1. La collecte systématique est incompatible avec la Directive Police
Une législation nationale prévoyant la collecte automatique de données biométriques et génétiques de toute personne poursuivie pour infraction intentionnelle, sans évaluation individualisée de la nécessité du traitement, est contraire aux articles 8 et 10 de la Directive (UE) 2016/680. L’exigence de « nécessité absolue » propre aux données de ces catégories interdit toute présomption législative de nécessité.
2. L’absence de délai maximal de conservation est une non-conformité structurelle
L’article 4, paragraphe 1, sous e, de la Directive Police impose des délais appropriés d’effacement ou de vérification périodique de la nécessité de la conservation. Laisser à la seule discrétion de la police l’appréciation de la durée de conservation, sans délai légal contraignant, prive les personnes concernées de prévisibilité et porte atteinte à l’effectivité de leurs droits.
3. La distinction entre catégories de personnes concernées est obligatoire
L’article 6, sous a, de la Directive Police exige une différenciation nette entre suspects, mis en examen et condamnés, reflétant la présomption d’innocence garantie par l’article 48 de la Charte. Un régime de collecte identique pour toutes ces catégories est contraire à cet impératif.
4. Les règles internes de police peuvent constituer une base légale — sous strictes conditions
La Cour admet que la jurisprudence nationale et les règles internes d’une autorité policière peuvent constituer une « disposition du droit d’un État membre » au sens de l’article 8§2 de la Directive Police, à condition de satisfaire aux critères de qualité normative : accessibilité, prévisibilité, garanties contre l’arbitraire et contrôle juridictionnel effectif. Cette reconnaissance est conditionnelle et restrictive.
5. L’arrêt s’inscrit dans une jurisprudence de protection renforcée des données sensibles en matière pénale
L’arrêt C-57/23 prolonge la jurisprudence de la Cour sur la conservation des données de communications à des fins pénales (La Quadrature du Net, Prokuratuur) en l’étendant aux données biométriques et génétiques. Il impose aux États membres une obligation de réforme de leurs législations nationales, sous peine d’incompatibilité avec le droit de l’Union, et renforce le rôle des autorités de contrôle dans la surveillance de ces traitements à haut risque.
COMPRENDRE SA SITUATION JURIDIQUE AU REGARD DE LA DIRECTIVE 2016/680
La directive 2016/680 constitue le cadre protecteur applicable. Contrairement au RGPD, qui ne s’applique pas aux traitements effectués par les autorités compétentes à des fins répressives (art. 2, § 2, d, RGPD), la directive 2016/680 régit spécifiquement les traitements opérés par la police, le parquet et les autorités judiciaires. Toute personne dont les données ont été collectées dans le cadre d’une enquête pénale ou d’une procédure de poursuite relève donc de ce régime, et non du RGPD.
La Cour a confirmé que la jurisprudence nationale peut constituer le « droit d’un État membre ». L’arrêt C-57/23 établit que «la notion de droit d’un État membre doit être comprise comme visant une disposition de portée générale énonçant les conditions minimales de collecte, de conservation et d’effacement de telles données, telle qu’interprétée par la jurisprudence des juridictions nationales, pour autant que cette jurisprudence soit accessible et suffisamment prévisible» (§ 60, disp. 1). Cela signifie concrètement que le fondement juridique de la collecte peut résulter non seulement d’un texte législatif, mais aussi d’une jurisprudence nationale consolidée — à condition que cette dernière soit effectivement accessible et prévisible pour le justiciable.
L’exigence de « nécessité absolue » constitue la clef de voûte de la protection. Pour les données biométriques et génétiques, l’article 10 de la directive 2016/680 exige que tout traitement réponde à une nécessité absolue. La Cour précise que cette exigence «doit s’apprécier de manière particulièrement rigoureuse au regard des finalités poursuivies» (§§ 83-89). Une collecte ou une conservation qui ne satisfait pas à cette condition est illicite, indépendamment de son fondement formel en droit national.
