Il est essentiel pour les op\u00e9rateurs soumis au r\u00e8glement de l\u2019UE sur les preuves \u00e9lectroniques de bien comprendre les types de demandes EPOC et EPOC-PR. Le r\u00e8glement de l\u2019UE sur les preuves \u00e9lectroniques (r\u00e8glement 2023\/1543) constitue l\u2019une des avanc\u00e9es les plus importantes en mati\u00e8re de collecte transfrontali\u00e8re de preuves num\u00e9riques au sein de l\u2019Union europ\u00e9enne. Fondamentalement, ce r\u00e8glement introduit deux nouveaux instruments juridiques \u2014 le certificat europ\u00e9en d\u2019ordonnance de production (EPOC) et le certificat europ\u00e9en d\u2019ordonnance de conservation (EPOC-PR) \u2014 qui permettent aux autorit\u00e9s judiciaires d\u2019un \u00c9tat membre de l\u2019UE de demander des preuves num\u00e9riques directement aupr\u00e8s de prestataires de services \u00e9tablis dans un autre \u00c9tat membre. Pour les op\u00e9rateurs de t\u00e9l\u00e9communications et autres prestataires de services, il est essentiel de bien comprendre la distinction entre ces deux instruments afin de mettre en place des proc\u00e9dures de r\u00e9ponse conformes.<\/p>\n\n\n\n
Cet article propose une analyse d\u00e9taill\u00e9e de l\u2019EPOC et de l\u2019EPOC-PR, en expliquant le r\u00f4le de chaque instrument, qui est habilit\u00e9 \u00e0 les d\u00e9livrer, ce qu\u2019ils exigent des prestataires de services, en quoi ils diff\u00e8rent l\u2019un de l\u2019autre et comment ils s\u2019articulent avec les dispositifs existants interception l\u00e9gale<\/a> obligations.<\/p>\n\n\n\n L'EPOC est une ordonnance enjoignant \u00e0 un fournisseur de services de communiquer des preuves \u00e9lectroniques sp\u00e9cifiques \u00e0 l'autorit\u00e9 \u00e9mettrice. Il s'agit du plus contraignant des deux instruments, car il impose la divulgation effective des donn\u00e9es. Les EPOC peuvent \u00eatre d\u00e9livr\u00e9s pour des donn\u00e9es relatives aux abonn\u00e9s, \u00e0 l'acc\u00e8s, aux transactions et au contenu, avec des exigences d'autorisation diff\u00e9rentes selon la cat\u00e9gorie de donn\u00e9es demand\u00e9e.<\/p>\n\n\n\n En ce qui concerne les donn\u00e9es relatives aux abonn\u00e9s et les donn\u00e9es d'acc\u00e8s \u2014 qui comprennent les informations d'inscription de base, les adresses IP et les journaux de connexion \u2014, une ordonnance EPOC peut \u00eatre d\u00e9livr\u00e9e par un juge, une juridiction, un juge d'instruction ou un procureur. Pour les donn\u00e9es transactionnelles et les donn\u00e9es de contenu \u2014 qui comprennent les m\u00e9tadonn\u00e9es de communication et le contenu proprement dit des communications \u2014, un EPOC doit \u00eatre d\u00e9livr\u00e9 ou valid\u00e9 par un juge ou un tribunal, ce qui refl\u00e8te l'impact plus important de ces cat\u00e9gories de donn\u00e9es sur la vie priv\u00e9e.<\/p>\n\n\n\n Lorsqu'un prestataire de services re\u00e7oit un EPOC, il doit fournir les donn\u00e9es demand\u00e9es dans un d\u00e9lai de dix jours, ou dans un d\u00e9lai de huit heures en cas d'urgence. Le prestataire doit faire valoir ses \u00e9ventuelles objections \u2014 telles que des questions concernant la validit\u00e9 de l\u2019ordonnance, la port\u00e9e de la demande ou d\u2019\u00e9ventuels conflits avec la l\u00e9gislation de son pays \u2014 par le biais d\u2019une proc\u00e9dure d\u00e9finie impliquant l\u2019autorit\u00e9 d\u2019ex\u00e9cution de son \u00c9tat membre. Toutefois, le prestataire ne peut pas simplement refuser de se conformer ; le r\u00e8glement \u00e9tablit une pr\u00e9somption de conformit\u00e9, les motifs de refus \u00e9tant limit\u00e9s.