E-evidence : identifier les comptes Wyylde, Gmail, Yahoo ou Meta

Réponse courte. À partir du 18 août 2026, le règlement européen « e-evidence » permettra à une autorité judiciaire d’un État membre d’adresser directement une injonction de production ou de conservation au représentant européen d’un fournisseur de services établi dans un autre État membre. Les messages, e-mails et données de compte pourront ainsi être obtenus plus vite dans certaines procédures pénales.

Partager cet article

×

Lien de l’article

Copier

Envoyer par e-mail

Préparer l’e-mail

Le fournisseur devra en principe répondre dans les dix jours, et dans les huit heures en cas d’urgence. Mais le nouveau mécanisme ne crée aucune donnée qui n’existe plus, n’autorise pas une collecte générale et ne transforme pas automatiquement l’export reçu en preuve incontestable. Nécessité, proportionnalité, contrôle judiciaire, intégrité et droits de la défense restent déterminants.

Article à jour au 27 juillet 2026. Le règlement (UE) 2023/1543 est directement applicable à partir du 18 août 2026. Il doit être distingué de la directive (UE) 2023/1544, qui organise notamment la désignation d’établissements ou de représentants légaux.

Pourquoi cette réforme intéresse autant les enquêtes numériques

Une grande partie des preuves pénales modernes est détenue par des acteurs privés : messageries, réseaux sociaux, services cloud, hébergeurs, opérateurs ou fournisseurs de noms de domaine. L’enquête peut être française alors que l’entreprise, son représentant et les serveurs relèvent de plusieurs pays.

Jusqu’ici, obtenir une réponse étrangère pouvait exiger une décision d’enquête européenne, une entraide judiciaire ou une demande volontaire à la plateforme. La Commission européenne compare ces procédures, qui pouvaient durer plusieurs mois, au délai beaucoup plus court du nouveau mécanisme.

Le sujet est particulièrement concret pour les dossiers où un compte peut disparaître, une adresse IP être réattribuée ou une politique de conservation effacer rapidement les traces. Le règlement cherche donc à rapprocher la vitesse judiciaire de la vitesse numérique — un enjeu que le cas des demandes adressées à Meta et Instagram permet d’illustrer concrètement.

Wyylde : retrouver un compte ne suffit pas à identifier une personne

Le réseau social libertin Wyylde illustre brutalement cette difficulté. Dans une enquête publiée par Le Monde le 20 juillet 2026, le principal suspect d’une affaire de viols collectifs en Gironde est décrit comme ayant utilisé le pseudonyme « Prêteur33 » sur la plateforme pour recruter des hommes. Le journal indique que des contenus figurent au dossier pénal et que l’entreprise a répondu aux réquisitions judiciaires en ouvrant aux enquêteurs l’accès aux comptes des utilisateurs recherchés. Wyylde affirme pour sa part condamner les violences sexuelles et conteste qu’il soit démontré que les faits ou contenus litigieux aient été diffusés sur son service.

Trois jours plus tard, Le Monde a rapporté l’ouverture par le parquet de Paris d’une enquête préliminaire distincte visant la plateforme, confiée à la section de recherches de Paris. BFMTV a également présenté cette enquête. Son ouverture et les qualifications examinées ne prouvent ni la culpabilité de la société, ni celle des personnes citées : elles définissent le périmètre des investigations à mener. Les personnes mises en examen demeurent présumées innocentes.

Les sources publiques ne permettent pas de dire quelles données précises ont identifié chaque personne, ni d’affirmer que les mis en cause auraient utilisé un VPN, Proton Mail, Gmail, Yahoo Mail ou un numéro ONOFF. Elles montrent en revanche pourquoi une enquête numérique ne s’arrête jamais au pseudonyme. Il faut relier le compte à une adresse électronique, un numéro, des connexions, un paiement, un appareil, des fichiers, des déplacements ou des témoins — puis vérifier que ces indices convergent vers le même utilisateur.

