Publications — Droit pénal européen — 30 juillet 2026

Du contentieux Sky ECC au règlement e-Evidence : vers un nouveau droit européen de la preuve numérique

Le règlement e-Evidence, applicable le 18 août 2026, autorise une autorité judiciaire à ordonner directement à un fournisseur de services établi dans un autre État membre la production de données de trafic ou de contenu. Cette étude confronte le nouveau dispositif au standard de recours effectif dégagé par le contentieux Sky ECC et EncroChat.

Par Naguin Zekkouti, avocat aux barreaux de Paris et de Lyon

Introduction

Le 18 août 2026, le règlement (UE) 2023/1543 du 12 juillet 2023 relatif aux injonctions européennes de production et de conservation concernant les preuves électroniques dans le cadre des procédures pénales deviendra applicable dans l'ensemble des États membres¹. Adopté sur le fondement de l'article 82, paragraphe 1, du traité sur le fonctionnement de l'Union européenne, ce texte autorise une autorité judiciaire française à adresser directement à un fournisseur de services établi dans un autre État membre une injonction de production portant sur des données de trafic ou de contenu, sans solliciter l'intervention d'une autorité judiciaire de l'État d'établissement et sans que celle-ci exerce le contrôle d'exécution qui caractérisait, jusqu'alors, l'ensemble des instruments de coopération pénale européenne.

Ce basculement intervient dans un contexte de tension institutionnelle. Le 27 mars 2026, la Commission a adressé des lettres de mise en demeure à vingt-deux États membres pour défaut de transposition de la directive (UE) 2023/1544, dont l'échéance était fixée au 18 février 2026². Or cette directive constitue le pendant indispensable du règlement : elle impose aux fournisseurs de désigner l'établissement ou le représentant légal habilité à recevoir les injonctions. Le règlement entrera donc en application alors que l'infrastructure destinée à en assurer la réception demeure, dans la majorité des États membres, juridiquement inachevée. Cette discordance n'est pas une contingence administrative : elle constitue le premier terrain de contentieux du nouveau dispositif.

Il serait pourtant réducteur de n'y voir qu'une réforme technique de la coopération judiciaire. Le règlement e-Evidence s'inscrit dans une séquence dont il convient de restituer la logique. Une première génération d'instruments — entraide judiciaire classique, commissions rogatoires internationales, conventions bilatérales — reposait sur la relation d'État à État, médiatisée par les autorités centrales, et supposait un contrôle exercé successivement par deux souverainetés. Une deuxième génération, inaugurée par la directive 2014/41/UE relative à la décision d'enquête européenne³, a substitué à cette logique diplomatique le principe de reconnaissance mutuelle, en réduisant le contrôle de l'État d'exécution à une liste limitative de motifs de refus. C'est cette deuxième génération qui a nourri le contentieux Sky ECC et EncroChat, et dont les limites viennent d'être portées devant la Cour de justice. Le règlement e-Evidence ouvre une troisième génération : la coopération n'est plus interétatique, elle devient directe, l'autorité d'émission s'adressant au fournisseur de services lui-même.

Ce déplacement n'est pas seulement procédural. Il modifie la nature du contrôle juridictionnel. Là où deux ordres juridictionnels concouraient au contrôle de la mesure, un seul demeure pleinement compétent — celui de l'État d'émission — tandis que l'État d'exécution conserve une faculté d'objection résiduelle et que le fournisseur de services se voit investi d'un rôle inédit, à mi-chemin entre l'exécutant et le filtre. D'où la question qui traverse la présente étude : le règlement organise-t-il une déjudiciarisation de l'obtention des preuves électroniques, ou l'émergence d'un contrôle juridictionnel européen d'un type nouveau, concentré mais non affaibli ?

La réponse ne se déduit pas du seul texte. Elle dépend de la manière dont les juridictions articuleront ce dispositif avec les articles 7, 8, 47 et 48 de la Charte des droits fondamentaux et avec les articles 6, 8 et 13 de la Convention européenne des droits de l'homme. Or le contentieux des messageries chiffrées a déjà, et de manière saisissante, posé les termes de ce débat — et il a commencé d'y répondre. Par décision du 17 octobre 2024, A.L. et E.J. c. France, la Cour européenne des droits de l'homme a jugé que les utilisateurs d'EncroChat poursuivis au Royaume-Uni disposaient en France, sur le fondement de l'article 694-41 du code de procédure pénale, d'une voie de recours effective leur permettant de contester tant la transmission des données que la captation qui les avait produites⁴. Moins d'un an plus tard, le 16 septembre 2025, la chambre criminelle de la Cour de cassation sursoyait à statuer et saisissait la Cour de justice de deux questions préjudicielles portant sur l'existence, dans l'État d'exécution d'une décision d'enquête européenne, d'un recours permettant à la personne poursuivie ailleurs de contester la régularité et la nécessité des preuves obtenues. L'affaire est pendante sous le numéro C-625/25⁵.

Cette apparente contradiction n'en est pas une, et elle constitue le point de départ de la présente étude. La thèse ici défendue est que l'effectivité constatée en 2024 reposait sur trois appuis strictement propres au régime de la décision d'enquête européenne, dont aucun ne subsiste sous l'empire du règlement e-Evidence. Le contentieux Sky ECC n'a pas été un épisode isolé : il a été le laboratoire des questions que le règlement va généraliser, et le standard qu'il a permis de dégager est celui-là même que le nouveau texte ne satisfait plus.

On présentera d'abord le dispositif institué par le règlement et la rupture qu'il opère avec le modèle classique (I), avant d'examiner le régime, encore incertain, de protection des droits fondamentaux qui l'accompagne (II), puis d'esquisser la physionomie des contentieux à venir (III).

I. La rupture du modèle classique de coopération pénale européenne

A. Ce que le règlement instaure

1. Deux instruments

Le règlement crée deux injonctions distinctes⁶. L'injonction européenne de production, notifiée au moyen d'un certificat dit EPOC, ordonne au destinataire de transmettre des données déjà stockées. L'injonction européenne de conservation, notifiée par certificat EPOC-PR, se borne à figer les données pour en prévenir l'effacement, dans l'attente d'une demande de production ultérieure formée par tout instrument approprié. Cette dualité n'est pas anodine : elle permet à une autorité d'émission de sécuriser la preuve avant même d'avoir réuni les conditions substantielles justifiant sa production, ce qui appellera un examen attentif au regard de l'exigence de nécessité.

2. Une gradation par catégorie de données

Le règlement distingue les données relatives aux abonnés, les données demandées aux seules fins d'identification de l'utilisateur, les données relatives au trafic et les données relatives au contenu⁷. Cette taxinomie commande l'ensemble du régime : elle détermine à la fois le seuil d'infraction requis, la qualité de l'autorité habilitée à émettre l'injonction et l'applicabilité du mécanisme de notification à l'État d'exécution. Pour les catégories les moins sensibles, l'injonction peut être émise dans toute procédure pénale et par un procureur. Pour les données de trafic et de contenu, le règlement exige un seuil de gravité de l'infraction et réserve l'émission ou la validation à un juge⁸ — architecture qui porte la trace directe de la jurisprudence de la Cour de justice sur l'indépendance du ministère public, et sur laquelle on reviendra.

3. Des délais resserrés

Le destinataire doit répondre dans un délai de dix jours, ramené à huit heures dans les cas d'urgence⁹. Ces délais, comparés aux mois qu'exigeait l'entraide classique, disent à eux seuls la finalité du texte : l'efficacité de l'investigation. Ils disent aussi la difficulté qui en résulte pour la défense, dès lors qu'aucun contrôle contradictoire ne peut matériellement s'insérer dans un tel calendrier.

4. Le destinataire

L'injonction est adressée non à une autorité, mais à l'établissement désigné ou au représentant légal du fournisseur de services, dont la directive (UE) 2023/1544 impose la désignation¹⁰. C'est le point de bascule du système : le destinataire de l'ordre juridictionnel n'est plus un organe judiciaire, mais un opérateur privé. C'est également, comme on l'a dit, le point de fragilité actuel, puisque cette obligation de désignation demeure massivement non transposée.

