Le 18 août 2026, une règle est entrée en application dans presque toute l’Union européenne, et personne n’en a parlé côté grand public. Elle ne change pas ce que tes emails contiennent. Elle change qui peut venir les chercher, à quelle vitesse, et par quelle porte.

Le texte s’appelle e-Evidence : un règlement européen (2023/1543) et sa directive jumelle (2023/1544). Le nom est aussi excitant qu’une réunion de copropriété. Ce qu’il fait l’est beaucoup moins. Depuis le 18 août, une autorité judiciaire de n’importe quel État membre peut exiger tes données directement à ton hébergeur ou à ton fournisseur de mail, sous dix jours, sans passer par un juge de ton pays, sans procédure d’entraide, sans que tu bouges de ton canapé.

Ton fournisseur de mail a maintenant dix jours pour livrer ce qu’il a sur toi. Reste à savoir ce qu’il peut livrer exactement, et ce qui restera toujours hors de sa portée.

Avant e-Evidence, comment ça marchait

Jusqu’ici, quand un procureur d’un pays européen voulait les données d’un service hébergé dans un autre pays, il devait demander la permission. Concrètement, il passait par l’entraide judiciaire : une demande officielle transmise aux autorités du pays où se trouve le fournisseur, contrôlée par un juge local, exécutée selon le droit local. Long, lourd, plein de garde-fous nationaux. Des mois, souvent beaucoup plus.

e-Evidence supprime cette étape.

Ce qui a changé le 18 août

Depuis cette date, dans tous les États membres sauf le Danemark, une autorité d’un pays peut adresser son ordre directement au fournisseur situé ou représenté dans un autre pays. Plus de juge intermédiaire dans le pays du fournisseur. Plus d’entraide. Un certificat, un délai, une obligation.

Deux instruments, à retenir :

• L’ordre de production (EPOC) : le fournisseur doit livrer les données demandées sous dix jours. En cas d’urgence (menace imminente pour la vie ou la sécurité), le délai tombe à huit heures.
• L’ordre de conservation (EPOC-PR) : il gèle les données pour empêcher leur effacement, le temps qu’une demande formelle arrive. Durée du gel : soixante jours, prorogeables de trente.

Le champ est large, et c’est là que ça surprend. Ne pense pas seulement à ta boîte mail. Le texte vise les services de communication, les messageries, le cloud, les hébergeurs, les plateformes, et jusqu’aux bureaux d’enregistrement de noms de domaine. Ton nom de domaine aussi est un point d’accès. On n’y pense jamais.

Et ça ne s’arrête pas aux frontières de l’Union. Un fournisseur établi hors UE, aux États-Unis par exemple, tombe dans le champ dès lors qu’il propose ses services dans l’Union avec ce que le texte appelle un lien substantiel : un nombre significatif d’utilisateurs européens, une offre en langue locale, une tarification dans la monnaie du pays, de la publicité locale. Pas besoin de bureau ni de serveurs en Europe. Peu importe où sont stockées les données.

Pour rendre tout ça exécutable, la directive impose à chaque fournisseur concerné de désigner un établissement ou un représentant légal dans l’Union, habilité à recevoir et exécuter les ordres. Refuser de jouer le jeu coûte cher : les sanctions peuvent atteindre 2 % du chiffre d’affaires mondial annuel.

Le changement n’est pas « ils peuvent accéder à tes données ». Ils le pouvaient déjà. Le changement, c’est la vitesse et la porte : direct, rapide, sans ton pays dans la boucle.

À lire : Chat Control 2.0 : l’UE veut lire tes messages avant que tu les envoies et NIS2 oblige les entreprises à chiffrer, CSAR leur interdit de le faire vraiment.

Quatre catégories de données, et les trois que tout le monde oublie

Le règlement ne traite pas toutes tes données de la même façon. Il en distingue quatre familles :

• Les données d’abonné : qui tu es aux yeux du service, les informations que tu as fournies à l’inscription.
• Les données d’identification : notamment ton adresse IP, celle qui permet de relier une activité à une connexion.
• Les données de trafic : qui communique avec qui, quand, combien de temps, par quels moyens.
• Les données de contenu : le texte de tes messages, tes fichiers, ce que tu as réellement écrit ou stocké.

Les deux dernières, trafic et contenu, sont les plus sensibles, et le texte leur réserve des garanties renforcées (on y vient). Mais il y a un piège dans cette liste, et il est énorme.

Tout le monde se concentre sur le contenu. « Mes messages sont chiffrés, je suis tranquille. » Sauf que le contenu n’est qu’une des quatre familles. Les trois autres décrivent l’enveloppe : qui, quand, avec qui, depuis où.

Le chiffrement cache la lettre. Il ne cache pas l’enveloppe.

À qui tu écris, à quelle heure, depuis quelle IP, à quelle fréquence : ces métadonnées en disent souvent plus long que le message lui-même. Un échange régulier et anonyme avec un avocat spécialisé raconte une histoire, même sans en lire une ligne. Et ces métadonnées, aucun chiffrement de contenu ne les efface. Elles circulent, en Europe comme ailleurs, et un EPOC peut aller les chercher.

Ce qu’il peut livrer, ce qu’il ne peut pas

e-Evidence n’oblige aucun fournisseur à déchiffrer tes données, ni à casser ou affaiblir son propre chiffrement. Ce point est solide. Et il a une conséquence directe.

Il faut distinguer deux mondes. D’un côté, les fournisseurs qui détiennent les clés de tes données : chiffrement côté serveur, cas de la plupart des webmails grand public. Ceux-là peuvent techniquement déchiffrer ton contenu, donc ils doivent le produire sur ordre.

De l’autre, les fournisseurs dont l’architecture repose sur le chiffrement de bout en bout côté client, où les clés sont générées sur ton appareil et ne quittent jamais tes mains. Ceux-là ne détiennent pas les clés. Ils ne peuvent pas produire ton contenu en clair, même s’ils le voulaient.

Et le texte le dit sans détour : les données réclamées doivent être livrées qu’elles soient chiffrées ou non. Un fournisseur E2E ne remet donc pas rien, il remet un bloc que personne ne peut ouvrir, lui compris. Il ne triche pas, il constate un fait mathématique.

Voilà le vrai bouclier. Pas le pays, l’architecture. Un contenu chiffré de bout en bout côté client est hors de portée d’un ordre de production, que cet ordre soit européen ou pas. Un contenu chiffré « en transit » ou « au repos » mais dont le fournisseur garde les clés reste produisible sur simple ordre.

C’est exactement l’argument que Mac Souverain répète depuis ses premiers comparatifs. Le reste, c’est du chiffrement de vitrine.

À lire : Apple Mail vs Gmail vs Proton Mail, le comparatif honnête, Migrer de Gmail vers Proton Mail sur Mac et Pourquoi ton client mail est une passoire.

Les garde-fous, et leurs limites

e-Evidence n’est pas un chèque en blanc, du moins sur le papier. Pour les données de trafic et de contenu, quand la personne visée ou l’infraction se situe hors du pays qui émet l’ordre, une autorité du pays d’exécution (là où le fournisseur est établi ou représenté) est notifiée.

Cette notification suspend l’obligation de livrer pendant dix jours, une fenêtre où un contrôle de légalité et de proportionnalité peut jouer. En urgence, ce délai tombe à quatre-vingt-seize heures.

Plusieurs motifs permettent de refuser ou de ne pas reconnaître un ordre : les immunités et privilèges prévus par le droit du pays d’exécution, une atteinte manifeste aux droits fondamentaux, le principe de ne pas être jugé deux fois pour les mêmes faits, ou l’absence de double incrimination. S’ajoute la protection de catégories particulières : le secret professionnel, les journalistes et leurs sources, les diplomates.

Ça a l’air rassurant. Nuance : le fournisseur, lui, n’a pas à contrôler la légalité générale de l’ordre. Il vérifie surtout qu’il n’y a pas d’impossibilité manifeste dans sa propre sphère. Et une partie de la doctrine juge ces garanties trop molles, notamment parce que la charge de contester repose sur une autorité d’exécution qui n’est pas toujours saisie, en particulier pour les données d’abonné et d’identification.

Traduction : pour savoir qui tu es et d’où tu te connectes, le filet est plus lâche que pour le contenu de tes messages.

Et la Suisse, alors ?

C’est la question que tout lecteur souverainiste se pose. Proton, Infomaniak, les hébergeurs suisses sont hors de l’Union. « Je me pose en Suisse, donc e-Evidence ne me touche pas. »

e-Evidence ne mord pas un fournisseur purement suisse. Un service hébergé en Suisse, sans établissement dans l’Union et sans cibler activement le marché européen, reste hors du champ direct du règlement. Pour obtenir ses données, l’Union doit repasser par la vieille route : l’entraide judiciaire internationale, transmise aux autorités suisses, contrôlée par un juge suisse, exécutée selon le droit suisse. Compte plusieurs mois, là où un EPOC intra-UE, c’est dix jours. Le fournisseur suisse rajoute de la friction et du temps. C’est un vrai frein, pas une illusion.

