# Brief — Dans huit jours, un procureur d'un autre pays de l'UE pourra exiger vos données à un hébergeur français en 8 heures — et la France est en infraction depuis février

**Thème : droit du numérique et coopération judiciaire pénale — règlement e-Evidence, injonctions européennes de production et de conservation, applicabilité directe**

Le **18 août 2026**, le **règlement (UE) 2023/1543** du 12 juillet 2023 (JO L 191 du 28 juillet 2023) devient applicable dans tous les États membres sauf le Danemark. Il crée deux instruments inédits : l'**injonction européenne de production** (certificat **EPOC**) et l'**injonction européenne de conservation** (certificat **EPOC-PR**), par lesquelles une autorité judiciaire d'un État membre s'adresse **directement** à un fournisseur de services établi ou représenté dans un autre État membre, sans passer par l'entraide judiciaire ni par une décision d'enquête européenne. L'**article 10** impose la transmission des données **au plus tard dans les 10 jours** suivant réception du certificat, et **8 heures en cas d'urgence** ; l'**article 11** prévoit que l'obligation de conservation **cesse après 60 jours**, sauf confirmation d'une demande subséquente ; l'**article 15** plafonne les sanctions pécuniaires à **2 % du chiffre d'affaires annuel mondial** du fournisseur pour l'exercice précédent. Le champ est large : cloud, hébergement, messageries, réseaux sociaux, places de marché, services de noms de domaine et d'adressage IP.

Le degré de contrôle dépend de la donnée demandée. L'**article 3** distingue quatre catégories — données relatives aux abonnés, données demandées à seule fin d'identifier l'utilisateur, données relatives au trafic, données relatives au contenu. L'**article 5** réserve le contenu aux infractions punies dans l'État d'émission d'une peine privative de liberté **d'au moins trois ans** au maximum, ou à une liste d'infractions commises au moyen d'un système d'information. Surtout, l'**article 8** n'impose de **notifier l'autorité de l'État d'exécution** que pour les données de trafic (hors identification seule) et de contenu — et le Parlement européen précise que cette notification tombe lorsque le suspect réside dans l'État d'émission et que l'infraction y a été commise. Pour les **données d'abonné**, aucune notification n'est requise : l'État où siège le fournisseur n'est pas informé. Le fournisseur peut toutefois soulever un motif de refus au titre de l'**article 12** — immunités et privilèges, atteinte manifeste aux droits fondamentaux de la Charte, règles relatives à la **liberté de la presse** —, garantie obtenue de haute lutte par la rapporteure **Birgit Sippel** (S&D, Allemagne) lors du vote du 13 juin 2023 (433 voix pour, 157 contre).

L'échéance arrive sur un terrain mal préparé, et c'est là que la leçon juridique devient contre-intuitive. La directive jumelle **(UE) 2023/1544**, qui oblige chaque État à désigner ses autorités compétentes et chaque fournisseur à nommer un **établissement désigné** ou un **représentant légal** dans l'Union, devait être transposée au **18 février 2026**. Le **27 mars 2026**, la Commission a adressé des **mises en demeure à 22 États membres** pour défaut de communication des mesures de transposition ; **la France en fait partie**. Le socle technique n'est pas mieux loti : le système informatique décentralisé adossé à **e-CODEX**, encadré par le **règlement d'exécution (UE) 2025/1550** qui rend contraignants des éléments de la spécification **ETSI TS 104 144**, restait en développement au printemps 2026, avec une capacité de transmission plafonnée à 25 Mo. Peu importe : un règlement s'applique de plein droit à la date qu'il fixe. Le 18 août, l'obligation pèse sur le fournisseur, même si l'architecture nationale autour de lui n'existe pas encore — l'exact inverse de la situation NIS2, où une directive non transposée ne crée aucune obligation à la charge des entreprises.

Pour un praticien de la sécurité offensive ou de l'automatisation, l'enseignement est opérationnel plus que doctrinal. Répondre à une injonction suppose d'exposer un **canal entrant authentifié** — certificats `X.509`, transport `AS4`, TLS — recevant des ordres juridiquement contraignants émis par des autorités étrangères, dans des langues variées, et parfois assortis d'une horloge de **8 heures**. C'est précisément la configuration dans laquelle une procédure de vérification se fait court-circuiter : la transposition européenne des faux « emergency data requests » déjà documentés aux États-Unis. Écrire et tester la procédure d'authentification des injonctions avant le 18 août n'est pas un exercice de conformité, c'est du contrôle d'accès.

## Sources

- [EUR-Lex — Règlement (UE) 2023/1543 du 12 juillet 2023, texte intégral (articles 3, 5, 7 à 17)](https://eur-lex.europa.eu/eli/reg/2023/1543/oj/eng)
- [EUR-Lex — Règlement (UE) 2023/1543, fiche CELEX 32023R1543](https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX%3A32023R1543)
- [EUR-Lex — Synthèse « Preuves électroniques dans le cadre des procédures pénales — Injonctions de production et de conservation »](https://eur-lex.europa.eu/FR/legal-content/summary/electronic-evidence-in-criminal-proceedings-production-and-preservation-orders.html)
- [EUR-Lex — Directive (UE) 2023/1544 du 12 juillet 2023 (établissements désignés et représentants légaux)](https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:32023L1544)
- [EUR-Lex — Synthèse « Preuves électroniques dans le cadre des procédures pénales »](https://eur-lex.europa.eu/EN/legal-content/summary/electronic-evidence-in-criminal-proceedings.html)
- [Parlement européen — « Preuves électroniques : de nouvelles règles pour accélérer les enquêtes pénales », communiqué du 13 juin 2023 (vote, délais de 10 jours et 8 heures, conservation 60 jours, mécanisme de notification, citation de Birgit Sippel)](https://www.europarl.europa.eu/news/fr/press-room/20230609IPR96203/preuves-electroniques-nouvelles-regles-pour-accelerer-les-enquetes-penales)
- [Parlement européen — Rapport A9-0256/2020 sur la proposition de règlement (rapporteure Birgit Sippel)](https://www.europarl.europa.eu/doceo/document/A-9-2020-0256_FR.html)
- [ComplexDiscovery — « The EU's E-Evidence Framework Goes Live in August and Most of Europe Isn't Ready » (15 avril 2026) : mises en demeure du 27 mars 2026 à 22 États membres dont la France, état de la transposition, système e-CODEX, plafond de 25 Mo](https://complexdiscovery.com/the-eus-e-evidence-framework-goes-live-in-august-and-most-of-europe-isnt-ready/)
- [MLex — « Failure to implement e-Evidence Directive prompts warnings to 22 EU countries » (procédures d'infraction du 27 mars 2026)](https://www.mlex.com/mlex/articles/2458466/failure-to-implement-e-evidence-directive-prompts-warnings-to-22-eu-countries)
- [Bird & Bird — e-Evidence Implementation Tracker (état de la transposition par État membre)](https://www.twobirds.com/en/trending-topics/eu-e-evidence-package/e-evidence-implementation-tracker)
- [ETSI — TS 104 144 v1.2.1 (novembre 2025), interface du système e-Evidence Exchange](https://www.etsi.org/deliver/etsi_ts/104100_104199/104144/01.02.01_60/ts_104144v010201p.pdf)
- [Covington (Global Policy Watch) — adoption par la Commission des standards techniques du système de communication décentralisé (règlement d'exécution (UE) 2025/1550)](https://www.globalpolicywatch.com/2025/09/european-commission-adopts-technical-standards-for-the-decentralized-communication-system-to-be-used-under-the-forthcoming-e-evidence-regulation/)
- [Baker McKenzie — « European Criminal Law Enforcement is Stepping Up » (mars 2026)](https://www.bakermckenzie.com/en/insight/publications/2026/03/european-union-european-criminal-law-enforcement-is-stepping-up)