Actualité juridique · Publié le 11 novembre 2026

Règlement (UE) 2023/1543 et directive (UE) 2023/1544 du 12 juillet 2023 (paquet e-Evidence) — Injonctions européennes de production (EPOC) et de conservation (EPOC-PR) des preuves électroniques en matière pénale

Entré dans sa phase pleinement opérationnelle en 2026 — avec l’échéance de transposition de la directive (UE) 2023/1544 fixée au 18 février 2026 (article 7) puis l’entrée en application directe du règlement (UE) 2023/1543 le 18 août 2026 (article 34) —, le paquet législatif européen sur les preuves électroniques (« e-Evidence »), adopté le 12 juillet 2023 sur le fondement de l’article 82, paragraphe 1, du TFUE, transforme structurellement l’entraide pénale numérique au sein de l’Union européenne. Sans abroger la décision d’enquête européenne issue de la directive 2014/41/UE, il permet désormais aux magistrats d’un État membre d’adresser directement un certificat d’injonction européenne de production (EPOC) ou de conservation (EPOC-PR) à l’établissement désigné ou au représentant légal dans l’Union d’un fournisseur de services de communications électroniques, d’hébergement, d’infrastructures infonuagiques ou de noms de domaine.

Lire l’article Demander une consultation Appeler · 03 67 07 96 78

Règlement (UE) 2023/1543 et directive (UE) 2023/1544 — Preuves électroniques (e-Evidence)

Sommaire de l’article

L’essentiel de la décision
I. Le dépassement des circuits classiques d’entraide : désignation obligatoire d’un interlocuteur dans l’Union et injonctions directes (EPOC et EPOC-PR)
II. La graduation des garanties selon l’intrusion dans la vie privée : réserve du juge, seuil de trois ans et notification à l’État d’exécution (articles 4, 5, 8 et 12)
III. La sauvegarde du secret professionnel de l’avocat, l’information de la personne concernée et le contrôle de régularité des preuves (articles 5, 13, 17 et 18)
Sources

L’essentiel de la décision

En vertu de la directive (UE) 2023/1544 (transposition au 18 février 2026), tout fournisseur proposant des services numériques dans l’Union européenne — même établi dans un État tiers — doit désigner au moins un établissement désigné ou un représentant légal habilité à recevoir et exécuter les injonctions pénales.
Le règlement (UE) 2023/1543 (applicable depuis le 18 août 2026) distingue quatre catégories de données (abonnés, données demandées à la seule fin d’identifier l’utilisateur, données relatives au trafic et données relatives au contenu) : si un procureur peut émettre une injonction pour les deux premières, la production de données de trafic ou de contenu exige l’émission ou la validation par un juge ou une juridiction et un seuil d’infraction punie d’au moins trois ans d’emprisonnement (articles 4 et 5).
Le fournisseur destinataire d’un certificat EPOC dispose d’un délai maximal de dix jours — ramené à huit heures en cas d’urgence caractérisée par une menace imminente pour la vie, l’intégrité physique ou une infrastructure critique — pour transmettre les données directement à l’autorité d’émission (article 10), tandis que l’injonction de conservation (EPOC-PR) fige les données pendant soixante jours, prolongeables de trente jours (article 11).
Les articles 5, 8, 12 et 18 encadrent la protection des droits fondamentaux et de la défense : protection renforcée des données couvertes par le secret professionnel de l’avocat ou la liberté de la presse, notification obligatoire à l’autorité de l’État d’exécution pour les données de trafic et de contenu hors affaires purement nationales, motifs de refus tirés de la Charte et droit à un recours effectif devant le juge de l’État d’émission.

I. Le dépassement des circuits classiques d’entraide : désignation obligatoire d’un interlocuteur dans l’Union et injonctions directes (EPOC et EPOC-PR)

Jusqu’à l’entrée en application du règlement (UE) 2023/1543 le 18 août 2026, l’obtention contraignante de données numériques détenues par un opérateur établi dans un autre État membre ou dans un État tiers supposait le recours à une décision d’enquête européenne (directive 2014/41/UE, assortie d’un délai d’exécution pouvant atteindre cent vingt jours) ou à une commission rogatoire internationale, délais souvent incompatibles avec la volatilité des traces informatiques. Le paquet du 12 juillet 2023 articule deux instruments complémentaires pour lever ce verrou territorial.

D’une part, la directive (UE) 2023/1544 oblige les fournisseurs de services de communications électroniques, d’attribution de noms de domaine et de numérotation IP ainsi que d’autres services de la société de l’information stockant ou traitant des données (réseaux sociaux, messageries, infonuagique, places de marché en ligne) qui proposent leurs services dans l’Union à désigner par écrit au plus tard au terme du délai de transposition du 18 février 2026 au moins un établissement désigné (s’ils sont établis dans l’Union) ou un représentant légal (s’ils sont établis hors de l’Union) doté des pouvoirs et ressources nécessaires pour exécuter les injonctions (article 3).

