Divulgations légales et cas concrets — faits obtenus, pas seulement capacités

Registre de preuves — Phase 2

Ce dossier est une pièce de recherche datée. La conclusion canonique est celle du rapport final 1.0. Les synthèses antérieures et renvois à la Phase 3 restent historiques. UNKNOWN reste UNKNOWN.

Une distinction doit rester visible dans chaque dossier : (a) le fournisseur déclare qu’il peut conserver/remettre une catégorie; (b) un document juridique demande cette catégorie; (c) une source primaire ou un témoignage crédible établit que la donnée a effectivement été remise ou extraite dans un cas. Les affaires ci-dessous ne permettent pas d’extrapoler la réponse à toutes juridictions, années, versions ou comptes.

Produit	Donnée effectivement établie dans une affaire publique	Origine prouvée	Ce que cela ne démontre pas
Signal — remise fournisseur, États-Unis, 2026	Donnée effectivement établie dans une affaire publiquePour 37 numéros visés par un grand jury, 7 ne correspondaient à aucun compte; sur les 30 existants, la page Signal dit avoir fourni pour 6 comptes les dates de création et dernière connexion demandées; pour 24, aucune donnée responsive pour la période demandée.	Origine prouvéeRéponse officielle Signal et liens vers subpoena/NDO/lettre ACLU/réponse au tribunal. C’est une divulgation réelle de dates de compte/connexion, pas de contenu.	Ce que cela ne démontre pasNe prouve pas les métadonnées stockées ou obtenues par d’autres voies (téléphone saisi, destinataire, opérateur, Apple/Google); ce n’est pas une mesure de la collecte courante globale. Signal, subpoena D.C. du 6 mars 2026.
Signal — terminal iOS, procès fédéral rapporté, 2026	Donnée effectivement établie dans une affaire publiqueTémoignage FBI rapporté par 404 Media : des messages Signal entrants, réglés pour disparaître et disparus de l’app, ont été montrés; l’app avait été supprimée, mais des aperçus avaient subsisté dans le stockage interne des notifications iOS. Le récit indique uniquement les entrants; pas les sortants.	Origine prouvéeExtraction locale depuis l’appareil d’une personne, pas remise par Signal. Source directe de presse ayant recueilli notes de l’avocat présent et d’un témoin du procès; l’exhibit complet et les paramètres exacts n’ont pas été rendus accessibles dans cette recherche. 404 Media, 9 avril 2026 [accès à vérifier].	Ce que cela ne démontre pas
Signal — correctif OS	Donnée effectivement établie dans une affaire publiqueApple documente CVE-2026-28950 : iOS/iPadOS 26.4.2, publié le 22 avril 2026, corrige un problème de journalisation/redaction où les notifications marquées pour suppression pouvaient être conservées.	Origine prouvéeAvis de sécurité primaire Apple; il atteste le défaut et son correctif, pas l’intégralité du récit du procès ni toutes les versions encore vulnérables. Avis Apple.	Ce que cela ne démontre pas
SimpleX — transparence, 2025	Donnée effectivement établie dans une affaire publiqueLa page officielle dit avoir reçu 12 demandes policières de différents pays, et n’avoir identifié/fourni aucune information responsive.	Origine prouvéeDéclaration de transparence de l’opérateur; démontre une réponse déclarée pour ces 12 demandes.	Ce que cela ne démontre pasLe contenu des demandes, juridictions, validité, période et preuve externe des réponses ne sont pas publiés; ce n’est pas un contrôle indépendant de toutes les données que des relais, FAI ou appareils tiers peuvent posséder. Rapport SimpleX.
Threema — données fournisseur, Suisse, agrégat jusqu’au 30 juin 2026	Donnée effectivement établie dans une affaire publiqueLe rapport dit qu’en 2025, 423 demandes ont été reçues, 422 ont passé le contrôle formel, 402 affaires ont donné lieu à des données pour 1 505 IDs; le fournisseur dit que la remise se limite aux jours (pas heures) de création et dernière connexion, et selon opt-in, hash du téléphone/email ou push token récent. Pour 2026 au 30 juin : 444 demandes, 438 affaires avec remise pour 2 026 IDs.	Origine prouvéeRapport de transparence primaire; chiffres agrégés.	Ce que cela ne démontre pasAucun dossier individualisé public consulté ne précise quelles de ces données ont été remises à quel parquet ou pour quel suspect; le rapport est fournisseur-déclaré et ne montre pas les demandes/décisions brutes. Il ne faut pas traduire « data provided » comme contenu de messages. Rapport Threema.
Threema — contenus de groupes visibles dans une inculpation fédérale US, 2025	Donnée effectivement établie dans une affaire publiqueL’acte d’accusation U.S. v. Wedding décrit échanges 1:1/groupes Threema, screenshots et actes d’un groupe créé par « Clark », puis relate qu’il écoutait secrètement un appel.	Origine prouvéeDocument DOJ primaire prouvant que des contenus/événements Threema ont été obtenus par l’enquête; il ne dit pas que Threema AG les a fournis. Les allégations semblent compatibles avec accès d’un participant/co-conspirateur coopérant ou informateur; le canal exact d’obtention des messages n’est pas identifié dans les passages consultés. Acte d’accusation DOJ, U.S. v. Wedding.	Ce que cela ne démontre pas
