Preuves électroniques pour les places de marché en ligne et les plates-formes en nuage : Ce qu'il faut savoir

Le Règlement (UE) 2023/1543 relatif aux preuves électroniques is often discussed as if it were a problem only for telecoms. It is not. Since 18 août 2026, online marketplaces, SaaS platforms, cloud storage and IaaS providers, hosting companies, social networks and collaboration tools can all be in scope, if they let users communicate with each other or if storing data for users is a defining part of the service. If that describes your platform and you offer services to users in the EU, you must be ready to receive and execute European Production Orders (sent as EPOCs) and European Preservation Orders (transmitted as EPOC-PR certificates) — directly from the issuing authority, on tight regulatory deadlines. For production orders covering traffic or content data, the authority in your addressee’s Member State is usually notified and can raise grounds for refusal within 10 days (96 hours in emergencies).

For platforms that have historically dealt with data requests as an occasional, ad-hoc legal matter, this is a step-change. The German government’s implementing bill estimates around 10,000 affected service providers in Germany alone. This guide explains exactly which platforms are affected, what kinds of orders to expect, what the regulation requires of marketplaces and cloud providers in particular, and how to build a compliant operating model now that the Regulation applies.

Quelles sont les plateformes en ligne concernées par e-Evidence ?

Le règlement utilise délibérément des définitions larges et neutres sur le plan technologique pour tenir compte des réalités des services en ligne modernes. Les catégories les plus directement pertinentes pour les opérateurs de plateformes sont les suivantes :

• Marchés en ligne — where they let buyers and sellers communicate with each other (messaging, Q&A, reviews) or store data on users’ behalf; being a marketplace is not enough on its own (Regulation (EU) 2023/1543, Art. 3(3)(c) and recital 27). This can cover B2C marketplaces, peer-to-peer trading platforms, ticketing platforms, gig and on-demand marketplaces, and rental platforms.
• Fournisseurs de services d'informatique en nuage et de stockage - Fournisseurs de services IaaS, PaaS et SaaS, services de stockage d'objets et de fichiers, fournisseurs de services de sauvegarde et de reprise après sinistre, et services de bases de données gérées.
• Fournisseurs d'hébergement — managed hosting, dedicated servers, VPS, and CDNs and edge platforms where they store customer data.
• Réseaux sociaux et communautés en ligne - y compris les forums, les applications de rencontre, les réseaux professionnels, les plates-formes de jeux dotées de fonctions sociales et les plates-formes de création/diffusion.
• Services de la société de l'information qui stockent les données des utilisateurs - des suites de collaboration, des outils de partage de fichiers, des plateformes de gestion de projets, des plateformes à code réduit ou sans code et des produits d'IA qui conservent les invites ou les résultats.
• Services de domaines Internet et de numérotation IP — registries, registrars, privacy/proxy services and regional internet registries.
• Communications interpersonnelles indépendantes du nombre - des fonctions de messagerie, de vidéoconférence et de chat intégrées dans des produits plus importants.

Il est essentiel que le règlement applique le principe de l'égalité de traitement entre les hommes et les femmes. “Critère du ”lien substantiel: you are in scope if users in the EU can use your service and you have a substantial connection to the EU: an establishment there, a significant number of EU users, or activities targeted at EU Member States (language, currency, local app store, ads), regardless of where your corporate entity is registered. Mere accessibility of your website is not enough.

Quel type de données les autorités demanderont-elles ?

Le règlement distingue quatre catégories de preuves électroniques, chacune étant assortie de seuils et de garanties différents :

1. Données relatives à l'abonné - identité, coordonnées, informations de facturation, type de service utilisé et date d'enregistrement.
2. Données demandées dans le seul but d'identifier l'utilisateur — IP addresses with, where needed, source port and timestamp, requested only to identify a person.
3. Données sur le trafic (other than identification data) — connection logs, transaction metadata, purchase history, device IDs, timestamps and routing information.
4. Données de contenu — listings, messages, uploaded files, photos, documents and other substantive content.

