Preuves électroniques dans le cadre des procédures pénales

 

SYNTHÈSE DES DOCUMENTS:

Règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation concernant les preuves électroniques dans le cadre des procédures pénales et aux fins de l’exécution de peines privatives de liberté prononcées à l’issue d’une procédure pénale

Directive (UE) 2023/1544 établissant des règles harmonisées concernant la désignation d’établissements désignés et de représentants légaux aux fins de l’obtention de preuves électroniques dans le cadre des procédures pénales

QUEL EST L’OBJET DE CE RÈGLEMENT ET DE CETTE DIRECTIVE?

Le règlement (UE) 2023/1543 vise à:

• permettre aux autorités judiciaires nationales impliquées dans une procédure pénale d’ordonner aux fournisseurs de services* proposant des services dans l’Union européenne (UE) de produire ou de conserver des preuves électroniques où que se trouvent les données;
• faciliter et accélérer l’accès aux preuves électroniques par-delà les frontières, et empêcher leur suppression, tout en offrant des garanties juridiques aux personnes dont les données sont demandées.

La directive (UE) 2023/1544 impose à certains fournisseurs de services proposant des services dans l’UE d’avoir désigné des établissements ou des représentants légaux dans l’UE afin qu’ils puissent recevoir et se conformer aux injonctions des autorités nationales en vue de recueillir des preuves électroniques dans le cadre de procédures pénales.

POINTS CLÉS

Le règlement (UE) 2023/1543 s’applique aux fournisseurs de services proposant une ou plusieurs des catégories de services suivantes dans l’UE:

• des communications électroniques;
• des noms de domaine sur l’internet et la numérotation IP;
• des services de communication, de stockage et de traitement.

Le règlement ne s’applique pas aux fournisseurs proposant:

• des services financiers (c’est-à-dire la banque, le crédit, l’assurance, la réassurance, les pensions professionnelles ou personnelles, les valeurs mobilières, les fonds d’investissement, les conseils en matière de paiement et d’investissement);
• des services exclusivement au sein de leur propre État membre de l’UE.

Les injonctions européennes de production* et les injonctions européennes de conservation* ne peuvent être émises que:

• dans le cadre d’une procédure pénale et pour exécuter des peines ou des mesures de sûreté privatives de liberté d’au moins quatre mois;
• pour certaines données détenues par les fournisseurs de services (voir termes clés).

L’autorité d’émission d’une injonction européenne de production doit informer la personne dont les données sont demandées. En règle générale, cette notification doit se produire sans retard injustifié; toutefois, elle peut être retardée si, par exemple, elle risque de compromettre l’enquête. La personne peut contester la légalité de l’injonction devant une juridiction de l’État membre d’émission (droit à des recours effectifs).

Certificats et injonctions européennes de production et de conservation

• Un juge, une juridiction, un juge d’instruction ou, pour les catégories de données les moins intrusives, un procureur peut émettre une injonction européenne de production ou de conservation.
• Les injonctions peuvent être envoyées directement au fournisseur de services d’un autre État membre sans intervention préalable des autorités de ce pays.

Les injonctions européennes de production:

• doivent être nécessaires et proportionnées aux fins de la procédure pénale;
• doivent respecter les droits du suspect ou de la personne poursuivie;
• ne peuvent être émises que dans les mêmes conditions que pour une procédure nationale similaire;
• doivent respecter d’autres conditions, y compris toute immunité ou privilège accordé, ainsi que la détermination et la limitation de la responsabilité pénale relative à la liberté de la presse ou à la liberté d’expression, selon qu’elles demandent des données relatives aux abonnés, à l’identification, au trafic ou au contenu;
• comprennent des informations spécifiques, telles que l’autorité d’émission, le destinataire, les données demandées et la période couverte, les dispositions applicables du droit pénal de l’État membre d’émission et le résumé de l’affaire;
• sont, en règle générale, adressées au fournisseur de services qui contrôle les données à caractère personnel (responsable du traitement).

