censée servir de lieu de stockage de tous documents signés ou cachetés électroniquement. L’article sous revue précise que la « plateforme sécurisée » est « opérée par le CTIE et est mise à disposition des administrations de l’État ». En ce qui concerne « toute plateforme équivalente », il ressort du commentaire des articles que les administrations peuvent, au lieu d’utiliser la plateforme sécurisée, se servir « de leur propre plateforme », tant que celle-ci est 8 « équivalente », dispose des mêmes propriétés technologiques et respecte les mêmes standards d’interopérabilité que la plateforme sécurisée du CTIE. La disposition sous examen contrevient, pour les raisons déjà développées à l’endroit de l’article 5, à l’article 31 de la Constitution, qui prévoit que des données à caractère personnel ne peuvent être traitées qu’à des fins et à des conditions déterminées par la loi, et aux exigences résultant de l’article 5 du RGPD. Le Conseil d’État doit donc s’opposer formellement à l’article 7 du projet de loi. Le Conseil d’État relève encore qu’il est en l’espèce impossible d’identifier le responsable du traitement en raison notamment de l’absence de définition des finalités du traitement. Au-delà de ce qui précède, le Conseil d’État se demande si le choix technologique de rendre accessibles des documents pouvant contenir des données à caractère personnel, voire même des données sensibles, simplement au moyen d’un code lisible par une machine ou par un être humain, code qui est imprimé sur une copie pouvant tomber entre les mains de personnes que le document ne concerne pas, sans aucune forme de sécurisation, suffit à satisfaire aux exigences du RGPD concernant les mesures de sécurité techniques et organisationnelles. Le Conseil d’État signale encore que le projet de règlement grand-ducal n° 61.219 dont il est également saisi évoque une possibilité d’accès aux plateformes sécurisées par des « systèmes autorisés » non autrement définis. Concernant le choix des auteurs de définir les propriétés technologiques et standards d’interopérabilité dans un règlement grand-ducal, le Conseil d’État souligne que le RGPD impose au responsable du traitement de mettre en œuvre et de documenter toutes « les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque », notamment compte tenu de l’état des connaissances7 sachant que l’évolution permanente des meilleures techniques et pratiques en la matière nécessite des adaptations en continu. Cette exigence s’impose aux opérateurs de la plateforme sécurisée et de toute plateforme équivalente, qui devront donc mettre en œuvre des mesures au-delà des minima prévus dans le règlement grand-ducal. Le Conseil d’État constate par ailleurs que le projet de règlement grand-ducal n° 61.219 précité se contente de prévoir que la plateforme doit « être dotée », selon un procédé non autrement précisé de « processus structurés de gestion des risques, de gestion des vulnérabilités, de gestion des changements et de gestion des incidents » au lieu de définir des propriétés et standards comme l’exige le paragraphe 3 de la disposition sous avis. Article 8 Sans observation. 7 Article 32 du RGPD. 9 Observations d’ordre légistique Observation générale Pour marquer une obligation, il suffit généralement de recourir au seul présent de l’indicatif, qui a, comme tel, valeur impérative, au lieu d’employer le verbe « devoir ». Cette observation vaut par exemple pour les articles 3, paragraphe 1er, 4, paragraphe 1er, et 7, paragraphe 1er. Intitulé Afin d’éviter que la citation de l’intitulé du projet de loi soit trop longue, il est indiqué de prévoir l’insertion d’un article 9 nouveau relatif à l’introduction d’un intitulé de citation pour désigner la loi en projet sous avis. Article 1er Au paragraphe 3, la phrase liminaire est à rédiger comme suit : « Pour l’application de la présente loi, on entend par : ». Au paragraphe 3, point 5°, il est signalé que les institutions, ministères, administrations, services, organismes, etc., prennent une majuscule au premier substantif uniquement. Lorsque les termes génériques sont visés, tous les substantifs s’écrivent en lettres minuscules. Il y a partant lieu d’écrire « Chambre des députés » et « chambres professionnelles ». Au paragraphe 3, point 6°, il est proposé d’insérer une virgule après les termes « cacheté électroniquement ». Article 4 Aux paragraphes 2 et 3, l’emploi de tirets est à écarter. En effet, la référence à des dispositions introduites de cette manière est malaisée, tout spécialement à la suite d’insertions ou de suppressions de tirets opérées à l’occasion de modifications ultérieures. Les tirets sont partant à remplacer par des numérotations simples 1°, 2°, 3°, … Toujours aux paragraphes 2 et 3, il est relevé qu’il n’y a pas lieu d’utiliser des phrases entières dans les énumérations. Au paragraphe 2, deuxième tiret (point 2° selon le Conseil d’État), deuxième phrase, in fine, il y a lieu d’ajouter l’exposant « ° » derrière le numéro du point auquel il est renvoyé. Cette observation vaut également pour le paragraphe 3, deuxième tiret (point 2° selon le Conseil d’État), deuxième phrase, ainsi que pour le paragraphe 4. Au paragraphe 4, le Conseil d’État signale que lors des renvois, les différents éléments auxquels il est renvoyé sont à séparer par des virgules, en écrivant « l’article 1er, point 4°, ». Article 5 Il y a lieu d’insérer le terme « modifiée » entre la nature et la date de l’acte en question, étant donné que celui-ci a déjà fait l’objet de modifications depuis son entrée en vigueur. 10 Article 6 Au paragraphe 1er, première phrase, il y a lieu d’ajouter le terme « précité » après les termes « règlement (UE) n° 910/2014 ». Article 8 À la lettre g), la date relative à l’acte auquel il est renvoyé fait défaut. Une fois que celle-ci est connue, elle devra être insérée à l’endroit pertinent. Suite à l’introduction d’un intitulé de citation, le Conseil d’État demande aux auteurs d’avoir recours à l’article sous revue à la teneur de l’intitulé de citation finalement retenue. Article 9 (selon le Conseil d’État) Suite à l’observation relative à l’intitulé ci-avant, il y a lieu d’insérer un article 9 nouveau qui est à rédiger comme suit : « Art. 9. Intitulé de citation La référence à la présente loi se fait sous la forme suivante : « loi du […] relative à la signature électronique des actes en matière administrative ». » Ainsi délibéré en séance plénière et adopté à l’unanimité des 16 votants, le 12 mars 2024. Le Secrétaire général, Le Président, s. Marc Besch s. Christophe Schiltz 11