Depuis le 18 août 2026, le règlement européen (UE) 2023/1543, dit « e-Evidence », est directement applicable dans les États membres, à l’exception du Danemark, qui n’est pas lié par le texte. Une autorité judiciaire d’un État membre peut désormais adresser une injonction directement à un fournisseur de services numériques établi ailleurs, sans passer par l’entraide judiciaire classique. Le délai de réponse est de 10 jours. Il tombe à 8 heures dans les cas d’urgence. Et le texte impose aux États de prévoir des sanctions pouvant atteindre 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent.
Ce que dit vraiment le texte
Le règlement crée deux instruments : l’injonction européenne de production et l’injonction européenne de conservation. Le périmètre est large : services de communications électroniques (messagerie, courriel, voix sur IP), services de noms de domaine et d’adressage IP, et services de la société de l’information permettant aux utilisateurs de communiquer ou dont le stockage de données est une composante déterminante. L’hébergeur, le cloud, la plateforme dotée d’une messagerie interne sont donc concernés, que le siège soit dans l’Union ou non : c’est l’offre de services à des utilisateurs européens qui déclenche l’obligation. Les services financiers, eux, sont exclus du champ.
Toutes les données ne s’obtiennent pas au même prix. Les données d’abonné et d’identification peuvent être demandées pour toute infraction pénale. Les données de trafic et de contenu supposent une infraction passible, dans l’État d’émission, d’une peine privative de liberté d’un maximum d’au moins trois ans, ou l’une des infractions listées par le règlement : cybercriminalité, terrorisme, abus sexuels sur mineurs, fraude aux moyens de paiement autres que les espèces. Une injonction de conservation gèle les données 60 jours, prolongeables une fois de 30 jours.
Un point est souvent mal attribué : l’obligation de désigner un établissement ou un représentant légal dans l’Union ne vient pas du règlement, mais de la directive (UE) 2023/1544 qui l’accompagne, dont la transposition était due au 18 février 2026. Ce point de contact doit disposer des pouvoirs et des moyens d’exécuter les injonctions. Le fournisseur et son représentant peuvent être tenus responsables solidairement en cas de manquement à ces obligations.
La nuance : un cadre en avance sur les États
Le calendrier européen ne colle pas à la réalité nationale. Le 27 mars 2026, la Commission a ouvert des procédures d’infraction contre 22 États membres, dont la France, pour défaut de communication de la transposition complète de la directive. Le système informatique décentralisé censé faire transiter les injonctions n’était pas pleinement opérationnel à l’approche de l’échéance. Ce retard ne suspend rien : les obligations du fournisseur, délais de 10 jours et de 8 heures compris, s’appliquent depuis le 18 août 2026 indépendamment de l’état de l’infrastructure. Quant aux sanctions, elles relèvent du droit national : les 2 % sont un plafond que les États doivent prévoir, pas une amende automatique appliquée par Bruxelles. Enfin, recevoir une injonction n’est pas être mis en cause : le texte organise un canal de coopération pénale, il ne présume rien de la responsabilité du fournisseur.
Ce que les dirigeants doivent en retenir
Trois questions à poser à vos équipes cette semaine. Qui, chez nous, est nommément désigné pour recevoir une injonction européenne, et cette désignation est-elle bien enregistrée ? Sommes-nous capables d’extraire, de qualifier juridiquement et de transmettre des données un dimanche à 3 heures du matin, dans une fenêtre de 8 heures ? Qui tranche, en quelques heures, quand l’injonction paraît heurter un droit fondamental ou le droit d’un pays tiers ? Le montant maximal de l’amende relève du droit national et reste à fixer dans plusieurs États. L’obligation de répondre dans les délais, elle, ne dépend d’aucune transposition. Le vrai risque est donc de découvrir votre chaîne de décision le jour où l’horloge tourne déjà.
