Injonction européenne de production : la procédure heure par heure pour l’entreprise qui la reçoit

Le certificat arrive un vendredi en fin de journée, signé d’un juge d’un autre État membre, avec la mention d’urgence renseignée : huit heures pour transmettre les données d’un compte, et une obligation de les conserver qui court déjà. Rien, dans le règlement e-Evidence, ne laisse à l’entreprise le temps de se demander si elle est concernée : l’obligation naît à la réception, la marge de discussion est étroite et enfermée dans des formes, et l’erreur coûteuse n’est pas le refus, c’est la réponse à côté. Cette page décrit ce que l’entreprise destinataire fait, dans l’ordre où elle le fait, de l’heure zéro à la clôture du dossier.

Heure zéro : lire l’acte et geler les données

L’entreprise ne reçoit pas la décision du juge étranger, mais le certificat normalisé qui la transporte : l’EPOC pour une injonction de production, l’EPOC-PR pour une injonction de conservation. Le régime de ces actes, les catégories de données et les autorités compétentes sont exposés dans notre page consacrée à l’injonction européenne de production (EPOC) ; la présente page ne les reprend pas. La première lecture porte sur trois mentions : l’acronyme, qui distingue une demande de remise d’une demande de gel ; la mention d’urgence, qui ramène le délai de dix jours à huit heures ; l’heure de réception, point de départ de tous les délais, à consigner aussitôt.

L’obligation de conserver les données demandées naît à cet instant. Elle ne dépend d’aucune validation interne ni d’aucune appréciation de la régularité de l’acte. Lorsque l’entreprise demande des éclaircissements sur un certificat défectueux, ses obligations d’exécution sont suspendues jusqu’à la réponse, mais les données restent conservées dans la mesure du possible, et le formulaire par lequel elle demande ces éclaircissements doit dire si la conservation a été possible. La conservation est ainsi la seule obligation que le règlement fait subsister à travers toutes les contestations décrites plus bas.

La conséquence technique est immédiate : purges automatiques, durées de rétention programmées et effacements de routine sont neutralisés sur le périmètre visé, avant même qu’il soit précisément délimité. Une donnée effacée après réception par le seul jeu d’un paramétrage n’est pas une donnée licitement supprimée avant réception, et la distinction commande le bénéfice de la présomption d’impossibilité. Le règlement ne porte que sur les données stockées au moment de la réception : l’inventaire arrêté à cette heure fixe l’étendue de l’obligation et la preuve de ce qui n’existait déjà plus. Qui a reçu, à quelle heure, quel périmètre a été gelé et sur quels systèmes : c’est la première pièce du dossier.

Lorsque l’acte est un EPOC-PR, aucune donnée n’a à être transmise. La confusion entre les deux certificats peut se produire dans les deux sens, remise de données qui n’étaient pas demandées ou inaction devant une injonction de production, et elle se règle à la lecture de l’acronyme.

Les premières heures : trois contrôles sur le certificat

Ces vérifications se conduisent en parallèle de la conservation, jamais à sa place. Elles ne portent pas sur l’opportunité de la mesure, qui échappe au destinataire, mais sur ce que l’acte lui-même montre.

La qualité de l’autorité, rapprochée de la catégorie de données. Pour les données relatives aux abonnés et pour celles demandées à seule fin d’identifier un utilisateur, le certificat peut être émis ou validé par un juge, une juridiction, un juge d’instruction ou un procureur. Pour les données de trafic et de contenu, seuls un juge, une juridiction ou un juge d’instruction peuvent l’émettre ou le valider : un certificat portant sur le contenu de messages ou sur des métadonnées de communication et émanant d’un parquet, sans validation par un juge, ne remplit pas la condition posée par le règlement lui-même. Les adresses IP appellent une lecture attentive de la finalité indiquée : demandées à seule fin d’identifier l’utilisateur, elles relèvent du régime allégé ; demandées à une autre fin, elles sont des données de trafic.

