e-Evidence : Une lettre ouverte demande des mesures de protection de la vie privée.

Peu avant la fin de son mandat, la présidence française du Conseil a failli parvenir à un compromis politique avec le Parlement européen sur la proposition dite “e-Evidence”. Ce projet de compromis fixe des orientations générales pour établir un futur cadre juridique permettant aux services répressifs nationaux de demander des données personnelles à des entreprises privées situées dans d’autres États membres de l’Union européenne.

Toutefois, quelques points doivent encore être convenus avant que le texte final puisse être adopté par les colégislateurs. Le projet est donc toujours en cours de discussion au sein du “trilogue politique”.

Malheureusement, l’orientation des négociations ne favorise pas la protection des droits fondamentaux. Le projet de cadre juridique menace de saper le contrôle judiciaire des mandats.

Par conséquent, nous avons rejoint une coalition dirigée par EDRi pour tirer la sonnette d’alarme dans une lettre ouverte adressée aux décideurs politiques de l’UE. Nous mettons en garde contre le cadre prévu qui pourrait sérieusement mettre en danger la liberté d’expression, le droit à la vie privée et le droit à un procès équitable.

Lisez la lettre complète ci-dessous.

---

Compromis politique sur la proposition de preuve électronique Les médias et journalistes européens, les groupes de la société civile et les entreprises technologiques demandent aux décideurs d’améliorer la protection des droits fondamentaux.

Chers rapporteurs et rapporteurs fictifs du Parlement européen,

Chers membres du groupe de travail sur la coopération en matière pénale (COPEN), Nous, une coalition de 24 groupes de la société civile, d’associations de médias et de journalistes, de fournisseurs de services Internet et d’associations professionnelles, vous demandons instamment de réviser le dernier texte de compromis sur la proposition de règlement relatif aux preuves électroniques. Sans améliorations substantielles, le système d’accès transfrontalier aux données en matière pénale prévu par le trilogue politique du 28 juin risque de porter gravement atteinte aux droits fondamentaux, notamment la liberté de la presse et des médias, les droits de la défense, le droit à la vie privée et les droits des patients médicaux. Il n’apporterait pas non plus de sécurité juridique à toutes les parties prenantes impliquées dans le processus.

Nous regrettons que la plupart de nos recommandations précédentes n’aient pas été prises en compte, en particulier :

• Article 7 bis, paragraphe 2 - Notification et critère de résidence.

Le critère de résidence introduit en tant qu’exemption de notification à l’État d’exécution est une faille majeure dans le cadre de protection des droits du règlement e-Evidence. L’évaluation du lieu de résidence de la personne dont les données sont recherchées sera laissée à la seule discrétion de l’État d’émission, qui peut être clairement incité à éviter la notification. Le seuil est également trop bas et peut facilement faire l’objet d’abus, car les “motifs raisonnables de croire” ne signifient pas nécessairement que l’État d’émission a besoin de preuves objectives ou d’indications concrètes. L’autorité émettrice n’est même pas tenue de justifier ses convictions dans l’ordonnance, ce qui empêche effectivement l’examen de son évaluation. Comment le règlement garantira-t-il l’harmonisation des normes permettant de procéder à cette évaluation, garantissant ainsi un niveau de protection égal aux personnes concernées ?

Dans le cas où l’État d’émission fait une fausse supposition et omet de notifier l’État d’exécution, la manière dont l’erreur peut être signalée et rectifiée n’est pas claire : L’article 9 ne prévoit pas la possibilité pour le prestataire de services de soulever cette question. L’État d’exécution ne peut pas refuser l’exécution de la décision pour cette raison en vertu de l’article 14, paragraphe 4, et la personne ne peut pas nécessairement exercer son droit à un recours effectif si l’information est restreinte ou si cela n’est pas prévu par le droit national de l’État d’émission (article 17, paragraphe 1).

