Résumé

  • L’article 9 du Second Additional Protocol au Budapest Convention permet au point de contact 24/7 d’une Partie de solliciter l’aide immédiate d’une autre Partie pour obtenir des données stockées déterminées auprès d’un fournisseur établi sur son territoire, sans préparer une demande d’entraide judiciaire.
  • Ce premier message ne suffit pas à décrire toute la chaîne de responsabilité. La Partie requise apprécie l’urgence et organise l’étape auprès du fournisseur selon son droit ; l’article 14 exige aussi des moyens de retracer l’accès, l’utilisation et la divulgation de données personnelles dans chaque affaire.

Le modèle organise le premier échange

Le Comité de la Convention sur la cybercriminalité du Conseil de l’Europe (T-CY) publie un modèle de demande accélérée de divulgation de données informatiques stockées en situation d’urgence, avec ses autres modèles de mise en œuvre du Second Additional Protocol. La page des réunions plénières du T-CY identifie le document comme T-CY(2026)9 ; le modèle de l’article 9 donne aux autorités un point de départ commun.

La procédure juridique est définie par le protocole. Le point de contact d’une Partie dans le réseau 24/7 peut demander à son homologue d’une autre Partie une aide immédiate pour obtenir des données stockées précises détenues ou contrôlées par un fournisseur situé dans l’État requis. Il n’est pas nécessaire de faire transiter cette démarche sous la forme préalable d’une demande d’entraide judiciaire. Le protocole s’applique entre États parties aux deux instruments et dans le cadre d’enquêtes ou de procédures pénales déterminées.

Le mot « urgence » a une limite juridique : un risque important et imminent pour la vie ou la sécurité d’une personne physique. Le rapport explicatif cite notamment le risque crédible de décès ou de blessures graves, l’exploitation sexuelle continue d’un enfant, l’immédiat après d’un attentat lorsque les autorités cherchent à déterminer si d’autres attaques sont imminentes, ou une menace sur une infrastructure critique qui expose une personne à un tel risque. Une enquête peut être pressante sans relever automatiquement de ce seuil.

La Partie requise conserve son rôle de décision

Plusieurs acteurs se succèdent. L’autorité compétente qui demande les données identifie l’enquête et le contenu recherché. Son point de contact 24/7 transmet la demande au point de contact de l’autre Partie. Les autorités de la Partie requise s’adressent ensuite à un fournisseur relevant de leur territoire et communiquent les données obtenues à la Partie requérante.

La demande doit indiquer l’autorité compétente et la date, invoquer le protocole, nommer le fournisseur, préciser l’infraction ainsi que les dispositions juridiques et sanctions applicables, exposer des faits suffisants pour établir l’urgence et le lien entre cette urgence et les données, puis décrire précisément les données recherchées. Des instructions procédurales particulières peuvent s’y ajouter. La Partie requise accepte les demandes électroniques et peut imposer une authentification et un niveau de sécurité appropriés.

La Partie requise détermine elle-même si l’urgence existe. Elle doit répondre rapidement sur sa décision et, le cas échéant, préciser les conditions de la divulgation ainsi que d’autres formes de coopération disponibles. Si la Partie requérante ne peut respecter une condition, elle doit le signaler sans tarder ; la Partie requise décide alors si elle transmet malgré tout les éléments. La demande conserve donc une décision nationale au cœur d’un échange international rapide.

L’article 9(2) rend la législation d’application déterminante : chaque Partie doit permettre à ses autorités de demander les données à un fournisseur local, à ce fournisseur de les remettre à ces autorités, puis à celles-ci de les transmettre à l’État requérant. Le point de contact organise la liaison internationale ; le droit national attribue le pouvoir d’agir auprès du fournisseur et les agents qui peuvent l’exercer. Dans certains systèmes, la personne chargée du transfert peut aussi être l’autorité compétente ; ailleurs, ces fonctions peuvent être séparées.

La demande initiale et la trace des données remplissent deux fonctions

Le modèle d’entrée établit les éléments qui justifient le passage en urgence : l’autorité, l’infraction, les faits invoqués, le lien avec les données, le fournisseur et le périmètre de la demande. La responsabilité continue lorsque ces données sont consultées, utilisées ou transmises après réception.

L’article 13 soumet la création, la mise en œuvre et l’application des pouvoirs du protocole aux conditions et garanties du droit interne, lequel doit protéger adéquatement les droits humains et les libertés. L’article 14 encadre en complément le traitement des données personnelles. Son paragraphe 8 exige des registres ou moyens appropriés permettant de démontrer, pour une affaire déterminée, comment les données d’une personne ont été consultées, utilisées et divulguées.