Telegram — données de compte, procédure civile indienne, 2022	Donnée effectivement établie dans une affaire publiqueAprès l’ordre du 30 août, Telegram a déposé un affidavit de conformité et des données sous pli scellé. L’ordonnance du 24 nov. 2022 dit que le juge a examiné un tableau indiquant, pour certains canaux, les noms d’administrateurs, numéros de téléphone et adresses IP; Telegram a indiqué que des données de certains canaux n’étaient plus disponibles après les durées légales de préservation. Le 1 déc. 2023, la demanderesse a déclaré que seules des adresses IP et des noms lui avaient été fournis, et jugeait ces éléments insuffisants — divergence apparente avec la description du tableau par le juge, dont les valeurs restent scellées.	Origine prouvéeOrdonnances du tribunal établissant une production effective à la Cour, puis aux avocats des demandeurs sous restrictions de confidentialité; elles disent que la divulgation à la police/aux autorités était permise, non qu’elle a effectivement eu lieu. La production concerne une affaire civile de droit d’auteur, pas une remise policière démontrée. Les valeurs réelles et les identités sont sous scellés. Ordonnance Delhi HC, 24 nov. 2022 [accès à vérifier], suivi, 1 déc. 2023 [accès à vérifier], ordre de divulgation, 30 août 2022 [accès à vérifier].	Ce que cela ne démontre pas
Discord — données fournisseur et messages, affaire pénale US, 2020	Donnée effectivement établie dans une affaire publiqueDans U.S. v. Bryant, l’opinion rapporte que Discord a répondu à un mandat visant l’IP, device ID, username, email, messages/images, données VoIP transitoires et autres contenus; les enquêteurs ont trouvé dans le retour les images de permis de conduire déposées sur le compte et des chats/messages, dont des éléments les reliant à l’accusé.	Origine prouvéeOpinion judiciaire publique décrivant retour effectif de mandat Discord; le contenu exact a été utilisé comme élément probable cause.	Ce que cela ne démontre pasUne affaire ciblée ne quantifie pas la conservation universelle ni le retour sous d’autres lois. U.S. v Bryant, décision [accès à vérifier].
Wire — compte utilisateur, enquête Tsunami Democràtic, 2024	Donnée effectivement établie dans une affaire publiqueWire a remis l’adresse e-mail utilisée à l’inscription du compte, via une demande des autorités suisses liée à une enquête espagnole; cette adresse a permis aux enquêteurs de solliciter Proton, puis Apple. Wire a confirmé à TechCrunch avoir reçu la demande et remis des informations de compte de base; l’entreprise dit ne pas pouvoir produire le contenu transmis dans son service.	Origine prouvéeL’article cite des documents judiciaires obtenus par TechCrunch et la confirmation directe d’un porte-parole Wire. Les pièces de retour intégrales et l’éventuel inventaire complet des champs ne sont pas publiés dans la source consultée. TechCrunch, 8 mai 2024.	Ce que cela ne démontre pasPreuve concrète qu’un compte Wire peut relier un pseudonyme à un e-mail fourni à l’inscription; ne démontre ni remise du contenu Wire, ni une capacité générale à identifier tout compte. Le rapport de transparence Wire est agrégé et ne donne pas les champs de ces demandes. Rapport Wire, 2014–2020.
Matrix.org — procédure publiée, aucun cas de remise individuel établi ici	Donnée effectivement établie dans une affaire publiqueLa Fondation indique demander une procédure valide avant divulgation, traiter les urgences de danger imminent, accepter les requêtes non britanniques via entraide judiciaire, notifier normalement les personnes concernées, et conserver les données 90 jours sur une demande de préservation valide. Le homeserver ne peut pas lire les données E2EE selon sa documentation.	Origine prouvéeIl s’agit d’une politique fournisseur, non d’une preuve qu’une divulgation a effectivement eu lieu. Les règles sont formulées de façon légèrement divergente : § « demandes » demande subpoena, warrant ou court order, tandis que « What Information Do We Have? » parle de valid search warrant. Le rapport annuel 2025 mentionne des réponses aux demandes et à l’abus réseau mais ne chiffre pas les requêtes légales ni les données remises. Guidelines, rapport annuel 2025.	Ce que cela ne démontre pasCela concerne Matrix.org uniquement; chaque homeserver, hébergeur, bridge et fournisseur Element peut relever d’une autre politique et juridiction. L’absence de cas public repéré n’établit pas l’absence de demandes ou de remises.
WhatsApp — capacités légales publiées	Donnée effectivement établie dans une affaire publiqueLe guide officiel indique les données de base qui peuvent être remises (nom, date de début, dernière activité, IP, email si disponibles), certaines données de compte avec ordonnance, et avec mandat des informations telles que profil, groupes et carnet d’adresses si disponibles. Un guide WhatsApp distingue contenu remis et les messages déjà livrés/non conservés; une demande de collecte future ciblée peut permettre des logs expéditeur/destinataire, horodatage, IP et type de message/appel.	Origine prouvéeDocumentation officielle des catégories de réponses et des processus; ce n’est pas, à elle seule, la preuve d’une remise dans un dossier précis. Guide forces de l’ordre WhatsApp, requêtes gouvernementales WhatsApp.	Ce que cela ne démontre pas
WhatsApp — records en temps réel / judiciaire	Donnée effectivement établie dans une affaire publiqueUn dossier fédéral public 2025 inclut des « pen register/trap and trace » obtenus sur WhatsApp et un groupe associé, démontrant que des données de signalisation/routage ont effectivement été obtenues dans une enquête.	Origine prouvéeDossier judiciaire / records d’interception ciblée; ne prouve pas que le contenu E2EE des messages a été déchiffré ni qu’une remise historique ordinaire serait identique. Dossier DOJ USAO-EDMI, 2:25-mj-30673.	Ce que cela ne démontre pas