5. Un contrôle résiduel de l'État d'exécution

Le règlement ne supprime pas toute intervention de l'État où les données sont détenues, mais il en transforme radicalement la nature. Pour les données de trafic et de contenu, une notification est adressée à l'autorité de l'État de mise en œuvre, laquelle dispose d'une faculté d'objection encadrée¹¹. Un mécanisme comparable existe en cas de conflit d'obligations avec la législation d'un État tiers : le destinataire formule une objection motivée dans un délai de dix jours à compter de la réception de l'EPOC ; l'autorité d'émission réexamine l'injonction et, si elle entend la maintenir, saisit la juridiction compétente de son propre État d'un réexamen, l'exécution étant suspendue jusqu'à l'issue de cette procédure¹². On mesure le déplacement : le contentieux né de l'exécution est tranché par le juge de l'État d'émission. L'État d'exécution objecte ; il ne juge plus.

6. Ce qui disparaît sans être remplacé : l'article 694-41 du code de procédure pénale et l'article 14, paragraphe 7, de la directive 2014/41

Ce point mérite d'être isolé, car il commande l'ensemble de la démonstration qui suit, et il passe généralement inaperçu.

Sous l'empire de la décision d'enquête européenne, le droit français ouvre, à l'article 694-41 du code de procédure pénale, un recours contre toute mesure prise sur le territoire français en exécution d'une décision d'enquête, dans les mêmes conditions et selon les mêmes modalités que si elle avait été exécutée dans une procédure nationale¹³. Ce texte transpose l'article 14 de la directive 2014/41, lequel impose aux États membres de garantir des voies de recours équivalentes à celles ouvertes dans une procédure nationale similaire. À quoi s'ajoutent deux dispositions complémentaires : l'article D47-1-16 du code de procédure pénale, qui prévoit l'information de l'État d'émission sur l'existence et l'issue du recours, et l'article 14, paragraphe 7, de la directive, qui oblige l'État d'émission à tenir compte d'une contestation ayant abouti¹⁴.

Ces trois dispositions forment un ensemble cohérent : un acte contestable sur le territoire de l'État où la mesure s'exécute, une information de l'État qui poursuit, une obligation pour celui-ci d'en tirer les conséquences. On verra que c'est précisément sur cet ensemble que la Cour européenne des droits de l'homme s'est fondée pour conclure à l'existence d'un recours effectif.

Or le règlement e-Evidence ne comporte aucun équivalent des trois. Il n'y a plus de mesure prise sur le territoire de l'État de mise en œuvre en exécution d'un instrument de coopération, puisque l'injonction est adressée à un opérateur privé et exécutée par lui : le support même du recours de l'article 694-41 disparaît. Il n'existe pas de mécanisme d'information de l'État d'émission sur l'issue d'un recours national. Et il n'existe pas de disposition imposant à l'État d'émission de tenir compte d'une contestation ayant prospéré ailleurs.

C'est cette disparition, plus que toute autre caractéristique du texte, qui fait basculer le système.

B. Le basculement générationnel

1. Trois modèles successifs de circulation de la preuve

Le premier modèle, celui de l'entraide judiciaire classique, reposait sur une architecture interétatique complète. La demande, formée par commission rogatoire internationale, transitait par les autorités centrales, était examinée par l'autorité judiciaire de l'État requis, exécutée selon les formes de la lex loci, puis retransmise. Deux souverainetés concouraient à l'acte, deux ordres juridiques y appliquaient leurs garanties, et deux juges pouvaient en connaître.

Ce modèle était lent. Il faut prendre la mesure de ce grief plutôt que le mentionner pour l'écarter. Dans un environnement où les données sont volatiles, où les fournisseurs pratiquent des durées de conservation courtes et où les structures criminelles opèrent simultanément dans plusieurs ordres juridiques, un délai de plusieurs mois n'est pas une lourdeur administrative : c'est une impossibilité pratique. L'entraide classique n'était pas seulement inconfortable pour l'enquêteur, elle était devenue, pour une part croissante du contentieux, inopérante. Le législateur européen répond donc à un problème réel, et l'analyse qui suit ne conteste ni son existence ni sa gravité. Elle porte sur ce que la solution retenue emporte : la lenteur de l'ancien modèle était la contrepartie d'un double contrôle, et toute la question est de savoir si ce contrôle s'est reconstitué ailleurs ou s'il s'est simplement perdu.

Le deuxième modèle, institué par la directive 2014/41/UE du 3 avril 2014, a substitué à la logique de la demande celle de la reconnaissance mutuelle. L'État d'exécution n'examine plus l'opportunité de la mesure : il l'exécute, sauf à opposer l'un des motifs de refus limitativement énumérés¹⁵. Le contrôle subsiste, mais il change de nature — il devient exception, là où il était principe. C'est dans les interstices de ce modèle que s'est logé le contentieux Sky ECC et EncroChat. La Cour de justice en a verrouillé la logique dans l'arrêt M.N. (EncroChat) : le principe de reconnaissance mutuelle interdit à l'autorité ayant émis une décision d'enquête européenne de contrôler la régularité de la procédure distincte par laquelle les preuves dont la transmission est demandée ont été collectées dans l'État d'exécution¹⁶. Formule décisive : le juge de l'État d'émission ne contrôle pas la collecte. Encore fallait-il que le juge de l'État d'exécution, lui, fût saisissable — et c'est précisément ce que l'article 694-41 rendait possible.

Le troisième modèle est celui du règlement e-Evidence. Il ne s'agit plus d'aménager la relation entre deux autorités judiciaires : l'autorité d'émission s'adresse directement à l'opérateur privé qui détient la donnée. L'État où les données sont conservées n'est plus un partenaire d'exécution ; il devient, au mieux, un tiers notifié.

2. La marginalisation de l'État d'exécution

Le règlement conserve un mécanisme de notification et une faculté d'objection pour les catégories de données les plus sensibles. Mais trois traits en circonscrivent étroitement la portée.

D'abord, cette faculté n'est pas générale : elle est indexée sur la catégorie de données, de sorte que des pans entiers du dispositif échappent à toute intervention de l'État de mise en œuvre. Ensuite, l'objection s'exerce dans des délais qui excluent toute instruction sérieuse — dix jours, huit heures en urgence — et sur des motifs encadrés, non sur une appréciation autonome de la régularité de la mesure. Enfin et surtout, lorsque l'objection prospère, le contentieux ne se dénoue pas devant le juge de l'État d'exécution : c'est la juridiction compétente de l'État d'émission qui procède au réexamen. Le mécanisme est cohérent avec la logique de reconnaissance mutuelle poussée à son terme, mais il consomme la rupture : l'État d'exécution formule des observations, il ne rend plus de décision.

Le vocabulaire du règlement traduit ce déplacement. On ne parle plus d'État d'exécution mais d'État de mise en œuvre — la nuance sémantique enregistre la perte de la fonction juridictionnelle.

3. Ce que cela fait à la souveraineté pénale

Il faut se garder ici du réflexe souverainiste, qui n'a pas sa place dans un raisonnement de droit de l'Union. L'enjeu n'est pas la préservation d'une compétence étatique pour elle-même ; il est que le contrôle exercé par l'État d'exécution était, en pratique, l'un des rares lieux où l'on pouvait interroger la régularité de la collecte au regard d'un ordre juridique distinct de celui qui poursuit. La reconnaissance mutuelle suppose une équivalence des garanties ; l'histoire du contentieux des messageries chiffrées montre que cette équivalence est parfois postulée plutôt que vérifiée.

La question qui en résulte est moins celle d'une atteinte à la souveraineté que celle d'une redistribution du contrôle : si l'État de mise en œuvre ne juge plus, si l'État d'émission ne contrôle pas la collecte opérée ailleurs, et si le fournisseur de services n'est pas une autorité juridictionnelle, où se situe le juge ?

