Sommaire:
A) - e-Evidence est applicable depuis le 18 août 2026.
B) - Règlement e-Evidence : l’accès transfrontière aux données change d’échelle
C) - Les failles du règlement e-evidence
D) - Preuves électroniques
E) - Divers liens pouvant être liés au sujet
A) - e-Evidence est applicable depuis le 18 août 2026.
Vous n'avez rien vu passer.
C'est logique : il n'y avait rien à voir.
Pas de transposition, pas de débat parlementaire, pas de tribune.
Le Règlement (UE) 2023/1543 supprime l'entraide judiciaire comme passage obligé. Jusqu'au 17 août, un procureur français qui voulait les logs d'un compte hébergé en Irlande passait par une décision d'enquête européenne.
Délai : des mois, parfois des années. Depuis le 18 août, il adresse une injonction européenne de production directement au prestataire, ou à son représentant légal dans l'Union.
Délais de réponse : 10 jours en régime normal, 8 heures en urgence. Sanction en cas de refus : jusqu'à 2 % du chiffre d'affaires mondial annuel.
Périmètre : tout service offert dans l'Union, établi ou non. Messageries, e-mail, VoIP, cloud, réseaux sociaux, DNS, marketplaces. Meta, AWS, OVH, Apple, Google, Microsoft, Cloudflare...
Telegram est pleinement dans le champ avec un représentant légal en Belgique. Signal aussi, sauf que Signal ne détient quasiment rien : chiffrement de bout en bout et rétention minimale. Le règlement n'oblige personne à casser le chiffrement. Il oblige à livrer ce qui existe déjà. La différence est technique, elle est réelle, et elle explique pourquoi le chiffrement sera la prochaine cible. Quatre catégories de données, deux seuils. Données d'abonné et données d'identification pure (IP, ports, horodatages) : toutes les infractions pénales. Trafic et contenu : peine maximale d'au moins trois ans, ou infractions listées. Retenez le premier seuil. Toutes les infractions.
Ce qui a changé, c'est la friction, pas les pouvoirs.
Le formalisme interétatique n'était pas une garantie écrite, c'était une garantie physique. Un coût de transaction élevé limite mécaniquement le volume, et le volume limité impose une sélection des dossiers. Supprimez le coût, vous ne supprimez pas un obstacle bureaucratique : vous supprimez le mécanisme qui rendait l'usage exceptionnel. C'est le seul changement qui compte, et c'est précisément celui qui n'a été discuté nulle part.
Le texte prévoit une notification à l'État d'exécution pour le trafic et le contenu, avec 10 jours pour soulever un motif de refus : immunités, liberté de la presse, non bis in idem, atteinte manifeste à un droit fondamental.
Question simple : combien d'ETP, dans chaque État membre, sont affectés à la lecture effective d'ordres étrangers, rédigés dans une autre langue, sous contrainte de 10 jours, avec la charge de motiver un refus ?
Un dispositif d'opposition non doté reste purement décoratif. C'est de l'arithmétique de ressources.
Deuxième question : le système informatique décentralisé prévu pour faire circuler ces ordres n'est pas opérationnel partout, et plusieurs États n'avaient pas pleinement transposé la directive associée 2023/1544 à la date d'application.
Le règlement, lui, s'applique. Les ordres peuvent partir. Les amendes aussi. On a livré le moteur avant les freins et on appelle ça un calendrier.
Troisième question, la seule qui vaille : où est le compteur ?
Nombre d'ordres émis par État, par catégorie de données, par infraction. Taux d'objection. Taux d'exécution. Délai moyen. Publication annuelle, format ouvert.
Un système qui traite des millions de vies privées et qui ne se mesure pas en public n'est pas un système de justice, c'est une boîte noire avec un fondement légal.
