CJUE | CONCLUSIONS DU 5 MARS 2026 | C-5/25 | PILEV │
« À QUEL PEUPLE APPARTENEZ-VOUS ? »
UNE QUESTION POSÉE À LA BARRE À CHAQUE PRÉVENU EN BULGARIE. LIGNE ROUGE POUR LA CJUE !
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
I.
L’affaire C-5/25 Pilev, née d’un renvoi préjudiciel du Sofiyski gradski sad (tribunal de la ville de Sofia, Bulgarie) introduit par décision du 7 janvier 2025, pose une question inédite devant la Cour de justice : une juridiction pénale nationale est-elle soumise à la directive (UE) 2016/680 lorsqu’elle procède, en audience publique, à la vérification de l’identité d’un accusé et enregistre les données collectées dans le procès-verbal ?
Le litige au principal porte sur l’article 272, paragraphe 1, du nakazatelno-protsesualen kodeks bulgare (NPK), qui impose au président d’audience de demander à la personne poursuivie, en sus de ses nom, prénom, date de naissance et numéro civil unique, son lieu de naissance, son « peuple d’appartenance », sa nationalité, son lieu de résidence, sa formation, sa situation familiale et son casier judiciaire. Ces données sont enregistrées dans le procès-verbal et conservées au dossier. La juridiction de renvoi a relevé que l’identification certaine du comparant ne requiert que ses trois noms, sa date de naissance et son numéro civil unique, et que la collecte des autres données excède la finalité d’identification poursuivie par la disposition nationale.
II.
Les conclusions de l’Avocat général Spielmann (ECLI:EU:C:2026:167, 5 mars 2026) articulent leur raisonnement autour de deux axes.
Sur l’applicabilité de la directive 2016/680 aux juridictions pénales. L’Avocat général établit, par une interprétation téléologique et contextuelle, que les juridictions pénales nationales constituent des « autorités compétentes » au sens de l’article 3, paragraphe 7, sous a), de la directive. Plusieurs dispositions de la directive mentionnent ou présupposent expressément l’application de celle-ci aux juridictions : l’article 32, paragraphe 1, qui prévoit une dispense possible de désignation d’un délégué à la protection des données pour « les tribunaux et autres autorités judiciaires indépendantes… lorsqu’elles agissent dans l’exercice de leur fonction juridictionnelle » ; l’article 45, paragraphe 2, qui exclut la compétence de l’autorité de contrôle pour les « opérations de traitement effectuées par les juridictions dans l’exercice de leur fonction juridictionnelle » ; le considérant 11, qui mentionne expressément les « autorités judiciaires » parmi les autorités compétentes. Ces éléments confirment que les juridictions sont soumises aux obligations substantielles de la directive tout en bénéficiant d’une exemption du contrôle par l’autorité de contrôle pour préserver l’indépendance judiciaire.
Sur l’applicabilité rationae materiae, l’Avocat général retient une interprétation finaliste de la notion de « poursuites » figurant à l’article 1er, paragraphe 1, de la directive. Cette notion englobe l’ensemble de la procédure pénale conduite aux fins de poursuites, y compris la phase juridictionnelle. Exclure les juridictions de la directive 2016/680 aboutirait à une fragmentation inacceptable : une même procédure pénale serait soumise à deux régimes — le RGPD et la directive 2016/680 — selon l’étape procédurale, au détriment de la sécurité juridique et de la protection cohérente des données.
Sur la conformité de l’article 272, §1, NPK. L’article 4, paragraphe 1, sous c), exige que les données soient « non excessives » au regard des finalités du traitement. L’article 8, paragraphe 1, subordonne la licéité du traitement à sa nécessité. Ces deux conditions ne sont pas satisfaites pour les données d’identification non nécessaires à la vérification de l’identité du comparant. S’agissant de la donnée relative au « peuple d’appartenance », celle-ci révèle l’origine ethnique de la personne poursuivie et relève donc de la catégorie des données sensibles de l’article 10 de la directive, dont le traitement n’est autorisé qu’en cas de « nécessité absolue ». Or, le droit bulgare lui-même interdit toute discrimination fondée sur le peuple d’appartenance dans l’exercice des fonctions du pouvoir judiciaire, rendant la collecte de cette donnée inutile par essence.
III.
La Cour, statuant sur la question posée, dit pour droit que l’article 4, paragraphe 1, sous c), l’article 8, paragraphe 1, et l’article 10 de la directive 2016/680 s’opposent à une réglementation nationale, telle que l’article 272, paragraphe 1, du NPK bulgare, en ce qu’elle requiert que des données relatives au lieu de résidence, au niveau de formation, à la situation familiale, au casier judiciaire et au peuple d’appartenance de la personne poursuivie soient systématiquement traitées lors de la vérification de son identité dans le cadre d’une affaire pénale, alors même que ces données ne sont pas nécessaires à cette fin, ce qu’il appartient à la juridiction de renvoi de vérifier.
IV.
L’arrêt Pilev présente plusieurs apports déterminants.
L’unité du régime de protection des données dans la procédure pénale. En soumettant les juridictions pénales à la directive 2016/680, la Cour consacre l’unité du régime de protection des données tout au long de la procédure pénale. La même lex specialis s’applique à tous les acteurs de la justice pénale, de la phase d’enquête policière à la phase de jugement.
L’application des principes de nécessité et de minimisation au droit procédural pénal. Les dispositions des codes de procédure pénale nationaux qui imposent la collecte de données à caractère personnel doivent satisfaire aux exigences de nécessité et de minimisation de la directive 2016/680. Le fait qu’une donnée soit utile à d’autres fins ne justifie pas sa collecte lors d’une phase procédurale qui poursuit une finalité différente.
La protection renforcée des données révélant l’origine ethnique. La collecte d’une donnée révélant l’origine ethnique d’une personne poursuivie, dont l’utilisation est interdite par le droit national lui-même, ne peut jamais satisfaire la condition de « nécessité absolue » de l’article 10 de la directive.
L’obligation de mise en conformité pour les législateurs nationaux. Les États membres dont la législation procédurale pénale prévoit des mécanismes similaires à l’article 272, paragraphe 1, du NPK bulgare doivent procéder à une révision de leur droit national afin de le mettre en conformité avec les exigences de la directive 2016/680.
V.
ALERTE DIRECTION GÉNÉRALE / DRH
L’arrêt Pilev n’a pas de résonance directe dans la sphère des relations de travail. Toutefois, ses enseignements sont transposables à tout contexte dans lequel une entité — publique ou privée — procède à la collecte de données à caractère personnel dans le cadre d’une procédure formalisée : vérification d’identité lors de l’embauche, collecte de données lors d’entretiens disciplinaires, ou encore recueil de données à l’occasion de procédures internes d’enquête. Le principe est le même : seules les données strictement nécessaires à la finalité déclarée du traitement peuvent être collectées. La collecte de données révélant l’origine ethnique, la situation familiale ou le niveau de formation de la personne concernée, sans lien nécessaire avec la finalité poursuivie, expose le responsable du traitement à des sanctions au titre du RGPD. Les DPO et les directions juridiques sont invités à auditer les procédures internes de collecte de données afin de vérifier leur conformité avec les principes de nécessité et de minimisation.
POINTS ESSENTIELS
26.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats