Affaire C-371/24 [Comdribus] ( i )

HW

(demande de décision préjudicielle, introduite par Cour d’appel de Paris)

Arrêt de la Cour (cinquième chambre) du 19 mars 2026

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel à des fins de lutte contre les infractions pénales – Directive (UE) 2016/680 – Article 10 – Traitement portant sur des catégories particulières de données à caractère personnel – Collecte de données biométriques – Prise d’empreintes digitales et de photographies – Personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale – Nécessité absolue – Pouvoir d’appréciation – Obligation de motivation – Refus de la personne concernée de se soumettre à la collecte de ses données biométriques – Législation nationale permettant de poursuivre et de condamner une personne au titre d’une infraction pénale spécifique réprimant ce refus même en l’absence de poursuites ou de condamnation pour l’infraction pénale qui fondait la collecte envisagée de ces données »

1. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Traitement portant sur des catégories particulières de données – Réglementation nationale prévoyant la collecte systématique de données biométriques de toute personne plausiblement soupçonnée d’infraction pénale ou de tentative d’infraction pénale – Inadmissibilité – Exception – Portée

   [Charte des droits fondamentaux de l’Union européenne, art. 7 et 8 ; directive du Parlement européen et du Conseil 2016/680, art. 1er, § 1, 3, points 2 et 13, 4, § 1, a) à c), 8 et 10]

   (voir points 23-44, 51-54, disp. 1)

2. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Traitement portant sur des catégories particulières de données – Réglementation nationale n’obligeant pas l’autorité compétente de motiver la nécessité absolue de la collecte de données biométriques d’une personne plausiblement soupçonnée d’infraction pénale ou de tentative d’infraction pénale – Inadmissibilité

   [Charte des droits fondamentaux de l’Union européenne, art. 47 et 52, § 1 ; directive du Parlement européen et du Conseil 2016/680, art. 3, points 7 et 8, 4, § 1, a) à c), et § 4, 10 et 54]

   (voir points 65-75, disp. 2)

3. Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Traitement portant sur des catégories particulières de données – Réglementation nationale prévoyant la poursuite et la condamnation d’une personne pour refus de se soumettre à la collecte de ses données biométriques, y compris en l’absence de poursuites ou de condamnation pour l’infraction pénale à l’origine de cette collecte – Admissibilité – Conditions – Respect de la condition de nécessité absolue de la collecte et du principe de proportionnalité de la sanction

   [Charte des droits fondamentaux de l’Union européenne, art. 49, § 3 ; directive du Parlement européen et du Conseil 2016/680, art. 1er, § 1, 2, § 1, 4, § 1, a) à c), 8 et 10]

   (voir points 82-91, disp. 3)

Résumé

Saisie à titre préjudiciel par la cour d’appel de Paris (France), la Cour apporte des précisions sur la portée de la notion de « nécessité absolue », au sens de l’article 10 de la directive 2016/680 ( 1 ), qui encadre la collecte des données à caractère personnel sensibles, telles que les données biométriques, en matière pénale.

Lors d’une action menée à Paris en mai 2020 par des activistes pour le climat, plusieurs participants, dont HW, ont été interpellés par les forces de l’ordre, pour organisation d’une manifestation non déclarée. Placé en garde à vue, HW a notamment refusé de se soumettre à la prise d’empreintes digitales et de photographies, bien qu’il ait été informé que ce refus constituait une infraction pénale. En septembre 2021, le tribunal correctionnel de Paris (France) a relaxé HW pour les faits relevant de l’infraction d’organisation d’une manifestation non déclarée mais l’a déclaré coupable de l’infraction de refus de se soumettre à la prise d’empreintes digitales et de photographies et l’a condamné à une amende de 300 euros. HW et le ministère public ont interjeté appel de ce jugement devant la juridiction de renvoi.

Cette juridiction constate que la Cour ne s’est pas encore prononcée sur la compatibilité avec la condition de nécessité absolue, prévue par la directive 2016/680, d’une législation nationale autorisant la collecte systématique des données biométriques sur la seule base de soupçons plausibles de commission ou de tentative de commission d’une infraction, sans mise en examen préalable, d’une part, et d’une telle collecte de données sur la base du refus de se soumettre à un relevé signalétique, indépendamment de toute poursuite ou condamnation pour l’infraction à l’origine de la collecte, d’autre part. Elle observe, en outre, que demeure incertaine la réponse à la question de savoir si l’exigence de motivation adéquate de la nécessité absolue de la collecte des données biométriques et génétiques d’une personne relève d’un examen préalable par l’autorité compétente ou d’un examen a posteriori par le juge saisi de la légalité de cette collecte.