Le seuil de gravité. Pour les données d’abonné et d’identification, toute infraction suffit. Pour les données de trafic et de contenu, l’infraction doit être punie dans l’État d’émission d’une peine privative de liberté d’au moins trois ans, ou relever des infractions que le règlement désigne par renvoi à quatre directives (fraude aux moyens de paiement, abus sexuels sur mineurs et attaques contre les systèmes d’information, à la condition d’être commises au moyen d’un système d’information, et terrorisme). Le certificat mentionne les dispositions pénales applicables de l’État d’émission : c’est sur elles que porte le contrôle.

La complétude. Le certificat contient notamment l’autorité d’émission et, le cas échéant, de validation, le destinataire, l’utilisateur ou l’identifiant visé, la catégorie de données, la période couverte, les dispositions pénales applicables et, en cas d’urgence, les raisons dûment justifiées de celle-ci. Il ne contient ni les motifs de nécessité et de proportionnalité ni la description de l’affaire, qui ne figurent que dans l’injonction et dans l’exemplaire notifié, le cas échéant, à l’autorité de l’État de réception. L’entreprise n’a donc pas à s’étonner de ne pas connaître l’affaire ; elle vérifie que ce qui doit y être y est, et qu’une mention d’urgence est motivée et non simplement cochée. Elle vérifie aussi la langue : le certificat est, si nécessaire, traduit dans une langue de l’Union que le fournisseur a déclarée accepter lors de sa désignation ou, à défaut de déclaration, dans une langue officielle de l’État de son établissement désigné. Le règlement ne dit pas ce qu’il advient d’un certificat reçu dans une autre langue ; la voie prudente est la demande d’éclaircissements par le formulaire, la conservation s’imposant dans l’intervalle.

Le cabinet examine la régularité d’un certificat EPOC et la compétence de l’autorité d’émission dans le délai imparti au destinataire. Contacter le cabinet →

Le premier jour : décider, et tout passer par le formulaire

À l’issue des contrôles, l’entreprise se trouve dans l’une de quatre situations, et une seule règle les gouverne : ce qui n’est pas une exécution pure et simple s’exprime au moyen du formulaire de l’annexe III du règlement, adressé à l’autorité d’émission et, lorsqu’elle a été notifiée, à l’autorité de l’État de réception. Une réponse libre, un courriel d’explication ou un silence ne produisent aucun des effets que le règlement attache au formulaire.

Le certificat est incomplet, entaché d’erreurs manifestes ou insuffisant pour être exécuté. L’entreprise demande des éclaircissements par le formulaire, en indiquant si l’identification et la conservation des données ont été possibles. L’autorité d’émission doit réagir dans les cinq jours ; les obligations d’exécution sont suspendues jusqu’à la réponse, les données restant conservées dans la mesure du possible. Employé sans motif sérieux, ce canal expose l’entreprise à voir son abstention requalifiée en refus ; employé à bon escient et documenté, il est la voie par laquelle un destinataire de bonne foi obtient ce sans quoi il ne peut ni identifier les données ni délimiter le périmètre.

L’exécution est impossible en fait. L’impossibilité tenant à des circonstances non imputables à l’entreprise la libère. Les considérants du règlement la présument dans trois cas : la personne visée n’est pas cliente du fournisseur, elle ne peut être identifiée comme telle même après une demande d’informations complémentaires à l’autorité d’émission, ou les données ont été légalement supprimées avant la réception. Elle s’explique par le formulaire, et c’est l’inventaire arrêté à l’heure zéro qui en fait la preuve.

L’exécution entrerait en conflit avec le droit d’un pays tiers. L’entreprise forme une objection motivée, par le formulaire, dans les dix jours de la réception. L’objection expose le droit étranger, son applicabilité à l’espèce et la nature de l’obligation en conflit. L’autorité d’émission réexamine alors l’injonction et, si elle entend la maintenir, saisit la juridiction compétente de son État ; l’exécution est suspendue jusqu’à la fin de ce réexamen. Deux fondements sont exclus par avance.

L’entreprise qui aura construit son objection sur l’un de ces motifs n’aura pas formé une objection au sort incertain : elle aura consommé son délai et laissé s’installer une situation qualifiable de refus d’exécution. L’objection utile désigne une obligation précise, tirée d’un texte étranger déterminé, dont l’exécution entraînerait la violation.

