Conversation

• T Tech-fr Tech-fr remote 6 days ago You are here

  Règlement e-Evidence : l’accès transfrontière aux données change d’échelle

  Par Marc Mossé – Senior Counsel, Eden Gall – Counsel

  

  Adopté le 12 juillet 2023, le paquet « e-Evidence » repose sur deux textes complémentaires. Le règlement (UE) 2023/1543, directement applicable à partir du 18 août 2026, crée les injonctions européennes de production et de conservation. La directive (UE) 2023/1544 organise, quant à elle, la désignation par les fournisseurs d’un établissement ou d’un représentant légal dans l’Union afin de recevoir et d’exécuter ces injonctions. Le Danemark n’est pas lié par le règlement. L’Irlande a, en revanche, notifié son souhait d’y participer, ce qui est notable dès lors que de nombreuses entreprises du secteur des technologies de l’information ont leur principal établissement dans cet État membre de l’UE : le périmètre réel de la coopération s’en trouve sensiblement élargi. Pour les autres États membres, la réforme instaure un cadre uniforme qui complète, sans les supprimer, les instruments existants.

  Un accès direct au fournisseur qui modifie les circuits traditionnels

  Le changement principal tient au circuit de la demande. Jusqu’à présent, l’obtention de données situées à l’étranger reposait en principe sur l’intervention des autorités de l’État requis, notamment au moyen de l’entraide judiciaire ou de la décision d’enquête européenne. Le règlement permet désormais à l’autorité compétente de l’État d’émission de transmettre directement son certificat à l’établissement désigné ou au représentant légal du fournisseur dans un autre État membre. L’État dans lequel les serveurs sont physiquement situés n’est pas déterminant : le texte e-Evidence s’applique « quelle que soit la localisation des données ».

  Deux instruments doivent être distingués : 

  • L’injonction européenne de production, transmise au moyen d’un certificat d’injonction européenne de production (EPOC), impose la remise de données déjà stockées au moment de sa réception. 
  • L’injonction européenne de conservation, transmise au moyen d’un certificat d’injonction européenne de conservation (EPOC-PR), oblige le fournisseur à empêcher le retrait, la suppression ou la modification des données dans l’attente d’une demande de production ultérieure. Elle ne vaut donc pas, à elle seule, autorisation de communiquer les données.

  Le mécanisme reste circonscrit aux procédures pénales et, aux fins de l’exécution d’une peine ou d’une mesure de sûreté privative de liberté, à trois conditions cumulatives : une durée d’au moins quatre mois, une décision qui n’a pas été rendue par défaut et une personne condamnée qui s’est soustraite à la justice. Les injonctions peuvent également être émises dans le cadre de procédures portant sur une infraction dont une personne morale pourrait être tenue responsable dans l’État d’émission. Le règlement n’a pas pour objet les enquêtes civiles ou administratives et ne s’applique pas aux procédures engagées en vue de fournir une entraide judiciaire à un autre État membre ou à un pays tiers. Les autorités nationales conservent par ailleurs la possibilité de recourir à leurs pouvoirs internes à l’égard des fournisseurs établis ou représentés sur leur territoire.

  Un champ d’application aussi large que l’économie numérique

  La notion de fournisseur de services dépasse largement les opérateurs de télécommunications. Sont visés les services de communications électroniques, les services d’attribution de noms de domaine et de numérotation IP, ainsi que les services de la société de l’information qui permettent aux utilisateurs de communiquer entre eux ou dont une composante déterminante consiste à stocker ou traiter des données pour leur compte. Messageries, réseaux sociaux, plateformes, places de marché, services cloud et hébergeurs peuvent ainsi entrer dans le champ du texte. Les services financiers sont en revanche exclus de cette définition, ce qui borne un champ par ailleurs très étendu.

  Le fournisseur n’a pas nécessairement à être établi dans l’Union. Il suffit qu’il y propose ses services et présente un lien substantiel avec un État membre, apprécié notamment au regard de l’existence d’un établissement, d’un nombre significatif d’utilisateurs ou d’un ciblage des activités vers le marché européen. La directive 2023/1544 impose alors, selon la situation du fournisseur, la désignation d’un établissement doté de la personnalité juridique ou la nomination d’un représentant légal dans l’Union, au plus tard le 18 août 2026 pour les acteurs déjà présents.

