CJUE | ARRÊT DU 19 MARS 2026 | C-371/24 | COMDRIBUS │
VOS EMPREINTES DIGITALES NE DEVRAIENT PAS ÊTRE PRISES À LA LÉGÈRE …
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
L’arrêt Comdribus du 19 mars 2026 (C-371/24, ECLI:EU:C:2026:219) constitue une décision de premier plan dans la construction prétorienne de la directive (UE) 2016/680 relative à la protection des données à caractère personnel traitées par les autorités compétentes à des fins pénales et statue pour la première fois sur la compatibilité de l’article 55-1 du code de procédure pénale (collecte de données biométriques de toute personne à l’égard de laquelle il existe des raisons plausibles de soupçon) avec l’exigence de nécessité absolue de l’article 10 de ladite directive; la Cour, s’inscrivant dans la ligne jurisprudentielle inaugurée par Ministerstvo na vatreshnite raboti I (C-205/21, 26 janvier 2023) et consolidée par Policejní prezidium (C-57/23, 20 novembre 2025).
1. LA MOTIVATION DE L’AVOCAT GÉNÉRAL
1.1. SUR LE SEUIL DU SOUPÇON PLAUSIBLE AU REGARD DE LA NÉCESSITÉ ABSOLUE
L’Avocat général Szpunar structure sa démonstration autour de la tension entre, d’une part, la portée textuelle de l’article 55-1 CPP — qui confère à l’OPJ un pouvoir dont le verbe « peut » suggère une faculté discrétionnaire — et, d’autre part, la réalité pratique telle que décrite par la juridiction de renvoi, à savoir le contenu du FAED qui contiendrait les empreintes de 6,5 millions de personnes. L’Avocat Général Szpunar développe son raisonnement en deux temps.
1., s’agissant de la qualification des données collectées, il confirme aux points 52 à 54 de ses conclusions que les données dactyloscopiques et les images faciales collectées en vertu de l’article 55-1 CPP constituent des « données biométriques » au sens de l’article 3, point 13, de la directive 2016/680 et que les finalités de la collecte — comparaison avec les traces de l’enquête en cours et identification dans des procédures futures — apparaissent adéquates et pertinentes au sens de l’article 4, §1, sous c), de ladite directive, sous réserve que ces finalités soient définies de manière appropriée et suffisamment précise par le droit national, en ce compris la jurisprudence des juridictions nationales.
2., l’Avocat Général soulève l’argument — repris par la Cour au point 53 de l’arrêt — selon lequel l’indication que le FAED contiendrait les données biométriques de 6,5 millions de personnes « pourrait être un indice pertinent » de la pratique systématique de collecte, mais qu’il appartient à la juridiction de renvoi de vérifier si cet argument est fondé. L’Avocat Général adopte ainsi une position médiane : il ne tranche pas la question de la compatibilité in abstracto de l’article 55-1 CPP, mais fournit à la juridiction nationale les critères d’appréciation pour ce faire.
1.2. SUR L’OBLIGATION DE MOTIVATION PRÉALABLE
L’Avocat Général Szpunar développe une analyse rigoureuse de l’obligation de motivation à travers le prisme conjugué de l’article 4, §4 (principe d’accountability) et de l’article 54 (droit à un recours juridictionnel effectif) de la directive 2016/680, lus à la lumière de l’article 47 de la Charte. Il réfute l’argument du gouvernement français selon lequel la motivation serait assurée a posteriori par le contrôle juridictionnel.
L’Avocat Général souligne que la charge de la preuve de la nécessité absolue pèse sur le responsable du traitement (l’OPJ) et non sur la personne concernée ou sur le juge. Il tire argument du considérant 26 de la directive 2016/680 — qui distingue expressément les conditions renforcées applicables aux données sensibles — pour asseoir l’exigence d’une trace documentaire de l’appréciation effectuée. Cette obligation n’exige pas, précise-t-il, de motivation développée, mais une mention succincte et suffisamment claire des éléments ayant conduit l’autorité compétente à estimer la collecte absolument nécessaire.
1.3. SUR LA LÉGALITÉ DE LA SANCTION POUR REFUS
Sur le point le plus original, l’Avocat Général Szpunar procède à une analyse combinée des principes de légalité des délits et des peines (article 49, § 1 de la Charte) et de proportionnalité des peines (article 49, § 3 de la Charte). Il pose le principe que la légalité de la sanction pour refus est dérivée de la légalité de la collecte sous-jacente : si la collecte envisagée était contraire aux exigences de la directive 2016/680, il ne saurait y avoir d’infraction valablement constituée pour refus de s’y soumettre.
Concernant l’absence de poursuite ou de condamnation pour l’infraction principale, l’Avocat Général refuse d’en faire un critère d’illégalité per se de la sanction pour refus, raisonnant en termes temporels : la nécessité absolue s’apprécie au moment de la collecte, non en fonction du dénouement ultérieur de la procédure.
2. LA MOTIVATION DE LA COUR
2.1. SUR LA PREMIÈRE QUESTION PRÉJUDICIELLE
La Cour reformule la question en demandant, en substance, si l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, §1, sous a) à c), et l’article 8, « doit être interprété en ce sens qu’il s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale » (pt. 22).
