Brief — Dans huit jours, un procureur d'un autre pays de l'UE pourra exiger vos données à un hébergeur français en 8 heures — et la France est en infraction depuis février

Thème : droit du numérique et coopération judiciaire pénale — règlement e-Evidence, injonctions européennes de production et de conservation, applicabilité directe

Le 18 août 2026, le règlement (UE) 2023/1543 du 12 juillet 2023 (JO L 191 du 28 juillet 2023) devient applicable dans tous les États membres sauf le Danemark. Il crée deux instruments inédits : l'injonction européenne de production (certificat EPOC) et l'injonction européenne de conservation (certificat EPOC-PR), par lesquelles une autorité judiciaire d'un État membre s'adresse directement à un fournisseur de services établi ou représenté dans un autre État membre, sans passer par l'entraide judiciaire ni par une décision d'enquête européenne. L'article 10 impose la transmission des données au plus tard dans les 10 jours suivant réception du certificat, et 8 heures en cas d'urgence ; l'article 11 prévoit que l'obligation de conservation cesse après 60 jours, sauf confirmation d'une demande subséquente ; l'article 15 plafonne les sanctions pécuniaires à 2 % du chiffre d'affaires annuel mondial du fournisseur pour l'exercice précédent. Le champ est large : cloud, hébergement, messageries, réseaux sociaux, places de marché, services de noms de domaine et d'adressage IP.

Le degré de contrôle dépend de la donnée demandée. L'article 3 distingue quatre catégories — données relatives aux abonnés, données demandées à seule fin d'identifier l'utilisateur, données relatives au trafic, données relatives au contenu. L'article 5 réserve le contenu aux infractions punies dans l'État d'émission d'une peine privative de liberté d'au moins trois ans au maximum, ou à une liste d'infractions commises au moyen d'un système d'information. Surtout, l'article 8 n'impose de notifier l'autorité de l'État d'exécution que pour les données de trafic (hors identification seule) et de contenu — et le Parlement européen précise que cette notification tombe lorsque le suspect réside dans l'État d'émission et que l'infraction y a été commise. Pour les données d'abonné, aucune notification n'est requise : l'État où siège le fournisseur n'est pas informé. Le fournisseur peut toutefois soulever un motif de refus au titre de l'article 12 — immunités et privilèges, atteinte manifeste aux droits fondamentaux de la Charte, règles relatives à la liberté de la presse —, garantie obtenue de haute lutte par la rapporteure Birgit Sippel (S&D, Allemagne) lors du vote du 13 juin 2023 (433 voix pour, 157 contre).

L'échéance arrive sur un terrain mal préparé, et c'est là que la leçon juridique devient contre-intuitive. La directive jumelle (UE) 2023/1544, qui oblige chaque État à désigner ses autorités compétentes et chaque fournisseur à nommer un établissement désigné ou un représentant légal dans l'Union, devait être transposée au 18 février 2026. Le 27 mars 2026, la Commission a adressé des mises en demeure à 22 États membres pour défaut de communication des mesures de transposition ; la France en fait partie. Le socle technique n'est pas mieux loti : le système informatique décentralisé adossé à e-CODEX, encadré par le règlement d'exécution (UE) 2025/1550 qui rend contraignants des éléments de la spécification ETSI TS 104 144, restait en développement au printemps 2026, avec une capacité de transmission plafonnée à 25 Mo. Peu importe : un règlement s'applique de plein droit à la date qu'il fixe. Le 18 août, l'obligation pèse sur le fournisseur, même si l'architecture nationale autour de lui n'existe pas encore — l'exact inverse de la situation NIS2, où une directive non transposée ne crée aucune obligation à la charge des entreprises.

Pour un praticien de la sécurité offensive ou de l'automatisation, l'enseignement est opérationnel plus que doctrinal. Répondre à une injonction suppose d'exposer un canal entrant authentifié — certificats X.509, transport AS4, TLS — recevant des ordres juridiquement contraignants émis par des autorités étrangères, dans des langues variées, et parfois assortis d'une horloge de 8 heures. C'est précisément la configuration dans laquelle une procédure de vérification se fait court-circuiter : la transposition européenne des faux « emergency data requests » déjà documentés aux États-Unis. Écrire et tester la procédure d'authentification des injonctions avant le 18 août n'est pas un exercice de conformité, c'est du contrôle d'accès.

Brief — Dans huit jours, un procureur d'un autre pays de l'UE pourra exiger vos données à un hébergeur français en 8 heures — et la France est en infraction depuis février

Sources