Un message, un fichier stocké dans le cloud ou les données reliant une adresse IP à un compte peuvent se trouver techniquement dans un autre pays et être contrôlés par un fournisseur établi hors de l'Union européenne. Le paquet européen e-Evidence n'accorde pas aux autorités un accès général aux comptes. Il crée une procédure transfrontière précise par laquelle une autorité compétente d'un État membre participant transmet un certificat au destinataire désigné d'un fournisseur dans un autre État membre participant.

La distinction essentielle oppose la décision européenne de production (EPO) à la décision européenne de conservation (EPO-PR). La première exige la remise de données déterminées. La seconde protège temporairement des données précises contre leur retrait, leur effacement ou leur modification, mais n'autorise pas, à elle seule, leur divulgation. Les règles s'appliquent à compter du 18 août 2026 et associent des délais courts à des exigences de contrôle judiciaire, de notification, de refus, de secret professionnel, de protection des données et de recours effectif.

Le règlement (UE) 2023/1543 institue la décision européenne de production (EPO), la décision européenne de conservation (EPO-PR), le certificat de décision européenne de production (EPOC), le certificat de décision européenne de conservation (EPOC-PR), les procédures d'exécution et les droits des personnes concernées. Il est entré en vigueur le 17 août 2023 et s'applique directement depuis le 18 août 2026. La Grèce et l'Irlande y sont liées, tandis que le Danemark n'y participe pas.

La directive (UE) 2023/1544 impose aux États membres de prévoir que les fournisseurs désignent dans l'Union un établissement ou un représentant légal chargé de recevoir et d'exécuter les injonctions. Le délai de transposition expirait le 18 février 2026. Les fournisseurs qui proposaient déjà des services dans l'UE à cette date devaient désigner leur destinataire au plus tard le 18 août 2026 ; ceux qui entrent ensuite sur le marché disposent de six mois.

Le règlement d'exécution (UE) 2025/1550 fixe les spécifications techniques du système de communication décentralisé et est entré en vigueur le 18 août 2025. Un rectificatif publié le 13 juillet 2026 est juridiquement important : il a supprimé une formulation qui aurait pu laisser croire à un contournement d'urgence du seul fait de l'absence d'établissement désigné ou de représentant légal. La signification de substitution devient possible lorsqu'un destinataire déjà désigné n'agit pas dans le délai, non simplement parce qu'aucun destinataire n'a été désigné au départ.

2. Procédures, fournisseurs et données relevant du dispositif

Le mécanisme est réservé aux procédures pénales. Il ne constitue pas un outil privé de recherche de preuves pour les litiges civils ou commerciaux ni un moyen général de contrôle administratif. Il couvre également le cas étroit prévu par le règlement pour l'exécution d'une peine ou d'une mesure privative de liberté d'au moins quatre mois, prononcée à l'issue d'une procédure pénale, lorsque la personne condamnée s'est soustraite à la justice et que les autres conditions légales sont remplies.

Sont concernés les services de communications électroniques, les services de noms de domaine et de numérotation IP, les registres, bureaux d'enregistrement et services de confidentialité ou de proxy, ainsi que les services de la société de l'information dont la communication entre utilisateurs ou le stockage ou traitement de données constitue une caractéristique essentielle. La simple accessibilité d'un site depuis l'UE ne suffit pas. Un lien substantiel est requis, tel qu'un établissement, un nombre significatif d'utilisateurs ou une activité ciblant l'Union.

Le règlement distingue les données relatives aux abonnés, les données demandées dans le seul but d'identifier l'utilisateur, les données relatives au trafic et les données relatives au contenu. La décision porte sur des données déjà stockées par le fournisseur ou pour son compte au moment où le certificat est reçu. Elle ne crée aucun pouvoir d'interception en temps réel ni de collecte de communications futures.

3. Les autorités d'émission et de validation

Pour une EPO visant des données relatives aux abonnés ou des données demandées dans le seul but d'identifier l'utilisateur, l'autorité d'émission peut être un juge, une juridiction, un juge d'instruction ou un procureur. Une autre autorité d'enquête compétente selon le droit national ne peut l'émettre qu'avec la validation requise d'une autorité judiciaire ou du ministère public.

Les données relatives au trafic autres que celles servant uniquement à l'identification, ainsi que les données de contenu, sont soumises à un contrôle plus strict. La décision doit être émise ou validée par un juge, une juridiction ou un juge d'instruction ; un procureur agissant seul ne suffit pas pour ces catégories. Une EPO-PR peut être émise par un juge, une juridiction, un juge d'instruction ou un procureur, ou par une autre autorité compétente sous réserve de validation.

