La police peut-elle lire vos messages ? WhatsApp, SMS, Facebook, iCloud : ce que la justice peut obtenir de vos comptes

La police peut-elle lire les messages WhatsApp d’une personne mise en cause, ses SMS, ses messages Facebook, ouvrir sa sauvegarde iCloud ou son compte Gmail ? Depuis le 18 août 2026, le règlement européen e-Evidence permet à un juge français d’ordonner directement à Meta, Apple ou Google, sans entraide et sans que la personne en soit avertie, la remise des données stockées d’un compte dans les dix jours. La pièce arrive au dossier avec un en-tête irlandais. Cette page décrit ce que la justice peut obtenir des comptes d’une personne mise en cause, qui peut l’ordonner, comment la personne l’apprend, comment contester l’injonction, et comment la défense fait geler des données à décharge.

Messages WhatsApp, SMS, Facebook, sauvegardes iCloud : ce que la justice peut obtenir

Le règlement e-Evidence ne donne pas au juge un accès général aux comptes d’une personne. Il lui permet d’ordonner à un fournisseur de services, messagerie, réseau social, stockage en ligne, la production de ce que celui-ci stocke, réparti en quatre catégories dont le régime complet est exposé dans notre page consacrée à l’injonction européenne de production (EPOC). Deux régimes en résultent pour la personne mise en cause.

Les données d’abonné, c’est-à-dire l’identité déclarée, l’adresse, les coordonnées de facturation, et les adresses IP demandées à la seule fin d’identifier l’utilisateur, s’obtiennent pour toute infraction, sur injonction d’un procureur, sans qu’aucune autorité de l’État du fournisseur en soit informée ; la Cour de justice admet de longue date que l’accès à ces données d’identification n’est pas réservé à la criminalité grave (CJUE, grande chambre, 2 octobre 2018, Ministerio Fiscal, C-207/16). Les données de trafic, l’équivalent des fadettes pour un compte en ligne, c’est-à-dire les correspondants, les dates, les durées, la localisation de l’appareil, et les données de contenu, texte, voix, images et vidéos, supposent un juge, une infraction punie d’au moins trois ans d’emprisonnement ou l’une des infractions que le règlement énumère, et, sauf dispense, une notification à l’autorité de l’État du fournisseur. Une adresse IP demandée à une autre fin que l’identification, par exemple pour reconstituer des déplacements, est une donnée de trafic : la finalité inscrite dans l’acte commande le régime.

Trois limites tiennent au règlement lui-même. Il ne porte que sur les données stockées au moment où le fournisseur reçoit le certificat : ni interception, ni données postérieures, ni messages que le service ne conserve pas. Les données sont produites chiffrées ou non, sans obligation de déchiffrement : une messagerie chiffrée de bout en bout comme WhatsApp ou Signal ne livre que des métadonnées et des contenus illisibles, alors que les messages stockés en clair chez le fournisseur, une conversation Instagram, une boîte Gmail, une sauvegarde iCloud ou Google Drive non chiffrée par l’utilisateur, sont produits lisibles. Les SMS, eux, ne sont pas conservés par les opérateurs : seul le téléphone les garde. Enfin, l’injonction suppose une procédure pénale ouverte pour une infraction déterminée. Elle ne se confond pas avec la perquisition ou la saisie du téléphone portable, qui obéit à d’autres règles et permet, elle, l’analyse de l’appareil lui-même, SMS compris.

Une précaution s’impose. La personne qui apprend qu’une procédure la vise et qui, à ce moment, efface des messages ou supprime des sauvegardes ne se protège pas : elle s’expose à la qualification d’entrave à la manifestation de la vérité, punie de trois ans d’emprisonnement et de 45 000 euros d’amende.

