L’essentiel
- Le règlement (UE) n° 910/2014, dit eIDAS, organise l’identification électronique et les services de confiance dans l’Union. Il a été révisé par le règlement (UE) 2024/1183 du 11 avril 2024, publié au JOUE le 30 avril 2024.
- Trois services intéressent directement la donnée énergétique : la signature électronique (personne physique), le cachet électronique (personne morale) et l’horodatage électronique, chacun décliné en trois niveaux : simple, avancé, qualifié.
- Au niveau qualifié, la loi attache une présomption d’intégrité des données et d’exactitude de la date. Sceller un jeu de mesures revient donc à le rendre opposable à un commissaire aux comptes, à un vérificateur ou à un prêteur.
Texte de référence
Le règlement (UE) n° 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l’identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur a abrogé la directive 1999/93/CE. Il est applicable depuis le 1er juillet 2016 et, en tant que règlement, s’applique directement dans tous les États membres.
Le règlement (UE) 2024/1183 du 11 avril 2024 le révise en profondeur. Il crée le cadre du portefeuille européen d’identité numérique et ajoute de nouveaux services de confiance qualifiés, notamment l’archivage électronique, les registres électroniques et l’attestation électronique d’attributs . Il est entré en vigueur le 20 mai 2024, ses dispositions s’appliquant selon un calendrier échelonné assorti d’actes d’exécution.
En droit français, les articles 1366 et 1367 du code civil donnent à l’écrit électronique la même force probante que l’écrit papier lorsque l’identité de son auteur peut être établie et que son intégrité est garantie. Le décret n° 2017-1416 du 28 septembre 2017 relatif à la signature électronique renvoie, pour la présomption de fiabilité, à la signature électronique qualifiée au sens d’eIDAS.
La supervision des prestataires de services de confiance relève, en France, de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui publie la liste de confiance française. Chaque État membre publie la sienne, et l’ensemble constitue la liste de confiance européenne.
Périmètre et seuils
| Service de confiance | Auteur | Ce qu’il établit |
|---|---|---|
| Signature électronique | Personne physique | Le consentement de la personne au contenu signé |
| Cachet électronique | Personne morale | L’origine et l’intégrité des données émises par l’organisation |
| Horodatage électronique | Prestataire | L’existence des données à une date et une heure précises |
| Envoi recommandé électronique | Prestataire | L’envoi, la réception et l’intégrité du message transmis |
| Archivage électronique qualifié | Prestataire | La conservation durable et l’intégrité dans le temps |
Les trois niveaux et leurs effets :
| Niveau | Exigences | Effet juridique |
|---|---|---|
| Simple | Aucune exigence technique particulière | Ne peut être écarté au seul motif qu’il est électronique ; force probante appréciée par le juge |
| Avancé | Lien univoque au signataire, identification, contrôle exclusif des moyens, détection de toute modification ultérieure | Force probante renforcée, mais preuve de la fiabilité à la charge de celui qui s’en prévaut |
| Qualifié | Niveau avancé, certificat qualifié et dispositif de création qualifié, prestataire inscrit sur une liste de confiance | Présomption d’intégrité des données et d’exactitude de la date ; reconnaissance dans toute l’Union |
Pour un jeu de données de consommation produit par une entreprise, la combinaison pertinente est le cachet électronique qualifié, qui identifie l’organisation émettrice, et l’horodatage qualifié, qui fixe la date. La signature d’une personne physique n’est utile que lorsqu’un engagement individuel est en jeu, par exemple la validation d’un rapport.
Obligations concrètes
Le règlement n’impose rien à une entreprise ordinaire : il définit un cadre dont l’usage est volontaire. Pour qu’un scellement produise l’effet recherché, plusieurs conditions doivent cependant être réunies.
- Définir ce qui est scellé. Un scellement porte sur un jeu de données précis : période, sites, vecteurs, pas de temps, version des facteurs d’émission. Un fichier scellé dont le périmètre n’est pas déclaré ne prouve pas grand-chose.
- Calculer une empreinte. Le scellement repose sur une empreinte cryptographique du jeu de données. Toute modification ultérieure, même d’un caractère, rend la vérification négative.
- Recourir à un prestataire qualifié. L’effet juridique du niveau qualifié suppose un prestataire inscrit sur une liste de confiance et audité par un organisme d’évaluation de la conformité accrédité.
- Conserver la chaîne de vérification. Le fichier, son empreinte, le jeton d’horodatage, le certificat et la politique de scellement doivent être conservés ensemble, faute de quoi la vérification devient impossible après l’expiration du certificat.