Les injonctions européennes de conservation:

• doivent être nécessaires et proportionnées aux fins d’empêcher le retrait, la suppression ou la modification de données qui peuvent ultérieurement être demandées;
• peuvent être émises pour toutes les infractions pénales si elles auraient pu être émises dans les mêmes conditions que pour une procédure nationale similaire;
• comprennent des informations spécifiques, telles que l’autorité d’émission, le destinataire, les données demandées et la période couverte, et les dispositions applicables du droit pénal de l’État membre d’émission.

Les injonctions sont adressées directement, par le biais d’un certificat d’injonction européenne de production (EPOC) ou d’un certificat d’injonction européenne de conservation (EPOC-PR), à l’établissement désigné ou au représentant légal d’un fournisseur de services.

Respect des certificats d’injonction européenne de production

Les destinataires:

• doivent agir rapidement, à la réception de l’EPOC, pour conserver les données demandées;
• doivent transmettre les données dans les dix jours;
• doivent transmettre les données dans les huit heures dans les cas d’urgence (bien que les données puissent ne pas être utilisées si leur autorité nationale s’oppose à l’EPOC dans certains cas);
• doivent informer à la fois les autorités d’émission et de mise en œuvre s’ils estiment que l’EPOC pourrait interférer avec les immunités ou privilèges, ou avec les règles relatives à la détermination ou à la limitation de la responsabilité pénale liées à la liberté de la presse ou à la liberté d’expression.

Ils doivent expliquer à l’autorité d’émission, sans retard injustifié, s’ils ne peuvent pas produire les données en raison de l’un des problèmes suivants.

• L’EPOC est incomplet, contient des erreurs manifestes ou ne contient pas suffisamment d’informations. L’autorité dispose d’un délai de cinq jours pour répondre.
• Les données sont indisponibles en raison de circonstances échappant à leur contrôle. Si l’autorité est d’accord, elle en informe le destinataire.
• Il existe d’autres raisons de ne pas se conformer, par exemple si l’injonction est contraire au droit d’un pays tiers où les données peuvent être stockées.

Respect des certificats d’injonction européenne de conservation

Les destinataires:

• doivent agir immédiatement, à la réception d’une EPOC-PR, pour conserver les données demandées;
• conservent les données pendant 60 jours, prolongeables de 30 jours supplémentaires par l’autorité d’émission, après quoi la conservation prend fin, à moins que l’autorité d’émission n’ait, dans l’intervalle, émis une demande ultérieure, par exemple dans le cadre de l’entraide judiciaire, pour que les données soient remises ou conservées pendant 30 jours supplémentaires;
• peuvent soulever des objections à l’injonction au même titre que pour une EPOC (par exemple, immunités ou privilèges, incomplètes ou erreurs manifestes, circonstances échappant à leur contrôle, autres raisons).

Notification aux autres États membres

Pour certaines injonctions européennes de production pour des données relatives au trafic ou au contenu, les autorités de l’État membre de l’établissement désigné ou du représentant légal du fournisseur (autorités chargées de la mise en œuvre) recevront l’injonction en même temps que le fournisseur. Elles peuvent la refuser pour les motifs suivants:

• Les données demandées sont protégées par des immunités ou privilèges ou couvertes par des règles relatives à la détermination ou à la limitation de la responsabilité pénale liées à la liberté de la presse ou à la liberté d’expression appliquées dans l’État chargé de la mise en œuvre.
• L’injonction:
  • peut entraîner une violation manifeste des droits fondamentaux de la personne dont les données sont demandées;
  • est contraire au principe selon lequel une personne ne peut être rejugée dans le cadre d’une procédure pénale pour une infraction pour laquelle elle a déjà été acquittée ou condamnée de manière définitive au sein de l’UE (ne bis in idem).
• Les faits cités dans l’injonction ne constituent pas une infraction dans l’État chargé de la mise en œuvre.

Les injonctions qui sont refusées seront retirées. Toutefois, l’autorité chargée de la mise en œuvre peut s’opposer au transfert de certaines données seulement. Avant que l’autorité chargée de la mise en œuvre ne puisse invoquer un motif de refus, les injonctions peuvent être modifiées.