For production orders, subscriber and identification data may be requested for any criminal offence; traffic and content data are reserved for offences punishable in the issuing State by a maximum sentence of at least three years, or for listed offences: non-cash payment fraud, child sexual abuse and attacks against information systems committed online, and terrorist offences. Preservation orders can cover any data category for any criminal offence. Marketplaces and plateformes cloud comprennent généralement les quatre catégories — c'est pourquoi la mise en correspondance précise des données constitue une tâche fondamentale en matière de conformité.

Scénarios typiques de preuves électroniques sur les places de marché et les plateformes en nuage

Fraude sur les marchés en ligne

An investigator pursuing a fraud ring asks a marketplace operator for the seller’s identity, registration IP, transaction history and message threads with victims. Subscriber data and the registration IP address (identification data) can be ordered for any criminal offence. Transaction metadata, message threads and photos are traffic and content data: they need a judge-issued or judge-validated order for an offence carrying a maximum of at least three years (or a listed offence such as online payment fraud), and the enforcing State is usually notified at the same time.

Ransomware et abus d'infrastructure sur les plates-formes en nuage

A prosecutor investigating a ransomware operation asks a cloud provider for control-plane logs, instance metadata, billing identity and storage access logs for a suspect tenant. Where the attack threatens life or critical infrastructure (e.g. a hospital), these can arrive as emergency orders with an 8-hour deadline; otherwise the 10-day deadline applies.

Enquêtes sur la sécurité des enfants en ligne

Investigations into child sexual abuse material on social or content platforms typically combine identification orders with content production and preservation orders. These cases benefit from the Regulation’s specific offence list and, where a child is at imminent risk, the 8-hour emergency regime, but also demand the highest standards of integrity and chain of custody.

Prise de contrôle de comptes et hameçonnage à grande échelle

Authorities may issue European Preservation Orders (sent as EPOC-PRs) early in an investigation to lock down logs and account data while a production order is prepared. Platforms must be able to preserve specific datasets for 60 days, extendable by 30, and for as long as needed once the authority confirms that a production request has been issued, without disturbing normal retention or analytics workflows.

Designated Establishment or Legal Representative: Who Receives Your Orders

Every in-scope provider that is active in more than one Member State, or established outside the EU, must name an addressee for orders: EU-established providers designate one of their EU establishments as the établissement agréé; providers without an EU establishment appoint a représentant légal in a participating Member State (Directive (EU) 2023/1544, Art. 3). New entrants have six months from launch. This addressee is the address of service for every EPOC and EPOC-PR — and is itself liable for compliance.

• Without a designated establishment or legal representative you breach national law implementing Directive (EU) 2023/1544 (in Germany: fines up to EUR 500,000). Failing to execute orders can cost up to 2% of worldwide turnover.
• L'entité désignée doit être enregistrée auprès de l'autorité nationale compétente (en Allemagne, la Bundesamt für Justiz (Office fédéral de la justice); d'autres États membres ont des équivalents).
• Elle doit avoir l'autorité - et la capacité opérationnelle - d'agir sur les commandes dans les délais réglementaires.
• Il doit se coordonner de manière transparente avec vos équipes juridiques, de sécurité et d'ingénierie au niveau mondial, souvent à travers des fuseaux horaires.

For non-EU platforms, the most efficient solution is often a legal representative service: an EU-based partner appointed under Directive (EU) 2023/1544, jointly liable with you, that runs the 24/7 intake, validates and triages orders, and escalates to your in-house teams the substantive decisions that require platform-side knowledge. SMEs may share a legal representative with other providers.