4. Le renvoi préjudiciel C-625/25 : une question posée sous l'empire du deuxième modèle, dont l'enjeu réel se situe dans le troisième

La question soumise à la Cour de justice par la chambre criminelle le 16 septembre 2025 porte formellement sur la directive 2014/41. Elle interroge la compatibilité avec l'article 47 de la Charte d'une réglementation de l'État d'exécution qui ne prévoit pas, au bénéfice de la personne à laquelle les preuves sont opposées dans l'État d'émission, un recours permettant d'en contester la régularité et la nécessité ; elle demande subsidiairement si le principe d'équivalence des voies de recours consacré à l'article 14, paragraphe 1, de la directive commande d'ouvrir un tel recours. Formulée ainsi, elle paraît circonscrite à un instrument dont le règlement e-Evidence va absorber une part substantielle du domaine. Ce serait en méconnaître la portée.

Car la configuration soumise à la Cour n'est pas propre à la décision d'enquête européenne : c'est celle d'un cercle de non-contrôle dont plusieurs éléments survivent au changement d'instrument.

Le premier verrou est jurisprudentiel : depuis M.N., le juge qui poursuit ne contrôle pas la collecte.

Le second est national et procédural. Le recours de l'article 694-41 n'est ouvert qu'à l'égard des mesures exécutées en application d'une décision d'enquête européenne — or, dans la configuration Sky ECC, les interceptions procédaient d'une procédure française interne, antérieure et indépendante de toute décision d'enquête, obstacle que la chambre criminelle identifie expressément¹⁷. C'est là que réside la différence décisive avec l'affaire A.L. et E.J., où la transmission au Royaume-Uni procédait bien d'une décision d'enquête européenne, laquelle fournissait le support du recours.

Le troisième verrou est celui de la qualité à agir, sur lequel on reviendra : la chambre criminelle a jugé le 7 janvier 2025 qu'un requérant n'a pas qualité pour contester l'ensemble des interceptions concernant des utilisateurs tiers dans une procédure distincte¹⁸.

Le quatrième, enfin, est de droit primaire. Aux termes de l'article 276 TFUE, le juge de l'Union n'est pas compétent pour vérifier la validité ou la proportionnalité d'opérations menées par la police ou d'autres services répressifs dans un État membre. Le Tribunal l'a rappelé avec netteté dans l'arrêt BW / Europol et Eurojust du 25 février 2026, en jugeant qu'Europol ne saurait être tenue solidairement responsable du préjudice découlant de traitements illicites survenus à l'occasion d'opérations de police nationales, quand bien même ces traitements seraient intervenus dans le cadre d'une coopération fondée sur le règlement Europol¹⁹. La voie du juge de l'Union est donc, sur ce terrain, constitutionnellement fermée.

Deux objections doivent être examinées avant d'aller plus loin, car elles ne sont pas sans force.

La première tient à ce que cette configuration ne serait pas une défaillance du système, mais sa logique même. Le juge de l'État d'émission contrôle pleinement la nécessité et la proportionnalité de sa propre demande ; le contrôle de la collecte relève de l'ordre juridique où elle a été opérée, et il n'appartient pas à une juridiction étrangère de s'en saisir. C'est le postulat de la reconnaissance mutuelle, non son accident. L'objection est sérieuse — la Cour européenne des droits de l'homme l'a d'ailleurs faite sienne en 2024 — et elle est décisive lorsque le contrôle qu'elle suppose est effectivement accessible. Toute la difficulté tient à ce que cette accessibilité n'est pas constante : elle dépend de l'existence, dans l'État de collecte, d'un acte contestable et d'un titulaire habilité à le contester.

La seconde objection est plus incommode. On peut soutenir que le contrôle de l'État d'exécution était largement formel, de sorte que sa disparition constituerait moins une perte qu'une clarification. L'observation est en partie exacte, et l'on aurait tort de parer rétrospectivement l'ancien modèle de vertus qu'il n'a pas toujours eues. Mais elle se retourne : si ce contrôle était formel, alors l'équivalence des garanties sur laquelle repose la reconnaissance mutuelle n'a jamais été vérifiée — elle a été postulée. Le règlement e-Evidence pousse ce postulat un cran plus loin, en supprimant jusqu'à la possibilité matérielle de la vérification.

Or c'est cette structure que le règlement reconduit — et durcit sur trois points.

D'abord, il supprime le dernier acte juridictionnel de l'État de mise en œuvre. Sous l'empire de la directive 2014/41, la personne concernée disposait d'un recours dont l'accès pouvait être discuté ; sous l'empire du règlement, il n'existe plus, dans la majorité des hypothèses, de décision de l'État de mise en œuvre susceptible d'en faire l'objet. Le grief portait sur l'étendue d'une voie de droit ; il portera demain sur l'absence d'objet contestable.

Ensuite, il déplace la ligne de fracture sans la refermer. L'hésitation de la chambre criminelle tenait notamment à ce que les mesures de collecte, ordonnées hors de toute décision d'enquête européenne, ne procédaient pas de la mise en œuvre du droit de l'Union au sens de l'article 51, paragraphe 1, de la Charte²⁰. Sous l'empire du règlement, l'injonction relève sans discussion du droit de l'Union, ce qui lève cette difficulté. Mais elle renaît en amont : la manière dont le fournisseur a constitué, structuré et conservé les données produites demeure régie par le droit national et par le droit des données à caractère personnel, hors du champ du règlement. Le point aveugle ne disparaît pas ; il remonte d'un cran dans la chaîne probatoire, et se loge désormais chez un acteur privé qu'aucune obligation de motivation ne lie à l'égard de la personne concernée.

Enfin, il substitue à l'incertitude sur l'accès au recours une faculté d'objection qui n'est pas un recours. L'État de mise en œuvre peut objecter ; il le fait par la voie d'une autorité, dans des délais très brefs, sur des motifs encadrés, et sans que la personne concernée — non encore notifiée — y soit partie. Le règlement organise un contrôle ; il n'organise pas un contradictoire.

5. Une convergence internationale : le CLOUD Act et la Convention de Budapest

Cette évolution n'est pas une singularité européenne. Le Clarifying Lawful Overseas Use of Data Act, adopté par le Congrès américain en mars 2018 dans le prolongement du contentieux Microsoft Ireland, procède d'une logique parallèle : les États-Unis peuvent conclure des accords bilatéraux permettant de présenter des injonctions directement aux fournisseurs de services de chacun des pays²¹. Le premier de ces accords, signé avec le Royaume-Uni en 2019, est entré en vigueur le 3 octobre 2022²². Le mécanisme est le même : contournement de l'entraide judiciaire, accès direct à l'opérateur, contrôle concentré dans l'État requérant.

La chronologie est révélatrice. Les deux propositions législatives européennes ont été présentées conjointement par la Commission le 17 avril 2018, soit quelques semaines après l'adoption du CLOUD Act²³. Le 25 septembre 2019, l'Union et les États-Unis ont ouvert des négociations sur un accord relatif à l'accès transfrontière aux preuves numériques, sur le fondement d'une recommandation de la Commission du 5 février 2019, laquelle a suscité un avis critique du Contrôleur européen de la protection des données²⁴. Le règlement e-Evidence n'est donc pas seulement une réforme interne : il constitue aussi l'instrument par lequel l'Union se dote d'un cadre lui permettant de traiter d'égal à égal avec le dispositif américain.

La Convention de Budapest sur la cybercriminalité et son second protocole additionnel, consacré à la coopération renforcée et à la divulgation de preuves électroniques, participent du même mouvement²⁵.

De cette convergence, une conclusion s'impose : la déjudiciarisation de l'accès à la preuve électronique est un mouvement de fond, et non un choix propre au législateur européen. Ce qui distingue le modèle européen, c'est qu'il s'inscrit dans un ordre juridique doté d'une charte directement invocable, d'une cour compétente pour en contrôler le respect, et d'un système conventionnel superposé. La question n'est donc pas de savoir si le contrôle disparaît, mais s'il se reconstitue ailleurs — et sous quelle forme.