Qui peut ordonner l’accès aux données d’un compte : procureur ou juge, et pour quelle infraction

Le premier contrôle de la défense rapproche l’autorité d’émission de la catégorie de données. Pour le trafic et le contenu, seuls un juge, une juridiction ou un juge d’instruction peuvent émettre l’injonction ou la valider ; un procureur ne le peut jamais. Le règlement reprend ici la jurisprudence de la Cour de justice de l’Union européenne, qui exclut le ministère public du contrôle préalable de l’accès aux données de trafic et de localisation et réserve cet accès à la criminalité grave (CJUE, grande chambre, 2 mars 2021, Prokuratuur, C-746/18 ; 30 avril 2024, C-178/22).

Le deuxième contrôle porte sur le seuil de gravité. C’est la peine encourue au regard de la qualification retenue au jour de l’émission qui compte, et une requalification ultérieure vers une infraction punie de moins de trois ans ne valide pas rétroactivement un accès au contenu des messages. La dispense de seuil pour la fraude aux moyens de paiement, les abus sexuels sur mineurs et les attaques contre les systèmes d’information suppose que l’infraction ait été commise au moyen d’un système d’information.

Le troisième contrôle est le moins visible. Le règlement n’autorise l’émission que si une injonction similaire aurait pu être émise dans une procédure nationale similaire, et la Cour de justice a déjà tiré la conséquence de cette règle pour la décision d’enquête européenne : un procureur ne peut pas émettre l’acte lorsque la mesure interne relève du seul juge (CJUE, 16 décembre 2021, C-724/19). Une injonction française se mesure donc aux conditions du code de procédure pénale : pour les données de connexion, une réquisition n’est possible que pour un crime ou un délit puni d’au moins trois ans, sous un contrôle préalable du juge que le procureur ne peut pas remplacer (Crim., 12 juillet 2022, n° 21-83.710) ; pour le contenu des messages, qu’une simple réquisition n’a jamais permis d’obtenir (Crim., 6 novembre 2013, n° 12-87.130), la mesure française de référence reste à déterminer.

Le cabinet, avocat en droit pénal et cybercriminalité à Paris, contrôle sur le certificat et sur l’injonction versés au dossier la compétence de l’autorité d’émission et le seuil de gravité avant toute contestation. Contacter le cabinet →

Comment une personne mise en cause apprend que ses données ont été obtenues

L’information de la personne incombe à l’autorité d’émission, non au fournisseur, qui est tenu à la confidentialité : ni WhatsApp, ni Apple, ni Google ne préviennent leur utilisateur. Elle doit intervenir sans retard injustifié et indiquer les voies de recours, mais elle peut être retardée, limitée ou omise aussi longtemps que l’enquête l’exige, les raisons étant consignées au dossier et une brève justification portée sur le certificat.

Dans la plupart des procédures, la personne n’apprend donc l’existence de l’injonction qu’à l’accès au dossier, en garde à vue, lors d’un interrogatoire ou par son avocat, et elle doit l’y chercher. Trois pièces s’y trouvent ou devraient s’y trouver : l’injonction elle-même, qui contient l’autorité d’émission et de validation, l’identifiant visé, la catégorie de données, la période, les dispositions pénales, les motifs de nécessité et de proportionnalité et une description succincte de l’affaire ; le certificat EPOC transmis au fournisseur, qui ne contient ni ces motifs ni cette description ; et, le cas échéant, le formulaire par lequel le fournisseur a demandé des éclaircissements. Aucun texte français ne fixe encore la forme de l’injonction dans une procédure française : c’est par son contenu qu’elle s’identifie.

La lecture porte ensuite sur ce qui n’y est pas. Une injonction française visant une personne résidant en France pour des faits commis en France n’est notifiée à aucune autorité étrangère : personne d’autre que le juge français n’a examiné l’acte, et le seul contrôle qui puisse encore avoir lieu est celui que la défense provoque.