Laurent MILTGEN-DELINCHAMP
@kubernan
Pilotage de systèmes complexes | IA, politique & souveraineté | Florescant rosae super crucibus vestris ∴
https://x.com/kubernan/status/2090407635518435828
B) - Règlement e-Evidence : l’accès transfrontière aux données change d’échelle
Courriels, messages instantanés, fichiers hébergés dans le cloud, données de connexion ou informations permettant d'identifier l'utilisateur : les preuves utiles à une enquête pénale sont désormais très souvent détenues par un prestataire établi dans un autre État, voire stockées en dehors de l'Union européenne. Or les canaux traditionnels de coopération judiciaire internationale ont été conçus pour un monde moins instantané. La Commission européenne compare ainsi le délai de dix jours du nouveau mécanisme aux délais pouvant atteindre 120 jours pour une décision d'enquête européenne et, en moyenne, dix mois pour une demande d'entraide judiciaire.Par Marc Mossé – Senior Counsel, Eden Gall – Counsel
Adopté le 12 juillet 2023, le paquet « e-Evidence » repose sur deux textes complémentaires. Le règlement (UE) 2023/1543, directement applicable à partir du 18 août 2026, crée les injonctions européennes de production et de conservation. La directive (UE) 2023/1544 organise, quant à elle, la désignation par les fournisseurs d’un établissement ou d’un représentant légal dans l’Union afin de recevoir et d’exécuter ces injonctions. Le Danemark n’est pas lié par le règlement. L’Irlande a, en revanche, notifié son souhait d’y participer, ce qui est notable dès lors que de nombreuses entreprises du secteur des technologies de l’information ont leur principal établissement dans cet État membre de l’UE : le périmètre réel de la coopération s’en trouve sensiblement élargi. Pour les autres États membres, la réforme instaure un cadre uniforme qui complète, sans les supprimer, les instruments existants.
Un accès direct au fournisseur qui modifie les circuits traditionnels
Le changement principal tient au circuit de la demande. Jusqu’à présent, l’obtention de données situées à l’étranger reposait en principe sur l’intervention des autorités de l’État requis, notamment au moyen de l’entraide judiciaire ou de la décision d’enquête européenne. Le règlement permet désormais à l’autorité compétente de l’État d’émission de transmettre directement son certificat à l’établissement désigné ou au représentant légal du fournisseur dans un autre État membre. L’État dans lequel les serveurs sont physiquement situés n’est pas déterminant : le texte e-Evidence s’applique « quelle que soit la localisation des données ».
Deux instruments doivent être distingués :
- L’injonction européenne de production, transmise au moyen d’un certificat d’injonction européenne de production (EPOC), impose la remise de données déjà stockées au moment de sa réception.
- L’injonction européenne de conservation, transmise au moyen d’un certificat d’injonction européenne de conservation (EPOC-PR), oblige le fournisseur à empêcher le retrait, la suppression ou la modification des données dans l’attente d’une demande de production ultérieure. Elle ne vaut donc pas, à elle seule, autorisation de communiquer les données.
Le mécanisme reste circonscrit aux procédures pénales et, aux fins de l’exécution d’une peine ou d’une mesure de sûreté privative de liberté, à trois conditions cumulatives : une durée d’au moins quatre mois, une décision qui n’a pas été rendue par défaut et une personne condamnée qui s’est soustraite à la justice. Les injonctions peuvent également être émises dans le cadre de procédures portant sur une infraction dont une personne morale pourrait être tenue responsable dans l’État d’émission. Le règlement n’a pas pour objet les enquêtes civiles ou administratives et ne s’applique pas aux procédures engagées en vue de fournir une entraide judiciaire à un autre État membre ou à un pays tiers. Les autorités nationales conservent par ailleurs la possibilité de recourir à leurs pouvoirs internes à l’égard des fournisseurs établis ou représentés sur leur territoire.
Un champ d’application aussi large que l’économie numérique
La notion de fournisseur de services dépasse largement les opérateurs de télécommunications. Sont visés les services de communications électroniques, les services d’attribution de noms de domaine et de numérotation IP, ainsi que les services de la société de l’information qui permettent aux utilisateurs de communiquer entre eux ou dont une composante déterminante consiste à stocker ou traiter des données pour leur compte. Messageries, réseaux sociaux, plateformes, places de marché, services cloud et hébergeurs peuvent ainsi entrer dans le champ du texte. Les services financiers sont en revanche exclus de cette définition, ce qui borne un champ par ailleurs très étendu.
Le fournisseur n’a pas nécessairement à être établi dans l’Union. Il suffit qu’il y propose ses services et présente un lien substantiel avec un État membre, apprécié notamment au regard de l’existence d’un établissement, d’un nombre significatif d’utilisateurs ou d’un ciblage des activités vers le marché européen. La directive 2023/1544 impose alors, selon la situation du fournisseur, la désignation d’un établissement doté de la personnalité juridique ou la nomination d’un représentant légal dans l’Union, au plus tard le 18 août 2026 pour les acteurs déjà présents.