Sanctions et mise en œuvre

• Les États membres mettent en œuvre des sanctions pécuniaires effectives, proportionnées et dissuasives en cas de non-respect. Elles peuvent atteindre 2 % du chiffre d’affaires annuel mondial total du fournisseur de services.
• Les autorités d’émission peuvent demander aux autorités chargées de la mise en œuvre de mettre en œuvre l’injonction si le fournisseur de services, sans donner de raisons acceptables, ne respecte pas à l’EPOC dans les délais impartis ou une EPOC-PR.

Toutes les communications écrites entre les autorités nationales et les établissements désignés ou les représentants légaux des fournisseurs de services sont effectuées par l’intermédiaire d’un système informatique décentralisé sécurisé et fiable. Les annexes au règlement contiennent les formulaires à utiliser.

La Commission européenne:

• adopte des actes d’exécution et des actes délégués;
• établit, au plus tard le 18 août 2026, un programme pour le suivi des réalisations, résultats et incidences du règlement;
• doit procéder à une évaluation du règlement au plus tard le 18 août 2029.

Directive (UE) 2023/1544

La directive s’applique aux fournisseurs de services proposant:

• des communications électroniques;
• des noms de domaine sur l’internet et la numérotation IP;
• des services de communication, de stockage et de traitement.

La directive ne s’applique pas aux fournisseurs proposant:

• des services financiers (c’est-à-dire la banque, le crédit, l’assurance, la réassurance, les pensions professionnelles ou personnelles, les valeurs mobilières, les fonds d’investissement, les conseils en matière de paiement et d’investissement);
• des services exclusivement au sein de leur propre État membre.

Les fournisseurs qui offrent leurs services dans l’UE doivent désigner, au plus tard le 18 août 2026, au moins un destinataire, soit un établissement désigné (si celui-ci est établi dans l’UE), soit un représentant légal (si ce n’est pas le cas), pour s’assurer qu’ils peuvent recevoir et se conformer aux injonctions qui leur sont adressées.

Les États membres doivent:

• déterminer les règles relatives aux sanctions applicables en cas de non-respect;
• désigner une ou plusieurs autorités centrales afin de garantir la bonne application de la directive.

La directive fera l’objet d’une évaluation de la Commission d’ici au 18 août 2029.

À PARTIR DE QUAND CE RÈGLEMENT ET CETTE DIRECTIVE S’APPLIQUENT-ILS?

Le règlement s’applique à partir du 18 août 2026.

La directive doit être transposée dans le droit national au plus tard le 18 février 2026.

CONTEXTE

Les preuves électroniques (les données numériques, telles que les courriers électroniques, les messages textuels et les données relatives au trafic) sont considérées comme pertinentes dans 85 % des enquêtes pénales au sein de l’UE. Les données sont souvent conservées dans un pays différent de l’endroit où l’infraction est commise, qu’il s’agisse d’un attentat terroriste, de cybercriminalité, d’un message de haine en ligne ou du partage de matériel relatif à des abus sur enfants, et sont faciles à supprimer.

Pour de plus amples informations, veuillez consulter:

• Preuves électroniques — accès transfrontalier aux preuves électroniques (Commission européenne).

TERMES CLÉS

DOCUMENTS PRINCIPAUX

Règlement (UE) 2023/1543 du Parlement européen et du Conseil du 12 juillet 2023 relatif aux injonctions européennes de production et aux injonctions européennes de conservation concernant les preuves électroniques dans le cadre des procédures pénales et aux fins de l’exécution de peines privatives de liberté prononcées à l’issue d’une procédure pénale (JO L 191 du 28.7.2023, p. 118-180).

Directive (UE) 2023/1544 du Parlement européen et du Conseil du 12 juillet 2023 établissant des règles harmonisées concernant la désignation d’établissements désignés et de représentants légaux aux fins de l’obtention de preuves électroniques dans le cadre des procédures pénales (JO L 191 du 28.7.2023, p. 181-190).

dernière modification 17.11.2023