II. Un régime de protection des droits fondamentaux encore incertain

Le règlement n'ignore pas les droits fondamentaux ; il s'y réfère abondamment et prétend en organiser la garantie. La question n'est donc pas celle d'un texte indifférent aux libertés, mais celle de l'adéquation des garanties retenues à la structure décrite. Encore faut-il, pour en juger, déterminer ce que les instruments de protection sont en mesure de saisir de ce dispositif (A), avant d'éprouver les garanties qu'il organise (B).

A. Le cadre normatif : ce que les instruments de protection saisissent du nouveau dispositif

1. Le champ d'application de la Charte : un gain en trompe-l'œil

Sous l'empire de la directive 2014/41, l'applicabilité de la Charte n'allait pas de soi. La chambre criminelle l'a relevé le 16 septembre 2025 : les mesures de collecte ordonnées hors de toute décision d'enquête européenne ne procédaient pas comme telles de la mise en œuvre du droit de l'Union au sens de l'article 51, paragraphe 1.

Sous l'empire du règlement, cette difficulté disparaît en apparence. L'injonction européenne de production est un acte pris en application d'un règlement de l'Union ; son émission, sa motivation, son destinataire, ses délais relèvent du droit de l'Union, et la Charte s'y applique de plein droit.

Ce serait confondre deux objets. La Charte saisit désormais l'ordre ; elle ne saisit pas davantage qu'auparavant le gisement sur lequel l'ordre porte. La donnée produite en exécution d'un EPOC n'a pas été constituée par le règlement : elle a été collectée, structurée et conservée par le fournisseur en application de son droit national et des règles relatives aux données à caractère personnel²⁶. Cette phase amont demeure hors du champ matériel du règlement.

Il en résulte une dissociation qui commande tout l'examen : le contrôle de proportionnalité porte sur l'ordre, non sur le gisement. Une injonction peut être parfaitement nécessaire et proportionnée en tant qu'acte tout en portant sur un ensemble de données constitué par une opération à laquelle l'exigence de proportionnalité n'a jamais été appliquée.

2. L'article 276 TFUE : une limite de droit primaire

À cette limite matérielle s'en ajoute une seconde, plus rarement relevée dans ce contexte, et qui tient au traité lui-même. L'article 276 TFUE prive le juge de l'Union de compétence pour vérifier la validité ou la proportionnalité des opérations menées par la police ou d'autres services répressifs dans un État membre.

L'arrêt BW du 25 février 2026 en fournit l'illustration la plus complète à ce jour. Le Tribunal s'y déclare incompétent pour connaître de l'autorisation par le juge français des opérations d'interception, de leur déroulement, ainsi que de l'accord d'équipe commune d'enquête conclu entre la Belgique, la France et les Pays-Bas, qui n'est pas un acte de l'Union²⁷. Il précise que, nonobstant le régime de responsabilité solidaire de l'article 50 du règlement Europol, cette agence ne saurait être tenue responsable du préjudice découlant de traitements illicites survenus à l'occasion d'opérations de police nationales.

La portée de cette limite doit toutefois être exactement mesurée, car le même arrêt en délimite les contours de façon utile à la défense. Hors des opérations de police proprement dites, le Tribunal se reconnaît habilité, au titre du régime dérogatoire de responsabilité solidaire, à apprécier la légalité d'actes ou de comportements des États membres, que ce soit sur le fondement du droit de l'Union ou du droit national concerné²⁸. L'obstacle de l'article 276 est donc fonctionnel, non organique : il tient à la nature de l'opération, non à la qualité de son auteur.

On en tirera plus loin une conséquence contre-intuitive quant au règlement e-Evidence.

3. Les articles 7 et 8 de la Charte : l'intensité de l'ingérence

C'est le terrain où le règlement est le plus solidement construit. La gradation par catégorie de données, avec seuils d'infraction différenciés, constitue l'intériorisation directe de la jurisprudence développée depuis Digital Rights Ireland, puis Tele2 Sverige et La Quadrature du Net, laquelle a lié le degré d'ingérence à la nature des données et à la possibilité d'en tirer des conclusions précises sur la vie privée²⁹.

La limite tient à ce que cette gradation raisonne par catégorie, non par volume. Or c'est l'ampleur des données accessibles que la Cour de justice retient désormais comme critère de gravité. Dans l'arrêt C.G. contre Bezirkshauptmannschaft Landeck du 4 octobre 2024, rendu en grande chambre sous l'angle de la directive 2016/680, elle a qualifié l'accès à l'ensemble des données d'un téléphone portable d'ingérence susceptible d'être grave, voire particulièrement grave³⁰. On se gardera de transposer mécaniquement cette décision, rendue dans un cadre normatif distinct : elle fournit une grille de calibrage, non un précédent.

4. L'article 48 de la Charte : la position de la personne concernée

L'article 48 garantit la présomption d'innocence et le respect des droits de la défense. Son apport propre tient à la définition d'une position procédurale. Or la personne dont les données sont produites n'en a aucune au stade de l'exécution : elle n'est pas partie, pas notifiée, pas représentée. Le dialogue s'établit entre une autorité d'émission, une autorité de mise en œuvre et un opérateur privé, dont aucun n'a pour fonction de faire valoir ses intérêts.

Cette absence n'est pas en soi irrégulière : le secret de l'enquête justifie qu'une mesure d'investigation ne soit pas contradictoire au moment où elle s'exécute. Elle devient problématique lorsqu'elle se combine à l'absence de possibilité ultérieure de contester efficacement la mesure — c'est-à-dire lorsqu'elle cesse d'être un différé pour devenir une privation.

5. L'article 47 de la Charte : le for

On arrive au point qui commande les autres. L'article 47 garantit le droit à un recours effectif devant un tribunal. La difficulté n'est pas celle du contenu du recours, mais celle de son destinataire : devant quelle juridiction ?

Le juge de l'État d'émission ne contrôle pas la collecte, M.N. le lui interdisant. Le juge de l'État de mise en œuvre ne rend, dans le nouveau dispositif, aucune décision susceptible de recours. Le juge de l'Union est privé de compétence par l'article 276 TFUE s'agissant des opérations de police. Et le fournisseur de services n'est pas une juridiction.

L'article 47 n'a d'effet utile que si un for existe. C'est cette question, et non celle des standards de contrôle, qui est pendante devant la Cour de justice.

6. La Convention européenne des droits de l'homme : l'objection la plus sérieuse, et sa portée exacte

Il faut ici affronter la décision qui contredit le plus directement l'analyse qui précède, car l'escamoter la ruinerait.

Par décision du 17 octobre 2024, A.L. et E.J. c. France, la Cour européenne des droits de l'homme a déclaré irrecevables les requêtes de deux utilisateurs d'EncroChat poursuivis au Royaume-Uni sur le fondement de données captées par les autorités françaises et transmises en exécution d'une décision d'enquête européenne émise par le Crown Prosecution Service. La Cour ne s'est pas bornée à constater un obstacle procédural : elle a jugé, au terme d'un examen circonstancié, que les requérants disposaient en France d'une voie de recours effective. Le grief tiré des articles 6 et 13 a été écarté comme manifestement mal fondé³¹.

Le raisonnement mérite d'être restitué avec précision, car il constitue le standard auquel le règlement devra être confronté.

La Cour relève d'abord que, dès lors que la Cour de justice interdit à l'État d'émission de contrôler la procédure distincte de collecte, les recours ouverts dans l'État d'exécution revêtent une importance déterminante³². Elle prend donc acte du verrou posé par M.N. et en tire la conséquence qu'il doit être compensé ailleurs.

Elle identifie ensuite ce compensateur : l'article 694-41 du code de procédure pénale, qui permet à toute personne intéressée d'exercer contre une mesure prise en exécution d'une décision d'enquête européenne les recours qui lui seraient ouverts dans une procédure interne. Elle constate que la jurisprudence française admet qu'une personne mise en examen conteste, par voie de requête en nullité, le versement au dossier d'éléments obtenus dans une procédure distincte, et invoque à cette occasion l'irrégularité des actes accomplis dans celle-ci — donc la régularité et la nécessité de la technique d'enquête initialement mise en œuvre³³. Elle précise que l'exercice de ce recours n'imposait pas aux requérants de s'auto-incriminer³⁴.