Le règlement e-Evidence définit les preuves électroniques par trois catégories – données relatives aux abonnés, données relatives au trafic et données relatives au contenu – mais organise en réalité quatre régimes : les adresses IP et informations connexes demandées à la seule fin d’identifier un utilisateur constituent un sous-ensemble découpé au sein des données de trafic, soumis à un régime allégé. Cette distinction commande le niveau de contrôle. Les données d’abonné ou d’identification peuvent être demandées pour toute infraction pénale. Les données de trafic – hors simple identification – et de contenu ne peuvent en principe être obtenues que pour une infraction passible d’une peine maximale d’au moins trois ans ou pour certaines infractions spécialement visées, notamment en matière de cybercriminalité, de terrorisme, d’exploitation sexuelle des enfants ou de fraude et de contrefaçon des moyens de paiement autres que les espèces au sens de la directive (UE) 2019/713, ces infractions devant en outre avoir été commises, en tout ou en partie, au moyen d’un système d’information – condition qui ne s’applique pas aux infractions terroristes.
L’autorité habilitée dépend également de la sensibilité des données. Un procureur peut émettre ou valider une injonction de production portant sur des données d’abonné ou d’identification ; pour les données de trafic et de contenu, l’émission ou la validation d’une telle injonction doit relever d’un juge, d’une juridiction ou d’un juge d’instruction. Cette dichotomie ne vaut toutefois que pour la production : une injonction européenne de conservation concernant des données de toute catégorie, y compris de trafic et de contenu, peut être émise ou validée par un procureur. En cas d’urgence valablement établi, une injonction portant sur des données d’abonné ou d’identification, ou une injonction de conservation, peut en outre être émise sans validation préalable, sous réserve d’une validation ex post dans les quarante-huit heures ; à défaut, l’injonction est retirée et les données obtenues sont supprimées ou leur usage limité. Dans tous les cas, l’injonction doit être nécessaire, proportionnée et possible dans une procédure nationale similaire.
Dix jours pour produire, huit heures en cas d’urgence
Dès réception d’un EPOC, le destinataire doit agir rapidement pour conserver les données demandées. Il doit ensuite les transmettre directement à l’autorité indiquée dans le certificat dans un délai maximal de dix jours à compter de la réception de l’EPOC lorsqu’aucune notification n’est requise. En cas d’urgence (menace imminente pour la vie, l’intégrité physique ou la sécurité d’une personne ou pour une infrastructure critique dans les conditions prévues par le texte), le délai tombe à huit heures. L’urgence devient ainsi une contrainte de disponibilité permanente, y compris la nuit, le week-end et les jours fériés. Le certificat est par ailleurs traduit dans une langue acceptée par le destinataire ou, à défaut de choix de sa part, dans une langue officielle de l’État membre où se trouve l’établissement désigné ou le représentant légal ; chaque État membre peut élargir la liste des langues qu’il accepte et notifie ses autorités compétentes à la Commission.
L’EPOC-PR appelle une réaction encore plus immédiate : les données doivent être conservées sans retard injustifié. Cette obligation prend fin après soixante jours, sauf si l’autorité confirme qu’une demande de production ultérieure a été émise. Elle peut être prolongée une fois de trente jours pour permettre l’émission de cette demande. Pendant cette période, le fournisseur doit garantir l’intégrité et la disponibilité des données sans les communiquer prématurément.
Le règlement e-Evidence prévoit toutefois un dialogue lorsque le certificat est incomplet, manifestement erroné ou insuffisamment précis, ou lorsqu’une impossibilité de fait empêche l’exécution. Le fournisseur utilise alors le formulaire harmonisé de l’annexe III et conserve les données lorsqu’elles peuvent être identifiées. Pour une injonction de production, l’autorité d’émission dispose de cinq jours pour apporter les éclaircissements nécessaires, les obligations d’exécution du fournisseur étant suspendues tant qu’ils ne sont pas fournis. Le mécanisme vaut également pour l’EPOC-PR, avec une sanction différente et plus favorable au fournisseur : en l’absence de réaction de l’autorité d’émission dans le délai de cinq jours, le fournisseur de services est exempté de ses obligations de conservation. Ces mécanismes supposent des procédures internes capables de distinguer, dans un délai très bref, la difficulté technique, l’irrégularité apparente et le simple désaccord sur le bien-fondé de la demande.
Les fournisseurs doivent permettre à leur établissement désigné ou à leur représentant légal d’accéder au système et prennent en charge les coûts nécessaires à son intégration ou à son utilisation. L’article 14 leur permet de demander à l’État d’émission le remboursement de leurs frais lorsque le droit national de cet État le prévoit pour des injonctions nationales similaires, ces règles nationales devant être rendues publiques par la Commission. Le portail d’enregistrement de la Commission est par ailleurs désormais accessible aux fournisseurs.