Le certificat paraît toucher une immunité, un privilège ou la protection de la presse. Lorsque l’entreprise l’estime, sur la seule base de ce que le certificat contient, elle en informe l’autorité d’émission et l’autorité de l’État de réception, par le formulaire : le texte en fait une obligation, non une faculté. Elle ne refuse pas pour autant : la décision de retirer, d’adapter ou de maintenir l’injonction appartient à l’autorité d’émission, le motif de refus correspondant à l’autorité de l’État de réception. Mais elle a fait ce que le texte lui impose, et la trace en est conservée.

Ce que le formulaire n’ouvre pas doit être dit aussi nettement. La nécessité et la proportionnalité de la mesure, la qualification retenue et le bien-fondé de l’enquête ne sont pas des questions posées au destinataire : ce contentieux appartient à la personne visée, devant une juridiction de l’État d’émission. La localisation des données hors de l’Union, l’absence de disposition équivalente en droit français, l’absence de procédures internes entre le fournisseur et son établissement désigné et les engagements de confidentialité envers les utilisateurs ne sont pas davantage des moyens. Et lorsque l’entreprise ne transmet pas, pas tout ou pas à temps pour une autre raison, elle doit encore en informer l’autorité d’émission, par le formulaire et dans le délai : celle-ci réexamine l’injonction et fixe, s’il y a lieu, un nouveau délai.

Une objection mal fondée coûte le délai qu’elle consomme. Le cabinet apprécie la recevabilité d’une objection avant qu’elle soit formée et rédige le formulaire de l’annexe III. Contacter le cabinet →

Du deuxième au dixième jour : transmettre, ou attendre

Le moment de la transmission dépend d’un élément que le certificat indique : la notification, ou non, de l’autorité de l’État où l’entreprise est située.

Pour des données d’abonné ou d’identification, aucune notification n’est requise : l’entreprise transmet directement à l’autorité d’émission ou au service qu’elle désigne, au plus tard le dixième jour. Pour des données de trafic ou de contenu, l’autorité d’émission notifie en principe l’autorité de l’État de réception, et cette notification suspend l’obligation de transmettre : l’entreprise attend l’expiration des dix jours et transmet si aucun motif de refus n’a été invoqué, ou plus tôt si cette autorité confirme qu’elle n’en invoquera aucun. Si un motif de refus est invoqué, elle met fin à l’exécution et ne transfère rien.

La notification connaît une dispense large : elle n’est pas requise lorsque l’autorité d’émission a des motifs raisonnables de croire que l’infraction a été, est ou sera commise dans son propre État et que la personne visée y réside. Une affaire d’apparence interne à l’État d’émission échappe ainsi à tout contrôle de l’État où l’entreprise se trouve, alors même que les données sont hébergées chez elle. L’entreprise n’attend donc pas l’intervention d’une autorité de son propre pays : dans les affaires d’apparence interne à l’État d’émission, aucune ne sera saisie, et le dixième jour est le sien.

En cas d’urgence, la transmission intervient sans retard injustifié et au plus tard dans les huit heures, que la notification soit requise ou non : elle n’est alors pas suspensive. L’autorité de l’État de réception dispose de quatre-vingt-seize heures pour s’opposer à l’utilisation des données ou la conditionner, et il appartient alors à l’autorité d’émission d’effacer ou de restreindre ce qu’elle a reçu. L’entreprise, elle, doit pouvoir justifier de ce qu’elle a transmis, à qui et à quelle heure.

La confidentialité se règle dans le même temps. Le règlement ne charge pas l’entreprise d’informer l’utilisateur dont les données sont demandées : cette information incombe à l’autorité d’émission, qui peut la retarder, la limiter ou l’omettre dans les conditions du droit de la protection des données. Il impose en revanche au destinataire et au fournisseur de garantir la confidentialité, le secret et l’intégrité du certificat et des données, et cette obligation figure parmi celles dont la violation est passible de la sanction pécuniaire. La diffusion interne du certificat se limite à ceux qui en ont besoin pour l’exécuter.

Une fois les données transmises, le fournisseur qui a exécuté de bonne foi n’est pas responsable du préjudice qui en résulterait exclusivement pour ses utilisateurs ou pour des tiers. Cette immunité protège l’entreprise qui a exécuté, non celle qui s’est abstenue, et elle suppose que la bonne foi puisse être établie : le registre tenu depuis l’heure zéro, réception, gel, contrôles, formulaires et réponses, transmission, en est la preuve. Les données sont conservées, dans la mesure du possible, jusqu’à leur production ou jusqu’au retrait de l’injonction, et l’autorité d’émission informe le destinataire lorsque leur production et leur conservation ne sont plus nécessaires.

