Qu'est-ce que l'horodatage qualifié — et pourquoi est-il essentiel pour la preuve d'auteur ?

L'article 41, paragraphe 2, du règlement (UE) n° 910/2014 (eIDAS) dispose que l'horodatage électronique qualifié „bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données auxquelles se rapportent cette date et cette heure“. Voilà toute la présomption juridique : quand les données existaient, et qu'elles n'ont pas changé depuis. Elle ne présume rien de celui qui a créé l'œuvre, de celui à qui en appartiennent les droits, ni de son originalité.

Un horodatage par blockchain ne relève pas automatiquement de la même catégorie juridique. L'article 42, paragraphe 1, exige que l'horodatage qualifié soit délivré par un prestataire de services de confiance qualifié et signé au moyen de sa signature ou de son cachet électronique avancé, sur une source de temps liée au temps universel coordonné. Une inscription sur un registre public ne satisfait généralement à aucune de ces conditions et n'emporte donc pas la présomption de l'article 41, paragraphe 2 — étant précisé qu'en vertu de l'article 41, paragraphe 1, ses effets juridiques et sa recevabilité comme preuve en justice ne peuvent être refusés au seul motif qu'elle se présente sous forme électronique ou qu'elle n'est pas qualifiée.

L'horodatage électronique qualifié (Qualified Electronic Time Stamp, QeTS) est une opération cryptographique qui lie une date et une heure exactes à un document numérique, de manière certifiée par un tiers accrédité. Le résultat est un Time-Stamp Token (TST) : un paquet signé conforme à la RFC 3161 contenant l'empreinte SHA-256 du fichier, le temps universel coordonné (UTC) et le certificat du prestataire de services de confiance (TSA).

Fonctionnement technique

Par défaut, l'empreinte SHA-256 est calculée localement dans votre navigateur et seuls l'empreinte et les données de certification sont envoyés au serveur – le fichier lui-même n'est pas téléversé. L'original n'est téléversé que si vous choisissez expressément l'option facultative « Enregistrer le fichier téléversé ». L'empreinte est transmise à BORICA – B-Trust, prestataire qualifié de services de confiance inscrit sur la EU Trust List, qui renvoie un TST signé avec son certificat qualifié. StampR lie le TST à votre déclaration de paternité et génère un certificat PDF avec un QR code permettant la vérification publique.

Valeur juridique selon eIDAS

Le règlement (UE) nº 910/2014 (eIDAS), article 41, paragraphe 2, dispose qu'un horodatage électronique qualifié bénéficie d'une présomption d'exactitude de la date et de l'heure qu'il indique et d'intégrité des données auxquelles cette date et cette heure sont liées. Le paragraphe 1 ajoute que l'effet juridique et la recevabilité comme preuve en justice ne peuvent être refusés à un horodatage au seul motif qu'il se présente sous forme électronique.

La conséquence pratique porte sur la charge de la preuve : la présomption vaut jusqu'à ce que la partie adverse la renverse, et elle couvre deux choses – la date et l'heure, et l'intégrité des données. Le poids de cette preuve et sa suffisance dans une affaire donnée relèvent de l'appréciation du juge selon le droit procédural national.

Ce qu'il établit et ce qu'il n'établit pas

L'article 3, point 33, d'eIDAS définit l'horodatage électronique comme des données qui lient d'autres données à un instant précis « établissant la preuve que ces dernières existaient à cet instant ». C'est la description exacte de sa portée :

• Il établit : qu'une empreinte précise existait à un moment précis et que les données associées n'ont pas été modifiées depuis.
• Il n'établit pas : qui a créé l'œuvre, qui en détient les droits, si elle est originale, ni s'il y a contrefaçon.

Le droit d'auteur naît automatiquement à la création de l'œuvre et ne s'enregistre pas. Un certificat StampR documente quand et par qui une déclaration de paternité a été faite : il ne crée ni n'enregistre de droits et ne garantit pas l'issue d'un litige. Plus de détails dans la preuve de paternité en Bulgarie.

RFC 3161 et ETSI EN 319 422

La RFC 3161 est la norme internet définissant le protocole de requête et de réponse entre un client et une TSA. Les normes ETSI EN 319 421 et EN 319 422 sont les profils européens bâtis sur la RFC 3161, ajoutant des exigences d'audit, de sécurité des clés et de validité à long terme. Le TST de B-Trust respecte les deux, ce qui permet une vérification indépendante avec n'importe quel outil standard.

Différence entre horodatage ordinaire et qualifié

Un horodatage ordinaire (métadonnées de serveur, inscription en blockchain) n'émane pas d'un prestataire qualifié et ne bénéficie d'aucune présomption automatique au titre de l'article 41, paragraphe 2. L'horodatage qualifié eIDAS est le seul auquel le règlement attache cette présomption et, selon le paragraphe 3, il est reconnu comme qualifié dans tous les États membres.

Émettez un horodatage qualifié sur StampR – 6,80 €, en moins de 2 minutes.

Questions fréquentes

Qu'est-ce qu'un horodatage électronique qualifié ?

Un horodatage émis par un prestataire qualifié de services de confiance au titre du règlement (UE) nº 910/2014 (eIDAS). Il lie cryptographiquement l'empreinte SHA-256 d'un fichier à un instant UTC précis selon la RFC 3161. En vertu de l'article 41, paragraphe 2, il bénéficie d'une présomption d'exactitude de la date et de l'heure et d'intégrité des données associées.

Quelle différence avec un horodatage ordinaire ?

Un horodatage ordinaire n'émane pas d'un prestataire qualifié et ne bénéficie d'aucune présomption légale automatique. L'horodatage qualifié eIDAS en bénéficie et est reconnu dans tous les États membres de l'UE.

Qu'est-ce que la RFC 3161 ?

La norme internet définissant le Time-Stamp Protocol, le protocole de requête et de réponse entre un client et une Time Stamping Authority. Elle spécifie aussi le format du Time-Stamp Token (TST) contenant l'empreinte, l'heure et la signature de la TSA.

L'horodatage prouve-t-il que l'œuvre est la mienne ?

Non. Il établit qu'une empreinte précise existait à un moment précis et que les données n'ont pas changé depuis. Qui a créé l'œuvre et qui en détient les droits sont des questions distinctes, prouvées par d'autres moyens : fichiers de travail, correspondance, historique des versions.

Mon fichier original est-il téléversé ?

Par défaut non : l'empreinte est calculée localement dans le navigateur et seule elle est transmise. Le fichier n'est téléversé et conservé que si vous choisissez expressément l'option « Enregistrer le fichier téléversé ».

Un horodatage par blockchain équivaut-il à un horodatage qualifié au sens d’eIDAS ?

Pas automatiquement. eIDAS attache son effet juridique à un service satisfaisant à l’article 42, paragraphe 1, et fourni par un prestataire qualifié figurant sur une liste de confiance, non à une technologie. Une inscription sur une blockchain publique ne satisfait généralement ni l’exigence d’une source de temps liée à l’UTC, ni celle de la signature d’un prestataire qualifié ; elle ne bénéficie donc pas de la présomption de l’article 41, paragraphe 2. Les deux peuvent être produits en justice ; la différence porte sur la charge de la preuve.