Affaire C-205/21

V.S.

(demande de décision préjudicielle, introduite par le Spetsializiran nakazatelen sad)

Arrêt de la Cour (cinquième chambre) du 26 janvier 2023

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive (UE) 2016/680 – Article 4, paragraphe 1, sous a) à c) – Principes relatifs au traitement des données à caractère personnel – Limitation des finalités – Minimisation des données – Article 6, sous a) – Distinction claire entre les données à caractère personnel de différentes catégories de personnes – Article 8 – Licéité du traitement – Article 10 – Transposition – Traitement de données biométriques et de données génétiques – Notion de “traitement autorisé par le droit d’un État membre” – Notion de “nécessité absolue” – Pouvoir d’appréciation – Charte des droits fondamentaux de l’Union européenne – Articles 7, 8, 47, 48 et 52 – Droit à une protection juridictionnelle effective – Présomption d’innocence – Limitation – Infraction pénale intentionnelle poursuivie d’office – Personnes mises en examen – Collecte de données photographiques et dactyloscopiques aux fins de leur enregistrement et prélèvement d’un échantillon biologique pour l’établissement d’un profil ADN – Procédure d’exécution forcée de la collecte – Caractère systématique de la collecte »

1. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Traitement portant sur des catégories particulières de données – Autorisation de ce traitement par le droit d’un État membre – Législation nationale imposant la collecte, par les autorités de police d’un État membre, des données biométriques et génétiques des personnes mises en examen, aux fins de leur enregistrement – Dispositions nationales se référant au règlement 2016/679, tout en reproduisant le contenu de la directive 2016/680 – Admissibilité – Conditions

   [Charte des droits fondamentaux de l’Union européenne, art. 52 ; règlement du Parlement européen et du Conseil 2016/679, art. 9 ; directive du Parlement européen et du Conseil 2016/680, art. 3, point 7, et 10, a)]

   (voir points 62-67, 72-76, disp. 1)

2. Actes des institutions – Directives – Exécution par les États membres – Directive prévoyant pour sa mise en œuvre d’y faire référence dans les dispositions nationales de transposition – Incidence – Obligation pour les États membres d’adopter un acte positif de transposition de la directive – Exigence de mention de la directive dans les dispositions nationales autorisant les traitements de données à caractère personnel relevant du champ d’application de cette directive – Absence

   (Art. 288, 3e al., TFUE ; directive du Parlement européen et du Conseil 2016/680, art. 63, § 1, 2d al.)

   (voir points 68-71)

3. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Obligation de faire une distinction entre les différentes catégories de personnes concernées – Portée – Législation nationale imposant la collecte, par les autorités de police d’un État membre, des données biométriques et génétiques des personnes mises en examen, aux fins de leur enregistrement – Législation prévoyant une procédure d’exécution forcée de la collecte – Pouvoir du juge national d’apprécier l’existence des motifs sérieux relatifs à la culpabilité de la personne concernée – Absence – Admissibilité – Conditions – Respect du droit à la protection juridictionnelle effective et de la présomption d’innocence

   [Charte des droits fondamentaux de l’Union européenne, art. 47 et 48 ; directive du Parlement européen et du Conseil 2016/680, art. 6, a), et 54]

   (voir points 82-110, disp. 2)

4. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Traitement portant sur des catégories particulières de données – Traitement autorisé uniquement en cas de nécessité absolue – Notion – Portée – Conditions renforcées de licéité du traitement – Limitation des finalités – Minimisation des données – Législation nationale prévoyant la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement – Inadmissibilité

   [Directive du Parlement européen et du Conseil 2016/680, considérants 26 et 37 et art. 4, § 1, a) à c), 8, § 1 et 2, et 10]

   (voir points 116-135, disp. 3)

Résumé

La collecte systématique des données biométriques et génétiques de toute personne mise en examen aux fins de leur enregistrement policier est contraire à l’exigence d’assurer une protection accrue à l’égard du traitement de données sensibles à caractère personnel.

