e-Evidence à partir du 18 août : quelles données d’utilisateurs les enquêteurs peuvent demander aux plateformes crypto

Le 18 août 2026 devient applicable un règlement européen qui, trois années durant, n’a guère occupé que les cabinets spécialisés. Le règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale, en abrégé e-Evidence, permet à un parquet de s’adresser directement à un prestataire de services établi dans un autre État membre. Pour une partie des affaires, le passage par l’entraide judiciaire entre autorités disparaît.

Dans la presse crypto de langue allemande, la règle est le plus souvent arrivée sous une forme durcie : dès mardi, les enquêteurs pourraient accéder sans détour aux comptes ouverts sur les plateformes crypto. La lecture du texte ne le confirme pas. L’article 2 contient une exclusion sectorielle qui joue précisément ici, et la loi allemande de transposition comporte une seconde limite, qui concerne l’administration fiscale.

Cette analyse s’appuie sur le texte du règlement publié sur EUR-Lex et sur la loi allemande de transposition disponible sur gesetze-im-internet.de.

Le règlement e-Evidence à compter du 18 août 2026 : ce qui prend effet ce jour-là

Le règlement date du 12 juillet 2023 et a été adopté en même temps que la directive (UE) 2023/1544. Le règlement encadre les injonctions ; la directive garantit que chaque prestataire concerné dispose d’un interlocuteur joignable dans le marché intérieur. La période transitoire de trois ans s’achève le 18 août 2026.

Pour les prestataires déjà actifs dans l’Union le 18 février 2026, le délai pour désigner au moins un destinataire expire le même jour : un établissement ou un représentant légal dans l’Union auquel une injonction peut être notifiée. Celui qui n’en désigne aucun s’expose à une procédure d’amende.

La distinction entre la voie et le pouvoir est ici déterminante. Ce que les enquêteurs peuvent faire sur le fond continue de relever du droit de la procédure pénale de l’État qui émet l’injonction. Ce qui est nouveau, c’est le chemin pour y parvenir : un parquet français n’a plus besoin de passer par une juridiction allemande pour obtenir des données détenues par un prestataire établi en Allemagne.

Injonction de production et injonction de conservation : les deux instruments du règlement

Le règlement connaît deux injonctions souvent citées d’un même souffle, alors qu’elles produisent des effets différents. L’injonction européenne de production impose au destinataire de transmettre certaines données stockées à l’autorité d’émission. L’injonction européenne de conservation exige moins et intervient pourtant souvent en premier dans la pratique : le prestataire doit préserver de l’effacement les données existantes, afin qu’elles puissent être demandées plus tard sur un fondement juridique distinct. Le compte du client n’en est pas modifié.

Les deux injonctions interviennent dans une procédure pénale déterminée. Une interrogation générale et sans motif, par laquelle une autorité ferait passer au crible toute une clientèle, n’est pas couverte par le règlement.

Pourquoi la disparition de la voie de l’entraide judiciaire constitue le véritable cœur

L’entraide judiciaire entre deux États membres prenait fréquemment des mois. S’agissant de données effacées au bout de quelques semaines selon les durées de conservation d’un prestataire, une enquête tournait donc à vide. Le prix de ce raccourci : le contrôle par la justice de l’État où se trouvent les données disparaît en partie.

Article 2, point 3 : l’exclusion sectorielle des services financiers

La phrase décisive pour quiconque détient des cryptos auprès d’un prestataire figure dans les définitions. L’article 2, point 3, définit le prestataire de services comme toute personne offrant certaines catégories de services, et ce littéralement « à l’exclusion des services financiers visés à l’article 2, paragraphe 2, point b), de la directive 2006/123/CE ».

Cette exclusion retire un secteur entier du champ d’application. À l’endroit visé, la directive « services » 2006/123/CE exclut les services bancaires, de crédit, d’assurance, d’investissement et de paiement, et le règlement e-Evidence reprend ce catalogue.

Ce qui en découle pour une plateforme crypto agréée au titre de MiCA ne se laisse pas trancher de façon générale. Le renvoi vise un catalogue de 2006, dans lequel les services sur crypto-actifs ne figurent naturellement pas. Savoir si un prestataire relève de l’exclusion est donc une question d’espèce ; le cabinet Winheller, spécialisé en droit des crypto-actifs, juge lui aussi nécessaire un examen au cas par cas dans son analyse.