Elle vérifie enfin les modalités de redressement, et c'est le point décisif : le recours permet d'obtenir en France l'annulation de la mesure d'exécution ; l'article D47-1-16 prévoit l'information de l'État d'émission ; et l'article 14, paragraphe 7, de la directive oblige celui-ci à tenir compte d'une contestation ayant abouti. La Cour en déduit que le redressement est approprié, les juridictions britanniques étant tenues de tenir compte d'un éventuel succès³⁵.

L'objection est donc de premier ordre, et il serait malhonnête de la minorer. Trois observations en délimitent néanmoins la portée.

La première tient à l'objet même de la décision. Les requérants n'avaient exercé aucun recours en France³⁶. La Cour se prononce donc sur la disponibilité d'une voie de droit, et non sur son effectivité éprouvée ; elle rappelle d'ailleurs que le doute sur l'efficacité d'un recours interne doit être soumis aux juridictions nationales³⁷. Or ce doute leur a été soumis depuis. Le 7 janvier 2025, la chambre criminelle a délimité l'accès au recours en jugeant qu'un requérant n'a pas qualité pour contester l'ensemble des interceptions concernant des tiers. Le 16 septembre 2025, elle a jugé la question suffisamment sérieuse pour saisir la Cour de justice. L'épreuve nationale que la Cour appelait de ses vœux a donc eu lieu, et elle a produit un renvoi préjudiciel plutôt qu'une confirmation. On se gardera d'en déduire que la Cour européenne se serait trompée : les deux décisions ne portent pas rigoureusement sur la même question. Mais la seconde révèle une limite que la première n'avait pas eu à examiner.

La deuxième tient à la configuration. Dans l'affaire A.L. et E.J., la transmission procédait bien d'une décision d'enquête européenne, laquelle fournissait le support du recours de l'article 694-41. Dans la configuration soumise à la Cour de justice, les interceptions étaient antérieures et indépendantes de toute décision d'enquête. Le support fait défaut, et c'est précisément le second verrou identifié plus haut.

La troisième est la plus importante pour la présente étude, et elle est décisive. L'effectivité constatée en 2024 repose sur trois appuis : un acte contestable sur le territoire de l'État de collecte, une information de l'État d'émission, une obligation pour celui-ci de tenir compte du succès du recours. Ces trois appuis sont propres au régime de la décision d'enquête européenne. Aucun ne subsiste sous l'empire du règlement e-Evidence, où l'exécution est le fait d'un opérateur privé, où nul mécanisme d'information n'est prévu, et où aucune disposition n'impose à l'État d'émission de tirer les conséquences d'une contestation ayant prospéré ailleurs.

La décision du 17 octobre 2024 ne dément donc pas la thèse défendue ici : elle en fournit l'étalon. Elle établit ce qu'exige un recours effectif dans une configuration de circulation transfrontière de la preuve. Le règlement e-Evidence retire précisément ce que la Cour européenne a tenu pour déterminant.

Deux réserves complémentaires doivent être formulées. D'une part, l'article 13 de la Convention est moins exigeant que l'article 47 de la Charte, en ce qu'il n'impose pas que l'instance saisie soit une juridiction ; mais la faculté d'objection de l'État de mise en œuvre n'y satisfait pas davantage, n'étant ni exercée par la personne concernée ni portée à sa connaissance. D'autre part, ainsi que le Tribunal l'a rappelé dans l'arrêt BW, en l'absence d'adhésion de l'Union à la Convention, la Cour de Strasbourg ne saurait constater un manquement de l'Union elle-même³⁸. La voie conventionnelle demeure ouverte contre les États membres ; elle ne l'est pas contre le règlement.

B. Les garanties à l'épreuve

1. La qualité de l'autorité d'émission : une garantie réelle, mais qui répond à une autre question

Le règlement réserve au juge l'émission ou la validation des injonctions portant sur les données de trafic et de contenu. Cette exigence n'est pas de style : elle traduit la jurisprudence issue de l'arrêt Prokuratuur du 2 mars 2021, par lequel la Cour de justice a jugé que le ministère public, chargé de diriger l'enquête et le cas échéant de soutenir l'accusation, ne saurait être regardé comme une autorité indépendante au sens requis pour autoriser l'accès à des données de trafic et de localisation³⁹. Le législateur européen a tiré cette conséquence, et il faut le lui concéder sans réserve.

Mais la concession délimite la garantie. Prokuratuur répond à la question de savoir qui ordonne l'accès ; elle ne répond pas à celle de savoir qui contrôle ce qui a été collecté. Un juge validant un EPOC exerce un contrôle entier sur sa propre demande. Il n'en exerce aucun sur les conditions dans lesquelles les données ont été constituées — non par négligence, mais parce que M.N. le lui interdit et que le règlement ne place pas cette phase dans son champ.

L'intervention du juge est réelle et utile. Elle couvre une étape de la chaîne ; elle ne referme pas le cercle.

2. La nécessité et la proportionnalité : une exigence sans instrument de vérification

Le règlement subordonne l'émission à des conditions de nécessité et de proportionnalité, et impose que la mesure aurait pu être ordonnée dans une procédure interne comparable⁴⁰. L'exigence est classique et bien formulée.

C'est le contrôle de son respect qui fait défaut. La motivation n'est pas communiquée à la personne concernée au stade de l'exécution. Le destinataire, opérateur privé, n'a ni vocation ni moyen de contester l'appréciation portée par une autorité judiciaire étrangère. L'autorité de mise en œuvre statue sur des motifs encadrés, dans des délais excluant tout examen approfondi.

À quoi s'ajoute la dissociation établie plus haut : quand bien même ce contrôle serait pleinement exercé sur l'ordre, il ne porterait pas sur le gisement. Si l'accès à l'ensemble des données d'un terminal constitue une ingérence pouvant être particulièrement grave, l'accès à un ensemble de données de contenu détenues par un fournisseur ne saurait recevoir un traitement moins exigeant. L'architecture du règlement n'offre aucun mécanisme permettant d'appliquer ce standard à ce sur quoi l'acte porte.

L'exigence existe. L'instrument de sa vérification n'existe pas.

3. La notification différée : un contrôle sans contradictoire, un recours sans information

Le règlement prévoit une information de la personne concernée, mais différée et susceptible d'être retardée dans l'intérêt de l'enquête⁴¹. Le principe du différé n'appelle pas de critique.

Deux difficultés méritent d'être relevées.

La première tient à la confusion entre la faculté d'objection de l'État de mise en œuvre et un recours. Ce n'en est pas un : elle est exercée par une autorité et non par la personne concernée, fondée sur des motifs limitativement définis, dépourvue de contradictoire, et lorsqu'elle prospère elle conduit à un réexamen devant le juge de l'État d'émission. Le règlement organise un contrôle interinstitutionnel ; il n'organise pas un droit au recours.

La seconde est plus fondamentale, et elle se mesure à l'aune du standard de 2024. Un recours différé ne satisfait à l'article 47 qu'à la condition que son titulaire en connaisse l'objet — qu'il sache quelles données ont été produites, selon quel processus, sur quel fondement. Ce niveau d'information ne résulte pas du règlement. Là où la Cour européenne avait relevé, en 2024, que l'État d'émission serait informé de l'issue du recours et tenu d'en tenir compte, le règlement ne prévoit ni l'un ni l'autre.

4. Le recours de l'article 18 : un for désigné, et lequel

Le règlement n'est pas muet sur le recours. Son article 18 y consacre une disposition entière, et il serait fautif de raisonner comme si le texte l'avait omis⁴². L'objection doit donc être affrontée de front, car elle est la première que soulèvera un contradicteur.

