EPOC vs EPOC-PR : explication des différents types de demandes de preuves électroniques au sein de l'UE

Il est essentiel pour les opérateurs soumis au règlement de l’UE sur les preuves électroniques de bien comprendre les types de demandes EPOC et EPOC-PR. Le règlement de l’UE sur les preuves électroniques (règlement 2023/1543) constitue l’une des avancées les plus importantes en matière de collecte transfrontalière de preuves numériques au sein de l’Union européenne. Fondamentalement, ce règlement introduit deux nouveaux instruments juridiques — le certificat européen d’ordonnance de production (EPOC) et le certificat européen d’ordonnance de conservation (EPOC-PR) — qui permettent aux autorités judiciaires d’un État membre de l’UE de demander des preuves numériques directement auprès de prestataires de services établis dans un autre État membre. Pour les opérateurs de télécommunications et autres prestataires de services, il est essentiel de bien comprendre la distinction entre ces deux instruments afin de mettre en place des procédures de réponse conformes.

Cet article propose une analyse détaillée de l’EPOC et de l’EPOC-PR, en expliquant le rôle de chaque instrument, qui est habilité à les délivrer, ce qu’ils exigent des prestataires de services, en quoi ils diffèrent l’un de l’autre et comment ils s’articulent avec les dispositifs existants interception légale obligations.

Comprendre les requêtes EPOC et EPOC-PR

L'EPOC est une ordonnance enjoignant à un fournisseur de services de communiquer des preuves électroniques spécifiques à l'autorité émettrice. Il s'agit du plus contraignant des deux instruments, car il impose la divulgation effective des données. Les EPOC peuvent être délivrés pour des données relatives aux abonnés, à l'accès, aux transactions et au contenu, avec des exigences d'autorisation différentes selon la catégorie de données demandée.

En ce qui concerne les données relatives aux abonnés et les données d'accès — qui comprennent les informations d'inscription de base, les adresses IP et les journaux de connexion —, une ordonnance EPOC peut être délivrée par un juge, une juridiction, un juge d'instruction ou un procureur. Pour les données transactionnelles et les données de contenu — qui comprennent les métadonnées de communication et le contenu proprement dit des communications —, un EPOC doit être délivré ou validé par un juge ou un tribunal, ce qui reflète l'impact plus important de ces catégories de données sur la vie privée.

Lorsqu'un prestataire de services reçoit un EPOC, il doit fournir les données demandées dans un délai de dix jours, ou dans un délai de huit heures en cas d'urgence. Le prestataire doit faire valoir ses éventuelles objections — telles que des questions concernant la validité de l’ordonnance, la portée de la demande ou d’éventuels conflits avec la législation de son pays — par le biais d’une procédure définie impliquant l’autorité d’exécution de son État membre. Toutefois, le prestataire ne peut pas simplement refuser de se conformer ; le règlement établit une présomption de conformité, les motifs de refus étant limités.

L’EPOC marque une rupture significative par rapport aux procédures traditionnelles d’entraide judiciaire (MLA), qui exigent que les demandes transitent par des autorités centrales et dont le traitement peut prendre des mois, voire des années. En permettant aux autorités judiciaires d’adresser directement des ordonnances aux prestataires de services, le règlement sur les preuves électroniques réduit considérablement le temps nécessaire à l’obtention de preuves numériques transfrontalières. Pour les prestataires de services, cela signifie qu’ils doivent être prêts à recevoir, valider et répondre aux EPOC dans des délais très courts.

Le certificat européen de conservation (EPOC-PR)

L’EPOC-PR est un instrument moins intrusif qui impose à un fournisseur de services de conserver des preuves électroniques spécifiques dans l’attente d’une demande de communication ultérieure. Contrairement à l’EPOC, l’EPOC-PR n’oblige pas le fournisseur à divulguer des données — il lui impose simplement de veiller à ce que les données spécifiées ne soient pas supprimées, modifiées ou rendues indisponibles de quelque manière que ce soit. L’EPOC-PR fait office de mesure conservatoire visant à empêcher la perte de preuves pendant que l’autorité émettrice prépare une ordonnance de production ou toute autre procédure judiciaire en vue d’obtenir les données.