Reste une zone grise honnête : Proton et Infomaniak ont clairement des utilisateurs et une audience dans l’Union. Savoir s’ils basculent dans le champ du règlement au titre du « lien substantiel », et s’ils ont dû désigner un représentant européen, est une question ouverte. Je ne vais pas trancher à leur place.

Mais la Suisse a ses propres règles. Le pays applique une loi sur la surveillance de la correspondance (la LSCPT), exécutée par un service fédéral dédié. Concrètement : les métadonnées sont conservées environ six mois, ton adresse IP peut être journalisée puis livrée sur ordre d’une autorité suisse, et la coopération vise les infractions graves, sous contrôle judiciaire. Le contenu, lui, reste protégé s’il est chiffré de bout en bout.

Un projet de révision de ses ordonnances d’application fait débat depuis un moment, avec une opposition frontale des acteurs du secteur. Son sort n’est pas acté, donc on n’en tire aucune conclusion ici.

Le meilleur exemple est réel. En 2021, sur ordre contraignant des autorités suisses (déclenché par une demande venue de France), Proton a été contraint de journaliser puis de remettre l’adresse IP d’un militant.

Proton n’a pas pu remettre le contenu de ses emails : le chiffrement l’en empêchait. Proton le dit noir sur blanc, et ses rapports de transparence documentent qu’il exécute des ordres suisses tout en en contestant une partie, sans jamais livrer de données directement à un gouvernement étranger. Tout passe par les autorités suisses.

Lis bien la leçon de cette affaire. La juridiction suisse n’a pas sauvé l’IP du militant. Le chiffrement a sauvé le contenu.

La Suisse est un ralentisseur, pas une muraille. Elle protège tes métadonnées moins bien qu’on le croit, et ton contenu seulement si l’architecture est bonne. Le drapeau ajoute du temps et un juge. Il n’ajoute pas d’immunité.

Ce que ça change, ce que ça ne change pas

Ce qui change. Ton fournisseur de mail peut être requis par une autorité judiciaire de n’importe quel État membre, et il a dix jours pour livrer, sans ton pays et sans juge intermédiaire. La vitesse est l’arme nouvelle.

Ce qui ne change pas. Les mathématiques. Un contenu chiffré de bout en bout côté client, avec des clés que ton fournisseur ne détient pas, reste illisible pour quiconque, ordre ou pas.

Ce que ça implique concrètement, en trois gestes :

1. Mets ton contenu sensible sous chiffrement de bout en bout côté client. C’est le seul niveau où ton fournisseur ne peut pas te trahir, parce qu’il ne détient pas la clé. Pour le mail, ça veut dire un service dont l’architecture le garantit, Proton Mail en tête. Un webmail classique, même « sécurisé », garde les clés : il peut produire.
2. Traite tes métadonnées comme des données, pas comme du décor. Le chiffrement protège la lettre, pas l’enveloppe. Réduis ce que tu exposes : qui, quand, avec qui, depuis quelle IP. C’est le terrain où aucun drapeau ne te couvre.
3. Choisis ta juridiction pour de bonnes raisons. Se poser hors UE ajoute du temps et un contrôle judiciaire local, ce qui compte. Mais ne confonds jamais « plus lent à atteindre » avec « hors d’atteinte ». La juridiction gère la vitesse. L’architecture gère l’accès.

La vraie question n’a jamais été de savoir dans quel pays ton mail est hébergé. C’est de savoir ce que ton fournisseur peut livrer le jour où on le lui demande, et ce qu’il ne pourra jamais livrer parce qu’il ne le détient pas. e-Evidence n’a rien inventé sur ce plan. Il a juste rappelé, très vite et très fort, où se trouve la seule serrure que personne ne peut forcer.

Celle dont tu es le seul à avoir la clé.

Sources

Le texte

• EUR-Lex, Règlement (UE) 2023/1543 sur les injonctions européennes de production et de conservation de preuves électroniques, le texte officiel, applicable depuis le 18 août 2026.
• EUR-Lex, Directive (UE) 2023/1544, l’obligation pour les fournisseurs de désigner un établissement ou un représentant légal dans l’Union.

L’analyse

• eucrim, E-evidence Regulation and Directive Published, les délais, les motifs de refus et les sanctions.
• BfDI, autorité fédérale allemande de protection des données, E-Evidence Regulation, le mécanisme de notification et le rôle volontairement limité du fournisseur.

La Suisse

• Proton, Important clarifications regarding arrest of climate activist, l’affaire de 2021 : adresse IP remise sur ordre suisse, contenu des emails hors d’atteinte.

Voir aussi

• Chat Control 2.0 : l’UE veut lire tes messages avant que tu les envoies
• Apple Mail vs Gmail vs Proton Mail, le comparatif honnête
• Le DNS, talon d’Achille de ta souveraineté numérique