CJUE | ARRÊT DU 19 MARS 2026 | C-371/24 | COMDRIBUS │
VOS EMPREINTES DIGITALES NE DEVRAIENT PAS ÊTRE PRISES À LA LÉGÈRE …
LA COLLECTE DE DONNÉES BIOMÉTRIQUES NE PEUT ÊTRE EFFECTUÉE QUE SOUS CONDITION DE NÉCESSITÉ ABSOLUE MOTIVÉE PAR LE MINISTÈRE PUBLIC.
LA COLLECTE DE DONNÉES BIOMÉTRIQUES PAR UNE AUTORITÉ DE POLICE DANS LE CADRE D’UNE ENQUÊTE PÉNALE NE PEUT ÊTRE JUSTIFIÉE QUE PAR UNE NÉCESSITÉ ABSOLUE
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
1. UN ARRÊT DE PRINCIPE DANS LA CONSTRUCTION DU DROIT DES DONNÉES BIOMÉTRIQUES PÉNALES
L’arrêt Comdribus constitue une décision de principe dans la construction prétorienne de la directive 2016/680 à plusieurs titres. En premier lieu, il est le premier arrêt de la Cour à examiner la compatibilité d’une norme d’un État fondateur — la France — avec les exigences de la nécessité absolue de l’article 10 de la directive, et ce au stade procédural délicat de l’enquête préliminaire (soupçon plausible), en amont de toute mise en examen formelle. Cette singularité distingue l’affaire de Ministerstvo na vatreshnite raboti I (C-205/21), qui portait sur la collecte lors de la mise en examen, et de Policejní prezidium (C-57/23), qui concernait la conservation des données après collecte.
En deuxième lieu, l’arrêt consolide et complète la structure quadripartite d’appréciation de la nécessité absolue, désormais articulée en quatre niveaux cumulatifs (pts. 28-34), qui devient le standard de référence applicable dans l’ensemble des États membres pour apprécier la licéité du traitement de données biométriques en matière pénale.
En troisième lieu, l’arrêt innove en posant l’obligation de motivation préalable de la collecte de données biométriques comme une garantie ancrée dans l’article 47 de la Charte (droit à un recours effectif) et non seulement dans les dispositions de la directive. Cette articulation entre droit des données à caractère personnel pénal et droits procéduraux fondamentaux est inédite dans la jurisprudence de la Cour sous la directive 2016/680.
En quatrième lieu, l’arrêt crée un lien de dépendance normative entre la légalité de la collecte biométrique et la légalité de la sanction pénale pour refus, ouvrant une voie de défense inédite pour les personnes poursuivies sur le fondement de dispositions de droit pénal réprimant le refus de se soumettre à des opérations d’identification biométrique.
2. LE RENVOI À LA JURIDICTION NATIONALE ET LA DIALECTIQUE TEXTE/PRATIQUE
L’un des apports procéduraux les plus significatifs de l’arrêt réside dans la méthode retenue par la Cour pour traiter la tension entre le texte de l’article 55-1 CPP — qui emploie le verbe « peut », suggérant une faculté discrétionnaire — et la réalité statistique évoquée par la défense (6,5 millions d’empreintes au FAED). La Cour pose un standard bipartite de vérification à l’intention de la juridiction de renvoi :
—-Si l’article 55-1 CPP, interprété à la lumière du droit national dans son ensemble (y compris la jurisprudence), laisse à l’OPJ une marge d’appréciation effective tenant compte de la nécessité absolue : la disposition est a priori compatible avec la directive, à condition que cette marge soit exercée conformément aux critères des points 25 à 34 de l’arrêt.
—-Si, en revanche, l’article 55-1 CPP « doit être interprété en ce sens qu’il prévoit la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, cette disposition est contraire à l’article 10 de ladite directive » (pt. 52).
Ce mécanisme de renvoi constitue une bombe à retardement institutionnelle : la Cour d’appel de Paris devra, à la reprise de la procédure, se prononcer sur la portée réelle de la disposition française — exercice potentiellement délicat dès lors que l’argument statistique du FAED (6,5 millions de personnes) penche fortement vers la qualification de collecte systématique.