Des garanties organisées à plusieurs niveaux
La rapidité du mécanisme n’écarte pas tout contrôle par l’État chargé de la mise en œuvre. Lorsqu’une injonction de production porte sur des données de trafic ou de contenu, l’autorité chargée de la mise en œuvre doit en principe être notifiée en même temps que le fournisseur. La transmission des données intervient alors à l’expiration du délai de dix jours, ou plus tôt si l’autorité chargée de la mise en œuvre confirme qu’elle n’invoquera aucun motif de refus. En cas d’urgence, cette autorité dispose de quatre-vingt-seize heures pour s’opposer à l’utilisation des données, y compris après leur transmission, l’autorité d’émission devant alors les effacer ou en restreindre l’usage : cette objection a posteriori a une portée pratique forte pour les fournisseurs. La notification n’est toutefois pas requise lorsque l’autorité d’émission a des motifs raisonnables de croire que l’infraction a été commise, est en train d’être commise ou est susceptible d’être commise dans son propre État et que la personne concernée y réside, ces deux conditions étant cumulatives.
Les motifs de refus s’organisent en deux étages. Au stade de la notification, l’autorité chargée de la mise en œuvre peut invoquer, dans les dix jours, ou quatre-vingt-seize heures en cas d’urgence, les motifs limitativement énumérés à l’article 12 : immunités ou privilèges, règles protégeant la liberté de la presse, violation manifeste d’un droit fondamental dans des circonstances exceptionnelles, principe ne bis in idem ou, sous réserve d’exceptions, absence de double incrimination. Au stade de la mise en œuvre forcée, l’article 16, §4 et §5 ouvre des motifs plus larges : absence d’autorité d’émission compétente, infraction située hors des seuils fixés, impossibilité de fait, données non stockées au moment de la réception du certificat ou service hors du champ du règlement. Le destinataire n’est donc pas érigé en juge général de la nécessité et de la proportionnalité de l’injonction. Il devient néanmoins le premier niveau de détection des anomalies manifestes et doit signaler les obstacles dont il a connaissance.
Le règlement porte une attention particulière aux données couvertes par le secret professionnel et aux libertés des médias, selon deux régimes distincts. D’une part, l’article 5, §9 du Règlement encadre l’émission de l’injonction lorsque les données de trafic ou de contenu, hébergées dans une infrastructure fournie à un professionnel soumis au secret professionnel en vertu du droit de l’État d’émission, sont protégées par ce secret : l’injonction ne peut alors être émise que dans certaines hypothèses, notamment si le professionnel réside dans l’État d’émission, si le fait de s’adresser à lui risquerait de nuire à l’enquête ou si le secret a été levé. Lorsque l’infrastructure est fournie à une autorité publique, l’article 5, §8 du Règlement réserve l’émission de l’injonction aux cas où cette autorité est située dans l’État d’émission, disposition applicable mutatis mutandis à la conservation ; point sensible pour les fournisseurs de services cloud du secteur public. D’autre part, les articles 10, §5 et 11, §4 imposent au destinataire et au fournisseur d’alerter les autorités lorsque l’exécution paraît interférer avec des immunités, des privilèges ou des règles relatives à la liberté de la presse ou d’expression selon le droit de l’État chargé de la mise en œuvre.
La personne dont les données sont produites doit en principe être informée sans retard injustifié par l’autorité d’émission et disposer d’un recours effectif devant une juridiction de cet État. Cette information peut néanmoins être retardée, limitée ou omise lorsque les conditions prévues par la directive « police-justice », la directive (UE) 2016/680, dont l’article 13, §3 est le fondement du report d’information, sont réunies. De leur côté, le destinataire et le fournisseur doivent mettre en œuvre les mesures opérationnelles et techniques les plus modernes pour garantir la confidentialité, le secret et l’intégrité de l’injonction et des données.
Enfin, lorsqu’une injonction de production entre en conflit avec une obligation découlant du droit d’un pays tiers, le destinataire peut former, dans les dix jours, une objection motivée. Le seul stockage des données dans ce pays ne suffit pas. Si l’autorité souhaite maintenir l’injonction, la juridiction compétente de l’État d’émission procède, en application de l’article 17, §4, à un examen en deux temps : elle établit d’abord l’existence d’un conflit, en vérifiant que le droit du pays tiers est applicable puis qu’il interdit effectivement la divulgation dans les circonstances de l’espèce ; à défaut de conflit, l’injonction est maintenue. Ce n’est qu’en présence d’un conflit qu’elle met en balance les intérêts protégés par le droit du pays tiers, le degré de connexion de l’affaire et les liens du fournisseur avec les juridictions concernées, la gravité de l’infraction et les conséquences du respect de l’injonction, une importance particulière étant accordée aux deux premiers facteurs. L’exécution de l’injonction est suspendue pendant ce réexamen. Ce mécanisme sera particulièrement suivi par les groupes internationaux exposés à des obligations de divulgation ou de non-divulgation potentiellement concurrentes.
