Affaire C-57/23

JH

contre

Policejní prezidium

(demande de décision préjudicielle, introduite par Nejvyšší správní soud)

Arrêt de la Cour (cinquième chambre) du 20 novembre 2025

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et libre circulation de ces données – Directive (UE) 2016/680 – Article 4, paragraphe 1, sous c) et e) – Minimisation du traitement des données – Limitation de la conservation des données à caractère personnel – Article 10 – Collecte et conservation de données biométriques et génétiques – Nécessité absolue – Article 6, sous a) – Obligation de distinguer entre les données à caractère personnel de différentes catégories de personnes – Législation nationale prévoyant la collecte de données biométriques et génétiques de toute personne soupçonnée ou accusée d’avoir commis une infraction pénale intentionnelle – Article 5 – Délais appropriés pour l’effacement ou pour la vérification régulière de la nécessité de la conservation de ces données – Absence de délai maximal de conservation – Évaluation de la nécessité de la conservation de données biométriques et génétiques par la police sur la base des règles internes – Article 8, paragraphe 2 – Licéité du traitement de ces données – Notion de “disposition du droit d’un État membre” – Possibilité de qualifier la jurisprudence nationale de “droit d’un État membre »

1. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Traitement portant sur des catégories particulières de données – Autorisation de ce traitement par le droit d’un État membre – Notion de droit d’un État membre – Jurisprudence nationale interprétant une disposition de portée générale – Inclusion – Conditions

   (Charte des droits fondamentaux de l’Union européenne, art. 8, § 2, et 52 ; directive du Parlement européen et du Conseil 2016/680, considérant 33 et art. 4, 8 et 10)

   (voir points 50-60, disp. 1)

2. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Traitement portant sur des catégories particulières de données – Réglementation nationale permettant la collecte indifférenciée de données biométriques et génétiques de toute personne soupçonnée ou accusée d’avoir commis une infraction pénale intentionnelle – Admissibilité – Conditions

   [Directive du Parlement européen et du Conseil 2016/680, art. 1er, § 1, 4 § 1, b) et c), 6, 8, § 2, et 10]

   (voir points 70, 71, 75, 77, 78, 80, 81, 83-89, 94, disp. 2)

3. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Traitement portant sur des catégories particulières de données – Réglementation nationale établissant l’appréciation de la nécessité du maintien de la conservation de données biométriques et génétiques par les services de police sur la base de règles internes – Réglementation nationale ne prévoyant pas de durée maximale de conservation de ces données – Admissibilité – Conditions

   [Charte des droits fondamentaux de l’Union européenne, art. 52 ; directive du Parlement européen et du Conseil 2016/680, art. 4, § 1, c) et e), 6, 8, § 2, et 16, § 2 et 3]

   (voir points 101-104, 110, disp. 3)

Résumé

Saisie à titre préjudiciel par le Nejvyšší správní soud (Cour administrative suprême, République tchèque), la Cour se prononce sur la légalité, en vertu de la directive 2016/680 ( 1 ), de la collecte et de la conservation des données biométriques et génétiques de toute personne poursuivie pour avoir commis une infraction pénale intentionnelle ou soupçonnée d’avoir commis une telle infraction.

Le 11 décembre 2015, la police tchèque a engagé des poursuites pénales contre JH pour le délit de violation d’une obligation dans la gestion du patrimoine d’autrui. Elle a ensuite entendu JH dans le cadre de la procédure pénale et, en dépit du désaccord de ce dernier, a procédé à la réalisation de différents actes d’identification, dont un prélèvement des empreintes digitales et un prélèvement buccal pour créer un profil génétique ( 2 ). La police tchèque a enregistré ces informations dans les bases de données correspondantes.

Par arrêt rendu en 2017, le Městský soud v Praze (cour municipale de Prague, République tchèque) a reconnu JH coupable des faits incriminés. En 2022, cette même juridiction a fait droit au recours que JH avait introduit en 2016, jugeant que les actes d’identification, la conservation et l’enregistrement des informations relatives à JH par la police tchèque étaient illégaux. Elle a alors ordonné à la police d’effacer toutes les données à caractère personnel de JH en résultant. La police tchèque a introduit un pourvoi en cassation contre cette décision devant la juridiction de renvoi.

