Tout tribunal de l'UE peut ordonner à votre prestataire

Ce qui a changé le 18 août

Le règlement (UE) 2023/1543 est directement applicable dans toute l'Union européenne depuis le 18 août 2026 et crée un instrument juridique appelé injonction européenne de production. Une autorité judiciaire d'un état membre peut désormais obliger un prestataire de services établi dans un autre état membre à remettre des données d'abonné, de trafic ou de contenu, sans faire transiter d'abord la demande par le gouvernement d'origine du prestataire.

Ce dernier point constitue le changement structurel. Sous le régime d'entraide judiciaire mutuelle que ce règlement remplace, un procureur français souhaitant des données d'une entreprise constituée en Irlande devait demander aux autorités irlandaises d'agir en son nom, un processus pouvant prendre des mois. Avec l'injonction européenne de production, l'autorité française peut envoyer l'injonction directement au prestataire irlandais, qui est légalement tenu de répondre directement. La directive d'accompagnement, la 2023/1544, devait être transposée dans le droit national de chaque état membre avant le 18 février 2026, six mois avant l'entrée en application du règlement lui-même, afin que les tribunaux et prestataires nationaux disposent d'un mécanisme opérationnel dès le jour de l'application.

Le délai de 8 heures expliqué

Deux délais s'appliquent, et l'écart entre les deux constitue tout le défi opérationnel. Dans la procédure standard, un prestataire de services qui reçoit une injonction européenne de production dispose de 10 jours pour s'y conformer. Dans la procédure d'urgence, réservée aux cas de menace imminente pour la vie, l'intégrité physique ou les infrastructures critiques, cette fenêtre se réduit à 8 heures.

Un délai de 8 heures ne laisse pas le temps de convoquer un conseil externe, de faire remonter la demande au sein d'un service juridique à plusieurs échelons, ni d'attendre le retour d'un responsable conformité parti pour le week-end. Un prestataire a besoin d'un représentant légal désigné et d'un circuit d'escalade déjà construit avant que l'injonction n'arrive, car construire ce circuit une fois le délai lancé consomme le délai lui-même. La sanction pouvant atteindre 2 pour cent du chiffre d'affaires mondial s'applique au prestataire quelle que soit sa taille, de sorte que l'exposition croît avec le chiffre d'affaires, pas avec la maturité de sa fonction juridique.

Pourquoi la majeure partie de l'UE n'est pas prête

Seuls quatre états membres, la Croatie, l'Italie, la Lituanie et la Slovaquie, avaient adopté la législation nationale de mise en oeuvre nécessaire pour réellement émettre ou recevoir des injonctions européennes de production à la date d'application du règlement. Les 23 autres se répartissent en deux groupes: le Danemark, qui reste en dehors de ce cadre du fait de son opt-out permanent des mesures de l'espace de liberté, de sécurité et de justice de l'UE, et le reste des états membres qui n'avaient tout simplement pas fini de transposer la directive 2023/1544 avant son délai du 18 février 2026.

La Commission européenne a ouvert des procédures d'infraction contre 22 états membres le 27 mars 2026 pour non-transposition de la directive dans les délais. Ce n'est pas un détail technique enfoui dans un dossier; cela signifie que les tribunaux et les autorités répressives de ces 22 états manquent d'une procédure nationale claire pour émettre une injonction européenne de production vers un prestataire situé ailleurs dans l'UE, et que les prestataires établis dans ces états manquent d'une procédure nationale claire pour la recevoir et y répondre. Le règlement lui-même est directement applicable et n'attend pas la mise en oeuvre nationale pour produire des effets juridiques, de sorte que l'obligation existe déjà alors que la plupart des états membres construisent encore l'appareil administratif pour l'exécuter.

Ce que cela signifie pour une relation avec un prestataire basé dans l'UE

Une hypothèse qu'il convient d'abandonner est que l'hébergement des données au sein de l'UE, ou le fait de ne contracter qu'avec des prestataires de l'UE, supprime l'exposition aux demandes juridiques transfrontalières. Dans ce cadre, c'est l'inverse qui se produit. Puisque toute autorité judiciaire de l'UE peut désormais adresser une injonction européenne de production à n'importe quel prestataire de l'UE, une entreprise dont la plateforme SaaS, l'hébergeur cloud, le prestataire de paie ou l'outil de communication est constitué dans un état membre autre que le sien a ajouté une nouvelle catégorie de surface d'exposition juridique, une surface qui arrive avec un délai de 8 heures dans les cas d'urgence et une sanction de 2 pour cent du chiffre d'affaires pour le prestataire qui le manque.

La réponse pratique consiste à savoir à l'avance où chaque prestataire est légalement établi, si ce prestataire dispose d'un point de contact désigné pour les injonctions européennes de production, et à quoi ressemble son propre plan d'escalade à 8 heures, car un client qui dépend des données d'un prestataire a un intérêt direct dans la rapidité et le soin avec lesquels ce prestataire peut répondre. Étant donné que 22 des 27 états membres traversent encore des procédures d'infraction liées à leur propre transposition, poser ces questions à un prestataire dès maintenant, plutôt qu'après l'arrivée d'une injonction, fait la différence entre un plan de réponse aux incidents documenté et un plan improvisé.

À lire ensuite: L'invite de suivi d'Apple tourne contre la montre  |  Un algorithme a licencié des chauffeurs. Uber paie 825 millions.