État des recherches par service — demande, capacité et remise réelle

Cette table sépare l’existence d’une politique/guide (capacité), une déclaration agrégée du fournisseur et une production réellement attestée dans un dossier. « Aucun cas public identifié » est un résultat borné de recherche, jamais la preuve d’absence de demandes ou de remises.

Service	Ce qu’une source publique établit sur les données effectivement obtenues/remises	Qualification probatoire
Signal	Ce qu’une source publique établit sur les données effectivement obtenues/remisesPour six comptes d’un dossier US de 2026 : date de création et dernière connexion; 24 comptes sans donnée responsive pour la période, sept numéros sans compte.	Qualification probatoireRemise fournisseur attestée par la réponse Signal; aucun contenu. Dossier DC 2026
SimpleX	Ce qu’une source publique établit sur les données effectivement obtenues/remisesRapport de transparence 2025 : 12 demandes reçues; le fournisseur déclare n’avoir fourni aucune donnée responsive.	Qualification probatoireDéclaration primaire annuelle du fournisseur, non une vérification indépendante des données d’opérateurs de relais/tiers. Rapport
Olvid	Ce qu’une source publique établit sur les données effectivement obtenues/remisesAucun dossier public de remise fournisseur avec champs identifiés n’a été établi dans cette recherche. La politique décrit la réponse aux demandes légales, pas un cas de production.	Qualification probatoireUNKNOWN pour les champs réellement remis; ne pas déduire qu’aucune demande n’a eu lieu. Politique
Session	Ce qu’une source publique établit sur les données effectivement obtenues/remisesRapport STF 2025 : 17 demandes/inquiries, zéro donnée fournie; 17 entrées « no data held ».	Qualification probatoireDéclaration de la fondation qui steward le service; ne couvre pas ISP, stores, appareil, opérateurs de nœuds ni correspondant. Rapport 2025
Threema	Ce qu’une source publique établit sur les données effectivement obtenues/remisesLe rapport agrégé indique des remises concernant 1 505 IDs pour 2025 et 2 026 IDs au premier semestre 2026, sous forme déclarée de dates de création/dernière connexion et, selon opt-in, de hash téléphone/e-mail ou push token.	Qualification probatoireDonnées fournisseur effectivement remises en agrégat; aucun retour individuel ouvert dans le corpus. Transparence
Cwtch	Ce qu’une source publique établit sur les données effectivement obtenues/remisesAucun guide de police, rapport de transparence ou cas public de remise par Open Privacy / opérateur de groupe identifié.	Qualification probatoireUNKNOWN; les opérateurs de groupes, hébergeurs, stores et terminaux sont des entités distinctes.
Briar	Ce qu’une source publique établit sur les données effectivement obtenues/remisesAucun guide/rapport de transparence ou cas public avec champs réellement remis par Briar identifié.	Qualification probatoireUNKNOWN; cela ne couvre pas une saisie d’appareil, d’un contact ou d’un Briar Mailbox. Politique
Jami	Ce qu’une source publique établit sur les données effectivement obtenues/remisesAucun rapport ou cas public établissant une donnée effectivement remise par Savoir-faire Linux retrouvé.	Qualification probatoireUNKNOWN; DHT, proxy/TURN, annuaire, FCM/APNs, FAI et terminaux peuvent détenir des données différentes.
Tox / qTox	Ce qu’une source publique établit sur les données effectivement obtenues/remisesAucune affaire publique attribuant à toxcore/qTox une production de données fournisseur trouvée. Les cas éventuels visant un utilisateur ou son FAI ne sont pas équivalents à une remise du projet.	Qualification probatoireUNKNOWN, sans opérateur de messagerie unique et sans rapport public de demande trouvé.