Appréciation de la Cour

Tout d’abord, la Cour constate que la directive 2016/680 interdit la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, sauf si le droit national définit les finalités spécifiques et concrètes poursuivies par cette collecte de manière appropriée et suffisamment précise et si l’autorité compétente est tenue d’apprécier, dans chaque cas, si ladite collecte est absolument nécessaire à la réalisation de ces finalités.

En l’occurrence, la Cour relève que la collecte de données biométriques autorisée par la législation nationale en cause vise toutes les personnes à l’égard desquelles existent des raisons plausibles de soupçonner qu’elles ont commis ou tenté de commettre une infraction pénale. Or, le seul fait que de tels soupçons existent ne suffit pas à présumer que la nécessité absolue d’une telle collecte est établie au regard des droits au respect de la vie privée et à la protection des données à caractère personnel ( 2 ). En effet, d’une part, malgré l’existence de soupçons plausibles, la collecte de données biométriques peut ne répondre à aucune nécessité concrète. D’autre part, la nécessité absolue d’une telle collecte doit, en tout état de cause, être appréciée au regard de l’ensemble des éléments pertinents.

Si la législation nationale en cause prévoit une collecte systématique des données biométriques visant toute personne à l’égard de laquelle il existe des raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, sans obligation, pour l’officier de police judiciaire, de vérifier et de démontrer au cas par cas la nécessité absolue de cette collecte, cette législation serait contraire à l’article 10 de la directive 2016/680, dès lors qu’elle conduirait à une collecte indifférenciée et généralisée de telles données. Il appartient toutefois à la juridiction nationale de vérifier si une telle législation impose à l’autorité de police judiciaire une telle automaticité et si sa mise en œuvre effective n’aboutit pas à une collecte systématique.

Ensuite, la Cour précise que la directive 2016/680 s’oppose à une législation nationale qui ne prévoit pas l’obligation, pour l’autorité compétente, de motiver de façon adéquate, dans chaque cas, la condition de nécessité absolue d’une collecte de données biométriques.

En effet, cette motivation est nécessaire pour permettre à la personne concernée d’exercer son droit à un recours juridictionnel effectif ( 3 ). Une telle motivation peut être succincte, pourvu qu’elle soit suffisamment claire. Cette obligation s’impose d’autant plus qu’elle permet à la juridiction saisie de la légalité de la collecte d’exercer son contrôle et découle, par ailleurs, des termes de la directive 2016/680. Ainsi, l’existence d’un tel contrôle juridictionnel ne saurait pallier l’absence d’obligation pour l’autorité compétente de motiver la nécessité absolue de la collecte de données biométriques. Par ailleurs, cette obligation ne saurait être considérée comme constituant une charge déraisonnable pour l’autorité compétente.

Enfin, la Cour considère que la directive 2016/680 ne s’oppose pas à une législation nationale réprimant le refus d’une personne de permettre la collecte de ses données biométriques, en l’absence de toute poursuite ou condamnation de cette dernière pour l’infraction pénale fondant la collecte, à condition de respecter la nécessité absolue de la collecte et le principe de proportionnalité de la sanction.

À cet égard, d’une part, dans la mesure où la tentative de procéder à un traitement des données à caractère personnel, telle que celle ayant lieu lorsqu’une personne refuse la collecte de ses données biométriques, à des fins pénales relève du champ d’application de la directive 2016/680, la légalité de la sanction de ce refus dépend de la conformité de la collecte aux exigences de cette directive. Une telle sanction n’est donc possible que si la collecte envisagée répond à la condition de nécessité absolue, appréciée au regard des circonstances au moment où cette collecte est décidée par les autorités compétentes. L’absence de poursuites ou de condamnation de l’intéressé pour l’infraction à l’origine de cette collecte n’est pas, à elle seule, déterminante pour le respect de cette condition.

D’autre part, dès lors qu’une sanction pénale au titre d’une infraction réprimant le refus d’une personne de consentir à la collecte de ses données biométriques relève du droit de l’Union, elle doit respecter le principe de proportionnalité. Celui-ci exige que la sanction soit adaptée à la gravité de l’infraction et que, lors de la détermination de la sanction et du montant de l’amende, il soit tenu compte des circonstances de l’espèce, notamment du comportement et du profil de l’intéressé, de ses antécédents judiciaires et de la gravité de l’infraction présumée à l’origine de la collecte envisagée.

( i ) Le nom de la présente affaire est un nom fictif. Il ne correspond au nom réel d’aucune partie à la procédure.

( 1 ) Directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).

( 2 ) Charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), articles 7 et 8.

( 3 ) Prévu à l’article 47 de la Charte et à l’article 54, de la directive 2016/680.