Le cadre de la signature électronique en Espagne repose sur le règlement européen eIDAS (n° 910/2014) et sur la loi nationale, principalement la loi 6/2020 sur les services de confiance et le principe de liberté de forme du Code civil.

L'eIDAS établit trois niveaux de signature électronique reconnus dans tous les États membres de l'UE. Les signatures électroniques simples (SES) constituent la base : toutes données sous forme électronique jointes ou associées logiquement à d'autres données utilisées pour signer. Les signatures électroniques avancées (AES) ajoutent des exigences au titre de l'art. 26 : la signature doit être liée de manière unique au signataire, permettre de l'identifier, être créée à l'aide de données sous son contrôle exclusif et être liée aux données signées de sorte que toute modification ultérieure soit détectable. Les signatures électroniques qualifiées (QES) vont plus loin, nécessitant un certificat qualifié délivré par un prestataire de services de confiance qualifié ainsi qu'un dispositif de création de signature qualifié.

L'Espagne suit le principe de liberté de forme de l'art. 1278 du Code civil, ce qui signifie que la plupart des contrats sont valides quel que soit le support utilisé. En vertu de l'art. 25.2 de l'eIDAS, seule la QES bénéficie de l'équivalence juridique automatique avec une signature manuscrite, mais l'art. 25.1 confirme que l'effet juridique ou la recevabilité comme preuve en justice d'une SES ou d'une AES ne peuvent être refusés au seul motif qu'elles sont électroniques. La loi 6/2020 n'impose pas l'AES ou la QES pour un type de transaction privée spécifique. Par conséquent, pour la plupart des accords commerciaux, le choix du niveau de signature est une question de force probante plutôt que d'obligation légale.

La jurisprudence espagnole renforce l'importance d'une authentification appropriée. L'audience provinciale de Lleida (arrêt 74/2021) a rejeté une signature électronique qui manquait d'authentification adéquate, tandis que la Cour suprême a validé une AES étayée par une piste d'audit et une authentification à deux facteurs. La leçon pratique est celle que les développeurs doivent intégrer lors de la conception : une signature soutenue par une vérification d'identité, un horodatage et une piste d'audit infalsifiable constitue une preuve bien plus solide qu'une simple marque électronique.

Pour la plupart des entreprises SaaS opérant en Espagne, les SES et AES couvrent la grande majorité des cas d'usage. La QES est requise pour les marchés publics, les déclarations fiscales auprès de l'AEAT, les actes notariés et certaines déclarations réglementées. Le DNIe (carte nationale d'identité électronique) et les certificats délivrés par la FNMT sont les principaux moyens d'obtenir une QES en Espagne. Les développeurs qui conçoivent des flux de signature B2B peuvent s'appuyer en toute confiance sur les SES/AES pour les contrats commerciaux, les contrats de travail, les accords de confidentialité (NDA), les licences de logiciels et autres documents similaires.