L’injonction européenne de production (EPOC) : définition, régime, délais et voies de recours

Un juge d’instruction français peut désormais écrire directement à un opérateur établi à Dublin ou à Luxembourg et obtenir, sous dix jours, le contenu d’une messagerie. Sans commission rogatoire internationale, sans autorité d’exécution étrangère, et, dans un grand nombre de cas, sans que l’État où l’entreprise est établie en soit seulement informé. Le règlement e-Evidence est applicable depuis le 18 août 2026. Cet article en expose le mécanisme complet.

L’injonction européenne de production permet à une autorité judiciaire d’un État membre d’ordonner directement à un fournisseur de services établi dans un autre État membre la remise de preuves électroniques, sans passer par l’entraide judiciaire. Elle est régie par le règlement (UE) 2023/1543 du 12 juillet 2023, applicable depuis le 18 août 2026¹. Sont successivement examinés : ce que le certificat transporte, à qui il est adressé, quelles données il peut viser, dans quels délais, à quelles conditions le destinataire peut s’y opposer, et de quels recours dispose la personne visée.

Définition : injonction de production, injonction de conservation, certificat EPOC

Il faut distinguer deux notions qu’il serait aisé de confondre, et que le vocabulaire du règlement invite lui-même à confondre. L’injonction européenne de production est la décision prise par l’autorité judiciaire. L’EPOC est le certificat normalisé qui la transporte et qui est effectivement transmis au destinataire². Celui-ci ne reçoit jamais la décision elle-même, mais seulement le certificat³.

Le même schéma vaut pour l’injonction européenne de conservation, transmise par un certificat désigné par l’acronyme EPOC-PR, qui ordonne le gel des données pour une durée de soixante jours prorogeable de trente, le temps qu’une demande de production soit formée⁴. Cette seconde injonction peut être émise pour toute infraction, sans condition de gravité⁵.

Le règlement s’applique dans vingt-six États membres, le Danemark n’y participant pas⁶ — l’Irlande, qui héberge la plupart des sièges européens des grandes plateformes, y participe en revanche⁷, alors qu’elle n’est pas liée par la directive relative à la décision d’enquête européenne⁴³. Il est complété par une directive (UE) 2023/1544 qui organise la désignation des destinataires.

À qui l’injonction est-elle adressée

C’est la clé de voûte du dispositif. Tout fournisseur qui proposait déjà des services dans l’Union au 18 février 2026 devait avoir désigné par écrit, au plus tard le 18 août 2026, un destinataire chargé de recevoir et d’exécuter les injonctions, puis l’avoir notifié à l’autorité de l’État où il est situé ; les fournisseurs entrés sur le marché depuis lors disposent de six mois⁸. Un fournisseur établi dans l’Union désigne un établissement doté de la personnalité juridique. Un fournisseur qui n’y est pas établi nomme un représentant légal. L’injonction leur est adressée directement⁹.

Un seul destinataire peut couvrir l’ensemble de l’Union, le fournisseur choisissant librement l’État de désignation parmi ceux où il propose ses services, sous réserve qu’il puisse y faire l’objet de procédures d’exécution. La directive impose que ces désignations soient publiées sur une page dédiée du Réseau judiciaire européen en matière pénale, mais cette publication n’est pas encore effective¹⁰. La désignation est donc un acte formel, qui se démontre et ne se présume pas.

Le destinataire désigné ne peut se retrancher ni derrière l’absence de procédures internes avec le fournisseur, ni derrière le fait qu’il ne serait pas habilité à délivrer les données. L’un et l’autre peuvent être tenus solidairement responsables¹¹.

À titre exceptionnel, en cas d’urgence et lorsque le destinataire désigné ne réagit pas dans les délais, l’injonction peut être adressée à tout autre établissement ou représentant légal du fournisseur dans l’Union¹².

Quelles entreprises sont concernées

Le champ dépasse largement les grandes plateformes. Sont visés les services de communications électroniques, y compris la messagerie instantanée, le courrier électronique et la voix sur IP, les services d’adressage internet, ainsi que les autres services de la société de l’information qui permettent à leurs utilisateurs de communiquer entre eux, ou qui stockent des données pour leur compte lorsque le stockage constitue une composante déterminante du service.

Entrent ainsi dans le champ les places de marché en ligne permettant aux utilisateurs de communiquer, les services d’hébergement et d’informatique en nuage, les plateformes de jeu en ligne et de jeu d’argent. En sont exclus les services qui ne permettent de communiquer qu’avec le fournisseur lui-même, et ceux pour lesquels le stockage n’est pas une composante essentielle, tels que les services juridiques ou comptables fournis en ligne.