La Cour pose d’abord la structure quadripartite de la nécessité absolue (pts. 28-34). Elle rappelle que :
« la condition de “nécessité absolue”, au sens de l’article 10 de cette directive, qui définit des conditions renforcées de licéité du traitement des données sensibles au regard de celles découlant desdits articles 4 et 8, implique, en premier lieu, que cette nécessité soit appréciée de manière particulièrement rigoureuse au regard des finalités poursuivies par le traitement en cause et que, par suite, un tel traitement ne puisse être considéré comme étant nécessaire que dans un nombre limité de cas » (pt. 28, citant C-205/21 et C-57/23).
Elle rappelle en deuxième lieu l’exigence de minimisation :
« la condition de “nécessité absolue”, au sens de l’article 10 de la directive 2016/680, implique un contrôle particulièrement strict du respect du principe de minimisation du traitement des données concernées, énoncé à l’article 4, §1, sous c), de cette directive, et requiert ainsi que le responsable du traitement des données à caractère personnel sensibles s’assure que la finalité poursuivie par le traitement concerné ne puisse pas être atteinte de manière aussi efficace en ayant recours à des catégories de données autres que celles énumérées à cet article 10 » (pt. 32, citant C-205/21 et C-57/23).
En troisième lieu, la Cour exige la prise en compte de l’importance particulière de la finalité (pt. 33), et en quatrième lieu, de l’ensemble des éléments propres à l’espèce — nature et gravité de l’infraction présumée, circonstances particulières, liens avec d’autres procédures, antécédents et profil individuel (pt. 34, citant C-57/23).
La Cour qualifie ensuite l’article 55-1 CPP comme portant sur le « traitement » de « données biométriques » au sens de l’article 10 (pt. 37) et confirme que les finalités de comparaison et d’identification apparaissent adéquates et pertinentes (pt. 39). Mais elle relève :
« le seul fait qu’il existe une ou plusieurs raisons plausibles de soupçonner qu’une personne a commis ou a tenté de commettre une telle infraction ne saurait être considéré comme étant un élément permettant, à lui seul, de présumer que la collecte de ses données biométriques est absolument nécessaire au regard des finalités spécifiques et concrètes qu’elle vise et compte tenu des atteintes aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis par les articles 7 et 8 de la Charte » (pt. 41, citant C-205/21, pt. 130).
Elle précise en outre que :
« il ne peut être exclu que, dans certains cas, la collecte de données biométriques n’obéira, nonobstant l’existence d’une ou de plusieurs raisons plausibles de soupçonner que la personne concernée a commis ou tenté de commettre une infraction pénale, à aucune nécessité concrète aux fins de la procédure pénale en cours » (pt. 42, citant C-205/21, pt. 131).
La Cour renvoie à la juridiction de renvoi l’appréciation de la portée réelle de l’article 55-1 CPP (pt. 49-53), en lui fournissant les critères d’appréciation :
« Si, en revanche, l’article 55-1 du code de procédure pénale doit être interprété en ce sens qu’il prévoit la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, cette disposition est contraire à l’article 10 de ladite directive, dès lors qu’elle est susceptible de conduire, de manière indifférenciée et généralisée, à la collecte des données biométriques de la plupart des suspects, en méconnaissance des conditions découlant de la condition de “nécessité absolue” » (pt. 52).
2.2. SUR LA DEUXIÈME QUESTION PRÉJUDICIELLE
La Cour reformule la question en demandant si l’article 10, lu en combinaison avec les articles 4 et 8 de la directive 2016/680, lus à la lumière des articles 47 et 52 de la Charte, s’oppose à une législation nationale qui ne prévoit pas d’obligation pour l’autorité compétente de motiver, de façon adéquate, dans chaque cas d’espèce, en quoi la collecte de données biométriques répond à une nécessité absolue (pt. 55).
La Cour rappelle le principe d’accountability :
« L’article 4, §4, de la directive 2016/680 énonce que le responsable du traitement est responsable du respect des principes relatifs au traitement des données à caractère personnel prévus au §1 de cet article et “est en mesure de démontrer que ces dispositions sont respectées”, consacrant ainsi un “principe de responsabilité” (accountability) » (pt. 63).
Elle ancre l’obligation de motivation dans l’article 47 de la Charte :
« le droit à un recours juridictionnel effectif, garanti [à l’article 47 de la Charte], exige, en principe, que l’intéressé puisse connaître les motifs sur lesquels est fondée la décision prise à son égard, […] afin de lui permettre de défendre ses droits dans les meilleures conditions possibles et de décider en pleine connaissance de cause s’il est utile de saisir le juge compétent, ainsi que pour mettre ce dernier pleinement en mesure d’exercer le contrôle de la légalité de cette décision » (pt. 66, citant C-229/23, pt. 52).
Elle adopte une position nuancée sur le contenu de la motivation, en précisant qu’elle peut être succincte :
« une motivation est en principe nécessaire, mais […] une telle motivation peut être succincte, pourvu qu’elle soit suffisamment claire pour permettre à la personne concernée de comprendre les raisons de la mesure et d’exercer son droit de recours » (pt. 70).
