← Luxembourg

Projet de loi relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à

CONSEIL D’ÉTAT =============== N° CE : 61.218 N° dossier parl. : 8089 Projet de loi relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l’archivage électronique Avis complémentaire du Conseil d’État (10 décembre 2024) Par dépêche du 22 mai 2024, le président de la Chambre des députés a soumis à l’avis du Conseil d’État une série d’amendements au projet de loi sous rubrique, adoptés par la Commission de l’enseignement supérieur, de la recherche et de la digitalisation lors de sa réunion du 21 mai

  1. Au texte des amendements étaient joints des remarques préliminaires, un commentaire pour chacun des amendements ainsi qu’une version coordonnée du projet de loi tenant compte des modifications apportées au texte initial. Les avis de la Commission nationale pour la protection des données, du Syndicat des villes et communes luxembourgeoises et de la Chambre de commerce sont parvenus au Conseil d’État en date respectivement des 9 et 11 juillet ainsi que 8 octobre
  2. Considérations générales Les amendements parlementaires du 21 mai 2024 font suite aux observations formulées par le Conseil d’État dans son avis du 12 mars
  3. Le Conseil d’État relève que la suppression de l’article 2 du projet de loi initial ne fait pas l’objet d’un amendement, mais résulte d’une observation préliminaire indiquant que la Commission de l’enseignement supérieur, de la recherche et de la digitalisation s’est, à cet égard, ralliée à la proposition du Conseil d’État. L’opposition formelle visant l’article 2 du projet de loi initial devient ainsi sans objet. Examen des articles Amendement 1 L’article 1er, paragraphe 1er, tel qu’amendé, autorise toute autorité administrative ou entité exerçant une activité administrative à utiliser des signatures électroniques, tout comme elle autorise tout administré à signer électroniquement les actes qu’il adresse à ces autorités administratives. Afin de mettre le champ d’application de la nouvelle disposition en concordance avec l’intitulé de la future loi, le Conseil d’État propose de modifier l’alinéa 1er dudit paragraphe, en vue de viser plus spécifiquement les actes administratifs en écrivant : « Les autorités administratives et les entités exerçant une activité administrative peuvent signer ou cacheter électroniquement l’ensemble des actes relatifs à l’exercice de leur cette activité ». La nouvelle disposition – tant dans son libellé résultant de l’amendement que dans le libellé proposé par le Conseil d’État – s’applique abstraitement à l’ensemble des autorités et entités exerçant, même pour partie seulement, une activité administrative. Elle trouvera donc à s’appliquer aux institutions antérieurement regroupées sous la catégorie des « autres entités » (la Chambre des députés, le Conseil d’État et les Chambres professionnelles) et au Grand-Duc à chaque fois qu’ils agissent en tant qu’autorité administrative et non pas comme acteur de la procédure législative et réglementaire. Amendement 2 Sans observation. Amendement 3 L’amendement 3 modifie l’article 2 du projet de loi (ancien article 3). Au paragraphe 1er de l’article 2, les auteurs des amendements maintiennent la formule du projet de loi initial selon laquelle, lorsqu’un acte administratif est signé électroniquement par l’administration, le recours à une signature électronique qualifiée au sens du règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE, tel qu’il a été modifié, ci-après « règlement eIDAS », est requise uniquement « lorsqu’une signature est nécessaire à la perfection » dudit acte. Le Conseil d’État, qui avait proposé dans son avis du 12 mars 2024 l’omission de cette formule en vue « d’étendre l’exigence d’une signature électronique qualifiée à l’ensemble des actes signés ou cachetés électroniquement par les autorités administratives » n’est donc pas suivi. D’après le commentaire accompagnant l’amendement, « il n’est pas renoncé au critère que la signature électronique qualifiée est uniquement requise lorsque l’apposition d’une signature sur un acte est requise en vertu d’une disposition légale, afin de ne pas inutilement alourdir la procédure pour l’apposition de signature lors de processus techniques de transmission d’actes électroniques ». L’approche des auteurs des amendements de requérir une signature électronique qualifiée uniquement lorsqu’« une signature sur un acte est requise en vertu d’une disposition légale » implique que seul un petit nombre d’actes administratifs signés électroniquement le seront au moyen d’une signature électronique qualifiée. Il n’y a en effet pratiquement pas de dispositions légales qui exigent littéralement qu’un acte administratif porte une signature. La notion de « signature nécessaire à la perfection d’un acte sous seing privé », qui ne pose pas de problème à l’article 1322-1 du Code civil, figurant au titre consacré aux contrats et obligations conventionnelles, où elle s’applique à un acte « sous seing privé », donc par définition signé, 2 n’est pas transposable à la matière administrative, où peu de dispositions exigent formellement une signature des actes. Le droit des contrats repose sur le principe de l’accord des volontés, alors que les autorités administratives agissent iure imperii. Comme le Conseil d’État l’a relevé dans son avis du 12 mars 2024, le principe qui veut qu’un acte administratif doit, en règle générale, être signé est d’origine jurisprudentielle et non légale. Si, contrairement à ce que le Conseil d’État supposait être l’intention des auteurs, la portée du dispositif est restreinte, tel que le précise le commentaire de l’amendement, aux seuls actes administratifs pour lesquels « une signature […] est requise en vertu d’une disposition légale », il se révèle être lacunaire. En effet, alors que l’article 1er autorise la signature électronique pour tout acte relatif à une activité administrative, l’article 2 laisse sans réponse la question du niveau de signature requis pour les actes administratifs pour lesquels aucun texte de loi ne prescrit expressément qu’ils soient porteurs d’une signature. Le Conseil d’État maintient que la solution la plus adaptée serait de recourir systématiquement à la signature électronique qualifiée lorsque l’administration signe un acte électroniquement. Il ne comprend d’ailleurs pas en quoi une généralisation du recours à la signature électronique qualifiée risquerait, une fois que les autorités et entités seront équipées à cet effet, d’« inutilement alourdir la procédure pour l’apposition de signature lors de processus techniques de transmission d’actes électroniques » ? N’est-il pas, par ailleurs, probable que les auteurs des actes administratifs choisiront d’eux-mêmes de recourir toujours à la signature électronique qualifiée plutôt que de vérifier, pour chaque acte, si en l’absence d’une disposition légale expresse prescrivant une signature, ils se prêtent à une signature d’un niveau de sécurité moindre ? La gestion, par chaque personne habilitée à signer des actes administratifs, de plusieurs niveaux de signature n’est-elle pas davantage source de complexité que le recours systématique à la signature qualifiée ? Le Conseil d’État constate que les paragraphes 2 et 3 de l’article 2 tel qu’amendé imposent également le recours à la signature électronique qualifiée dans les seuls cas où la signature ou un cachet « est nécessaire pour la perfection (de) l’acte », de sorte que les problèmes soulevés au sujet du paragraphe 1er se posent également à ces deux endroits. Pour toutes les raisons qui précèdent, le Conseil d’État doit s’opposer formellement aux paragraphes 1er à 3 de l’article 2, tels qu’amendés, pour atteinte au principe de sécurité juridique. Afin de répondre aux questions soulevées, une solution pourrait consister à libeller comme suit les trois premiers paragraphes de l’article 2, tel qu’amendé, en s’inspirant de l’article L212-3 du Code français des relations entre le public et l’administration 1 : « Les décisions de l’administration peuvent faire l’objet d’une signature électronique. Celle-ci n’est valablement apposée que par l’usage d’un procédé, conforme aux règles du référentiel général de sécurité mentionné au I de l’article 9 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, qui permette l’identification du signataire, garantisse le lien de la signature avec la décision à laquelle elle s’attache et assure l’intégrité de cette décision » (Art. L212-3 du Code français des relations entre le public et l’administration). 3 1 «

(1)La signature électronique d’un acte en matière administrative n’est valablement apposée que par l’usage d’une signature électronique qualifiée.