CONTESTER LA LÉGALITÉ DE LA COLLECTE DE DONNÉES BIOMÉTRIQUES OU GÉNÉTIQUES
La légalité de la collecte peut être contestée sur le terrain de la nécessité absolue. La personne concernée est en droit d’exiger que l’autorité de police démontre, dans chaque cas d’espèce, que la collecte de ses empreintes digitales, de ses données dactyloscopiques, photographiques et de son profil génétique répondait effectivement à une nécessité absolue au regard de la finalité poursuivie. Il ne suffit pas que la personne ait été poursuivie pour une infraction pénale intentionnelle : encore faut-il que la collecte soit proportionnée, compte tenu notamment «du passé pénal, de la personnalité et du comportement de la personne concernée, de la gravité de l’infraction pénale» (§§ 26-31, demande de décision préjudicielle).
Le défaut de contrôle de proportionnalité constitue un vice d’illégalité. La jurisprudence administrative tchèque citée par la Cour de renvoi illustre ce principe : des actes d’identification ont été déclarés illégaux «notamment dans le cas d’infractions n’impliquant aucune violence et commises par des personnes n’ayant jamais été condamnées» (§ 31). Cette logique est transposable dans tout État membre dont le droit national transpose la directive 2016/680. En France notamment, toute collecte réalisée sans appréciation concrète et individualisée de la nécessité absolue est susceptible d’être contestée devant les juridictions administratives ou ordinaires selon la nature de l’acte.
La personne concernée peut former un recours en effacement ex post. La Cour valide expressément le mécanisme du recours en effacement ex post : la personne condamnée ou acquittée est fondée à demander à l’autorité de police d’effacer ses données si, au regard des circonstances actuelles — notamment l’absence de risque de récidive, l’écoulement du temps depuis les faits, l’absence de passé pénal —, la conservation de ces données n’apparaît plus comme absolument nécessaire. Ce recours peut être formé indépendamment et postérieurement à la procédure pénale principale.
EXERCER LE DROIT À L’EFFACEMENT AU TITRE DE L’ARTICLE 16 DE LA DIRECTIVE 2016/680
Le droit à l’effacement est expressément reconnu par l’article 16 de la directive 2016/680. Cet article dispose que «les États membres prévoient le droit pour la personne concernée d’obtenir du responsable du traitement, dans les meilleurs délais, (…) l’effacement (…) lorsque le traitement constitue une violation des dispositions adoptées en vertu de l’article 4, 8 ou 10». La personne concernée peut donc, à tout moment, adresser une demande d’effacement à l’autorité de police responsable du traitement de ses données biométriques et génétiques, en invoquant la violation des principes de minimisation, de nécessité absolue ou de licéité.
La demande doit être motivée et étayée. Pour maximiser ses chances d’obtenir l’effacement, la personne concernée devra fonder sa demande sur les éléments concrets de sa situation individuelle : absence de condamnation ultérieure, faible gravité de l’infraction initiale, peine assortie du sursis, durée écoulée depuis les faits, absence de risque de récidive établi par les autorités. Ces éléments correspondent précisément aux critères retenus par la Cour administrative suprême tchèque et validés par la CJUE (§§ 25-27).
En l’absence de réponse ou en cas de refus, un recours juridictionnel est ouvert. Si l’autorité compétente ne donne pas suite dans un délai raisonnable ou oppose un refus, la personne concernée peut saisir la juridiction administrative ou ordinaire compétente selon le droit national. La Cour précise par ailleurs que «les changements de statut pénal de la personne concernée (…) entraînent une obligation, pour le responsable du traitement, de réexaminer dans un délai raisonnable la nécessité de conserver les données» (§§ 101-110). Le prononcé d’un non-lieu, d’un acquittement, l’expiration de la peine ou toute modification substantielle du statut pénal constitue donc un événement déclencheur d’un réexamen obligatoire, dont la personne peut se prévaloir en justice.