<\/p>\n\n\n\n L\u2019EPOC marque une rupture significative par rapport aux proc\u00e9dures traditionnelles d\u2019entraide judiciaire (MLA), qui exigent que les demandes transitent par des autorit\u00e9s centrales et dont le traitement peut prendre des mois, voire des ann\u00e9es. En permettant aux autorit\u00e9s judiciaires d\u2019adresser directement des ordonnances aux prestataires de services, le r\u00e8glement sur les preuves \u00e9lectroniques r\u00e9duit consid\u00e9rablement le temps n\u00e9cessaire \u00e0 l\u2019obtention de preuves num\u00e9riques transfrontali\u00e8res. Pour les prestataires de services, cela signifie qu\u2019ils doivent \u00eatre pr\u00eats \u00e0 recevoir, valider et r\u00e9pondre aux EPOC dans des d\u00e9lais tr\u00e8s courts.<\/p>\n\n\n\n L\u2019EPOC-PR est un instrument moins intrusif qui impose \u00e0 un fournisseur de services de conserver des preuves \u00e9lectroniques sp\u00e9cifiques dans l\u2019attente d\u2019une demande de communication ult\u00e9rieure. Contrairement \u00e0 l\u2019EPOC, l\u2019EPOC-PR n\u2019oblige pas le fournisseur \u00e0 divulguer des donn\u00e9es \u2014 il lui impose simplement de veiller \u00e0 ce que les donn\u00e9es sp\u00e9cifi\u00e9es ne soient pas supprim\u00e9es, modifi\u00e9es ou rendues indisponibles de quelque mani\u00e8re que ce soit. L\u2019EPOC-PR fait office de mesure conservatoire visant \u00e0 emp\u00eacher la perte de preuves pendant que l\u2019autorit\u00e9 \u00e9mettrice pr\u00e9pare une ordonnance de production ou toute autre proc\u00e9dure judiciaire en vue d\u2019obtenir les donn\u00e9es.<\/p>\n\n\n\n Une EPOC-PR peut \u00eatre d\u00e9livr\u00e9e par un \u00e9ventail d\u2019autorit\u00e9s plus large que celui pr\u00e9vu pour une EPOC, notamment par les procureurs, ainsi que par les juges et les tribunaux. Cette \u00e9largissement des pouvoirs de d\u00e9livrance refl\u00e8te l\u2019impact moindre de la conservation des donn\u00e9es sur la vie priv\u00e9e (les donn\u00e9es sont conserv\u00e9es mais ne sont pas communiqu\u00e9es) par rapport \u00e0 leur production (les donn\u00e9es sont effectivement communiqu\u00e9es \u00e0 l\u2019autorit\u00e9 requ\u00e9rante).<\/p>\n\n\n\n Lorsqu'un prestataire de services re\u00e7oit une demande EPOC-PR, il doit prendre imm\u00e9diatement les mesures n\u00e9cessaires pour conserver les donn\u00e9es indiqu\u00e9es. L'obligation de conservation s'\u00e9tend sur une p\u00e9riode de 60 jours, qui peut \u00eatre prolong\u00e9e de 30 jours si l'autorit\u00e9 \u00e9mettrice confirme qu'une demande de communication a \u00e9t\u00e9 engag\u00e9e. Si aucune demande de communication n'est re\u00e7ue au cours de la p\u00e9riode de conservation, le prestataire peut supprimer les donn\u00e9es conserv\u00e9es conform\u00e9ment \u00e0 ses politiques habituelles de conservation.<\/p>\n\n\n\n L'EPOC-PR s'av\u00e8re particuli\u00e8rement utile dans les situations o\u00f9 des \u00e9l\u00e9ments de preuve risquent d'\u00eatre supprim\u00e9s \u2014 par exemple, lorsqu'un suspect a connaissance d'une enqu\u00eate et pourrait tenter de d\u00e9truire des preuves, ou lorsque les donn\u00e9es sont susceptibles d'\u00eatre supprim\u00e9es automatiquement en vertu des politiques de conservation du fournisseur de services. En garantissant rapidement la conservation des donn\u00e9es, l\u2019EPOC-PR emp\u00eache la perte de preuves tout en laissant le temps n\u00e9cessaire au processus d\u2019autorisation plus rigoureux requis pour une ordonnance de production.<\/p>\n\n\n\n Les diff\u00e9rences entre l'EPOC et l'EPOC-PR sont fondamentales et portent sur plusieurs aspects. La distinction la plus fondamentale r\u00e9side dans leur finalit\u00e9 : un EPOC impose la production (divulgation) des donn\u00e9es, tandis qu'un EPOC-PR impose uniquement la conservation (r\u00e9tention) des donn\u00e9es. L'impact d'un EPOC sur la vie priv\u00e9e est nettement plus important que celui d'un EPOC-PR, ce qui se traduit par des exigences d'autorisation et des garanties proc\u00e9durales diff\u00e9rentes.<\/p>\n\n\n\n Les exigences relatives \u00e0 l'autorit\u00e9 \u00e9mettrice diff\u00e8rent selon les deux instruments. Les EPOC portant sur les donn\u00e9es transactionnelles et les donn\u00e9es de contenu doivent \u00eatre \u00e9mis ou valid\u00e9s par un juge ou une juridiction, tandis que les EPOC-PR peuvent \u00eatre \u00e9mis par des procureurs sans validation judiciaire. Cette diff\u00e9rence refl\u00e8te le principe de proportionnalit\u00e9 : plus la mesure est intrusive, plus le niveau de contr\u00f4le judiciaire requis est \u00e9lev\u00e9.<\/p>\n\n\n\n Les d\u00e9lais de r\u00e9ponse varient \u00e9galement. Les EPOC doivent \u00eatre ex\u00e9cut\u00e9es dans un d\u00e9lai de dix jours (ou de huit heures en cas d\u2019urgence), tandis que les EPOC-PR exigent une conservation imm\u00e9diate, l\u2019obligation s\u2019\u00e9tendant sur 60 jours (prolongeable jusqu\u2019\u00e0 90 jours). L\u2019EPOC-PR est con\u00e7u comme une mesure rapide et temporaire, tandis que l\u2019EPOC est une ordonnance d\u00e9finitive exigeant un respect strict.<\/p>\n\n\n\n Les motifs de refus diff\u00e8rent selon les deux instruments. Dans le cadre des EPOC, les prestataires de services disposent de motifs limit\u00e9s mais bien d\u00e9finis pour soulever des objections, notamment des questions relatives \u00e0 l\u2019immunit\u00e9 ou aux privil\u00e8ges pouvant s\u2019appliquer aux donn\u00e9es demand\u00e9es, \u00e0 l\u2019impact potentiel sur les droits fondamentaux et aux conflits avec la l\u00e9gislation de l\u2019\u00c9tat membre du prestataire. Pour les EPOC-PR, les motifs d\u2019objection sont plus restreints, ce qui refl\u00e8te la nature moins intrusive de la conservation par rapport \u00e0 la production.<\/p>\n\n\n\n Les op\u00e9rateurs de t\u00e9l\u00e9communications comptent parmi les destinataires les plus susceptibles de recevoir \u00e0 la fois des EPOC et des EPOC-PR, compte tenu du volume de donn\u00e9es relatives aux abonn\u00e9s, au trafic et aux contenus qu\u2019ils d\u00e9tiennent. Les op\u00e9rateurs doivent mettre en place des processus et des syst\u00e8mes permettant de traiter ces deux types d\u2019ordonnances, notamment la capacit\u00e9 de recevoir et de valider les ordonnances entrantes, d\u2019identifier les donn\u00e9es pertinentes dans leurs syst\u00e8mes, de conserver les donn\u00e9es en r\u00e9ponse aux EPOC-PR, de fournir les donn\u00e9es en r\u00e9ponse aux EPOC, de suivre l\u2019\u00e9tat d\u2019avancement et les d\u00e9lais de chaque ordonnance, et de tenir \u00e0 jour la documentation et les pistes d\u2019audit pour conformit\u00e9 r\u00e9glementaire<\/a>.<\/p>\n\n\n\n Le d\u00e9lai de r\u00e9ponse de dix jours pour les EPOC (et de huit heures pour les urgences) est particuli\u00e8rement exigeant. Les op\u00e9rateurs doivent disposer de processus permettant l\u2019identification et l\u2019extraction rapides des donn\u00e9es demand\u00e9es, leur examen par du personnel juridique et de conformit\u00e9 qualifi\u00e9, ainsi que leur transmission s\u00e9curis\u00e9e \u00e0 l\u2019autorit\u00e9 requ\u00e9rante. Les processus manuels reposant sur l\u2019intervention de chaque individu peuvent ne pas suffire \u00e0 respecter ces d\u00e9lais de mani\u00e8re syst\u00e9matique, et les op\u00e9rateurs devraient envisager d\u2019investir dans des syst\u00e8mes automatis\u00e9s ou semi-automatis\u00e9s pour traiter les demandes de preuves \u00e9lectroniques.<\/p>\n\n\n\n Il est important de distinguer les ordonnances relatives aux preuves \u00e9lectroniques de l\u2019interception l\u00e9gale. L\u2019interception l\u00e9gale implique la capture et la transmission en temps r\u00e9el des communications au fur et \u00e0 mesure qu\u2019elles ont lieu. Les ordonnances relatives aux preuves \u00e9lectroniques, en revanche, concernent des donn\u00e9es stock\u00e9es, c'est-\u00e0-dire des donn\u00e9es qui ont d\u00e9j\u00e0 \u00e9t\u00e9 g\u00e9n\u00e9r\u00e9es et qui sont conserv\u00e9es par le fournisseur de services. Un EPOC peut demander des donn\u00e9es historiques de trafic, des dossiers d'abonn\u00e9s ou du contenu stock\u00e9, mais il n'autorise pas l'interception en temps r\u00e9el.<\/p>\n\n\n\n Cependant, ces deux cadres sont compl\u00e9mentaires. Les forces de l\u2019ordre peuvent recourir \u00e0 des mandats relatifs aux preuves \u00e9lectroniques pour obtenir des donn\u00e9es historiques sur les habitudes de communication d\u2019une personne cibl\u00e9e, puis recourir \u00e0 l\u2019interception l\u00e9gale pour surveiller les communications en cours de cette personne. Les op\u00e9rateurs doivent \u00eatre en mesure de prendre en charge ces deux cadres, en disposant de syst\u00e8mes et de processus adapt\u00e9s \u00e0 chacun d\u2019entre eux. Le conservation des donn\u00e9es<\/a> Les politiques de l'op\u00e9rateur jouent \u00e9galement un r\u00f4le important, car la disponibilit\u00e9 des donn\u00e9es historiques d\u00e9pend de la dur\u00e9e pendant laquelle l'op\u00e9rateur conserve les diff\u00e9rentes cat\u00e9gories de donn\u00e9es.<\/p>\n\n\n\n Les op\u00e9rateurs devraient commencer \u00e0 se pr\u00e9parer \u00e0 Conformit\u00e9 en mati\u00e8re de preuves \u00e9lectroniques<\/a> en d\u00e9signant un repr\u00e9sentant l\u00e9gal<\/a> au sein de l\u2019UE (s\u2019ils ne sont pas d\u00e9j\u00e0 implant\u00e9s dans un \u00c9tat membre de l\u2019UE) afin de recevoir et de traiter les ordonnances relatives aux preuves \u00e9lectroniques. Ils doivent revoir leurs politiques de conservation des donn\u00e9es afin de s\u2019assurer que les cat\u00e9gories de donn\u00e9es concern\u00e9es par les preuves \u00e9lectroniques restent disponibles pendant les dur\u00e9es de conservation requises. Elles doivent \u00e9galement mettre en place des proc\u00e9dures internes pour la r\u00e9ception, la validation et le traitement des EPOC et des EPOC-PR, former le personnel concern\u00e9 aux exigences et aux d\u00e9lais applicables, et d\u00e9ployer des syst\u00e8mes techniques permettant l'identification, la conservation et l'extraction rapides des donn\u00e9es demand\u00e9es.<\/p>\n\n\n\n L\u2019EPOC et l\u2019EPOC-PR constituent les deux piliers du cadre de l\u2019UE en mati\u00e8re de preuves \u00e9lectroniques, chacun remplissant un r\u00f4le distinct dans le processus de collecte transfrontali\u00e8re de preuves. L\u2019EPOC impose la production de donn\u00e9es sp\u00e9cifiques, tandis que l\u2019EPOC-PR exige leur conservation. Ensemble, ils offrent aux services r\u00e9pressifs un m\u00e9canisme plus rapide et plus direct pour obtenir des preuves num\u00e9riques au-del\u00e0 des fronti\u00e8res de l\u2019UE, rempla\u00e7ant ainsi la proc\u00e9dure d\u2019entraide judiciaire, lente et fastidieuse. Pour les op\u00e9rateurs de t\u00e9l\u00e9communications, la mise en conformit\u00e9 avec ces deux instruments n\u00e9cessite des investissements dans les processus, les syst\u00e8mes et la formation du personnel ; toutefois, une pr\u00e9paration pr\u00e9coce pr\u00e9sente des avantages, notamment une mise en conformit\u00e9 plus ais\u00e9e, une r\u00e9duction des risques r\u00e9glementaires et une relation constructive avec les autorit\u00e9s charg\u00e9es de l\u2019application de la loi, qui comptent sur la coop\u00e9ration des op\u00e9rateurs.<\/p>\n\n\n Le r\u00e8glement sur les preuves \u00e9lectroniques introduit \u00e9galement des exigences relatives \u00e0 la mise en place d\u2019un syst\u00e8me informatique d\u00e9centralis\u00e9 destin\u00e9 \u00e0 faciliter la transmission des ordonnances relatives aux preuves \u00e9lectroniques entre les \u00c9tats membres et les prestataires de services. Les op\u00e9rateurs doivent suivre de pr\u00e8s le d\u00e9veloppement et le d\u00e9ploiement de ce syst\u00e8me et se pr\u00e9parer \u00e0 s\u2019y int\u00e9grer d\u00e8s qu\u2019il sera op\u00e9rationnel. Ce syst\u00e8me informatique est destin\u00e9 \u00e0 fournir un canal s\u00e9curis\u00e9 et normalis\u00e9 pour l\u2019\u00e9change des ordonnances et des r\u00e9ponses, en remplacement des m\u00e9thodes de communication ponctuelles utilis\u00e9es jusqu\u2019\u00e0 pr\u00e9sent. En s\u2019impliquant d\u00e8s le d\u00e9but dans le processus de mise en \u0153uvre, les op\u00e9rateurs \u00e9viteront les difficult\u00e9s de mise en conformit\u00e9 de derni\u00e8re minute lors de la mise en service du syst\u00e8me et s\u2019assureront que leurs processus internes sont align\u00e9s sur les exigences techniques de la nouvelle infrastructure.<\/p>\n\n\n\n Avec l'entr\u00e9e en vigueur du r\u00e8glement de l'UE sur les preuves \u00e9lectroniques, le volume des demandes EPOC EPOC-PR va consid\u00e9rablement augmenter. Les op\u00e9rateurs doivent s'assurer que leurs processus permettent de traiter ces demandes dans les d\u00e9lais impos\u00e9s.<\/p>\n\n\n\n Pour en savoir plus sur des sujets connexes, consultez les articles suivants :<\/p>\n\n\n\n Les ressources externes suivantes fournissent un contexte suppl\u00e9mentaire et une documentation officielle :<\/p>\n\n\n\nComprendre les requ\u00eates EPOC et EPOC-PR<\/h2>\n\n\n\n
Le certificat europ\u00e9en de conservation (EPOC-PR)<\/h2>\n\n\n\n
Principales diff\u00e9rences entre l'EPOC et l'EPOC-PR<\/h2>\n\n\n\n
Cons\u00e9quences pour les op\u00e9rateurs de t\u00e9l\u00e9communications<\/h2>\n\n\n\n
Lien avec l'interception l\u00e9gale<\/h2>\n\n\n\n
Se pr\u00e9parer \u00e0 la conformit\u00e9 en mati\u00e8re de preuves \u00e9lectroniques<\/h2>\n\n\n\n
Conclusion<\/h2>\n\n\n\n
Articles connexes<\/h2>\n\n\n\n
Ressources externes<\/h2>\n\n\n\n