Trois éléments doivent être relevés. Le paragraphe 1 reconnaît à toute personne dont les données ont été demandées un droit à des recours effectifs contre l'injonction, sans préjudice des recours ouverts par le règlement général sur la protection des données et par la directive 2016/680. Le paragraphe 2 en précise le contenu : la possibilité de contester la légalité de la mesure, y compris sa nécessité et sa proportionnalité. Le paragraphe 5 oblige enfin l'État d'émission et tout autre État membre destinataire des preuves à garantir le respect des droits de la défense et l'équité de la procédure lors de l'évaluation des preuves obtenues⁴³. Ces dispositions sont réelles et il faut leur reconnaître leur portée.

Mais c'est le paragraphe 2 qui décide de tout, et il le fait en une incise. Le droit à des recours effectifs, y est-il écrit, « s'exerce devant une juridiction de l'État d'émission conformément au droit de cet État »⁴⁴.

Le for est donc désigné — et il est unique. Le règlement ne se borne pas à ne rien prévoir dans l'État chargé de la mise en œuvre : il localise expressément le recours dans l'État qui poursuit. La réserve finale du même paragraphe, « sans préjudice des garanties des droits fondamentaux dans l'État chargé de la mise en œuvre », ne rétablit pas un for. Elle renvoie à des garanties substantielles, non à une voie de droit — et l'on a vu que la faculté d'objection de l'autorité chargée de la mise en œuvre n'en constitue pas une.

Or c'est exactement la configuration que la Cour européenne des droits de l'homme avait, en 2024, tenue pour insuffisante à elle seule. Son raisonnement partait du constat que, l'État d'émission ne pouvant contrôler la collecte par l'effet de M.N., les recours ouverts dans l'État d'exécution revêtaient une importance déterminante. L'article 18 fait l'inverse : il concentre le recours là où le contrôle de la collecte est jurisprudentiellement exclu.

Le résultat n'est donc pas l'absence de recours ; il est un recours dont l'objet est amputé. La personne poursuivie pourra contester devant le juge de l'État d'émission la légalité de l'injonction, sa nécessité et sa proportionnalité. Elle ne pourra, devant ce même juge, discuter les conditions dans lesquelles le fournisseur a constitué les données que l'injonction extrait. Le recours de l'article 18 couvre l'ordre ; il ne couvre pas le gisement.

On mesure alors pourquoi la question posée dans l'affaire C-625/25 dépasse l'instrument qui la porte. Ce n'est pas l'existence d'un recours qui est en cause, c'est sa localisation.

Conclusion du II. Le bilan est différencié. Le règlement répond correctement à la question de l'autorité. Il répond imparfaitement à celle de la proportionnalité, dont il pose l'exigence sans organiser la vérification. Il répond à celle du for, mais en le fixant dans le seul État d'émission — c'est-à-dire là où la jurisprudence M.N. interdit précisément le contrôle de la collecte — et il retire les trois éléments sur lesquels la Cour européenne des droits de l'homme avait fondé, moins de deux ans avant son entrée en application, un constat d'effectivité. Or c'est la troisième question qui commande les autres : une exigence de proportionnalité qui ne peut être discutée que devant la juridiction de l'État qui l'a lui-même appréciée, et qui ne peut jamais l'être quant aux conditions de constitution des données, n'est pas pleinement une garantie : elle est, pour une part, une instruction que l'autorité d'émission s'adresse à elle-même.

III. Les futurs contentieux de la preuve électronique

A. Sky ECC, EncroChat, ANOM : le premier répertoire de la défense numérique

Les contentieux nés du démantèlement des messageries chiffrées ont constitué, en moins de six années, le premier répertoire de moyens de la défense en matière de preuve numérique — et ils ont montré comment les juridictions y répondent. Chacun des trois grands dossiers a isolé une question distincte, et chacune reparaîtra sous l'empire du règlement.

1. EncroChat : la vérifiabilité du procédé

La captation opérée sur le réseau EncroChat a reposé sur l'article 706-102-1 du code de procédure pénale, qui autorise le recours aux moyens de l'État soumis au secret de la défense nationale pour réaliser les opérations techniques de captation et de mise au clair⁴⁵. La défense a soutenu que ce dispositif la privait de toute possibilité de vérifier la fiabilité du procédé.

Le Conseil constitutionnel a déclaré ces dispositions conformes par sa décision du 8 avril 2022, tout en relevant explicitement qu'elles ont pour effet de soustraire au débat contradictoire les informations relatives à ces moyens⁴⁶. La conformité est admise en connaissance de cause de la soustraction.

La chambre criminelle a néanmoins ouvert une brèche. Par une série d'arrêts du 11 octobre 2022, elle a censuré des chambres de l'instruction ayant écarté des nullités sans s'expliquer sur la présence au dossier de l'attestation de sincérité de l'article 230-3⁴⁷. Le contrôle du procédé, impossible dans sa substance, se reporte sur une pièce. Mais la portée de cette brèche a été aussitôt délimitée : par arrêt du 10 mai 2023, la Cour a jugé que lorsque les données captées n'étaient pas chiffrées, aucune attestation n'était requise⁴⁸.

Privée d'accès au procédé, la défense se replie sur la vérification documentaire de sa régularité ; et cette vérification est elle-même conditionnée. C'est la situation qui se reproduira face aux données produites par un fournisseur en exécution d'un EPOC — un flux certifié par celui-là même qui l'a constitué.

2. Sky ECC : la qualité à agir face à une collecte de masse

Le moyen le plus naturel, face à une opération portant sur plus de cent mille utilisateurs, consiste à en contester le caractère massif et indifférencié. La chambre criminelle l'a neutralisé le 7 janvier 2025, en approuvant les juges du fond d'avoir retenu que le requérant n'avait pas qualité pour agir en annulation de l'ensemble des interceptions concernant des utilisateurs tiers, dans une procédure distincte ne concernant directement ni ses intérêts propres ni la protection de sa vie privée⁴⁹.

Le verrou est de recevabilité, non de fond. Il n'est pas jugé que la collecte de masse serait régulière ; il est jugé que celui qui en subit les effets n'a pas qualité pour en discuter l'ensemble. La disproportion structurelle échappe au contrôle par le seul jeu de la qualité à agir.

Cet arrêt éclaire rétrospectivement la décision du 17 octobre 2024. La Cour européenne avait constaté qu'un recours permettait de contester la régularité et la nécessité de la technique d'enquête initialement mise en œuvre. Elle ne s'était pas prononcée sur l'étendue de ce que le requérant pouvait ainsi remettre en cause. La chambre criminelle a répondu : ce qui le vise, non l'architecture qui l'a produit. Le recours existe ; il est individuel.

Ce verrou se reformera sous l'empire du règlement, et à moindres frais : lorsqu'un EPOC portera sur des données extraites d'un ensemble constitué globalement, la personne concernée sera fondée à contester l'injonction qui la vise, non les conditions dans lesquelles l'ensemble a été formé.

3. ANOM : la fiabilité du producteur de la preuve

L'opération Trojan Shield, conduite entre 2018 et 2021, présente une singularité qui en fait le cas-limite. La plateforme ANOM n'a pas été compromise par les autorités : elle a été conçue, distribuée et exploitée par elles, le Federal Bureau of Investigation et la police fédérale australienne en assurant le contrôle depuis l'origine⁵⁰. Le producteur de la preuve était l'accusateur.

Ce constat, qui n'est pas discuté, suffit à la démonstration. Il convient en revanche d'être prudent sur le contentieux qui en est né. Une partie de la doctrine allemande soutient que les juridictions appelées à autoriser la collecte auraient été tenues dans l'ignorance de l'origine réelle de la plateforme ; si elle était établie, cette thèse engagerait l'article 6 de la Convention bien au-delà d'un seul ordre juridique⁵¹. Elle ne l'est pas à ce jour, et les juridictions allemandes ont admis les données ANOM à titre de preuve. On la mentionne parce qu'elle sera discutée, non parce qu'elle serait acquise.