Cette trace va au-delà du formulaire rempli au départ. Elle doit permettre de reconstruire ce qui s’est produit après l’arrivée des données dans les systèmes de l’État requis puis, le cas échéant, après leur transmission à l’État requérant. L’article 14 porte aussi sur la finalité, la durée de conservation, la transparence, l’accès individuel, la rectification et les recours. La notification personnelle peut être limitée dans les conditions prévues par le droit interne ; la possibilité d’un contrôle ultérieur suppose néanmoins des éléments conservés.

En pratique, le formulaire devrait ancrer un dossier relié de bout en bout. Une référence stable peut associer l’autorité requérante, les deux points de contact, la décision d’urgence, l’autorité nationale, l’action auprès du fournisseur, la réponse et les conditions d’usage. Chaque État doit pouvoir retracer l’accès ultérieur, la divulgation, la conservation et les étapes de notification ou de recours applicables. Le protocole fixe des obligations de protection et de tenue de registres ; l’architecture informatique relève de la mise en œuvre nationale.

Le canal accéléré coexiste avec l’entraide urgente

L’article 10 ouvre une autre voie : l’entraide judiciaire accélérée lorsque la Partie estime qu’il existe une urgence. Le rapport explicatif décrit le choix. L’article 9 évite de préparer et traduire une demande d’entraide avant d’utiliser des échanges en temps réel par le réseau 24/7. L’article 10 peut servir à obtenir d’autres formes d’assistance que les données détenues par un fournisseur et faciliter l’authentification de la preuve. Le choix dépend des faits, du droit et de l’expérience des Parties.

Cette distinction compte pour le contrôle de la procédure. Si l’aide requise dépasse les données stockées précises d’un fournisseur, ou si l’authentification exige une autre voie, il faut pouvoir identifier le moment du changement de procédure et en conserver la raison. Une urgence ne devrait pas effacer les limites du canal choisi.

Les échanges de mise en œuvre montrent des pratiques encore hétérogènes. Lors d’un atelier CyberSPEX organisé à Bucarest en mai 2026, des praticiens d’États membres de l’Union européenne ont décrit des systèmes différents : certains pouvaient habiliter des policiers ou des procureurs spécialisés au sein des points de contact 24/7, tandis que d’autres avaient besoin d’une réforme législative. Les participants ont aussi évoqué la réactivité des fournisseurs, surtout des plus petits, et l’absence d’obligation uniforme d’agir rapidement avant la mise en œuvre nationale.

L’atelier a proposé des modèles standardisés, des canaux numériques sécurisés et des mécanismes de coordination. Ce compte rendu signale des difficultés pratiques ; il ne démontre pas la défaillance d’un État ou d’un fournisseur particulier.

La portée du protocole dépend également de l’adhésion des États. La page du Conseil de l’Europe consacrée au Second Additional Protocol affiche 52 signataires et quatre ratifications dans sa dernière mise à jour visible, datée du 15 avril 2026. Selon l’article 2, le mécanisme lie les États parties aux deux instruments. Le modèle aide à préparer l’application ; il ne rend pas le canal universel.

Une urgence doit rester vérifiable après coup

La rapidité prend tout son sens pendant un risque imminent pour la vie ou la sécurité. La légitimité de la procédure dépend ensuite de la possibilité de reconstituer le dossier : qui a apprécié le seuil, quelles données étaient nécessaires, quelle autorité a saisi le fournisseur, quelles conditions s’appliquaient, qui a utilisé le résultat et quelles étapes de contrôle étaient dues.

Le modèle du T-CY peut rendre le premier message plus cohérent. Une mise en œuvre solide devrait en conserver l’identifiant, séparer la transmission de l’autorisation juridique lorsque le droit national le prévoit et permettre une vérification après l’urgence. Les autorités pourraient aussi publier des données agrégées convenablement protégées sur les volumes, les délais, les conditions, les changements de procédure et les contrôles ultérieurs.

Ces mesures permettraient d’évaluer si le canal est assez rapide, assez ciblé et suffisamment contrôlable. L’article 9 fournit la voie urgente ; les articles 13 et 14 en encadrent l’exercice dans le temps. Une demande franchissant vite une frontière doit laisser une trace qui traverse elle aussi les frontières institutionnelles.

Sources