D’autre part, le règlement (UE) 2023/1543 institue deux titres exécutoires européens transmis au moyen de certificats normalisés (article 9) : l’injonction européenne de production (EPOC), applicable aux procédures pénales ainsi qu’à l’exécution de peines privatives de liberté d’au moins quatre mois lorsque le condamné s’est soustrait à la justice (article 2), qui contraint le destinataire à transmettre les données existantes sous dix jours ou sous huit heures en cas d’urgence dûment motivée (article 10) ; et l’injonction européenne de conservation (EPOC-PR), qui impose le gel immédiat des données pendant soixante jours — renouvelables une fois pour trente jours — afin d’éviter leur effacement dans l’attente d’une demande formelle de production (articles 6 et 11).

II. La graduation des garanties selon l’intrusion dans la vie privée : réserve du juge, seuil de trois ans et notification à l’État d’exécution (articles 4, 5, 8 et 12)

Conformément aux exigences posées par la Grande chambre de la CJUE en matière de confidentialité des communications électroniques, les articles 4 et 5 du règlement (UE) 2023/1543 hiérarchisent strictement les autorités compétentes et les seuils d’infraction selon la sensibilité des preuves sollicitées. Pour les données relatives aux abonnés et pour les données demandées à la seule fin d’identifier l’utilisateur (telles que les adresses IP dynamiques et ports sources nécessaires à l’identification), l’EPOC peut être émis pour toute infraction pénale par un juge, une juridiction, un juge d’instruction ou un procureur, ou par toute autre autorité compétente sous réserve de validation préalable par l’un de ces magistrats.

À l’inverse, pour les données relatives au trafic (hors simple identification) et pour les données relatives au contenu des communications ou des fichiers stockés, le procureur est exclu des autorités d’émission autonomes : l’EPOC doit impérativement être émis ou validé par un juge, une juridiction ou un juge d’instruction (article 4, paragraphe 2), et il ne peut l’être que pour des infractions punies dans l’État d’émission d’une peine privative de liberté maximale d’au moins trois ans, ou pour une liste limitative d’infractions harmonisées commises au moyen d’un système d’information (fraude aux moyens de paiement scripturaux, abus sexuels sur mineurs, attaques contre les systèmes d’information et infractions terroristes, article 5, paragraphe 4).

Le règlement ménage en outre un contrôle par l’État membre dans lequel est situé l’établissement désigné ou le représentant légal (article 8) : lorsqu’un EPOC porte sur des données de trafic ou de contenu, l’autorité d’émission doit le notifier simultanément à l’autorité compétente de l’État d’exécution — sauf s’il existe des motifs raisonnables de croire que l’infraction a été commise dans l’État d’émission et que la personne visée y réside. L’autorité notifiée dispose alors de dix jours (ou quatre-vingt-seize heures en cas d’urgence) pour soulever l’un des motifs de refus limitativement prévus à l’article 12 : protection des privilèges et immunités ou de la liberté de la presse, atteinte à la sécurité nationale, principe ne bis in idem, défaut de double incrimination dans les cas prévus, ou violation manifeste d’un droit fondamental garanti par l’article 6 du TUE et la Charte.

III. La sauvegarde du secret professionnel de l’avocat, l’information de la personne concernée et le contrôle de régularité des preuves (articles 5, 13, 17 et 18)

Le texte accorde une protection expresse au secret professionnel des avocats et des médecins ainsi qu’au secret des sources journalistiques. Aux termes de l’article 5, paragraphe 9, lorsque des données relatives au trafic ou au contenu sont stockées ou traitées par un fournisseur dans le cadre d’une infrastructure fournie à un professionnel soumis au secret professionnel dans ses activités professionnelles, un EPOC ne peut être adressé au fournisseur que si ce professionnel réside dans l’État d’émission, si le fait de s’adresser à lui risquerait de nuire à l’enquête ou si les privilèges ont été préalablement levés conformément au droit applicable.

Sur le terrain des droits de la défense, l’article 13 consacre le principe de l’information sans retard injustifié de la personne dont les données sont demandées par l’autorité d’émission au sujet de la production des données et des voies de recours disponibles ; si l’autorité d’émission peut enjoindre au fournisseur de s’abstenir d’informer l’utilisateur et différer elle-même cette notification tant que cela demeure nécessaire et proportionné pour ne pas entraver la procédure pénale concernée, l’information doit intervenir dès la levée de ce risque.

Enfin, l’article 18 garantit à toute personne dont les données ont été obtenues au moyen d’une injonction européenne de production le droit à des recours effectifs devant une juridiction de l’État d’émission afin de contester la légalité, la nécessité et la proportionnalité de la mesure, tout en précisant que, dans le cadre de l’appréciation des éléments de preuve recueillis par un EPOC lors du procès pénal, les droits de la défense et l’équité de la procédure doivent être pleinement respectés — ouvrant ainsi aux avocats de la défense un contrôle concret de la compétence du magistrat émetteur, du seuil légal de trois ans et du respect éventuel de l’obligation de notification de l’article 8.

Sources

Votre situation

Une question sur votre dossier ?

Le cabinet examine la situation sur pièces. Cette page est une information générale ; elle ne remplace pas l’analyse d’un dossier.

Demander une consultation Appeler · 03 67 07 96 78