Le RGPD ne s'oppose en rien à la signature électronique. Mais il impose de répondre clairement à quelques questions — que votre DPO, vos clients ou un auditeur vous poseront tôt ou tard.
Qui est responsable de traitement ?
C'est l'organisation qui envoie les documents à signer : c'est vous. Vous décidez quels documents sont signés, par qui, pour quelle finalité. La plateforme de signature agit comme sous-traitant au sens de l'article 28 : elle traite les données pour votre compte, sur vos instructions.
Cette relation doit être encadrée par un contrat, généralement appelé DPA (data processing agreement), qui précise la nature du traitement, les mesures de sécurité, les sous-traitants ultérieurs et le sort des données en fin de contrat.
Quelles données sont traitées ?
- Les données d'identité et de contact des signataires : nom, e-mail, téléphone.
- Les données d'authentification : résultat du code SMS, éventuellement de la vérification d'identité.
- Les données techniques de la preuve : adresse IP, appareil, horodatages.
- Le contenu du document lui-même, qui peut contenir d'autres données personnelles.
Sur quelle base légale ?
Le plus souvent, l'exécution d'un contrat ou de mesures précontractuelles : le signataire signe précisément pour conclure ce contrat. La constitution et la conservation de la preuve reposent sur l'intérêt légitime à pouvoir démontrer la conclusion de l'acte, voire sur une obligation légale selon les documents.
Le consentement n'est généralement pas la bonne base, sauf pour des traitements particuliers comme la biométrie lors d'une vérification d'identité.
Combien de temps conserver ?
Le principe de limitation impose de ne garder les données que le temps nécessaire. En pratique, il faut distinguer :
| Donnée | Logique de durée |
|---|---|
| Dossier de preuve | Délai pendant lequel un litige est possible (souvent 5 ans ou plus selon les actes) |
| Document signé | Durée d'utilité pour votre activité et obligations légales propres au document |
| Brouillons non envoyés | Courte, aucune finalité ne justifie de les garder |
| Images de vérification d'identité | Le temps du contrôle, puis suppression |
La preuve peut survivre au document : c'est elle qui vous protège en cas de litige.
Droit à l'effacement contre preuve
Un signataire vous demande d'effacer ses données. Devez-vous supprimer le dossier de preuve d'un contrat qu'il a signé ? Non, pas nécessairement : l'article 17 du RGPD prévoit une exception lorsque les données sont nécessaires à la constatation, à l'exercice ou à la défense de droits en justice. Vous pouvez donc conserver la preuve jusqu'à l'expiration des délais de recours, tout en supprimant ce qui n'est pas nécessaire.
Répondez toujours à la demande, en expliquant ce qui est conservé et pourquoi.
Transferts hors de l'Union
Vérifiez où sont hébergées les données, et par qui. Un hébergement dans l'Union par un prestataire européen limite les questions de transfert et d'accès par des autorités étrangères. Demandez la liste des sous-traitants ultérieurs : elle doit être publique ou communiquée sur demande.
La check-list du DPO
- Un DPA signé avec la plateforme, à jour.
- La plateforme inscrite au registre des traitements, avec ses finalités.
- Des durées de conservation définies par type de document.
- Une information claire des signataires (mention dans l'e-mail ou sur la page de signature).
- Une procédure pour traiter les demandes d'exercice de droits.
Pour aller plus loin : notre accord de traitement et notre politique de confidentialité.
Cet article est informatif et ne constitue pas un conseil juridique personnalisé. Pour une situation particulière, rapprochez-vous d'un professionnel du droit.
