Initialement prévue pour le 24 janvier, la Commission européenne devrait finalement présenter à la fin du mois de mars ou début avril une proposition législative sur l’accès transfrontière aux preuves électroniques. Mais les récents développements provenant de l’autre côté de l’Atlantique, notamment le nouveau projet de loi américain, le ‘CLOUD Act’, pourraient venir influencer la réflexion en cours de la Commission.
Dans une note datée du 26 février et consultée par EUROPE, la Présidence bulgare du Conseil de l’UE fait d’ailleurs part de ses inquiétudes quant à ces développements et souligne « le besoin urgent d'agir au niveau de l'UE ».
Pour rappel, la proposition législative de la Commission devrait imposer l’obligation aux fournisseurs de services électroniques de fournir une preuve électronique demandée par les autorités judiciaires en cas de suspicion de crime (EUROPE 11929). Cette mesure pourrait être demandée par une autorité judiciaire pour des données stockées en dehors de sa juridiction et, potentiellement, en dehors de l’UE.
« La rapidité de ces développements peut modifier considérablement le cadre dans lequel l'action de l'UE a été préparée jusqu'à présent et ralentir le processus, en ayant à prendre en compte une situation règlementaire en évolution », met en garde la Présidence dans ce document.
Ses préoccupations ciblent plus particulièrement le nouveau projet de loi clarifiant l’utilisation légale des données à l’étranger (dit ‘CLOUD Act’) présenté au Congrès américain le 6 février dernier et soutenu par les républicains et les démocrates.
Le ‘CLOUD Act’, qui bénéficie également du soutien de l'industrie (Apple, Facebook, Google, Microsoft et Oath), modifierait le ‘Stored Communications Act’ de 1986 en stipulant que les fournisseurs de services américains seront obligés de se conformer aux ordres américains de divulgation de données, quel que soit le lieu de stockage de ces données. Il prévoit également la possibilité pour l'administration américaine de conclure des accords exécutifs, qui permettraient aux fournisseurs de services américains de fournir des données à un gouvernement étranger « partenaire », sans nécessiter une demande d’assistance judiciaire mutuelle.
Du côté de l’UE, le problème qui se pose d’ores et déjà est que l’article 48 du règlement général sur la protection des données (GDPR) sur les enquêtes étrangères interdit le transfert ou la divulgation de données à caractère personnel, sauf en vertu d'un traité d’assistance judiciaire mutuelle ou d'un autre accord international.
Le projet de texte comprend néanmoins une ‘clause de courtoisie’ (comity clause) qui permettrait aux fournisseurs de services de demander à un tribunal américain d'annuler ou de modifier un mandat émis pour des données stockées à l'étranger, si ces données concernent un ressortissant non américain et lorsque le respect du mandat les amènerait à enfreindre les lois d'un pays partenaire avec lequel les États-Unis ont conclu un accord exécutif.
Mardi 27 février, la Cour suprême américaine a par ailleurs entendu les plaidoiries dans l’affaire ‘Microsoft Ireland Warrant Case’, dans laquelle elle doit déterminer si Microsoft doit se conformer à un mandat judiciaire exigeant la divulgation aux États-Unis de courriels conservés en Irlande (EUROPE 11922). À cette occasion, la Cour aurait fait référence au ‘CLOUD Act’, se demandant s’il ne fallait pas attendre son adoption avant de prendre une décision initialement attendue pour juin 2018.
Ces sujets devraient être abordés lors des discussions ministérielles UE-États-Unis, qui auront lieu les 22 et 23 mai à Sofia. Pour ce qui est de la question purement européenne des preuves électroniques, elle sera débattue par les ministres européens de la Justice, réunis en Conseil le 9 mars prochain. (Marion Fontana)