Encore faut-il que le fournisseur présente un lien substantiel avec l’État membre concerné, ce qui suppose soit un établissement, soit un nombre significatif d’utilisateurs, soit un ciblage d’activités. La seule accessibilité d’un site internet ne suffit pas¹³.

Quelles données peuvent être demandées

Le règlement distingue quatre catégories, réparties en deux régimes. Cette distinction commande tout le reste.

La dispense du seuil de trois ans ne procède pas d’une annexe, mais de l’article 5, § 4, qui renvoie à quatre directives : fraude et contrefaçon des moyens de paiement autres que les espèces, abus sexuels sur mineurs et attaques contre les systèmes d’information — ces trois premières catégories à la condition que l’infraction soit totalement ou partiellement commise au moyen d’un système d’information — ainsi que les infractions terroristes. L’annexe IV, elle, ne joue qu’au titre du motif de refus tiré de l’absence de double incrimination¹⁸.

L’exclusion du procureur pour les données de trafic et de contenu est la traduction, dans l’instrument, de la jurisprudence de la Cour de justice selon laquelle l’accès aux données de connexion doit être soumis au contrôle préalable d’une juridiction ou d’une entité administrative indépendante. La Cour a par ailleurs jugé, à propos de la décision d’enquête européenne, que l’autorité d’exécution ne peut pas couvrir l’incompétence de l’autorité d’émission.

Conditions de fond

L’injonction doit être nécessaire et proportionnée, et ces motifs doivent figurer dans l’acte. Elle ne peut être émise que si une mesure similaire aurait pu être ordonnée dans une procédure interne comparable de l’État d’émission, condition souvent négligée et qui constitue un point de contrôle utile¹⁹. Elle suppose enfin une infraction déjà commise et déterminée, aucune mesure prospective n’étant admise²⁰.

La notification à l’État de réception, et sa dispense

Pour les données de trafic et de contenu, l’injonction est notifiée simultanément à l’autorité de l’État où le destinataire est situé²¹. Cette notification suspend l’obligation de transmettre²².

La dispense est toutefois large. Elle joue lorsque l’autorité d’émission a des motifs raisonnables de croire que l’infraction a été, est ou sera commise dans son propre État, et que la personne visée y réside. Ces deux conditions sont cumulatives et s’apprécient au jour de l’émission, un changement de résidence ultérieur restant sans effet. La résidence reçoit une interprétation autonome, tenant compte de l’inscription officielle, de la durée et des conditions de présence, ainsi que des liens familiaux ou économiques²³.

Il en résulte qu’une affaire présentant une apparence purement interne échappera à tout mécanisme d’objection, alors même que les données sont hébergées à l’étranger.

Les délais

L’obligation de conserver naît dès la réception du certificat. La transmission intervient dans les dix jours, ou dans les huit heures en cas d’urgence²⁴, notion strictement définie comme une menace imminente pour la vie, l’intégrité physique ou la sécurité d’une personne, ou pour une infrastructure critique²⁵.

Lorsque la notification est requise, le destinataire transmet à l’expiration du délai de dix jours si aucun motif de refus n’a été soulevé, ou dès confirmation anticipée. En urgence, la notification n’est pas suspensive et l’autorité de l’État de réception dispose de quatre-vingt-seize heures pour objecter, les données déjà transmises devant alors être supprimées ou leur usage restreint²⁶.

Si le certificat est incomplet, entaché d’erreurs manifestes ou insuffisant pour être exécuté, le destinataire en informe l’autorité d’émission au moyen du formulaire de l’annexe III. Celle-ci doit réagir au plus tard dans les cinq jours²⁷. Les obligations de production sont suspendues jusqu’aux éclaircissements ou corrections ; l’obligation de conserver demeure.

Les motifs de refus

Ceux de l’État de réception. Ils ne sont ouverts que si une notification a été adressée, et ils sont au nombre de quatre : immunités et privilèges de son droit, ou règles relatives à la liberté de la presse et à la liberté d’expression ; violation manifeste d’un droit fondamental de la Charte dans des situations exceptionnelles, sur la base d’éléments précis et objectifs ; atteinte au principe ne bis in idem ; absence de double incrimination, sauf infraction figurant dans les catégories énumérées à l’annexe IV et punie d’au moins trois ans dans l’État d’émission²⁸.

