Les 28 ministres de la Justice ont examiné il y a quelques jours les 2 textes présentés mi-avril pour régler le problème des cyber-preuves : une directive et un règlement. Mais le règlement qui instaure un instrument sur les cyberpreuves (e-evidence) est le plus important.
Ce règlement institue une injonction judiciaire pour accélérer le recueil des preuves détenues par des fournisseurs de services (fournisseurs de communications électroniques, réseaux sociaux et marchés en ligne par exemple).
Quel est le problème ?
Pour un nombre croissant d’affaires pénales, les autorités des États membres doivent pouvoir accéder à des données susceptibles de servir de preuves et qui sont stockées à l’extérieur de leurs frontières par des fournisseurs de services établis dans d’autres États membres ou dans des pays hors UE.
Pour ces cas où les preuves ou les fournisseurs de services se trouvent à l'étranger, des mécanismes de coopération ont été mis en place entre pays depuis plusieurs dizaines d’années.
Malgré de fréquentes réformes, ces mécanismes de coopération sont mis à rude épreuve face à la nécessité grandissante d'accéder aux preuves électroniques à l'étranger.
Plusieurs États membres et pays hors UE ont réagi en développant leurs outils nationaux.
Or, les obligations imposées aux prestataires de services, en particulier dans le cadre de procédures pénales, font actuellement l’objet d’approches différentes dans les États membres.
Cette division est source d’insécurité juridique pour les personnes concernées et peut conduire à des régimes d'obligations et de sanctions différents et parfois contradictoires pour les prestataires de services selon qu’ils fournissent des services :
- à l’échelle nationale,
- au niveau transfrontière au sein de l’UE,
- depuis un endroit situé en-dehors de l’UE.
D’où vient-on et où va-t-on ?
En 2016, le Conseil a réclamé des mesures concrètes fondées sur une approche européenne.
Le Parlement européen a également souligné les défis que le cadre juridique actuellement fragmenté pose aux fournisseurs de services.
Il a préconisé un cadre juridique européen garantissant les droits et les libertés de tous.
Sont visés par cette injonction émise dans le cadre d’une enquête pénale, les fournisseurs situés dans l’UE, mais aussi en dehors, notamment aux États-Unis (le 3e pays recevant le plus grand nombre de demandes émises par l’UE).
D’ailleurs, ces 2 textes interviennent au moment où le président ds États-Unis a signé loi Cloud Act qui offre un cadre légal à la saisie d'emails et de communications électroniques localisés dans les serveurs de sociétés américaines à l'étranger sans obtenir l'accord du juge.
Les ministres de la Justice ont réaffirmé qu'il était important de disposer de mécanismes efficaces et rapide de collecte et d'utilisation des preuves électroniques. En ce qui concerne l'évolution récente au niveau international, en particulier l'adoption de le Cloud Act, ils se sont déclarés favorables à une approche commune au niveau de l'UE et ils ont encouragé la Commission :
- à poursuivre ses contacts avec les autorités des États-Unis;
- à soumettre d'urgence un mandat de négociation, de préférence avant la trêve estivale.
La suite donc : un accord UE-États-Unis pour articuler deux modèles différents en matière de cyber-preuves (même si le modèle européen pourrait être écorné, les ministres de la Justice de plusieurs Etats membres s'étant, lors de leur rencontre de juin, montrés en faveur de l'extension du champ du texte aux données en temps réel et à la possibilité, dans certaines hypothèses, d'un accès direct aux données sans l'intermédiaire du fournisseur de service). C'est le cas de la police, mais ce point est débattu entre ministres.
- à lire sur securiteinterieure.fr : Cybersécurité : une évaluation des politiques nationales préconise l’extension de l’obligation de notification en cas de cyberattaques et une stratégie pour casser le chiffrement
De quoi parle-t-on ?