L'intérêt d'ANOM ne dépend pas de l'issue de cette controverse. Il est de révéler, par un cas extrême, la nature du point aveugle. Le règlement fait du fournisseur le point d'aboutissement de la chaîne probatoire, sans organiser de vérification indépendante de ce qu'il produit. Cette architecture repose sur une présomption de neutralité du producteur. ANOM montre ce qui advient lorsqu'elle est fausse — et qu'aucun mécanisme du dispositif ne permettrait de le découvrir.

4. Un quatrième enseignement : la fermeture de la voie européenne directe

À ce répertoire s'ajoute désormais une leçon d'un autre ordre, tirée du contentieux porté devant les juridictions de l'Union.

Par arrêt du 25 février 2026, le Tribunal a statué sur le recours d'un ressortissant serbe poursuivi aux Pays-Bas et en Serbie sur le fondement de données Sky ECC, dirigé contre Europol et Eurojust⁵². La solution est instructive à double titre.

D'une part, elle confirme l'étendue de la fermeture. Le Tribunal se déclare incompétent pour connaître de l'autorisation par le juge français des opérations d'interception, de leur déroulement, de la transmission des documents obtenus, ainsi que de l'accord d'équipe commune d'enquête — lequel, signé par trois États membres seulement, n'est pas un acte de l'Union, quand bien même Europol et Eurojust y auraient été associées en qualité de participants.

D'autre part, et c'est le point remarquable, le Tribunal a reconnu le caractère attaquable d'une transmission de données par Eurojust aux autorités serbes, en retenant expressément qu'elle constituait le terme ultime d'une procédure au-delà duquel la légalité de la transmission ne pourrait plus jamais être contestée, les juridictions du pays tiers ne pouvant ni en apprécier la validité au regard du droit de l'Union ni saisir la Cour à titre préjudiciel. Il a jugé que cette reconnaissance était seule à même de garantir le contrôle effectif du transfert de données interceptées et de leur utilisation à d'autres fins que celles de la procédure pour laquelle elles avaient été collectées⁵³.

Le raisonnement est exactement celui que la présente étude conduit : l'absence de toute autre voie de contrôle commande l'ouverture de celle qui reste. Il a été tenu par le juge de l'Union lui-même. Un pourvoi est pendant devant la Cour de justice⁵⁴.

B. Le contentieux à venir sous l'empire du règlement

1. La régularité de l'EPOC : le terrain apparent

Le premier réflexe consistera à contester l'injonction elle-même : compétence de l'autorité d'émission au regard de la catégorie de données, respect du seuil d'infraction, validation par un juge lorsqu'elle est requise, motivation de la nécessité et de la proportionnalité, régularité de la notification. Ce contentieux existera et sera utile. Les mises en demeure de mars 2026 laissent présager, dans les premiers mois d'application, un contentieux nourri sur la régularité même de la désignation des destinataires.

Sa portée sera limitée par ce qui a été établi : le contrôle de l'ordre ne saisit pas le gisement.

2. Le déplacement vers l'authenticité, l'intégrité et la chaîne de conservation

C'est ici que le contentieux se déplacera, et ce déplacement est la conséquence nécessaire de la structure décrite. Si l'exécution ne produit plus d'acte juridictionnel de l'État de mise en œuvre, la défense perd son objet de contestation habituel. Elle ne peut plus attaquer un acte : il n'y en a pas. Il lui reste à attaquer ce que l'acte a produit.

Cette exigence n'est pas à construire. Le droit conventionnel la formule depuis longtemps. La Cour de Strasbourg ne se prononce pas sur l'admissibilité des preuves, qui relève du droit interne ; elle recherche si la procédure, y compris le mode d'obtention, a été équitable dans son ensemble⁵⁵. Cet examen s'organise autour de deux critères directement transposables : la possibilité offerte au requérant de remettre en question l'authenticité de l'élément de preuve et de s'opposer à son utilisation, que la Cour tient pour l'élément décisif ; et la qualité de la preuve, c'est-à-dire le point de savoir si les circonstances de son obtention font douter de sa fiabilité ou de son exactitude⁵⁶.

Ces deux critères désignent ce que le règlement n'organise pas. Quelle garantie de l'intégrité des données transmises ? Quelle traçabilité de leur extraction ? Quelle certification, et par qui ? Le droit français connaît, à l'article 230-3, l'exigence d'une attestation de sincérité visée par le responsable de l'organisme technique. Rien d'équivalent ne pèse sur le fournisseur destinataire d'un EPOC, qui n'est ni un organisme technique désigné par l'autorité judiciaire, ni un tiers neutre, mais une entreprise privée soumise à une obligation de conformité assortie de sanctions⁵⁷.

Une objection sérieuse doit être formulée. L'approche par l'équité globale est notoirement permissive : dans les affaires Schenk comme Khan, la Cour a conclu à la non-violation alors même que la preuve avait été irrégulièrement recueillie, dès lors que la défense avait pu la discuter et qu'elle n'était pas l'unique fondement de la condamnation⁵⁸. Un contradicteur soutiendra que ce standard valide le dispositif.

La réponse tient dans la distinction entre discuter et discuter utilement. Ce qu'exige la jurisprudence conventionnelle n'est pas la présence formelle de la preuve au débat, mais la possibilité effective d'en contester l'authenticité. Une partie qui ne connaît ni le processus d'extraction, ni les conditions de conservation, ni la motivation de l'injonction ne dispose d'aucun moyen de mettre en cause l'authenticité de ce qu'on lui oppose : elle peut la nier, non la contester.

3. Les conséquences procédurales des violations

La question de la sanction est le prolongement obligé des précédentes, d'autant plus décisive que, faute de contradictoire au stade de l'exécution, l'exclusion ex post demeure le seul levier.

Le droit de l'Union ne comporte pas de règle générale d'exclusion et renvoie pour l'essentiel aux droits nationaux. Mais ce renvoi n'est pas inconditionnel : la Cour de justice a jugé, dans M.N., que le juge national doit écarter les éléments de preuve à l'égard desquels une partie n'est pas en mesure de commenter efficacement⁵⁹. C'est moins l'irrégularité de l'obtention que l'impossibilité d'en débattre qui fonde l'exclusion.

Les deux ordres européens convergent ici, ce qui est rare en matière probatoire. Le critère de la Cour de justice — l'impossibilité de commenter efficacement — recouvre celui de la Cour de Strasbourg — l'impossibilité de contester l'authenticité. Cette convergence donne au moyen une assise que ni l'un ni l'autre fondement n'aurait isolément.

Appliqué à l'exécution d'un EPOC, le raisonnement est immédiat. Si la personne poursuivie ne peut ni accéder aux modalités techniques de production, ni contester les conditions de constitution des données, ni obtenir communication de la motivation de l'injonction, elle n'est pas en mesure de commenter efficacement la preuve qu'on lui oppose.

4. Le contentieux d'interprétation : les questions préjudicielles prévisibles

On peut identifier, sans grand risque, les interrogations qui remonteront devant la Cour de justice :

— l'article 47 de la Charte impose-t-il qu'un recours soit ouvert, dans l'État où les données sont détenues, à la personne poursuivie ailleurs sur le fondement d'un EPOC ? C'est la transposition directe de C-625/25 ;

— le contrôle de proportionnalité doit-il porter sur les conditions de constitution de l'ensemble dont l'injonction sollicite l'extraction, ou seulement sur la demande ?

— quelles exigences les articles 47 et 48 de la Charte, lus à la lumière de l'article 6 de la Convention, imposent-ils quant à la traçabilité et à la certification des données produites par un fournisseur privé ?

— le différé de notification est-il compatible avec le droit au recours effectif lorsqu'il prive durablement la personne de la connaissance de l'objet du recours ?

— quelles conséquences procédurales tirer d'une exécution intervenue en méconnaissance des obligations de désignation résultant de la directive 2023/1544 ?

5. Le contentieux de validité : une voie ouverte, et un paradoxe

Il faut distinguer nettement de ce qui précède un second registre, dont l'ambition est autre : la contestation de la validité du règlement lui-même.