Matrix / Element	Ce qu’une source publique établit sur les données effectivement obtenues/remisesMatrix.org publie une procédure (warrant/MLAT, urgences, préservation 90 jours); aucun retour individualisé avec champs réellement divulgués par matrix.org n’a été établi ici.	Qualification probatoirePolitique fournisseur seulement. Ne s’applique pas automatiquement à un homeserver tiers. Guide
XMPP / OMEMO	Ce qu’une source publique établit sur les données effectivement obtenues/remisesPas de fournisseur unique; aucun cas attribuable à un serveur XMPP nommé et à une remise de champs par cet opérateur n’a été établi dans cette passe.	Qualification probatoireUNKNOWN, dépend du domaine/hébergeur choisi et des extensions (MAM, logs, push).
Telegram	Ce qu’une source publique établit sur les données effectivement obtenues/remisesDelhi HC a examiné une production en procédure civile de droit d’auteur sous pli scellé; le juge décrit un tableau comprenant noms d’administrateurs, numéros et IP pour certains canaux. La demanderesse a ensuite dit avoir reçu noms et IP seulement.	Qualification probatoireProduction au tribunal/demandeurs établie; valeurs scellées, discordance non résolue et transfert à la police non prouvé. Ordonnance 2022 [accès à vérifier], suivi 2023 [accès à vérifier]
WhatsApp	Ce qu’une source publique établit sur les données effectivement obtenues/remisesDes records ciblés de signalisation/PRTT relatifs à un compte et groupe sont cités dans un dossier DOJ 2025; le guide officiel décrit aussi les catégories susceptibles d’être remises.	Qualification probatoireDonnées de relation/routage effectivement exploitées dans une affaire; retour brut non annexé, contenu E2EE non prouvé comme remis par WhatsApp. Dossier DOJ, guide
Discord	Ce qu’une source publique établit sur les données effectivement obtenues/remisesDossier DOJ 2026 décrit une communication volontaire de données de compte/DM à la police canadienne puis un retour de messages privés et métadonnées sous mandat FBI; une décision antérieure U.S. v. Bryant décrit aussi des records/messages issus d’un mandat Discord.	Qualification probatoireRemise de contenu texte et de données de compte établie dans des cas précis, pas une mesure universelle de rétention. DOJ 2026, U.S. v. Bryant [accès à vérifier]
Wire	Ce qu’une source publique établit sur les données effectivement obtenues/remisesDans l’enquête espagnole de 2024, Wire a confirmé avoir remis l’adresse e-mail d’inscription d’un compte via procédure suisse.	Qualification probatoireRemise d’un identifiant de compte établie; aucune remise du contenu Wire dans ce dossier n’est établie. Dossier presse et documents cités
Delta Chat	Ce qu’une source publique établit sur les données effectivement obtenues/remisesAucun cas public de donnée réellement remise par les développeurs Delta Chat identifié; les relais mail/chatmail sont des opérateurs séparés.	Qualification probatoireUNKNOWN pour développeurs et opérateurs; ne pas appliquer une seule politique à tous les serveurs.
Ricochet Refresh	Ce qu’une source publique établit sur les données effectivement obtenues/remisesAucun transfert d’un fournisseur de chat central n’a été établi pour Refresh. Le dossier historique Boystown concerne Ricochet original et collecte côté réseau/télécom, pas une remise de contenu par Blueprint.	Qualification probatoirePreuve historique bornée à un autre client/version et à un autre détenteur de données; aucun cas actuel Refresh identifié.
Status / Waku	Ce qu’une source publique établit sur les données effectivement obtenues/remisesAucun cas de remise par Status ou un opérateur Waku géré identifié dans cette recherche.	Qualification probatoireUNKNOWN; logs IP/topic annoncés, app stores, Apple/APNs et opérateurs de nœuds constituent des sources séparées.

