CJUE | ARRÊT DU 19 MARS 2026 | C-371/24 | COMDRIBUS │
LA COLLECTE DE DONNÉES BIOMÉTRIQUES PAR UNE AUTORITÉ DE POLICE DANS LE CADRE D’UNE ENQUÊTE PÉNALE NE PEUT ÊTRE JUSTIFIÉE QUE PAR UNE NÉCESSITÉ ABSOLUE
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
I. Contexte factuel et cadre normatif de la saisine
Le 30 mai 2020, lors d’une occupation militante de l’avenue des Champs-Élysées à Paris par plus d’une centaine d’activistes pour le climat, les forces de l’ordre sont intervenues pour disperser le rassemblement et ont interpellé plusieurs participants, dont HW, du chef d’organisation d’une manifestation non déclarée et de rébellion. Placé en garde à vue, HW a accepté de décliner son identité mais a catégoriquement refusé, d’une part, de se soumettre à la prise d’empreintes digitales et de photographies, et d’autre part, de communiquer le code de déverrouillage de son téléphone portable — et ce nonobstant l’information qui lui avait été dispensée sur le caractère délictuel de ces refus et les peines encourues.
Le 1er juin 2020, à l’issue de la garde à vue, HW a été déféré devant le procureur de la République puis devant le juge des libertés et de la détention, lequel l’a placé sous contrôle judiciaire en lui notifiant une convocation devant le tribunal correctionnel de Paris. La prévention portait sur trois chefs : l’organisation de la manifestation non déclarée, le refus de remettre la convention secrète de déchiffrement de son téléphone, et le refus de se soumettre au relevé signalétique dactyloscopique et photographique prévu à l’article 55-1 du code de procédure pénale (CPP).
Par jugement du 8 septembre 2021, le tribunal correctionnel de Paris a relaxé HW sur les deux premiers chefs — organisation de la manifestation non déclarée et refus de remettre les codes de déchiffrement — mais l’a déclaré coupable du seul chef de refus de relevé signalétique, le condamnant à une amende de 300 euros. HW et le ministère public ont interjeté appel de ce jugement devant la cour d’appel de Paris, juridiction de renvoi.
Sur le plan du droit national applicable, l’article 55-1 du CPP dans sa rédaction applicable aux faits prévoit que l’officier de police judiciaire « peut procéder, ou faire procéder sous son contrôle », aux opérations de relevés signalétiques — notamment de prises d’empreintes digitales, palmaires ou de photographies — de toute personne « à l’encontre de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction », ces opérations étant « nécessaires à l’alimentation et à la consultation des fichiers de police selon les règles propres à chacun de ces fichiers ». L’alinéa 3 du même article incrimine le refus de se soumettre à ces opérations d’une peine d’un an d’emprisonnement et de 15 000 euros d’amende.
La cour d’appel de Paris a constaté que la Cour de justice ne s’était pas encore prononcée sur la compatibilité d’une telle législation avec la directive 2016/680, en particulier sur trois points distincts : la collecte de données biométriques au stade des soupçons plausibles sans mise en examen préalable ; l’absence d’obligation de motivation adéquate de la nécessité absolue dans chaque cas d’espèce ; et la possibilité de poursuivre et condamner autonomement le refus de se soumettre au relevé signalétique en l’absence de poursuites ou de condamnation pour l’infraction principale l’ayant fondé. Par décision du 26 avril 2024, parvenue à la Cour le 24 mai 2024, elle a décidé de surseoir à statuer et de soumettre trois questions préjudicielles à la Cour.
II. Le cadre normatif de la directive 2016/680 et son articulation avec les droits fondamentaux
La directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 établit un régime spécifique de protection des données à caractère personnel traités par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales. Ce régime est distinct du cadre général du RGPD et se caractérise par un équilibre particulièrement délicat entre les impératifs de l’efficacité des enquêtes pénales et la protection des droits fondamentaux des personnes concernées.
