CJUE | ARRÊT DU 19 MARS 2026 | C-371/24 | COMDRIBUS │
VOS EMPREINTES DIGITALES NE DEVRAIENT PAS ÊTRE PRISES À LA LÉGÈRE …
LA COLLECTE DE DONNÉES BIOMÉTRIQUES NE PEUT ÊTRE EFFECTUÉE QUE SOUS CONDITION DE NÉCESSITÉ ABSOLUE MOTIVÉE PAR LE MINISTÈRE PUBLIC.
LA COLLECTE DE DONNÉES BIOMÉTRIQUES PAR UNE AUTORITÉ DE POLICE DANS LE CADRE D’UNE ENQUÊTE PÉNALE NE PEUT ÊTRE JUSTIFIÉE QUE PAR UNE NÉCESSITÉ ABSOLUE
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
1. PRÉSENTATION GÉNÉRALE
L’arrêt C-371/24 Comdribus du 19 mars 2026 constitue une décision de premier rang dans la construction prétorienne de la Directive UE 2016/680 relative à la protection des données à caractère personnel traitées par les autorités compétentes à des fins pénales. Rendu sur renvoi préjudiciel de la cour d’appel de Paris — juridiction nationale inédite à saisir la Cour sur le fondement de cette directive pour contester une disposition centrale du code de procédure pénale français — l’arrêt tranche trois questions d’une sensibilité institutionnelle et politique considérable.
En substance, la Cour de justice est appelée à déterminer si l’article 55-1 du code de procédure pénale (ci-après « CPP »), qui permet à l’officier de police judiciaire (ci-après « OPJ ») de procéder au relevé signalétique — empreintes digitales et photographies — de toute personne à l’égard de laquelle il existe « une ou plusieurs raisons plausibles de soupçonner » la commission ou la tentative de commission d’une infraction, est compatible avec l’exigence de « nécessité absolue » édictée par l’article 10 de la directive 2016/680 pour le traitement des données biométriques.
L’affaire s’inscrit dans une lignée jurisprudentielle déjà riche — inaugurée par l’arrêt C-205/21 Ministerstvo na vatreshnite raboti I du 26 janvier 2023, puis prolongée par C-118/22 Direktor na Glavna direktsia du 30 janvier 2024 et C-57/23 Policejní prezidium du 20 novembre 2025 — mais apporte des précisions substantielles et inédites sur trois points restés ouverts : (i) le seuil de soupçon suffisant pour fonder la collecte biométrique en dehors de toute mise en examen formelle ; (ii) l’obligation de motivation incombant à l’autorité compétente ; et (iii) la légalité d’une infraction pénale autonome réprimant le refus de se soumettre au relevé signalétique.
2. LA CONDITION DE « NÉCESSITÉ ABSOLUE »
2.1. LA STRUCTURE QUADRIPARTITE DE LA NÉCESSITÉ ABSOLUE
La contribution jurisprudentielle la plus marquante de l’arrêt Comdribus réside dans la systématisation en quatre niveaux de la condition de « nécessité absolue » au sens de l’article 10 de la directive 2016/680, opérée aux points 28 à 34 de l’arrêt en reprenant et consolidant la jurisprudence antérieure, en particulier Policejní prezidium :
Premier niveau : La nécessité doit être appréciée de manière particulièrement rigoureuse au regard des finalités poursuivies et ne peut exister que dans un nombre limité de cas (pt. 28).
Deuxième niveau : Le principe de minimisation des données impose un contrôle particulièrement strict, exigeant que le responsable du traitement s’assure que la finalité poursuivie ne puisse pas être atteinte de manière aussi efficace en ayant recours à des catégories de données non biométriques (pt. 32).
Troisième niveau : L’importance particulière de la finalité poursuivie doit être prise en compte, notamment la nature de cette finalité, le fait que le traitement sert un but spécifique et concret en lien avec la prévention ou la répression d’infractions graves, ainsi que les circonstances spécifiques dans lesquelles ledit traitement est effectué (pt. 33).
Quatrième niveau : L’ensemble des éléments pertinents propres à l’espèce doit être pris en considération, à savoir la nature et la gravité de l’infraction présumée, les circonstances particulières de cette infraction, le lien éventuel avec d’autres procédures en cours, ainsi que les antécédents judiciaires ou le profil individuel des personnes en cause (pt. 34).
Cette structure quadripartite révèle un modèle d’appréciation in concreto qui interdit radicalement tout automatisme, toute présomption irréfragable de nécessité attachée au seul fait du soupçon. Elle traduit une conception exigeante de la proportionnalité, cohérente avec la jurisprudence de la Cour en matière de données sensibles sous le RGPD, mais amplifiée par la gravité des enjeux propres au cadre pénal.
2.2. LA DISQUALIFICATION DE LA COLLECTE SYSTÉMATIQUE
La Cour confirme que :
« le seul fait qu’il existe une ou plusieurs raisons plausibles de soupçonner qu’une personne a commis ou a tenté de commettre une telle infraction ne saurait être considéré comme étant un élément permettant, lui seul, de présumer que la collecte de ses données biométriques est absolument nécessaire » (pt. 41).
Cette formule est d’une portée considérable. Elle signifie que le seuil du « soupçon plausible » — pourtant central en procédure pénale pour des actes d’enquête bien moins intrusifs — ne suffit pas, à lui seul, à justifier la collecte de données biométriques. La Cour ne nie pas que ce seuil puisse être un point de départ pertinent, mais refuse d’en faire une présomption automatique de nécessité absolue.
Ce faisant, l’arrêt confirme qu’un État membre peut choisir entre deux modalités de conformité (pt. 35) : soit déléguer aux autorités compétentes l’appréciation cas par cas de la nécessité absolue, soit fixer au niveau législatif des critères d’appréciation que les autorités appliqueront de manière non discrétionnaire — à condition que ces critères remplissent l’ensemble des exigences découlant de la condition de nécessité absolue. La Cour laisse ainsi une marge de manœuvre procédurale aux États membres, mais encadre étroitement le fond.
2.3. LA DÉLICATE QUESTION DE LA MARGE D’APPRÉCIATION NATIONALE
Dans un mouvement d’apparent self-restraint qui traduit en réalité une maîtrise technique rigoureuse du partage des compétences entre Cour de justice et juridictions nationales, la Cour refuse de trancher définitivement la question de savoir si l’article 55-1 CPP tel qu’interprété en pratique par les autorités françaises conduit à une collecte systématique (pts. 49-53). Elle rappelle avec constance :
« il n’appartient pas à la Cour de se prononcer sur l’interprétation des dispositions nationales et de juger si l’interprétation ou l’application qu’en donne le juge national est correcte » (pt. 49, citant C-548/21, pt. 53).
Ce renvoi à la cour d’appel de Paris pour vérification est stratégique : il permet à la Cour de poser des principes d’une portée générale sans s’immiscer dans le débat national relatif à la portée réelle du verbe « peut » à l’article 55-1, premier alinéa, CPP (marge d’appréciation de l’OPJ), et à l’allégation factuelle de HW selon laquelle le FAED contiendrait les empreintes de 6,5 millions de personnes (pt. 53), indice puissant d’une pratique systématique.
3. L’OBLIGATION DE MOTIVATION
3.1. L’ANCRAGE CONSTITUTIONNEL
La réponse à la deuxième question préjudicielle constitue l’un des apports les plus innovants de l’arrêt. La Cour établit que l’obligation de motivation incombant à l’autorité compétente lors de la collecte de données biométriques ne découle pas seulement de l’article 4, §4, de la directive 2016/680 (principe d’accountability du responsable du traitement), mais est également ancrée dans l’article 47 de la Charte relatif au droit à un recours juridictionnel effectif, via l’article 54 de la directive.
La Cour précise que :
« le droit à un recours juridictionnel effectif, garanti [à l’article 47 de la Charte], exige, en principe, que l’intéressé puisse connaître les motifs sur lesquels est fondée la décision prise à son égard, […] afin de lui permettre de défendre ses droits dans les meilleures conditions possibles et de décider en pleine connaissance de cause s’il est utile de saisir le juge compétent, ainsi que pour mettre ce dernier pleinement en mesure d’exercer le contrôle de la légalité de cette décision » (pt. 66, citant C-229/23, pt. 52).