Toute décision doit être nécessaire et proportionnée, pouvoir être ordonnée dans une affaire nationale comparable et respecter les droits de la personne soupçonnée ou poursuivie. Le suspect ou son avocat peut demander qu'une telle décision soit sollicitée dans le cadre des droits de la défense reconnus par le droit national, mais il ne peut pas envoyer lui-même un EPOC privé à un fournisseur.

4. Ce qu'exige une EPO et ce que certifie l'EPOC

La décision européenne de production (EPO) est la décision judiciaire ou validée. L'EPOC est le certificat standard transmis au destinataire désigné du fournisseur. Il contient les informations nécessaires à l'exécution sans révéler inutilement le dossier sous-jacent. Le destinataire doit préserver la confidentialité et ne remettre que les données désignées par l'EPO.

Les données relatives aux abonnés et les données demandées dans le seul but d'identifier l'utilisateur peuvent être demandées pour toute infraction pénale. Les données de trafic et de contenu supposent normalement une infraction passible, dans l'État d'émission, d'une peine privative de liberté maximale d'au moins trois ans. Ce seuil fonctionne différemment pour certaines infractions du droit de l'Union expressément visées, notamment le terrorisme, les abus sexuels sur enfants, les attaques contre les systèmes d'information et la fraude aux moyens de paiement autres que les espèces, lorsque les conditions particulières du règlement sont réunies.

Le fait qu'un serveur soit situé dans un pays tiers n'exclut pas automatiquement la décision. Il faut notamment vérifier que le fournisseur offre des services dans l'Union, qu'un destinataire transfrontière légal existe et que les garanties matérielles et procédurales sont respectées.

5. Le rôle de l'EPO-PR et de l'EPOC-PR

La décision européenne de conservation (EPO-PR) vise à empêcher le retrait, l'effacement ou la modification de données déterminées pendant la préparation d'une demande ultérieure de production. L'EPOC-PR est le certificat reçu par le fournisseur. Il commande de conserver immédiatement et de manière ciblée les données identifiées, et non de les communiquer à l'autorité d'émission.

La période initiale de conservation est de 60 jours. Pendant cette période, l'autorité d'émission peut la prolonger une fois de 30 jours supplémentaires si cette prolongation est nécessaire pour permettre l'émission d'une demande ultérieure de production. Au-delà de ces délais, la conservation ne peut se poursuivre que si l'autorité confirme à temps que la décision européenne de production, la décision d'enquête européenne ou la demande d'entraide judiciaire ultérieure a déjà été émise. Les données sont alors conservées aussi longtemps que nécessaire pour pouvoir les produire une fois la demande reçue. Lorsque la conservation n'est plus nécessaire, l'autorité doit en informer le destinataire sans retard indu.

Cette distinction a une portée pratique pour la défense comme pour le fournisseur. L'exécution d'un EPOC-PR ne prouve pas que la divulgation a été autorisée et ne corrige pas les défauts d'une EPO ultérieure. Conservation et production sont deux étapes juridiques distinctes, chacune dotée de sa finalité et de son fondement.

6. Les délais de 10 jours et de 8 heures

Dans la procédure ordinaire, le destinataire doit agir sans retard indu et au plus tard dans les 10 jours suivant la réception de l'EPOC. En cas d'urgence au sens strict du règlement, le délai est de 8 heures. Cette notion suppose une menace imminente pour la vie, l'intégrité physique ou la sécurité d'une personne, y compris une menace comparable résultant d'une perturbation grave ou de la destruction d'une infrastructure critique.

Dans une situation d'urgence répondant à cette définition, une EPO portant sur des données relatives aux abonnés ou des données demandées dans le seul but d'identifier l'utilisateur, ainsi qu'une EPO-PR, peuvent être émises sans validation préalable lorsque celle-ci ne peut être obtenue à temps et qu'un pouvoir national équivalent existe. La validation doit alors être sollicitée dans les 48 heures. Si elle est refusée, la décision doit être retirée et les données déjà transmises doivent être effacées ou leur utilisation limitée conformément au règlement.

Le guide non contraignant de la Commission sur le calcul des délais explique que le jour de réception n'est pas compté lorsqu'un délai est exprimé en jours. Les samedis, dimanches et jours fériés sont inclus, mais un délai journalier expirant un jour non ouvrable est reporté au jour ouvrable suivant dans l'État d'exécution. Pour le délai de huit heures, le calcul commence à l'heure pleine suivante et aucune prolongation ne résulte d'un week-end ou d'un jour férié. Le guide précise expressément que seule la Cour de justice de l'Union européenne peut fournir une interprétation faisant autorité.