C’est dans ce contexte que la Cour est appelée à clarifier, au regard de la directive 2016/680, si la jurisprudence nationale est susceptible d’être qualifiée de « droit d’un État membre » pour encadrer le traitement des données à caractère personnel sensibles, si une réglementation nationale permettant la collecte de données biométriques et génétiques de toute personne poursuivie ou soupçonnée d’infraction pénale intentionnelle est acceptable et si une réglementation nationale ne prévoyant aucune durée maximale de conservation de telles données peut être admise.

Appréciation de la Cour

En premier lieu, la Cour apporte des précisions sur la notion de « droit d’un État membre », au sens des articles 8 et 10 de la directive 2016/680 qui établissent les conditions de licéité des traitements de données à caractère personnel, y compris des données sensibles, et qui prévoient qu’un tel traitement peut être autorisé par le droit d’un État membre.

Dans ce cadre, la Cour rappelle que tout traitement de données à caractère personnel non opéré sur le fondement du consentement de l’intéressé doit être effectué en vertu d’un autre fondement légitime prévu par la « loi » ( 3 ), ce terme devant être entendu dans son acception matérielle, et non formelle ( 4 ), et comme visant le texte en vigueur tel que les juridictions compétentes l’ont interprété ( 5 ). Par ailleurs, l’exigence posée à l’article 52 de la Charte, selon laquelle toute limitation de l’exercice de droits fondamentaux reconnus par celle-ci doit être prévue par la loi, n’exclut pas que, d’une part, la limitation en cause soit formulée dans des termes suffisamment ouverts pour pouvoir s’adapter à des cas de figure différents ainsi qu’aux changements de situations et, d’autre part, que le juge compétent puisse, le cas échéant, préciser, par voie d’interprétation, la portée concrète de ladite limitation au regard tant des termes mêmes de cet acte qui permet l’ingérence que de l’économie générale dudit acte et des objectifs que ce dernier poursuit ( 6 ).

La Cour en conclut que la notion de « droit d’un État membre » doit être comprise comme étant susceptible de se référer à une disposition envisageant expressément la réalisation d’un traitement des données à caractère personnel relevant du champ d’application de la directive 2016/680, telle qu’interprétée par la jurisprudence des juridictions nationales. Cela étant, d’une part, cette référence au « droit » d’un État membre qui « réglemente » le traitement implique que les objectifs, les données à caractère personnel devant faire l’objet du traitement et les finalités soient, au moins dans leur principe, prévus par une disposition de portée générale. D’autre part, l’article 8, paragraphe 2, de la directive 2016/680 vise à ce que le droit de l’État membre responsable du traitement soit clair et précis et que son application soit prévisible pour les justiciables, conformément à la jurisprudence de la Cour ( 7 ) et de la Cour européenne des droits de l’homme ( 8 ).

Ainsi, la Cour constate que les articles 8 et 10 de la directive 2016/680 doivent être interprétés en ce sens que, s’agissant de la collecte, de la conservation et de l’effacement de données biométriques et génétiques, la notion de « droit d’un État membre » au sens de ces articles doit être comprise comme visant une disposition de portée générale énonçant les conditions minimales de collecte, de conservation et d’effacement de telles données, telle qu’interprétée par la jurisprudence des juridictions nationales, pour autant que cette jurisprudence soit accessible et suffisamment prévisible.

En deuxième lieu, la Cour se penche sur la question de savoir si la directive 2016/680 ( 9 ) s’oppose à une réglementation nationale qui permet indistinctement la collecte de données biométriques et génétiques de toute personne poursuivie pour avoir commis une infraction pénale intentionnelle ou soupçonnée d’avoir commis une telle infraction.