Le recours en annulation est fermé au justiciable. Le délai de deux mois de l'article 263, alinéa 6, TFUE est expiré. La condition d'affectation directe et individuelle est insurmontable pour un acte de portée générale. Et le troisième membre de l'article 263, alinéa 4, est inapplicable, la notion d'acte réglementaire excluant les actes législatifs et le règlement comportant en tout état de cause des mesures d'exécution⁶⁰.

Cette fermeture n'est pas une lacune : elle est assumée. La Cour a jugé que le traité organise un système complet de voies de droit dans lequel le juge national, par le renvoi préjudiciel, assure le contrôle de la légalité des actes de l'Union⁶¹. Elle renvoie donc elle-même le justiciable vers la juridiction nationale.

C'est là que le moyen se plaide. La personne poursuivie soulève, devant la chambre de l'instruction ou la juridiction de jugement, l'invalidité du règlement. Aucun délai ne lui est opposable, et l'obstacle tiré de la jurisprudence TWD ne joue pas, puisqu'elle ne pouvait pas agir en annulation⁶². Le juge national n'est pas tenu de renvoyer sur demande d'une partie, mais il ne peut constater lui-même l'invalidité : s'il estime le moyen fondé, il doit saisir la Cour⁶³. Le moyen doit donc être construit non pour convaincre, mais pour rendre le doute impossible à écarter par une motivation sommaire.

Deux moyens méritent d'être identifiés.

Le premier tient à la base juridique. Le règlement est fondé sur l'article 82, paragraphe 1, TFUE, qui vise la coopération judiciaire fondée sur la reconnaissance mutuelle. Si la démonstration conduite au I est exacte, le dispositif n'en relève plus : il n'y a pas de décision d'un État reconnue par un autre, mais un ordre adressé à une personne privée.

Le second tient à l'article 47 de la Charte. Un règlement qui organise une ingérence sans prévoir de for compétent pour en contrôler l'exercice porte, en lui-même, atteinte au droit au recours effectif. Ce n'est plus un défaut d'interprétation, c'est un vice de l'acte. Le précédent est connu : la directive 2006/24 n'a pas été annulée sur recours direct, elle a été invalidée sur renvoi en appréciation de validité.

Un paradoxe mérite enfin d'être relevé. L'article 276 TFUE ne fait obstacle qu'au contrôle des opérations menées par la police ou d'autres services répressifs. Or l'exécution d'un EPOC n'en est pas une : c'est un acte pris par une autorité judiciaire en application d'un règlement de l'Union, adressé à un opérateur privé. Le Tribunal a d'ailleurs précisé, dans l'arrêt BW, que hors de ces opérations spécifiques il demeure habilité à apprécier la légalité d'actes des États membres. Le basculement vers l'e-Evidence pourrait donc, contre toute attente, soustraire une part du contentieux à l'obstacle de l'article 276 — et rouvrir devant le juge de l'Union ce que la coopération policière classique lui fermait. La proposition est avancée ici à titre d'hypothèse ; elle mérite d'être éprouvée.

6. Retour sur C-625/25 : l'alternative qui commande la décennie

Une objection doit être écartée d'emblée : celle qui verrait dans l'entrée en application du règlement une cause de péremption de la question posée. Le règlement n'abroge pas la directive 2014/41, qu'il complète⁶⁴ ; la décision d'enquête européenne demeurera l'instrument de la transmission des preuves déjà détenues par un État membre — soit précisément la configuration dont procèdent tant le contentieux Sky ECC que l'affaire A.L. et E.J. À quoi s'ajoute la considération du stock : les procédures pendantes reposant sur des données transmises depuis 2021 se compteront encore, pour plusieurs années, par milliers.

Si la Cour juge que l'article 47 de la Charte commande l'ouverture d'un recours dans l'État où la preuve a été collectée, le principe sera immédiatement transposable au règlement, dont il fragilisera l'économie même. Si elle juge au contraire que les voies de droit disponibles dans l'État d'émission suffisent, elle validera par anticipation l'architecture du règlement.

Encore cette alternative suppose-t-elle que la Cour se prononce sur le terrain de la Charte. C'est ici que réside la véritable inconnue, et elle tient moins au sens de la réponse qu'à son fondement. La chambre criminelle a posé deux questions d'assise différente : la première invoque l'article 47 de la Charte ; la seconde, subsidiaire, le principe d'équivalence de l'article 14, paragraphe 1, de la directive⁶⁵. Une solution assise sur l'article 47 énoncerait une exigence de droit primaire, opposable à tout instrument organisant la circulation transfrontière de la preuve, règlement compris. Une solution assise sur le seul article 14, paragraphe 1, resterait une interprétation de droit dérivé, cantonnée à l'instrument qui la porte — et le règlement, doté de son propre régime, y échapperait.

C'est donc le terrain choisi, davantage que le dispositif de l'arrêt, qui déterminera si la réponse constitue un principe directeur du droit européen de la preuve numérique ou une solution d'espèce appelée à s'éteindre avec l'instrument qui l'a suscitée. Les conclusions de l'avocat général seront, à cet égard, plus instructives que la question elle-même.

La chronologie donne à cette alternative une netteté singulière. La demande a été déposée le 23 septembre 2025 ; l'affaire demeure pendante. Le règlement deviendra applicable le 18 août 2026. La Cour statuera donc sur le modèle antérieur alors que le modèle nouveau sera déjà en vigueur. Elle jugera de la deuxième génération en connaissance de la troisième.

Conclusion

Le règlement e-Evidence ne se laisse pas réduire à l'alternative par laquelle on a commencé. Il ne déjudiciarise pas l'obtention de la preuve électronique au sens où il en confierait la décision à des acteurs privés : l'injonction demeure un acte judiciaire, et le législateur européen a même renforcé, sur le terrain de l'autorité compétente, les exigences issues de la jurisprudence de la Cour de justice. Mais il ne fait pas davantage émerger un contrôle juridictionnel européen d'un type nouveau, car il n'organise pas le for devant lequel ce contrôle s'exercerait.

Ce qu'il opère est plus précis, et plus problématique : il concentre le contrôle en un point de la chaîne — l'émission — et le laisse vacant partout ailleurs. La constitution des données échappe au juge d'émission par l'effet de la reconnaissance mutuelle ; leur production échappe au contradictoire par l'effet de la nature privée du destinataire ; leur contestation échappe à la personne concernée par l'effet du différé de notification.

Le point le plus frappant est ailleurs. En octobre 2024, la Cour européenne des droits de l'homme a jugé qu'un utilisateur d'EncroChat poursuivi à l'étranger disposait en France d'un recours effectif, et elle a fondé ce constat sur trois éléments précis : un acte contestable sur le territoire de l'État de collecte, une information de l'État qui poursuit, une obligation pour celui-ci de tenir compte du succès du recours. Vingt-deux mois plus tard, le règlement e-Evidence entre en application en ne reprenant aucun des trois. Ce n'est pas une régression accidentelle ; c'est la conséquence assumée du choix d'une coopération directe avec les fournisseurs. Encore faut-il en mesurer le prix.

Le contentieux Sky ECC avait posé cette question avant que le règlement ne soit applicable. La chambre criminelle l'a portée devant la Cour de justice le 16 septembre 2025, sous l'empire d'un instrument que le nouveau texte ne remplace pas mais recouvre. Comme les arrêts Digital Rights Ireland, Tele2 Sverige et La Quadrature du Net ont façonné, pour une génération, le droit européen des données de connexion, la réponse apportée dans l'affaire C-625/25 déterminera les standards de la preuve numérique européenne pour la décennie qui s'ouvre.

Ces questions seront posées, et elles le seront devant les juridictions nationales avant de l'être à Luxembourg ou à Strasbourg. Les porter suppose une compétence qui n'est plus seulement celle de la procédure pénale interne : la maîtrise du droit de l'Union, du droit conventionnel et de la technique de la preuve numérique cesse d'être un domaine de spécialité pour devenir une condition d'exercice du contentieux pénal transnational.

Notes

Étude publiée le 30 juillet 2026 sur zekkouti-avocat.com. Toute reproduction, même partielle, est soumise à autorisation. Une version anglaise de cette étude est disponible : English version.