Le fournisseur devient un maillon de la coopération pénale européenne
L’importance du rôle confié aux opérateurs se mesure au régime de sanctions. Les États membres doivent prévoir des sanctions effectives, proportionnées et dissuasives et permettre l’imposition d’amendes pouvant atteindre 2 % du chiffre d’affaires annuel mondial total du fournisseur pour l’exercice précédent. Conformément à l’article 16, §10, ces sanctions pécuniaires visent les violations des articles 10, 11 et 13, §4, donc y compris le manquement aux obligations de confidentialité et de sécurité. Le règlement protège en retour le fournisseur contre la responsabilité pour le préjudice causé à ses utilisateurs ou à des tiers lorsque celui-ci résulte exclusivement du respect de bonne foi d’un EPOC ou d’un EPOC-PR, sans préjudice de ses obligations en matière de protection des données.
Il serait donc réducteur de traiter le dispositif comme une simple nouvelle adresse de réception des réquisitions. L’établissement désigné ou le représentant légal doit être doté des pouvoirs et des ressources nécessaires pour recevoir, authentifier et exécuter les injonctions. Il faut également organiser l’accès aux données au sein du groupe, la conservation probatoire, les validations juridiques, la sécurité des transmissions, la traçabilité des décisions et l’escalade des cas sensibles. Le délai de huit heures rend indispensable une chaîne de réponse testée avant l’entrée en application.
Une entrée en application sous tension
À moins d’un mois de l’échéance, la préparation demeure inégale. Le règlement d’exécution technique a bien été adopté le 28 juillet 2025, mais la transposition de la directive 2023/1544 devait être achevée le 18 février 2026. Le 27 mars 2026, la Commission européenne a ouvert une procédure d’infraction contre vingt-deux États membres, dont la France, pour défaut de communication d’une transposition complète.
Les représentants du secteur soulignent parallèlement les incertitudes entourant la disponibilité du système décentralisé, son articulation avec les outils nationaux existants et certaines limites techniques, à l’image du plafond de transmission de 25 Mo retenu par les spécifications. Dans une prise de position de juin 2026, EuroISPA appelle ainsi à une période de grâce liée à la mise à disposition effective de l’infrastructure. Le cadre juridique a toutefois lui-même anticipé une partie du décalage : l’obligation d’utiliser le système décentralisé n’est exigible qu’un an après l’adoption des actes d’exécution et l’article 24 organise, dans l’intervalle, le recours aux moyens de substitution les plus appropriés. À la date de rédaction du présent article, aucun report de la date d’application prévue par le règlement n’a été adopté. L’écart éventuel entre la maturité du dispositif et l’opposabilité des obligations constitue donc un risque immédiat pour les fournisseurs.
Un écho transatlantique : le CLOUD Act
Ce basculement dépasse le cadre européen : l’Union n’a pas inventé le déplacement du critère de rattachement que consacre l’article 1er du règlement. Cinq ans avant le paquet e-Evidence, le CLOUD Act du 23 mars 2018 avait tranché par la loi la question laissée ouverte par le contentieux Microsoft Ireland, dans lequel l’opérateur soutenait qu’une demande portant sur des données stockées en Irlande devait emprunter le circuit de l’entraide judiciaire. Le nouveau 18 U.S.C. § 2713 impose au fournisseur de services de communications électroniques ou d’informatique à distance de conserver, sauvegarder ou communiquer les données placées sous sa possession, sa garde ou son contrôle, « regardless of whether [they are] located within or outside of the United States ». La formule répond au « quelle que soit la localisation des données » du règlement : de part et d’autre de l’Atlantique, le critère de rattachement a cessé d’être le serveur pour devenir le lien juridique entre l’autorité et le fournisseur – l’établissement désigné ou le représentant légal d’un côté, le contrôle des données par une entité soumise à la juridiction américaine de l’autre.
