art. 3 — définitions et quatre catégories de données : données relatives aux abonnés, données demandées à seule fin d'identifier l'utilisateur, données relatives au trafic, données relatives au contenuart. 5 — conditions d'émission d'une injonction européenne de production ; le contenu n'est accessible que pour des infractions punies dans l'État d'émission d'une peine privative de liberté d'au moins trois ans au maximum, ou pour certaines infractions listées commises au moyen d'un système d'informationart. 7 — destinataire : l'établissement désigné ou le représentant légal du fournisseurart. 8 — notification à l'autorité d'exécution, exigée pour les données de trafic (hors identification seule) et de contenu ; pas pour les données d'abonnéart. 9 — certificats EPOC (production) et EPOC-PR (conservation)art. 10 — exécution de l'EPOC : transmission au plus tard dans les 10 jours suivant réception ; 8 heures en cas d'urgenceart. 11 — exécution de l'EPOC-PR : l'obligation de conservation cesse après 60 jours, sauf confirmation d'une demande subséquenteart. 12 — motifs de refus, dont l'atteinte manifeste aux droits fondamentaux et les règles relatives à la liberté de la presse et à la liberté d'expressionart. 13 — information de l'utilisateur et confidentialité ; art. 15 — sanctions jusqu'à 2 % du chiffre d'affaires annuel mondial de l'exercice précédent ; art. 16 — procédure d'exécution ; art. 17 — réexamen en cas d'obligations conflictuelles avec le droit d'un pays tiersart. 48 du RGPD — une décision d'une juridiction d'un pays tiers ne constitue pas à elle seule une base de transfertAujourd'hui, quand un magistrat français veut obtenir les journaux de connexion détenus par une plateforme établie en Irlande ou en Roumanie, il passe par l'entraide judiciaire ou par une décision d'enquête européenne : authentification, traduction, examen par l'autorité étrangère. Des mois. La Commission estime que les preuves électroniques sont utilisées dans 85 % des enquêtes pénales et que, dans 65 % de ces cas, elles se trouvent dans un autre pays.
Le paquet « e-Evidence » supprime l'essentiel de ces étapes. À partir du 18 août 2026, une autorité judiciaire d'un État membre adresse son injonction directement au fournisseur — cloud, hébergeur, messagerie, place de marché, service de noms de domaine — via un certificat normalisé. Le fournisseur exécute dans 10 jours, ou 8 heures en urgence, sous peine d'une sanction pouvant atteindre 2 % du chiffre d'affaires mondial. Voté le 13 juin 2023 par le Parlement européen (433 voix contre 157 pour le règlement), le texte a été porté par la rapporteure Birgit Sippel (S&D, Allemagne), qui déclarait alors : « Il est maintenant temps que ce train de mesures soit effectivement mis en œuvre. »
Trois ans plus tard, la mise en œuvre est le problème. La directive jumelle (UE) 2023/1544, qui oblige chaque État à désigner ses autorités et chaque fournisseur à nommer un point de contact, devait être transposée au 18 février 2026. Le 27 mars 2026, la Commission a adressé des mises en demeure à 22 États membres pour défaut de communication des mesures de transposition — la France en fait partie, aux côtés de la Belgique, de l'Espagne, de l'Irlande, des Pays-Bas ou de la Pologne. À la date de cette mise en demeure, seuls quelques États — Croatie, Italie, Lituanie, Slovaquie, puis l'Allemagne — avaient légiféré.
Le socle technique n'est pas davantage prêt : le système informatique décentralisé adossé à la plateforme e-CODEX, qui doit acheminer les injonctions entre autorités et fournisseurs, restait en développement au printemps 2026, avec une capacité de transmission plafonnée à 25 Mo. Le règlement, lui, ne se soucie pas de cet écart : il s'applique de plein droit le 18 août.
La leçon juridique est le miroir exact de celle de NIS2. Une directive non transposée ne crée aucune obligation à la charge d'une entreprise : le manquement est celui de l'État. Un règlement, lui, s'applique tout seul, à la date qu'il fixe. Ici les deux instruments arrivent ensemble : le 18 août, l'obligation de répondre en 10 jours existe pour le fournisseur, pendant que l'architecture nationale — autorités compétentes, sanctions, voies de recours — reste inachevée dans une majorité d'États. Le retard de l'État ne suspend pas l'obligation de l'entreprise ; il la rend seulement plus difficile à exécuter.
La bascule de fond est ailleurs. Jusqu'ici, l'accès transfrontière aux données passait par un filtre étatique : l'État où résidaient les données examinait la demande. Le règlement remplace ce filtre par une notification, réservée aux données les plus sensibles — trafic et contenu — et supprimée lorsque le suspect réside dans l'État d'émission et que l'infraction y a été commise. Pour les données d'abonné, la catégorie la plus demandée en pratique, il n'y a aucune notification : le contrôle de proportionnalité est intégralement délocalisé dans l'État qui émet l'injonction. Le premier contrôle réel devient donc celui du fournisseur lui-même, qui doit apprécier la validité formelle du certificat et, le cas échéant, invoquer un motif de refus.
Pour un praticien de la sécurité, cela crée une surface d'attaque nouvelle et documentée. Répondre à une injonction suppose d'exposer un canal entrant authentifié — certificats X.509, transport AS4, TLS — capable de recevoir des ordres juridiquement contraignants d'autorités étrangères, dans des langues variées. Le délai d'8 heures en urgence est précisément la fenêtre où une procédure de vérification est la plus susceptible d'être court-circuitée : c'est le scénario type d'une injonction falsifiée, transposition à l'échelle européenne des faux « emergency data requests » déjà observés outre-Atlantique. Un fournisseur qui n'a pas écrit et testé sa procédure d'authentification des injonctions avant le 18 août n'a pas un problème de conformité : il a un problème de sécurité.