Ceux du destinataire. Le destinataire dispose de causes propres. L’impossibilité de fait le libère lorsqu’elle tient à des circonstances qui ne lui sont pas imputables²⁹, et elle est présumée lorsque la personne visée n’est pas cliente du fournisseur ou que les données ont été licitement supprimées avant réception³⁰.

Il peut par ailleurs former une objection motivée dans les dix jours lorsque l’exécution le placerait en contradiction avec une obligation résultant du droit d’un pays tiers. Cette objection suspend l’exécution et ouvre un réexamen par la juridiction compétente de l’État d’émission, laquelle apprécie notamment le degré de rattachement de l’affaire à chacun des ordres juridiques, l’intérêt protégé par la disposition étrangère et les conséquences pour le destinataire. Deux fondements sont expressément écartés : l’absence de disposition similaire dans le droit du pays tiers, et le seul fait que les données y soient stockées³¹.

Le régime des professions à secret

Lorsque les données sont hébergées dans une infrastructure destinée aux professionnels soumis au secret, avocats, médecins ou journalistes notamment, le règlement organise une protection qui demeure conditionnelle. Une injonction portant sur des données de trafic ou de contenu reste possible si le professionnel réside dans l’État d’émission, si le fait de s’adresser à lui « pourrait nuire à l’enquête », ou si le secret a été levé conformément au droit applicable³². La deuxième hypothèse est rédigée en termes de simple éventualité — il suffit que le fait de s’adresser au professionnel « pourrait » nuire à l’enquête — ce qui en abaisse considérablement le seuil.

Le chiffrement

Les données doivent être produites qu’elles soient chiffrées ou non, mais aucune obligation de déchiffrement ne pèse sur le fournisseur³³. Sur une messagerie chiffrée de bout en bout, celui-ci remettra donc un conteneur qu’il n’est pas lui-même en mesure d’ouvrir, et il aura satisfait à son obligation. Les sauvegardes hébergées dans un service de stockage en ligne constituent en revanche le maillon faible du dispositif de protection, leur sécurité dépendant des options activées par l’utilisateur.

Les sanctions

Les États membres doivent prévoir des sanctions pécuniaires effectives, proportionnées et dissuasives, pouvant atteindre 2 % du chiffre d’affaires annuel mondial total du fournisseur pour l’exercice précédent³⁴. Le destinataire désigné et le fournisseur peuvent être tenus solidairement responsables, en vertu de l’article 3, § 5, de la directive (UE) 2023/1544. En contrepartie, le fournisseur qui exécute de bonne foi n’est pas responsable du préjudice qui en résulterait pour ses utilisateurs ou pour des tiers³⁵.

La France n’a toutefois publié aucun texte donnant effet à ce dispositif, de sorte que le régime national de sanction n’existe pas encore⁴². Le 27 mars 2026, la Commission européenne a adressé une lettre de mise en demeure à vingt-deux États membres, dont la France, pour transposition incomplète de la directive (UE) 2023/1544.

Le cabinet assiste les entreprises destinataires dans la qualification du certificat et la formation des objections. Contacter le cabinet →

Les droits de la personne visée

L’autorité d’émission informe la personne dont les données ont été produites, sans retard injustifié, en lui indiquant les voies de recours. Elle peut toutefois retarder, limiter ou omettre cette information aussi longtemps que les conditions posées par l’article 13, § 3, de la directive (UE) 2016/680 sont réunies, les motifs étant versés au dossier³⁶.

Le recours s’exerce devant une juridiction de l’État d’émission et porte sur la légalité de la mesure, y compris sa nécessité et sa proportionnalité³⁷. Le règlement impose en outre à l’État d’émission, comme à tout autre État membre auquel les preuves ont été transmises, de garantir le respect des droits de la défense et de l’équité de la procédure lors de l’évaluation de ces preuves³⁸.

Point rarement relevé, l’émission d’une injonction de production ou de conservation peut également être demandée par la personne mise en cause ou par son avocat³⁹. Ce n’est pas un pouvoir d’émission autonome, l’injonction demeurant émise ou validée par l’autorité judiciaire, mais c’est un fondement textuel pour solliciter le gel immédiat d’une donnée à décharge menacée d’effacement.

