Affaire C-312/24 [Darashev] (i)

CL

contre

Prokuratura na Republika Bulgaria

(demande de décision préjudicielle, introduite le par Sofiyski rayonen sad)

Arrêt de la Cour (cinquième chambre) du 4 juin 2026

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Règlement (UE) 2016/679 – Directive (UE) 2016/680 – Champs d’application – Traitement des données collectées lors d’une enquête dirigée contre un policier en tant que personne soupçonnée d’une infraction pénale – Enregistrement des données relatives à cette enquête dans le dossier personnel du policier – Licéité du traitement – Article 6, paragraphe 1, premier alinéa, sous c), et article 6, paragraphe 3, de ce règlement – Traitement nécessaire au respect d’une obligation légale – Base juridique du traitement – Article 17 dudit règlement – Droit à l’effacement »

1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Champ d’application – Traitement de données à caractère personnel effectué par la direction d’une autorité publique, consistant à conserver dans le dossier personnel d’un de ses agents des données relatives à sa qualité de suspect dans le cadre d’une enquête pénale – Inclusion – Collecte initiale de ces données effectuée par une autre direction de cette même autorité, habilitée à mener ce type d’enquête – Absence d’incidence

[Règlement du Parlement européen et du Conseil 2016/679, art. 2, § 1 et 2, d) ; directive du Parlement européen et du Conseil 2016/680, art. 1^er, § 1, et 9, § 1]

(voir points 67-73, disp. 1)

2. Droits fondamentaux – Respect de la vie privée – Protection des données à caractère personnel – Limitations – Conditions

(Charte des droits fondamentaux de l’Union européenne, art. 7, 8 et 52, § 1 ; règlement du Parlement européen et du Conseil 2016/679, Considérants 4 et 10 et art. 1^er, § 2)

(voir points 83, 85)

3. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Conditions de licéité d’un traitement de données à caractère personnel – Traitement nécessaire au respect d’une obligation légale incombant au responsable du traitement – Notion – Autorité publique, agissant en tant qu’employeur d’un agent de police – Conservation par cette autorité dans le dossier personnel d’un tel agent des données à caractère personnel relatives à sa qualité de suspect dans le cadre d’une enquête pénale suspendue, en l’absence de poursuites pénales – Inclusion – Conditions – Base juridique du traitement des données en cause claire, précise et d’application prévisible – Obligation légale répondant à un objectif d’intérêt public et proportionnée à cet objectif

[Charte des droits fondamentaux de l’Union européenne, art. 52, § 1 ; règlement du Parlement européen et du Conseil 2016/679, Considérants 19 et 41 et art. 5, § 1, e), 6, § 1, c), et 3, 10, 17, § 1, a) et d), et 3, b)]

(voir points 87-101, 104-106, disp. 2)

4. Politique sociale – Égalité de traitement en matière d’emploi et de travail – Directive 2000/78 – Champ d’application – Refus d’un avancement professionnel fondé sur la qualité de suspect d’une personne ayant fait l’objet d’une enquête pénale finalement suspendue – Exclusion

(Directive du Conseil 2000/78, art. 1^er et 2, § 1)

(voir points 112, 113, disp. 3)

Résumé

Saisie à titre préjudiciel par le Sofiyski rayonen sad (tribunal d’arrondissement de Sofia, Bulgarie) d’une question se situant au croisement entre le RGPD (1) et la directive 2016/680 (2), la Cour se prononce sur la licéité d’un traitement de données à caractère personnel au moyen duquel une autorité publique, en sa qualité d’employeur, conserve dans le dossier personnel d’un agent de police des données relatives à sa qualité de suspect dans le cadre d’une enquête pénale suspendue, sans que ce dernier ait été mis en examen ou accusé (ci-après le « traitement des données en cause au principal »). Elle précise également le fondement et les conditions d’exercice du droit à l’effacement des données faisant l’objet d’une conservation dans de telles circonstances.

Le requérant a occupé diverses fonctions en qualité de policier au sein de différentes directions du ministère de l’Intérieur bulgare. Dans le cadre d’une enquête pénale ouverte par la direction en charge des enquêtes de ce ministère, contre auteur inconnu, au titre d’une infraction de vol avec violence, il a été placé en garde à vue et a fait l’objet, en sa qualité de suspect, de différentes mesures d’investigation. Les informations relatives à cette enquête ont été recueillies par cette direction et conservées par la direction au sein de laquelle le requérant occupait ses fonctions dans son dossier personnel, alors que cette enquête avait été suspendue, sans que l’intéressé ait été mis en examen ou accusé. Par la suite, le requérant a introduit un recours devant la juridiction de renvoi afin que la Prokuratura na Republika Bulgaria (parquet de la République de Bulgarie) soit condamné à lui verser une indemnité pour le préjudice moral subi en raison des mesures dont il a fait l’objet dans le cadre de l’enquête pénale en cause et pour les conséquences qui en résultent, notamment le fait de ne pas avoir été promu au sein du même ministère au motif de sa qualité de suspect dans le cadre de cette enquête.