Gmail, Yahoo, ONOFF, Proton et VPN : ce que les réquisitions peuvent réellement apporter

Service ou indice	Données potentiellement disponibles	Limite d’attribution
Wyylde	Pseudonyme, e-mail, profil déclaré, données de connexion, échanges ou contenus encore conservés, selon la demande et les données détenues. Les règles publiées par Wyylde mentionnent notamment l’e-mail, le pseudonyme et l’adresse IP parmi les données traitées.	Un profil déclaré ou une vérification d’âge ne certifie pas nécessairement l’identité civile de l’utilisateur. Une adresse e-mail ou une IP doit encore être recoupée.
Gmail	Selon Google et selon l’acte juridique : informations d’inscription, e-mails ou téléphones associés, adresses IP et heures de connexion, en-têtes non relatifs au contenu et, sous des conditions plus strictes, contenu stocké.	La conservation ne recrée pas les données déjà effacées et ne vaut pas remise immédiate. Un compte Gmail peut lui-même reposer sur des informations déclaratives.
Yahoo Mail	Informations d’abonné, adresse alternative, IP d’inscription et de connexion, facturation éventuelle, données transactionnelles d’e-mail et, avec le niveau juridique requis, contenu disponible.	Il faut viser la bonne entité et la bonne voie transfrontière. Pour les services européens, l’entité contractante a changé en mai 2025.
Numéro ONOFF	Le service indique conserver notamment des données de compte, de carte SIM, de trafic et des adresses IP ; son aide précise que les données de trafic sont conservées un an après la fermeture du compte et peuvent être mises à disposition sur réquisition judiciaire.	Le numéro est virtuel, mais pas nécessairement intraçable. Il ajoute un intermédiaire : le compte ONOFF doit encore être relié à une SIM, une IP, un paiement ou un appareil.
Proton Mail	Certaines informations de compte peuvent être remises aux autorités suisses sur ordre valable. Une demande étrangère doit emprunter les voies de coopération applicables avec la Suisse.	Proton indique ne pas pouvoir déchiffrer les e-mails chiffrés de bout en bout. « Adresse Proton » ne signifie cependant pas « absence de toute trace » : données de compte, appareil, destinataire et preuves locales peuvent subsister.
VPN	La plateforme voit généralement l’adresse IP de sortie du VPN plutôt que celle de l’accès domestique. Une éventuelle remontée dépend du fournisseur, de sa juridiction et des journaux qu’il conserve effectivement.	Un VPN sans journal exploitable peut rompre la chaîne fondée sur l’IP. Il ne supprime pas les autres traces : e-mail, paiement, appareil, cookie, fichiers, visage, horaires ou déplacements.

La vie privée autorise-t-elle les VPN, le chiffrement et les comptes pseudonymes ?

Oui, ces outils sont licites en eux-mêmes. En France, utiliser un VPN, chiffrer ses données, choisir une messagerie protectrice ou employer un pseudonyme ne nécessite pas de justification particulière. Ce sont aussi des moyens ordinaires de cybersécurité. La CNIL présente le VPN comme une protection contre le traçage de l’adresse IP et recommande par ailleurs le chiffrement pour protéger les données sensibles. Avocat, journaliste, entreprise, victime de violences ou simple particulier peuvent donc légitimement chercher à réduire leur exposition numérique.

Mais le droit au respect de la vie privée et le secret des correspondances ne créent pas une immunité pénale. Ils imposent que l’accès des autorités aux données repose sur la loi, poursuive un but légitime et soit nécessaire et proportionné. Ils n’autorisent pas, une fois une infraction commise, à détruire ou altérer des éléments pour empêcher la recherche de la vérité. L’article 434-4 du code pénal réprime notamment, lorsqu’elle est accomplie dans ce but, la destruction, la soustraction, le recel ou l’altération d’un document ou d’un objet utile à la découverte d’un crime ou d’un délit.

Le chiffrement connaît également une règle particulière. L’article 434-15-2 du code pénal peut sanctionner le refus de remettre ou de mettre en œuvre une convention secrète de déchiffrement lorsque le moyen de cryptologie est susceptible d’avoir servi à préparer, faciliter ou commettre un crime ou un délit et qu’une réquisition judiciaire valable est adressée à la personne qui connaît cette convention. Dans sa décision n° 2018-696 QPC du 30 mars 2018, le Conseil constitutionnel a jugé ce dispositif conforme, en relevant notamment qu’il ne s’applique pas à une demande informelle : l’existence des données chiffrées doit avoir été identifiée et la demande doit émaner de l’autorité judiciaire.

Comment les enquêteurs remontent-ils jusqu’à un utilisateur qui couvre ses traces ?

Ils ne dépendent généralement pas d’une trace unique. Une adresse IP domestique directement visible constitue le chemin le plus court, mais un VPN peut le couper ou l’allonger. L’enquête cherche alors les points où l’utilisateur a dû interagir avec un autre service ou avec le monde physique.

1. Partir du compte cible : identifiant interne, pseudonymes successifs, date de création, e-mail ou téléphone de récupération, heures de connexion, appareils reconnus, messages et contenus encore stockés.
2. Interroger les services liés : fournisseur de l’adresse e-mail, numéro ONOFF, opérateur mobile, boutique d’applications, prestataire de paiement ou service cloud. Chaque acteur ne détient qu’une partie de la chaîne.
3. Traiter l’IP avec prudence : si l’adresse appartient à un VPN, une demande au fournisseur peut révéler un compte, un paiement ou une IP d’origine lorsqu’il conserve réellement ces données et qu’une voie juridique permet de les obtenir. Avec un service sans journaux exploitables, cette branche peut s’arrêter.
4. Changer de branche probatoire : moyen de paiement, SIM, identifiants IMEI ou appareils, cookies et jetons de session saisis, sauvegardes, métadonnées de fichiers, correspondants, visages, lieux et horaires peuvent relier le compte à une personne sans résoudre l’IP du VPN.
5. Recouper les chronologies : une connexion à 22 h 14, un paiement, un message envoyé, un déplacement ou un fichier créé au même moment ne suffisent pas isolément. Leur concordance peut former un faisceau d’indices, sous réserve du débat contradictoire sur leur fiabilité.

Ces investigations ne sont pas sans limites. En droit français, l’article 60-1-2 du code de procédure pénale encadre les réquisitions portant sur les données permettant d’identifier la source d’une connexion, ainsi que les données de trafic et de localisation. Il les réserve notamment aux crimes, à certains délits et aux hypothèses définies par le texte, lorsque les nécessités de la procédure l’exigent. À partir du 18 août 2026, e-evidence accélérera certaines demandes transfrontières ; il ne supprimera ni ces conditions, ni le contrôle de nécessité et de proportionnalité.

La conclusion probatoire est plus nuancée que « un VPN protège » ou « la police retrouve toujours ». Un outil bien conçu peut rendre une attribution beaucoup plus difficile, voire empêcher une remontée fondée uniquement sur l’IP. Mais masquer une trace ne masque pas automatiquement toutes les autres. À l’inverse, accumuler des indices techniques ne dispense jamais de démontrer qu’ils se rapportent à la personne poursuivie et non seulement à un compte, un abonnement, un foyer ou un appareil partagé.

Il faut surtout distinguer Proton Mail de Proton VPN. Dans son rapport de transparence, Proton indique que son service VPN ne conserve pas de journaux permettant d’identifier l’utilisateur d’une adresse IP de sortie à un instant donné. Pour Proton Mail, la société dit pouvoir répondre à certains ordres suisses, sans pouvoir déchiffrer le contenu protégé de bout en bout. La marque est la même, mais la preuve disponible et la voie judiciaire ne le sont pas.

De même, le tableau décrit des possibilités techniques et juridiques générales. Il ne démontre pas que ces services ont été utilisés dans l’affaire Wyylde. Attribuer sans preuve un VPN ou une messagerie particulière aux suspects transformerait une hypothèse d’enquête en fait publié.

De Coco et des viols de Mazan à Wyylde : même problème d’attribution, dossiers différents

Le précédent de Coco.fr montre à la fois la puissance et la limite des traces numériques. Le rapport d’information de l’Assemblée nationale sur les violences commises dans le cadre des relations intimes rappelle que l’exploitation du téléphone et de l’ordinateur de Dominique Pelicot a révélé les échanges par lesquels il invitait des inconnus sur Coco.fr. Le rapport évoque 83 auteurs apparaissant sur les vidéos et 51 personnes identifiées. Le compte, le message ou même le visage enregistré n’ont donc pas automatiquement donné un nom à tous les participants.

Une réponse gouvernementale à l’Assemblée nationale a par ailleurs indiqué que Coco était cité dans 23 051 procédures et ne mettait en œuvre ni vérification d’identité ni modération suffisante. Après la fermeture du site et la saisie de son infrastructure en juin 2024, la gendarmerie a encore décrit en juillet 2026 un travail massif d’identification à partir des données récupérées.

Le parallèle doit rester limité. Coco, Wyylde et les procédures de Mazan ou de Gironde ne sont ni la même plateforme, ni la même affaire, ni le même stade judiciaire. La leçon probatoire est néanmoins commune : les données du service deviennent réellement utiles lorsqu’elles sont rapprochées des terminaux, des fichiers originaux, des communications, des paiements et des constatations matérielles.