D’une part, la Cour note que l’article 6 de la directive 2016/680 qui oblige les États membres à s’assurer que le responsable du traitement, « le cas échéant et dans la mesure du possible », opère une distinction claire entre les données personnelles de différentes catégories de personnes concernées en fonction essentiellement de leur statut pénal, ne s’oppose pas à une réglementation nationale qui permet, indistinctement, la collecte de données biométriques et génétiques des personnes relevant de la catégorie des personnes « poursuivies pour avoir commis une infraction pénale intentionnelle » ainsi que des personnes relevant de la catégorie des personnes « soupçonnées d’avoir commis une telle infraction », au sens du droit national, lorsque les finalités de cette collecte n’imposent pas d’établir une distinction entre ces deux catégories de personnes dont les données sont susceptibles d’être collectées sur le fondement de cette règlementation.

D’autre part, la Cour se prononce sur l’article 4, paragraphe 1, sous c), de la directive 2016/680 qui prévoit les principes relatifs au traitement des données à caractère personnel, lu en combinaison avec l’article 10 de cette directive, qui vise les exigences particulières applicables au traitement de données à caractère personnel sensibles, dont les données biométriques et génétiques. Elle relève notamment que ce traitement doit répondre à une nécessité absolue devant s’apprécier de manière particulièrement rigoureuse au regard des finalités poursuivies par un tel traitement.

La Cour constate que la notion de « finalités du traitement », même si elle n’est pas définie dans la directive 2016/680, doit se comprendre comme se référant aux buts spécifiques et concrets poursuivis par un traitement de données à caractère personnel au regard de la mission dont est investi le responsable du traitement, telle qu’une tâche spécifique liée à la prévention ou à la détection des infractions pénales, ou à la réalisation d’une enquête et de poursuites en la matière ou d’exécution de sanctions pénales.

Dans ce contexte, la Cour rappelle les exigences relatives à la condition de « nécessité absolue », notamment la prise en compte de l’importance particulière de la finalité poursuivie par le traitement et de l’ensemble des éléments pertinents, ainsi que le contrôle strict du respect du principe de minimisation du traitement des données concernées ( 10 ). Elle conclut que, si un État membre peut se conformer à la directive 2016/680 soit en déléguant aux autorités compétentes le soin de veiller, dans chaque cas d’espèce, au respect de la condition, pour tout traitement de données à caractère personnel sensibles, de répondre à une nécessité absolue, soit en fixant, au niveau législatif, des critères d’appréciation que les autorités doivent appliquer par la suite de manière non discrétionnaire, il n’en demeure pas moins que, dans cette seconde hypothèse, ces critères doivent être de nature à remplir l’ensemble des exigences découlant de cette même condition.

La Cour en déduit que l’article 6 et l’article 4, paragraphe 1, sous c), de la directive 2016/680, lu en combinaison avec son article 10, ne s’opposent pas à une réglementation nationale qui permet, indistinctement, la collecte de données biométriques et génétiques de toute personne poursuivie pour avoir commis une infraction pénale intentionnelle ou soupçonnée d’avoir commis une telle infraction, pour autant que, d’une part, les finalités de cette collecte n’imposent pas d’établir une distinction entre ces deux catégories de personnes et que, d’autre part, les responsables du traitement soient tenus, conformément au droit national, en ce compris la jurisprudence des juridictions nationales, de respecter l’ensemble des principes et des exigences particulières énoncés aux articles 4 et 10 de cette directive.

En troisième et dernier lieu, la Cour examine le point de savoir si les exigences établies par la directive 2016/680 s’opposent à une réglementation nationale selon laquelle la nécessité de maintenir la conservation de données biométriques et génétiques est appréciée par les services de police, sur la base de règles internes, sans que cette réglementation prévoie de durée maximale de conservation.

À cet égard, d’une part, s’agissant de la circonstance qu’une réglementation nationale concernée ne prévoit pas de durée maximale de conservation de ces données, la Cour souligne que, lorsqu’un État membre fixe des délais appropriés de vérification régulière de la nécessité de conserver des données à caractère personnel et que, à l’occasion de cette vérification, la nécessité absolue de prolonger cette conservation doit être appréciée, le droit de l’État membre concerné doit être considéré comme satisfaisant aux exigences fixées par la directive 2016/680. Ainsi, même en cas de conservation de données à caractère personnel sensibles, un tel État membre n’est pas dans l’obligation de définir des limites temporelles absolues pour la conservation de ces données, au-delà desquelles ces dernières devraient être automatiquement effacées ( 11 ).

