Règlement e-Evidence et coopération judiciaire pénale : premières observations pour la défense. Par Naguin Zekkouti, Avocat.
A compter du 18 août 2026, un juge d'instruction français peut ordonner directement à un opérateur établi à Dublin, à Amsterdam ou à Luxembourg la production des messages et des données de connexion d'une personne mise en cause, sans qu'aucune autorité judiciaire de l'État où cette donnée est détenue n'ait à en connaître. Ce n'est pas là une simple évolution technique.
Le 18 août 2026, l’Union européenne a mis en place le règlement e-Evidence (UE 2023/1543), qui modifie radicalement la façon dont les preuves pénales numériques circulent entre États membres. Contrairement au système précédent basé sur la coopération entre autorités judiciaires, ce nouveau dispositif permet à une autorité judiciaire d’adresser directement une injonction européenne de production (EPOC) à un fournisseur de services (comme un opérateur de messagerie ou un réseau social), quel que soit son pays d’établissement. Deux types d’injonctions existent : l’EPOC, qui demande la remise de données déjà stockées, et l’EPOC-PR, qui impose une conservation temporaire de données (60 jours, prolongeables de 30 jours) en vue d’une future demande de production. Ce changement marque un tournant car il supprime l’intervention d’une autorité judiciaire étrangère dans le processus, ce qui réduit les possibilités de recours pour les personnes concernées.
Le règlement e-Evidence prévoit plusieurs garanties pour encadrer l’émission des injonctions, mais celles-ci restent formelles et ne concernent pas la qualité des données elles-mêmes. Par exemple, l’injonction doit être émise par une autorité compétente (juge, procureur ou autre autorité validée par un juge) et respecter un seuil d’infraction : pour les données sensibles (contenu ou trafic), l’infraction doit être punie d’au moins 3 ans de prison dans l’État d’émission, sauf pour des infractions spécifiques comme le terrorisme ou la fraude. Le fournisseur dispose de 10 jours pour répondre (8 heures en cas d’urgence, définie strictement). Une garantie concerne aussi le secret professionnel : une injonction ne peut être émise contre un avocat que si ce dernier réside dans l’État d’émission ou si son refus menace l’enquête. Cependant, ces garanties ne portent que sur la régularité de l’ordre, pas sur la manière dont les données ont été collectées ou conservées par le fournisseur.
Avant e-Evidence, les personnes poursuivies pouvaient contester la légalité des preuves obtenues via une décision d’enquête européenne devant les juridictions de l’État où les données étaient stockées. La Cour européenne des droits de l’homme a confirmé en 2024 que ces recours étaient effectifs. Avec le nouveau règlement, ce contrôle disparaît presque entièrement. Les injonctions sont exécutées par des opérateurs privés, et aucun mécanisme n’oblige l’État d’émission à tenir compte d’une contestation réussie dans un autre pays. L’article 18 du règlement prévoit un droit à des recours effectifs, mais uniquement devant les juridictions de l’État d’émission, qui ne peuvent pas examiner les conditions de collecte des données. De plus, l’information des personnes concernées peut être retardée, voire omise, tant que les conditions de la directive sur la protection des données pénales sont respectées.
Face à ce nouveau cadre, la défense pénale doit adopter une stratégie centrée sur l’authenticité et l’intégrité des données, plutôt que sur la régularité de l’injonction. Il est crucial d’exiger du fournisseur des preuves sur la traçabilité de l’extraction des données : qui les a récupérées, avec quelles garanties d’intégrité, et selon quelle chaîne de conservation. En France, l’article 230-3 du Code de procédure pénale impose déjà une attestation de sincérité pour les données techniques, mais rien de tel ne s’applique aux fournisseurs étrangers. La défense doit aussi vérifier systématiquement si une injonction EPOC a été émise dans une affaire, même si celle-ci semble purement nationale. Enfin, elle peut invoquer des motifs exceptionnels de refus si l’exécution de l’injonction risque de violer un droit fondamental, bien que ce seuil soit très élevé.
L’application du règlement *e-Evidence* se heurte à des obstacles concrets. Par exemple, la Commission européenne a adressé des mises en demeure à 22 États membres en mars 2026 pour défaut de transposition d’une directive liée, qui impose aux fournisseurs de désigner un destinataire habilité à recevoir les injonctions. Sans cette désignation, les procédures peuvent être irrégulières. De plus, les délais très courts (10 jours, voire 8 heures) rendent tout débat contradictoire impossible au stade de l’exécution. Pour la défense, cela signifie qu’il faut agir rapidement pour contester la validité des données avant qu’elles ne soient intégrées au dossier. Enfin, le règlement ne prévoit pas de mécanisme pour informer l’État d’émission d’une contestation réussie dans un autre pays, ce qui limite encore les recours disponibles.