L’instrument d’e-preuve cible le problème spécifique que posent la nature volatile des preuves électroniques et leur dimension internationale. Elle vise à adapter les mécanismes de coopération à l’ère numérique. Il s’agit de fournir les outils judiciaires et répressifs nécessaires pour :
- tenir compte des modes de communication actuels des criminels ;
- pour lutter contre les formes modernes de criminalité.
Cet instrument d’e-preuve coexistera avec les instruments actuels de coopération judiciaire. Parallèlement, la Commission s'efforce de renforcer les mécanismes de coopération judiciaire existants à l’aide de mesures telles que :
- la création d’une plateforme sûre pour échanger rapidement les demandes entre les autorités judiciaires au sein de l’UE,
- un investissement d’1 million d’euros pour former des praticiens de tous les États membres de l’UE à l’entraide et à la coopération judiciaires.
Quelles sont les injonctions européennes prévues par le règlement ?
Le nouvel instrument s’appuiera sur les principes de reconnaissance mutuelle afin de faciliter la collecte transfrontière des preuves électroniques.
Plus précisément, la proposition de règlement introduit des injonctions européennes de production et de conservation contraignantes.
Les 2 injonctions doivent être émises ou validées par une autorité judiciaire d’un État membre.
Ces injonctions ne peuvent être :
- émises que s’il existe une mesure similaire pour la même infraction pénale dans une situation nationale comparable dans l’État d’émission ;
- signifiées aux fournisseurs de services.
L’injonction européenne de conservation et l’injonction de production
Une injonction peut être émise pour conserver ou produire des données stockées par un fournisseur de services situé dans une autre juridiction, et qui doivent servir de preuves dans le cadre d’enquêtes judiciaires ou de procédures pénales.
L’injonction européenne de conservation, comme l’injonction de production, est adressée au représentant légal hors de la juridiction de l’État membre d’émission pour conserver les données en vue d’une demande ultérieure de production de ces données.
C’est le cas, par exemple au moyen des canaux d’entraide judiciaire dans le cas de pays hors UE.
L’injonction européenne de conservation :
- comme l’injonction européenne de production, vise les auteurs connus ou inconnus d’une infraction pénale déjà commise ;
- permet uniquement de conserver des données déjà stockées au moment de la réception de l’injonction. Elle ne permet donc pas d’accéder aux données à une date postérieure à la réception.
La proposition ne concerne que les données stockées.
Elle ne couvre pas l’interception des télécommunications en temps réel.
Des garanties prévues pour les mis en cause et pour les fournisseurs de services
Compte tenu du caractère intrusif, la proposition comporte l’obligation d’obtenir la validation préalable des injonctions par une autorité judiciaire. La mesure :
- se limite aux données nécessaires pour la procédure pénale ;
- permet également aux fournisseurs de services d’obtenir des éclaircissements auprès des autorités d’émission, le cas échéant.
De plus, une procédure spécifique est prévue dans les cas où l’obligation de fournir des données est contraire à une obligation découlant de la législation d’un pays hors UE.
Enfin, la proposition prévoit des droits procéduraux qui comprennent la possibilité de contester la légalité de l’injonction sans restriction des motifs de récusation conformément à la législation nationale.
Des injonctions très encadrées
Aucune autorité dans le pays de résidence du destinataire de l'injonction ne devra procéder directement à sa signification ni à son exécution.
L’instrument requiert par conséquent un ensemble de garanties et de dispositions solides, telles que la validation par une autorité judiciaire dans chaque cas. Par exemple, les injonctions européennes de production de données relatives aux transactions ou au contenu (contrairement aux données relatives aux abonnés et aux données relatives à l'accès) ne peuvent être émises que pour certaines infractions pénales .
Les deux injonctions ne peuvent servir que dans le cadre de procédures pénales (depuis la phase d'instruction préalable au procès jusqu’au jugement). Les injonctions de production de données :
- relatives aux abonnés et de données relatives à l’accès peuvent être émises pour toutes les infractions pénales ;
- relatives aux transactions ou au contenu ne peuvent être émises que pour les infractions pénales passibles dans l’État d’émission d’une peine de prison d’au moins 3 ans au maximum.
