LLa nécessité absolue comme condition de légalité de la collecte de données biométriques des suspects.​

​

(CJUE, 19 mars 2026, Comdribus, C-371/24)

​​​​

Dans quelle mesure les impératifs de sécurité publique peuvent-ils justifier une atteinte aux données sensibles des individus? C’est à cette question que la Cour de justice de l’Union européenne apporte une réponse dans son arrêt Comdribus du 19 mars 2026.

​

Le 30 mai 2020, HW est interpellé par les forces de l’ordre à Paris pour l’organisation d’une manifestation non déclarée et rébellion. Dans le cadre de sa garde à vue, celui-ci refuse de se soumettre à la collecte de ses données biométriques, écopant ainsi d’une amende prononcée par le tribunal correctionnel de Paris dans un jugement du 8 septembre 2021. Dans son arrêt, le tribunal a cependant relaxé HW pour les faits relevant de l’organisation d’une manifestation sans déclaration préalable et du refus de communiquer les codes de son téléphone. 

​

HW et le ministère public ont interjeté appel de ce jugement devant la cour d’appel de Paris, la juridiction de renvoi dans cet arrêt. La cour d’appel a procédé à un renvoi préjudiciel en interprétation devant la Cour de justice de l’Union européenne, l'interrogeant sur la conformité de l'article 55-1 du code de procédure pénale avec la directive 2016/680 dite « Police-Justice ». Cet article prévoit la collecte systématique de données biométriques de toute personne à l'égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu'elle a commis ou tenté de commettre une infraction, sans que cela n'implique une mise en examen. 

​

Par sa première question, la juridiction nationale interroge la Cour de Luxembourg sur la conformité à la directive « Police-Justice » d’une législation nationale qui prévoit la collecte systématique de données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, notamment au vu de la jurisprudence de la Cour qui s’oppose, en principe, à une législation nationale qui serait susceptible de conduire, de manière indifférenciée et généralisée, à la collecte des données biométriques et génétiques de la plupart des personnes mises en examen (v. en ce sens CJUE, 26 janvier 2023, Ministerstvo (Enregistrement de données biométriques et génétiques par la police), C‑205/21). La deuxième question porte sur l’existence d’une obligation, pour l’autorité compétente, de motiver la nécessité absolue de la collecte des données biométriques. La dernière question interroge la Cour de justice sur la possibilité de condamner une personne qui refuse la collecte de ses données biométriques alors qu’elle n’a pas été condamnée pour l’infraction qui fondait cette collecte.

​

A l’occasion de cet arrêt, la Cour de justice de l’Union européenne a dû trouver un équilibre entre les pratiques classiques exercées couramment par les autorités de police et la protection des données des personnes concernées. Pour ce faire, elle clarifie les exigences imposées aux autorités nationales lorsqu’elles effectuent une collecte de données biométriques. 

​

Avant toute chose, la Cour rappelle que les données biométriques sont des données sensibles, auxquelles il faut accorder une protection renforcée en raison des risques importants pour les libertés et les droits des personnes concernées. Ainsi, des garanties appropriées doivent être mises en place et le traitement doit répondre à une condition de nécessité absolue. 

La notion de nécessité absolue du traitement de données se décline en plusieurs exigences. Tout d’abord, cette nécessité doit être appréciée au regard des finalités poursuivies par le traitement en cause. Ces finalités doivent être définies de manière suffisamment précise et concrète afin de déterminer la nécessité absolue.  

​

Ensuite, la définition de la finalité du traitement doit être effectuée dans le respect du principe de minimisation des données, qui est une application du principe de proportionnalité. Pour ce faire, les autorités doivent démontrer que la finalité poursuivie par le traitement des données ne peut pas être atteinte de manière aussi efficace par d’autres moyens moins attentatoires aux droits fondamentaux des personnes concernées. 

​

De plus, l’importance de la finalité poursuivie par le traitement de données doit être prise en compte. Celle-ci peut s’apprécier en fonction de la nature de la finalité, et du fait que le traitement poursuive un but concret et spécifique en lien avec la prévention d’infractions pénales ou de menaces contre la sécurité publique présentant un certain degré de gravité, la répression de telles infractions ou la protection contre de telles menaces, ainsi qu’à la lumière des circonstances spécifiques dans lesquelles le traitement est effectué. 

​

Enfin, la nécessité absolue de la collecte de données biométriques d’une personne poursuivie pour avoir commis une infraction pénale, ou soupçonnée d’avoir commis une telle infraction doit être déterminée au regard de certains éléments tels que la nature et la gravité de l’infraction, les circonstances particulières de celle-ci, le lien entre l’infraction et d’autres procédures en cours et les antécédents judiciaires ou le profil individuel de la personne en cause. 

​

Ainsi, la Cour de justice considère que le droit de l’Union « s’oppose à une législation nationale prévoyant la collecte systématique (italiques ajoutées) des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, à moins qu’il ne soit établi […] que l’autorité compétente est tenue, dans chaque cas particulier, d’apprécier si ladite collecte est absolument nécessaire à la réalisation de ces finalités, si bien qu’une telle collecte ne revêt pas un caractère systématique (sic) », ce qui est pour le moins contradictoire... Il reviendra, selon la Cour, au juge national de vérifier si la législation nationale impose à l’autorité de police judiciaire de procéder systématiquement à une telle collecte, sans que cette autorité soit en mesure d’apprécier, dans chaque cas particulier, la « nécessité absolue » de celle-ci.

​

Concernant la nécessité de motivation de la nécessité absolue de la collecte des données biométriques par l’autorité compétente, la Cour rappelle qu’en raison du caractère sensible des données biométriques, des garanties appropriées doivent être mises en place pour protéger les droits et libertés des personnes concernées. Ces garanties se traduisent par un recours juridictionnel effectif, pouvant être exercé seulement si les motifs de la décision prise à l’égard de la personne concernée sont connus par celle-ci. Ainsi, l’autorité compétente doit motiver la nécessité absolue de la collecte de manière suffisamment claire pour permettre à la personne concernée d’exercer son droit de recours. 

​

Enfin, s’agissant de la possibilité de sanctionner pénalement le refus d’une personne de se soumettre à la collecte de ses données biométriques, alors même que cette dernière n’a pas été poursuivie ou condamnée pour l’infraction pénale qui fondait la collecte envisagée de ces données, la Cour considère qu’une telle sanction est conforme à la directive 2016/680, dès lors que la collecte de données répond à la condition de nécessité absolue. Elle précise également que le principe de proportionnalité doit être respecté, notamment par rapport à l’infraction. La sanction doit ainsi correspondre à la gravité de l’infraction, et doivent être prises en compte les circonstances individuelles du cas d’espèce. 

​

Si la Cour de justice valide la possibilité de sanctionner le refus de se soumettre à la collecte de données biométriques, elle en encadre strictement les conditions, effectuant ainsi une conciliation pragmatique entre les nécessités des autorités compétentes lors d’enquêtes pénales et la protection des données sensibles des personnes concernées.

 

Valèntina SAVAROC--GARAY

M1 DEDH

​