Elle rejette l’argument selon lequel le contrôle juridictionnel a posteriori suppléerait à l’absence de motivation de l’autorité compétente :
« le juge national ne peut contrôler que ce qui a été motivé — et c’est à l’autorité compétente qu’il incombe d’effectuer l’appréciation exigée par l’article 10, en vertu du principe d’accountability » (pt. 73, paraphrasé depuis l’arrêt).
2.3. SUR LA TROISIÈME QUESTION PRÉJUDICIELLE
La Cour pose le principe de dépendance entre légalité de la sanction et conformité de la collecte sous-jacente :
« lorsque ce refus expose cette personne, en vertu du droit national, à l’infliction d’une sanction pénale au titre d’une infraction spécifique tenant audit refus, la conformité de la collecte de données biométriques envisagée aux dispositions de cette directive constitue une condition de la légalité de cette sanction » (pt. 83).
Elle refuse d’ériger la relaxe pour l’infraction principale en critère d’illégalité de la sanction pour refus :
« l’absence de poursuite pénale ou de condamnation pour l’infraction pénale qui fondait la collecte envisagée de données biométriques ne détermine pas, en tant que telle, la légalité ou l’illégalité de ladite sanction » (pt. 86).
Sur la proportionnalité de la sanction, la Cour mobilise l’article 49, § 3 de la Charte :
« la juridiction nationale […] doit tenir compte, conformément à la jurisprudence rappelée au point 34 du présent arrêt, notamment, du comportement et du profil de cette personne, de ses antécédents judiciaires et de la gravité de l’infraction pénale présumée qui fondait la collecte envisagée » (pt. 90).
3. LE DISPOSITIF DE L’ARRÊT
Par ces motifs, la Cour (cinquième chambre) dit pour droit :
1) L’article 10 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, lu en combinaison avec l’article 4, §1, sous a) à c), ainsi qu’avec l’article 8 de cette directive,
doit être interprété en ce sens qu’il s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale.
Il appartient à la juridiction de renvoi de déterminer si la législation nationale en cause au principal prévoit une telle collecte systématique, en tenant compte de l’ensemble des éléments pertinents, notamment du libellé de cette législation, de la jurisprudence nationale et des données statistiques disponibles.
2) L’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, §1, sous a) à c), ainsi qu’avec l’article 8 de cette directive, lus à la lumière des articles 47 et 52 de la charte des droits fondamentaux de l’Union européenne,
doit être interprété en ce sens qu’il s’oppose à une législation nationale qui ne prévoit pas l’obligation, pour l’autorité compétente, de motiver de façon adéquate, dans chaque cas d’espèce, en quoi la collecte de données biométriques d’une personne soupçonnée d’avoir commis ou tenté de commettre une infraction pénale répond à une nécessité absolue. Une telle motivation peut être succincte, pourvu qu’elle soit suffisamment claire pour permettre à la personne concernée d’exercer son droit à un recours juridictionnel effectif.
3) L’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, §1, sous a) à c), ainsi qu’avec l’article 8 de cette directive,
doit être interprété en ce sens qu’il ne s’oppose pas, en tant que tel, à une législation nationale qui permet de poursuivre et de condamner de façon autonome une personne ayant refusé de se soumettre à la collecte de ses données biométriques, quand bien même cette dernière n’est pas poursuivie ou condamnée pour l’infraction pénale qui fondait ladite collecte, à la condition que cette collecte soit conforme aux dispositions de cette directive. Il appartient à la juridiction de renvoi de vérifier si tel est le cas en l’occurrence. En outre, la sanction infligée à cette personne doit être proportionnée, conformément à l’article 49, §3, de la charte des droits fondamentaux.
4. CONTEXTUALISATION
L’arrêt Comdribus prolonge et consolide une ligne jurisprudentielle cohérente. La motivation de la Cour s’inscrit dans le prolongement direct de C-57/23 Policejní prezidium (20 novembre 2025), dont les points 77 à 88 constituent la colonne vertébrale de l’argumentation des points 23 à 36 de Comdribus. La Cour procède par renvois croisés explicites, ce qui signale l’intégration de Comdribus dans un corpus jurisprudentiel désormais stabilisé.
La question de la motivation ancrée dans l’article 47 de la Charte trouve un précédent important dans C-229/23 (cité au point 66), où la Cour avait posé le principe que le droit à un recours effectif implique la communication des motifs de la décision. Comdribus transpose ce principe dans le domaine spécifique de la collecte biométrique en matière pénale, réalisant une articulation inédite entre droit des données à caractère personnel pénal et droits procéduraux fondamentaux. Enfin, les développements sur la proportionnalité de la sanction pour refus préfigurent les questions qui pourraient se poser dans l’affaire C-5/25 Pilev (conclusions Avocat Général Szpunar du 5 mars 2026), portant sur l’identification de l’accusé en audience, où des enjeux similaires de proportionnalité entre finalités d’identification et droits de la défense sont en jeu.
06.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN – Avocat DPO