Par Maxime Lassalle, Maître de conférences en Droit privé et sciences criminelles à l’Université Bourgogne Europe

D’où vient le paquet e-evidence ?

Les données électroniques occupent aujourd’hui une place capitale dans les enquêtes pénales. Pourtant, elles sont largement confiées à des fournisseurs de services étrangers, par exemple des fournisseurs d’informatique en nuage. Certes, ces données sont parfois dites a-territoriales, mais les fournisseurs de services qui les contrôlent peuvent être localisés à l’étranger. Cela ne va pas sans soulever des problèmes. Les actes d’enquête en matière pénale sont en effet pensés pour s’appliquer seulement sur le territoire français. Les acteurs étrangers ne sont, en principe, pas soumis aux pouvoirs d’enquête français. Pour obtenir des données de ces acteurs étrangers, il est plutôt nécessaire d’avoir recours aux mécanismes de coopération judiciaire, longs à mettre en œuvre.

L’affaire Microsoft, qui s’est développée aux Etats-Unis à partir de 2013, avant l’adoption du fameux CLOUD Act en 2018, est l’une des premières qui a mis en lumière l’enjeu d’une extension considérable de la portée des pouvoirs d’enquêtes des autorités publiques nationales. L’idée est simple : si un fournisseur de services présent sur le territoire d’un État a accès et contrôle des données, celles-ci doivent pouvoir être sollicitées par les autorités de cet État, quelle que soit leur localisation. On notera au passage que cette idée n’était pas nouvelle, et n’est pas limitée au numérique, puisqu’elle s’applique depuis bien longtemps, en droit américain, aux données bancaires.

La logique qui sous-tend cette approche de l’accès aux données électroniques ne va pas sans soulever de nombreux problèmes. Comment encadrer ces mesures ? Comment prendre en compte la souveraineté des États dont les données sont convoitées ? Comment garantir les droits fondamentaux des personnes concernées, ? Souhaitant prévoir un mécanisme nouveau permettant de concilier le besoin d’effectivité des enquêtes pénales, la souveraineté des États, et les droits fondamentaux des individus, l’Union européenne a adopté le paquet e-evidence en 2023.

Qu’apporte le paquet « e-evidence » ?

Le paquet est composé de deux textes. Une directive (qui doit donc être transposée) vise à encadrer la désignation et le fonctionnement de représentants légaux de certaines entreprises détentrices de données électroniques. L’idée est assez simple : si un acteur étranger fourni des services au sein de l’Union, il doit pouvoir être sollicités par les autorités européennes, et il faut pour cela que les autorités en question disposent au moins d’un point de contact dans un État membre.

L’autre texte composant le paquet est un règlement, créant deux mécanismes européens visant les données électroniques : les injonctions européennes de production, et les injonctions européennes de conservation. La distinction s’explique par le fait que, pour pouvoir enjoindre un destinataire à fournir des données, il faut que celles-ci soient préalablement conservées par le destinataire de l’injonction. Sur le fondement de ce règlement, l’État sur le territoire duquel est localisée l’enquête -qualifié d’État d’émission de l’injonction- peut solliciter directement un destinataire localisé sur le territoire d’un autre État membre. L’État sur le territoire duquel cet acteur est établi ou dispose d’un représentant, qualifié d’« État chargé de la mise en œuvre », n’est pas totalement ignoré, car sa souveraineté doit être respectée. Le règlement prévoit ainsi que l’autorité d’émission doit, sauf exception, notifier l’autorité chargée de la mise en œuvre. Suite à cette notification, les autorités chargées de la mise en œuvre peuvent, dans certaines conditions, invoquer des motifs de refus. En l’absence d’invocation de motifs de refus par les autorités chargées de la mise en œuvre, le destinataire de l’injonction devra l’exécuter, sauf si l’une des exceptions prévues par le règlement est caractérisée. Un réexamen de l’injonction par l’État d’émission peut par exemple être sollicité par le destinataire lorsqu’une injonction est en conflit avec une norme d’un État tiers. En dehors des cas permettant de contester l’injonction, et en cas de refus d’exécution par le destinataire, l’ « État chargé de la mise en œuvre » peut procéder lui-même à une injonction, dont le non-respect sera sanctionné par les autorités de cet État.

Le règlement détaille aussi l’encadrement du recours injonctions européennes, afin de limiter l’atteinte aux droits fondamentaux des personnes concernées. Le règlement distingue à cette fin différents régimes applicables à différentes catégories de données (les données relatives aux abonnés, les données demandées à la seule fin d’identifier l’utilisateur, les données relatives au trafic ou les données relatives au contenu). Toutes ces données ne sont pas protégées de la même façon, certaines étant plus sensibles que d’autres. L’article 4 du règlement, relatif à l’autorité d’émission d’une injonction, prévoit ainsi par exemple que, pour les données les données relatives aux abonnés et celles demandées à la seule fin d’identifier l’utilisateur, jugées moins sensibles, le procureur est habilité à émettre une telle injonction sans qu’une autre autorité intervienne. Tel n’est pas le cas pour les données relatives au trafic ou les données relatives au contenu, plus sensibles. Pour ces données, c’est un juge, une juridiction ou un juge d’instruction, qui devra vérifier que les conditions d’émission d’une injonction sont remplies. S’agissant de ces conditions, justement, l’article 5 du règlement, relatifs aux conditions d’émission d’une injonction européenne de production, prévoit que l’accès aux données les plus sensibles ne peut être légal que pour les enquêtes portant sur certaines catégories d’infractions.

Pourquoi la France est-elle en retard dans l’intégration de ce paquet ?

Le paquet étant composé d’un règlement et d’une directive, il est évident que la directive devait être transposée en droit français. Ce n’est toujours par le cas, alors que le rôle des représentants des acteurs du numérique sur le territoire européen est un élément fondamental dans la mise en œuvre du mécanisme. En plus de cela, le règlement nécessite un certain nombre d’ajustements pour que les injonctions européennes puissent être mises en œuvre. Par exemple, des règles relatives à la procédure pénale devraient être précisées pour organiser la notification des personnes concernées par l’émission des injonctions, ou encore pour prévoir des voies de recours. 

La Commission a ouvert une procédure en manquement visant la France le 27 mars 2026. Une tribune publiée dans le Monde le 26 septembre, et signée par des magistrats et un universitaire, a quant à elle mis en cause l’inaction de la France en la matière. Malgré cela, les choses ne semblent pas avancer, et on peut se demander pourquoi. Il y a, indiscutablement, certaines questions techniques liées à la mise en œuvre d’un système ambitieux sans précédent. Une autre question , de principe cette fois, pourrait aussi poser problème. L’intégration du paquet e-evidence en France intervient en effet dans un contexte un peu tendu entre la France et l’Union européenne s’agissant de l’encadrement juridique de la conservation et de l’accès à un autre type de données électroniques : les données relatives aux télécommunications. Il existe dans ce contexte une forte réticence française à priver le procureur du pouvoir de mettre en œuvre des pouvoirs d’enquête intrusifs au profit d’une autorité indépendante. C’est pourtant, s’agissant de l’accès aux données dites de connexion, une exigence du droit de l’Union. La jurisprudence de la Cour de cassation l’a reconnu et a imposé, sur le fondement du droit de l’Union, que les réquisitions des données dites de connexion fassent l’objet d’une autorisation préalable par une autorité indépendante. Malgré les appels en ce sens, le code de procédure pénale français n’a toujours pas été modifié pour expliciter les exigences européennes. Un rapport sénatorial de 2023 a d’ailleurs conclu que, s’il est clair que le procureur doit voir ses pouvoirs réduits, rien ne presse pour opérer une réforme législative.

Cette difficulté française à faire face aux exigences du droit de l’Union européenne pourrait expliquer, au moins en partie, l’absence de réforme législative visant à intégrer le paquet e-evidence en droit français. Il en résulte une situation peu satisfaisante. En application de l’article 31 du règlement e-evidence, la France a envoyé une note à la Commission européenne listant les autorités compétentes pour émettre, valider ou transmettre les injonctions européennes. Allant à l’encontre du règlement de manière un peu détournée, elle inclut le procureur dans la liste. L’heure est sans doute venue de sortir du déni et d’accepter que le rôle du procureur devrait être repensé en matière de données électroniques au sens large.