APPRÉCIER LA LÉGALITÉ DE L’ABSENCE DE DURÉE MAXIMALE DE CONSERVATION
L’absence de durée maximale n’est pas, en soi, illicite. La Cour juge que «même en cas de conservation de données à caractère personnel sensibles, un tel État membre n’est pas dans l’obligation de définir des limites temporelles absolues pour la conservation de ces données, au-delà desquelles ces dernières devraient être automatiquement effacées» (§ 104). L’absence de durée maximale prévue par le droit national n’est donc pas, en elle-même, un argument suffisant pour obtenir l’effacement automatique des données.
Mais l’absence de réexamen périodique fondé sur la nécessité absolue est illicite. La Cour pose une condition essentielle : le droit national doit fixer «des délais appropriés de vérification régulière de la nécessité de conserver ces données» et, à l’occasion de cette vérification, «la nécessité absolue de prolonger cette conservation doit être appréciée» (disp. 3). La personne concernée peut donc légitimement exiger, à l’occasion de tout réexamen, que l’autorité de police démontre la subsistance d’une nécessité absolue. À défaut de cet examen ou en cas d’examen purement formel ou automatique, la conservation est illicite.
La vigilance s’impose quant aux « règles internes » de police. La Cour admet que l’appréciation de la nécessité de conservation puisse être opérée «par les services de police sur la base de règles internes», sous réserve que «ces règles imposent à ces services de veiller au respect de la condition de nécessité absolue de conserver ces données et que la marge d’appréciation de ces services soit suffisamment encadrée par le droit national, y compris la jurisprudence nationale» (§ 110). La personne concernée est fondée à demander la communication de ces règles internes et à en contester le caractère suffisamment encadré si elles lui paraissent conférer à la police une discrétion excessive, non bornée par des critères clairs et prévisibles.
STRATÉGIE PROCÉDURALE ET RECOMMANDATIONS PRATIQUES
Identifier le fondement juridique applicable et vérifier sa prévisibilité. La première démarche consiste à identifier le texte de droit national qui fonde la collecte et la conservation des données. Si ce texte ne précise pas, au minimum, les objectifs, les finalités et les types de données concernés, il ne satisfait pas aux exigences de l’article 8, § 2, de la directive 2016/680 tel qu’interprété par la CJUE. La personne concernée peut alors exciper de cette insuffisance pour contester la licéité du traitement.
Recenser les éléments de fait favorables à l’effacement. La constitution d’un dossier solide est indispensable : absence de passé pénal antérieur, faible gravité intrinsèque des faits poursuivis, infraction non violente, peine légère ou avec sursis, écoulement du temps depuis les faits, comportement postérieur à la condamnation. Ces éléments correspondent aux critères de proportionnalité validés par la CJUE au regard de la jurisprudence de la Cour administrative suprême tchèque et sont susceptibles d’être invoqués devant toute juridiction nationale statuant sous l’empire de la directive 2016/680.
Surveiller l’issue de la procédure pénale et agir sans délai. L’acquittement, le non-lieu, la décision de classement sans suite, l’exécution complète de la peine ou toute décision mettant fin à la procédure constituent autant d’événements déclencheurs d’une obligation de réexamen à la charge de l’autorité de police. La personne concernée doit, dès que l’un de ces événements survient, adresser une demande formelle d’effacement en se référant expressément à l’article 16 de la directive 2016/680 et à l’arrêt C-57/23. Le délai de réaction de l’autorité de police sera ainsi contractualisé, ouvrant la voie à un recours en cas d’inertie.
Se tourner vers l’autorité de contrôle nationale en cas d’obstruction. En cas de refus injustifié ou de silence prolongé, la personne concernée peut saisir l’autorité nationale de protection des données (en France : la CNIL) d’une plainte formelle. L’autorité de contrôle dispose du pouvoir d’injonction à l’égard des responsables du traitement et peut ordonner l’effacement des données dans le cadre de sa compétence de contrôle sur les traitements relevant de la directive 2016/680.
Pas de contribution, soyez le premier