Le parallèle s’arrête toutefois là où commence l’architecture institutionnelle. Le CLOUD Act ne crée pas d’injonction directement exécutoire d’un État vers un fournisseur étranger : sa seconde branche, codifiée à 18 U.S.C. § 2523, subordonne cet accès direct à des accords exécutifs conclus avec des « qualifying foreign governments », après certification par l’Attorney General, avec l’accord du Secretary of State, du respect de l’État de droit et des droits fondamentaux. Ces accords doivent limiter les demandes aux « serious crime », imposer un ciblage individualisé, interdire de viser intentionnellement une US person ou une personne située aux États-Unis, prévoir des procédures de minimisation et une réciprocité allant jusqu’à la levée des interdictions de divulgation opposables aux fournisseurs ; leur entrée en vigueur suppose un examen dans un délai de cent quatre-vingts jours par le Congrès, qui peut s’y opposer par résolution conjointe. Là où le règlement organise l’accès direct par un instrument unilatéral d’application immédiate entre États membres, le droit américain le conditionne à un accord négocié – l’hypothèse d’un accord global entre l’Union et les États-Unis, plutôt que d’accords bilatéraux avec chaque État membre, a fait l’objet d’un mandat de négociation donné à la Commission européenne par le Conseil en 2019 mais sans succès à ce jour. Hors accord international, une demande fondée sur le seul CLOUD Act se heurte d’ailleurs à l’article 48 du RGPD.
C’est enfin sur le conflit de lois que le miroir est le plus net. Le 18 U.S.C. § 2703(h) permet au fournisseur de saisir le juge américain dans les quatorze jours pour faire annuler ou modifier la procédure lorsqu’il estime raisonnablement que l’abonné n’est ni une US person ni un résident des États-Unis et que la divulgation créerait un risque matériel de violation du droit d’un « qualifying foreign government ». Le juge procède alors à une appréciation de comity analysis pondérant notamment les intérêts respectifs des deux États, les sanctions encourues par le fournisseur, la localisation et la nationalité de l’abonné, les liens du fournisseur avec les États-Unis et l’importance des informations pour l’enquête, les données devant être conservées mais non produites pendant l’instance. On reconnaît la structure de l’article 17 du règlement, évoquée plus haut : objection motivée dans un délai bref, suspension de l’exécution, mise en balance d’intérêts comparables. Ce régime spécifique de comity analysis n’est cependant ouverte qu’au bénéfice des États liés par un accord exécutif, les autres devant continuer de se fonder sur le le principe jurisprudentiel de courtoisie internationale qui demeure applicable y compris dans le cadre du Cloud Act. Pour les fournisseurs présents des deux côtés de l’Atlantique, l’enjeu n’est donc pas de choisir un ordre juridique, mais de tenir dans les deux la même discipline : qualifier vite, documenter, et savoir opposer un conflit de lois avant l’expiration de délais qui se comptent en jours.
Le règlement e-Evidence marque, en définitive, un déplacement du centre de gravité de la coopération judiciaire internationale, que le droit américain avait amorcé de son côté. La frontière pertinente n’est plus celle du lieu de stockage, mais celle de l’établissement désigné ou du représentant légal du fournisseur. En contrepartie de l’accès accéléré aux preuves, le texte exige de concilier dans des délais particulièrement courts efficacité de l’enquête, protection des droits fondamentaux, secrets protégés, sécurité des données et conflits de lois. Sa réussite dépendra autant de la préparation des autorités que de celle des entreprises placées au premier rang de son exécution. Dans un monde d’interdépendances multiples où les technologies jouent un rôle transnational majeur, il est à souhaiter que la logique d’accords et de reconnaissances mutuelles des procédures gagnent du terrain pour garantir les droits fondamentaux et la protection de l’ordre public. La souveraineté numérique passe aussi par ce chemin.
Sources officielles mentionnées dans le projet
- EUR-Lex – Règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation
- EUR-Lex – Directive (UE) 2023/1544 relative aux établissements désignés et représentants légaux
- Commission européenne – E-evidence: cross-border access to electronic evidence
- EUR-Lex – Règlement d’exécution (UE) 2025/1550 du 28 juillet 2025 relatif au système informatique décentralisé (JO du 29 juillet 2025)
- Commission européenne – Décisions d’infraction du 27 mars 2026
- EuroISPA – Closing the implementation gap before August 2026 (juin 2026)
- eucrim – Critical Issues in the New EU Regulation on Electronic Evidence in Criminal Proceedings
- ETSI – Norme TS 104 144 relative aux spécifications d’échange des preuves électroniques
- CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Pub. L. 115-141, div. V, 23 mars 2018 – 18 U.S.C. §§ 2523, 2703(h) et 2713
C) - Les failles du règlement e-evidence
Wikimedia France, European Digital Rights (EDRi) et une large coalition représentant une diversité d’acteurs ont rédigé un recueil de scénarios visant à contribuer au débat européen sur l’adoption d’un nouveau règlement sur les preuves électroniques, le règlement e-evidence. Notre association et les 13 organisations* qui ont co-écrit ce document, exhortent le Parlement européen et le Conseil de maintenir un niveau élevé de garanties concernant les libertés et droits fondamentaux au cours de leurs négociations.
