Signature électronique et RGPD : 6 critères pour choisir

Choisir un outil numérique, c'est aussi choisir où vont ses données et qui les traite. Pour la signature électronique, le sujet est sensible : un contrat signé contient des noms, des adresses, des montants, parfois une pièce d'identité. Avant de comparer les prix, il faut donc savoir où les documents seront stockés, qui pourra y accéder et ce que vous récupérerez le jour où vous partirez. Voici une méthode pour faire ce choix sans y passer des semaines.

Signature électronique : un sous-traitant au sens du RGPD

Dès que vous envoyez un document à signer, le service de signature traite des données personnelles pour votre compte. Au sens du RGPD, il devient votre sous-traitant, et vous restez responsable du traitement. Vous devez donc pouvoir dire où les documents sont hébergés, qui y a accès et selon quel contrat.

Ce que prévoit le règlement eIDAS

Le règlement eIDAS (règlement UE n° 910/2014, modifié en 2024 par le règlement UE 2024/1183) définit trois niveaux de signature, simple, avancée et qualifiée, ainsi que leurs effets juridiques dans toute l'Union. Plus le niveau est élevé, plus l'identité du signataire est vérifiée, et plus la preuve est solide en cas de contestation.

Ce que le RGPD vous impose

Le RGPD encadre le traitement des données personnelles et impose un contrat de sous-traitance avec votre prestataire. Un éditeur établi dans l'Union, qui héberge les données dans l'Union, simplifie ce travail : pas de transfert hors UE à documenter, et un seul cadre juridique à suivre.

Pensez aussi aux données des signataires eux-mêmes : adresse e-mail, numéro de téléphone pour le code de vérification, parfois une copie de pièce d'identité pour la signature avancée. Ne demandez que ce que le niveau de signature exige, et sachez combien de temps le prestataire les garde.

Les 6 critères pour choisir une solution

1. Les niveaux de signature proposés

Un service qui propose les trois niveaux eIDAS permet d'adapter la signature à chaque document : simple pour un bon de commande, avancée pour un contrat de travail, qualifiée pour les actes les plus engageants.

2. L'hébergement des données

Vérifiez dans quels pays sont stockés les documents, mais aussi les journaux de preuve et les sauvegardes. Une offre annoncée comme hébergée en Europe dont les sauvegardes partent ailleurs ne règle qu'une partie du problème.

3. La piste d'audit

Elle retrace qui a signé, quand, depuis quel appareil et avec quelle vérification. Elle doit être exportable et lisible, car c'est elle que l'on produit en cas de litige.

4. La réversibilité

Pouvez-vous récupérer tous vos documents et leurs preuves si vous changez de prestataire ? Demandez le format d'export et le délai avant de signer, pas au moment de partir.

5. Le contrat de sous-traitance

Il doit lister les sous-traitants ultérieurs (hébergeur, envoi des SMS de vérification, support) et préciser les mesures de sécurité. S'il reste vague sur ces points, c'est un signal à prendre au sérieux.

6. L'expérience du signataire

Un parcours simple, sans compte à créer, limite les abandons. Le meilleur niveau de preuve ne sert à rien si votre client renonce à signer depuis son téléphone.

Changer d'outil sans tout reconstruire

Beaucoup d'équipes utilisent déjà un service de signature et hésitent à en changer par crainte de perdre leurs modèles et leur historique. En pratique, la migration se prépare : on exporte les documents signés et leurs preuves, on recrée les modèles les plus utilisés, puis on bascule par équipe. Pour celles qui cherchent une alternative à Yousign hébergée dans l'Union européenne, il existe aujourd'hui plusieurs options, et un comparatif sérieux repose sur les critères ci-dessus plutôt que sur le seul prix.

Exporter avant de résilier

Lancez l'export complet pendant que l'abonnement est encore actif : certains services ferment l'accès dès la résiliation. Vérifiez sur quelques fichiers que chaque document est bien accompagné de son certificat de preuve, puis archivez le tout dans un espace que vous maîtrisez.

Tester sur un document réel avant de généraliser

Une démonstration commerciale montre toujours le parcours idéal. Le seul test qui compte se fait avec un vrai contrat et un vrai signataire. Prenez par exemple Certyneo ou un autre éditeur de votre liste, envoyez un document courant, puis jugez trois choses : la facilité d'envoi, ce que voit le signataire et la qualité du certificat de preuve que vous récupérez à la fin.

Les questions à poser à un fournisseur

Au-delà des fonctionnalités, quelques questions simples permettent de départager des offres qui se ressemblent :

• Où sont stockés les documents et les sauvegardes, et dans quels pays ?
• Quels sous-traitants ultérieurs peuvent accéder aux données ?
• Que devient le contenu à la fin du contrat, et sous quel délai les documents sont-ils supprimés ou restitués ?
• Quelle procédure est prévue en cas d'incident de sécurité ?

Une réponse précise et écrite vaut mieux qu'une page de marketing. Elle vous servira aussi de pièce justificative si votre organisation doit démontrer le sérieux de ses choix lors d'un audit ou d'un appel d'offres.

Souveraineté des données : des décisions concrètes

La souveraineté numérique n'est pas un slogan. Elle consiste à savoir qui détient les données, quelles lois s'appliquent et comment reprendre la main. Elle ne dispense pas de juger l'outil sur ses qualités : un service européen mal conçu reste un mauvais outil. Le bon critère reste l'équilibre entre ergonomie, niveau de preuve et maîtrise des données, vérifié sur un cas réel.

Hébergement et nationalité de l'éditeur

Le lieu des serveurs ne dit pas tout. Le Cloud Act américain permet aux autorités des États-Unis de demander des données à une entreprise soumise à leur droit, même quand ces données sont stockées en Europe. Regardez donc aussi où est établi l'éditeur, et de quel pays relèvent son hébergeur et ses sous-traitants.

Une démarche en trois temps

1. Listez vos documents. Notez ce que vous faites signer et le niveau de risque de chaque type de document.
2. Testez deux ou trois outils. Retenez ceux qui couvrent ces besoins et essayez-les avec de vrais documents.
3. Décidez avec les utilisateurs. L'adoption dépend autant de la simplicité que des garanties juridiques.

Questions fréquentes

Signature électronique et RGPD : ce qu'il faut retenir

Choisir une solution de signature, c'est arbitrer entre simplicité, niveau de preuve et maîtrise des données. Posez vos critères avant de comparer, testez sur un cas concret, et conservez toujours le document signé avec son journal de preuve. C'est cette preuve, plus que l'apparence de la signature, qui compte le jour où un contrat est contesté.

Pour aller plus loin