Contester une injonction européenne de production (EPOC) : recours, nullité et grief

Le recours s’exerce devant une juridiction de l’État d’émission, et porte sur la légalité de la mesure, sa nécessité et sa proportionnalité. La Cour de justice l’exigeait déjà pour la décision d’enquête européenne : un État qui n’ouvre aucun recours contre l’émission d’un acte d’enquête transfrontière viole le droit de l’Union (CJUE, 11 novembre 2021, Gavanozov II, C-852/19).

Une injonction émise par un juge français se conteste donc en France, par la requête en nullité devant la chambre de l’instruction pendant l’information, ou par l’exception de nullité devant le tribunal correctionnel, avant toute défense au fond. Une injonction émise par un juge d’un autre État membre contre une personne résidant en France se conteste dans cet État, et le juge français n’a de prise que sur l’évaluation des données si elles lui sont transmises : le règlement lui impose alors de garantir les droits de la défense, et la Cour de justice a jugé, pour l’instrument voisin qu’est la décision d’enquête européenne, que le juge doit écarter une preuve déterminante que la personne n’est pas en mesure de discuter efficacement (CJUE, grande chambre, 30 avril 2024, EncroChat, C-670/22). La chambre criminelle impose de même que soient versés au dossier les actes permettant de contrôler la régularité d’une preuve issue d’une autre procédure (Crim., 5 mars 2024, n° 23-84.192).

En France, la nullité d’une preuve numérique obéit au cadre général de la procédure pénale : un intérêt, une qualité et un grief. La chambre criminelle a fixé ce cadre pour les données de connexion, les fadettes obtenues sur réquisition, et il se transpose à l’injonction européenne de production.

Concrètement, une injonction sur le contenu ou le trafic émise ou validée par un procureur, ou dépourvue de motifs de nécessité et de proportionnalité, fait grief par elle-même, comme la chambre criminelle le juge d’une géolocalisation non motivée (Crim., 15 novembre 2022, n° 22-80.641). Dans les autres cas, la défense démontre que l’accès aurait dû être refusé : période ou catégorie de données excédant les besoins de l’enquête, seuil non atteint, mesure impossible en droit français. Elle doit aussi être recevable, c’est-à-dire titulaire ou utilisatrice du compte visé. La preuve du grief se prépare dès la lecture du dossier, en rapprochant ligne à ligne la catégorie de données, la période, la qualification, la peine encourue et l’autorité : c’est sur la gravité des faits et sur la durée et le périmètre de l’accès que la chambre criminelle fait porter le contrôle (Crim., 25 octobre 2022, n° 21-87.397 ; 8 octobre 2024, n° 24-81.047).

Le cabinet forme les requêtes en nullité contre une injonction émise par une juridiction française, coordonne la contestation avec un confrère de l’État d’émission lorsqu’elle est étrangère, et apprécie avant de la former si le grief pourra être établi. Contacter le cabinet →

Demande d’acte à décharge : faire geler et produire des données par la défense

Le règlement prévoit que l’émission d’une injonction de production ou de conservation peut aussi être demandée par le suspect, la personne poursuivie ou son avocat, dans le cadre des droits de la défense du droit national. L’injonction reste émise par l’autorité judiciaire, mais la défense dispose d’un fondement textuel pour faire geler puis produire une donnée détenue par un fournisseur étranger.

Le besoin est concret : une géolocalisation qui place la personne ailleurs qu’au lieu des faits, un échange WhatsApp qui restitue le contexte d’un message isolé par l’accusation, un horodatage qui contredit une chronologie. Ces données existent chez le fournisseur et n’existent que là, et le règlement ne crée aucune obligation de les conserver : la première demande à formuler est la conservation, possible pour toute infraction, y compris par un procureur, pour soixante jours prorogeables de trente.