Suite à une lettre conjointe envoyée le 18 mai 2021 soulignant nos préoccupations, ce recueil complète nos recommandations en présentant quatre scénarios différents dans lesquels le règlement e-evidence conduirait à de graves atteintes aux droits fondamentaux.
Démontrer les lacunes du règlement e-evidence sur les preuves électroniques
Les scénarios mentionnés dans le compendium démontrent l’impact disproportionné du futur règlement sur les travaux des journalistes, la protection des données de santé sensibles, la liberté de manifester dans les États membres confrontés à des problèmes systémiques liés à l’état de droit – que l’on développera dans cet article de blog -, et le droit à un procès équitable – si certaines de ses propositions restent dans le texte final.
Les scénarios préparés sont structurés de manière à mettre en évidence les droits fondamentaux en jeu, décrivent une problématique hypothétique, des situations impliquant l’accès transfrontalier aux données personnelles et soulignent les garanties nécessaires préconisées pour atténuer ces atteintes aux droits fondamentaux.
L’exemple de Wikipédia
En 2013, des manifestations massives ont eu lieu en Bulgarie, contestant plusieurs décisions du gouvernement et appelant à des responsabilités démocratiques de la part des dirigeants. A l’époque, les manifestants ont principalement utilisé Facebook pour organiser et coordonner leurs actions. Or, une commission parlementaire a confirmé, en 2015, que certains manifestants avaient été illégalement surveillés et mis sur écoute. Plus de 2 500 personnes ont été victimes d’une opération de surveillance, impliquant la création de profils personnels basés sur les médias sociaux (par exemple, publications sur Facebook, événements), l’interception de communications et photographies des manifestants. Certains manifestants ont même été convoqués au poste de police et menacés d’arrêter leurs actions de contestation en utilisant les données collectées contre elles.
Si le règlement e-evidence
était adopté dans sa version actuelle, les hypothèses suivantes mettent
en avant comment ce nouvel instrument de collecte de données pourrait
avoir un impact sur les droits fondamentaux et civils des manifestants.
Imaginons
que les manifestants utilisent Wikipédia pour rapporter et documenter
l’histoire du mouvement, les violences policières et les réactions du
gouvernement. La police pourrait chercher à identifier les leaders du
mouvement et ainsi obtenir l’identité des auteurs des différents
articles Wikipédia relatifs aux événements. Les autorités bulgares
pourraient donc émettre une injonction européenne afin d’accéder aux
données d’identification détenues par la Fondation Wikimedia, notamment
les adresses IP des éditeurs des articles. Le représentant européen de
la Fondation reçoit la demande, et, malgré des doutes sur la légalité de
cette dernière, se conforme à l’injonction afin d’éviter les risques –
très élevée – de sanction . La police reçoit les addresses IP, identifie
les auteurs et cible alors des mesures de répression contre eux.
Les garanties nécessaires
1. Prévenir les abus dans les États membres où l’État de droit est affaibli
Les scandales d’enquêtes illégales sont récurrents en Bulgarie. Récemment encore, les agences nationales de sécurité nationale du pays ont été accusées d’avoir écouté plus de 25 hommes politiques de l’opposition à l’approche des élections générales, ainsi que des dizaines d’autres personnes qui ont participé aux protestations de la société civile contre le gouvernement.
Ces scandales représentent des problèmes systémiques d’état de droit qui ont reçu des critiques internationales à de nombreuses reprises, y compris dans une résolution du Parlement européen. Cependant, les garanties fondamentales des droits et libertés inscrites dans les traités de l’UE (article 7) se sont avérées inefficaces pour faire face à ces situations, notamment car la Bulgarie n’est pas le seul État membre connaissant de graves problèmes d’État de droit, et que les procédures afin de palier à ces problèmes nécessite l’unanimité des autres États membres.
L’introduction du règlement e-evidence dans les États membres où l’indépendance de la justice n’est pas garantie serait gravement dangereux pour la protection des droits fondamentaux. Afin d’atténuer ce risque d’abus, nous recommandons d’introduire un régime d’implication systématique des autorités de l’État membre d’exécution – dès que possible dans le processus – pour toutes sortes de commandes et catégories de données sollicitée, avec l’obligation de contrôler la conformité des ordonnances et d’invoquer des motifs de refus sur cette base. Dans l’exemple ci-dessus, les autorités judiciaires de l’État membre où le représentant européen de la Wikimedia Fondation réside devrait être responsable de revoir l’ordre de fabrication et le refuser.