Le critère de résidence affaiblira également la possibilité d’invoquer les motifs de refus prévus à l’article 7 ter, paragraphe 1, point c), et au considérant 11 bis lorsqu’il existe un risque de violations manifestes des droits fondamentaux dans l’État d’émission, comme dans les États membres connaissant des problèmes systémiques d’État de droit. Compte tenu des risques que comporte cette exemption qui s’appliquerait à des commandes demandant des types de données très sensibles (trafic et contenu) et qui pourrait éventuellement conduire à de graves violations des droits fondamentaux, il est essentiel que le critère de résidence ne fasse pas partie du texte de compromis final.

• Article 7 bis - Notification des données relatives aux abonnés et au trafic

Outre la nécessité d’une notification obligatoire pour les données relatives au contenu et au trafic, la notification de l’État d’exécution devrait être obligatoire lorsque les données relatives aux abonnés et au trafic sont demandées dans le seul but d’identifier la personne. Même si les données relatives aux abonnés sont, dans l’ensemble, moins sensibles que les données relatives au trafic, il existe des exceptions notables, notamment lorsque des privilèges et immunités sont en jeu (identité d’une source journalistique, d’un informateur, etc.) Dans son projet de décision du Conseil visant à autoriser les États membres à signer et à ratifier le deuxième protocole additionnel à la convention sur la cybercriminalité, la Commission européenne indique clairement que la notification obligatoire pour l’accès aux données des abonnés est nécessaire pour garantir la compatibilité avec le droit de l’Union.

• Article 4(1)(b) - Intervention procédurale d’un tribunal pour les données d’abonnés

Nous soutenons la proposition du rapporteur selon laquelle, lorsque l’exécution d’un EPOC pour les données relatives aux abonnés (et le trafic dans le seul but d’identifier l’utilisateur) nécessite l’intervention procédurale d’un tribunal dans un État membre, il devrait être possible d’exiger que l’ordonnance soit également émise par un tribunal dans l’État d’émission. La disposition devrait être renforcée en supprimant l’exigence d’une déclaration du ou des États membres concernés, de sorte que la disposition s’applique uniquement en vertu du droit national exigeant l’intervention procédurale d’une juridiction.

• Article 9, paragraphes 2 et 3 - Exécution d’un EPOC et effets suspensifs

La notification de l’autorité de l’État d’exécution est une garantie essentielle pour permettre de soulever tout motif de refus et offrir une sécurité juridique au prestataire de services avant de divulguer les données de l’utilisateur demandées. À tout le moins, une notification devrait donc toujours avoir un effet suspensif sur l’obligation de divulgation du prestataire de services dans tous les cas, y compris les demandes d’urgence. Selon la proposition actuelle, lorsqu’une notification a eu lieu, le destinataire doit produire les données à l’issue du délai de 10 jours ou de 8 heures, même en l’absence de validation par l’autorité d’exécution. Les risques sont trop grands que l’autorité d’exécution ne procède pas à un véritable examen des ordres et laisse simplement passer le délai d’attente. Non seulement cela nuit à l’efficacité de cette mesure de protection essentielle, mais c’est également inefficace, car avec une exigence de validation active, les ordres pourraient être exécutés plus rapidement lorsque la validation a été donnée par l’autorité d’exécution avant la fin du délai. Les effets suspensifs des ordres de fabrication devraient s’appliquer à tous les types d’ordres (urgents ou non) jusqu’à ce que l’autorité d’exécution donne son feu vert de manière proactive.

• Article 12 ter - Principe de spécialité et limitation de la finalité

Les règles permettant de réutiliser les données obtenues par le biais d’une injonction de produire des preuves électroniques dans d’autres procédures ou de les transmettre à un autre État membre sont trop faibles. Le système de notification permet une évaluation au cas par cas des injonctions de produire qui tient compte des circonstances particulières de chaque enquête. Permettre à l’autorité d’émission de déterminer seule si les données peuvent être réutilisées dans différentes procédures risque de compromettre l’évaluation de l’injonction par l’État notifié. Même si les conditions de délivrance d’une injonction de produire peuvent être remplies, l’exception au principe de limitation de la finalité doit être limitée aux circonstances extraordinaires dans lesquelles il existe un risque imminent pour la vie ou l’intégrité physique d’une personne. Il ne devrait pas être possible de transférer les données obtenues vers un autre État membre, car les motifs de refus peuvent différer d’un État membre requérant à l’autre (par exemple, une violation manifeste des droits fondamentaux). En outre, nous avons identifié plusieurs lacunes qui doivent être traitées ou clarifiées de toute urgence afin de garantir la sécurité juridique :