3. DROIT PÉNAL VS DROITS FONDAMENTAUX
3.1. LA PÉNALISATION DU REFUS DE COLLECTE BIOMÉTRIQUE ENCADRÉE PAR L’ARTICLE 49 DE LA CHARTE
L’arrêt pose pour la première fois dans le cadre de la directive 2016/680 le principe selon lequel la sanction pénale réprimant le refus de collecte biométrique est soumise à un double contrôle : (i) la conformité de la collecte sous-jacente aux exigences de la directive (condition sine qua non de la constitutionnalité de l’infraction) ; (ii) la proportionnalité de la peine au regard de l’article 49, § 3 de la Charte (légalité des peines).
Cette articulation a une portée transversale : elle s’applique à toute disposition nationale — quelle qu’en soit la forme — qui érige en infraction le refus de se soumettre à une collecte de données biométriques par les autorités compétentes. Elle oblige les États membres à s’assurer que leurs dispositions pénales réprimant ces refus (qui existent dans la plupart des ordres juridiques nationaux) sont conditionnées à la conformité de la collecte sous-jacente aux exigences de la directive.
3.2. L’INDIFFÉRENCE DU DÉNOUEMENT DE LA PROCÉDURE PRINCIPALE
La précision selon laquelle l’absence de poursuite ou de condamnation pour l’infraction principale « ne détermine pas, en tant que telle, la légalité ou l’illégalité de la sanction » pour refus (pt. 86) a une portée pratique considérable : elle écarte une défense qui aurait pu paraître intuitivement fondée — celle consistant à dire que, si on est relaxé de l’infraction principale, c’est que la collecte biométrique n’était pas justifiée. La Cour raisonne en termes d’appréciation temporelle : seul compte l’état de la situation au moment de la collecte, et non son dénouement.
4. LA FRANCE FACE À L’IMPÉRATIF DE MISE EN CONFORMITÉ
4.1. L’ARTICLE 55-1 CPP SOUS PRESSION
L’arrêt Comdribus place le législateur et le juge français dans une situation inconfortable. Si la cour d’appel de Paris conclut, à la reprise de l’affaire HW, que l’article 55-1 CPP instaure bien une collecte systématique — ce que l’indice du FAED rend vraisemblable —, elle devra soit écarter la disposition par voie d’interprétation conforme, soit saisir le Conseil constitutionnel d’une question prioritaire de constitutionnalité (QPC) en invoquant, par le biais de la Charte, le droit à la protection des données personnelles. Une telle QPC ouvrirait une voie sans précédent de contrôle de constitutionnalité fondé sur un instrument de droit de l’Union.
La mise en conformité législative pourrait prendre deux formes : (i) modifier l’article 55-1 CPP pour prévoir explicitement l’obligation de motivation de la nécessité absolue par l’OPJ, avec un cadre procédural clair (procès-verbal motivé, contrôle du procureur) ; (ii) définir dans le texte législatif ou réglementaire les critères d’appréciation de la nécessité absolue (nature et gravité de l’infraction, antécédents, lien avec d’autres procédures), de sorte que la collecte ne soit plus laissée à la seule appréciation de l’OPJ mais obéisse à une grille normative préétablie.
4.2. LES IMPLICATIONS POUR D’AUTRES FICHIERS DE POLICE
L’arrêt a des implications au-delà du FAED. Le TAJ (traitement des antécédents judiciaires), le FPR (fichier des personnes recherchées), et plus généralement tout traitement comportant des données biométriques collectées dans le cadre d’enquêtes pénales sont soumis aux mêmes exigences. Dans la mesure où ces fichiers alimentent des opérations de contrôle d’identité dans les aéroports, aux frontières et lors d’enquêtes anti-terroristes, l’arrêt aura des répercussions opérationnelles significatives pour les services de police judiciaire et pour la CNIL en sa qualité d’autorité de contrôle de ces traitements.
