COMMISSION EUROPÉENNE Strasbourg, le 17.4.2018 COM(2018) 225 final 2018/0108(COD) Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale {SEC(2018) 199 final}

{SWD(2018) 118 final}

{SWD(2018) 119 final}



EXPOSÉ DES MOTIFS 1.CONTEXTE DE LA PROPOSITION •Justification et objectifs de la proposition De nos jours, il est devenu banal, dans une grande partie du monde, d'utiliser les médias sociaux, les messageries web et les services et applications de messagerie pour communiquer, travailler, socialiser et obtenir des informations. Ces services permettent à des centaines de millions d’utilisateurs de se connecter entre eux. Ils contribuent considérablement au bien-être économique et social des utilisateurs au sein de l’Union et à l’extérieur. Cependant, ils peuvent aussi être utilisés à mauvais escient pour commettre ou faciliter des actes criminels, y compris des crimes graves tels que des attaques terroristes. Lorsque cela se produit, ces services et applications constituent souvent la seule source d’indices permettant aux enquêteurs d’identifier l'auteur d’un crime et d’obtenir des preuves qui pourront être utilisées devant les juridictions. Étant donné la nature transfrontière de l’internet, il est possible de fournir ces services depuis n’importe quel endroit dans le monde, sans avoir nécessairement besoin d’infrastructure physique, d’entreprise ni de personnel dans les États membres où ils sont proposés ou sur le marché intérieur dans son ensemble. Ils ne requièrent pas non plus de lieu spécifique pour le stockage des données, un lieu que le fournisseur de services choisit généralement sur la base de considérations légitimes telles que la sécurité des données, les économies d’échelle et la rapidité d’accès. Par conséquent, pour un nombre croissant d’affaires pénales portant sur toutes sortes d’actes criminels, les autorités des États membres doivent pouvoir accéder à des données susceptibles de servir de preuves et qui sont stockées à l’extérieur de leurs frontières et/ou par des fournisseurs de services établis dans d’autres États membres ou dans des pays tiers. Pour ces cas où les preuves ou les fournisseurs de services se trouvent à l'étranger, des mécanismes de coopération ont été mis en place entre pays depuis plusieurs dizaines d’années. Malgré de fréquentes réformes, ces mécanismes de coopération sont de plus en plus mis à rude épreuve face à la nécessité grandissante d'accéder rapidement aux preuves électroniques à l'étranger. Plusieurs États membres et pays tiers ont réagi en développant leurs outils nationaux. La fragmentation qui en découle engendre une insécurité juridique et des obligations contradictoires, et soulève des questions relatives à la protection des droits fondamentaux et des garanties procédurales pour les personnes concernées par ce type de demandes. En 2016, le Conseil a réclamé des mesures concrètes fondées sur une approche européenne commune visant à rendre l’entraide judiciaire plus efficace; à améliorer la coopération entre les autorités des États membres et les fournisseurs de services établis dans des pays tiers; et à proposer des solutions au problème que pose la détermination de la compétence d'exécution dans le cyberespace. Le Parlement européen a également souligné les défis que le cadre juridique actuellement fragmenté pose aux fournisseurs de services qui cherchent à se conformer aux demandes des services répressifs, et a préconisé un cadre juridique européen garantissant les droits et les libertés de toutes les parties concernées. La présente proposition cible le problème spécifique que posent la nature volatile des preuves électroniques et leur dimension internationale. Elle vise à adapter les mécanismes de coopération à l’ère numérique en fournissant les outils judiciaires et répressifs nécessaires pour tenir compte des modes de communication actuels des criminels et pour lutter contre les formes modernes de criminalité. De tels outils sont subordonnés à l'existence de solides mécanismes de protection des droits fondamentaux. La présente proposition vise à renforcer la sécurité juridique pour les autorités, les fournisseurs de services et les personnes concernées et à maintenir un niveau de qualité élevé pour les demandes des services répressifs, en garantissant la protection des droits fondamentaux, la transparence et l'obligation de rendre des comptes. Elle accélère également le processus pour recueillir et obtenir des preuves électroniques qui sont stockées et/ou détenues par des fournisseurs de services établis dans une autre juridiction. Cet instrument coexistera avec les instruments actuels de coopération judiciaire qui sont toujours pertinents et pourra le cas échéant être utilisé par les autorités compétentes. Parallèlement, la Commission s'efforce de renforcer les mécanismes de coopération judiciaire existants à l’aide de mesures telles que la création d’une plateforme sûre pour échanger rapidement les demandes entre les autorités judiciaires au sein de l’UE, et un investissement d’un million d’euros pour former des praticiens de tous les États membres de l’UE à l’entraide et à la coopération judiciaires, qui mettent l’accent sur les États-Unis (le troisième pays recevant le plus grand nombre de demandes émises par l’UE). Les autorités doivent pouvoir s'appuyer sur le représentant légal désigné par les fournisseurs de services pour la signification et l'exécution des décisions au titre du présent instrument. La Commission présente ce jour une proposition pour s’assurer que ces représentants légaux soient effectivement désignés. Elle prévoit une solution commune à l’échelle de l’Union pour remettre les décisions de justice aux fournisseurs de services par l’intermédiaire d’un représentant légal. •Cohérence par rapport au cadre juridique de l’UE dans le domaine d'action et par rapport à la convention de Budapest du Conseil de l’Europe Le cadre juridique actuel de l’UE se compose des instruments de coopération de l’Union en matière pénale, tels que la directive 2014/41/UE concernant la décision d’enquête européenne en matière pénale, la convention relative à l’entraide judiciaire en matière pénale entre les États membres de l’Union européenne, la décision 2002/187/JAI du Conseil instituant Eurojust, le règlement (UE) 2016/794 relatif à Europol, la décision-cadre 2002/465/JAI du Conseil relative aux équipes communes d’enquête, ainsi que les accords bilatéraux entre l’Union et les pays tiers, tels que l’accord sur l’entraide judiciaire entre l’Union européenne et les États-Unis et celui entre l’Union et le Japon. Par l’introduction d’injonctions européennes de production et de conservation, la proposition contribue à simplifier l’obtention et la collecte, dans le cadre de procédures pénales, des preuves électroniques qui sont stockées ou détenues par des fournisseurs de services relevant d’une autre juridiction. La directive concernant la décision d’enquête européenne en matière pénale, qui remplace dans une large mesure la convention relative à l’entraide judiciaire en matière pénale, couvre toutes les mesures d’enquête, y compris l’accès aux preuves électroniques, mais ne contient aucune disposition spécifique à ce type de preuves. Le nouvel instrument ne remplacera pas la directive concernant la décision d’enquête européenne en ce qui concerne l’obtention de preuves électroniques, mais fournit un outil supplémentaire aux autorités. Par exemple, dans certaines situations qui requièrent la mise en œuvre de plusieurs mesures d’enquête dans l’État membre chargé de la mise en œuvre, les autorités pourraient choisir prioritairement de recourir à la décision d’enquête européenne. Il est préférable de créer un nouvel instrument pour les preuves électroniques plutôt que de modifier la directive concernant la décision d’enquête européenne en raison des difficultés spécifiques inhérentes à l’obtention des preuves électroniques qui n'ont pas d'incidence sur les autres mesures d’enquête prévues par la directive. Le nouvel instrument s’appuiera sur les principes de reconnaissance mutuelle afin de faciliter la collecte transfrontière des preuves électroniques. Aucune autorité dans le pays de résidence du destinataire de l'injonction ne devra procéder directement à sa signification ni à son exécution, excepté en cas de non-conformité, auquel cas des mesures de mise en œuvre devront être prises et l’intervention de l’autorité compétente dans le pays où est établi le représentant sera nécessaire. L’instrument requiert par conséquent un ensemble de garanties et de dispositions solides, telles que la validation par une autorité judiciaire dans chaque cas. Par exemple, les injonctions européennes de production de données relatives aux transactions ou au contenu (contrairement aux données relatives aux abonnés et aux données relatives à l'accès) ne peuvent être émises que pour les infractions pénales passibles dans l’État d’émission d’une peine privative de liberté d’une durée maximale d’au moins trois ans, ou pour les infractions purement informatiques, relevant de la cybercriminalité ou liées au terrorisme telles que visées dans la proposition. Les données personnelles couvertes par cette proposition sont protégées et ne peuvent être traitées qu’en accord avec le règlement général sur la protection des données (RGPD) et la directive sur la protection des données destinées aux autorités policières et judiciaires pénales (directive relative à la protection des données dans un contexte répressif). Le RGPD entrera en application le 25 mai 2018, tandis que la directive relative à la protection des données dans un contexte répressif devra être transposée par les États membres pour le 6 mai 2018. La convention du Conseil de l’Europe sur la cybercriminalité (convention de Budapest, CETS n° 185), ratifiée par la plupart des États membres de l’UE, établit des mécanismes internationaux de coopération dans la lutte contre la cybercriminalité. Cette convention traite des crimes commis au moyen de l’internet et d’autres réseaux informatiques. Elle impose aussi aux parties d’établir les compétences et les procédures pour l'obtention des preuves électroniques et de s’assurer une entraide judiciaire non limitée à la cybercriminalité. La convention requiert notamment des parties d'établir des injonctions de production pour l’obtention de données informatiques auprès des fournisseurs de services établis sur leur territoire, et pour l’obtention des données relatives aux abonnés auprès de fournisseurs de services actifs sur leur territoire. En outre, la convention prévoit des injonctions de conservation lorsqu’il y a lieu de penser que les données informatiques sont particulièrement vulnérables à la perte ou aux modifications. La signification et l’application des injonctions nationales de production émises contre des fournisseurs établis en dehors du territoire d’une partie à la convention soulèvent d’autres questions. À cet égard, des mesures supplémentaires visant à améliorer l’accès transfrontière aux preuves électroniques sont actuellement à l'examen. •Résumé de la proposition de règlement La proposition de règlement introduit des injonctions européennes de production et de conservation contraignantes. Les deux injonctions doivent être émises ou validées par une autorité judiciaire d’un État membre. Une injonction peut être émise pour conserver ou produire des données stockées par un fournisseur de services situé dans une autre juridiction, et qui doivent servir de preuves dans le cadre d’enquêtes judiciaires ou de procédures pénales. Ces injonctions ne peuvent être émises que s’il existe une mesure similaire pour la même infraction pénale dans une situation nationale comparable dans l’État d’émission. Les deux injonctions peuvent être signifiées aux fournisseurs de services de communications électroniques, réseaux sociaux, marchés en ligne, autres fournisseurs de services d’hébergement et fournisseurs d’infrastructures internet comme les registres d’adresses IP et de noms de domaine, ou à leurs représentants légaux le cas échéant. L’injonction européenne de conservation, à l’instar de l’injonction de production, est adressée au représentant légal hors de la juridiction de l’État membre d’émission afin de conserver les données en vue d’une demande ultérieure de production desdites données, par exemple au moyen des canaux d’entraide judiciaire dans le cas de pays tiers ou d’une décision d’enquête européenne entre des États membres participants. Contrairement aux mesures de surveillance ou aux obligations de conservation des données établies par la loi, lesquelles ne sont pas couvertes par le présent règlement, l’injonction européenne de conservation est une injonction émise ou validée par une autorité judiciaire dans le cadre d’une procédure pénale concrète, après évaluation de la proportionnalité et de la nécessité dans chaque cas particulier. À l’instar de l’injonction européenne de production, elle vise les auteurs connus ou inconnus d’une infraction pénale déjà commise. L’injonction européenne de conservation permet uniquement de conserver des données déjà stockées au moment de la réception de l’injonction, et non d’accéder aux données à une date postérieure à la réception. Les deux injonctions ne peuvent servir que dans le cadre de procédures pénales, depuis la phase d'instruction préalable au procès jusqu’à la clôture de la procédure par voie de jugement ou d’une autre décision. Les injonctions de production de données relatives aux abonnés et de données relatives à l’accès peuvent être émises pour toutes les infractions pénales, tandis que les injonctions de production de données relatives aux transactions ou au contenu ne peuvent être émises que pour les infractions pénales passibles dans l’État d’émission d’une peine privative de liberté d’une durée maximale d’au moins trois ans ou pour les infractions spécifiques visées par la proposition, et lorsqu’il existe un lien particulier avec les outils et infractions électroniques visés par la directive 2017/541/UE relative à la lutte contre le terrorisme.

Compte tenu du caractère intrusif, à des degrés divers, des mesures imposées concernant les données requises, la proposition établit plusieurs conditions et garanties. Celles-ci comportent notamment l’obligation d’obtenir la validation préalable des injonctions par une autorité judiciaire. La proposition ne concerne que les données stockées. Elle ne couvre pas l’interception des télécommunications en temps réel. La mesure se limite aux données nécessaires et proportionnées aux fins des procédures pénales concernées. Elle permet également aux fournisseurs de services d’obtenir des éclaircissements auprès des autorités d’émission, le cas échéant. S’il est impossible de résoudre les problèmes et si l’autorité d’émission décide de prendre des mesures répressives, les fournisseurs de services peuvent avancer les mêmes motifs pour s’opposer à la mise en œuvre de ces mesures par leurs propres autorités. De plus, une procédure spécifique est prévue dans les cas où l’obligation de fournir des données est contraire à une obligation découlant de la législation d’un pays tiers. La législation européenne protège les droits des suspects et des personnes poursuivies dans le cadre d'une procédure pénale, et des règles existent déjà pour assurer la protection des données à caractère personnel. Cependant, pour les personnes dont les données sont requises, les garanties supplémentaires contenues dans la proposition prévoient des droits procéduraux en leur faveur dans le cadre ou non de la procédure pénale. Ces droits comprennent la possibilité de contester la légalité, la nécessité ou la proportionnalité de l’injonction sans restriction des motifs de récusation conformément à la législation nationale. Le plein respect des droits au titre de la législation de l’État chargé de la mise en œuvre est assuré par la prise en considération, par l’État d’émission, des immunités et privilèges protégeant les données requises dans l’État membre du fournisseur de services. Cela vaut tout particulièrement dans le cas où ces immunités et privilèges assurent une meilleure protection que la législation de l’État d’émission. Les injonctions au titre du règlement proposé sont applicables aux mêmes conditions que les injonctions nationales comparables dans la juridiction où le fournisseur de services reçoit l’injonction. Le règlement prévoit que les États membres mettent en place des sanctions efficaces et proportionnées. 2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ •Base juridique La base juridique de l’action menée dans ce domaine est constituée par l’article 82, paragraphe 1, du traité sur le fonctionnement de l’Union européenne (traité FUE). L’article 82, paragraphe 1, prévoit que des mesures peuvent être adoptées conformément à la procédure législative ordinaire afin d’établir des règles et procédures pour assurer la reconnaissance de toutes les formes de jugements et de décisions judiciaires dans l'ensemble de l’Union. Des mesures peuvent également être adoptées afin de faciliter la coopération entre les autorités judiciaires ou équivalentes des États membres dans le cadre des poursuites pénales et de l'exécution des décisions. Cette base juridique s’applique aux mécanismes couverts par le présent règlement. L’article 82, paragraphe 1, assure la reconnaissance mutuelle des décisions adoptées par une autorité judiciaire dans l’État d’émission à l'égard d'une personne morale dans un autre État membre, voire même lui imposant des obligations, sans l’intervention préalable d’une autorité judiciaire dans cet autre État membre. L’injonction européenne de production ou de conservation peut conduire si nécessaire à l’intervention d’une autorité judiciaire de l’État chargé de la mise en œuvre pour faire appliquer la décision. •Choix de l’instrument L’article 82, paragraphe 1, du traité FUE offre la possibilité au législateur de l’Union d’adopter des règlements et des directives. Étant donné que que la proposition concerne des procédures transfrontières exigeant des règles uniformes, il est inutile de laisser une marge aux États membres pour transposer ces règles. Un règlement est directement applicable, est gage de clarté et de sécurité juridique renforcée, et évite les interprétations divergentes par les États membres et d’autres problèmes de transposition rencontrés avec les décisions-cadres relatives à la reconnaissance mutuelle des jugements et décisions judiciaires. En outre, un règlement permet d’imposer une même obligation uniformément au sein de l’Union. Par conséquent, la forme jugée la plus appropriée pour cet instrument de reconnaissance mutuelle est celle du règlement. •Subsidiarité Compte tenu de la dimension transfrontière des problèmes abordés, les mesures prévues dans la proposition doivent être adoptées au niveau de l’Union afin d’atteindre les objectifs visés. Les infractions pour lesquelles il existe des preuves électroniques sont souvent commises lorsque l’infrastructure de stockage des preuves électroniques et le fournisseur de services exploitant ladite infrastructure relèvent d'un cadre juridique national différent, au sein ou en dehors de l’Union, de celui de la victime ou de l’auteur de l’infraction. Par conséquent, accéder effectivement à des preuves électroniques hors de ses frontières peut s’avérer long et complexe pour le pays compétent en l'absence de règles communes minimales. Les États membres agissant isolément rencontreraient des difficultés pour relever notamment les défis suivants: ·la fragmentation des cadres juridiques au sein des États membres, reconnue comme un problème majeur par les fournisseurs de services cherchant à se conformer aux demandes basées sur différentes lois nationales; ·une coopération judiciaire plus rapide sur la base de la législation européenne existante, notamment au moyen de la décision d’enquête européenne. En raison de la diversité des approches juridiques, du nombre de domaines concernés (sécurité, droits fondamentaux y compris droits procéduraux et protection des données à caractère personnel, questions économiques), et du large éventail d’intervenants, une législation à l’échelle de l’Union constitue le meilleur moyen de remédier aux problèmes constatés. •Proportionnalité La proposition énonce des règles permettant à une autorité compétente de l’Union d’imposer à un fournisseur de services exerçant ses activités dans l’Union mais établi dans un autre État membre de produire ou de conserver des preuves électroniques. Les caractéristiques clés de la proposition — à savoir le champ d’application matériel de l’injonction européenne de production, les conditions pour garantir la courtoisie, le mécanisme de sanction et le système de garanties et de recours légaux — limitent celle-ci au strict nécessaire pour atteindre ses principaux objectifs. La proposition se limite notamment aux demandes de données stockées (les données issues de l’interception en temps réel des télécommunications ne sont pas couvertes) et aux injonctions émises dans le cadre de procédures pénales pour une infraction pénale spécifique faisant l’objet d’une enquête en cours. Elle ne couvre donc pas la prévention de la criminalité ni d’autres types de procédures ou d’infractions (telles que des procédures administratives pour infractions aux règles de droit) et n’impose pas aux fournisseurs de recueillir et de conserver systématiquement plus de données que celles nécessaires pour des motifs commerciaux ou de conformité avec d’autres exigences légales. En outre, alors que les injonctions de production de données relatives aux abonnés et de données relatives à l’accès peuvent être émises pour toutes les infractions pénales, les injonctions de production de données relatives aux transactions ou au contenu ne peuvent être émises que pour les infractions pénales passibles dans l’État d’émission d’une peine privative de liberté d’une durée maximale d’au moins trois ans, ou pour les infractions purement informatiques, relevant de la cybercriminalité ou liées au terrorisme définies dans la proposition. Enfin, la proposition clarifie les règles et garanties de procédure applicables en matière d’accès transfrontière aux preuves électroniques, sans aller jusqu'à exiger une harmonisation des mesures nationales. Elle se limite à ce qui est nécessaire et proportionné pour satisfaire aux besoins des services répressifs et des autorités judiciaires à l’ère numérique. 3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT •Consultation des parties intéressées Pendant un an et demi, la Commission a consulté tous les intervenants concernés afin de déceler les problèmes et aller de l’avant. Elle a procédé à l’aide d’enquêtes, allant des consultations publiques ouvertes aux enquêtes ciblées auprès des autorités publiques concernées. Des réunions de groupes d’experts et des réunions bilatérales ont également été organisées pour examiner les effets potentiels de la législation de l’Union. Des conférences consacrées à l’accès transfrontière aux preuves électroniques ont quant à elles permis de recueillir des avis sur cette initiative.

Dans l’ensemble, les personnes interrogées ont jugé l’utilisation croissante des services d’information problématique en matière d’application de la loi, étant donné le manque général de moyens des autorités compétentes pour traiter les preuves en ligne. Le processus fastidieux d’obtention des preuves est également considéré comme l’un des principaux obstacles. Les autres problèmes majeurs mis en avant par les autorités publiques comprennent notamment le manque de coopération fiable avec les fournisseurs de services, le manque de transparence et l’insécurité juridique liée aux compétences relatives aux moyens d’investigation. Une coopération transfrontière directe entre les services répressifs et les fournisseurs de services numériques devrait contribuer à faciliter les enquêtes judiciaires. Les fournisseurs de services et certaines organisations de la société civile ont témoigné de la nécessité d’assurer la sécurité juridique en cas de coopération avec les autorités publiques et d’éviter les conflits de lois. Pour ce qui est des inquiétudes relatives aux conséquences que la nouvelle législation de l’UE pourrait avoir sur les droits, les parties intéressées ont estimé nécessaire l’application de garanties spécifiques pour tout instrument transfrontière. Les avis recueillis lors de l’analyse d’impact initiale indiquaient que selon les parties intéressées, combler les lacunes du système actuel d’entraide judiciaire améliorerait son efficacité et la sécurité juridique. Certaines organisations de la société civile se sont opposées à la coopération directe prévue par la législation de l’Union. Elles préféraient limiter l’action de l’Union à l’amélioration des procédures d’entraide juridique. Cette idée sera développée dans le cadre des mesures pratiques approuvées par le Conseil en juin 2016. Une enquête ciblant les autorités publiques dans les États membres a révélé l’absence d’approche commune pour l’obtention d’un accès transfrontière aux preuves électroniques, étant donné que chaque État membre suit ses propres pratiques internes. De même, les fournisseurs de services réagissent différemment aux demandes émises par les services répressifs étrangers, et les temps de réponse varient selon l’État membre à l’origine de la demande. Cette situation est source d’insécurité juridique pour toutes les parties intéressées impliquées. La consultation des parties intéressées a, de manière générale, révélé que le cadre juridique actuel est fragmenté et complexe. Cela peut entraîner des retards lors de la phase d’exécution, et compromettre l’efficacité des enquêtes et poursuites judiciaires nécessitant l’accès transfrontière à des preuves électroniques. •Analyse d’impact Le comité d’examen de la réglementation a émis un avis favorable sur l’analyse d’impact appuyant la présente proposition ainsi que diverses suggestions pour l’améliorer. À la suite de cet avis, l’analyse d’impact a été modifiée pour traiter davantage les questions de droits fondamentaux liées au partage transfrontière de données, notamment les liens entre les diverses mesures constituant l’option retenue. Des modifications ont également été apportées afin que l’analyse reflète mieux les opinions des parties intéressées et des États membres ainsi que la façon dont elles ont été prises en considération. De plus, le contexte stratégique a été revu pour inclure des références supplémentaires aux divers aspects tels que des discussions de groupes d’experts qui ont contribué à donner forme à l’initiative. La complémentarité des différentes mesures (notamment la directive relative à la décision d’enquête européenne, les négociations concernant un protocole additionnel à la convention de Budapest et l’examen conjoint de l’accord d’entraide judiciaire entre l’Union européenne et les États-Unis) a été mieux définie en termes de champ d’application, de calendrier et de portée, et le scénario de base a été corrigé pour mieux refléter les développements susceptibles de se produire indépendamment de l’adoption des mesures proposées. Pour conclure, des ordinogrammes ont été ajoutés afin de mieux décrire les processus de partage de données. Quatre options principales ont été envisagées en plus du scénario de base (option O): plusieurs mesures pratiques visant à améliorer à la fois les procédures de coopération judiciaire et la coopération directe entre les autorités publiques et les fournisseurs de services (option A: non législative); une option combinant les mesures pratiques de l’option A avec des solutions internationales à un niveau bilatéral ou multilatéral (option B: législative); une option combinant les mesures prévues par l’option B avec une injonction européenne de production et une mesure visant à améliorer l’accès aux bases de données pour répondre aux demandes d’informations relatives aux abonnés, par exemple la base WHOIS de noms de domaine (option C: législative); et une option combinant toutes les mesures précédentes prévues par l’option C avec une législation encadrant l’accès direct aux données conservées à distance (option D: législative). Si aucune mesure n’est prise (option O), le nombre croissant de demandes rendra la situation encore pire. Toutes les autres options contribuent à atteindre les objectifs visés par l’initiative, mais à des degrés divers. L’option A permettrait d’améliorer l’efficacité des processus actuels, par exemple en améliorant la qualité des demandes, mais selon une marge qui serait limitée par les lacunes structurelles du système actuel. L’option B garantirait davantage d’améliorations grâce à des solutions acceptées à l’échelle internationale, mais dont les résultats dépendraient largement des pays tiers. Il est donc peu probable que ces solutions incertaines soient efficaces et offrent autant de garanties qu’une solution à l’échelle de l’Union. L’option C apporte une valeur ajoutée évidente par rapport aux options précédentes en prévoyant également à l’intérieur de l’Union un instrument de coopération directe avec les fournisseurs de services comme solution à la plupart des problèmes rencontrés lorsqu’un fournisseur de services détient les données concernées. L’option D constitue la solution la plus complète. Outre les mesures précédentes, elle prévoit une mesure législative d’accès direct lorsque la contribution d’un fournisseur de services n’est pas nécessaire. La présente initiative législative que propose la Commission est fondée sur les conclusions de l’analyse d’impact. Cet acte législatif sera complété par des mesures pratiques décrites dans l’analyse d’impact et par des travaux constants visant à créer un protocole additionnel à la convention de Budapest. Sur la base de sa proposition législative, la Commission examinera également avec les États-Unis et d’autres pays tiers la possibilité de conclure ultérieurement des accords bilatéraux ou multilatéraux concernant l’accès transfrontière à des preuves électroniques intégrant les garanties nécessaires. Pour les mesures d’accès direct et d’accès à des bases de données dont il est question dans l’option D, la Commission n’a proposé aucun acte législatif pour le moment, mais se penchera plus tard sur le meilleur moyen de régler ces deux questions. L’initiative devrait donner lieu à des enquêtes et poursuites plus efficaces tout en améliorant la transparence et l'obligation de rendre compte, ainsi que le respect des droits fondamentaux. Elle devrait également renforcer la confiance dans le marché numérique unique en renforçant la sécurité et en réduisant le sentiment d’impunité des crimes commis sur ou au moyen de dispositifs en réseau. Il est prévu que cette initiative génère des coûts initiaux de mise en œuvre pour les autorités publiques, lesquels seront compensés à long terme par les économies au niveau des coûts récurrents. Les autorités nationales devront s’adapter aux nouvelles procédures et suivre des formations. Cependant, elles pourront ensuite bénéficier de l’harmonisation et de la centralisation d’un cadre juridique plus clair régissant les demandes d’accès aux données, qui permettront de gagner en efficacité. De même, puisque l’option retenue soulagerait la pression subie par les canaux de coopération judiciaire, les pays destinataires des demandes devraient constater une diminution du nombre de demandes à traiter. Les fournisseurs de services devront s’adapter à un nouveau cadre législatif par la mise en place de (nouvelles) procédures et la formation de leur personnel. En revanche, un cadre harmonisé pourrait réduire la charge de ces fournisseurs qui répondent actuellement aux demandes de données hors contenu et doivent les analyser en tenant compte des différentes législations de tous les États membres. La sécurité juridique et la normalisation des procédures devraient aussi avoir une incidence positive sur les petites et moyennes entreprises en allégeant la charge administrative et en favorisant la concurrence. De manière générale, cette initiative devrait également leur permettre de faire des économies. •Droits fondamentaux La proposition risquerait éventuellement de compromettre plusieurs droits fondamentaux: ·les droits des personnes dont les données sont consultées: le droit à la protection des données à caractère personnel; le droit au respect de la vie privée et familiale; le droit à la liberté d’expression; les droits de la défense; le droit à un recours effectif et à accéder à un tribunal impartial; ·les droits du fournisseur de services: le droit à la liberté d’entreprise; le droit à un recours effectif; ·les droits de tous les citoyens: le droit à la liberté et à la sûreté.

Compte tenu de l’acquis en matière de protection des données, des garanties suffisantes et considérables ont été ajoutées à la proposition de règlement afin d’assurer la protection des droits de ces personnes. Vu que les injonctions ne peuvent être émises que dans le cadre de procédures pénales et à condition que des situations comparables existent au niveau national, tant lors de la phase préalable au procès que durant le procès, toutes les garanties procédurales en matière de droit pénal sont applicables. Ces garanties comprennent notamment le droit à accéder à un tribunal impartial consacré à l’article 6 de la CEDH et aux articles 47 et 48 de la Charte des droits fondamentaux. Elles comprennent aussi la législation correspondante à l’échelle de l’Union sur les droits procéduraux en matière de procédures pénales: la directive 2010/64/UE relative au droit à l’interprétation et à la traduction dans le cadre des procédures pénales, la directive 2012/13/UE relative au droit aux informations relatives aux droits et à l’accusation et à l’accès au dossier de l’affaire, la directive 2013/48/UE relative au droit d’accès à un avocat dans le cadre des procédures pénales et au droit à la communication avec les proches lors de l’arrestation et de la détention, la directive 2016/343 portant renforcement de certains aspects de la présomption d’innocence et du droit d’assister à son procès, la directive 2016/800 relative à la mise en place de garanties procédurales en faveur des enfants et la directive 2016/1919 concernant l’aide juridictionnelle pour les suspects et les personnes poursuivies dans le cadre des procédures pénales et pour les personnes dont la remise est demandée dans le cadre des procédures relatives au mandat d’arrêt européen. Plus particulièrement, l’intervention préalable d’une autorité judiciaire lors de l’émission d’une injonction garantit que la légalité de la mesure, ainsi que sa nécessité et sa proportionnalité par rapport à l'affaire en cause ont été vérifiées. Elle permet également d’éviter que l’injonction n’empiète indûment sur les droits fondamentaux, y compris les effets de principes de droit tels que le privilège des confidences à l’avocat. L’autorité d’émission doit s’assurer dans chaque cas que la mesure est nécessaire et proportionnée, notamment au vu de la gravité de l’infraction faisant l’objet de l’enquête. La proposition prévoit également des seuils pour les données relatives aux transactions et au contenu afin que l’injonction européenne de production ne soit utilisée que pour les formes d’infractions les plus graves par rapport auxdites données. De plus, la proposition aborde explicitement le droit à un recours effectif pour les personnes dont les données sont requises. Les immunités et les privilèges liés à certaines professions, par exemple celle d'avocat, ainsi que les intérêts fondamentaux de sécurité ou de défense nationales dans l’État du destinataire doivent aussi être pris en considération lors du procès dans l’État d’émission. L’examen par une autorité judiciaire constitue ici une garantie supplémentaire. L’injonction représentant une mesure contraignante, elle influence également les droits des fournisseurs de services, notamment leur liberté d’entreprise. La proposition reconnaît au fournisseur de services le droit de soulever certaines revendications dans l’État membre d’émission, par exemple dans le cas où l’injonction n’a pas été émise ou validée par une autorité judiciaire. Si l’injonction est renvoyée pour application à l’État chargé de la mise en œuvre, l’autorité chargée de la mise en œuvre peut décider de ne pas reconnaître ou de ne pas mettre en œuvre l’injonction si des motifs limités de refus apparaissent au moment de sa réception, et après consultation de l’autorité d’émission. En outre, si la procédure de mise en œuvre est tout de même lancée, le destinataire peut lui-même s’opposer à l’injonction devant l’autorité chargée de la mise en œuvre sur la base de ces motifs limités. Sont notamment concernés les cas où il apparaît que l’injonction n’est pas émise ou validée par une autorité compétente, ou si son application constitue une violation manifeste de la Charte ou est clairement abusive. Cela n’exclut pas le droit du destinataire à un recours judiciaire effectif contre une décision imposant une sanction. Le problème que les mesures de l’UE pourraient poser dans ce domaine est la possibilité que des pays tiers introduisent des obligations réciproques pour les fournisseurs de services qui manqueraient de cohérence avec les conditions de l’Union relatives aux droits fondamentaux, notamment le niveau élevé de protection des données garanti par l’acquis de l’Union. La proposition résout ce problème de deux façons: premièrement, en définissant une mesure qui prévoit de solides garanties et des références explicites aux conditions et garanties déjà inhérentes à l’acquis de l’UE, et qui pourra servir de modèle pour les législations étrangères; et deuxièmement, en ajoutant une clause spécifique pour les «obligations contradictoires» qui permettrait aux fournisseurs de services de repérer et signaler les obligations contradictoires auxquelles ils font face, et de solliciter un contrôle juridictionnel. Cette clause vise à garantir le respect des lois générales de blocage, par exemple l’Electronic Communications Privacy Act américain (loi sur la confidentialité des communications électroniques, ECPA) qui interdit la divulgation de données relatives au contenu dans sa zone géographique excepté dans des circonstances limitées, ainsi que des lois qui n’interdisent pas la divulgation de manière générale mais peuvent le faire dans certains cas particuliers. Pour les affaires relevant de l’ECPA, l’accès aux données relatives au contenu peut actuellement être interdit dans certaines situations, et l’entraide judiciaire constituera donc l’outil principal pour accéder à ces données. Cependant, en raison des modifications découlant de l’adoption du CLOUD Act américain — la loi visant à clarifier l’utilisation légale des données à l’étranger — un accord entre l’UE et les États-Unis permettrait de suspendre la loi de blocage. Des accords internationaux supplémentaires avec d’autres partenaires clés permettraient de réduire davantage les situations de conflit de lois. Compte tenu de ce qui précède, les mesures avancées dans cette proposition sont compatibles avec les droits fondamentaux. 4.INCIDENCE BUDGÉTAIRE La proposition législative de règlement n’a aucune influence sur le budget de l’Union. 5.AUTRES ÉLÉMENTS •Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information Le règlement est directement applicable au sein de l’Union. Il sera appliqué directement par les praticiens sans aucune modification des systèmes juridiques internes. Le règlement sera soumis à évaluation et la Commission soumettra un rapport au Parlement européen et au Conseil au plus tard cinq ans après son entrée en vigueur. Sur la base des conclusions du rapport, notamment sur les vides éventuellement laissés par le règlement dans la pratique, et eu égard aux progrès technologiques, la Commission évaluera la nécessité d’élargir son champ d’application. S’il y a lieu, la Commission présentera des propositions visant à adapter le présent règlement. Les États membres fourniront à la Commission les informations nécessaires à l’établissement du rapport. Les États membres compileront les données nécessaires au contrôle annuel de l’application du règlement. Le cas échéant, la Commission fournira des recommandations aux fournisseurs de services qui cherchent à se conformer à leurs obligations au titre du règlement. •Explication détaillée des différentes dispositions de la proposition RÈGLEMENT Article Considérant I. Objet, définitions et champ d’application 1. Objet 1-15 2. Définitions 16-23 3. Champ d’application 24-27 II. Injonction européenne de production, injonction européenne de conservation et certificats, représentant légal 4. Autorité d’émission 30 5. Conditions d’émission d’une injonction européenne de production 28-29, 31-35 6. Conditions d’émission d’une injonction européenne de conservation 36 7. Destinataire d’une injonction européenne de production et d’une injonction européenne de conservation 37 8. Certificat d’injonction européenne de production et certificat d’injonction européenne de conservation 38-39 9. Exécution d’un EPOC 40-41 10. Exécution d’un EPOC-PR 42 11. Confidentialité et information de l’utilisateur 43 12. Remboursement des frais Néant III. Sanctions et exécution 13. Sanctions Néant 14. Procédure de mise en œuvre 44-45, 55 IV. Voies de recours 15. et 16. Procédure de réexamen en cas d’obligations contradictoires découlant de la législation d’un pays tiers 47-53 17. Recours effectifs 54 18. Garantie des privilèges et des immunités en vertu du droit de l’État chargé de la mise en œuvre 35 V. Dispositions finales 19. Suivi et rapports 58 20. Modifications des certificats et des formulaires 59-60 21. Exercice de la délégation 60 22. Notifications Néant 23. Rapport avec les décisions d’enquête européennes 61 24. Évaluation 62 25. Entrée en vigueur Néant

Le présent article établit le champ d’application général et le but de la proposition, à savoir fixer les règles en vertu desquelles une autorité judiciaire compétente au sein de l’Union européenne peut imposer à un fournisseur de services actif dans l’Union de produire ou de conserver des preuves électroniques au moyen d’une injonction européenne de production ou de conservation. Ces instruments ne peuvent être utilisés que dans des situations transfrontières, c’est-à-dire lorsque le fournisseur de services est établi ou représenté dans un autre État membre. Le règlement fournit des outils supplémentaires aux autorités chargées des enquêtes pour obtenir des preuves électroniques sans limiter les pouvoirs déjà prévus par la législation nationale pour contraindre les fournisseurs de services établis ou représentés sur leur territoire. Si le fournisseur de services est établi ou représenté dans le même État membre, les autorités de cet État membre ont alors recours à des mesures nationales pour contraindre le fournisseur. Les données requises au moyen d’une injonction européenne de production doivent être transmises directement aux autorités sans l’intervention des autorités de l’État membre où est établi ou représenté le fournisseur de services. Le règlement abandonne également la localisation des données comme facteur de connexion déterminant, étant donné que le stockage n’implique aucun contrôle de la part de l’État au sein duquel les données sont stockées. Les conditions de stockage des données sont généralement déterminées par le fournisseur sur la base de considérations commerciales. De plus, le règlement s’applique également si les fournisseurs de services ne sont pas établis ou représentés au sein de l’Union mais y proposent pourtant leurs services. Cette disposition se retrouve à l’article 3, paragraphe 1. Lorsque la proposition fait référence à un fournisseur de services établi ou représenté dans un État membre par un représentant légal désigné, le seul fait de désigner un représentant légal ne revient pas à créer un établissement du fournisseur de services aux fins du présent règlement. L’article premier, paragraphe 2, n’a pas pour effet de modifier l’obligation de respecter les droits fondamentaux et les principes juridiques consacrés par l’article 6 du traité sur l’Union européenne. Article 2: Définitions Cet article établit les définitions pour tout l’instrument. Les types suivants de fournisseurs de services entrent dans le champ d’application du règlement: les fournisseurs de services de communications électroniques, les fournisseurs de services de sociétés d’informations pour qui le stockage de données est un composant déterminant du service fourni à l’utilisateur, y compris les réseaux sociaux dans la mesure où ils ne sont pas considérés comme des services de communications électroniques, les marchés en ligne permettant des transactions entre leurs utilisateurs (consommateurs ou entreprises) et les autres fournisseurs de services d’hébergement, ainsi que les fournisseurs de services de noms de domaine et de numérotation internet. Le champ d’application du règlement couvre les fournisseurs de services de communications électroniques au sens de [la directive établissant le code des communications électroniques européen]. Concernant les services traditionnels de télécommunications, les particuliers et entreprises recourent de plus en plus, pour leurs communications interpersonnelles, à de nouveaux services sur l’internet, comme la voix sur IP, la messagerie instantanée et le courrier électronique web, en lieu et place des services de communication traditionnels. Ces services, ainsi que les réseaux sociaux tels Twitter et Facebook, sur lesquels les utilisateurs partagent du contenu, devraient donc aussi être couverts par cette proposition. Dans de nombreux cas, les données ne sont plus stockées ou traitées sur le dispositif d’un utilisateur, mais rendues disponibles sur une infrastructure en nuage pour un accès à partir de n’importe quel endroit. Les fournisseurs de services n’ont pas besoin d’être établis ni de disposer de serveurs dans chaque juridiction, et se contentent d’une administration centralisée avec des systèmes décentralisés pour stocker les données et fournir leurs services. Ils procèdent de la sorte afin d’optimiser la répartition des charges et de réduire les délais de réponse aux demandes de données soumises par les utilisateurs. Les réseaux de diffusion de contenu (CDN) sont généralement déployés pour accélérer la diffusion de contenu en le copiant sur plusieurs serveurs répartis partout dans le monde. Les sociétés peuvent ainsi fournir du contenu à partir du serveur le plus proche de l’utilisateur ou capable d’acheminer la communication à travers le réseau le moins congestionné. Pour tenir compte de ce progrès, la définition couvre les services en nuage et autres services d’hébergement proposant une variété de ressources informatiques telles que des réseaux, serveurs ou autres infrastructures, services d’archivage, applications et services permettant d’archiver des données à diverses fins. L’instrument s’applique également aux marchés numériques qui permettent aux consommateurs et/ou aux entreprises de conclure des transactions par l’intermédiaire de ventes ou contrats de services en ligne. Ces transactions sont effectuées soit sur le site web du marché en ligne, soit sur le site web d’un opérateur de marché qui utilise les services informatiques fournis par le marché en ligne. Par conséquent, ce marché en ligne est l’entité qui possède les preuves électroniques susceptibles d’être nécessaires dans le cadre de procédures pénales. Les services qui n’incluent pas le stockage de données comme composant déterminant ne sont pas couverts par la proposition. Bien que la plupart des services fournis par les fournisseurs nécessitent de conserver certaines données, en particulier pour les services fournis à distance en ligne, ceux pour qui le stockage de données ne constitue pas une caractéristique principale et n’est donc que de nature accessoire, peuvent être traités à part, y compris les services juridiques, architecturaux, d’ingénierie et de comptabilité fournis à distance en ligne. Les données que détiennent les fournisseurs de services d’infrastructures internet, tels que les registraires et registres de noms de domaine et les services d’anonymisation et d’enregistrement fiduciaire, ou les registres internet pour les adresses IP, peuvent être importantes dans le cadre de procédures pénales et fournir des indices conduisant à l’identification d’une personne ou d’une entité mêlée à des activités criminelles. Les catégories de données que permet d’obtenir une injonction européenne de production émise par les autorités compétentes comprennent les informations relatives aux abonnés, les données relatives à l’accès, les données relatives aux transactions (les trois catégories étant généralement appelées collectivement les ‘données hors contenu’) et les données relatives au contenu stockées. Cette distinction, en dehors des données relatives à l’accès, existe dans les décisions juridiques de nombreux États membres, ainsi que dans des cadres juridiques de pays tiers. Toutes les catégories contiennent des données à caractère personnel et sont par conséquent couvertes par les garanties au titre de l’acquis de l’UE relatif à la protecion des données. Les conséquences sur les droits fondamentaux ont une ampleur variable selon les catégories, en particulier entre les informations relatives aux abonnés d’une part, et les données relatives aux transactions et celles relatives au contenu d’autre part. Il est essentiel que l’instrument couvre ces trois catégories: les informations relatives aux abonnés et les données relatives à l'accès sont souvent source d’indices utiles pour une enquête visant à identifier un suspect. Tandis que les données relatives aux transactions et celles relatives au contenu peuvent fournir les preuves les plus probantes. En raison des différents niveaux d’interférence avec les droits fondamentaux, il convient d’assortir de différentes conditions les informations relatives aux abonnés d’une part, et les données relatives aux transactions et celles relatives au contenu d’autre part, comme prévu par plusieurs dispositions du règlement. Il y a donc lieu de distinguer les données relatives à l'accès par une catégorie de données spécifique utilisée dans le présent règlement. Les données relatives à l'accès au sens de la présente sont recherchées dans le même but que les informations relatives aux abonnés, c'est-à-dire pour identifier l’utilisateur, et leur niveau d’interférence avec les droits fondamentaux est similaire. Elles doivent donc être soumises aux mêmes conditions que les informations relatives aux abonnés. C’est la raison pour laquelle cette proposition introduit une nouvelle catégorie de données qu’il faudra traiter comme des informations relatives aux abonnés si le même objectif est visé. L’article 2 détermine les États membres et autorités susceptibles de participer à la procédure. L’article 4 fournit une définition de l’autorité d’émission. Les cas d’urgence sont des situations exceptionnelles qui exigent souvent une réaction rapide des fournisseurs de services et sont soumises à des conditions spéciales. Ils sont donc définis séparément dans cet article. Article 3: Champ d’application Cet article définit le champ d’application de la proposition. Le règlement s’applique à tous les fournisseurs qui proposent leurs services au sein de l’Union européenne, notamment les fournisseurs établis en dehors de son territoire. L’offre active de services au sein de l’Union, avec tous les avantages qui en découlent, justifie l’application du règlement à ces fournisseurs de services et crée des conditions de concurrence équitables entre les participants d’un même marché. Par ailleurs, si ces fournisseurs n’étaient pas couverts, la faille qui en résulterait permettrait aux criminels de contourner facilement le champ d’application du règlement.

Pour déterminer si des services sont proposés, les autorités doivent vérifier si le fournisseur de services permet à des personnes morales ou physiques d’utiliser lesdits services dans un ou plusieurs États membres. Cependant, la simple possibilité d’accès à ces services (même via la possibilité d’accéder au site web du fournisseur de services ou d’un intermédiaire, ou par une adresse de courrier électronique ou d’autres coordonnées) ne constitue pas une condition suffisante à l’application de ce règlement. Un lien étroit avec ces États membres est donc nécessaire afin de garantir une connexion suffisante entre le fournisseur et le territoire sur lequel il propose ses services. Ce lien étroit existe lorsqu’un fournisseur de services possède un établissement dans un ou plusieurs États membres. En l’absence d’un établissement au sein de l’Union, le critère de lien étroit avec celle-ci est alors évalué sur la base du nombre d’utilisateurs dans un ou plusieurs États membres, ou du fait que les activités ciblent un ou plusieurs États membres. Le ciblage des activités vers un ou plusieurs États membres peut être déterminé sur la base de toutes les circonstances pertinentes, notamment des facteurs tels que le recours à une langue ou une monnaie généralement utilisées dans cet État membre ou la possibilité de commander des biens ou des services. Un État membre peut également être ciblé par des activités par le biais de la disponibilité d’une application dans la boutique d’applications nationale concernée, par la diffusion de publicités locales ou dans la langue officielle de l’État membre, par l’utilisation des informations issues de personnes dans des États membres dans le cadre de leurs activités, ou par le traitement des relations clientèle par exemple en proposant un service clientèle dans la langue généralement utilisée dans un État membre. Un lien substantiel doit également être établi lorsqu’un fournisseur de services oriente ses activités vers un ou plusieurs États membres tel qu’énoncé à l’article 17, paragraphe l, point c), du règlement 1215/2012 relatif à la compétence, à la reconnaissance et à l’exécution des décisions en matière civile et commerciale. L’injonction européenne de production et l’injonction européenne de conservation sont des mesures d’enquête qui ne peuvent être émises que dans le cadre d’enquêtes judiciaires ou procédures pénales pour des infractions pénales réelles. Le lien avec une enquête réelle les distingue des mesures préventives ou obligations de conservation de données prévues par la loi et garantit l’application des droits procéduraux applicables aux procédures pénales. Par conséquent, la compétence d’ouverture d’enquêtes pour une infraction particulière est une condition préalable à l’utilisation du règlement. À titre d’exigence supplémentaire, les données requises doivent être liées aux services proposés par le fournisseur au sein de l’Union. Chapitre 2: Injonction européenne de production, injonction européenne de conservation et certificats Article 4: Autorité d’émission Pour émettre une injonction européenne de production ou de conservation, l’autorité judiciaire doit être concernée soit en qualité d’autorité d’émission, soit de validation. Pour les injonctions de production portant sur des données relatives aux transactions ou sur celles relatives au contenu, l’intervention d’un juge ou d’une juridiction est requise. En ce qui concerne les informations relatives aux abonnés et les données relatives à l'accès, l’intervention d’un procureur convient également. Article 5: Conditions d’émission d’une injonction européenne de production L’article 5 fixe les conditions d’émission d’une injonction européenne de production. L’autorité judiciaire d’émission est chargée de les vérifier. L’injonction européenne de production ne peut être émise que si elle est nécessaire et proportionnée au cas particulier concerné. De plus, elle ne doit l’être que s’il existe une mesure similaire pour une situation nationale comparable dans l’État d’émission. Les injonctions de production portant sur les informations relatives aux abonnés et les données relatives à l'accès peuvent être émises pour toutes les infractions pénales. Les données relatives aux transactions et celles relatives au contenu doivent faire l’objet d’exigences plus strictes pour refléter leur nature plus sensible et leur degré proportionnellement plus élevé d’intrusion par rapport aux deux catégories précédentes de données. Ces injonctions ne peuvent donc être émises que pour des infractions passibles d’une peine privative de liberté d’une durée maximale d’au moins trois ans ou plus. Une approche plus proportionnée est possible grâce au seuil constitué par la peine privative de liberté maximale, en complément de plusieurs conditions et garanties ex ante et ex post visant à garantir le respect du principe de proportionnalité et des droits des personnes concernées. En revanche, un seuil ne doit pas compromettre l’efficacité de l’instrument ni son utilisation par les praticiens. Les États membres appliquent des seuils de peines différents en fonction de leur système national. Les codes pénaux nationaux diffèrent et ne sont pas harmonisés. Tel est le cas pour les infractions pénales et les sanctions qu’elles entraînent. Les codes procéduraux nationaux diffèrent également en ce qui concerne les seuils pour l’obtention de données relatives aux transactions ou de celles relatives au contenu: certains États membres ne fixent aucun seuil particulier; d’autres ont établi une liste d’infractions. Un seuil de trois ans limite le champ d’application de l’instrument aux infractions plus graves, sans restreindre de façon excessive ses possibilités d’utilisation à disposition des praticiens. Ce seuil exclut du champ d’application un large éventail d’infractions en fonction du code pénal de l’État membre (par exemple, dans certains États membres, la participation aux activités d’un groupe criminel organisé et l’enlèvement, mais également les infractions telles que le menu larcin, la fraude et les voies de fait pour lesquels une injonction de production transfrontière pour des données plus sensibles peut être jugée disproportionnée). Par ailleurs, un seuil de trois ans inclut les infractions requérant une approche plus efficace, telles que l’appartenance à une organisation criminelle, le financement de groupes terroristes, le soutien ou la promotion d’une organisation criminelle, la formation dans le but de commettre des infractions terroristes, certaines infractions perpétrées dans un but terroriste, et la préparation d’une infraction envisagée dans un but terroriste, ou la préparation d’une prise d’otages, qui serait autrement exclue dans le cas d’un seuil plus élevé dans certains États membres. Ce seuil a été choisi pour garantir à tous les États membres l’équilibre entre efficacité des enquêtes judiciaires d’une part, et protection des droits et du principe de proportionnalité d’autre part. Un seuil offre aussi l’avantage d’être facilement applicable en pratique. Les injonctions de production portant sur des données relatives aux transactions ou sur celles relatives au contenu peuvent aussi être émises pour des infractions harmonisées spécifiques décrites dans la disposition et pour lesquelles les preuves ne sont généralement disponibles qu’en format électronique. L’application du règlement se justifie aussi lorsque la peine privative de liberté maximale est inférieure au seuil ci-dessus; autrement, les enquêtes judiciaires liées à ces infractions pourraient ne pas être menées correctement et entraîner l’impunité des auteurs. Les infractions font l’objet des dispositions spécifiques suivantes: i) décision-cadre 2001/413/JAI du Conseil concernant la lutte contre la fraude et la contrefaçon des moyens de paiement autres que les espèces, ii) la directive 2011/93UE relative à la lutte contre les abus sexuels et l’exploitation sexuelle des enfants ainsi que la pédopornographie et remplaçant la décision-cadre 2004/68/JAI du Conseil, et iii) la directive 2013/40/UE relative aux attaques contre les systèmes d’information et remplaçant la décision-cadre 2005/222/JAI du Conseil. Les injonctions peuvent aussi être émises pour les infractions décrites dans la directive 2017/541/UE relative à la lutte contre le terrorisme et remplaçant la décision-cadre 2002/475/JAI du Conseil et modifiant la décision 2005/671/JAI du Conseil. Certaines de ces infractions sont assorties d’un seuil minimal de peine maximale d’au moins un an, d’autres de deux ans, mais aucun seuil minimal n’est inférieur à un an. L’article définit aussi les informations obligatoires devant figurer sur l’injonction européenne de production afin que le fournisseur de services puisse identifier et produire les données requises. L’injonction européenne de production inclut également le raisonnement motivé sur la nécessité et la proportionnalité de cette mesure. L’injonction est mise en œuvre par l’intermédiaire d’un certificat d'injonction européenne de production (EPOC) (voir l’article 8), envoyé après traduction au fournisseur de services. L’EPOC contient les mêmes informations obligatoires que l’injonction, à l’exception des motifs appuyant la nécessité et la proportionnalité de la mesure ou de détails supplémentaires sur l'affaire. Lorsque les données requises sont stockées ou traitées à travers une infrastructure mise à la disposition d’une entreprise par un fournisseur de services, généralement dans le cas des services d’hébergement ou logiciels, ladite entreprise est considérée comme le destinataire de la demande émise par les autorités chargées de l’enquête. Une procédure de décision d’enquête européenne ou d’entraide judiciaire s’avère alors nécessaire si l'entreprise n’est pas un fournisseur de services couvert par le champ d’application du présent règlement. Le fournisseur de services n’est le destinataire d’une injonction européenne de production que lorsqu’il est inapproprié qu’une entreprise tienne ce rôle, en particulier s’il y a un risque de compromettre l’enquête, par exemple si l'entreprise elle-même fait l’objet de l’enquête. Avant d’émettre une injonction européenne de production, l’autorité d’émission doit tenir compte également des immunités et des privilèges éventuels prévus par les lois de l’État membre du fournisseur de services, ou des éventuelles conséquences sur les intérêts fondamentaux de cet État membre tels que la sécurité nationale et la défense. Cette disposition vise à garantir la prise en considération, par l’État d’émission des immunités et des privilèges protégeant les données requises dans l’État membre du fournisseur de services, en particulier lorsqu’ils assurent une protection plus élevée que la législation de l’État d’émission. Article 6: Conditions d’émission d’une injonction européenne de conservation Une injonction européenne de conservation est soumise à des conditions similaires à celles de l’injonction de production. Elle peut être émise pour toute infraction répondant aux autres conditions fixées à l’article 6. Elle vise également à empêcher le retrait, la suppression ou la modification des données concernées lorsque leur production risque de prendre plus de temps, par exemple en raison de l’utilisation de canaux de coopération judiciaire. Par exemple, vu que la décision d’enquête européenne peut généralement valoir pour toute infraction sans distinction de seuil, il en va de même pour l’injonction européenne de conservation. Autrement, cet instrument ne serait pas efficace. Les injonctions européennes de conservation peuvent aussi être émises ou validées par un procureur afin de permettre aux autorités chargées des enquêtes d’agir rapidement, pourvu que ces injonctions soient suivies d’une demande appropriée de production de données et dont toutes les conditions feront l’objet d’un nouvel examen. Article 7: Destinataire d’une injonction européenne de production ou d’une injonction européenne de conservation Les injonctions européennes de production et de conservation devraient être adressées à un représentant légal désigné par le fournisseur de services aux fins de recueillir des preuves dans le cadre de procédures pénales, conformément à la directive établissant les règles harmonisées de désignation des représentants légaux aux fins de recueillir des preuves dans le cadre de procédures pénales. La transmission se fera sous la forme d’un certificat d’injonction européenne de production (EPOC) ou d’un certificat d’injonction européenne de conservation (EPOC-PR) visés à l’article 8. Ce représentant légal sera chargé de la réception de ces certificats, et devra les exécuter pleinement en temps voulu. Les fournisseurs de services ont ainsi le choix quant à la façon de s’organiser pour produire les données requises par les autorités de l’État membre.

Si aucun représentant légal n’a été désigné, les injonctions peuvent alors être adressées à l’établissement du fournisseur de services sur le territoire de l’Union. Cette solution de repli garantit l’efficacité du système si le fournisseur de services n’a pas (encore) désigné de représentant légal, par exemple en l’absence d’une telle obligation au titre de la directive, si le fournisseur de services est établi et actif uniquement dans un État membre ou si aucune obligation de désigner un représentant n’est encore entrée en vigueur avant le délai de transposition de la directive. En cas de manquement de la part du représentant légal, deux situations permettent à l’autorité d’émission d’adresser l’injonction à tout établissement du fournisseur situé dans l’Union: dans les cas d’urgence au sens de l’article 9, paragraphe 2, et dans les cas où le représentant légal ne respecte pas ses obligations au titre des articles 9 et 10, si l’autorité d’émission estime qu'il existe un risque clair de perte des données. Article 8: Certificat d’injonction européenne de production et certificat d'injonction européenne de conservation L’EPOC et l’EPOC-PR servent à transmettre les injonctions au destinataire visé à l’article 7. Les modèles pour les deux certificats sont fournis aux annexes I et II du règlement; ils doivent être traduits dans l’une des langues officielles de l’État membre où se trouve le destinataire. Le fournisseur de services peut confirmer que les versions des injonctions dans d’autres langues officielles de l’Union seront aussi acceptées. Ces certificats visent à fournir toutes les informations nécessaires à transmettre au destinataire dans un format standard qui réduit les sources d’erreur, permet d’identifier facilement les données et évite au maximum le texte libre, diminuant ainsi les coûts de traduction. Pour éviter de compromettre les enquêtes, le certificat n’inclut pas le plein raisonnement sur la base des motifs appuyant la nécessité et la proportionnalité ni d’autres détails sur l’affaire. Le certificat ne sert donc que comme complément à l’injonction elle-même afin de permettre au suspect de la contester ultérieurement pendant la procédure pénale. Certains fournisseurs de services ont déjà mis en place des plateformes pour permettre aux services répressifs de soumettre leurs demandes. Le règlement ne devrait pas empêcher l’utilisation de telles plateformes étant donné qu’elles présentent de nombreux avantages, notamment la possibilité d’une authentification facile et une transmission sécurisée des données. Cependant, ces plateformes doivent autoriser la soumission des EPOC et EPOC-PR dans le format défini aux annexes I et II, sans demander d’autres informations liées à l’injonction. Les plateformes créées par les États membres ou les organismes de l’Union peuvent aussi procurer des moyens de transmission sécurisés et faciliter l’authentification des injonctions et la collecte de statistiques. Il conviendrait d’envisager l’élargissement éventuel des plateformes eCodes et SIRIUS afin de mettre en place une connexion sécurisée avec les fournisseurs de services pour la transmission des EPOC et EPOC-PR ainsi que la réponse des fournisseurs, le cas échéant. Article 9: Exécution d’un EPOC L’article 9 contraint le destinataire à répondre aux EPOC et indique les délais obligatoires. Le délai normal est de dix jours, mais les autorités peuvent fixer un délai plus court si cela est justifié. En outre, dans les cas d’urgence, définis comme une situation présentant une menace imminente pour la vie ou l’intégrité physique d’une personne ou pour une infrastructure essentielle, le délai est réduit à 6 heures. La disposition garantit aussi la possibilité d’un dialogue entre le destinataire et l’autorité d’émission. Si l’EPOC est incomplet, manifestement incorrect ou dépourvu des informations suffisantes au fournisseur de services pour l’exécution dudit EPOC, le destinataire contacte l’autorité d’émission pour obtenir des clarifications à l’aide du formulaire fourni à l’annexe III. Il signale également à l’autorité d’émission son incapacité à fournir les données en raison d’un cas de force majeure ou d’impossibilité de fait. Tel est notamment le cas si la personne dont les données sont requises n’était pas client de ce service ou — par exemple au titre d’autres obligations de confidentialité — si lesdites données ont été illégalement supprimées par le fournisseur de services avant réception de l’injonction par son ou ses représentants légaux. L’autorité d’émission devrait être informée de ces circonstances pour réagir rapidement, pour recueillir éventuellement les preuves électroniques auprès d’un autre fournisseur de services, et pour éviter que l’autorité d’émission ne lance une procédure d’exécution dépourvue de sens. Si le destinataire ne fournit pas du tout les informations, ou pas de façon complète ni opportune, pour d’autres raisons que celles précitées, il doit communiquer ces raisons à l’autorité d’émission à l’aide du formulaire fourni à l’annexe III. Le destinataire peut alors s’adresser à l’autorité d’émission pour résoudre tout problème lié à l’exécution de l’EPOC. L’autorité d’émission peut ainsi rectifier ou réexaminer l’EPOC à un stade précoce avant la phase d’exécution. Si les données ne sont pas produites immédiatement, notamment en cas de dialogue lancé entre le destinataire et l’autorité d’émission impliquant que les délais visés à l’article 9, paragraphe 1, ne pourront être respectés, le fournisseur de service a l’obligation de conserver les données afin de ne pas les perdre dès réception de l’EPOC, pourvu que lesdites données puissent être identifiées. La conservation peut être requise par voie de l’EPOC détaillé ou d’une demande ultérieure d’entraide judiciaire ou de décision d’enquête européenne remplaçant l’EPOC original. Article 10: Exécution d’un EPOC-PR L’exécution d’un EPOC-PR requiert de conserver les données disponibles au moment de la réception de l’injonction. Les fournisseurs de services devraient conserver les données aussi longtemps que nécessaire pour pouvoir les produire sur demande, à condition que l’autorité d’émission confirme dans un délai de soixante jours à compter de l’émission de l’injonction qu’elle a introduit la demande de production. Pour ce faire, certaines étapes réglementaires sont requises, notamment l’envoi d’une demande d’entraide judiciaire pour traduction. Toutefois, les demandes de conservation ne devraient être émises ou maintenues que le temps nécessaire à l’introduction d’une demande ultérieure de production des données concernées. Pour éviter de conserver des données inutilement ou trop longtemps, l’autorité émettrice de l’injonction européenne de conservation informe le destinataire dès qu’une décision est prise de ne pas émettre ou de retirer une injonction de production ou une demande de coopération judiciaire. Cette disposition, similaire à celles de l’article 9, garantit aussi la possibilité d’un dialogue entre le destinataire et l’autorité d’émission. Si l’EPOC-PR est incomplet, manifestement incorrect ou dépourvu des informations suffisantes pour que le fournisseur de services puisse exécuter ledit EPOC-PR, le destinataire contacte l’autorité d’émission pour obtenir des clarifications à l’aide du formulaire fourni à l’annexe III. Il signale également à l’autorité d’émission lorsqu'il est dans l'incapacité de fournir les données en raison de circonstances considérées comme un cas de force majeure ou une impossibilité de fait, ou pour d’autres raisons. Article 11: Confidentialité et information de l’utilisateur Il convient de protéger la confidentialité de l’enquête en cours, notamment l’existence de toute injonction émise pour obtenir des données pertinentes. Cet article s’inspire de l’article 19 de la directive relative à la décision d’enquête européenne. D’une part, il prévoit l’obligation pour le destinataire, ou le fournisseur de services, dans le cas où ils sont différents, de préserver la confidentialité de l’EPOC ou l’EPOC-PR, notamment en s’abstenant d’informer la personne dont les données sont requises lorsque l’autorité d’émission l’exige afin de protéger l’enquête judiciaire, conformément à l’article 23 du RGPD. D’autre part, il est important que la personne dont les données sont requises soit informée, notamment pour l’exercice des recours légaux. Si le fournisseur de services ne s’en charge pas, à la demande de l’autorité d’émission, celle-ci informe alors la personne conformément à l’article 13 de la directive en matière de protection des données dans le domaine répressif dès qu’il n’existe plus de risque de compromettre l’enquête, et lui fournit les informations requises concernant les recours légaux. Ces informations interférant moins avec les droits concernés, elles ne sont pas fournies dans le cas d’une injonction européenne de conservation; elles le sont uniquement pour les injonctions européennes de production. Article 12: Remboursement des frais Si le droit national de l’État d’émission le prévoit pour les injonctions nationales dans des affaires nationales similaires, les fournisseurs de services peuvent aussi réclamer le remboursement de leurs frais auprès de l’État d’émission conformément au droit national de celui-ci. Cette disposition garantit le traitement équitable des fournisseurs de services destinataires d’une injonction nationale et d’un EPOC du même État membre, dans le cas où cet État membre a choisi de rembourser certains fournisseurs de services. Cependant, la proposition de règlement n’harmonise pas le remboursement des frais étant donné que les différents États membres ont posé des choix différents cet égard.

Les frais peuvent être réclamés directement par le fournisseur de services ou par l’intermédiaire de son représentant légal. Ces frais ne peuvent être remboursés qu’une seule fois. Chapitre 3: Sanctions et mise en œuvre Article 13: Sanctions Les États membres veillent à la mise en place de sanctions pécuniaires efficaces, proportionnées et dissuasives pour les fournisseurs de services qui ne respectent pas leurs obligations au titre des articles 9, 10 et 11. Cela s’applique sans préjudice des lois nationales qui prévoient des sanctions pénales pour de telles situations. Article 14: Procédure de mise en œuvre L’article 14 prévoit une procédure de mise en œuvre des injonctions en cas de non-respect, avec l’assistance de l’État membre où est établi le destinataire du certificat. Selon le destinataire initial, il s’agit soit de l’État membre du fournisseur de services, soit celui du représentant légal. L’autorité d’émission transfère l’injonction complète y compris le raisonnement relatif à sa nécessité et à sa proportionnalité, accompagnée du certificat, à l’autorité compétente dans l’État chargé de la mise en œuvre qui veille à sa mise en œuvre conformément à sa législation nationale en recourant, si nécessaire, aux sanctions visées à l’article 13. Si l’injonction est renvoyée pour application à l’État chargé de la mise en œuvre, l’autorité chargée de la mise en œuvre peut décider de ne pas reconnaître ou de ne pas mettre en œuvre l’injonction si elle considère, au moment de sa réception, que l’un des motifs limités de refus s’applique, et après consultation de l’autorité d’émission. En outre, si la procédure de mise en œuvre est tout de même lancée, le destinataire peut lui-même s’opposer à l’injonction devant l’autorité chargée de la mise en œuvre. Il peut y procéder sur la base des motifs avancés, à l'exception des immunités et privilèges mais y compris dans les cas où l’injonction n’a manifestement pas été émise ou validée par une autorité compétente, ou si le respect de l’injonction constitue une violation manifeste de la Charte des droits fondamentaux de l’Union européenne ou s’avère abusif. Par exemple, une injonction demandant la production de données relatives au contenu appartenant à une classe indéfinie d’individus dans une zone géographique ou sans lien avec une procédure pénale réelle ignorerait de façon évidente les conditions d’émission d’une injonction européenne de production fixées dans le présent règlement, et cela ressortirait clairement du certificat lui-même. Seule la personne dont les données sont requises peut invoquer d’autres motifs dans le cadre des recours légaux propres à l’État d’émission (voir article 17 ci-dessous). En outre, les fournisseurs de services disposent d’un recours légal contre la décision de l’autorité chargée de la mise en œuvre de leur infliger une sanction. La procédure de mise en œuvre prévoit plusieurs délais pour les autorités d'émission et les autorités chargées de la mise en œuvre afin d’éviter tout retard supplémentaire au cours de la procédure. Chapitre 4: Recours Articles 15 et 16: Procédure de réexamen en cas d’obligations contradictoires découlant des lois d’un pays tiers Les articles 15 et 16 prévoient une procédure de réexamen dans le cas des fournisseurs de services établis dans des pays tiers et qui font face à des obligations contradictoires. Ces dispositions sont également cruciales pour garantir la protection des droits individuels et de la courtoisie internationale. En fixant des normes strictes, elles aspirent à encourager les pays tiers à mettre en place un niveau de protection similaire. Dans la situation inverse, lorsque les autorités d’un pays tiers cherchent à obtenir les données d’un citoyen européen auprès d’un fournisseur de services de l’UE, la législation de l’Union ou des États membres relative à la protection des droits fondamentaux, comme l’acquis en matière de protection des données, permettent d’empêcher de la même façon la divulgation de ces données. L’Union européenne attend des pays tiers qu’ils respectent ces interdictions tout comme le fait la présente proposition. La procédure visée à l’article 15 peut être déclenchée par le destinataire si le respect de l’injonction européenne de production entraînait une violation d’une ou plusieurs lois d’un pays tiers interdisant la divulgation de données au nom de la nécessité de protéger les droits fondamentaux des individus concernés ou les intérêts fondamentaux du pays tiers en matière de sécurité ou de défense nationales. Le destinataire est tenu d’informer l’autorité d’émission par voie d’une opposition motivée des fondements de sa conclusion qu’il existe des obligations contradictoires. Cette opposition motivée ne peut se baser sur le simple fait que des dispositions similaires ne sont pas prévues par le droit du pays tiers ni sur la seule circonstance du stockage des données dans un pays tiers. L’opposition motivée est soulevée conformément à la procédure visée à l’article 9, paragraphe 5, pour notifier l’intention de ne pas se conformer aux obligations dont il est question à l’aide du formulaire fourni à l’annexe III. L’autorité d’émission examine sa propre injonction à la lumière de cette opposition motivée. Si elle choisit de retirer l’injonction, la procédure prend fin. Si elle choisit de maintenir l’injonction, l’affaire est transférée à la juridiction compétente de son État membre. La juridiction examine alors, en se basant sur l’opposition motivée et en tenant compte de tous les faits pertinents pour l’affaire, si le droit du pays tiers s’applique au cas concerné en particulier — et si tel est le cas — s'il existe un conflit dans l'affaire en question. Pour procéder à cette évaluation, la juridiction doit évaluer si la législation du pays tiers, plutôt que d’être destinée à protéger les droits fondamentaux ou les intérêts fondamentaux du pays tiers liés à la sécurité ou à la défense nationales, vise manifestement à protéger d’autres intérêts ou vise à protéger des activités illégales de demandes d’application de la loi dans le contexte d’enquêtes criminelles Si la juridiction confirme l’existence effective d’un conflit entre les obligations au titre de la législation protégeant les droits fondamentaux des individus ou les intérêts fondamentaux du pays tiers en matière de sécurité ou de défense nationales, il doit solliciter l’avis du pays tiers concerné par l’intermédiaire des autorités centrales nationales dudit pays. Si le pays tiers consulté confirme l’existence du conflit et s’oppose à l’exécution de l’injonction, la juridiction doit alors retirer l’injonction. Si le conflit naît d’une autre disposition législative de ce pays tiers qui ne vise pas à protéger les droits fondamentaux des individus ou les intérêts fondamentaux du pays tiers en matière de sécurité ou de défense nationales, la juridiction prend alors sa décision de manière à trouver un équilibre entre les intérêts favorables et défavorables d’un maintien de l’injonction. Les conditions fixées à l’article 9, en particulier les obligations de conservation décrites à son paragraphe 6, sont également applicables aux situations d’obligations contradictoires découlant du droit d’un pays tiers. Si la juridiction décide de maintenir l’injonction, l’autorité d’émission et le fournisseur de services en sont informés en vue de procéder à son exécution. Si l’injonction est levée, une injonction de conservation séparée peut être émise afin d’assurer la disponibilité des données qui pourraient être obtenues par l’intermédiaire d’une demande d’entraide judiciaire. Vu que l’injonction européenne de conservation n’entraîne pas en soi la divulgation des données et donc aucune inquiétude similaire, la procédure de réexamen se limite à l’injonction européenne de production. Article 17: Recours effectifs Cette disposition garantit des recours effectifs aux personnes concernées par une injonction européenne de production. Ces recours s’exercent dans l’État d’émission conformément à la législation nationale. Pour les suspects et les personnes poursuivies, les recours s’exercent normalement pendant la procédure pénale. Aucun recours n’existe pour l’injonction européenne de conservation, laquelle n’autorise en aucun cas la divulgation de données, excepté lorsqu’elle est suivie d’une injonction européenne de production ou d’un autre instrument conduisant à la divulgation des données, auquel cas des recours spécifiques sont prévus. Les personnes dont les données sont requises alors qu’elles ne sont ni suspectées ni poursuivies dans le cadre de procédures pénales ont également droit à un recours légal dans l’État d’émission. Tous ces droits sont sans préjudice des éventuels recours prévus au titre de la directive en matière de protection des données dans le domaine répressif et du RGPD. Contrairement aux dispositions prévues pour les fournisseurs de services, le règlement ne limite pas les motifs possibles que ces personnes peuvent avancer pour contester la légalité de l’injonction. Ces motifs englobent la nécessité et la proportionnalité de l’injonction.

L’exercice de recours dans l’État d’émission ne doit pas représenter une charge disproportionnée pour les personnes concernées. Comme pour les décisions exécutées au moyen d’autres formes de coopération judiciaire, les tribunaux de l’État d’émission sont les mieux placés pour examiner la légalité des injonctions européennes de production émises par leurs propres autorités et pour évaluer leur compatibilité avec leur propre législation nationale. De plus, lors de la phase de mise en œuvre, les destinataires peuvent s’opposer séparément à la mise en œuvre de l’EPOC ou de l’EPOC-PR dans leur État membre d’accueil sur la base d’une liste de motifs énumérés dans le règlement (voir l’article 14 ci-dessus). Article 18: Garantie des privilèges et des immunités en vertu du droit de l’État de réception Cette disposition poursuit le même objectif que celui de l’article 5, paragraphe 7, à savoir garantir la prise en considération par l’État d’émission des immunités et des privilèges qui protègent les données requises dans l’État membre du fournisseur de services, notamment lorsque ces immunités et ces privilèges sont différents dans les deux États membres, ainsi que des intérêts fondamentaux de cet État membre en matière de sécurité et de défense nationales. L’article 18 prévoit que la juridiction de l’État d’émission en tient compte comme s’ils existaient au titre du droit national dudit État. En raison des différences entre les États membres au niveau de l’évaluation de la pertinence et de la recevabilité d’une preuve, la disposition accorde une certaine souplesse aux tribunaux concernant la manière de procéder. Chapitre 5: Dispositions finales Article 19: Suivi et rapports Cet article impose aux États membres de communiquer les informations spécifiques liées à l’application du règlement en vue d’assister la Commission dans l’exercice de ses fonctions au titre de l’article 24. La Commission doit établir un programme détaillé de suivi des réalisations, des résultats et des incidences de ce règlement. Article 20: Modification des certificats et des formulaires Les certificats et formulaires figurant aux annexes I, II et III de la présente proposition faciliteront l’exécution d’un EPOC et d’un EPOC-PR. C’est la raison pour laquelle il est nécessaire d’avoir la possibilité d’améliorer éventuellement le contenu du certificat et du formulaire le plus rapidement possible dès que le besoin s'en fera sentir. Cette exigence ne couvre pas la modification des trois annexes par l’intermédiaire d’une procédure législative ordinaire, lesquelles ne constituent pas des éléments essentiels des actes législatifs, les principaux éléments étant définis à l’article 8. Par conséquent, l'article 20 définit une procédure plus rapide et plus souple pour procéder aux modifications par l’intermédiaire d’actes délégués. Article 21: Exercice de la délégation Cet article fixe les conditions en vertu desquelles la Commission a le pouvoir d’adopter des actes délégués pour apporter les modifications nécessaires au certificat et aux formulaires joints à la proposition. Il établit la procédure standard pour l’adoption de ces actes délégués. Article 22: Notifications Les États membres doivent signaler à la Commission qui sont les autorités d’émission et de mise en œuvre, et quels sont les tribunaux compétents pour traiter les oppositions motivées de fournisseurs de services en cas de conflit de lois. Article 23: Rapport avec les décisions d’enquête européennes Cette disposition précise que le règlement n’empêche pas les autorités de l’État membre d'émettre des décisions d’enquête européennes au titre de la directive 2014/41/UE pour obtenir des preuves électroniques. Article 24: Évaluation Cette disposition précise que la Commission procède à une évaluation du présent règlement conformément aux lignes directrices de la Commission pour une meilleure réglementation et en vertu du paragraphe 22 de l’accord interinstitutionnel du 13 avril 2016. La Commission tiendra le Parlement européen et le Conseil informés des conclusions de l’évaluation, incluant une évaluation du besoin d’élargir le champ d’application aux services non encore couverts mais susceptibles d’avoir plus d’importance pour les enquêtes, cinq ans après l’entrée en vigueur du règlement proposé. Article 25: Entrée en vigueur Le règlement proposé entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel. Le règlement s’applique 6 mois après sa date d’entrée en vigueur. 2018/0108 (COD)

Proposition de RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 82, paragraphe 1, vu la proposition de la Commission européenne, après transmission du projet d’acte législatif aux parlements nationaux, vu l’avis du Comité économique et social européen, statuant conformément à la procédure législative ordinaire, considérant ce qui suit: (1)L’Union s’est donné pour objectif de maintenir et de développer un espace de liberté, de sécurité et de justice. En vue de l’établissement progressif de cet espace, l’Union doit adopter des mesures relevant du domaine de la coopération judiciaire en matière pénale fondée sur le principe de reconnaissance mutuelle des jugements et des décisions judiciaires, principe communément considéré comme la pierre angulaire de la coopération judiciaire en matière pénale dans l’Union depuis le Conseil européen de Tampere des 15 et 16 octobre 1999. (2)Les mesures visant à obtenir et à conserver des preuves électroniques sont de plus en plus importantes pour permettre des enquêtes et des poursuites pénales dans l’ensemble de l’Union. Des mécanismes efficaces pour obtenir des preuves électroniques sont essentiels pour lutter contre la criminalité, sous réserve de conditions garantissant le plein respect des droits et principes fondamentaux reconnus dans la charte des droits fondamentaux de l’Union européenne tels que consacrés dans les traités, et en particulier les principes de nécessité et de proportionnalité, de légalité, de protection des données, de secret de la correspondance et de protection de la vie privée. (3)La déclaration conjointe des ministres de la justice et des affaires intérieures du 22 mars 2016 et des représentants des institutions de l’Union sur les attentats terroristes à Bruxelles a souligné la nécessité de trouver en priorité des moyens de recueillir et d’obtenir des preuves électroniques plus rapidement et plus efficacement et de définir des mesures concrètes pour s’attaquer à cette question. (4)Les conclusions du Conseil du 9 juin 2016 ont souligné l’importance croissante des preuves électroniques dans les procédures pénales, et de protéger le cyberespace contre les abus et les activités criminelles au profit des économies et des sociétés, et donc la nécessité pour les autorités répressives et judiciaires de disposer d’outils efficaces pour enquêter sur les actes délictueux commis en rapport avec le cyberespace et en poursuivre les auteurs. (5)Dans la communication conjointe sur la résilience, la dissuasion et la défense du 13 septembre 2017, la Commission a souligné que l'efficacité des enquêtes et des poursuites relatives aux infractions facilitées par les technologies de l’information et de la communication constitue un moyen de dissuasion essentiel contre les cyberattaques, et que le cadre procédural actuel doit être mieux adapté à l’ère d’internet. Les procédures actuelles ne sont pas toujours suffisantes en raison de la rapidité des cyberattaques, qui créent un besoin particulier de coopération transfrontière rapide. (6)Le Parlement européen a repris ces préoccupations dans sa résolution sur la lutte contre la cybercriminalité du 3 octobre 2017, en soulignant les défis que le cadre juridique actuellement fragmenté peut créer pour les fournisseurs de services cherchant à se conformer aux demandes des services répressifs, et en appelant la Commission à élaborer un cadre juridique pour les preuves électroniques offrant des garanties suffisantes pour les droits et les libertés de tous les intéressés. (7)Les services basés sur un réseau peuvent être fournis à partir de n’importe quel endroit et ne nécessitent pas d’infrastructure physique, de locaux ou de personnel dans le pays concerné. En conséquence, les éléments de preuve pertinents sont souvent stockés hors de l’État menant l’enquête ou par un fournisseur de services établi en dehors de cet État. Il n’existe souvent pas d’autre lien entre l’affaire faisant l’objet de l’enquête dans l’État concerné et l’État du lieu de stockage ou de l’établissement principal du fournisseur de services. (8)En raison de ce manque de lien, des demandes de coopération judiciaire sont souvent adressées à des États qui hébergent un grand nombre de fournisseurs de services, mais qui n’ont aucun autre rapport avec le cas en question. En outre, le nombre de demandes s’est multiplié en raison de l’utilisation croissante des services en réseau, qui sont transfrontières par nature. En conséquence, l’obtention de preuves électroniques par les canaux de coopération judiciaire prend souvent beaucoup de temps, un délai plus long que celui de la disponibilité des indices. Il n’existe par ailleurs pas de cadre clair pour la coopération avec les fournisseurs de services, tandis que certains fournisseurs de pays tiers acceptent des demandes directes de données non relatives au contenu, conformément à leur législation nationale applicable. En conséquence, tous les États membres s’appuient sur le canal de coopération avec les fournisseurs de services lorsqu’il existe, en utilisant différents outils nationaux et différentes conditions et procédures nationales. En outre, pour les données relatives au contenu, certains États membres ont pris des mesures unilatérales, tandis que d’autres continuent de s’appuyer sur la coopération judiciaire. (9)La fragmentation du cadre juridique crée des défis pour les fournisseurs de services qui cherchent à se conformer aux demandes des services répressifs. Par conséquent, il est nécessaire de proposer un cadre juridique européen pour les preuves électroniques afin d’imposer aux fournisseurs de services couverts par le champ d’application de l’instrument l’obligation de répondre directement aux autorités sans l’intervention d’une autorité judiciaire dans l’État membre du fournisseur de services. (10)Les injonctions au titre du présent règlement doivent être adressées aux représentants légaux des fournisseurs de services désignés à cet effet. Si un fournisseur de services établi dans l’Union n’a pas désigné de représentant légal, les injonctions peuvent être adressées à tout établissement de ce fournisseur de services dans l’Union. Cette option de repli sert à garantir l’efficacité du système si le fournisseur de services n’a pas (encore) désigné de représentant spécifique.

(11)Le mécanisme des injonctions européennes de production et de conservation de preuves électroniques en matière pénale ne peut fonctionner que sur la base d’un niveau élevé de confiance mutuelle entre les États membres, qui constitue une condition préalable essentielle au bon fonctionnement de cet instrument. (12)Le présent règlement respecte les droits fondamentaux et observe les principes reconnus en particulier par la charte des droits fondamentaux de l’Union européenne. Ceux-ci comprennent le droit à la liberté et à la sécurité, le respect de la vie privée et familiale, la protection des données à caractère personnel, la liberté d'entreprise, le droit de propriété, le droit à un recours effectif et à un procès équitable, la présomption d’innocence et les droits de la défense, les principes de légalité et de proportionnalité, ainsi que le droit à ne pas être jugé ou puni pénalement deux fois pour une même infraction. Si l’État membre d’émission dispose d’indications selon lesquelles une procédure pénale parallèle pourrait être en cours dans un autre État membre, il doit consulter les autorités de cet État membre conformément à la décision-cadre 2009/948/JAI du Conseil. (13)Afin de garantir le plein respect des droits fondamentaux, le présent règlement se réfère explicitement aux normes nécessaires concernant l’obtention de toutes données à caractère personnel, le traitement de ces données, le contrôle juridictionnel du recours à la mesure d’enquête prévue par le présent instrument et les recours disponibles. (14)Le présent règlement s'applique sans préjudice des droits procéduraux dans les procédures pénales énoncés dans les directives 2010/64/UE, 2012/13/UE, 2013/48/UE, 2016/343, 2016/800 et 2016/1919 du Parlement européen et du Conseil. (15)Le présent instrument fixe les règles selon lesquelles une autorité judiciaire compétente de l’Union européenne peut ordonner à un fournisseur de services proposant des services dans l’Union de produire ou de conserver des preuves électroniques au moyen d’une injonction européenne de production ou de conservation. Le présent règlement s’applique dans tous les cas où le fournisseur de services est établi ou représenté dans un autre État membre. Dans le contexte national où les instruments prévus par le présent règlement ne peuvent être utilisés, le règlement ne doit pas limiter pas les pouvoirs des autorités nationales compétentes déjà prévus par la législation nationale pour contraindre les fournisseurs de services établis ou représentés sur leur territoire. (16)Les fournisseurs de services les plus pertinents pour les procédures pénales sont les fournisseurs de services de communications électroniques et les fournisseurs spécifiques de services de la société de l’information qui facilitent les interactions entre les utilisateurs. Dès lors, ces deux groupes sont couverts par le présent règlement. Les fournisseurs de services de communications électroniques sont définis dans la proposition de directive établissant le code des communications électroniques européen. Ils comprennent les communications interpersonnelles telles que la voix par le protocole de l’internet, la messagerie instantanée et les services de courrier électronique. Les catégories de services de la société de l’information incluses ici sont celles pour lesquelles le stockage de données est une composante déterminante du service fourni à l’utilisateur, et concernent en particulier les réseaux sociaux dans la mesure où ils ne sont pas considérés comme des services de communication électronique, les places de marché en ligne facilitant les transactions entre leurs utilisateurs (tels que des consommateurs ou des entreprises) et les autres services d’hébergement, notamment lorsque le service est fourni par l’intermédiaire de l’informatique en nuage. Les services de la société de l’information pour lesquels le stockage des données ne constitue pas un élément déterminant du service fourni à l’utilisateur et pour lesquels il ne présente qu’un caractère accessoire, tels que les services juridiques ou les services d'architecture, d’ingénierie et de comptabilité fournis à distance en ligne, doivent être exclus du champ d’application du présent règlement, même s’ils sont susceptibles de relever de la définition des services de la société de l’information conformément à la directive (UE) 2015/1535. (17)Dans de nombreux cas, les données ne sont plus stockées ou traitées sur le dispositif d’un utilisateur, mais rendues disponibles sur une infrastructure en nuage pour un accès à partir de n’importe quel endroit. Pour opérer ces services, les fournisseurs de services n’ont pas besoin d’être établis ou d’avoir des serveurs sur un territoire spécifique. Ainsi, l’application du présent règlement ne peut dépendre de la localisation réelle de l’établissement du fournisseur ou de l’installation de traitement ou de stockage des données. (18)Les fournisseurs de services d’infrastructure internet liés à l’attribution de noms et de numéros, tels que les bureaux d’enregistrement et les registres de noms de domaine et les fournis