  Le règlement e-Evidence définit les preuves électroniques par trois catégories – données relatives aux abonnés, données relatives au trafic et données relatives au contenu – mais organise en réalité quatre régimes : les adresses IP et informations connexes demandées à la seule fin d’identifier un utilisateur constituent un sous-ensemble découpé au sein des données de trafic, soumis à un régime allégé. Cette distinction commande le niveau de contrôle. Les données d’abonné ou d’identification peuvent être demandées pour toute infraction pénale. Les données de trafic – hors simple identification – et de contenu ne peuvent en principe être obtenues que pour une infraction passible d’une peine maximale d’au moins trois ans ou pour certaines infractions spécialement visées, notamment en matière de cybercriminalité, de terrorisme, d’exploitation sexuelle des enfants ou de fraude et de contrefaçon des moyens de paiement autres que les espèces au sens de la directive (UE) 2019/713, ces infractions devant en outre avoir été commises, en tout ou en partie, au moyen d’un système d’information – condition qui ne s’applique pas aux infractions terroristes.

  L’autorité habilitée dépend également de la sensibilité des données. Un procureur peut émettre ou valider une injonction de production portant sur des données d’abonné ou d’identification ; pour les données de trafic et de contenu, l’émission ou la validation d’une telle injonction doit relever d’un juge, d’une juridiction ou d’un juge d’instruction. Cette dichotomie ne vaut toutefois que pour la production : une injonction européenne de conservation concernant des données de toute catégorie, y compris de trafic et de contenu, peut être émise ou validée par un procureur. En cas d’urgence valablement établi, une injonction portant sur des données d’abonné ou d’identification, ou une injonction de conservation, peut en outre être émise sans validation préalable, sous réserve d’une validation ex post dans les quarante-huit heures ; à défaut, l’injonction est retirée et les données obtenues sont supprimées ou leur usage limité. Dans tous les cas, l’injonction doit être nécessaire, proportionnée et possible dans une procédure nationale similaire.

  Dix jours pour produire, huit heures en cas d’urgence

  Dès réception d’un EPOC, le destinataire doit agir rapidement pour conserver les données demandées. Il doit ensuite les transmettre directement à l’autorité indiquée dans le certificat dans un délai maximal de dix jours à compter de la réception de l’EPOC lorsqu’aucune notification n’est requise. En cas d’urgence (menace imminente pour la vie, l’intégrité physique ou la sécurité d’une personne ou pour une infrastructure critique dans les conditions prévues par le texte), le délai tombe à huit heures. L’urgence devient ainsi une contrainte de disponibilité permanente, y compris la nuit, le week-end et les jours fériés. Le certificat est par ailleurs traduit dans une langue acceptée par le destinataire ou, à défaut de choix de sa part, dans une langue officielle de l’État membre où se trouve l’établissement désigné ou le représentant légal ; chaque État membre peut élargir la liste des langues qu’il accepte et notifie ses autorités compétentes à la Commission.

  L’EPOC-PR appelle une réaction encore plus immédiate : les données doivent être conservées sans retard injustifié. Cette obligation prend fin après soixante jours, sauf si l’autorité confirme qu’une demande de production ultérieure a été émise. Elle peut être prolongée une fois de trente jours pour permettre l’émission de cette demande. Pendant cette période, le fournisseur doit garantir l’intégrité et la disponibilité des données sans les communiquer prématurément.

  Le règlement e-Evidence prévoit toutefois un dialogue lorsque le certificat est incomplet, manifestement erroné ou insuffisamment précis, ou lorsqu’une impossibilité de fait empêche l’exécution. Le fournisseur utilise alors le formulaire harmonisé de l’annexe III et conserve les données lorsqu’elles peuvent être identifiées. Pour une injonction de production, l’autorité d’émission dispose de cinq jours pour apporter les éclaircissements nécessaires, les obligations d’exécution du fournisseur étant suspendues tant qu’ils ne sont pas fournis. Le mécanisme vaut également pour l’EPOC-PR, avec une sanction différente et plus favorable au fournisseur : en l’absence de réaction de l’autorité d’émission dans le délai de cinq jours, le fournisseur de services est exempté de ses obligations de conservation. Ces mécanismes supposent des procédures internes capables de distinguer, dans un délai très bref, la difficulté technique, l’irrégularité apparente et le simple désaccord sur le bien-fondé de la demande.

  Les fournisseurs doivent permettre à leur établissement désigné ou à leur représentant légal d’accéder au système et prennent en charge les coûts nécessaires à son intégration ou à son utilisation. L’article 14 leur permet de demander à l’État d’émission le remboursement de leurs frais lorsque le droit national de cet État le prévoit pour des injonctions nationales similaires, ces règles nationales devant être rendues publiques par la Commission. Le portail d’enregistrement de la Commission est par ailleurs désormais accessible aux fournisseurs.