Le cabinet intervient en défense pénale sur les procédures fondées sur des preuves numériques transfrontières. Contacter le cabinet →

Articulation avec les autres instruments

Le règlement n’abroge pas la directive relative à la décision d’enquête européenne, qu’il complète⁴⁰. Les deux voies coexistent, et le choix de l’instrument emporte des conséquences sur le régime de contestation applicable. Il convient de rappeler qu’en droit interne, une autorité française ne peut émettre une décision d’enquête européenne que pour des mesures qu’elle est elle-même habilitée à ordonner.

Questions fréquentes

Qu’est-ce qu’un EPOC ?

L’EPOC est le certificat normalisé qui transporte une injonction européenne de production. Il est transmis directement au destinataire désigné du fournisseur de services, lequel ne reçoit jamais la décision judiciaire elle-même. Sa variante, l’EPOC-PR, transporte une injonction de conservation.

Depuis quand le règlement e-Evidence est-il applicable ?

Depuis le 18 août 2026, dans vingt-six États membres. Le Danemark ne participe pas au règlement.

Le procureur peut-il obtenir le contenu des messages ?

Non. Pour les données de trafic et les données de contenu, l’injonction ne peut être émise ou validée que par un juge, une juridiction ou un juge d’instruction. Le procureur n’est compétent que pour les données relatives aux abonnés et celles demandées à seule fin d’identifier un utilisateur.

Quel est le délai pour répondre à une injonction européenne de production ?

Dix jours à compter de la réception du certificat, ou huit heures en cas d’urgence. L’urgence suppose une menace imminente pour la vie, l’intégrité physique ou la sécurité d’une personne, ou pour une infrastructure critique. L’obligation de conserver les données naît, elle, dès la réception.

Quelle sanction encourt une entreprise qui ne répond pas ?

Une sanction pécuniaire pouvant atteindre 2 % du chiffre d’affaires annuel mondial total du fournisseur pour l’exercice précédent. Le destinataire désigné et le fournisseur peuvent être tenus solidairement responsables, en vertu de l’article 3, § 5, de la directive (UE) 2023/1544. En France, aucun texte de transposition n’a toutefois été publié à ce jour.

Le règlement oblige-t-il à déchiffrer les données ?

Non. Les données doivent être livrées qu’elles soient chiffrées ou non, mais aucune obligation de déchiffrement ne pèse sur le fournisseur. Sur une messagerie chiffrée de bout en bout, celui-ci remet un conteneur qu’il n’est pas en mesure d’ouvrir et satisfait à son obligation.

Peut-on refuser au motif que les données sont stockées hors de l’Union ?

Non. L’obligation s’impose quelle que soit la localisation des données⁴¹, et le règlement interdit expressément de fonder une objection sur la seule circonstance qu’elles sont stockées dans un pays tiers. Un conflit avec une obligation résultant du droit d’un pays tiers peut en revanche donner lieu à une objection motivée, formée dans les dix jours et suspensive.

L’État où le fournisseur est établi est-il informé ?

Seulement pour les données de trafic et de contenu, et sous réserve d’une dispense. Celle-ci joue lorsque l’autorité d’émission a des motifs raisonnables de croire que l’infraction a été commise dans son propre État et que la personne visée y réside. Pour les données d’identification, aucune notification n’est prévue.

La France a-t-elle transposé le règlement e-Evidence ?

Un règlement ne se transpose pas : il est directement applicable. Mais il appelle des mesures nationales d’accompagnement — désignation d’une autorité centrale de réception, régime de sanction, circuit interne — et la directive (UE) 2023/1544 qui l’accompagne, elle, devait être transposée. Aucun texte français n’a été publié à ce jour à l’un ou l’autre titre. Le 27 mars 2026, la Commission européenne a adressé une lettre de mise en demeure à vingt-deux États membres, dont la France.

La défense peut-elle demander l’émission d’une injonction ?

Oui. Le règlement prévoit que l’émission d’une injonction de production ou de conservation peut être demandée par la personne mise en cause ou par son avocat. L’injonction demeure émise ou validée par l’autorité judiciaire, mais ce fondement permet de solliciter le gel d’une donnée à décharge menacée d’effacement.

L’injonction européenne de production n’est pas un instrument d’entraide de plus : elle substitue à la coopération entre États une obligation directe pesant sur une entreprise, assortie d’un délai bref et d’une sanction lourde. Pour l’autorité qui l’émet, c’est un gain de temps considérable. Pour l’entreprise destinataire, c’est une obligation nouvelle dont les premières heures conditionnent l’issue. Pour la personne visée, c’est un acte qui peut avoir été exécuté sans qu’aucune autorité de l’État de réception en ait été informée, et sans qu’elle-même en ait été avertie.