2. Empêcher les transferts illégaux de données et la divulgation injustifiée d’identité
Selon la proposition de la Commission et la version du Conseil, les adresses IP de Wikipédia seraient considérées comme des « données d’accès ». Cette catégorisation signifie que l’ordonnance de production ne nécessite aucune validation d’un juge, aucune notification aux autorités d’exécution et est disponible pour tous les types d’infractions pénales, voire des délits mineurs. Aux termes des accords les plus récents des trilogues, il s’agirait de « données de trafic » mais un régime spécial s’applique « aux seules fins d’identification de l’utilisateur, les adresses IP et, si nécessaire, les ports source et l’horodatage pertinents (date/ temps), ou des équivalents techniques de ces identifiants ».
La création d’un « régime spécial » qui assimile effectivement certains traitement de données de trafic à des données d’accès est préoccupante car il maintient l’exclusion des « données d’accès ». Il est essentiel que le futur règlement soit conforme à la jurisprudence la plus récente de la Cour de Justice de l’Union européenne (notamment C-746/18 – Prokuratuur) selon laquelle même l’accès à un petit sous-ensemble de données relatives au trafic peut fournir des informations précises sur la vie privées d’une personne et nécessite donc plus de protections.
Il devrait être obligatoire pour l’autorité d’exécution de donner son avis explicitement avant qu’un ordre de production puisse être exécuté. Cela éviterait les situations où il est trop tard pour l’autorité d’exécution de s’opposer à une commande car le prestataire de services a déjà transmis les données. Cela garantirait que tous les droits fondamentaux soient respectés avant d’avoir accès à l’identité de la personne. Car une fois que les autorités policières apprendront l’identité des manifestants, ils ne l’oublieront pas ou ne la supprimeront pas simplement parce que le transfert de données d’identification a été déclaré illégal.
*European Digital Rights, The European Magazine Media Association (EMMA), HOPE, Free Knowledge Advocacy Group EU, Committee to Protect Journalists, Wikimédia France, The Council of Bars and Law Societies of Europe (CCBE), European Newspaper Publishers’ Association (ENPA), IT-Political Association of Denmark (IT-Pol), European Broadcasting Union, VDZ (Association des éditeurs de magazines allemands), Deutscher Anwaltverein (Association du Barreau allemand), Fair Trials et le Comité permanent des médecins européens (CPME)
D) - Preuves électroniques
L’Internet et les nouvelles technologies ont un impact sur les règles et les modes de preuve devant les tribunaux. Une étude comparative de cette question (principalement dans les domaines des procédures de droit civil et de droit administratif) a été réalisée.
Pour donner suite à cette étude, le CDCJ a élaboré un projet de lignes directrices destinées à apporter des conseils pratiques dans ce domaine aux juridictions et autres autorités compétentes exerçant des fonctions juridictionnelles, aux professionnels, y compris aux praticiens du droit, et aux parties à la procédure, sur le traitement des preuves électroniques dans les procédures civiles et administratives. Le CDCJ a approuvé le texte à sa 93e réunion plénière (14-16 novembre 2018) avant de le soumettre au Comité des Ministres pour adoption. Les Lignes directrices sur les preuves électroniques dans les procédures civiles et administratives ont été adoptées le 30 janvier 2019.
Le CDCJ se charge maintenant de promouvoir ces lignes directrices et de soutenir leur mise en oeuvre dans les Etats membres.
Lignes directrices sur les preuves électroniques dans les procédures civiles et administratives
- Lignes directrices du Comité des Ministres du Conseil de l’Europe sur les preuves électroniques dans les procédures civiles et administratives (Site web du Comité des Ministres du Conseil de l’Europe) ;
- et leur exposé des motifs
- Publication: Preuves électroniques dans les procédures civiles et administratives
Traduction non-officielle en polonais et en russe
Document de référence
- Rapport sur l'utilisation des preuves numérique dans les procédures civiles et administratives et son impact sur les règles et modes de preuve - une étude comparative et analyse
- Stratégie pour la gouvernance de l’internet pour 2016-2019
- Plan d’action du Conseil de l’Europe sur la construction de sociétés inclusives
Comité européen de coopération juridique
https://www.coe.int/fr/web/cdcj/digital-evidence
E) - Divers liens pouvant être liés au sujet
Peut-on alors parler de « justice fiscale » ?
IMPORTANT comme URGENT: La collecte automatique de masse des données crypto expose des millions d'Européens.
Une France déjà "foutue", la voilà piratée en son sein, l'État !
