Il aura fallu du temps aux autorités européennes pour accoucher d’un consensus autour du règlement et de la directive proposés en avril 2018 par le Parlement européen et le Conseil de l’Europe afin de faciliter l’accès des Etats membres aux preuves électroniques. Le règlement a pour ambition de faciliter la demande de pièces telles que des courriels ou des messages textes, directement auprès des prestataires de services de communication électronique, quelle que soit la localisation des données. Il fait notamment obligation à ces fournisseurs de nommer un représentant légal au sein de l’Union européenne, même si leur siège social est situé dans un Etat tiers. A charge pour celui-ci d’assurer la réception et l’exécution des injonctions de production et de conservation émises par les autorités compétentes des Etats membres. Quant à la directive, elle a pour vocation d’établir des règles harmonisées concernant la désignation de ces représentants légaux.

« On ne peut que saluer la création de ces deux nouveaux instruments juridiques et judiciaires. Ils viennent prendre leur place aux côtés de textes européens à la portée déjà très étendue comme le règlement général sur la protection des données (RGPD). Ils sont le signe d’une construction judiciaire en cours de maturation. Encore faut-il voir ce que la transposition de la directive et la mise en œuvre du règlement donneront en droit positif français », commente Emmanuel Moyne, associé chez Bougartchev Moyne Associés. L’avocat relève ainsi que l’accès aux preuves électroniques a généré un certain nombre de contentieux et de jurisprudence sur la nécessité qu’un juge intervienne ou pas et, si oui, à quel moment. L’été dernier, la chambre criminelle de la Cour de cassation a rendu un arrêt décidant que les réquisitions en matière de téléphonie méritaient d’être soumises au contrôle d’un juge.

Des entreprises mieux armées contre les attaques online

Les entreprises reçoivent déjà des réquisitions émanant de la part des autorités judiciaires nationales ou européennes pour fournir des preuves dans le cadre d’enquêtes pénales. Selon Emmanuel Moyne, elles ne devraient pas avoir de problèmes particuliers à répondre aux injonctions européennes de production de preuves électroniques. Ce sera une question d’organisation ainsi que de moyens humains et financiers à mobiliser pour répondre à cette évolution. La célérité avec laquelle on peut accéder à des données électroniques à travers différents pays est primordiale. « Quand une entreprise est victime d’une fraude au président occasionnant des transferts d’argent importants, savoir d’où est parti le courriel frauduleux dans un bref délai peut contribuer à faire avancer l’enquête », dit Emmanuel Moyne, pour lequel le nouveau mécanisme favorisera la lutte contre la cybercriminalité d’une manière générale. « A ce sujet, des règles de coopération internationale existent : elles reposent notamment sur la Convention du Conseil de l’Europe sur la cybercriminalité du 23 novembre 2001, aussi appelée Convention de Budapest, d’ailleurs ratifiée par un très grand nombre de pays hors de l’Union, notamment par les Etats-Unis », complète Guillaume Pellegrin, associé chez Bredin Prat.

Des acteurs du Net soumis à de nouvelles obligations

Les prestataires de services électroniques devront suivre de très près le développement de ces textes car leur mise en œuvre revêt des contraintes juridiques, matérielles ou humaines. « Ils seront tenus de s’organiser en amont pour désigner un établissement ou un représentant légal, et devront par ailleurs répondre dans un certain délai, parfois très court, à une demande des autorités, sous peine de sanctions pécuniaires significatives ou même de sanctions pénales, explique Guillaume Pellegrin. Pour autant, les deux propositions de textes ne concernent que certains fournisseurs de services électroniques limitativement énumérés. Il s’agit des fournisseurs de services de communications électroniques, ceux relatifs aux services liés aux noms de domaines et IP (registres, proxy, etc.) et ceux liés aux services de la société de l’information, tels que définis par de précédentes directives. Seuls ces acteurs seront spécifiquement visés par les procédures contraignantes envisagées par le projet de règlement », ajoute-t-il. Emmanuel Moyne souligne de son côté qu’à ce stade, la définition de prestataire de services, au sens du règlement, demeure assez large et donc floue dans une certaine mesure. « Le texte fournit ainsi les exemples des places de marché en ligne offrant aux consommateurs et aux entreprises la possibilité de communiquer entre eux, les services d’hébergement ou encore les plateformes de jeux en ligne ou de jeux d’argent (considérant 16) », observe-t-il.