Le parcours actuel face à Meta et Instagram : plusieurs voies, aucune baguette magique

Avant même de parler d’e-evidence, il faut distinguer les voies par lesquelles une demande peut atteindre Instagram ou Meta. Elles n’ont ni la même force juridique, ni le même destinataire, ni les mêmes délais. Les confondre conduit à croire qu’un simple signalement, une demande civile et une réquisition pénale devraient produire la même réponse.

Le signalement effectué dans l’application ou par un formulaire d’aide est une alerte traitée selon les règles internes de la plateforme : il n’ordonne pas la remise de données à la victime. Une demande volontaire d’une autorité n’est pas non plus équivalente à un acte contraignant. La réquisition ou l’ordre émis dans une procédure pénale possède une base légale, mais son exécution transfrontière dépend encore du destinataire, de la nature des données et du mécanisme juridique mobilisé. Pour les utilisateurs de la région européenne, les directives opérationnelles publiées par Meta désignent Meta Platforms Ireland Ltd. Elles indiquent aussi qu’un mécanisme d’entraide peut être nécessaire, avant l’application d’e-evidence, pour contraindre la remise du contenu d’un compte.

La mesure civile fondée sur l’article 145 du code de procédure civile suit une autre logique. Elle permet à un particulier de demander au juge, avant tout procès, une mesure destinée à conserver ou établir la preuve de faits dont pourrait dépendre un litige. Elle ne devient pas pour autant une injonction pénale européenne. L’entraide judiciaire internationale et la décision d’enquête européenne relèvent, elles, de la coopération entre autorités. Enfin, à partir du 18 août 2026, l’injonction européenne e-evidence pourra être adressée directement au représentant désigné dans l’Union, mais seulement dans une procédure pénale relevant du règlement : un particulier ne pourra pas l’envoyer lui-même pour soutenir une instance civile.

La difficulté n’est pas uniquement juridique. Meta demande que la requête précise les catégories de données, la période utile, le nom d’utilisateur ou l’identifiant pertinent et la date à laquelle ce nom était utilisé. Un pseudonyme Instagram peut changer. Une capture qui ne montre ni l’URL du profil, ni l’identifiant, ni une date exploitable peut donc laisser l’enquêteur sans cible technique suffisamment stable.

Les durées de conservation varient aussi selon les catégories. Meta précise que certaines informations peuvent n’être stockées que brièvement et qu’elles ne sont pas conservées pour les besoins des autorités sans demande de préservation juridiquement valable. Dans une enquête pénale, son canal dédié permet actuellement de demander une conservation pendant quatre-vingt-dix jours dans l’attente de l’acte formel. Encore faut-il agir avant l’effacement. Enfin, Instagram n’impose pas systématiquement la vérification de l’adresse électronique, du téléphone ou de l’identité réelle : obtenir un nom déclaré ne suffit donc pas nécessairement à attribuer le compte à une personne.

Le cas rapporté par Next : une procédure civile, pas une réquisition pénale refusée

En novembre 2021, le média Next, sous la plume de Marc Rees, a raconté le parcours d’un photographe qui disait recevoir depuis plus d’un an des messages provenant d’un compte Instagram pseudonyme et l’accusant notamment de violences sexuelles. Il cherchait à identifier l’auteur du compte et à connaître l’étendue des messages envoyés à ses clients et relations professionnelles. Selon l’article, ces accusations n’avaient alors donné lieu ni à condamnation ni à poursuite : elles doivent être présentées comme des allégations rapportées, et non comme des faits établis.

Après des signalements demeurés sans réponse utile, le photographe avait assigné Facebook France et Facebook Ireland en référé sur le fondement de l’article 145 du code de procédure civile. Il demandait des données de compte et de connexion, mais aussi des messages qui auraient été placés sous scellés puis triés afin de ne lui transmettre que ceux le concernant.

Toujours selon Next, Meta contestait notamment la compétence du juge saisi, la base légale de la communication en matière civile, le périmètre des données réclamées et les atteintes possibles au RGPD, au secret des correspondances, à la vie privée du titulaire du compte et aux droits des tiers. La plateforme n’envisageait, à titre très subsidiaire, que la remise de certaines données limitées. Une plainte pour harcèlement « en meute » était pendante en parallèle, mais l’article de 2021 ne rapporte ni l’issue définitive de l’instance civile, ni celle de la plainte pénale.

Cette affaire illustre donc les obstacles d’une demande civile transfrontière. Elle ne démontre pas que Meta refuserait en général d’exécuter les réquisitions pénales françaises. Elle montre surtout pourquoi la qualification de la voie suivie, le choix du bon destinataire, la distinction entre métadonnées et contenu, la précision de la période et la protection des tiers sont déterminants.

Signifier un acte à Dublin : JUDEX transmet, mais ne remplace pas la signification

Une difficulté supplémentaire apparaît lorsqu’un particulier engage une procédure civile contre une société établie en Irlande. Avant même que le juge examine une demande fondée sur l’article 145 du code de procédure civile, l’assignation ou l’ordonnance doit atteindre la bonne personne morale dans des conditions opposables. Le nom de la marque ne suffit pas. Meta désigne Meta Platforms Ireland Ltd. pour les utilisateurs européens. Depuis le 6 mai 2025, les services grand public de Yahoo dans la région relèvent de Yahoo International Limited, tandis que certaines activités publicitaires restent rattachées à Yahoo EMEA Limited. Les deux entités Yahoo indiquent une adresse à l’EXO Building, North Wall Quay, Dublin 1, mais il faut encore identifier celle qui fournit le service concerné.

La signification entre la France et l’Irlande relève, en matière civile ou commerciale, du règlement (UE) 2020/1784. La transmission entre les entités désignées passe désormais par le système informatique décentralisé fondé sur e-CODEX. Les professionnels le présentent sous le nom JUDEX, ou e-EDES–JUDEX. Un commissaire de justice français doit donc maîtriser ce canal, les formulaires européens et le choix de l’entité irlandaise compétente.

La plateforme sécurise et accélère l’envoi ; elle ne signifie pas elle-même l’acte. Comme le souligne l’Union internationale des huissiers de justice, transmettre techniquement un document et accomplir juridiquement sa signification sont deux opérations différentes. En Irlande, le portail européen e-Justice indique que les formulaires sont acceptés en anglais ou en irlandais et qu’une signification personnelle peut être effectuée par une agence juridique, un enquêteur privé ou un solicitor, pour un coût généralement annoncé entre 70 et 100 euros. Il faut ensuite obtenir une attestation de signification exploitable.

Restent des points très concrets : adresse à jour, traduction permettant d’éviter un refus de réception, délai local, preuve de la remise et exacte dénomination sociale. Le règlement vise une signification dans les meilleurs délais, en principe dans le mois suivant la réception par l’entité requise, mais ce délai n’est pas une garantie de remise effective. Surtout, JUDEX ne donne aucun accès aux données du compte. Il règle la transmission d’un acte civil ; e-evidence règle, à compter du 18 août 2026, la production ou la conservation de preuves électroniques dans une procédure pénale. Une victime engagée simultanément sur les deux terrains peut donc rencontrer deux chaînes transfrontières différentes.

Une autre affaire récente montre, sous un angle différent, l’importance de choisir la bonne voie contre une plateforme. Dans le dossier Kering contre Meta à propos d’une vidéo publiée sur Instagram et Facebook, le tribunal judiciaire de Paris a annulé, le 9 juillet 2026, l’assignation visant au retrait du contenu parce qu’une formalité de l’article 53 de la loi du 29 juillet 1881 n’avait pas été respectée. Le juge n’a donc validé ni la vidéo, ni les affirmations qu’elle contenait. Ce contentieux concernait la suppression d’une publication, et non l’obtention de données de compte ; il rejoint néanmoins e-evidence sur un point essentiel : face à Meta, la précision du fondement, du destinataire et de la procédure conditionne l’accès même au juge et à la preuve.

Point de comparaison	Avant le 18 août 2026	Avec e-evidence
Voie ouverte au particulier	Signalement ou demande judiciaire civile, comme l’article 145 CPC dans le cas rapporté par Next.	Aucun changement : le mécanisme est réservé aux autorités compétentes dans une procédure pénale.
Destinataire	Selon la voie : entité concernée, Meta Platforms Ireland Ltd ou autorité étrangère saisie par l’entraide.	Établissement désigné ou représentant légal dans l’Union, directement destinataire du certificat.
Délai	Variable ; une coopération volontaire n’a pas le même calendrier qu’une entraide formelle, qui peut durer plusieurs mois.	Dix jours en principe, huit heures en urgence, pour les ordres entrant dans le champ du règlement.
Contenu des messages	Accès particulièrement encadré ; Meta indique qu’une entraide peut être nécessaire pour contraindre la remise du contenu.	Production possible dans une procédure pénale, sous les conditions renforcées prévues pour le contenu.
Identification réelle	Le nom, l’e-mail ou le téléphone peuvent être déclaratifs ; l’IP doit encore être recoupée.	Même limite : la transmission est accélérée, mais l’identité déclarée n’est pas rendue exacte par le règlement.
Données effacées	Elles ne peuvent être remises si le fournisseur ne les détient plus ; une conservation pénale préalable peut éviter un nouvel effacement.	Conservation européenne possible pendant soixante jours, prolongeable de trente, si l’ordre arrive à temps.