Une EPOC-PR peut être délivrée par un éventail d’autorités plus large que celui prévu pour une EPOC, notamment par les procureurs, ainsi que par les juges et les tribunaux. Cette élargissement des pouvoirs de délivrance reflète l’impact moindre de la conservation des données sur la vie privée (les données sont conservées mais ne sont pas communiquées) par rapport à leur production (les données sont effectivement communiquées à l’autorité requérante).

Lorsqu'un prestataire de services reçoit une demande EPOC-PR, il doit prendre immédiatement les mesures nécessaires pour conserver les données indiquées. L'obligation de conservation s'étend sur une période de 60 jours, qui peut être prolongée de 30 jours si l'autorité émettrice confirme qu'une demande de communication a été engagée. Si aucune demande de communication n'est reçue au cours de la période de conservation, le prestataire peut supprimer les données conservées conformément à ses politiques habituelles de conservation.

L'EPOC-PR s'avère particulièrement utile dans les situations où des éléments de preuve risquent d'être supprimés — par exemple, lorsqu'un suspect a connaissance d'une enquête et pourrait tenter de détruire des preuves, ou lorsque les données sont susceptibles d'être supprimées automatiquement en vertu des politiques de conservation du fournisseur de services. En garantissant rapidement la conservation des données, l’EPOC-PR empêche la perte de preuves tout en laissant le temps nécessaire au processus d’autorisation plus rigoureux requis pour une ordonnance de production.

Principales différences entre l'EPOC et l'EPOC-PR

Les différences entre l'EPOC et l'EPOC-PR sont fondamentales et portent sur plusieurs aspects. La distinction la plus fondamentale réside dans leur finalité : un EPOC impose la production (divulgation) des données, tandis qu'un EPOC-PR impose uniquement la conservation (rétention) des données. L'impact d'un EPOC sur la vie privée est nettement plus important que celui d'un EPOC-PR, ce qui se traduit par des exigences d'autorisation et des garanties procédurales différentes.

Les exigences relatives à l'autorité émettrice diffèrent selon les deux instruments. Les EPOC portant sur les données transactionnelles et les données de contenu doivent être émis ou validés par un juge ou une juridiction, tandis que les EPOC-PR peuvent être émis par des procureurs sans validation judiciaire. Cette différence reflète le principe de proportionnalité : plus la mesure est intrusive, plus le niveau de contrôle judiciaire requis est élevé.

Les délais de réponse varient également. Les EPOC doivent être exécutées dans un délai de dix jours (ou de huit heures en cas d’urgence), tandis que les EPOC-PR exigent une conservation immédiate, l’obligation s’étendant sur 60 jours (prolongeable jusqu’à 90 jours). L’EPOC-PR est conçu comme une mesure rapide et temporaire, tandis que l’EPOC est une ordonnance définitive exigeant un respect strict.

Les motifs de refus diffèrent selon les deux instruments. Dans le cadre des EPOC, les prestataires de services disposent de motifs limités mais bien définis pour soulever des objections, notamment des questions relatives à l’immunité ou aux privilèges pouvant s’appliquer aux données demandées, à l’impact potentiel sur les droits fondamentaux et aux conflits avec la législation de l’État membre du prestataire. Pour les EPOC-PR, les motifs d’objection sont plus restreints, ce qui reflète la nature moins intrusive de la conservation par rapport à la production.

Conséquences pour les opérateurs de télécommunications

Les opérateurs de télécommunications comptent parmi les destinataires les plus susceptibles de recevoir à la fois des EPOC et des EPOC-PR, compte tenu du volume de données relatives aux abonnés, au trafic et aux contenus qu’ils détiennent. Les opérateurs doivent mettre en place des processus et des systèmes permettant de traiter ces deux types d’ordonnances, notamment la capacité de recevoir et de valider les ordonnances entrantes, d’identifier les données pertinentes dans leurs systèmes, de conserver les données en réponse aux EPOC-PR, de fournir les données en réponse aux EPOC, de suivre l’état d’avancement et les délais de chaque ordonnance, et de tenir à jour la documentation et les pistes d’audit pour conformité réglementaire.

Le délai de réponse de dix jours pour les EPOC (et de huit heures pour les urgences) est particulièrement exigeant. Les opérateurs doivent disposer de processus permettant l’identification et l’extraction rapides des données demandées, leur examen par du personnel juridique et de conformité qualifié, ainsi que leur transmission sécurisée à l’autorité requérante. Les processus manuels reposant sur l’intervention de chaque individu peuvent ne pas suffire à respecter ces délais de manière systématique, et les opérateurs devraient envisager d’investir dans des systèmes automatisés ou semi-automatisés pour traiter les demandes de preuves électroniques.