Dans le cadre d’une procédure pénale pour fraude fiscale engagée par les autorités bulgares, V. S. a été mise en examen pour sa participation alléguée à un groupe criminel organisé, constitué dans un but d’enrichissement, en vue de commettre de manière concertée des délits sur le territoire bulgare. À la suite de cette mise en examen, la police bulgare a invité V. S. à se soumettre à la collecte de ses données dactyloscopiques et photographiques aux fins de leur enregistrement et à un prélèvement en vue d’établir son profil ADN. V. S. s’est opposée à cette collecte.

En s’appuyant sur la législation nationale qui prévoit l’« enregistrement policier » de personnes mises en examen pour une infraction pénale intentionnelle poursuivie d’office, les autorités de police ont demandé au Spetsializiran nakazatelen sad (tribunal pénal spécialisé, Bulgarie) d’autoriser l’exécution forcée de la collecte des données génétiques et biométriques de V. S. Seules des copies de l’ordonnance de sa mise en examen et de la déclaration de son refus à la collecte de ses données accompagnaient la requête des autorités de police.

Cette juridiction nourrissait des doutes sur la compatibilité de la législation bulgare applicable à cet « enregistrement policier » avec la directive 2016/680 ( 1 ), lue à la lumière de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), et a, par conséquent, saisi la Cour à titre préjudiciel.

Dans son arrêt, la Cour précise, tout d’abord, les conditions dans lesquelles le traitement des données biométriques et génétiques par les autorités de police peut être considéré comme étant autorisé par le droit d’un État membre, au sens de la directive 2016/680. Elle se prononce, ensuite, sur la mise en œuvre de l’exigence, visée à cette directive, concernant le traitement de données d’une catégorie de personnes à l’égard desquelles il existe des motifs sérieux de considérer qu’elles sont impliquées dans une infraction pénale et sur le respect du droit à une protection juridictionnelle effective ainsi que du principe de la présomption d’innocence dans le cas où la législation nationale permet à la juridiction nationale compétente d’autoriser la collecte forcée de ces données, considérées comme « sensibles » par le législateur de l’Union. Elle se penche, enfin, sur la question de la compatibilité de la législation nationale prévoyant la collecte systématique de ces données avec les dispositions de la directive 2016/680 qui portent sur leur traitement, en tenant compte des principes y applicables.

Appréciation de la Cour

Tout d’abord, la Cour constate que la directive 2016/680, lue à la lumière de la Charte ( 2 ), doit être interprétée en ce sens que le traitement de données biométriques et génétiques par les autorités de police en vue de leurs activités de recherche, à des fins de lutte contre la criminalité et de maintien de l’ordre public, est autorisé par le droit d’un État membre, dès lors que le droit de celui-ci contient une base juridique suffisamment claire et précise pour autoriser ledit traitement. Le fait que l’acte législatif national contenant une telle base juridique se réfère, par ailleurs, au règlement général sur la protection des données ( 3 ), et non à la directive 2016/680, n’est pas de nature, en lui-même, à remettre en cause l’existence d’une telle autorisation, pour autant qu’il ressort, de manière suffisamment claire, précise et dénuée d’équivoque de l’interprétation de l’ensemble des dispositions applicables du droit national que le traitement de données biométriques et génétiques en cause relève du champ d’application de cette directive, et non du RGPD.