La Cour précise, en revanche, que le caractère approprié des délais de vérification requiert que les données à caractère personnel jusqu’alors conservées soient effacées si, à l’occasion de l’une des vérifications effectuées, la conservation des mêmes données n’apparaît plus comme étant absolument nécessaire. De plus, ces délais de vérification ne sauraient être considérés comme étant appropriés si les changements de statut pénal de la personne concernée, considérés comme étant pertinents au regard de la finalité poursuivie par cette conservation, n’entraînent pas une obligation, pour le responsable du traitement, de réexaminer dans un délai raisonnable la nécessité de conserver les données relatives à cette personne.

D’autre part, s’agissant de la circonstance que la nécessité de maintenir la conservation de données biométriques et génétiques soit appréciée par les services de police sur la base de règles internes, la Cour relève que cette circonstance n’est pas, en soi, contraire à l’article 8, paragraphe 2, de la directive 2016/680, pour autant que ces règles imposent à ces services de veiller au respect de la condition de nécessité absolue de conserver ces données et que la marge d’appréciation de ces services soit suffisamment encadrée par le droit national, y compris la jurisprudence nationale.

Partant, la Cour conclut que l’article 4, paragraphe 1, sous e), de la directive 2016/680 ne s’oppose pas à une réglementation nationale en vertu de laquelle la nécessité de maintenir la conservation de données biométriques et génétiques est appréciée par les services de police sur la base de règles internes, sans que cette réglementation prévoie une durée maximale de conservation, pour autant que ladite réglementation fixe des délais appropriés de vérification régulière de la nécessité de conserver ces données et que, à l’occasion de cette vérification, soit appréciée la nécessité absolue de prolonger leur conservation.

( 1 ) Directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).

( 2 ) Conformément à l’article 65 du zákon č. 273/2008 Sb., o Policii České republiky (loi no 273/2008 relative à la police de la République tchèque), dans sa version applicable au litige au principal.

( 3 ) Article 8, paragraphe 2, de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »).

( 4 ) Arrêt du 16 novembre 2023, Roos e.a./Parlement (C-458/22 P, EU:C:2023:871, point 61).

( 5 ) Voir, en ce sens, Cour EDH, 23 janvier 2025, H. W. c. France, CE :ECHR :2025 :0123JUD001380521, point 65.

( 6 ) Voir, par analogie, arrêt du 21 juin 2022, Ligue des droits humains (C-817/19, EU:C:2022:491, point 114).

( 7 ) À cet égard, voir arrêts du 8 avril 2014, Digital Rights Ireland e.a. (C-293/12 et C-594/12, EU:C:2014:238, point 54), ainsi que du 6 octobre 2015, Schrems (C-362/14, EU:C:2015:650, point 91).

( 8 ) Voir, en ce sens, notamment, Cour EDH, 26 avril 1979, Sunday Times c. Royaume-Uni, CE :ECHR :1979 :0426JUD00065387, § 25 et 52 ; Cour EDH, 1er juillet 2008, Liberty et autres c. Royaume-Uni, CE :ECHR :2008 :0701JUD005824300, § 62 et 63 ; Cour EDH, 4 décembre 2008, S. et Marper c. Royaume-Uni, CE :ECHR :2008 :1204JUD003056204, § 95.

( 9 ) Concrètement, l’article 6 et l’article 4, paragraphe 1, sous c), de la directive 2016/680, lu en combinaison avec son article 10.

( 10 ) Voir, en ce sens, arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police) (C-205/21, EU:C:2023:49, points 125, 127 et 132).

( 11 ) Voir, en ce sens, arrêt du 30 janvier 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia (C-118/22, EU:C:2024:97, point 52).