7. Notification de l'État d'exécution et motifs de refus

Lorsqu'une EPO vise des données de trafic qui ne se limitent pas à l'identification ou des données de contenu, l'autorité d'émission transmet simultanément l'EPOC à l'autorité d'exécution. La notification ne peut être omise que s'il existe des motifs raisonnables de croire à la fois que l'infraction a été, est ou sera vraisemblablement commise dans l'État d'émission et que la personne dont les données sont demandées y réside. La notification suspend normalement la remise des données, sauf en cas d'urgence au sens du règlement.

L'autorité d'exécution dispose de 10 jours pour invoquer un motif de refus, ou de 96 heures en cas d'urgence. L'article 12 prévoit quatre catégories : les immunités, privilèges ou règles protégeant la liberté de la presse et la liberté d'expression dans d'autres médias ; des motifs spécifiques et objectifs révélant une violation manifeste d'un droit fondamental pertinent ; le principe ne bis in idem ; et l'absence de double incrimination, sous réserve de l'exception concernant les catégories de l'annexe IV lorsque la condition de peine de trois ans est remplie.

Les autorités doivent se consulter avant un refus. Une partie de la décision peut être rejetée ou des conditions d'utilisation peuvent être imposées. Si les données ont déjà été transmises dans une situation d'urgence au sens du règlement et qu'un motif valable est soulevé, l'autorité d'émission doit les effacer, en limiter l'utilisation ou respecter les conditions fixées par l'autorité d'exécution.

8. Ce que le fournisseur peut signaler et l'exécution forcée

Le destinataire désigné ne devient pas le juge de l'injonction. Il peut toutefois utiliser le formulaire de l'annexe III pour signaler que l'exécution est matériellement impossible, que le certificat contient des erreurs manifestes, que les données n'étaient pas en possession ou sous le contrôle du fournisseur lors de la réception, que le service est hors champ ou que des immunités, privilèges ou la liberté des médias risquent d'être affectés.

En cas de non-exécution, l'injonction peut être transférée à l'autorité d'exécution en vue de mesures coercitives. À ce stade, le règlement prévoit une liste fermée de motifs de non-exécution, notamment l'absence d'émission ou de validation correcte, le non-respect des seuils matériels, l'impossibilité factuelle, le secret professionnel et une violation manifeste d'un droit fondamental. Les sanctions nationales doivent être effectives, proportionnées et dissuasives.

9. Secret professionnel de l'avocat, immunités et médias

L'autorité d'émission ne doit pas émettre d'EPO pour des données de trafic ou de contenu lorsqu'elle constate que celles-ci sont protégées par une immunité ou un privilège selon le droit de l'État d'exécution, ou par des règles protégeant la liberté de la presse et la liberté d'expression dans d'autres médias. En cas d'incertitude, elle peut demander des éclaircissements directement à l'autre autorité ou par l'intermédiaire d'Eurojust ou du Réseau judiciaire européen.

L'article 5, paragraphe 9, assure une protection particulière lorsque des données couvertes par le secret professionnel sont stockées ou autrement traitées dans une infrastructure fournie à un avocat ou à un autre professionnel protégé pour son activité professionnelle. Une EPO portant sur des données de trafic ou de contenu n'est permise que si le professionnel réside dans l'État d'émission, si le fait de s'adresser directement à lui pourrait nuire à la procédure, ou si le secret a été levé conformément au droit applicable.

Le secret professionnel de l'avocat n'est pas une exception indéterminée couvrant toute donnée liée à un avocat. Il faut identifier la communication, la qualité professionnelle, le droit national applicable et toute levée licite du secret. Le fournisseur signale un risque à partir du certificat ; les autorités compétentes tranchent la question juridique.

10. Protection des données, information et recours

Le RGPD continue de s'appliquer aux fournisseurs, tandis que la directive (UE) 2016/680 régit les traitements des autorités répressives compétentes, avec les règles ePrivacy pertinentes. L'injonction doit être ciblée, nécessaire et proportionnée. Le destinataire doit utiliser des mesures techniques et organisationnelles actualisées afin de protéger la confidentialité, le secret et l'intégrité des certificats et des données.

L'autorité d'émission informe sans retard indu la personne dont les données ont été produites et lui indique les voies de recours disponibles. L'information ne peut être retardée, limitée ou omise qu'aussi longtemps que les conditions de la directive (UE) 2016/680 sont remplies. Les motifs doivent être consignés au dossier et une justification concise doit figurer dans l'EPOC.