L’article 10 de cette directive constitue la disposition-pivot de l’arrêt. Sous l’intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », il autorise le traitement des données biométriques — définies à l’article 3, point 13, comme les données résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales permettant l’identification unique d’une personne, telles que les images faciales ou données dactyloscopiques — « uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée », et uniquement lorsqu’ils sont autorisés par le droit d’un État membre, pour protéger des intérêts vitaux, ou lorsqu’ils portent sur des données manifestement rendues publiques par la personne.
Cette exigence de « nécessité absolue » ne saurait être confondue avec le principe de proportionnalité générale ou de nécessité ordinaire gouvernant le traitement de données non sensibles au titre des articles 4 et 8 de la même directive. Comme la Cour l’a déjà affirmé dans l’arrêt Ministerstvo na vatreshnite raboti I (C-205/21, EU:C:2023:49), cet article 10 constitue une mise en œuvre particulière des principes généraux de la directive, définissant des « conditions renforcées de licéité » spécifiquement adaptées aux données sensibles, dont les données biométriques font partie en raison des risques importants qu’elles présentent pour les libertés et droits fondamentaux, notamment le droit au respect de la vie privée (article 7 de la Charte) et le droit à la protection des données (article 8 de la Charte).
La Cour avait, dans ce précédent bulgare, censuré une législation nationale prévoyant la collecte systématique des données biométriques et génétiques de toute personne « mise en examen » pour une infraction intentionnelle poursuivie d’office, sans prévision d’obligation pour l’autorité compétente de vérifier et de démontrer, dans chaque cas, si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis. La question inédite soumise dans Comdribus portait quant à elle sur un seuil antérieur — celui des « soupçons plausibles » préalablement à toute mise en examen — et sur des problématiques additionnelles touchant à l’obligation de motivation et à l’autonomie de la sanction pénale du refus.
III. La première question : la collecte biométrique conditionnée aux seuls soupçons plausibles
A. Qualification des relevés signalétiques comme traitement de données biométriques
La Cour commence par qualifier, sans ambiguïté, les opérations de relevés signalétiques dactyloscopiques et photographiques au sens de l’article 55-1 du CPP comme portant sur des « données biométriques » au sens de l’article 10 de la directive 2016/680. En effet, les empreintes digitales comme les photographies donnent lieu à la collecte, respectivement, de données dactyloscopiques et d’images faciales qui, par traitement technique spécifique, fournissent des données relatives aux caractéristiques physiques d’une personne et permettent ou confirment son identification unique — répondant ainsi précisément à la définition de l’article 3, point 13, de la directive. Cette qualification est fondamentale car elle déclenche le régime de protection renforcé de l’article 10.
B. Les finalités de la collecte et leur définition
La Cour relève que la collecte de données biométriques prévue par l’article 55-1 du CPP a pour finalités, selon les termes de cette disposition et les observations du gouvernement français, de permettre une comparaison des données biométriques de la personne faisant l’objet d’une enquête pénale avec les traces et indices prélevés pour les nécessités de cette enquête, ainsi qu’à identifier la personne mise en cause dans le cadre de celle-ci ou d’autres procédures pénales en cours ou futures.
Or, la condition de « nécessité absolue » au sens de l’article 10 exige, d’abord, que les finalités d’un traitement de données sensibles ne soient pas désignées dans des termes à caractère trop général, mais soient définies de manière suffisamment précise et concrète pour permettre d’évaluer la nécessité absolue de celui-ci. En outre, cette condition implique un contrôle particulièrement strict du principe de minimisation des données, exigeant que le responsable du traitement s’assure que la finalité poursuivie ne puisse pas être atteinte de manière aussi efficace en ayant recours à des catégories de données autres que les données biométriques. Elle impose enfin de tenir compte de l’importance particulière de la finalité poursuivie et de l’ensemble des éléments pertinents tels que la nature et la gravité de l’infraction présumée, les circonstances particulières, le lien éventuel avec d’autres procédures et les antécédents judiciaires ou le profil individuel des personnes concernées.
C. L’insuffisance des seuls soupçons plausibles
La Cour tranche nettement : le seul fait qu’il existe une ou plusieurs raisons plausibles de soupçonner qu’une personne a commis ou tenté de commettre une infraction pénale « ne saurait être considéré comme étant un élément permettant, lui seul, de présumer que la collecte de ses données biométriques est absolument nécessaire » au regard des finalités spécifiques et concrètes qu’elle vise. Deux raisons convergentes étayent ce raisonnement.
D’une part, il ne peut être exclu que, dans certains cas, la collecte de données biométriques n’obéira, nonobstant l’existence de soupçons plausibles, à aucune nécessité concrète aux fins de la procédure pénale en cours — par exemple lorsque l’identité de la personne est déjà certaine et qu’aucune comparaison avec des traces ne s’impose. D’autre part, la possibilité que la collecte soit absolument nécessaire doit être appréciée conformément à la jurisprudence, au regard de l’ensemble des éléments pertinents, ce qui implique une individualisation que l’existence de simples soupçons ne permet pas de présupposer.
D. La distinction entre collecte non systématique et collecte conforme à la directive
La Cour prend soin de déminer un argument du gouvernement français selon lequel l’article 55-1 du CPP ne prévoirait qu’une faculté pour l’officier de police judiciaire et non une obligation — écartant ainsi le caractère « systématique » de la collecte. À rebours, la Cour précise, en se référant à la jurisprudence issue de l’arrêt Ministerstvo na vatreshnite raboti I, que l’absence de caractère systématique au sens formel est nécessaire mais non suffisante pour assurer la conformité à la directive. Une collecte qui n’est pas systématique au sens où elle ne s’applique pas de manière impérative à toutes les personnes relevant du champ d’application de la loi n’est conforme à la directive que si, en outre, elle est absolument nécessaire dans le cas particulier. La marge d’appréciation conférée à l’officier de police judiciaire doit donc être exercée dans le cadre d’une vérification effective et démontrable de la nécessité absolue au cas par cas.
E. Le dispositif et la réserve de conformité
La réponse à la première question est formulée avec une architecture duale, articulant une interdiction de principe et des conditions de conformité. L’article 10 de la directive 2016/680 « s’oppose » à une législation nationale prévoyant la collecte systématique des données biométriques de toute personne à l’égard de laquelle existent des soupçons plausibles, « à moins qu’il ne soit établi, d’une part, que le droit national définit les finalités spécifiques et concrètes poursuivies par cette collecte de manière appropriée et suffisamment précise et, d’autre part, que l’autorité compétente est tenue, dans chaque cas particulier, d’apprécier si ladite collecte est absolument nécessaire à la réalisation de ces finalités, si bien qu’une telle collecte ne revêt pas un caractère systématique ».
La Cour ajoute expressément qu’il appartient à la juridiction nationale de vérifier si la législation française impose à l’autorité de police judiciaire une telle automaticité et si sa mise en œuvre effective n’aboutit pas à une collecte systématique — renvoyant ainsi à la cour d’appel de Paris le soin d’examiner in concreto la pratique effective de l’article 55-1 du CPP à la lumière notamment des articles 6 et 88 de la loi Informatique et Libertés du 6 janvier 1978, que le gouvernement français invoquait comme transposant l’article 10 de la directive.
IV. La deuxième question : l’obligation de motivation adéquate de la nécessité absolue
A. Le fondement de l’obligation de motivation
La deuxième question préjudicielle interroge la Cour sur la conformité à la directive 2016/680 d’une législation ne prévoyant pas d’obligation pour l’autorité compétente de motiver de façon adéquate, dans chaque cas d’espèce, la nécessité absolue de la collecte de données biométriques. La Cour répond par une affirmative sans équivoque : une telle législation est contraire à la directive.
Le raisonnement s’articule sur deux piliers complémentaires. En premier lieu, la motivation est nécessaire pour permettre à la personne concernée d’exercer son droit à un recours juridictionnel effectif, consacré à l’article 54 de la directive et à l’article 47 de la Charte. En second lieu, la motivation est intrinsèquement exigée par la logique même de l’obligation d’appréciation individuelle de la nécessité absolue — car si l’autorité compétente est tenue d’évaluer la nécessité absolue dans chaque cas, elle doit nécessairement consigner les motifs de cette appréciation pour en permettre le contrôle.
B. L’irremplaçabilité de la motivation préalable par le contrôle juridictionnel a posteriori
Un des apports majeurs de l’arrêt réside dans la clarification d’un point demeuré incertain après l’arrêt Ministerstvo na vatreshnite raboti I : la question de savoir si l’exigence de motivation adéquate relève d’un examen préalable par l’autorité compétente ou peut être supplée par un contrôle a posteriori du juge saisi de la légalité de la collecte.
La Cour tranche sans ambiguïté que l’existence d’un contrôle juridictionnel portant sur la légalité de la collecte de données biométriques « ne saurait en aucun cas pallier l’absence d’obligation, pour cette autorité, de motiver la nécessité absolue de cette collecte ». C’est à l’autorité compétente qu’il incombe d’effectuer l’appréciation exigée en vertu de l’article 10, laquelle appréciation permet précisément d’assurer, à son tour, le caractère effectif du contrôle juridictionnel. Autrement dit, la motivation préalable est la condition du contrôle effectif, non l’inverse.
La Cour s’appuie ici sur sa jurisprudence antérieure issue de l’arrêt Ministerstvo na vatreshnite raboti II (C-80/23, EU:C:2024:991, points 57 et 61) pour solidifier cette position. Le caractère effectif du recours prévu à l’article 54 de la directive et à l’article 47 de la Charte exige que l’autorité compétente fournisse aux personnes concernées, dans le cadre des procédures nationales applicables, les motifs sur lesquels la nécessité absolue repose.
C. Les caractères de la motivation : succincte mais suffisamment claire
La Cour nuance toutefois les exigences formelles de la motivation. Elle précise qu’une telle motivation « peut être succincte, pourvu qu’elle soit suffisamment claire ». Cette formulation emporte deux conséquences pratiques importantes. D’un côté, l’obligation n’impose pas à l’officier de police judiciaire de rédiger un développement exhaustif pour chaque opération de relevé signalétique ; une formulation concise mais individualisée, précisant en quoi la collecte est absolument nécessaire au regard des circonstances spécifiques de l’espèce, suffit. De l’autre côté, une formule standardisée reproduisant les termes de la loi sans adaptation au cas particulier ne satisferait pas à l’exigence de clarté suffisante.
D. Le rejet de l’argument de la charge déraisonnable
Le gouvernement français avait soutenu, implicitement ou explicitement, que l’obligation de motivation dans chaque cas constituerait une charge déraisonnable pour les autorités de police judiciaire. La Cour rejette cet argument, relevant que cette obligation ne saurait constituer une charge déraisonnable dès lors que la collecte ne peut, en aucun cas, revêtir un caractère systématique. Le raisonnement est limpide : si la collecte n’est pas systématique et doit faire l’objet d’une appréciation individuelle, c’est précisément que chaque situation est, par hypothèse, spécifique et mérite une justification particulière.
V. La troisième question : l’infraction autonome de refus de relevé signalétique
A. La nature inédite de la question
La troisième question posée par la cour d’appel de Paris soulevait une problématique qualifiée par la Cour elle-même d’inédite au regard du droit de l’Union : la licéité d’une législation nationale permettant de poursuivre et de condamner pénalement une personne pour refus de se soumettre à la collecte de ses données biométriques, alors même que cette personne n’a pas été poursuivie ou condamnée pour l’infraction pénale qui fondait ladite collecte.
Cette situation correspondait exactement au cas de HW : relaxé pour l’infraction d’organisation de manifestation non déclarée (chef fondant le relevé signalétique), il n’en avait pas moins été condamné pour le seul refus du relevé signalétique. La question touchait donc à la possibilité d’une criminalisation autonome d’un refus portant sur une collecte de données qui, in fine, n’aura pas abouti à une procédure pénale substantielle.
B. Le champ d’application de la directive : la tentative de traitement
La Cour commence par déterminer si la directive 2016/680 s’applique à une telle situation, en relevant que la « tentative de procéder à un traitement des données à caractère personnel, telle que celle ayant lieu lorsqu’une personne refuse la collecte de ses données biométriques, des fins pénales relève du champ d’application de la directive 2016/680 ». Cette qualification est déterminante : elle soumet la légalité de la sanction du refus aux exigences de la directive, et non au seul droit pénal national.
Il s’ensuit que « la légalité de la sanction de ce refus dépend de la conformité de la collecte aux exigences de cette directive ». Une sanction pénale du refus de se soumettre à la collecte de données biométriques n’est donc possible que si la collecte envisagée répond à la condition de nécessité absolue, appréciée au regard des circonstances au moment où cette collecte est décidée par les autorités compétentes.
C. L’absence de poursuites pour l’infraction principale n’est pas déterminante en soi
La Cour opère une distinction analytique fondamentale : l’absence de poursuites ou de condamnation de l’intéressé pour l’infraction à l’origine de la collecte « n’est pas, elle seule, déterminante pour le respect de [la] condition [de nécessité absolue] ». Ce faisant, la Cour refuse toute automaticité en sens inverse : de même que les soupçons plausibles ne présument pas de la nécessité absolue, l’absence de condamnation pour l’infraction principale n’implique pas l’absence de nécessité absolue de la collecte.
L’appréciation de la nécessité absolue doit être conduite au moment où la collecte est décidée par les autorités compétentes — et non rétrospectivement à l’aune du résultat final de la procédure pénale. Ainsi, si au moment de l’interpellation les circonstances justifiaient objectivement la collecte biométrique, la relaxe ultérieure pour l’infraction principale n’y change rien quant à la licéité de la tentative de collecte.
D. L’exigence cumulative de proportionnalité de la sanction
La Cour identifie une seconde condition d’admissibilité de la sanction pénale du refus : le respect du principe de proportionnalité au sens de l’article 49, paragraphe 3, de la Charte des droits fondamentaux. Ce principe « exige que la sanction soit adaptée à la gravité de l’infraction et que, lors de la détermination de la sanction et du montant de l’amende, il soit tenu compte des circonstances de l’espèce, notamment du comportement et du profil de l’intéressé, de ses antécédents judiciaires et de la gravité de l’infraction présumée à l’origine de la collecte envisagée ».
La Cour signale ainsi au juge national qu’il lui appartient, dans la détermination de la sanction applicable au refus, de procéder à une individualisation de la peine tenant compte notamment de la nature de l’infraction principale qui fondait la collecte. Il s’ensuit implicitement qu’une peine identique pour le refus, qu’il s’agisse d’une infraction présumée de faible ou de grande gravité, serait susceptible de heurter le principe de proportionnalité des peines.
VI. Articulation jurisprudentielle et positionnement doctrinal
A. La ligne jurisprudentielle biométrique de la CJUE
L’arrêt Comdribus s’inscrit dans une ligne jurisprudentielle cohérente que la Cour a progressivement construite depuis l’arrêt Ministerstvo na vatreshnite raboti I du 26 janvier 2023 (C-205/21), première décision à avoir affirmé que l’article 10 de la directive 2016/680 « s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office […] sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer […] si cette collecte est absolument nécessaire ».
Cette ligne s’est poursuivie avec l’arrêt Direktor na Glavna direktsia (C-118/22, EU:C:2024:97) du 30 janvier 2024 et l’arrêt Policejní prezidium (C-57/23, EU:C:2025:905) du 20 novembre 2025, lesquels ont affiné les critères d’appréciation de la nécessité absolue en précisant que les finalités du traitement doivent être définies de manière suffisamment précise et concrète, que la nécessité absolue suppose un contrôle strict du principe de minimisation, et que l’ensemble des éléments pertinents — gravité de l’infraction, circonstances particulières, antécédents de la personne — doit être pris en compte. L’arrêt Ministerstvo na vatreshnite raboti II (C-80/23, EU:C:2024:991) du 28 novembre 2024 avait en outre renforcé les exigences relatives au contrôle juridictionnel effectif et à la motivation.
B. L’apport spécifique de Comdribus dans cette filiation
Comdribus apporte au moins trois contributions originales à cet édifice jurisprudentiel. Premièrement, il étend le champ d’application de la jurisprudence biométrique au stade antérieur à la mise en examen — celui des simples soupçons plausibles — qui est le seuil d’intervention précoce caractéristique des systèmes de common law ou des systèmes d’enquête préliminaire comme le droit français, confirmant ainsi l’universalité des exigences de nécessité absolue indépendamment du stade procédural.
Deuxièmement, il tranche de manière définitive la controverse sur le rôle respectif de la motivation préalable et du contrôle juridictionnel a posteriori, en excluant toute possibilité de substitution du second à la première. Ce faisant, la Cour consacre une obligation positive pesant directement sur les officiers de police judiciaire dans leur pratique quotidienne des gardes à vue.
Troisièmement, il inaugure un nouveau champ d’analyse : la licéité des incriminations pénales sanctionnant le refus de se soumettre à la collecte de données biométriques, en la conditionnant à la double exigence de conformité de la collecte sous-jacente à l’article 10 et de proportionnalité de la sanction au sens de la Charte. Ce développement ouvre la voie à des contentieux sur la constitutionnalité et la conventionnalité d’incriminations similaires dans d’autres États membres.
C. L’interaction avec le RGPD et le cadre général
La Cour rappelle au passage la délimitation des champs d’application respectifs du RGPD et de la directive 2016/680. Si le traitement de données à caractère personnel est effectué par une autorité compétente aux fins pénales visées à l’article 1er de la directive, c’est cette dernière qui s’applique exclusivement, non le RGPD. La directive 2016/680 constitue ainsi un régime sectoriel dérogeant au cadre général, caractérisé par des conditions de licéité spécifiques — notamment l’exigence de nécessité absolue pour les données sensibles — que les États membres ne peuvent alléger mais peuvent durcir.
L’articulation avec les droits fondamentaux de la Charte — et singulièrement les articles 7 (vie privée), 8 (protection des données), 47 (recours effectif) et 49 §3 (proportionnalité des peines) — est systématiquement mobilisée par la Cour pour interpréter les conditions d’application de l’article 10 de la directive. Ce recours à la Charte comme grille d’interprétation de la directive illustre la conception moniste de la protection des données dans l’espace juridique européen : la directive n’est pas seulement un acte de droit dérivé mais la traduction legislative concrète des droits fondamentaux consacrés par la Charte dans le domaine pénal.
VII. Les implications pour le droit procédural pénal français
A. La compatibilité de l’article 55-1 du CPP
La Cour ne se prononce pas elle-même sur la compatibilité de l’article 55-1 du CPP avec la directive 2016/680, renvoyant expressément ce contrôle à la cour d’appel de Paris. Elle fournit toutefois les critères d’examen permettant cette vérification, en particulier : (i) le droit national doit définir les finalités de la collecte de manière spécifique, concrète, appropriée et suffisamment précise ; (ii) l’officier de police judiciaire doit être tenu, dans chaque cas particulier, d’apprécier si la collecte est absolument nécessaire ; (iii) cette obligation doit se traduire par une motivation adéquate dans chaque cas.
Le gouvernement français avait fait valoir que les articles 6 et 88 de la loi du 6 janvier 1978 transposent l’article 10 de la directive en reprenant expressément le critère de nécessité absolue, et que l’officier de police judiciaire est donc tenu par cette exigence. La Cour ne valide ni n’infirme cette position, laissant à la juridiction nationale le soin de vérifier si ce cadre normatif impose effectivement une telle obligation individuelle d’appréciation et de motivation.