Le problème dépasse néanmoins un dossier individuel. Le projet SIRIUS d’Eurojust et d’Europol indique que plus de la moitié des enquêtes pénales comportent une demande transfrontière de preuve électronique et décrit des difficultés persistantes d’accès aux données. Ce constat est indépendant du litige rapporté par Next. Le règlement e-evidence ne résoudrait pas directement ce cas civil ; il cherche à simplifier le parcours pénal. Ses deux outils permettent de comprendre précisément ce qui va changer.

Deux outils : produire maintenant ou conserver pour plus tard

L’injonction européenne de production

Elle ordonne au destinataire de transmettre des preuves électroniques stockées. Le certificat, appelé EPOC, est adressé à l’établissement désigné ou au représentant légal du fournisseur de services dans l’Union. L’autorité n’a donc plus nécessairement à faire transiter sa demande par une longue chaîne diplomatique ou administrative.

L’injonction européenne de conservation

Elle ne remet pas immédiatement les données à l’enquêteur. Elle demande au fournisseur de les préserver pour éviter leur suppression, dans l’attente d’une injonction de production, d’une décision d’enquête européenne ou d’une demande d’entraide.

La conservation dure en principe soixante jours. Elle peut être prolongée de trente jours lorsque cela est nécessaire pour permettre l’émission de la demande ultérieure. Ce gel est crucial : une procédure très rapide n’a aucune utilité si les données ont déjà été effacées avant sa réception.

Quelles données peuvent être demandées ?

Catégorie	Exemples possibles	Niveau de protection
Données relatives aux abonnés	Nom déclaré, adresse, moyens de paiement ou informations de souscription disponibles.	Peuvent être demandées pour toutes les infractions, sous réserve des conditions générales.
Données d’identification de l’utilisateur	Identifiant de compte, adresse IP de création ou autre donnée demandée uniquement pour identifier un utilisateur.	Régime plus accessible que celui du contenu, mais l’ordre doit rester nécessaire et proportionné.
Données de trafic	Horaires, connexions, correspondants techniques, routage ou localisation selon le service et les données conservées.	Conditions renforcées, sauf données demandées à la seule fin d’identifier l’utilisateur.
Données de contenu	E-mails, textes, messages d’application, fichiers, images ou enregistrements stockés.	Intervention ou validation judiciaire et seuils tenant notamment à la gravité ou à la nature de l’infraction.

Le règlement porte sur des données stockées au moment de la réception du certificat. Il ne s’agit pas d’un outil général d’interception en temps réel. Il ne garantit pas non plus que le fournisseur détienne encore l’historique demandé.

Dix jours, huit heures : ce que signifient vraiment les délais

Le destinataire doit transmettre les données dans les dix jours suivant la réception de l’EPOC. Dans un cas d’urgence valablement établi, le délai tombe à huit heures. L’urgence vise une menace imminente pour la vie, l’intégrité physique ou la sécurité d’une personne, ou une menace imminente contre une infrastructure critique dans les conditions du règlement.

Ces délais concernent l’exécution de l’ordre. Ils ne signifient pas qu’un dossier pénal complet sera résolu en dix jours. Avant l’émission, l’autorité doit identifier le bon fournisseur, la bonne catégorie de données, la période utile et la base juridique. Après la réponse, les enquêteurs doivent encore exploiter, traduire, recouper et contextualiser les éléments reçus.

Une demande ne peut pas être générale ou exploratoire

L’injonction doit être nécessaire et proportionnée. Elle ne peut viser que des données qui auraient pu être ordonnées dans une procédure nationale comparable. Elle doit identifier l’utilisateur ou un identifiant unique, préciser la catégorie de données et expliquer les motifs de l’ordre.

Pour les données de trafic sensibles et le contenu, le règlement prévoit des seuils supplémentaires. L’infraction doit notamment être punissable d’une peine maximale d’au moins trois ans, ou relever de certaines catégories, par exemple des infractions commises au moyen d’un système d’information, l’exploitation sexuelle des enfants, les attaques contre les systèmes ou le terrorisme.

Le mécanisme ne devrait donc pas devenir une « pêche aux données » adressée indistinctement à plusieurs plateformes. Plus la demande est précise, plus la réponse a des chances d’être exploitable et défendable.

Que peut opposer le fournisseur ?