Quelles sont les conséquences pour les recours individuels effectifs dans le cas où l’autorité d’exécution a l’obligation de soulever des motifs de refus (“shall”) ? La personne concernée peut-elle porter plainte contre l’autorité d’exécution si cette dernière n’a pas soulevé de motifs de refus ? Laisser à l’autorité d’exécution la possibilité de refuser ou non une ordonnance (“peut”) serait extrêmement préjudiciable à la protection des droits fondamentaux, dans les cas où une ordonnance est manifestement abusive ou lorsqu’elle viole la liberté de la presse et des médias, les privilèges professionnels ou les principes du ne bis in idem ou de la double incrimination.

• Article 5, paragraphe 5, point g) - Conditions d’émission d’une ordonnance européenne de production en cas d’urgence

La différence entre une ordonnance d’urgence et une demande de divulgation anticipée est très floue. Une divulgation anticipée mettrait en péril l’efficacité du processus de notification et les motifs de refus. Le risque de divulgation illégale de données doit être évité et la divulgation anticipée doit donc être supprimée du texte.

• Article 5, paragraphe 6c - Conditions d’émission d’une décision de production européenne et immunités et privilèges

Le projet d’accord introduit une série de conditions pour la demande de données relatives au trafic et au contenu protégées par un privilège professionnel (médecin détenant des données sensibles sur ses patients, avocat stockant les dossiers de ses clients, etc.) mais il n’est pas clair dans quelles situations la condition spécifique “dans les cas où les données sont stockées ou traitées par un prestataire de services dans le cadre d’une infrastructure” s’applique et quels services sont exclus du champ d’application de ce paragraphe. Pour protéger efficacement les immunités et les privilèges, nous pensons que le paragraphe devrait s’appliquer à tous les types de services offerts aux professions protégées et que les trois conditions énumérées devraient être cumulatives et non alternatives (“et” au lieu de “ou”).

• Article 9(2b) - Exécution d’un EPOC et immunités et privilèges

Pourquoi la possibilité pour le destinataire de refuser d’exécuter un ordre portant atteinte aux immunités ou aux privilèges ou à la liberté de la presse et des médias devrait-elle être “fondée uniquement sur les informations contenues dans l’EPOC” et non sur les informations que le destinataire détient sur la personne concernée ? Nous attendons avec intérêt de recevoir vos réflexions sur les points que nous soulevons ci-dessus et restons à votre disposition si vous souhaitez en discuter plus avant.

Nous vous prions d’agréer, Madame, Monsieur, l’expression de nos sentiments distingués,

Bundesverband Digitalpublisher und Zeitungsverleger e.V. (BDZV)

Chaos Computer Club (CCC)

Comité pour la Protection des Journalistes (CPJ)

Digitalcourage

Digitale Gesellschaft e.V. (Société numérique)

Državljan D / Citizen D

IT-Pol Danemark

eco, Association de l’industrie de l’Internet

EuroISPA

Union européenne de radio-télévision (UER)

European Digital Rights (EDRi)

Fédération Européenne des Journalistes (FEJ)

Association européenne des médias magazine (EMMA)

Association européenne des éditeurs de journaux (ENPA)

Procès équitable

Fédération européenne des hôpitaux et des soins de santé (HOPE)

Mailfence.com

Medienverband der freien Presse e.V. (MVFP)

Comité permanent des médecins européens (CPME)

News Media Europe

Tutanota - Tutao GmbH

Uni Global Union

Wikimedia Deutschland e. V.

Wikimedia France