Concrètement, cela signifie deux choses. La négociation, la conservation et le traitement des paiements plaident pour l’exclusion, car ce sont les activités les plus proches des services financiers classiques. Des fonctions accessoires sans lien avec l’activité financière peuvent en revanche être couvertes, par exemple une messagerie intégrée, un forum d’utilisateurs ou un espace de stockage de documents. L’exclusion s’attache au service pris isolément et non à l’enseigne de la société. Un prestataire réglementé disposant d’un agrément européen ne se situe donc pas automatiquement hors du règlement.

Données d’abonné, données de trafic et données de contenu : trois catégories, trois seuils

Lorsqu’un prestataire entre dans le champ d’application, c’est la catégorie de données qui détermine la hauteur du seuil.

Les données relatives aux abonnés sont les données de base d’un compte : nom, adresse, éléments d’inscription et tout ce qui sert à identifier l’utilisateur. Elles peuvent être demandées pour toute infraction pénale, indépendamment de sa gravité. Chez un prestataire soumis aux obligations de lutte contre le blanchiment, ce sont précisément les données recueillies à l’ouverture du compte.

Les données relatives au trafic décrivent qui a communiqué avec qui et quand, sans révéler le contenu. Les données relatives au contenu sont le contenu lui-même. Pour ces deux catégories, le règlement exige que l’infraction soit punie dans l’État d’émission d’une peine privative de liberté d’un maximum d’au moins trois ans, ou qu’elle relève de certains groupes d’infractions énumérés par le règlement.

L’identité derrière un compte constitue ainsi l’information la plus aisément accessible. Tout ce qui va au-delà suppose une infraction d’une certaine gravité.

Dix jours et huit heures : les délais imposés au destinataire

Sur injonction de production, le destinataire transmet les données demandées directement à l’autorité d’émission dans un délai maximal de dix jours à compter de la réception. En cas d’urgence justifiée, le délai se réduit à huit heures. Une injonction de conservation doit être exécutée sans délai.

Huit heures signifient pour les prestataires une joignabilité permanente. Pour vous, client, l’essentiel tient à ceci : quelques heures peuvent séparer la réception d’une injonction de la transmission de vos données. Aucun avertissement préalable n’est prévu, et tant que les investigations se poursuivent, l’information de la personne concernée peut être différée.

EBewMG et Office fédéral de la justice : comment l’Allemagne transpose le règlement

L’Allemagne a transposé la directive par sa loi relative aux injonctions européennes de production et de conservation de preuves électroniques, en abrégé EBewMG, promulguée en mars 2026. La partie 2, consacrée à la désignation des destinataires, s’applique depuis le 13 mars 2026 ; les autres dispositions entrent en vigueur le 18 août 2026.

La fraîcheur de cet état du droit se lit dans un détail du texte intégral. Lors de la consultation sur gesetze-im-internet.de le 16 août 2026, les paragraphes 7 à 17, soit toute la partie 3 relative à la procédure, ainsi que le paragraphe 19 portaient encore la mention « entrée en vigueur ultérieure ». Le droit procédural appliqué à partir de mardi n’était pas encore officiellement désigné comme droit en vigueur le dimanche précédent.

L’autorité compétente est l’Office fédéral de la justice. En tant qu’autorité centrale, il contrôle les obligations des prestataires et peut sanctionner les manquements au titre d’une contravention administrative ; le paragraphe 18 de l’EBewMG contient le barème des amendes. Le paragraphe 2, alinéa 2, de l’EBewMG précise que les pouvoirs des autorités d’enquête allemandes à l’égard des prestataires établis en Allemagne demeurent inchangés. Pour les situations purement internes, peu de choses évoluent donc ; l’objet du texte est le cas transfrontalier.

Administration fiscale et procédure pénale fiscale : pourquoi la procédure d’imposition reste à l’écart

La seconde confusion fréquente porte sur l’administration fiscale. L’EBewMG associe bien les autorités fiscales, mais dans un rôle étroitement délimité : lorsqu’elles conduisent elles-mêmes une procédure pénale fiscale. Le service des impôts agit alors comme autorité de poursuite, et le code de procédure pénale lui reconnaît de longue date des pouvoirs propres à ce titre.

Dans la procédure d’imposition ordinaire, c’est-à-dire lors de l’examen de votre déclaration, aucun pouvoir d’investigation général nouveau n’apparaît. Qui redoute que son agent instructeur puisse, dès mardi, consulter son historique de transactions sur une plateforme établie en Irlande ou à Malte confond deux types de procédure. La condition demeure l’existence de soupçons initiaux d’infraction pénale.

DAC8 et e-Evidence : deux voies régulièrement confondues

Depuis le 1er janvier 2026, les prestataires de services sur crypto-actifs sont soumis à de nouvelles obligations de déclaration et de diligence au titre de DAC8 et de la loi allemande sur la transparence fiscale des crypto-actifs. Les deux textes touchent aux cryptos, aux données et aux autorités ; le mécanisme fonctionne pourtant en sens inverse.

DAC8 est une voie de déclaration automatique : le prestataire déclare de lui-même, régulièrement, sans motif et sans soupçon, et les administrations fiscales échangent ensuite ces données entre elles. E-Evidence est une voie de consultation sur événement : rien ne se produit tant qu’aucune autorité ne demande quelque chose dans une procédure pénale déterminée.

Pour vos justificatifs, il en résulte que le 18 août ne change rien à l’obligation de documentation. Celui qui tient de toute façon proprement ses entrées et ses sorties, par exemple avec l’un des outils fiscaux et de suivi de portefeuille courants, n’est pas davantage concerné par le règlement qu’auparavant.

Conservation autonome et portefeuilles logiciels : pourquoi il n’y a pas de destinataire

Le règlement s’adresse aux prestataires de services et suppose que quelqu’un conserve des données pour vous et puisse se voir notifier une injonction. Avec un portefeuille dont vous détenez vous-même les clés, ce destinataire fait défaut : aucune donnée de compte chez une entreprise, aucun élément d’inscription, aucun historique qu’un prestataire pourrait remettre.

Ce constat est parfois poussé trop loin. La conservation autonome ne soustrait aucun avoir à une enquête. Les transactions inscrites sur une blockchain publique sont consultables par tous, et le lien entre une adresse et une personne se noue en règle générale là où un prestataire était malgré tout impliqué : à l’achat ou à la vente contre des euros. Ce qui change, c’est le nombre d’endroits où vos données se trouvent regroupées. Les différences techniques figurent dans le comparatif des portefeuilles logiciels.

Limites de cette analyse : ce que ce texte ne peut pas établir

Trois points restent ouverts. Premièrement, il n’est pas possible de dire quels prestataires crypto se prévalent concrètement de l’exclusion sectorielle et lesquels ont désigné un destinataire. Aucune liste publique des destinataires n’a pu être trouvée au moment de la recherche ; vue de l’extérieur, la question ne se tranche pas prestataire par prestataire.

Deuxièmement, sur le point de savoir si les services sur crypto-actifs constituent des services financiers au sens de la directive « services », il n’existe, semble-t-il, pas encore de jurisprudence. L’analyse repose sur la lettre du texte et sur la doctrine, et elle peut évoluer.

Troisièmement, ce texte ne cite volontairement aucun chiffre quant au montant des amendes possibles : le paragraphe 18 de l’EBewMG contient le barème, mais aucun montant solide n’a pu être établi à partir de la source primaire.

Replacer le règlement e-Evidence : ce qu’il faut en retenir

Le 18 août 2026 raccourcit une voie administrative. Il ne crée aucun pouvoir nouveau d’accès à votre compte et ne transforme pas l’administration fiscale en autorité d’enquête. Trois étapes permettent de situer cela pour vos avoirs.

1. Regardez quels services votre prestataire exploite à côté de l’activité financière. La négociation, la conservation et le traitement des paiements plaident pour l’exclusion sectorielle de l’article 2, point 3 ; une messagerie intégrée ou un espace de stockage de documents, non. Les prestataires disposant d’un agrément européen figurent dans le comparatif des plateformes crypto réglementées.
2. Distinguez les voies de transmission. Ce qui parvient à l’administration fiscale sans motif particulier relève de DAC8. Si vous tenez de toute façon votre historique de transactions, le 18 août n’y change rien ; les instruments adaptés figurent dans le comparatif des outils fiscaux crypto.
3. Décidez de votre mode de conservation selon votre besoin de sécurité. Pour des avoirs conservés par vous-même, il n’existe aucun destinataire pour une injonction, mais vous supportez seul le risque lié aux clés. Les appareils en un coup d’œil : comparatif des portefeuilles matériels.

Les échéances qui créent actuellement une véritable pression chez les prestataires figurent dans le panorama des échéances des plateformes crypto. Les sources primaires à consulter : le texte du règlement sur EUR-Lex et l’EBewMG sur gesetze-im-internet.de.

(Au 16 août 2026. Cet article ne constitue pas un conseil en investissement. Les cours et les grilles tarifaires évoluent ; vérifiez les conditions auprès du prestataire avant tout achat.)