B. Les conséquences pratiques immédiates pour les gardes à vue
L’arrêt Comdribus a des implications pratiques considérables pour la pratique des officiers de police judiciaire en matière de relevés signalétiques. Chaque opération de relevé signalétique doit désormais, pour être conforme à la directive 2016/680, être précédée d’une appréciation individuelle de sa nécessité absolue et être accompagnée d’une motivation, même succincte mais suffisamment claire, consignée dans la procédure. Cette motivation doit intégrer les éléments pertinents tenant notamment à la nature et à la gravité de l’infraction présumée, aux circonstances de l’espèce, aux antécédents de la personne et à la pertinence de la comparaison envisagée.
L’absence d’une telle motivation ne saurait être suppléée ni par la pratique d’un contrôle a posteriori, ni par la jurisprudence ou les instructions générales, ni par le fait que la collecte n’aurait pas eu un caractère strictement automatique. C’est une obligation de fond pesant sur chaque acte individuel de collecte de données biométriques.
C. L’incrimination du refus et la proportionnalité des peines
S’agissant du troisième chef, la Cour valide en principe l’incrimination du refus de se soumettre au relevé signalétique prévue par l’article 55-1, alinéa 3, du CPP — sous réserve que la collecte sous-jacente réponde à la condition de nécessité absolue et que la sanction infligée respecte le principe de proportionnalité des peines au sens de l’article 49, §3 de la Charte.
Cette dernière exigence implique que les juridictions répressives appelées à se prononcer sur le refus de relevé signalétique intègrent dans leur appréciation de la sanction la gravité de l’infraction présumée qui fondait la collecte envisagée. En l’espèce, l’infraction d’organisation de manifestation non déclarée — pour laquelle HW avait été relaxé — est d’une gravité moindre que des infractions de droit commun ; la Cour invite ainsi implicitement la cour d’appel à tenir compte de ce paramètre dans la fixation de l’amende.
VIII. Enseignements transversaux et perspectives pour le droit de la protection des données en matière pénale
L’arrêt Comdribus, au-delà de ses solutions spécifiques, délivre plusieurs enseignements transversaux pour le droit de la protection des données à caractère personnel dans le champ répressif.
En premier lieu, il confirme que la protection des données biométriques dans le contexte pénal n’est pas une protection de second rang par rapport à la protection générale des données. Au contraire, le niveau d’exigence imposé par l’article 10 de la directive 2016/680 est plus élevé que celui découlant des principes généraux des articles 4 et 8. La Cour rappelle que ces catégories de données « sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux, car le contexte dans lequel de telles données sont traitées peut engendrer des risques importants pour les libertés et les droits des personnes concernées ».
En deuxième lieu, l’arrêt illustre la tension entre efficacité de l’enquête pénale et droits fondamentaux, mais la résout dans le sens d’une primauté de ces derniers lorsque l’atteinte porte sur des données sensibles. La Cour refuse ainsi aux États membres toute latitude pour présumer la nécessité absolue de la collecte biométrique à partir de critères généraux comme l’existence de soupçons plausibles, fussent-ils raisonnables.
En troisième lieu, la consécration d’une obligation de motivation individualisée pesant sur les officiers de police judiciaire représente une innovation majeure dans l’ordre procédural pénal français, traditionnellement dominé par le principe de liberté des preuves et une culture administrative de standardisation des actes de procédure. Elle rapproche la pratique des relevés signalétiques de la logique du contrôle de proportionnalité propre au droit administratif et au droit des droits de l’homme.
En quatrième lieu, la subordination de la licéité de la sanction pénale du refus à la conformité de la collecte sous-jacente aux exigences de la directive ouvre une voie nouvelle de défense pour les prévenus poursuivis du chef de refus de relevé signalétique : l’illicéité de la collecte envisagée, pour absence de nécessité absolue ou de motivation adéquate, emporte l’illicéité de la sanction du refus.
POINTS ESSENTIELS
26.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats