Décision (UE) 2026/1347 du Conseil du 4 juin 2026 relative à la conclusion, au nom de l’Union européenne, de la convention des Nations unies contre la cybercriminalité; Renforcement de la coopération internationale pour la lutte contre certaines infractions commises au moyen de systèmes d’information et de communication et pour la communication de preuves sous forme électronique d’infractions graves

(1) Conformément à la décision (UE) 2025/2307 du Conseil, la convention des Nations unies contre la cybercriminalité; Renforcement de la coopération internationale pour la lutte contre certaines infractions commises au moyen de systèmes d’information et de communication et pour la communication de preuves sous forme électronique d’infractions graves (ci-après dénommée «convention») a été signée, au nom de l’Union, à Hanoï, au Vietnam, le 25 octobre 2025, sous réserve de la conclusion de ladite convention.

(2) La convention est conforme aux objectifs de sécurité de l’Union visés à l’article 67, paragraphe 3, du traité sur le fonctionnement de l’Union européenne (TFUE), à savoir assurer un niveau élevé de sécurité par des mesures de prévention de la criminalité ainsi que de lutte contre celle-ci, par des mesures de coordination et de coopération entre les autorités policières et judiciaires et autres autorités compétentes, ainsi que par le rapprochement des législations pénales.

(3) La convention s’applique à des enquêtes ou procédures pénales spécifiques concernant des infractions pénales établies conformément à la convention, ainsi qu’à l’échange de preuves sous forme électronique concernant des infractions graves (infractions passibles d’une peine privative de liberté maximale d’au moins quatre ans d’emprisonnement ou d’une peine plus lourde) et ne permet l’échange de données qu’à ces fins.

(4) La convention harmonise un ensemble limité d’infractions clairement définies tout en laissant aux États parties la souplesse nécessaire pour éviter une incrimination excessive d’actes légitimes.

(5) La convention n’établit que des règles minimales relatives à la responsabilité des personnes morales pour leur participation aux infractions conformément à la convention. Elle n’exige pas des États parties qu’ils adoptent des mesures nécessaires pour établir la responsabilité pénale des personnes morales d’une manière qui serait incompatible avec leurs principes juridiques.

(6) La convention est également conforme aux objectifs de l’Union en matière de protection des données à caractère personnel, de la vie privée et des droits fondamentaux, tels que visés à l’article 16 du TFUE et dans la charte des droits fondamentaux de l’Union européenne (ci-après dénommée «charte»).

(7) La convention prévoit des conditions et des garanties solides en matière de droits de l’homme, qui font partie de l’objet et du but de la convention et sont inextricablement liés aux pouvoirs et procédures prévus par la convention. En tant que telles, ces conditions et garanties ne peuvent pas faire l’objet de réserves. La convention exclut toute interprétation qui conduirait à réprimer les droits de l’homme ou les libertés fondamentales, notamment la liberté d’expression, de conscience, d’opinion, de religion ou de conviction, de réunion pacifique et d’association. Ces garanties permettent également de refuser la coopération internationale si elle est contraire au droit interne des États parties ou si un tel refus est nécessaire pour éviter toute forme de discrimination.

(8) En ce qui concerne les pouvoirs et les procédures aux niveaux interne et international, la convention prévoit des conditions et des garanties horizontales qui assurent la protection des droits de l’homme, conformément aux obligations incombant aux États parties en vertu du droit international des droits de l’homme. Les États parties doivent également intégrer le principe de proportionnalité dans leur droit interne. Ces conditions et garanties doivent inclure, entre autres, un contrôle juridictionnel ou une autre forme de contrôle indépendant, le droit à un recours efficace, des motifs justifiant l’application et la limitation du champ d’application et de la durée de ces pouvoirs et procédures.

(9) La convention comprend une disposition spécifique sur la protection des données à caractère personnel, qui garantit que des principes importants en matière de protection des données, notamment la limitation des finalités, la minimisation des données, la proportionnalité et la nécessité, sont appliqués, conformément à la charte, avant que toute donnée à caractère personnel puisse être communiquée à un autre État partie.

(10) En participant aux négociations au nom de l’Union, la Commission a veillé à la compatibilité de la convention avec les règles pertinentes de l’Union.

(11) Un certain nombre de réserves sont nécessaires pour garantir la compatibilité de la convention avec le droit et les politiques de l’Union, l’application uniforme de la convention par les différents États membres dans leurs relations avec les États parties non membres de l’UE, ainsi que l’application effective de la convention.

(12) Les réserves sont sans préjudice de toute autre réserve que les États membres pourraient souhaiter formuler individuellement lorsque cela est autorisé.

(13) Étant donné que la convention prévoit des procédures améliorant l’accès transfrontière aux preuves sous forme électronique et un niveau élevé de garanties, le fait de devenir partie à la convention favorisera la cohérence des efforts déployés par l’Union pour lutter contre la cybercriminalité et d’autres formes de criminalité au niveau mondial. Cela facilitera la coopération entre les États parties membres de l’UE et les États parties non membres de l’UE, tout en assurant un niveau élevé de protection des personnes.

(14) La conclusion rapide de la convention par l’Union permettra en outre à l’Union de faire entendre sa voix dès le début de la mise en œuvre de ce nouveau cadre mondial de lutte contre la cybercriminalité.

(15) En application de son article 64, paragraphe 3, la convention est soumise à ratification, acceptation ou approbation des États et des organisations régionales d’intégration économique, telles que l’Union.

(16) L’Union devrait devenir partie à la convention aux côtés de ses États membres, étant donné que l’Union et ses États membres disposent de compétences dans les domaines couverts par la convention. La conclusion de la convention par l’Union est sans préjudice de la compétence des États membres en ce qui concerne la ratification, l’acceptation ou l’approbation de la convention, conformément à leurs procédures internes. Il convient de conclure la convention au nom de l’Union pour ce qui est des questions relevant de la compétence de l’Union, dans la mesure où la convention peut affecter les règles communes ou en altérer la portée. Dans le domaine des compétences partagées, les États membres conservent leur compétence dans la mesure où la convention n’affecte pas les règles communes ou n’en altère pas la portée.

(17) Conformément à la convention, l’Union devrait, dans son instrument de ratification, d’acceptation, d’approbation ou d’adhésion, déclarer l’étendue de sa compétence en ce qui concerne les questions régies par la convention. L’Union a défini l’étendue de sa compétence en ce qui concerne les matières régies par la convention dans la déclaration de compétence de l’Union européenne faite conformément à l’article 64, paragraphes 3 et 4, de la convention des Nations unies contre la cybercriminalité. Renforcement de la coopération internationale pour lutter contre certains délits commis au moyen de systèmes informatiques et de télécommunications et pour le partage des preuves sous forme électronique de délits graves (ci-après dénommée «déclaration de compétence»).

(18) Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil et a rendu un avis le 4 septembre 2025.

(19) Conformément aux articles 1er et 2 du protocole no 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne (TUE) et au TFUE, et sans préjudice de l’article 4 dudit protocole, l’Irlande ne participe pas à l’adoption de la présente décision et n’est pas liée par celle-ci ni soumise à son application.

(20) Conformément aux articles 1er et 2 du protocole no 22 sur la position du Royaume de Danemark annexé au TUE et au TFUE, le Danemark ne participe pas à l’adoption de la présente décision et n’est pas lié par celle-ci ni soumis à son application.

(21) Il convient d’approuver la convention, les réserves ci-jointes, ainsi que la déclaration de compétence,