3.2. LE STANDARD DE LA MOTIVATION
La Cour adopte une position pragmatique : la motivation peut être « succincte, pourvu qu’elle soit suffisamment claire » (pt. 70). Elle n’exige pas un raisonnement développé, mais impose un minimum permettant à la personne concernée de comprendre les raisons de la mesure et d’exercer son droit de recours. Ce faisant, elle réfute l’argument gouvernemental selon lequel l’obligation de motivation compromettrait les enquêtes pénales.
L’articulation est remarquable : la Cour rejette également l’argument selon lequel le contrôle juridictionnel a posteriori pourrait suppléer à l’absence d’obligation de motivation pesant sur l’autorité compétente (pt. 73). C’est à cette dernière qu’il incombe d’effectuer l’appréciation exigée par l’article 10 : le juge national ne peut contrôler que ce qui a été motivé.
3.3. L’ACCOUNTABILITY COMME FONDEMENT RENFORCÉ
La Cour mobilise expressément le principe d’accountability du responsable du traitement (article 4, § 4 de la directive 2016/680) comme fondement supplémentaire de l’obligation de motivation (pt. 72). L’OPJ, en tant que responsable du traitement, doit être en mesure de « démontrer le respect » des obligations de licéité, de minimisation et de nécessité absolue. Cette démonstration suppose nécessairement une trace documentée de l’appréciation effectuée.
4. LA LÉGALITÉ DE L’INFRACTION DE REFUS
4.1. LA SOUMISSION DE LA SANCTION À LA CONFORMITÉ DE LA COLLECTE SOUS-JACENTE
La troisième question — la plus originale en droit — soulève la question de la légalité d’une infraction pénale autonome réprimant le refus de se soumettre au relevé signalétique, alors même que l’infraction principale ayant justifié la mesure n’a pas donné lieu à poursuite ou condamnation. La Cour y répond en construisant un lien de dépendance entre la légalité de la sanction et la conformité de la collecte sous-jacente aux exigences de la directive.
La Cour pose le principe fondamental :
« lorsque ce refus expose cette personne, en vertu du droit national, à l’infliction d’une sanction pénale au titre d’une infraction spécifique tenant audit refus, la conformité de la collecte de données biométriques envisagée aux dispositions de cette directive constitue une condition de la légalité de cette sanction » (pt. 83).
4.2. LA NON-DÉTERMINATION DE L’ABSENCE DE POURSUITE POUR L’INFRACTION PRINCIPALE
La Cour refuse d’ériger l’absence de poursuite ou de condamnation pour l’infraction principale en critère per se d’illégalité de la sanction pour refus (pt. 86). Elle raisonne en termes temporels : la nécessité absolue de la collecte doit s’apprécier au regard des circonstances au moment où cette collecte est décidée par les autorités compétentes, et non à l’aune du dénouement ultérieur de la procédure. La relaxe prononcée pour l’infraction principale n’invalide donc pas rétroactivement la légalité de la tentative de collecte.
Cette position est doctrinalement cohérente avec la présomption d’innocence et le principe de légalité des délits et des peines : les droits de la défense sont garantis non par l’absorption des poursuites pour refus dans celles relatives à l’infraction principale, mais par le contrôle de la nécessité absolue de la collecte.
4.3. L’EXIGENCE DE PROPORTIONNALITÉ DE LA SANCTION
La Cour mobilise l’article 49, §3, de la Charte (principe de proportionnalité des peines) pour encadrer la sanction applicable au refus. Elle précise que la juridiction nationale :
« [doit] tenir compte, conformément à la jurisprudence rappelée au point 34 du présent arrêt, notamment, du comportement et du profil de cette personne, de ses antécédents judiciaires et de la gravité de l’infraction pénale présumée qui fondait la collecte envisagée » (pt. 90).
L’articulation est subtile : les critères d’appréciation de la nécessité absolue de la collecte (profil, antécédents, gravité de l’infraction présumée) rejaillissent sur la détermination de la peine pour refus. Les deux appréciations sont liées par des critères communs.