Quel rapport avec la décision d’enquête européenne ?
Par l’introduction d’injonctions européennes de production et de conservation, la proposition contribue à simplifier l’obtention et la collecte, dans le cadre de procédures pénales, des preuves électroniques qui sont stockées ou détenues par des fournisseurs de services relevant d’une autre juridiction.
La directive concernant la décision d’enquête européenne en matière pénale, qui remplace dans une large mesure la convention relative à l’entraide judiciaire en matière pénale, couvre toutes les mesures d’enquête.
Ce nouvel instrument couvre l’accès aux preuves électroniques, mais ne contient aucune disposition spécifique à ce type de preuves.
Le nouvel instrument e-preuve fournit un outil supplémentaire aux autorités.
Par exemple, dans certaines situations qui requièrent la mise en œuvre de plusieurs mesures d’enquête dans l’État membre chargé de la mise en œuvre, les autorités pourraient choisir prioritairement de recourir à la décision d’enquête européenne.
Pour la Commission, il est préférable de créer un nouvel instrument pour les preuves électroniques plutôt que de modifier la directive concernant la décision d’enquête européenne en raison des difficultés spécifiques inhérentes à l’obtention des preuves électroniques qui n'ont pas d'incidence sur les autres mesures d’enquête prévues par la directive.
Quel lien avec la proposition de directive ?
Les autorités doivent pouvoir s'appuyer sur le représentant légal désigné par les fournisseurs de services pour la signification et l'exécution des décisions au titre de cet instrument d’e-preuve.
La Commission présente donc le même jour une proposition pour s’assurer que ces représentants légaux soient effectivement désignés. E
lle prévoit une solution commune à l’échelle de l’Union pour remettre les décisions de justice aux fournisseurs de services par l’intermédiaire d’un représentant légal.
L’obligation de désigner un représentant légal pour tous les prestataires de services opérant dans l’Union garantirait la présence permanente d’un destinataire clairement désigné pour les injonctions visant à recueillir des preuves dans le cadre de procédures pénales.
Il serait de la sorte plus facile pour les prestataires de services de respecter ces injonctions, étant donné que le représentant légal serait chargé de recevoir, de respecter et d’exécuter ces injonctions au nom du prestataire de services.
Il est prévu que lorsque les prestataires de services ne se conforment pas à la directive, les États membres doivent prévoir des sanctions.
synthèse des textes par Pierre Berthelet alias securiteinterieure.fr
A lire aussi :
- Questions/réponses
- Fiche d'information
- L'analyse de S. Peyrou : "Le projet de règlement « E-evidence » (preuves électroniques) présenté par la Commission européenne : un « Cloud Act » européen"
- Justice ministers divided over proposal for police access to real-time data (Euractiv)
A lire par ailleurs sur securiteinterieure.fr :
- Avant une réglementation plus contraignante à l'égard de Tweeter et Facebook, l’Europe définit les grandes lignes d’une approche pour lutter contre les contenus illicites
- Contenus terroristes en ligne : le retrait en 1 heure par les plate-formes est annoncé, mais toujours pas de mesures contraignantes en vue
- Cybersécurité : une évaluation des politiques nationales préconise l’extension de l’obligation de notification en cas de cyberattaques et une stratégie pour casser le chiffrement
- Lutter contre les cyberattaques et améliorer la justice pénale dans le cyberespace : 3 axes pour l’obtention des preuves numériques
- Un nouveau venu dans la famille de la sécurité européenne : le "Réseau judiciaire européen anti-cybercriminalité"
Votre attention est le carburant de ma passion.
Merci pour votre fidélité !
Merci pour votre fidélité !
Aucun commentaire:
Enregistrer un commentaire
remarques et suggestions à formuler à securiteinterieure [à] securiteinterieure.fr
Remarque : Seul un membre de ce blog est autorisé à enregistrer un commentaire.