Lien avec l'interception légale

Il est important de distinguer les ordonnances relatives aux preuves électroniques de l’interception légale. L’interception légale implique la capture et la transmission en temps réel des communications au fur et à mesure qu’elles ont lieu. Les ordonnances relatives aux preuves électroniques, en revanche, concernent des données stockées, c'est-à-dire des données qui ont déjà été générées et qui sont conservées par le fournisseur de services. Un EPOC peut demander des données historiques de trafic, des dossiers d'abonnés ou du contenu stocké, mais il n'autorise pas l'interception en temps réel.

Cependant, ces deux cadres sont complémentaires. Les forces de l’ordre peuvent recourir à des mandats relatifs aux preuves électroniques pour obtenir des données historiques sur les habitudes de communication d’une personne ciblée, puis recourir à l’interception légale pour surveiller les communications en cours de cette personne. Les opérateurs doivent être en mesure de prendre en charge ces deux cadres, en disposant de systèmes et de processus adaptés à chacun d’entre eux. Le conservation des données Les politiques de l'opérateur jouent également un rôle important, car la disponibilité des données historiques dépend de la durée pendant laquelle l'opérateur conserve les différentes catégories de données.

Se préparer à la conformité en matière de preuves électroniques

Les opérateurs devraient commencer à se préparer à Conformité en matière de preuves électroniques en désignant un représentant légal au sein de l’UE (s’ils ne sont pas déjà implantés dans un État membre de l’UE) afin de recevoir et de traiter les ordonnances relatives aux preuves électroniques. Ils doivent revoir leurs politiques de conservation des données afin de s’assurer que les catégories de données concernées par les preuves électroniques restent disponibles pendant les durées de conservation requises. Elles doivent également mettre en place des procédures internes pour la réception, la validation et le traitement des EPOC et des EPOC-PR, former le personnel concerné aux exigences et aux délais applicables, et déployer des systèmes techniques permettant l'identification, la conservation et l'extraction rapides des données demandées.

Conclusion

L’EPOC et l’EPOC-PR constituent les deux piliers du cadre de l’UE en matière de preuves électroniques, chacun remplissant un rôle distinct dans le processus de collecte transfrontalière de preuves. L’EPOC impose la production de données spécifiques, tandis que l’EPOC-PR exige leur conservation. Ensemble, ils offrent aux services répressifs un mécanisme plus rapide et plus direct pour obtenir des preuves numériques au-delà des frontières de l’UE, remplaçant ainsi la procédure d’entraide judiciaire, lente et fastidieuse. Pour les opérateurs de télécommunications, la mise en conformité avec ces deux instruments nécessite des investissements dans les processus, les systèmes et la formation du personnel ; toutefois, une préparation précoce présente des avantages, notamment une mise en conformité plus aisée, une réduction des risques réglementaires et une relation constructive avec les autorités chargées de l’application de la loi, qui comptent sur la coopération des opérateurs.

Le règlement sur les preuves électroniques introduit également des exigences relatives à la mise en place d’un système informatique décentralisé destiné à faciliter la transmission des ordonnances relatives aux preuves électroniques entre les États membres et les prestataires de services. Les opérateurs doivent suivre de près le développement et le déploiement de ce système et se préparer à s’y intégrer dès qu’il sera opérationnel. Ce système informatique est destiné à fournir un canal sécurisé et normalisé pour l’échange des ordonnances et des réponses, en remplacement des méthodes de communication ponctuelles utilisées jusqu’à présent. En s’impliquant dès le début dans le processus de mise en œuvre, les opérateurs éviteront les difficultés de mise en conformité de dernière minute lors de la mise en service du système et s’assureront que leurs processus internes sont alignés sur les exigences techniques de la nouvelle infrastructure.

Avec l'entrée en vigueur du règlement de l'UE sur les preuves électroniques, le volume des demandes EPOC EPOC-PR va considérablement augmenter. Les opérateurs doivent s'assurer que leurs processus permettent de traiter ces demandes dans les délais imposés.

Articles connexes

Pour en savoir plus sur des sujets connexes, consultez les articles suivants :

Ressources externes

Les ressources externes suivantes fournissent un contexte supplémentaire et une documentation officielle :

Règlement de l'UE sur les preuves électroniques (UE 2023/1543)