La juridiction de renvoi cherche à déterminer si le traitement des données en cause au principal relève du champ d’application du RGPD ou de la directive 2016/680. Elle se demande également si le principe du « droit à l’oubli », prévu à l’article 17, paragraphe 1, sous a), du RGPD, pourrait s’appliquer à la situation du requérant.

Appréciation de la Cour

S’agissant, en premier lieu, de l’applicabilité du RGPD ou de la directive 2016/680 au traitement des données en cause au principal, la Cour relève que, conformément à l’article 1^er, paragraphe 1, de cette directive, celle-ci s’applique aux traitements de données à caractère personnel effectués par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière. En revanche, en vertu de l’article 9, paragraphe 1, de cette même directive, si le traitement est effectué à des fins autres que celles énoncées ci-dessus, le RGPD s’applique. Ce règlement s’applique donc à l’activité exercée par la direction d’une autorité publique consistant à conserver dans le dossier personnel d’un de ses agents des données relatives à sa qualité de suspect dans le cadre d’une enquête pénale, dans la mesure où ce traitement est effectué non pas aux fins de l’enquête du requérant mais à des fins de gestion des ressources humaines. Il est sans incidence à cet égard que cette direction a obtenu ces données par l’intermédiaire d’une autre direction relevant de la même autorité publique, cette dernière direction étant habilitée à mener ce type d’enquête.

En second lieu, se prononçant sur la licéité du traitement des données en cause au principal, la Cour estime, premièrement, que ce traitement est susceptible d’être nécessaire au respect d’obligations légales, au sens de l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD, prévues par la législation nationale en matière de gestion des dossiers personnels des agents et de responsabilité disciplinaire de ceux-ci et mises en œuvre par l’autorité publique responsable du traitement dans des instructions à caractère réglementaire constituant ainsi la base juridique de ce traitement des données. La Cour relève, en outre, que l’article 6, paragraphe 3, du RGPD ne s’oppose pas à ce que la base juridique d’un tel traitement soit définie par cette autorité dans un acte réglementaire visant à mettre en œuvre les obligations légales qui s’imposent à elle, au sens de l’article 6, paragraphe 1, premier alinéa, sous c), de ce règlement, à condition que ladite autorité soit habilitée par le droit national à adopter cet acte, que la base juridique soit claire et précise et que son application soit prévisible pour les personnes concernées.

S’agissant, deuxièmement, de l’obligation légale concernée, imposant le traitement des données en cause au principal, la Cour précise que le fait d’imposer des critères moraux et éthiques plus élevés aux agents de police pour démontrer qu’ils disposent des qualités professionnelles et humaines nécessaires à l’exercice de leurs fonctions peut être considéré comme relevant d’un objectif d’intérêt public légitime, au sens de l’article 6, paragraphe 3, du RGPD, à savoir, en substance, celui de garantir la probité d’un personnel chargé de préserver l’ordre public et de protéger la population.

Troisièmement, la Cour souligne qu’il appartient à la juridiction de renvoi de vérifier la proportionnalité de la réglementation nationale imposant le traitement des données en cause au principal. En particulier, s’agissant de la conservation de ces données, l’article 17, paragraphe 3, sous b), du RGPD doit être interprété en ce sens que, lorsque la durée de conservation desdites données excède celle nécessaire au respect de l’obligation légale à laquelle le responsable du traitement est soumis, la personne concernée est susceptible de recouvrer son droit à l’effacement de ces données, notamment lorsqu’elles ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées. La Cour précise également que les données en cause au principal constituent des données à caractère personnel « relatives aux condamnations pénales et aux infractions », dont le traitement est soumis à des conditions de licéité additionnelles prévues à l’article 10 du RGPD, et ce indépendamment du fait que, au cours de l’enquête pénale, la commission de l’infraction pour laquelle la personne était suspectée n’a pas été établie. Partant, la Cour conclut que le RGPD doit être interprété en ce sens que la conservation, dans le dossier personnel d’un agent de police, à des fins de gestion de la carrière de celui-ci et de contrôle du respect, par cet agent, des règles inhérentes à ses fonctions, de données à caractère personnel relatives à sa qualité de suspect dans le cadre d’une enquête pénale suspendue, ledit agent n’ayant été ni accusé ni poursuivi pour l’infraction concernée, peut être considérée comme étant justifiée aux fins du respect d’une obligation légale auquel l’autorité publique, employeur dudit agent, est soumise sur le fondement du droit national, à condition que cette base juridique soit claire et précise, que son application soit prévisible pour les personnes concernées et que cette obligation réponde à un objectif d’intérêt public et soit proportionnée à celui-ci.

i Le nom de la présente affaire est un nom fictif. Il ne correspond au nom réel d’aucune partie à la procédure.

1 Règlement (UE 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, et rectificatif JO 2018, L 127, p. 2, ci-après le « RGPD »).

2 Directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).