Décision (UE) 2025/2307 du Conseil du 13 octobre 2025 relative à la signature, au nom de l’Union européenne, de la convention des Nations unies contre la cybercriminalité; Renforcement de la coopération internationale pour la lutte contre certaines infractions commises au moyen de systèmes d’information et de communication et pour la communication de preuves sous forme électronique d’infractions graves

(1)

Le 24 mai 2022, la décision (UE) 2022/895 du Conseil (1) a autorisé la Commission à ouvrir, au nom de l’Union européenne, des négociations en vue d’une convention des Nations unies contre la cybercriminalité intitulée «Renforcement de la coopération internationale pour la lutte contre certaines infractions commises au moyen de systèmes d’information et de communication et pour la communication de preuves sous forme électronique d’infractions graves» (ci-après dénommée «convention»).

(2)

Le texte de la convention a été adopté le 24 décembre 2024 par la résolution 79/243 adoptée lors de la 55e séance plénière de l’Assemblée générale des Nations unies et devrait être ouvert à la signature à Hanoï, au Viêt Nam, du 25 au 26 octobre 2025, puis au siège des Nations unies, à New York, jusqu’au 31 décembre 2026.

(3)

La convention est conforme aux objectifs de sécurité de l’Union visés à l’article 67, paragraphe 3, du traité sur le fonctionnement de l’Union européenne (TFUE), à savoir assurer un niveau élevé de sécurité par des mesures de prévention de la criminalité ainsi que de lutte contre celle-ci, par des mesures de coordination et de coopération entre autorités policières et judiciaires et autres autorités compétentes, ainsi que par le rapprochement des législations pénales.

(4)

La convention s’applique à des enquêtes ou procédures pénales spécifiques concernant des infractions pénales établies conformément à la convention ainsi qu’à l’échange de preuves sous forme électronique concernant des infractions graves (infractions passibles d’une peine privative de liberté maximale d’au moins quatre ans ou d’une peine plus lourde) et ne permette l’échange de données qu’à ces fins.

(5)

La convention harmonise un ensemble limité d’infractions clairement définies tout en laissant aux États parties la souplesse nécessaire pour éviter une incrimination excessive d’actes légitimes.

(6)

La convention n’établit que des règles minimales relatives à la responsabilité des personnes morales pour leur participation aux infractions établies conformément à la convention. Elle n’exige pas des États parties qu’ils adoptent des mesures nécessaires pour établir la responsabilité des personnes morales d’une manière qui serait incompatible avec leurs principes juridiques.

(7)

La convention est également conforme aux objectifs de l’Union en matière de protection des données à caractère personnel, de vie privée et des droits fondamentaux, tels que visés à l’article 16 du TFUE et dans la charte des droits fondamentaux de l’Union européenne (ci-après dénommée «charte»).

(8)

La convention prévoit des garanties solides en matière de droits de l’homme et exclut toute interprétation qui conduirait à réprimer les droits de l’homme ou les libertés fondamentales, notamment la liberté d’expression, de conscience, d’opinion, de religion ou de conviction, de réunion pacifique et d’association. Ces garanties permettent également de refuser la coopération internationale si elle est contraire au droit interne des États parties ou si un tel refus est nécessaire pour éviter toute forme de discrimination.

(9)

En ce qui concerne les pouvoirs et les procédures aux niveaux interne et international, la convention prévoit des conditions et des garanties horizontales qui assurent la protection des droits de l’homme, conformément aux obligations incombant aux États parties en vertu du droit international relatif aux droits de l’homme. Les États parties doivent également intégrer le principe de proportionnalité dans leur droit interne. Ces conditions et garanties doivent inclure, entre autres, un contrôle juridictionnel ou une autre forme de contrôle indépendant, le droit à un recours efficace, des motifs justifiant l’application, et la limitation du champ d’application et de la durée de ces pouvoirs et procédures.

(10)

La convention comprend une disposition spécifique sur la protection des données à caractère personnel, qui garantit que des principes importants en matière de protection des données, notamment la limitation des finalités, la minimisation des données, la proportionnalité et la nécessité, doivent être appliqués, conformément à la charte, avant que toute donnée à caractère personnel puisse être communiquée à un autre État partie.

(11)

En participant aux négociations au nom de l’Union, la Commission a veillé à la compatibilité de la convention avec les règles pertinentes de l’Union.

(12)

Un certain nombre de réserves et de notifications sont nécessaires pour garantir la compatibilité de la convention avec le droit et les politiques de l’Union, l’application uniforme de la convention par les différents États membres dans leurs relations avec les États parties non membres de l’UE, ainsi que l’application effective de la convention.

(13)

Étant donné que la convention prévoit des procédures améliorant l’accès transfrontière aux preuves sous forme électronique et un niveau élevé de garanties, le fait de devenir partie à la convention favorisera la cohérence des efforts déployés par l’Union pour lutter contre la cybercriminalité et d’autres formes de criminalité au niveau mondial. Cela facilitera la coopération entre les parties à la convention qui sont des États membres de l’UE et celles qui ne le sont pas, tout en assurant un niveau élevé de protection des personnes.

(14)

Conformément à son article 64, paragraphe 2, la convention est ouverte à la signature de l’Union.

(15)

L’Union devrait devenir partie à la convention aux côtés de ses États membres, étant donné que l’Union et ses États membres disposent de compétences dans les domaines couverts par la convention. La présente décision est sans préjudice de la signature de la convention par les États membres, conformément à leurs procédures internes. Il convient de signer la convention au nom de l’Union pour ce qui est des questions relevant de la compétence de l’Union dans la mesure où la convention peut affecter des règles communes ou en altérer la portée. Dans le domaine des compétences partagées, les États membres conservent leur compétence dans la mesure où la convention n’affecte pas des règles communes ou n’en altère pas la portée.

(16)

La signature rapide de la convention par l’Union permettra en outre à cette dernière de faire entendre sa voix dès le début de la mise en œuvre de ce nouveau cadre mondial de lutte contre la cybercriminalité.

(17)

Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (2) et a rendu un avis le 4 septembre 2025.

(18)

Conformément aux articles 1er et 2 du protocole no 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne (TUE) et au TFUE, et sans préjudice de l’article 4 dudit protocole, l’Irlande ne participe pas à l’adoption de la présente décision et n’est pas liée par celle-ci ni soumise à son application.

(19)

Conformément aux articles 1er et 2 du protocole no 22 sur la position du Danemark annexé au TUE et au TFUE, le Danemark ne participe pas à l’adoption de la présente décision et n’est pas lié par celle-ci ni soumis à son application.

(20)

La convention devrait être signée,