(2)La signature électronique d’une demande adressée à une autorité administrative ou à une entité exerçant une activité administrative n’est valablement apposée que par l’usage d’une signature électronique qualifiée.
(3)Un cachet électronique n’est valablement apposé sur un acte en matière administrative que par l’usage d’un cachet électronique qualifié. » La formulation proposée laisse à dessein ouverte la question de savoir quels actes en matière administrative et quelles demandes des administrés doivent être porteurs d’une signature pour seulement préciser que si un tel acte ou une telle demande est signé électroniquement, la signature doit être une signature électronique qualifiée. Cette approche ne met pas en cause la pratique bien établie qui permet aux administrés de faire des démarches administratives au moyen de plateformes informatiques (p.ex. le site myguichet.
  1. lu)sur lesquelles l’usager doit s’identifier, mais les démarches ne sont pas signées électroniquement. Le paragraphe 4 nouveau de l’article 2 du projet de loi tel qu’amendé n’appelle pas d’observation de la part du Conseil d’État. Amendement 4 Le Conseil d’État avait, dans son avis du 12 mars 2024, frappé l’article 4 du projet de loi initial d’une opposition formelle fondée sur le caractère lacunaire des procédures de transmission et d’échange par voie électronique des actes en matière administrative qu’il énonçait. L’amendement sous examen répond à cette opposition formelle en procédant à la suppression pure et simple de cette disposition. Le Conseil d’État relève que la suppression n’est pas de nature à pallier le caractère lacunaire relevé dans son avis précité. Il rappelle que les échanges par voie électronique entre l’administré et l’administration requièrent la mise en place d’un cadre légal étoffé qui détermine les conditions et modalités spécifiques applicables aux échanges. 2 Il note la volonté de la commission de régler cet aspect dans un dispositif distinct. L’opposition formelle afférente devient dès lors sans objet. Amendement 5 L’amendement sous examen modifie l’article 3 du projet de loi (ancien article 5). Le nouveau paragraphe 1er, introduit par l’amendement sous examen, indique que les actes signés électroniquement par une autorité administrative seront pourvus d’un « identifiant numérique » et ce aux fins « de vérification de l’authenticité et [de] conservation de la preuve de la signature ou du cachet électronique ». Avis du Conseil d’État du 12 mars 2024 relatif au projet de loi n° 8089 relatif à la signature électronique des actes en matière administrative et portant modification de la loi du 25 juillet 2015 relative à l’archivage électronique (n° CE 61.218). 4 2 S’agissant de la finalité d’authentification, le Conseil d’État ne comprend pas l’utilité de l’apposition de cet « identifiant » alors que la signature électronique qualifiée garantit déjà, par le truchement des mécanismes juridiques mis en place par le règlement eIDAS, l’authenticité du document et la validité de la signature y apposée. Toujours en vertu du règlement eIDAS, la signature électronique se trouve par ailleurs « liée aux données associées à cette signature » de sorte qu’une conservation séparée d’une « preuve de la signature ou du cachet électronique » ne fait pas de sens. Le nouveau paragraphe 2, inspiré d’une définition qui auparavant figurait à l’article 1er du projet de loi, décrit l’« identifiant numérique » comme une « représentation de données dans un format visuel lisible ». La réitération de l’explication que l’identifiant numérique permet de vérifier l’authenticité de la signature ou du cachet électronique est superfétatoire puisque cette information figure déjà au paragraphe 1er. L’indication que l’identifiant numérique permet également « d’identifier l’endroit de stockage » semble quant à elle reprendre l’idée originale du projet de loi, à savoir que l’identifiant doit permettre d’accéder au document signé électroniquement sur une plateforme. Le paragraphe 3, maintenu avec