Dans ce contexte, compte tenu du fait que la législation nationale pertinente se référait aux dispositions du RGPD qui régissent le traitement de données sensibles, tout en reproduisant le contenu des dispositions de la directive 2016/680 qui visent le traitement des mêmes données ( 4 ), la Cour relève que ces dispositions ne sont pas équivalentes. En effet, alors qu’un traitement de données sensibles par les autorités compétentes à des fins notamment de prévention et de détection des infractions pénales relevant de la directive 2016/680 est susceptible d’être autorisé uniquement en cas de nécessité absolue et doit être encadré par des garanties appropriées et prévu par le droit de l’Union ou par le droit d’un État membre, le RGPD énonce une interdiction de principe du traitement de ces données, assortie d’une liste d’exceptions. Si le législateur national peut prévoir, dans le cadre du même instrument législatif, le traitement de données à caractère personnel à des fins relevant de la directive 2016/680 ainsi qu’à d’autres fins relevant du RGPD, il est obligé de s’assurer de l’absence d’ambiguïté quant à l’applicabilité de l’un ou de l’autre de ces deux actes de l’Union à la collecte des données sensibles.

En outre, s’agissant d’une éventuelle transposition incorrecte de la directive 2016/680, invoquée par la juridiction de renvoi, la Cour souligne que cette directive n’exige pas que les dispositions nationales qui autorisent les traitements de données relevant de son champ d’application contiennent une référence à ladite directive. Elle précise que, lorsque le législateur national prévoit le traitement de données biométriques et génétiques par des autorités compétentes susceptibles de relever soit du champ d’application de cette directive, soit de celui du RGPD, il peut, dans un souci de clarté et de précision, se référer explicitement, d’une part, aux dispositions de droit national assurant la transposition de cette directive et, d’autre part, au RGPD, sans être obligé de mentionner ladite directive. Toutefois, en cas d’une contradiction apparente des dispositions nationales autorisant le traitement de données en cause et celles semblant l’exclure, la juridiction nationale doit donner à ces dispositions une interprétation qui préserve l’effet utile de la directive 2016/680.

Ensuite, la Cour dit pour droit que la directive 2016/680 ( 5 )et la Charte ( 6 )ne s’opposent pas à une législation nationale qui prévoit que, en cas de refus de la personne mise en examen, pour une infraction intentionnelle poursuivie d’office, de coopérer spontanément à la collecte des données biométriques et génétiques la concernant aux fins de leur enregistrement, la juridiction pénale compétente est tenue d’autoriser une mesure d’exécution forcée de cette collecte, sans disposer du pouvoir d’apprécier s’il existe des motifs sérieux de considérer que la personne concernée a commis l’infraction pour laquelle elle est mise en examen, pour autant que le droit national garantisse ultérieurement le contrôle juridictionnel effectif des conditions de cette mise en examen, dont découle l’autorisation de procéder à cette collecte.

À cet égard, la Cour rappelle que, en vertu de la directive 2016/680 ( 7 ), les États membres doivent veiller à ce qu’une distinction claire soit opérée entre les données des différentes catégories de personnes concernées, de manière à ce que le même degré d’ingérence dans leur droit fondamental à la protection de leurs données à caractère personnel ne leur soit pas indifféremment imposé, quelle que soit la catégorie à laquelle elles appartiennent. Cependant, cette obligation n’est pas absolue. Au demeurant, dans la mesure où cette directive vise la catégorie de personnes à l’égard desquelles il existe des motifs sérieux de croire qu’elles ont commis une infraction pénale, la Cour précise que l’existence d’un nombre suffisant d’éléments de preuve de la culpabilité d’une personne constitue, en principe, un motif sérieux de croire que celle-ci a commis l’infraction en cause. Ainsi, la directive 2016/680 ne s’oppose pas à une législation nationale prévoyant la collecte forcée des données des personnes à l’égard desquelles sont réunis suffisamment d’éléments de preuve de ce qu’elles sont coupables d’avoir commis une infraction intentionnelle poursuivie d’office et qui ont été mises en examen pour ce motif.