  Des garanties organisées à plusieurs niveaux

  La rapidité du mécanisme n’écarte pas tout contrôle par l’État chargé de la mise en œuvre. Lorsqu’une injonction de production porte sur des données de trafic ou de contenu, l’autorité chargée de la mise en œuvre doit en principe être notifiée en même temps que le fournisseur. La transmission des données intervient alors à l’expiration du délai de dix jours, ou plus tôt si l’autorité chargée de la mise en œuvre confirme qu’elle n’invoquera aucun motif de refus. En cas d’urgence, cette autorité dispose de quatre-vingt-seize heures pour s’opposer à l’utilisation des données, y compris après leur transmission, l’autorité d’émission devant alors les effacer ou en restreindre l’usage : cette objection a posteriori a une portée pratique forte pour les fournisseurs. La notification n’est toutefois pas requise lorsque l’autorité d’émission a des motifs raisonnables de croire que l’infraction a été commise, est en train d’être commise ou est susceptible d’être commise dans son propre État et que la personne concernée y réside, ces deux conditions étant cumulatives.

  Les motifs de refus s’organisent en deux étages. Au stade de la notification, l’autorité chargée de la mise en œuvre peut invoquer, dans les dix jours, ou quatre-vingt-seize heures en cas d’urgence, les motifs limitativement énumérés à l’article 12 : immunités ou privilèges, règles protégeant la liberté de la presse, violation manifeste d’un droit fondamental dans des circonstances exceptionnelles, principe ne bis in idem ou, sous réserve d’exceptions, absence de double incrimination. Au stade de la mise en œuvre forcée, l’article 16, §4 et §5 ouvre des motifs plus larges : absence d’autorité d’émission compétente, infraction située hors des seuils fixés, impossibilité de fait, données non stockées au moment de la réception du certificat ou service hors du champ du règlement. Le destinataire n’est donc pas érigé en juge général de la nécessité et de la proportionnalité de l’injonction. Il devient néanmoins le premier niveau de détection des anomalies manifestes et doit signaler les obstacles dont il a connaissance.

  Le règlement porte une attention particulière aux données couvertes par le secret professionnel et aux libertés des médias, selon deux régimes distincts. D’une part, l’article 5, §9 du Règlement encadre l’émission de l’injonction lorsque les données de trafic ou de contenu, hébergées dans une infrastructure fournie à un professionnel soumis au secret professionnel en vertu du droit de l’État d’émission, sont protégées par ce secret : l’injonction ne peut alors être émise que dans certaines hypothèses, notamment si le professionnel réside dans l’État d’émission, si le fait de s’adresser à lui risquerait de nuire à l’enquête ou si le secret a été levé. Lorsque l’infrastructure est fournie à une autorité publique, l’article 5, §8 du Règlement réserve l’émission de l’injonction aux cas où cette autorité est située dans l’État d’émission, disposition applicable mutatis mutandis à la conservation ; point sensible pour les fournisseurs de services cloud du secteur public. D’autre part, les articles 10, §5 et 11, §4 imposent au destinataire et au fournisseur d’alerter les autorités lorsque l’exécution paraît interférer avec des immunités, des privilèges ou des règles relatives à la liberté de la presse ou d’expression selon le droit de l’État chargé de la mise en œuvre.

  La personne dont les données sont produites doit en principe être informée sans retard injustifié par l’autorité d’émission et disposer d’un recours effectif devant une juridiction de cet État. Cette information peut néanmoins être retardée, limitée ou omise lorsque les conditions prévues par la directive « police-justice », la directive (UE) 2016/680, dont l’article 13, §3 est le fondement du report d’information, sont réunies. De leur côté, le destinataire et le fournisseur doivent mettre en œuvre les mesures opérationnelles et techniques les plus modernes pour garantir la confidentialité, le secret et l’intégrité de l’injonction et des données.

  Enfin, lorsqu’une injonction de production entre en conflit avec une obligation découlant du droit d’un pays tiers, le destinataire peut former, dans les dix jours, une objection motivée. Le seul stockage des données dans ce pays ne suffit pas. Si l’autorité souhaite maintenir l’injonction, la juridiction compétente de l’État d’émission procède, en application de l’article 17, §4, à un examen en deux temps : elle établit d’abord l’existence d’un conflit, en vérifiant que le droit du pays tiers est applicable puis qu’il interdit effectivement la divulgation dans les circonstances de l’espèce ; à défaut de conflit, l’injonction est maintenue. Ce n’est qu’en présence d’un conflit qu’elle met en balance les intérêts protégés par le droit du pays tiers, le degré de connexion de l’affaire et les liens du fournisseur avec les juridictions concernées, la gravité de l’infraction et les conséquences du respect de l’injonction, une importance particulière étant accordée aux deux premiers facteurs. L’exécution de l’injonction est suspendue pendant ce réexamen. Ce mécanisme sera particulièrement suivi par les groupes internationaux exposés à des obligations de divulgation ou de non-divulgation potentiellement concurrentes.