5. ANALYSE CRITIQUE
5.1. LA FORCE NORMATIVE DE LA CLARIFICATION
L’arrêt Comdribus consolide avec autorité la doctrine de la nécessité absolue en droit pénal des données, en l’appliquant pour la première fois à une législation nationale d’un État fondateur — la France — et à un seuil procédural (le soupçon plausible, stade antérieur à la mise en examen) inférieur à celui examiné dans Ministerstvo na vatreshnite raboti I. La portée normative est donc plus large, et potentiellement plus contraignante pour les législations nationales.
L’introduction de l’obligation de motivation comme garantie ancrée dans l’article 47 de la Charte est une avancée technique majeure qui dépasse le seul cadre de la directive 2016/680 : elle implique que tout traitement de données biométriques par une autorité compétente doit être précédé d’une décision motivée, même brièvement. C’est une forme de droit fondamental procédural nouveau dans le domaine pénal des données.
5.2. LES ZONES D’OMBRE ET LES LIMITES
Première limite : En renvoyant à la cour d’appel de Paris la vérification de la qualification de la collecte (systématique ou non), la Cour laisse ouverte une question de fond : si l’article 55-1 CPP est interprété par les juridictions françaises comme laissant une marge d’appréciation à l’OPJ, mais que la pratique est systématique (6,5 millions d’empreintes au FAED), quelle est la valeur de cette marge théorique face à une réalité contraire ? La Cour ne répond pas à cette tension entre texte et pratique.
Deuxième limite : La définition du contenu et de la forme précise de la « motivation succincte » est laissée à l’appréciation des États membres et des juridictions nationales. L’arrêt n’impose pas de modèle, ni de support documentaire spécifique (procès-verbal, formulaire), ce qui risque d’engendrer des pratiques hétérogènes au sein des États membres.
Troisième limite : La Cour ne se prononce pas explicitement sur la question de savoir si le droit national peut déléguer le contrôle de la nécessité absolue au ministère public ou au juge des libertés et de la détention, plutôt qu’à l’OPJ lui-même. Cette question, pourtant centrale dans le droit français de l’enquête, reste en suspens.
6. CONTEXTUALISATION
L’arrêt Comdribus s’inscrit dans un dialogue jurisprudentiel particulièrement fécond qui a connu une accélération notable depuis 2023. La ligne C-205/21 → C-118/22 → C-57/23 → C-371/24 dessine une jurisprudence cohérente d’interprétation stricte de la nécessité absolue pour les données biométriques en matière pénale.
L’arrêt est à mettre en regard avec C-548/21 Bezirkshauptmannschaft Landeck (4 octobre 2024), qui avait jugé que la tentative d’accès aux données personnelles stockées sur un téléphone portable en matière pénale relevait du champ d’application de la directive 2016/680 — pointe avancée que Comdribus prolonge en l’appliquant à la logique de la sanction pour refus.
Il convient également de le rapprocher de C-80/23 Ministerstvo na vatreshnite raboti II (28 novembre 2024), qui a imposé l’obligation de motivation pour la conservation des données biométriques et gén étiques — Comdribus franchissant une étape supplémentaire en l’imposant dès la collecte initiale.
Enfin, dans la perspective du C-5/25 Pilev pendant devant la Cour (conclusions Avocat Général Szpunar du 5 mars 2026 : ECLI:EU:C:2026:167), relatif à la vérification d’identité de l’accusé en audience publique sous la directive 2016/680, l’arrêt Comdribus fournira un cadre de référence utile pour l’appréciation de la nécessité absolue dans d’autres contextes procéduraux pénaux.
POINTS ESSENTIELS
L’arrêt Comdribus du 19 mars 2026 (C-371/24, ECLI:EU:C:2026:219) constitue une décision de premier plan dans la construction prétorienne de la directive (UE) 2016/680 relative à la protection des données à caractère personnel traitées par les autorités compétentes à des fins pénales et statue pour la première fois sur la compatibilité de l’article 55-1 du code de procédure pénale (collecte de données biométriques de toute personne à l’égard de laquelle il existe des raisons plausibles de soupçon) avec l’exigence de nécessité absolue de l’article 10 de ladite directive; la Cour, s’inscrivant dans la ligne jurisprudentielle inaugurée par Ministerstvo na vatreshnite raboti I (C-205/21, 26 janvier 2023) et consolidée par Policejní prezidium (C-57/23, 20 novembre 2025).
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats