OBJECTIF: fixer les règles relatives aux injonctions européennes de production et de conservation en vertu desquelles un prestataire de services offrant des services dans l'Union peut être contraint de produire ou de conserver des preuves électroniques.
ACTE PROPOSÉ: Règlement du Parlement européen et du Conseil.
RÔLE DU PARLEMENT EUROPÉEN: le Parlement européen décide, conformément à la procédure législative ordinaire, sur un pied d'égalité avec le Conseil.
CONTEXTE: les médias sociaux, les courriels, les services de messagerie et les applications connectent des centaines de millions d'utilisateurs entre eux et génèrent des bénéfices significatifs. Cependant, ils peuvent également être utilisés à mauvais escient comme outils pour commettre des crimes, y compris des crimes graves tels que des attaques terroristes. Lorsque cela se produit, ces services et applications sont souvent le seul lieu où les enquêteurs peuvent trouver des pistes pour déterminer qui a commis un crime et obtenir des preuves qui peuvent être utilisées devant les tribunaux.
Les conclusions du Conseil du 9 juin 2016 soulignent l'importance croissante de la preuve électronique dans les procédures pénales et la protection du cyberespace contre les abus et les activités criminelles au profit des économies et des sociétés.
Le cadre juridique actuel de l'UE comprend les instruments de coopération de l'Union en matière pénale, notamment la directive 2014/41/UE relative à la décision d'enquête européenne en matière pénale et la convention relative à l'entraide judiciaire en matière pénale entre les États membres de l'Union européenne.
Dans sa résolution sur la lutte contre la cybercriminalité du 3 octobre 2017, le Parlement européen a souligné les défis que le cadre juridique actuellement fragmenté peut créer en ce qui concerne l’obtention de preuves électroniques dans le cadre de procédures pénales et a invité la Commission à proposer un cadre juridique pour la preuve électronique, y compris les garanties pour les droits et libertés de tous les intéressés.
En créant une injonction européenne de production et une injonction européenne de conservation, la proposition vise à faciliter l’obtention de preuves électroniques pour les procédures pénales conservées ou détenues par des prestataires de services dans une autre juridiction.
Le nouvel instrument ne remplacerait pas la décision d'enquête européenne pour recueillir des preuves électroniques mais fournirait un outil supplémentaire aux autorités répressives. Il peut y avoir des situations, par exemple lorsque plusieurs mesures d'enquête doivent être prises dans l'État membre d'exécution, où la décision d'enquête européenne peut être privilégiée par les autorités publiques. La création d'un nouvel instrument de preuve électronique est jugée préférable à la modification de la directive relative à la décision d'enquête européenne en matière pénale en raison des défis spécifiques inhérents à l'obtention de preuves électroniques qui n'affectent pas les autres mesures d'enquête couvertes par ladite directive.
ANALYSE D'IMPACT: quatre options politiques principales ont été considérées en plus du scénario de base de ne prendre aucune mesure. La solution privilégiée est un instrument législatif créant une injonction européenne de production et établissant des mesures visant à améliorer l'accès aux bases de données qui fournissent des informations sur les abonnés.
CONTENU: la proposition de règlement introduit des injonctions européennes contraignantes de production et de conservation dans le cadre de procédures pénales. Les deux types d’injonction ne pourraient être émis que dans le cadre de procédures pénales et devraient être validés par une autorité judiciaire d'un État membre et ce, seulement si une mesure similaire est disponible pour la même infraction pénale dans une situation domestique comparable dans l'État d'émission.
Seraient concernés par ces injonctions les fournisseurs de services de communications électroniques, les réseaux sociaux, les sites de marchés en ligne, les prestataires de services en nuage et les prestataires de services d'infrastructure internet, notamment les registres qui assignent les noms de domaine et adresses IP.
Injonction européenne de production: une autorité judiciaire d'un État membre serait en mesure de demander des données électroniques nécessaires en tant qu'éléments de preuve dans des enquêtes criminelles ou des procédures pénales (telles que des courriels, des SMS ou des messages échangés dans des applications) directement auprès d'un prestataire offrant des services dans l'Union et établi ou représenté dans un autre État membre, indépendamment de la localisation des données.
Le prestataire serait tenu de répondre à la demande dans un délai de 10 jours, les autorités pouvant fixer un délai plus court lorsque cela est justifié. De plus, en cas d'urgence, définie comme une situation de menace imminente pour la vie ou l'intégrité physique d'une personne ou d'une infrastructure critique, le délai serait de 6 heures (contre 120 jours pour la décision d'enquête européenne en vigueur ou 10 mois pour une procédure d'entraide judiciaire).
Les injonctions de production concernant des données transactionnelles (source et destination d'un message, localisation de l'appareil) ou des données se rapportant au contenu (texte, voix, vidéos ou images) ne pourraient être émises que pour des infractions pénales passibles, dans l'État d'émission, d'une peine d'une durée maximale d'au moins trois ans ou pour des actes de cybercriminalité et des crimes liés au terrorisme particuliers.
Injonction européenne de conservation: une autorité judiciaire d'un État membre pourrait contraindre un prestataire offrant des services dans l'Union et établi ou représenté dans un autre État membre à conserver certaines données afin que ladite autorité puisse demander ces informations ultérieurement par voie d'entraide judiciaire ou au moyen d'une décision d'enquête européenne ou d'une injonction européenne de production.
Les injonctions ne s'appliqueraient qu'aux données déjà stockées au moment de la réception de la demande et ne s’appliqueraient pas l'interception des télécommunications en temps réel.
Garanties: la proposition énonce des garanties procédurales ainsi que des règles sur la protection des données. Une autorité judiciaire devait valider les injonctions. Les données à caractère personnel couvertes par cette proposition ne pourraient être traitées que conformément au règlement (UE) 2016/679 (règlement général sur la protection des données) et au règlement (UE) 2016/680 (directive sur la protection des données pour les autorités de police et de justice pénale).
Pour la signification et l'exécution des injonctions dans le cadre de cet instrument, les autorités devraient s'appuyer sur le représentant légal désigné par les prestataires de services. La Commission a présenté parallèlement une proposition visant à garantir que ces représentants légaux sont effectivement désignés.