  Le fournisseur devient un maillon de la coopération pénale européenne

  L’importance du rôle confié aux opérateurs se mesure au régime de sanctions. Les États membres doivent prévoir des sanctions effectives, proportionnées et dissuasives et permettre l’imposition d’amendes pouvant atteindre 2 % du chiffre d’affaires annuel mondial total du fournisseur pour l’exercice précédent. Conformément à l’article 16, §10, ces sanctions pécuniaires visent les violations des articles 10, 11 et 13, §4, donc y compris le manquement aux obligations de confidentialité et de sécurité. Le règlement protège en retour le fournisseur contre la responsabilité pour le préjudice causé à ses utilisateurs ou à des tiers lorsque celui-ci résulte exclusivement du respect de bonne foi d’un EPOC ou d’un EPOC-PR, sans préjudice de ses obligations en matière de protection des données.

  Il serait donc réducteur de traiter le dispositif comme une simple nouvelle adresse de réception des réquisitions. L’établissement désigné ou le représentant légal doit être doté des pouvoirs et des ressources nécessaires pour recevoir, authentifier et exécuter les injonctions. Il faut également organiser l’accès aux données au sein du groupe, la conservation probatoire, les validations juridiques, la sécurité des transmissions, la traçabilité des décisions et l’escalade des cas sensibles. Le délai de huit heures rend indispensable une chaîne de réponse testée avant l’entrée en application.

  Une entrée en application sous tension

  À moins d’un mois de l’échéance, la préparation demeure inégale. Le règlement d’exécution technique a bien été adopté le 28 juillet 2025, mais la transposition de la directive 2023/1544 devait être achevée le 18 février 2026. Le 27 mars 2026, la Commission européenne a ouvert une procédure d’infraction contre vingt-deux États membres, dont la France, pour défaut de communication d’une transposition complète.

  Les représentants du secteur soulignent parallèlement les incertitudes entourant la disponibilité du système décentralisé, son articulation avec les outils nationaux existants et certaines limites techniques, à l’image du plafond de transmission de 25 Mo retenu par les spécifications. Dans une prise de position de juin 2026, EuroISPA appelle ainsi à une période de grâce liée à la mise à disposition effective de l’infrastructure. Le cadre juridique a toutefois lui-même anticipé une partie du décalage : l’obligation d’utiliser le système décentralisé n’est exigible qu’un an après l’adoption des actes d’exécution et l’article 24 organise, dans l’intervalle, le recours aux moyens de substitution les plus appropriés. À la date de rédaction du présent article, aucun report de la date d’application prévue par le règlement n’a été adopté. L’écart éventuel entre la maturité du dispositif et l’opposabilité des obligations constitue donc un risque immédiat pour les fournisseurs.

  Un écho transatlantique : le CLOUD Act

  Ce basculement dépasse le cadre européen : l’Union n’a pas inventé le déplacement du critère de rattachement que consacre l’article 1er du règlement. Cinq ans avant le paquet e-Evidence, le CLOUD Act du 23 mars 2018 avait tranché par la loi la question laissée ouverte par le contentieux Microsoft Ireland, dans lequel l’opérateur soutenait qu’une demande portant sur des données stockées en Irlande devait emprunter le circuit de l’entraide judiciaire. Le nouveau 18 U.S.C. § 2713 impose au fournisseur de services de communications électroniques ou d’informatique à distance de conserver, sauvegarder ou communiquer les données placées sous sa possession, sa garde ou son contrôle, « regardless of whether [they are] located within or outside of the United States ». La formule répond au « quelle que soit la localisation des données » du règlement : de part et d’autre de l’Atlantique, le critère de rattachement a cessé d’être le serveur pour devenir le lien juridique entre l’autorité et le fournisseur – l’établissement désigné ou le représentant légal d’un côté, le contrôle des données par une entité soumise à la juridiction américaine de l’autre.