des changements mineurs en dépit de l’opposition formelle du Conseil d’État, prévoit que les actes signés ou cachetés électroniquement et pourvus d’un identifiant numérique, sont accessibles pendant une durée de trente ans sur la plateforme qui doit être établie en vertu de l’article 4. Les auteurs de l’amendement expliquent que la durée de conservation de trente ans serait liée à la durée de prescription légale et que la disposition en projet viserait à assurer l’égalité des citoyens recevant un acte administratif muni d’une signature électronique avec ceux qui sont destinataires d’un acte portant une signature manuelle. Le Conseil d’État peine à comprendre cette logique, car jusqu’ici l’administration ne conserve pas, au profit des administrés, l’acte original qui leur est adressé sur papier (sauf peut-être pour les actes où l’administration conserve une minute, l’administré ne recevant alors qu’une expédition). L’égalité de traitement mise en avant n’est pas donnée non plus à la fin de la période de trente ans où le document papier garde toute sa valeur alors que l’article 5, tel qu’amendé, prévoit la destruction des documents signés ou cachetés électroniquement. La fixation de la durée de conservation retenue au paragraphe sous examen de manière générale, sans distinction entre les catégories de données traitées, leur cycle de vie et les finalités poursuivies, pose problème. Le Conseil d’État rappelle que les données collectées ne peuvent, en vertu du principe de limitation de la conservation consacré à l’article 5, lettre e), du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), ci-après « RGPD », être conservées au-delà de la durée qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. Le Conseil d’État n’est dès lors pas en mesure de lever son opposition formelle formulée à l’endroit de l’ancien article 5, devenu l’article 3, du projet de loi sous revue. 5 Amendement 6 Sans observation. Amendement 7 L’amendement sous examen modifie l’article 4 du projet de loi (ancien article 7). Le paragraphe 1er est complété par un alinéa introductif qui énumère les fonctionnalités qui doivent être offertes par la plateforme sécurisée à créer, selon le paragraphe 2, sous l’égide du Centre des technologies de l’information de l’État, ci-après « CTIE », énumération qui correspond – hormis la fonctionnalité consistant à apposer l’identifiant numérique sur les documents signés ou cachetés électroniquement – aux différentes finalités de cet identifiant évoquées à l’article 3. Il répond, en même temps que le nouvel article 5 introduit dans le projet de loi par l’amendement 8, à la critique formulée par le Conseil d’État sur l’absence de définition des finalités poursuivies par les traitements de données à caractère personnel visés à l’article 7 du projet de loi initial. L’opposition formelle du Conseil d’État visant l’ancien article 7 du projet de loi, devenu l’article 4, peut ainsi être levée. Les deux alinéas du paragraphe 1er s’avèrent largement redondants. Dès lors que les finalités des traitements de données à caractère personnel résultent de l’article 5, il serait également possible de fusionner les deux alinéas pour simplifier la rédaction du dispositif. Amendement 8 L’amendement 8 propose l’insertion dans le dispositif d’un nouvel article 5 consacré aux traitements de données par la plateforme sécurisée. Le paragraphe 1er réitère les finalités du traitement résultant déjà des articles 3 et 4 tels qu’amendés. Le paragraphe 2 détermine les données à caractère personnel qui sont conservées. Le paragraphe 3 fixe la durée de conservation des données à trente ans. Le Conseil d’État, pour les mêmes raisons que celles invoquées à l’endroit de l’amendement 5, doit s’opposer formellement au paragraphe sous revue. Le paragraphe 4 désigne certaines données qui ne sont pas conservées. Le point 4° prévoit plus particulièrement que ne sont pas conservées « les données permettant d’identifier les agents ou les administrés ayant accédé à un acte signé ou cacheté