↓ Version .md brute (pour NotebookLM)

e-Evidence : le jour où l'entraide judiciaire européenne cesse de passer par les États

Le point de départ : une lenteur devenue structurelle

Il faut partir d'un chiffre que la Commission européenne répète depuis 2018 : les preuves électroniques sont utilisées dans environ 85 % des enquêtes pénales, et dans 65 % de ces cas, elles se trouvent physiquement ou juridiquement dans un autre pays que celui qui enquête. Autrement dit, la criminalité s'est numérisée plus vite que la procédure pénale. Un juge d'instruction de Marseille qui veut les journaux de connexion d'un compte hébergé par une société établie à Dublin, ou les messages d'une plateforme domiciliée à Bucarest, ne peut pas simplement écrire à l'entreprise : il doit emprunter les canaux de l'entraide judiciaire pénale ou, depuis 2017, la décision d'enquête européenne. Chacun de ces canaux suppose une autorité intermédiaire dans l'État requis, une traduction, une vérification de double incrimination, un calendrier. Les délais se comptent en mois, parfois au-delà de six.

Pendant ce temps, les données bougent. Elles sont effacées par des politiques de rétention automatiques, écrasées par des rotations de journaux, ou simplement supprimées par l'utilisateur. C'est ce décalage — entre le temps de la procédure et le temps de la donnée — que le paquet « e-Evidence » entend supprimer.

Ce que le règlement (UE) 2023/1543 met en place

Le règlement (UE) 2023/1543 du Parlement européen et du Conseil du 12 juillet 2023, publié au Journal officiel L 191 du 28 juillet 2023, devient applicable le 18 août 2026. Il lie tous les États membres à l'exception du Danemark, en raison de son opt-out sur l'espace de liberté, de sécurité et de justice.

Il crée deux instruments distincts, et les confondre est l'erreur la plus fréquente.

L'injonction européenne de production — transmise au moyen d'un certificat appelé EPOC — oblige un fournisseur de services à livrer des données électroniques qu'il détient déjà. L'injonction européenne de conservation — certificat EPOC-PR — n'oblige à rien livrer : elle oblige à geler des données précisément identifiées, pour empêcher leur effacement pendant que l'autorité prépare une demande complète. L'article 11 précise que cette obligation de conservation cesse après 60 jours, sauf si l'autorité d'émission confirme qu'une demande subséquente a été introduite.

Le point décisif est le destinataire. L'injonction n'est plus adressée à un État : elle est adressée au fournisseur lui-même, plus précisément, selon l'article 7, à son établissement désigné ou à son représentant légal dans l'Union. Et elle porte sur les données que le fournisseur détient, quel que soit le lieu de stockage — ce qui neutralise l'argument classique du « serveur situé ailleurs ».

Les délais sont l'autre nouveauté brutale. L'article 10 impose la transmission des données demandées au plus tard dans les 10 jours suivant la réception du certificat. En cas d'urgence — menace imminente pour la vie, l'intégrité physique ou une infrastructure critique — le délai tombe à 8 heures. Ces échéances ne sont pas indicatives : l'article 15 impose aux États membres de prévoir des sanctions effectives, proportionnées et dissuasives, avec un plafond de 2 % du chiffre d'affaires annuel mondial total du fournisseur pour l'exercice précédent.

La graduation par catégorie de données

Le règlement ne traite pas toutes les données de la même manière. L'article 3 en distingue quatre catégories : les données relatives aux abonnés (identité, adresse, compte de messagerie), les données demandées à seule fin d'identifier l'utilisateur (typiquement une adresse IP journalisée lors d'une session), les données relatives au trafic (qui a communiqué avec qui, quand, combien de temps) et les données relatives au contenu (le texte, la voix, l'image, les fichiers stockés).

L'article 5 module les conditions d'émission en fonction de cette échelle. Les données d'abonné et les données d'identification peuvent être demandées pour toute infraction pénale. Les données de contenu, en revanche, ne peuvent être obtenues que pour des infractions punies dans l'État d'émission d'une peine privative de liberté d'au moins trois ans au maximum, ou pour une liste fermée d'infractions commises en tout ou partie au moyen d'un système d'information — terrorisme, abus sexuels sur mineurs, attaques contre les systèmes d'information notamment. La logique est celle du contrôle de proportionnalité de l'article 52 § 1 de la Charte des droits fondamentaux : plus la donnée est intrusive, plus le seuil d'infraction monte, et plus l'autorité qui émet doit être élevée — un juge ou une autorité judiciaire validante, et non un simple procureur ou une autorité désignée.

Le mécanisme de notification, et ce qu'il ne couvre pas

C'est ici que la négociation entre le Parlement et le Conseil a été la plus âpre, et c'est ici que le dispositif mérite d'être lu avec attention.

L'article 8 prévoit une notification à l'autorité d'exécution — l'autorité de l'État membre où se trouve le destinataire de l'injonction. Cette autorité n'autorise pas la demande. Elle en est informée, et dispose d'un délai pour soulever un motif de refus. Ces motifs sont limitativement énumérés à l'article 12 : immunités et privilèges reconnus par le droit de l'État d'exécution, atteinte manifeste aux droits fondamentaux protégés par la Charte, et — clause obtenue par le Parlement — les règles relatives à la détermination et à la limitation de la responsabilité pénale touchant à la liberté de la presse et à la liberté d'expression dans d'autres médias.

Mais cette notification ne joue que pour les données de trafic (à l'exception de celles demandées à seule fin d'identifier l'utilisateur) et les données de contenu. Pour les données d'abonné — la catégorie la plus demandée en pratique, celle qui rattache un pseudonyme à une identité civile — aucune notification n'est prévue. L'État où siège le fournisseur ne saura pas que ses résidents ont fait l'objet d'une injonction. Et même pour les données sensibles, la rapporteure du Parlement européen, Birgit Sippel (S&D, Allemagne), résumait ainsi l'exception négociée : la notification tombe lorsque le suspect réside dans l'État d'émission et que l'infraction y a été commise.

Le règlement a été adopté par le Parlement le 13 juin 2023 par 433 voix contre 157 et 34 abstentions pour le volet règlement, 438 contre 152 et 34 abstentions pour la directive. Birgit Sippel concluait alors : « Il est maintenant temps que ce train de mesures soit effectivement mis en œuvre. »

Trois ans plus tard : la mise en œuvre est le problème

La phrase était prémonitoire. Le paquet e-Evidence comporte un second texte, la directive (UE) 2023/1544, qui oblige chaque État membre à désigner ses autorités d'émission et d'exécution, à fixer ses sanctions, et surtout qui oblige tout fournisseur offrant des services dans l'Union à disposer d'un point de contact unique sur le territoire de l'Union : un établissement désigné pour ceux qui y sont établis, un représentant légal pour les autres. La désignation doit être effective au 18 août 2026, et la responsabilité est solidaire entre le fournisseur et son représentant. Un cabinet d'avocats sans lien opérationnel avec l'infrastructure de données ne satisfait pas l'exigence.

La directive devait être transposée au 18 février 2026. Le 27 mars 2026, la Commission européenne a adressé des mises en demeure à 22 États membres pour défaut de communication des mesures de transposition. La France en fait partie, aux côtés de la Belgique, de l'Espagne, de l'Irlande, des Pays-Bas, de la Pologne et de la plupart des autres. À cette date, un très petit nombre d'États — Croatie, Italie (décret législatif n° 215 du 30 décembre 2025), Lituanie, Slovaquie, puis l'Allemagne — avaient adopté leur loi de mise en œuvre.

L'infrastructure technique n'est pas mieux avancée. Le règlement impose la transmission par un système informatique décentralisé adossé à la plateforme e-CODEX. Le règlement d'exécution (UE) 2025/1550, adopté en juillet 2025, a rendu contraignants des éléments de la spécification technique ETSI TS 104 144. Mais au printemps 2026, le système restait en développement, avec une capacité de transmission plafonnée à 25 Mo par échange — contrainte non triviale dès qu'une injonction porte sur des fichiers multimédias.

La leçon juridique : règlement contre directive

Voilà le point pédagogique central, et il est exactement inverse de celui que l'on tire du dossier NIS2.

Une directive non transposée ne crée aucune obligation à la charge d'une entreprise : c'est le principe posé par la Cour de justice dans les arrêts *Ratti* (1979) et *Marshall* (1986). Le manquement est celui de l'État, et c'est l'État qui est poursuivi.

Un règlement, lui, est directement applicable dans tous les États membres à la date qu'il fixe lui-même, sans intermédiation nationale. Le 18 août 2026, l'obligation de répondre à un EPOC dans les 10 jours, ou 8 heures, existe pour le fournisseur — que la France ait ou non désigné ses autorités, que le système e-CODEX fonctionne ou non. Le retard de l'État ne suspend pas l'obligation de l'entreprise ; il la rend seulement plus difficile à exécuter, et il crée une zone grise sur les voies de recours et sur l'autorité compétente pour recevoir une objection.

Les frottements qui restent ouverts

Trois tensions ne sont pas résolues par le texte.

La première est avec le RGPD. Son article 48 pose qu'une décision d'une juridiction d'un pays tiers ne constitue pas, à elle seule, une base légale suffisante pour transférer des données hors de l'Union. Le règlement e-Evidence crée sa propre base pour les transferts intra-Union en matière pénale, mais le fournisseur reste tenu par la minimisation, la limitation des finalités, et par des droits des personnes concernées qui, en pratique, ne s'exerceront pas : l'article 13 organise la confidentialité, et l'utilisateur dont les données sont produites peut ne jamais l'apprendre.

La deuxième est avec le CLOUD Act américain de 2018. Les négociations UE–États-Unis sur un accord d'accès transfrontière restent bloquées sur une divergence structurelle : Washington privilégie un accord-cadre suivi d'accords bilatéraux avec chaque État membre, l'Union exige un accord unique pour éviter la fragmentation. L'article 17 du règlement organise une procédure de réexamen lorsque le destinataire estime qu'exécuter l'injonction le placerait en conflit avec le droit d'un pays tiers — c'est la soupape prévue pour ce cas de figure.

La troisième est technique et sécuritaire, et c'est celle qui intéresse le plus directement un praticien. Répondre à une injonction suppose d'exposer un canal entrant authentifié : certificats X.509 conformes aux spécifications ETSI, transport AS4, chiffrement TLS. Ce canal reçoit des ordres juridiquement contraignants, émis par des autorités étrangères, rédigés dans des langues variées, et parfois assortis d'une horloge de huit heures. C'est le profil exact d'un vecteur d'ingénierie sociale : la pression temporelle est la condition la plus fiable pour qu'une procédure de vérification soit court-circuitée. Les faux « emergency data requests » déjà documentés aux États-Unis, où des attaquants ont obtenu des données en usurpant l'identité de forces de l'ordre, trouvent ici un cadre européen normalisé — donc prévisible, donc imitable. Un fournisseur qui n'a pas écrit, testé et rejoué sa procédure d'authentification des injonctions avant le 18 août n'a pas un problème de conformité : il a un problème de contrôle d'accès.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Voici cinq angles possibles pour orienter l'Audio Overview généré à partir de cette source. Choisissez-en un et collez-le tel quel dans le champ de personnalisation.

Angle 1 — Le canal e-CODEX vu comme surface d'attaque. Concentre-toi sur le canal de réception des injonctions comme sur un composant d'infrastructure exposé : certificats X.509, transport AS4, TLS, plafond de 25 Mo, système encore en développement à l'échéance. Détaille les points de contrôle qu'une équipe sécurité devrait auditer avant le 18 août 2026 : validation de la chaîne de certification, vérification hors bande de l'autorité émettrice, journalisation immuable des injonctions reçues. Traite explicitement le scénario de l'injonction falsifiée sous délai de 8 heures, en le rapprochant des faux « emergency data requests » observés aux États-Unis.

Angle 2 — Architecture et API d'un fournisseur destinataire. Prends le point de vue d'un architecte qui doit construire la chaîne de réponse à un EPOC : réception du certificat, qualification juridique de la catégorie de données demandée, extraction depuis des systèmes hétérogènes, scellement des artefacts, transmission. Discute des contraintes de conception imposées par un délai de 10 jours et un délai d'urgence de 8 heures : quelles parties du processus peuvent être automatisées, lesquelles exigent une décision humaine, et où placer les points d'arrêt. Aborde la cartographie des données comme prérequis et l'intégration avec les procédures de legal hold existantes.

Angle 3 — Règlement contre directive : la mécanique de l'opposabilité. Fais de la distinction entre applicabilité directe d'un règlement et absence d'effet direct d'une directive non transposée le fil conducteur de tout l'épisode. Compare explicitement la situation e-Evidence du 18 août 2026 avec le dossier NIS2 traité dans ce dépôt le 6 août 2026, où l'absence de transposition française signifie l'absence d'obligation pour les entreprises. Explique pourquoi, dans une veille réglementaire automatisée, la date de publication d'un texte ne dit rien de son opposabilité, et quelle donnée il faut suivre à la place.

Angle 4 — La disparition du filtre étatique et le déplacement du contrôle. Centre l'analyse sur le mécanisme de notification de l'article 8 : ce qu'il couvre, ce qu'il ne couvre pas, et pourquoi l'absence de notification pour les données d'abonné change la nature du contrôle. Explique que le premier examen concret de la légitimité d'une injonction devient celui du fournisseur lui-même, via les motifs de refus de l'article 12, et discute de ce que cela implique — un acteur privé placé en position d'apprécier des questions de droits fondamentaux et de liberté de la presse. Compare avec le contrôle exercé, en droit français, par les autorités judiciaires sur les réquisitions internes.

Angle 5 — Prospective contentieuse et conflits de régimes. Projette-toi sur les deux premières années d'application : quels contentieux vont naître, et devant quel juge. Traite la contestation de la validité d'une injonction par la défense au pénal, la tension avec l'article 48 du RGPD, la procédure de l'article 17 en cas d'obligation conflictuelle avec le droit d'un pays tiers, et le blocage des négociations UE–États-Unis sur le CLOUD Act. Termine sur la question des États encore non transposés au 18 août 2026, dont la France : qui est l'autorité d'exécution compétente, et quelle voie de recours reste ouverte au fournisseur qui veut objecter.