En droit français, la voie dépend du cadre procédural : demande d’acte écrite et motivée au juge d’instruction pendant l’information, dont le refus se juge par ordonnance motivée dans le délai d’un mois et peut être frappé d’appel, y compris lorsqu’elle tend à réunir les éléments d’une future requête en nullité (Crim., 9 juin 2026, n° 25-88.058) ; demande d’actes au procureur pendant l’enquête préliminaire, lorsque le dossier a été communiqué ; supplément d’information devant le tribunal. La demande désigne le fournisseur, le compte, la catégorie de données et la période, et dit en quoi la donnée est nécessaire à la manifestation de la vérité. Elle reste soumise aux conditions de toute injonction : une personne poursuivie pour une infraction punie de moins de trois ans obtiendra la conservation et les données d’identification, non le contenu.

Le cabinet rédige les demandes d’acte tendant à l’émission d’une injonction de conservation puis de production sur des données à décharge, et en suit l’exécution. Contacter le cabinet →

Questions fréquentes

La police peut-elle lire les messages WhatsApp, SMS ou Facebook d’une personne mise en cause ?

Cela dépend de ce que le fournisseur stocke. WhatsApp, chiffré de bout en bout, ne peut produire que des métadonnées, correspondants, dates et heures, et des contenus qu’il ne sait pas lire ; un message Instagram ou un courriel Gmail, stockés en clair, sont produits lisibles ; les SMS ne sont pas conservés par l’opérateur. Le contenu devient aussi accessible par une sauvegarde en ligne non chiffrée, ou par l’analyse du téléphone lui-même après une perquisition ou une saisie, qui relèvent d’autres règles.

Les messages ou SMS effacés peuvent-ils être obtenus par une injonction européenne ?

Non. Le règlement ne porte que sur les données que le fournisseur stocke encore au moment où il reçoit le certificat. Un message supprimé chez le fournisseur est hors d’atteinte par cette voie ; il peut subsister dans une sauvegarde, ou sur l’appareil, ce qui relève de la saisie du téléphone.

Une injonction émise par le juge d’un autre État membre se conteste-t-elle en France ?

Non. Le recours s’exerce devant une juridiction de l’État d’émission. La résidence en France ne donne aucune compétence au juge français, qui n’intervient que si les données lui sont transmises, pour garantir les droits de la défense lors de leur évaluation.

Les données de connexion obtenues sur simple réquisition du procureur sont-elles nulles ?

Pour le trafic et le contenu, le procureur ne peut ni émettre ni valider l’injonction européenne, et l’acte d’une autorité incompétente fait grief par lui-même. Pour les données d’abonné et d’identification, le procureur est compétent, et la contestation porte sur la nécessité, la proportionnalité et la finalité réelle de la demande.

Les sauvegardes iCloud ou Google Drive sont-elles protégées comme les messages chiffrés ?

Non. Le fournisseur produit ce qu’il stocke, sans obligation de déchiffrer. Une messagerie chiffrée de bout en bout ne lui laisse rien de lisible ; une sauvegarde de cette messagerie dans iCloud ou Google Drive, non chiffrée par l’utilisateur, sera produite en clair.

Effacer ses messages après une garde à vue est-il une infraction ?

Oui, potentiellement. Le règlement ne sanctionne pas une suppression antérieure à la réception du certificat, mais effacer des traces ou des documents en vue de faire obstacle à la manifestation de la vérité est un délit distinct, puni de trois ans d’emprisonnement et de 45 000 euros d’amende. La question se règle avec un avocat, pas par un paramétrage.

Le règlement e-Evidence déplace l’obtention de la preuve numérique d’un État sollicité vers une entreprise tenue, et notre analyse consacrée à la preuve numérique et la fin du refuge irlandais décrit ce que ce déplacement ouvre selon la position occupée dans la procédure. Pour la personne mise en cause, la donnée sort de ses comptes sans qu’elle le sache et sous le seul contrôle du juge qui l’a demandée. Le règlement compense ce déplacement par un recours devant ce même juge et par la faculté, pour la défense, de demander l’émission d’une injonction. Le premier suppose un grief démontré pièce par pièce ; la seconde suppose que la donnée existe encore lorsqu’elle est demandée.