Si l’entreprise n’a pas répondu : la procédure de mise en œuvre

La sanction n’est pas automatique. Lorsque le destinataire n’a pas respecté un certificat dans le délai sans fournir de raisons acceptées par l’autorité d’émission, celle-ci peut demander à l’autorité de l’État où l’entreprise est située de mettre en œuvre l’injonction, en lui transférant l’acte et le formulaire complété par le destinataire. Cette autorité reconnaît l’injonction dans les cinq jours ouvrables, sauf motif énuméré par le règlement : incompétence de l’autorité d’émission au regard de la catégorie de données, défaut de seuil de gravité, impossibilité de fait, erreur manifeste, données non stockées au moment de la réception, service hors du champ du règlement, notamment.

Elle enjoint ensuite formellement au destinataire de se conformer, en lui indiquant qu’il peut objecter sur ces mêmes motifs, les sanctions applicables et le délai pour se conformer ou objecter. C’est le dernier moment où les contrôles des premières heures peuvent être invoqués, et le formulaire de l’annexe III, complété au premier jour, en porte la trace. Si l’injonction confirmée reste inexécutée, la sanction pécuniaire est prononcée, jusqu’à 2 % du chiffre d’affaires annuel mondial du fournisseur, sous recours juridictionnel ; l’établissement désigné et le fournisseur peuvent en répondre solidairement.

Pour un établissement désigné en France, l’autorité de mise en œuvre est française. Or la France n’a publié, au jour de la rédaction de cette page, aucun texte donnant effet au règlement, et le régime national de sanction qu’il impose aux États membres n’existe pas ; la Commission européenne a adressé le 27 mars 2026 une lettre de mise en demeure à vingt-deux États membres, dont la France, pour transposition incomplète de la directive qui l’accompagne. Cette situation est transitoire. Elle ne suspend ni l’applicabilité du règlement, ni les obligations de conservation et de transmission, ni la faculté pour l’autorité d’émission de réexaminer l’injonction et de fixer un nouveau délai ; elle est sans effet pour le groupe dont l’établissement désigné se trouve dans un État membre qui a légiféré, dont le droit régit la mise en œuvre. Une entreprise qui organiserait son abstention sur l’absence d’amende encourue aujourd’hui en France s’exposerait, à la publication du texte français, à un dossier de refus déjà constitué.

Avant la première injonction : l’organisation

Tout ce qui précède suppose une organisation qui n’existe pas spontanément, et le délai de huit heures la commande à lui seul.

Le point de départ est la désignation. Tout fournisseur qui proposait des services dans l’Union au 18 février 2026 devait avoir désigné, au plus tard le 18 août 2026, un établissement dans l’Union, ou un représentant légal s’il n’y est pas établi, chargé de recevoir et d’exécuter les injonctions, et l’avoir notifié par écrit à l’autorité centrale de l’État concerné en précisant les langues acceptées ; un fournisseur entré sur le marché après cette date dispose de six mois. La directive impose de doter cet établissement des pouvoirs et des ressources nécessaires et interdit d’invoquer l’absence de procédures internes entre le fournisseur et lui. La répartition des rôles au sein du groupe se règle donc avant, par écrit ; elle n’est pas une défense à opposer après.

L’organisation tient en quatre éléments : un point de réception relevé en continu, fins de semaine et jours fériés compris ; une seule personne habilitée à répondre à l’autorité d’émission, identifiée à l’avance, pour éviter les réponses parallèles ; une capacité d’identification immédiate du périmètre technique visé par un identifiant de compte, afin que le gel intervienne dans l’heure ; un circuit d’escalade juridique mobilisable dans ce même délai, la décision d’exécuter, de demander des éclaircissements ou d’objecter ne pouvant attendre le lundi. En cas d’urgence, si le destinataire désigné ne réagit pas dans les délais, le certificat peut être adressé à tout autre établissement ou représentant légal du fournisseur dans l’Union : la défaillance du point de réception ne suspend pas le dispositif, elle le déplace vers un interlocuteur qui n’y est pas préparé.

Reste la question préalable de l’applicabilité, pour l’entreprise qui n’est pas une messagerie. Places de marché permettant aux utilisateurs de communiquer entre eux, services d’hébergement et d’informatique en nuage, plateformes de jeu en ligne et de jeu d’argent entrent dans le champ, sous les conditions exposées dans notre page technique. La réponse, pour une entreprise donnée, se construit sur la description précise de ses services et de ses utilisateurs dans l’Union, avant la première injonction.

Le cabinet accompagne la désignation de l’établissement, la mise en place du circuit de réception, du registre et de la procédure d’escalade des entreprises destinataires. Contacter le cabinet →

Questions fréquentes

Qui, dans un groupe, est tenu de répondre au certificat ?

L’établissement désigné ou le représentant légal que le fournisseur a notifié à cette fin. L’injonction lui est adressée directement ; il ne peut invoquer l’absence de procédures internes avec le fournisseur ni, selon les considérants de la directive, le fait qu’il ne serait pas habilité à fournir les données, et le fournisseur et lui peuvent être tenus solidairement responsables du manquement.

Le certificat est rédigé dans une langue étrangère : l’entreprise doit-elle l’exécuter ?

Le règlement prévoit que le certificat est, si nécessaire, traduit dans une langue officielle de l’Union acceptée par le fournisseur lors de sa notification ou, à défaut, dans une langue officielle de l’État membre de l’établissement désigné. Il ne règle pas le sort d’un certificat reçu dans une autre langue : la voie prudente est la demande d’éclaircissements par le formulaire de l’annexe III, la conservation des données s’imposant dès la réception.

L’entreprise doit-elle prévenir l’utilisateur dont les données sont demandées ?

Non : cette information incombe à l’autorité d’émission, qui peut la retarder, la limiter ou l’omettre dans les conditions du droit de la protection des données. L’entreprise est tenue, elle, de garantir la confidentialité du certificat et des données, obligation dont la violation est passible de la sanction pécuniaire. Seul le sous-traitant qui produit des données pour le compte d’un responsable de traitement informe ce dernier, sauf demande contraire de l’autorité d’émission portée au certificat.

Un EPOC-PR a été reçu : faut-il transmettre les données ?

Non. L’injonction de conservation ordonne seulement le gel des données, pour soixante jours prorogeables de trente ; la transmission suppose une demande de production ultérieure, dont l’autorité d’émission confirme l’émission par un formulaire dédié. Règle propre à l’EPOC-PR : si le certificat est incomplet et que l’autorité d’émission ne répond pas dans les cinq jours à la demande d’éclaircissements, le fournisseur est exempté de l’obligation de conserver.

L’entreprise peut-elle se faire rembourser le coût de l’exécution ?

Elle peut demander à l’État d’émission le remboursement de ses frais si le droit de cet État le prévoit pour les injonctions nationales dans des situations similaires ; les États membres communiquent leurs règles à la Commission, qui les publie.

Que se passe-t-il si l’entreprise ne répond pas dans les dix jours ?

L’autorité d’émission peut saisir l’autorité de l’État où l’entreprise est située, qui reconnaît l’injonction dans les cinq jours ouvrables sauf motif énuméré par le règlement, enjoint formellement à l’entreprise de se conformer en lui ouvrant un délai pour objecter, puis, si l’injonction confirmée reste inexécutée, prononce la sanction pécuniaire, jusqu’à 2 % du chiffre d’affaires annuel mondial du fournisseur, sous recours juridictionnel.

Le règlement déplace le point d’imputation de l’obligation d’un État sollicité vers une entreprise privée, et le critère de rattachement du lieu du serveur vers celui de l’établissement. Notre analyse consacrée à la preuve numérique et la fin du refuge irlandais expose ce déplacement et ce qu’il ouvre selon la position occupée dans la procédure. Pour l’entreprise destinataire, l’essentiel se joue dans les premières heures : la donnée a été gelée ou elle ne l’a pas été, le formulaire a été adressé dans le délai ou il ne l’a pas été, et le règlement ne répare aucune des deux omissions.