4.3. UN SIGNAL ADRESSÉ À TOUS LES ÉTATS MEMBRES
L’arrêt n’est pas cantonné à la France. Par son caractère explicite et son niveau de précision, il adresse un signal normatif fort à l’ensemble des États membres dont les législations prévoient des mécanismes similaires de collecte signalétique en matière pénale. Les autorités de protection des données nationales disposent désormais d’un fondement jurisprudentiel solide pour contrôler ces pratiques et, le cas échéant, mettre en demeure les responsables du traitement (autorités de police judiciaire) de se conformer à l’obligation de motivation.
5. PORTÉE AU REGARD DE L’ÉVOLUTION DES TECHNOLOGIES DE SURVEILLANCE ET D’IDENTIFICATION
L’arrêt Comdribus acquiert une résonance particulière dans le contexte de l’émergence des technologies d’identification biométrique à distance et d’analyse d’image dans les enquêtes pénales. Si la directive 2016/680 encadre strictement la collecte de données biométriques dans un contexte classique (prise d’empreintes et de photographies lors de la garde à vue), ses principes ont vocation à s’appliquer a fortiori à des technologies plus intrusives — reconnaissance faciale dans les espaces publics, lecture automatique de plaques, analyse comportementale — dès lors que ces technologies produisent des « données biométriques » au sens de l’article 3, point 13, de la directive.
Dans la perspective de l’AI Act (Règlement UE 2024/1689) et des obligations qu’il impose pour les systèmes d’IA à haut risque dans le domaine répressif, l’arrêt Comdribus fournit un socle interprétatif essentiel : toute collecte automatisée de données biométriques à des fins d’identification unique d’une personne soupçonnée devra satisfaire aux exigences de nécessité absolue et de motivation individualisée posées par l’arrêt. Ce faisant, il contribue à l’émergence d’un droit fondamental procédural à ne pas être identifié biométriquement sans motivation suffisante.
6. CONTEXTUALISATION
La portée de l’arrêt Comdribus se mesure aussi à l’aune des développements jurisprudentiels qui lui succèdent ou qui lui sont contemporains. L’affaire C-5/25 Pilev (conclusions Avocat Général Szpunar, 5 mars 2026, ECLI:EU:C:2026:167), portant sur la vérification d’identité de l’accusé en audience publique sous la directive 2016/680, constitue le prolongement logique de la question de l’identification biométrique dans le procès pénal. Comdribus y fournira un cadre de référence pour l’appréciation de la nécessité absolue dans un contexte judiciaire.
Dans une perspective de droit comparé, l’arrêt rejoint le mouvement général des cours constitutionnelles nationales — notamment la Cour constitutionnelle fédérale allemande (Bundesverfassungsgericht, BVerfGE 161, 1 du 26 avril 2022) et la Cour constitutionnelle belge (arrêt n° 159/2021 du 4 novembre 2021) — qui ont imposé des conditions strictes à la collecte systématique de données biométriques par les autorités pénales, confirmant la convergence entre droit de l’Union et traditions constitutionnelles nationales.
Enfin, il convient de souligner que l’arrêt Comdribus arrive à un moment charnière pour la mise à jour du cadre européen de la protection des données dans le secteur pénal : la Commission européenne a lancé en 2025 une consultation publique sur la révision de la directive 2016/680, qui pourrait conduire à son remplacement ou à son intégration dans un cadre plus large. Comdribus alimentera inévitablement ce processus législatif, en imposant une clarification des obligations des États membres en matière de collecte biométrique.
POINTS ESSENTIELS
L’arrêt Comdribus du 19 mars 2026 (C-371/24, ECLI:EU:C:2026:219) constitue une décision de premier plan dans la construction prétorienne de la directive (UE) 2016/680 relative à la protection des données à caractère personnel traitées par les autorités compétentes à des fins pénales et statue pour la première fois sur la compatibilité de l’article 55-1 du code de procédure pénale (collecte de données biométriques de toute personne à l’égard de laquelle il existe des raisons plausibles de soupçon) avec l’exigence de nécessité absolue de l’article 10 de ladite directive; la Cour, s’inscrivant dans la ligne jurisprudentielle inaugurée par Ministerstvo na vatreshnite raboti I (C-205/21, 26 janvier 2023) et consolidée par Policejní prezidium (C-57/23, 20 novembre 2025).
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats