REGLEMENT E-EVIDENCE : Enfin mais encore un peu de patience …..
Corinne Thérache et Gwennaelle Caer
Le Règlement[1] relatif aux preuves électroniques, dit règlement « E-Evidence » a été publié au Journal Officiel de l’Union européenne le 28 juillet 2023 après sept années de négociation. Ce Règlement est accompagné d’une Directive[2] afin d’instaurer un cadre législatif complet. Il est entré en vigueur le 17 août 2023, et sera applicable à compter du 17 août 2026.
Ce paquet législatif vise à améliorer la capacité des autorités judiciaires et policières des différents Etats-membres à mener à bien des enquêtes pénales dans un contexte de numérisation de la société. En effet, les preuves sont devenues majoritairement électroniques, notamment en raison de l’émergence d’une nouvelle forme de criminalité via Internet mais également en raison de l’utilisation par les auteurs d’infractions de modes de communication électroniques. Ces preuves sont ainsi souvent détenues par des acteurs situés dans un pays différent de celui à l’origine de l’enquête, et la communication de celles-ci aux autorités judiciaires compétentes dépend majoritairement de leur bon vouloir – les instruments traditionnels s’étant montrés inadaptés et chronophages pour collecter ces dernières en temps utile.
Le Règlement E-Evidence a donc pour objectif de créer un cadre législatif européen permettant une coopération directe entre les autorités judiciaires et un fournisseur de service basé dans un autre Etat membre dans le cadre d’enquêtes pénales, tout en garantissant les droits et libertés fondamentaux de chacun. Cette coopération passe notamment par :
- la création d’injonctions européennes de production permettant à une autorité judiciaire d’obtenir une preuve électronique (par exemple un email, un message ou des informations permettant l’identification d’un auteur) directement auprès d’un fournisseur de service dans les 10 jours suivant la demande (8 heures en cas d’urgence)
- la création d’injonctions européennes de conservation obligeant les fournisseurs de service à conserver des preuves électroniques relatives à un suspect par exemple, dans l’hypothèse d’une communication ultérieure de ces dernières
- la création d’une plateforme sécurisée permettant la communication de ces preuves
- l’obligation pour les fournisseurs de services de nommer un représentant légal dans un Etat-membre de l’Union européenne s’il est basé dans un pays-tiers
- l’introduction de garde-fous pour assurer la protection des droits fondamentaux des parties, notamment par la création d’un système de notification aux autorités de l’Etat membre où le fournisseur de services est basé dans certains cas prévus par le règlement, notamment lorsque l’injonction concerne des données sur le trafic ou sur le contenu d’un utilisateur. Les autorités peuvent alors contrôler la légitimité de l’injonction et bloquer la communication des preuves électroniques si l’un des quatre motifs suivants prévus par le texte le permet :
- les données demandées sont protégées par des immunités ou privilèges accordés par l’Etat ou par la liberté de la presse et la liberté d’expression
- l’exécution de l’injonction est contraire au principe de non bis in idem[3]
- les faits pour lesquels l’injonction a été émise ne constituent pas une infraction dans le droit de l’Etat destinataire
- les autorités ont des motifs sérieux de croire que l’exécution de l’injonction porterait atteinte aux droits fondamentaux des parties
L’aboutissement d’un tel paquet législatif est crucial pour l’Union européenne et prouve que les Etats membres s’accordent mutuellement une grande confiance en leurs différents systèmes judiciaires. Ces textes offrent également une plus grande sécurité juridique aux acteurs économiques puisqu’ils harmonisent les conditions de coopération avec les autorités judiciaires, créant un socle commun pour ces derniers et évitant ainsi les distorsions de concurrence. Il faudra néanmoins veiller à la traduction concrète de ces textes, notamment concernant la notification des autorités de l’Etat-membre hébergeant le fournisseur de contenu destinataire de l’injonction : ce mécanisme pourrait rapidement devenir un obstacle juridique et administratif à la bonne coopération judiciaire, à l’instar des mécanismes traditionnels.
Afin d’aboutir à un cadre législatif pertinent applicable, non seulement dans les Etats-membres de l’Union, mais également dans d’autres pays qui hébergent les plus grandes entreprises de la tech, la Commission européenne a mené en parallèle des négociations internationales avec les Etats-Unis d’une part, et dans le cadre du Conseil de l’Europe d’autre part. Les négociations avec les Etats-Unis sont toujours en cours, mais les négociations avec les membres du Conseil de l’Europe ont pu aboutir puisqu’un second protocole additionnel à la Convention de Budapest sur la Cybercriminalité a été adopté le 17 novembre 2021. Ce protocole a été signé par 42 pays, mais n’a pour le moment été ratifié que par deux pays : la Serbie le 9 février 2023 et le Japon le 10 août de la même année. Il entrera en vigueur lorsqu’il aura été ratifié par au moins 5 pays. Les pays de l’UE ont été autorisés par le Conseil à le signer depuis le 14 février 2023.
Les équipes du département Droit des technologies et du numérique du cabinet ALERION Avocats se tiennent naturellement à votre disposition pour vous accompagner et vous conseiller pour toute affaire de cybercriminalité. .
Corinne Thiérache, Avocate Associée, et Gwennaelle Caer, Elève-avocat de l’EDA Paris (EFB) du Département du Droit des technologies et du numérique
[1] Règlement (UE) 2023/1543 du 12 juillet 2023 relatif aux injonctions européennes de production et aux injonctions européennes de conservation concernant les preuves électroniques dans le cadre des procédures pénales et aux fins de l’exécution de peines privatives de liberté prononcées à l’issue d’une procédure pénale
[2] Directive (UE) 2023/1544 du 12 juillet 2023 établissant des règles harmonisées concernant la désignation d’établissements désignés et de représentants légaux aux fins de l’obtention de preuves électroniques dans le cadre des procédures pénales
[3] Aucune personne acquittée légalement ne peut plus être reprise ou accusée à raison des mêmes faits, même sous une qualification différente.