- Prévoir la durée. Les algorithmes et les certificats ont une durée de vie. Une conservation longue suppose un re-scellement périodique ou un service d’archivage adapté.
- Documenter la politique. Qui déclenche un scellement, à quelle fréquence, sur quel périmètre, et comment un tiers peut vérifier.
Échéances
| Date | Jalon |
|---|---|
| 1er juillet 2016 | Application du règlement (UE) n° 910/2014 |
| 28 septembre 2017 | Décret français sur la signature électronique |
| 30 avril 2024 | Publication au JOUE du règlement (UE) 2024/1183 |
| 20 mai 2024 | Entrée en vigueur de la révision |
| 2026 | Mise à disposition attendue des portefeuilles européens d’identité numérique par les États membres |
| Continu | Audits périodiques des prestataires qualifiés et mise à jour des listes de confiance |
Pour la donnée énergétique, le calendrier utile n’est pas celui du règlement mais celui du reporting : un jeu de données publié en 2028 porte sur des mesures du 1er janvier au 31 décembre 2027. Le scellement doit intervenir au fil de la production, pas au moment où le vérificateur le demande.
Sanctions et risques
Le règlement prévoit des sanctions à l’égard des prestataires de services de confiance, et des obligations de notification en cas d’atteinte à la sécurité. Ces dispositions ne visent pas les entreprises utilisatrices.
Le risque, pour une entreprise, est probatoire :
- contestation d’un chiffre publié, sans possibilité de démontrer son état à la date de publication ;
- réserve d’un vérificateur sur la traçabilité d’une donnée, dans le cadre de l’assurance des informations de durabilité ou de la vérification annuelle d’un prêt indexé ;
- allégation environnementale fragilisée, faute de pouvoir reconstituer la mesure sur laquelle elle reposait, au regard de la directive (UE) 2024/825 ;
- écart inexpliqué entre une déclaration OPERAT corrigée a posteriori et le chiffre communiqué par ailleurs ;
- perte de valeur probatoire d’un scellement mal conservé : jeton d’horodatage séparé du fichier, certificat expiré, périmètre non documenté.
Données nécessaires
| Élément | Maille | Période | Preuve attendue |
|---|---|---|---|
| Jeu de données scellé | Par site ou par portefeuille, par vecteur | Période explicitement déclarée | Fichier figé, périmètre et unités documentés |
| Empreinte cryptographique | Par jeu de données | Au moment du scellement | Valeur d’empreinte et algorithme utilisé |
| Jeton d’horodatage | Par scellement | Date et heure certaines | Jeton délivré par un prestataire qualifié |
| Certificat de cachet | Par organisation émettrice | Validité en cours au moment du scellement | Certificat qualifié et chaîne de confiance |
| Politique de scellement | Organisation | Version datée | Document décrivant déclencheurs, fréquence, périmètre |
| Journal des scellements | Par jeu de données | Continu | Historique des empreintes successives |
| Données sources | Par point de mesure | Pas horaire ou plus fin | Index de compteurs, historiques de supervision |
| Version des facteurs d’émission | Par vecteur | Datée | Base Empreinte ADEME, facteurs réseau |
Le scellement ne remplace pas la qualification de la donnée. Une mesure erronée scellée reste erronée : elle est simplement erronée de manière datée et non modifiable. L’ordre correct est donc collecte, qualification, puis scellement.
Ce que PoP Data ESG apporte
Le scellement est intégré à la chaîne de production de la donnée, pas ajouté en fin de parcours. Les mesures collectées depuis notre supervision sont d’abord qualifiées : détection des trous, des valeurs aberrantes et des ruptures de comptage, avec traçabilité des corrections. Les séries consolidées sont ensuite scellées par cachet et horodatage électroniques qualifiés, avec conservation conjointe du fichier, de son empreinte, du jeton et du certificat .
Le résultat est un jeu de données dont un tiers peut vérifier, des années plus tard, qu’il n’a pas été modifié depuis sa publication. Il est restitué par profil depuis un référentiel unique : exploitant, direction immobilière, direction financière, commissaire aux comptes. Nous ne sommes pas prestataire de services de confiance, nous ne délivrons aucune attestation réglementaire et nous ne nous prononçons pas sur la conformité de vos publications.
Fiches liées
- OPERAT : la déclaration annuelle dont les données gagnent à être scellées avant dépôt.
- CSRD / ESRS : l’assurance des informations de durabilité et ses exigences de traçabilité.
- Directive EmpCo : la preuve à conserver derrière une allégation environnementale.
- Prêts indexés sur la durabilité (SLL) : la vérification annuelle des indicateurs par un tiers.
- PoP Data ESG · Vos obligations 2030 · Glossaire