électroniquement sur base d’un identifiant numérique ». Or, le Conseil d’État rappelle que les mesures de traçabilité constituent l’une des pierres angulaires de la sécurité des traitements 3. Le 3 Le Conseil d’État a déjà eu l’occasion de souligner l’importance des données de journalisation : • Avis du Conseil d’État du 16 juin 2020 relatif au projet de loi portant introduction d’une série de mesures concernant les personnes physiques dans le cadre de la lutte contre le virus SARS-CoV-2 (COVID-19) et modifiant 1. la loi modifiée du 25 novembre 1975 concernant la délivrance au public des médicaments ; 2. la 6 Conseil d’État estime qu’il conviendrait de conserver des données de journalisation, conformément au principe de disponibilité des données prévu par le RGPD. Le paragraphe 5 désigne comme responsable du traitement l’autorité administrative ayant demandé la création de l’identifiant numérique tandis que le CTIE est désigné comme sous-traitant. Le Conseil d’État, rejoignant en cela l’analyse de la Commission nationale pour la protection des données, estime que le rôle du CTIE ne se limite selon toute vraisemblance pas à un rôle de sous-traitant. Le Conseil d’État ne dispose toutefois pas des informations nécessaires pour procéder à la qualification exacte du rôle de l’autorité administrative et du CTIE à l’égard de chaque traitement de données à caractère personnel pouvant intervenir au moyen de la plateforme. Il renvoie sur cette question aux lignes directrices 07/2020 concernant les notions de responsable du traitement et de soustraitant dans le RGPD du 7 juillet 2021 du comité européen de la protection des données 4. Amendement 9 Sans observation. Observations d’ordre légistique Amendement 5 À l’article 3, paragraphe 1er, il convient d’ajouter le terme « de » avant celui de « conservation ». À l’article 3, paragraphe 2, il y a lieu de remplacer le terme « et » par une virgule à sa première occurrence, pour écrire « permettant de vérifier l’authenticité de la signature ou du cachet électronique et, d’identifier l’endroit de stockage et d’y accéder ». À l’article 3, paragraphe 3, le Conseil d’État relève que la référence à l’article 7 est erronée suite à la renumérotation de l’article 7 en article 4 par l’amendement 7. Partant, il convient d’écrire « telles que prévues par l’article 7 4, pendant une durée de trente ans ». Amendement 7 À l’article 4, paragraphe 3, il convient d’accorder le terme « définis » au genre féminin pluriel. Amendement 8 À l’article 5, paragraphe 4, le Conseil d’État relève qu’il y a lieu d’indiquer avec précision et de manière correcte les textes auxquels il est loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments (doc. parl. n° 7606, n° CE 60.261) ; • Avis du Conseil d’État du 6 juin 2023 relatif au projet de loi complétant la loi modifiée du 18 juillet 2018 sur la Police (doc. parl. n° 8065, n° CE 61.150) 4 https://www.edpb.europa.eu/system/files/2023-10/edpb_guidelines_202007_controllerprocessor_final_fr.pdf 7 renvoyé, en commençant par l’article et ensuite, dans l’ordre, le paragraphe, l’alinéa, le point, la lettre et la phrase visés et que lors des renvois, les différents éléments auxquels il est renvoyé sont à séparer par des virgules, en écrivant « l’article 5, paragraphe 1er, lettres
  2. c)et f), du règlement (UE) 2016/679 ». Au paragraphe 5, alinéa 1er, il est proposé d’écrire « ainsi que tout l’opérateur de toute plateforme équivalente ». Texte coordonné Le Conseil d’État se doit de constater que le texte coordonné du projet de loi sous avis ne correspond pas au texte des amendements proprement dits sous revue. Cette observation vaut pour les articles 4, paragraphe 3, et 5, paragraphes 4, phrase liminaire, et 5, alinéa 2. Ainsi délibéré en séance plénière et adopté à l’unanimité des 19 votants, le 10 décembre 2024. Le Secrétaire général, Le Président, s. Marc Besch s. Marc Thewes 8

🔗 Vers la source officielle

Explication IA à partir du texte officiel de la loi. Indicatif, ne remplace pas un conseil juridique.