Depuis le 18 août, un juge allemand ou italien peut obtenir en dix jours, voire en huit heures, les données d’un compte hébergé par une plateforme installée ailleurs dans l’Union européenne. Faute de loi de transposition, les magistrats français n’ont pas accès à ce mécanisme européen, et plusieurs d’entre eux interpellent le Gouvernement.
Avec le règlement européen e-Evidence et sa directive, un magistrat peut s’adresser directement à un fournisseur de services établi dans un autre État membre, sans passer par les autorités de cet État. Dans une tribune publiée hier dans Le Monde, Théodore Christakis, professeur de droit du numérique, et les magistrats Frédéric Macé et Jacques Martinon exhortent le Gouvernement à confier cet outil « sans attendre » aux enquêteurs. En évoquant la mort de Lyhanna, retrouvée sans vie dans le Gers le 4 juin à 11 ans, ils rappellent que les enquêteurs doivent souvent recueillir leurs premiers indices en quelques heures, et de plus en plus auprès d’entreprises installées à l’étranger. Leurs homologues allemands et italiens utilisent l’outil européen depuis un mois, alors que les enquêteurs français attendent toujours un cadre légal pour s’en servir.
Une injonction européenne pour remplacer des procédures de plusieurs mois
Dans 85 % des enquêtes pénales, les enquêteurs ont besoin de preuves numériques, et pour plus de la moitié d’entre elles, il faut aller les chercher dans un autre pays, selon les estimations européennes citées par la tribune. « À la suite d’un meurtre, les premières investigations consistent à récupérer tous les supports numériques et faire des réquisitions à tous les opérateurs pour récupérer des indices numériques », a expliqué au Monde la magistrate Myriam Quémener, spécialiste du numérique. Meta a d’ailleurs transmis aux autorités françaises vingt fois plus de données personnelles au premier semestre 2024 que dix ans plus tôt, d’après ses rapports de transparence.
Pour les données détenues hors de France, les magistrats devaient jusqu’ici passer par une demande d’entraide judiciaire ou par une décision d’enquête européenne. La Commission européenne évalue la durée moyenne de la première à dix mois, et celle de la seconde à cent vingt jours au maximum. Les réponses étaient en outre très inégales d’une entreprise à l’autre, et Telegram a longtemps ignoré les réquisitions judiciaires françaises. La messagerie n’a commencé à transmettre des adresses IP d’utilisateurs qu’après la mise en examen de son fondateur Pavel Durov, fin août 2024.
Désormais, un magistrat d'un pays prêt à appliquer le règlement peut adresser une injonction européenne de production au représentant légal d'une plateforme, et ce dernier doit répondre sous dix jours, ou en huit heures en cas d’urgence vitale. Google et Meta, dont le siège européen est installé en Irlande, doivent à leur tour désigner ce représentant. Seul un juge peut en revanche exiger les données de trafic et le contenu des communications, et l’État où est établi le fournisseur peut, dans les cas les plus sensibles, s’opposer à la transmission au nom des droits fondamentaux. La France a voulu ces garde-fous, rappellent les auteurs de la tribune.
La France ne figure toujours pas dans la liste des pays prêts à appliquer e-Evidence
Sur la liste des États membres prêts à émettre ou à recevoir ces injonctions, mise en ligne le 27 août par la Commission européenne, l’Allemagne, l’Italie, l’Irlande et la Suède sont notamment présentes, mais pas la France. Le gouvernement a bien transmis à Bruxelles, le 11 août et avec près d’un an de retard, le nom des autorités judiciaires françaises habilitées à formuler ces demandes. Les trois auteurs reprochent à ce document de confier au procureur les données de trafic et de contenu, sans la validation d'un juge exigée par le règlement, et s’attendent à des refus des fournisseurs. Aucune disposition sur l’émission de ces injonctions n’est par ailleurs inscrite dans le code de procédure pénale, et la chancellerie a passé le règlement sous silence dans sa circulaire du 13 avril adressée aux parquets.
Pour les demandes venues de l’étranger, la directive devait être transposée avant le 18 février et ne l’est toujours pas, si bien qu’aucune autorité française ne peut enregistrer le représentant légal d’une entreprise installée en France. La Commission européenne a mis la France en demeure le 27 mars, avec 21 autres États membres.
En théorie, les magistrats français pourraient adresser leurs demandes à des plateformes établies dans un pays prêt à les recevoir, par courriel, et l'Irlande en fait partie. Sollicité par Le Monde, le ministère de la Justice écarte cette piste et estime qu’un « cadre législatif national reste nécessaire, tant en France que chez de nombreux autres Etats membres, pour cette mise en œuvre ».
Les signataires opposent à cette prudence l’exemple de l'Italie, où deux décrets sont entrés en vigueur en janvier, et de l'Allemagne, qui a publié une loi en mars. Rome a aussi prévu de raccorder ses juridictions au système informatique européen pour quelques centaines de milliers d’euros. « Donner à nos services de police et de justice tous les moyens que le droit européen leur offre ne relève ni de l’idéologie ni du budget. Cela relève de la volonté », écrivent-ils. De son côté, le ministère évoque des travaux interministériels menés « depuis de nombreux mois », sans pouvoir anticiper « une date précise d’achèvement ».
e-Evidence est un dispositif européen qui permet à une autorité judiciaire d’un État membre d’exiger directement des preuves numériques auprès d’un fournisseur de services établi dans un autre État membre. L’outil central est l’injonction européenne de production, qui vise des données liées à un compte (par exemple des informations d’abonné ou des éléments conservés par une plateforme). L’objectif est de remplacer des démarches d’entraide judiciaire souvent longues par une procédure standardisée à l’échelle de l’UE. Les délais imposés au fournisseur sont encadrés : réponse sous 10 jours en règle générale, et jusqu’à 8 heures en cas d’urgence définie par le texte.
Les données d’abonné servent à identifier un compte : nom déclaré, email, numéro de téléphone, moyens de paiement ou informations de création de compte selon le service. Les données de trafic décrivent les métadonnées techniques d’une communication : adresses IP, horodatages, identifiants d’équipement, routes de connexion, sans révéler le message lui-même. Le contenu correspond à ce qui est échangé ou stocké : messages, pièces jointes, photos, enregistrements, etc. Juridiquement, plus on se rapproche du contenu, plus les garanties sont strictes, car l’atteinte à la vie privée est plus forte.
Le mécanisme repose sur un point de contact juridiquement responsable dans l’UE, capable de recevoir les injonctions et d’y répondre dans les délais. Ce représentant (souvent une entité ou un mandataire) évite d’avoir à passer par des canaux diplomatiques ou par l’administration de l’État où se trouve le siège. Il clarifie aussi qui peut être sanctionné en cas de non-réponse ou de réponse tardive. Sans cadre national permettant d’enregistrer et de notifier ces représentants, l’exécution pratique des injonctions devient difficile, même si le règlement existe au niveau européen.