Constat de méthode : les subpoenas/mandats/ordonnances publiés, les guides de forces de l’ordre, les rapports agrégés et les exports réellement consultés ne sont pas interchangeables. Un affidavit qui cite un message ne prouve pas que le service l’a remis : l’origine peut être un téléphone, un participant coopérant, une sauvegarde, une interception prospective ou un export fournisseur. Les cas Discord ci-dessus prouvent des remises de DM texte, mais ne permettent pas de généraliser à d’autres produits.

Cadre européen applicable à la date du rapport

Depuis le 18 août 2026, le règlement (UE) 2023/1543 sur les European Production Orders et Preservation Orders est applicable. Il permet, dans des conditions et catégories de données définies, qu’une autorité judiciaire d’un État membre adresse directement un ordre/certificat à l’établissement désigné ou au représentant légal d’un fournisseur offrant ses services dans l’Union; la Commission décrit un délai ordinaire de 10 jours et un délai d’urgence de 8 heures. La directive (UE) 2023/1544, applicable depuis le 18 février 2026, organise la désignation d’établissements/représentants dans l’UE. Ce mécanisme accélère l’accès aux données existantes ou contrôlées par le fournisseur; il ne crée pas des messages que celui-ci ne possède pas, ne lui donne pas magiquement les clés E2EE et ne remplace pas les conditions de légalité, de proportionnalité, de recours et de notification prévues par les textes. Il faut distinguer ce dispositif des MLAT/entraides, demandes nationales, procédures d’interception et pouvoirs visant l’appareil, l’ISP, Apple/Google ou le correspondant. Sources primaires : Règlement 2023/1543, directive 2023/1544, Commission européenne — calendrier et délais.

Cette évolution est pertinente pour les fournisseurs et représentants concernés dans l’UE, mais ne permet pas de déduire qu’un dossier donné a fait l’objet d’un ordre e-Evidence, ni qu’une donnée a effectivement été remise. Les reports de transposition, la désignation du représentant, la catégorie des données et les recours doivent être vérifiés au cas concret; ce rapport n’est pas un avis juridique.

Portée des inconnues légales

• Pour SimpleX, Olvid, Session, Cwtch, Briar, Jami, Tox/qTox, XMPP/OMEMO, Delta Chat, Ricochet Refresh et Molly, je n’ai pas encore établi dans cette étape un cas public suffisamment documenté qui identifie exactement une remise du fournisseur et les champs retournés. Cela ne signifie ni “aucune demande” ni “aucune donnée remise”. Wire a un exemple de remise d’e-mail d’inscription confirmé par l’entreprise; Telegram a un dossier civil indien où une production sous pli scellé a été constatée par la Cour, mais pas de preuve consultée de transmission à la police. Matrix.org publie sa procédure, sans cas individuel de remise établi ici. Pour chaque produit, séparer politique/guide, transparence agrégée, production judiciaire et remise policière effectivement prouvée.
• Les données reçues d’un correspondant, d’un téléphone déverrouillé, d’une sauvegarde cloud, d’un push provider, d’un FCM/APNs token, d’un compte OS, d’un opérateur téléphonique ou d’une victime coopérante sont des vecteurs distincts du déchiffrement côté serveur du messager.
• Pour les services dont les rapports de transparence ne publient que des totaux, les totaux documentent un volume de demandes et de remises sans démontrer les champs particuliers remis dans chaque cas. Pour les fournisseurs américains ou suisses, le seuil de procédure juridique cité par le fournisseur est une description de sa politique et du droit applicable au contexte considéré, pas un avis juridique universel.