  Le parallèle s’arrête toutefois là où commence l’architecture institutionnelle. Le CLOUD Act ne crée pas d’injonction directement exécutoire d’un État vers un fournisseur étranger : sa seconde branche, codifiée à 18 U.S.C. § 2523, subordonne cet accès direct à des accords exécutifs conclus avec des « qualifying foreign governments », après certification par l’Attorney General, avec l’accord du Secretary of State, du respect de l’État de droit et des droits fondamentaux. Ces accords doivent limiter les demandes aux « serious crime », imposer un ciblage individualisé, interdire de viser intentionnellement une US person ou une personne située aux États-Unis, prévoir des procédures de minimisation et une réciprocité allant jusqu’à la levée des interdictions de divulgation opposables aux fournisseurs ; leur entrée en vigueur suppose un examen dans un délai de cent quatre-vingts jours par le Congrès, qui peut s’y opposer par résolution conjointe. Là où le règlement organise l’accès direct par un instrument unilatéral d’application immédiate entre États membres, le droit américain le conditionne à un accord négocié – l’hypothèse d’un accord global entre l’Union et les États-Unis, plutôt que d’accords bilatéraux avec chaque État membre, a fait l’objet d’un mandat de négociation donné à la Commission européenne par le Conseil en 2019 mais sans succès à ce jour. Hors accord international, une demande fondée sur le seul CLOUD Act se heurte d’ailleurs à l’article 48 du RGPD.

  C’est enfin sur le conflit de lois que le miroir est le plus net. Le 18 U.S.C. § 2703(h) permet au fournisseur de saisir le juge américain dans les quatorze jours pour faire annuler ou modifier la procédure lorsqu’il estime raisonnablement que l’abonné n’est ni une US person ni un résident des États-Unis et que la divulgation créerait un risque matériel de violation du droit d’un « qualifying foreign government ». Le juge procède alors à une appréciation de comity analysis pondérant notamment les intérêts respectifs des deux États, les sanctions encourues par le fournisseur, la localisation et la nationalité de l’abonné, les liens du fournisseur avec les États-Unis et l’importance des informations pour l’enquête, les données devant être conservées mais non produites pendant l’instance. On reconnaît la structure de l’article 17 du règlement, évoquée plus haut : objection motivée dans un délai bref, suspension de l’exécution, mise en balance d’intérêts comparables. Ce régime spécifique de comity analysis n’est cependant ouverte qu’au bénéfice des États liés par un accord exécutif, les autres devant continuer de se fonder sur le le principe jurisprudentiel de courtoisie internationale qui demeure applicable y compris dans le cadre du Cloud Act. Pour les fournisseurs présents des deux côtés de l’Atlantique, l’enjeu n’est donc pas de choisir un ordre juridique, mais de tenir dans les deux la même discipline : qualifier vite, documenter, et savoir opposer un conflit de lois avant l’expiration de délais qui se comptent en jours.

  Le règlement e-Evidence marque, en définitive, un déplacement du centre de gravité de la coopération judiciaire internationale, que le droit américain avait amorcé de son côté. La frontière pertinente n’est plus celle du lieu de stockage, mais celle de l’établissement désigné ou du représentant légal du fournisseur. En contrepartie de l’accès accéléré aux preuves, le texte exige de concilier dans des délais particulièrement courts efficacité de l’enquête, protection des droits fondamentaux, secrets protégés, sécurité des données et conflits de lois. Sa réussite dépendra autant de la préparation des autorités que de celle des entreprises placées au premier rang de son exécution. Dans un monde d’interdépendances multiples où les technologies jouent un rôle transnational majeur, il est à souhaiter que la logique d’accords et de reconnaissances mutuelles des procédures gagnent du terrain pour garantir les droits fondamentaux et la protection de l’ordre public. La souveraineté numérique passe aussi par ce chemin.

  Sources officielles mentionnées dans le projet

  • EUR-Lex – Règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation
  • EUR-Lex – Directive (UE) 2023/1544 relative aux établissements désignés et représentants légaux
  • Commission européenne – E-evidence: cross-border access to electronic evidence
  • EUR-Lex – Règlement d’exécution (UE) 2025/1550 du 28 juillet 2025 relatif au système informatique décentralisé (JO du 29 juillet 2025)
  • Commission européenne – Décisions d’infraction du 27 mars 2026
  • EuroISPA – Closing the implementation gap before August 2026 (juin 2026)
  • eucrim – Critical Issues in the New EU Regulation on Electronic Evidence in Criminal Proceedings
  • ETSI – Norme TS 104 144 relative aux spécifications d’échange des preuves électroniques
  • CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Pub. L. 115-141, div. V, 23 mars 2018 – 18 U.S.C. §§ 2523, 2703(h) et 2713

  The post <strong>Règlement e-Evidence</strong> : l’accès transfrontière aux données change d’échelle appeared first on INCYBER NEWS.

  source