Toute personne dont les données ont été demandées au moyen d'une EPO dispose d'un droit à un recours effectif devant une juridiction de l'État d'émission. Le contrôle porte sur la légalité, la nécessité et la proportionnalité. Si l'exécution entre en conflit avec le droit d'un pays tiers, une procédure judiciaire particulière s'applique et l'exécution est suspendue pendant l'examen du conflit.

11. Conséquences pour un citoyen grec, un avocat et un fournisseur

Pour le citoyen : la voie transfrontière devient plus rapide et ne dépend plus uniquement d'une longue entraide judiciaire. Cela ne signifie pas que toute autorité de police puisse entrer directement dans un compte cloud. Une décision légalement émise, le contrôle judiciaire ou du parquet approprié, une catégorie de données définie et un recours devant un juge restent nécessaires.

Pour l'avocat : l'examen doit couvrir la catégorie de données, le seuil de l'infraction, la compétence d'émission ou de validation, toute exception à la notification, la réalité de l'urgence alléguée, le secret professionnel, l'information de la personne et les délais nationaux de recours. La seule mention e-Evidence ne démontre pas la légalité.

Pour le fournisseur : la mise en conformité pratique suppose un destinataire légal clairement désigné, des contrôles d'authenticité, une limitation aux données ordonnées, une conservation et une transmission sécurisées, une piste d'audit et la saisine immédiate du service juridique ou de l'équipe compétente en cas de question liée au secret professionnel ou d'erreur. Le délai de 8 heures rend prudente une procédure de tri disponible en continu, même si le règlement n'impose aucun modèle particulier d'organisation du personnel.

12. État de préparation juridique et technique de la Grèce au 30 août 2026

Le règlement s'applique directement en Grèce depuis le 18 août 2026. Son applicabilité directe ne prouve toutefois pas, à elle seule, que toutes les mesures institutionnelles, administratives et techniques nationales nécessaires à l'émission, la réception, la notification, l'exécution, aux sanctions et à la communication sécurisée ont été achevées.

Lors de la vérification du 30 août 2026, la page EUR-Lex relative aux mesures nationales affichait pour la Grèce, au titre de la directive (UE) 2023/1544, la mention « Nombre de mesures : 0 » (libellé du registre : « Number of measures: 0 »). Cela établit qu'aucune mesure grecque notifiée n'apparaissait dans ce registre précis au moment du contrôle. Cette mention ne prouve pas, à elle seule, l'absence de tout texte national pertinent ni l'inefficacité de tout acte interne éventuel.

La liste de préparation de la Commission, mise à jour le 27 août 2026, ne citait que l'Allemagne, l'Irlande, l'Italie et la Suède, avec des capacités d'émission ou de réception différentes ; la Grèce n'y figurait pas. La conclusion défendable est donc seulement que l'état de préparation juridique et technique complet de la Grèce n'était pas confirmé par les sources officielles publiques examinées. Affirmer une impossibilité universelle d'application dépasserait ces sources.

Les questions-réponses non contraignantes de la Commission indiquent que, lorsqu'aucun établissement ou représentant n'a été désigné en raison d'une absence de transposition de la directive, un EPOC ou un EPOC-PR ne peut pas simplement être envoyé directement au fournisseur. Les canaux sécurisés de remplacement prévus à l'article 19, paragraphe 5, répondent à une indisponibilité technique lorsque les acteurs légaux et le destinataire existent ; ils ne réparent ni une absence de compétence ni l'absence de destinataire légal. La décision d'enquête européenne et l'entraide judiciaire restent disponibles.

13. Idées reçues et sources officielles

  • Un EPOC-PR conserve les données ; il ne permet pas à lui seul à une autorité de les lire.
  • Les 8 heures concernent la définition étroite de l'urgence du règlement, pas toute affaire qualifiée d'urgente.
  • Le lieu du serveur n'invalide pas automatiquement une décision, mais il ne supprime pas les garanties matérielles.
  • Le fournisseur peut signaler un problème ; il ne rend pas de décision définitive sur les droits fondamentaux.
  • Le paquet n'impose ni conservation généralisée, ni surveillance en direct, ni obligation générale de déchiffrement.
  • Il ne supprime ni la décision d'enquête européenne, ni l'entraide judiciaire, ni le cadre distinct du Conseil de l'Europe.

Note juridique : Les sources officielles ont été vérifiées le 30 août 2026. Le droit de l'Union contraignant est distingué des orientations non contraignantes de la Commission et de l'inférence prudente relative à l'état de préparation juridique et technique. Cet article ne tranche pas la légalité d'une décision particulière et ne constitue pas un conseil juridique individualisé.