Exigences opérationnelles pour les places de marché et les plateformes en nuage

La conformité n'est pas qu'un simple exercice administratif. Pour respecter de manière fiable les délais standard de 10 jours et les délais d'urgence de 8 heures, les plates-formes ont généralement besoin de.. :

• Secure intake through the national e-Evidence system of the Member State where your addressee sits, either via the ETSI TS 104 144 API or the web interface, with validation of qualified electronic signatures and seals (Art. 21) and issuing-authority credentials.
• Découverte de données intersystèmes capable de localiser les données relatives aux abonnés, à l'identification, au trafic et au contenu dans les magasins de données existants et modernes.
• Standardised delivery through the same channel, in formats the issuing authority can process, with integrity hashes.
• Livraison cryptée to the issuing authority’s X.509 certificate where one is supplied, with verifiable receipt and audit-grade logging; files over 25 MB go by the most appropriate secure alternative means (Art. 19(5)).
• Pistes d'audit infalsifiables couvrant chaque action, de la réception à la livraison, ce qui est essentiel pour l'intégrité des preuves et l'examen réglementaire a posteriori.
• Des juristes et des ingénieurs sont disponibles 24 heures sur 24 et 7 jours sur 7, Le système de gestion de l'information de l'Union européenne (UE) a été mis en place, avec des plans d'exécution répétés pour les commandes d'urgence.
• Contrôles de minimisation des données s'assurer que vous ne divulguez que ce qui a été spécifiquement commandé, conformément à l'article 5 du GDPR.
• Optional e-Evidence statistics (Art. 28(4)), coordinated with any DSA transparency reporting you already publish.

Les plus grandes plateformes peuvent réaliser tout cela en interne, mais la plupart des places de marché et des fournisseurs de services en nuage bénéficient d'une solution conçue à cet effet. Les ICS Plate-forme de conformité e-Evidence couvre l'ensemble du cycle de vie - de la réception à la validation, l'extraction, l'examen et la livraison - et s'intègre aux systèmes d'identité, d'enregistrement et de stockage existants.

Considérations particulières pour les fournisseurs de services en nuage

Cloud providers face several layered challenges that pure-content platforms do not. Orders should normally go to your business customer as data controller. You will be addressed directly only if the controller cannot be identified or approaching it would jeopardise the investigation, and you must inform the customer unless the authority asks you not to (Art. 5(6)-(7)).

• Multi-tenance et isolation : La production doit cibler les données d'un seul client sans exposer les autres locataires - tant sur le plan technique que contractuel.
• Cryptage contrôlé par le client : lorsque les clients détiennent leurs propres clés (BYOK/HYOK), le fournisseur peut réellement être dans l'incapacité de produire des données de contenu, et cette limitation doit être documentée et communiquée.
• Responsabilité partagée : Les contrats et les accords de traitement des données doivent clairement indiquer quelle partie est responsable de la réception et de l'exécution des ordres des services répressifs pour quelles données.
• Notification des clients : les clients commerciaux - en particulier les entreprises B2B - ont souvent le droit contractuel d'être informés des demandes d'accès, sous réserve des obligations de confidentialité imposées par l'autorité émettrice.
• Réplication interrégionale : data may sit in multiple Member States or third countries, raising potential conflicts between EU orders and third-country law (the “Article 17 review”), raised as a reasoned objection within 10 days; the mere fact that data is stored outside the EU is not a valid ground.

Considérations particulières pour les marchés en ligne

• Données de vérification du vendeur (KYC, enregistrement des entreprises, numéros d'identification fiscale) sont souvent les données sur les abonnés les plus précieuses pour les enquêteurs et doivent être facilement extractibles.
• Annonces et messages sont généralement des données de contenu et requièrent le seuil de gravité le plus élevé pour être produites.
• Données de paiement held by payment service providers is outside the e-Evidence Regulation (financial services are excluded); authorities obtain it through national procedures.
• Vendeurs transfrontaliers créer des chevauchements avec les obligations en matière de protection des consommateurs, de TVA et d'ASD ; e-Evidence devrait être intégré à ces programmes et ne pas faire double emploi avec eux.