En ce qui concerne le respect du droit à une protection juridictionnelle effective, dès lors que la juridiction nationale compétente, en vue d’autoriser une mesure d’exécution forcée de la collecte de données sensibles d’une personne mise en examen, ne peut pas contrôler, sur le fond, les conditions de sa mise en examen, la Cour souligne, notamment, que le fait de soustraire temporairement au contrôle du juge l’appréciation des preuves sur lesquelles est fondée la mise en examen de la personne concernée peut s’avérer justifié pendant la phase préliminaire de la procédure pénale. En effet, un tel contrôle, lors de cette phase, pourrait entraver le déroulement de l’enquête pénale au cours de laquelle ces données sont collectées et limiter excessivement la capacité des enquêteurs à élucider d’autres infractions sur la base d’une comparaison de ces données avec des données recueillies lors d’autres enquêtes. Cette limitation de la protection juridictionnelle effective n’est donc pas disproportionnée, dès lors que le droit national garantit ultérieurement un contrôle juridictionnel effectif.

S’agissant du respect, par une décision judiciaire autorisant la collecte des données en cause, du droit à la présomption d’innocence, la Cour relève, d’une part, que dans la mesure où, en l’espèce, cette collecte est limitée à la catégorie des personnes dont la responsabilité pénale n’a pas encore été établie, elle ne saurait être considérée comme étant de nature à refléter le sentiment des autorités que ces personnes sont coupables. D’autre part, le fait que la juridiction qui doit statuer sur la culpabilité de la personne concernée ne puisse pas apprécier, à ce stade de la procédure pénale, le caractère suffisant des éléments de preuve sur lesquels repose la mise en examen de cette personne constitue une garantie du respect de son droit à la présomption d’innocence.

Enfin, la Cour conclut que la directive 2016/680 ( 8 )s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer, d’une part, si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, si ces objectifs ne peuvent pas être atteints par des mesures constituant une ingérence de moindre gravité pour les droits et les libertés de la personne concernée.

À cet égard, la Cour souligne que la directive 2016/680 tend à assurer, entre autres, une protection accrue à l’égard des traitements des données sensibles, au nombre desquelles figurent les données biométriques et génétiques, dans la mesure où ils sont susceptibles d’engendrer des risques importants pour les libertés et les droits fondamentaux. L’exigence y visée, selon laquelle ces traitements sont autorisés « uniquement en cas de nécessité absolue », doit être interprétée comme définissant des conditions renforcées de licéité du traitement de ces données sensibles ( 9 ). De plus, la portée de cette exigence doit également être déterminée au regard des principes relatifs au traitement des données, tels que la limitation des finalités et la minimisation des données.

Dans ce contexte, une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement est, en principe, contraire à cette exigence. En effet, elle est susceptible de conduire, de manière indifférenciée et généralisée, à la collecte des données de la plupart des personnes mises en examen dès lors que la notion d’« infraction pénale intentionnelle poursuivie d’office » revêt un caractère particulièrement général et est susceptible de s’appliquer à un grand nombre d’infractions pénales, indépendamment de leur nature, de leur gravité, des circonstances particulières de ces infractions, de leur lien éventuel avec d’autres procédures en cours, des antécédents judiciaires de la personne concernée ou encore de son profil individuel.

( 1 ) Directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).

( 2 ) Article 10, sous a), de la directive 2016/680, lu à la lumière de l’article 52 de la Charte.

( 3 ) Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 4 ) Respectivement, l’article 9 du RGPD et l’article 10 de la directive 2016/680.

( 5 ) Article 6, sous a), de la directive 2016/680.

( 6 ) Articles 47 et 48 de la Charte, consacrant respectivement le droit à une protection juridictionnelle effective et le principe de la présomption d’innocence.

( 7 ) Article 6 de la directive 2016/680.

( 8 ) Article 10 de la directive 2016/680, lu en combinaison avec son article 4, paragraphe 1, sous a) à c), et son article 8, paragraphes 1 et 2.

( 9 ) Au regard des conditions découlant de l’article 4, paragraphe 1, sous b) et c), et de l’article 8, paragraphe 1, de la directive 2016/680.