Le destinataire peut signaler qu’il ne dispose pas des données, que la demande est incomplète, qu’une impossibilité matérielle existe ou que l’exécution entre en conflit avec certaines obligations juridiques. Il existe aussi un mécanisme de notification à l’autorité de l’État d’exécution pour certaines données sensibles et des motifs de refus prévus par le règlement.

Ces garanties comptent parce que le nouveau système réduit les intermédiaires. La rapidité ne doit pas supprimer le contrôle de la légalité, les immunités et privilèges, la liberté de la presse, le secret professionnel ou les droits fondamentaux.

La personne concernée sera-t-elle informée ?

Le principe est que l’autorité d’émission informe la personne dont les données sont demandées. Cette information peut toutefois être retardée ou encadrée lorsque cela est nécessaire, par exemple pour ne pas compromettre une enquête. La personne doit disposer de voies de recours effectives et pouvoir contester la légalité, la nécessité ou la proportionnalité de l’injonction.

Dans la pratique, la défense devra connaître non seulement le contenu remis, mais aussi la demande initiale, le périmètre temporel, la réponse du fournisseur, les éventuelles lacunes et les transformations effectuées lors de l’intégration au dossier.

Plus rapide ne veut pas dire plus fiable

Un export de plateforme peut être très probant, mais il faut savoir ce qu’il contient. S’agit-il du message complet, d’un aperçu, d’une sauvegarde, d’un journal technique ou d’une reconstruction ? Les heures sont-elles exprimées en UTC ? Les pièces jointes sont-elles incluses ? Les messages supprimés apparaissent-ils ? L’identifiant correspond-il à une personne ou seulement à un compte ?

Le règlement d’exécution relatif au système informatique décentralisé prévoit notamment l’usage de valeurs de hachage pour les données transmises. C’est utile pour vérifier que le fichier reçu n’a pas changé ensuite. Un hachage ne certifie toutefois ni l’exhaustivité de l’export, ni la bonne interprétation d’un champ.

Cette distinction rejoint notre article sur Sky ECC, EncroChat et l’accès aux données brutes. Une procédure peut être juridiquement régulière tout en laissant une discussion technique sur la possibilité de vérifier les données, leur format et leur traitement.

Exemple : des menaces envoyées depuis un compte étranger

Une victime en France reçoit des menaces par une application dont le représentant légal se trouve dans un autre État membre. Les captures d’écran montrent le contenu, mais le compte utilise un pseudonyme et peut être supprimé.

1. La victime conserve les messages, le profil, l’URL, les dates et le téléphone original.
2. L’enquêteur identifie le fournisseur et les données utiles : identité déclarée, IP de création, connexions et contenu stocké.
3. Une injonction de conservation peut figer les données pendant la préparation de la demande complète.
4. L’autorité judiciaire émet ou valide l’injonction de production adaptée à chaque catégorie.
5. Le fournisseur transmet ce qu’il détient, avec les informations techniques disponibles.
6. Les enquêteurs recoupent avec l’opérateur, les appareils saisis, les paiements, les témoins et la chronologie.

La réponse de la plateforme ne remplace pas les premières preuves de la victime. Notre guide sur la manière de joindre des e-mails à une plainte reste utile : il faut donner une chronologie lisible tout en conservant les originaux et les en-têtes techniques disponibles.

Ce que le règlement ne résout pas

• Les données déjà effacées : une injonction ne reconstitue pas ce que le fournisseur ne possède plus.
• Le chiffrement de bout en bout : le service ne peut remettre que ce qu’il peut techniquement lire ou stocker.
• L’attribution à une personne : un compte, une IP ou un appareil doivent encore être reliés à un utilisateur réel.
• Le contexte : un message isolé peut être ambigu, tronqué ou issu d’une conversation plus longue.
• La défense : les données reçues doivent pouvoir être discutées, vérifiées et confrontées aux autres pièces.

Le paquet e-evidence améliore l’accès transfrontalier. Il ne remplace ni la police technique, ni l’expertise, ni la méthode décrite dans notre panorama Cybercriminalité 2026 : pourquoi les preuves numériques deviennent centrales.

FAQ

Un particulier peut-il envoyer lui-même une injonction e-evidence à une plateforme ?

Non. Le mécanisme appartient aux procédures pénales et aux autorités compétentes. Une victime fournit ses éléments aux enquêteurs ou au magistrat, qui apprécient les demandes à émettre.

Le délai de huit heures s’applique-t-il à toutes les affaires ?

Non. Il vise les situations d’urgence répondant à la définition du règlement. Le délai ordinaire annoncé est de dix jours.

Les messages supprimés pourront-ils toujours être récupérés ?

Non. Tout dépend de ce que le fournisseur conserve encore au moment de l’ordre. L’injonction de conservation sert précisément à éviter un effacement ultérieur, pas à faire renaître des données disparues.

Une réponse de plateforme suffit-elle pour condamner ?

Pas automatiquement. Le juge apprécie la régularité, l’intégrité, le contexte et la concordance avec les autres éléments. L’attribution du compte à une personne peut rester discutée.

Une adresse Gmail, Yahoo ou Proton identifie-t-elle son utilisateur ?

Non, pas à elle seule. Elle fournit une cible de réquisition et parfois des données d’inscription ou de connexion. L’identité réelle doit être établie par des recoupements : IP, téléphone, paiement, appareil, fichiers, correspondants et chronologie.

Le droit à la vie privée permet-il d’utiliser un VPN ou le chiffrement ?

Oui. Ces outils sont licites et couramment employés pour protéger des données ou des correspondances. Le droit à la vie privée n’autorise toutefois ni l’infraction commise au moyen de l’outil, ni la destruction volontaire de preuves. Une réquisition judiciaire de déchiffrement obéit en outre aux conditions particulières de l’article 434-15-2 du code pénal.

Un VPN rend-il un compte impossible à identifier ?

Non. Il peut empêcher une remontée simple depuis l’adresse IP visible par la plateforme, surtout si le fournisseur ne conserve aucun journal exploitable. Mais il ne fait pas disparaître les autres traces laissées auprès du service, sur les appareils ou dans le monde physique.

Sources principales

• EUR-Lex — règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation
• CNIL — VPN, chiffrement et protection contre le traçage en ligne
• Légifrance — article 60-1-2 du code de procédure pénale sur les réquisitions de données de connexion
• Légifrance — article 434-4 du code pénal sur l’altération ou la destruction de preuves
• Légifrance — article 434-15-2 du code pénal sur les conventions de déchiffrement
• Conseil constitutionnel — décision n° 2018-696 QPC du 30 mars 2018
• Commission européenne — présentation du paquet e-evidence et calendrier
• Conseil de l’Union européenne — adoption et délais d’exécution
• Eurojust — ressources pratiques et lignes directrices SIRIUS sur les certificats EPOC
• EUR-Lex — règlement d’exécution (UE) 2025/1550 sur le système informatique décentralisé
• Le Monde — enquête sur les lieux privés et numériques de l’affaire dite des « viols libertins », 20 juillet 2026
• Le Monde — enquête préliminaire visant Wyylde, 23 juillet 2026
• BFMTV — présentation vidéo de Wyylde et de l’enquête préliminaire
• Wyylde — conditions d’utilisation et politique de données
• Google — demandes gouvernementales de données et catégories relatives à Gmail
• Yahoo — rapport de transparence, catégories de données d’abonné et de contenu
• Yahoo — entité contractante applicable aux services européens
• ONOFF — politique de confidentialité
• ONOFF — données conservées et réquisitions judiciaires
• Proton — rapport de transparence de Proton Mail et Proton VPN
• Proton — politique de confidentialité
• Assemblée nationale — rapport d’information sur les violences commises dans le cadre des relations intimes
• Assemblée nationale — question au Gouvernement relative à Coco.fr, 29 avril 2026
• Gendarmerie nationale — identification de suspects à partir des données de Coco.fr, 8 juillet 2026
• Meta — directives opérationnelles pour les autorités demandant des données Instagram
• Eurojust et Europol — projet SIRIUS sur l’accès transfrontière aux preuves électroniques
• Next — cas d’une demande civile de données associées à un compte Instagram, 22 novembre 2021
• EUR-Lex — règlement (UE) 2020/1784 sur la signification transfrontière des actes civils et commerciaux
• Portail européen e-Justice — modalités de signification des actes en Irlande
• UIHJ — mise en œuvre de JUDEX et distinction entre transmission technique et signification juridique
• Haurus — Investigations & Téléphonie Mobile. Le guide à l’usage des avocats

Continuer la lecture

Trois autres articles pour approfondir la preuve, le numérique et la stratégie probatoire.

Plan Investigation : les outils numériques peuvent-ils améliorer la qualité des procédures ?

Rupture de période d’essai et harcèlement sexuel : que faut-il prouver devant les prud’hommes ?

Preuves scientifiques contre les aliments ultra-transformés : ce que les nouvelles études changent vraiment