Sanctions en cas de non-conformité

Member States must impose effective, proportionate and dissuasive penalties. Member States must allow pecuniary penalties of up to 2% of total worldwide annual turnover for failing to execute orders or protect their confidentiality. Germany, for example, fines up to EUR 500,000, or up to 2% of turnover for providers above EUR 25 million; for hyperscalers and large marketplaces, the headline figures rapidly become material to financial reporting. Beyond fines, repeated failures can trigger court orders, regulatory action and significant reputational damage with enterprise customers, partners and investors.

A 90-Day Catch-Up Plan for Platforms

1. Days 1–15 — Scope and data mapping. Confirmer quels sont les entités et les services concernés, cartographier les données relatives aux abonnés, à l'identification, au trafic et au contenu dans les différents systèmes, identifier les lacunes.
2. Days 15–30 — Legal foundations. Designate an EU establishment or appoint a legal representative, register with the competent authority, update contracts, DPAs, terms and law-enforcement guidelines.
3. Days 30–60 — Technical build. Connect to the national e-Evidence system of the Member State where your addressee sits (ETSI TS 104 144 API or web interface). As of September 2026 only Germany and Ireland can receive orders this way; elsewhere, agree a secure fallback channel with the authorities. Deploy intake/validation/extraction tooling, harden audit logging.
4. Days 60–80 — Operational readiness. Recruter et former l'équipe d'intervention 24/7, finaliser les manuels, organiser des exercices de simulation d'urgence.
5. Days 80–90 — Assurance. Independent compliance audit, board-level sign-off and a go-live rehearsal.

Questions fréquemment posées

Pour une référence plus détaillée, voir notre site dédié FAQ e-Evidence.

Le système e-Evidence s'applique-t-il aux petites places de marché et aux jeunes entreprises de l'informatique dématérialisée ?

Yes. There is no general SME exemption. If you offer an in-scope service to users in the EU, you are in scope regardless of headcount or revenue. Smaller platforms can scope their compliance proportionately, but the core obligations — designated establishment or legal representative, intake, response capacity — still apply. The exception: a provider established in one Member State and offering services only there need not designate an addressee (Directive (EU) 2023/1544, Art. 1(5)). SMEs may share a legal representative with other providers.

Pouvons-nous nous appuyer sur les procédures existantes en matière d'application de la loi ?

Probably not. Most existing workflows assume manual email/portal intake and weeks of turnaround. The e-Evidence Regulation requires intake through the national e-Evidence system (ETSI TS 104 144 API or web interface), hour-level emergency response and tamper-evident audit logs that legacy workflows usually do not provide.

Que se passe-t-il si les données sont détenues par un sous-traitant ou une autre partie de notre groupe ?

The provider receiving the order is responsible for executing it. Orders are normally addressed to the data controller; a processor is addressed only if the controller cannot be identified or approaching it would jeopardise the investigation, and must then inform the controller unless told not to (Art. 5(6)-(7)). Internal contracts and data-processing arrangements must be aligned so that you can compel a sub-processor or affiliate to deliver data within the regulatory deadlines.

Qu'en est-il des services cryptés de bout en bout ?

Le règlement n'exige pas des fournisseurs qu'ils affaiblissent le cryptage. Si vous ne pouvez réellement pas accéder aux données de contenu en raison de clés détenues par le client ou d'une véritable architecture E2E, cette limitation peut être communiquée, mais vous devez toujours produire les données relatives aux abonnés, à l'identification et aux métadonnées auxquelles vous avez accès.

Comment ICS aide les plateformes à se préparer

ICS fournit à la fois le plate-forme de conformité technique and a legal representative service (with support for EU providers running their own designated establishment) for platforms of all sizes — from fast-growing SaaS scale-ups to global marketplaces and hyperscale cloud providers. Our combined offering covers intake through the national e-Evidence system (ETSI TS 104 144 API or web interface), automated validation, multi-system data extraction, encrypted delivery, tamper-evident audit logging and 24/7 managed operations, all framed within an integrated Programme de conformité e-Evidence.

Contactez ICS aujourd'hui for an independent e-Evidence readiness assessment for your platform, with a clear plan to close any gaps now that the Regulation applies (since 18 August 2026).