DONNÉES BIOMÉTRIQUES ET GÉNÉTIQUES EN MATIÈRE PÉNALE
LA COUR DE JUSTICE EXIGE LA « NÉCESSITÉ ABSOLUE » AU CAS PAR CAS.
LES SERVICES DE POLICE D’UN ÉTAT MEMBRE PEUVENT DÉCIDER, SUR LA BASE DE RÈGLES INTERNES, S’IL EST NÉCESSAIRE DE CONSERVER LES DONNÉES BIOMÉTRIQUES ET GÉNÉTIQUES D’UNE PERSONNE POURSUIVIE PÉNALEMENT OU SOUPÇONNÉE D’AVOIR COMMIS UNE INFRACTION PÉNALE
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
LA CONSOLIDATION DU RÉGIME JURIDIQUE DES DONNÉES BIOMÉTRIQUES ET GÉNÉTIQUES DANS L’ESPACE PÉNAL EUROPÉEN
L’arrêt C-57/23 représente une étape décisive dans la construction jurisprudentielle du régime de protection applicable aux données biométriques et génétiques traitées par les autorités de police dans l’espace pénal de l’Union. Il ne constitue pas une rupture, mais une synthèse et une amplification des principes posés par les arrêts EBGI I (C-205/21) et DGPN (C-118/22), en y ajoutant une troisième dimension — la qualité normative du droit national servant de base juridique — jusqu’alors non tranchée.
Sur le premier aspect — l’exigence de nécessité absolue —, l’arrêt confirme sans équivoque que le standard de l’article 10 de la directive 2016/680 n’est pas un standard de nécessité ordinaire, mais un standard renforcé exigeant une appréciation individuelle et concrète dans chaque dossier. « L’exigence selon laquelle le traitement des données sensibles est autorisé uniquement en cas de nécessité absolue doit être interprétée comme définissant des conditions renforcées de licéité du traitement de telles données ». Il en résulte qu’aucune réglementation nationale ne peut prévoir la collecte automatique de données biométriques et génétiques pour une catégorie entière de suspects ou de mis en examen, sans qu’il soit vérifié cas par cas que le seuil de nécessité absolue est franchi. Cette interdiction de la collecte systématique constitue désormais un principe général du droit de la protection des données applicable dans l’espace pénal européen.
Sur le deuxième aspect — la durée de conservation —, l’arrêt apporte une contribution originale en adoptant une position nuancée et pragmatique : il reconnaît que l’absence de délai maximal de conservation n’est pas, en soi, contraire à la directive 2016/680, à condition que soient mises en place des procédures de réexamen périodique encadrées par des garanties procédurales strictes. Cette position tempère la rigidité qui aurait pu résulter d’une lecture littérale du principe de limitation de la conservation. Elle traduit la reconnaissance par la Cour des nécessités opérationnelles des services de police — notamment la logique prospective inhérente à la prévention des infractions pénales — tout en imposant une obligation active de réévaluation périodique. L’arrêt précise ainsi que la conformité d’une législation nationale ne peut être appréciée in abstracto mais seulement au regard de la qualité et de la rigueur des procédures de réexamen effectivement mises en place.
Sur le troisième aspect — la qualité du fondement légal —, l’arrêt opère une contribution normative majeure en clarifiant les rapports entre la notion de « droit d’un État membre » au sens de la directive 2016/680 et les sources formelles du droit. En admettant que la jurisprudence nationale peut, sous conditions, constituer un « droit d’un État membre » au sens matériel, l’arrêt s’inscrit dans la tradition des arrêts de la CEDH sur la qualité de la loi — tradition désormais intégrée dans l’ordre juridique de l’Union. Mais en posant immédiatement une limite ferme — la jurisprudence ne peut pas pallier l’absence d’un contrôle de proportionnalité strict posé par une disposition de portée générale —, l’arrêt établit une hiérarchie entre la loi formelle et la loi matérielle dans le domaine spécifique des données biométriques et génétiques.
UN IMPÉRATIF DE RÉFORME LÉGISLATIVE SUBSTANTIELLE
L’impact de l’arrêt C-57/23 sur les systèmes juridiques nationaux est considérable, et ce pour plusieurs raisons complémentaires.
A. LA NÉCESSITÉ D’UNE RÉFORME DES PROCÉDURES DE COLLECTE
En premier lieu, l’incompatibilité constatée entre le droit tchèque — à l’instar de nombreux droits nationaux d’Europe centrale et orientale — et l’article 10 de la directive 2016/680 implique que les États membres dont la législation prévoit une collecte systématique de données biométriques et génétiques pour l’ensemble des personnes mises en cause dans des affaires pénales sont tenus de réformer en profondeur leurs procédures de collecte. La réforme devra au minimum prévoir :
—-L’obligation pour les services de police de procéder, dans chaque cas concret, à une appréciation de la nécessité absolue de la collecte envisagée, documentée et opposable à un contrôle ultérieur ;
—-La prise en compte de critères d’individualisation précis : nature et gravité de l’infraction, circonstances particulières, profil individuel de la personne concernée, antécédents judiciaires ;
—-La possibilité pour la personne concernée de s’opposer à la collecte et d’obtenir une décision motivée sur ce point, susceptible de recours effectif ;
—-Une distinction entre les différentes catégories de personnes concernées (suspects, mis en examen, condamnés, personnes ayant bénéficié d’un non-lieu ou d’un acquittement), conformément à l’article 6, sous a), de la directive 2016/680.
B. LA NÉCESSITÉ D’ENCADRER LA DURÉE DE CONSERVATION PAR DES PROCÉDURES DE RÉEXAMEN CONTRAIGNANTES
En deuxième lieu, les États membres dont la législation ne prévoit pas de délai maximal de conservation sont certes dispensés d’en fixer un, mais à la condition impérative de mettre en place des procédures de réexamen effectif et régulier. Ces procédures doivent satisfaire aux exigences suivantes : (1) être fondées sur des critères objectifs et prévisibles permettant à la personne concernée d’anticiper la durée de conservation de ses données ; (2) prévoir une périodicité précise du réexamen et non une appréciation discrétionnaire ; (3) donner lieu à une décision formelle motivée — et non à un simple examen interne sans trace documentée — susceptible de recours ; (4) comporter une présomption d’effacement à l’expiration de chaque période d’examen, renversable uniquement sur la base d’éléments objectifs justifiant la prolongation de la conservation. La conformité de règles internes policières — qui n’ont pas la valeur d’une loi formelle — avec ces exigences est a priori insuffisante, la Cour ayant expressément précisé que le réexamen doit être encadré par des « garanties procédurales strictes ».
L’INSUFFISANCE DES RÈGLES INTERNES
En troisième lieu, l’arrêt porte un coup d’arrêt à la pratique, répandue dans plusieurs États membres, consistant à fonder le traitement de données biométriques et génétiques sur de simples règles internes policières, des circulaires ou des pratiques administratives, même consolidées par une jurisprudence favorable. L’arrêt est clair sur ce point : si la jurisprudence nationale peut qualifier de « droit d’un État membre » au sens matériel, elle ne peut pas « se substituer aux garanties qu’une disposition de portée générale est tenue de prévoir en matière d’obtention, de conservation ainsi que d’effacement des données biométriques et génétiques ». En conséquence, seule une loi formelle — ou à tout le moins un acte normatif de portée générale, accessible, prévisible et contraignant — peut constituer une base juridique suffisante pour encadrer les procédures de collecte, de conservation et d’effacement de ces données.
LE RENFORCEMENT DE LA POSITION PROCÉDURALE DES SUSPECTS ET DES PERSONNES CONDAMNÉES
Du point de vue des personnes concernées — et notamment des personnes ayant fait l’objet de poursuites pénales, qu’elles aient été condamnées ou non —, l’arrêt C-57/23 constitue une avancée procédurale significative dans la protection contre la conservation indéfinie de profils ADN et de données biométriques par les services de police.
L’arrêt reconnaît de facto un droit à l’effacement différé des données biométriques et génétiques, lié à la condition de réexamen périodique obligatoire. Lorsqu’un tel réexamen n’est pas prévu, ou lorsqu’il est conduit sur la base de règles internes insuffisamment formalisées, la personne concernée dispose d’un droit effectif à contester — devant les juridictions nationales ou devant les autorités de contrôle — la légalité du maintien de la conservation de ses données.
En outre, l’incompatibilité de principe des législations prévoyant la collecte systématique avec l’article 10 de la directive 2016/680 ouvre la voie à des demandes d’effacement a posteriori pour les personnes dont les données ont été collectées sans que la nécessité absolue ait été vérifiée dans leur cas concret. Ces personnes peuvent se prévaloir directement de la directive 2016/680 devant les juridictions nationales, la directive étant dotée d’un effet direct en ce qu’elle pose des obligations claires, précises et inconditionnelles à la charge des autorités compétentes des États membres.
L’ARTICULATION ENTRE LA DIRECTIVE 2016/680 ET D’AUTRES INSTRUMENTS
A. LA RELATION AVEC LE RGPD
L’arrêt C-57/23, bien qu’exclusivement fondé sur la directive 2016/680, a des répercussions indirectes sur l’interprétation du RGPD. La notion de « nécessité absolue » propre à la directive 2016/680 est plus exigeante que la simple nécessité au sens du RGPD, mais les principes méthodologiques d’appréciation individuelle et concrète, et d’obligation de documentation, sont communs aux deux instruments. Les opérateurs du secteur privé soumis au RGPD qui collectent des données biométriques en vertu de l’article 9, §2, sous g), du RGPD — dans le cadre de leur coopération avec les autorités publiques — ne peuvent pas considérer que l’absence de délai légal maximal les dispense de mettre en place des procédures de réexamen effectif de la nécessité de la conservation.
B. LA RELATION AVEC LA DIRECTIVE 2016/680 ET LES SYSTÈMES D’INFORMATION EUROPÉENS
L’arrêt a également une portée sur les systèmes d’information européens dans le domaine de la justice et de la sécurité — notamment le Système d’Information Schengen (SIS II), Eurodac, et le système de la directive 2016/680 applicable aux décisions-cadres en matière d’échange de données entre autorités répressives. La collecte de données biométriques aux fins de leur intégration dans ces bases doit également satisfaire aux exigences posées par l’arrêt C-57/23 : nécessité absolue, base légale suffisante, réexamen périodique.
DIALOGUE ENTRE C-57/23, SES PRÉDÉCESSEURS ET SES SUCCESSEURS
L’arrêt C-57/23 s’inscrit dans une série jurisprudentielle en formation que l’on peut schématiser comme suit :
1. C-205/21 (EBGI I, ECLI:EU:C:2023:49) — Arrêt fondateur sur l’incompatibilité de la collecte systématique sans appréciation individuelle de la nécessité absolue. Droit bulgare. Établit le standard de l’article 10 de la directive 2016/680 comme standard renforcé.
2. C-118/22 (DGPN, ECLI:EU:C:2024:97) — Premier arrêt sur les limites temporelles de la conservation. Droit bulgare. Admet l’absence de délai maximal absolu mais exige des garanties de réexamen. C-57/23 reprend et amplifie ce principe.
3. C-80/23 (EBGI II, ECLI:EU:C:2024:991) — Précisions sur le rôle de la juridiction nationale dans l’appréciation de la nécessité absolue. Arrêt complémentaire de EBGI I.
4. C-57/23 (Policejní prezidium, ECLI:EU:C:2025:905) — Synthèse des trois problématiques précédentes, avec apport original sur la qualité normative du droit national. Droit tchèque.
5. C-371/24 (Comdribus, ECLI:EU:C:2026:219) — Confirmation et extension du principe de nécessité absolue à la problématique du refus de se soumettre à la collecte et des poursuites pénales spécifiques réprimant ce refus. Cet arrêt cite explicitement C-57/23 comme référence de principe. La Cour y a précisé, en s’appuyant sur C-57/23 (arrêt, point 34, citant le point 92 de l’arrêt EBGI I), que « la collecte de données biométriques par une autorité de police dans le cadre d’une enquête pénale ne peut être justifiée que par une nécessité absolue », et y a ajouté que des poursuites pénales distinctes fondées sur le refus de se soumettre à cette collecte sont elles-mêmes illicites dès lors que la collecte envisagée n’était pas elle-même absolument nécessaire.
Ce dialogue jurisprudentiel démontre que la CJUE procède par sédimentations successives dans le domaine des données biométriques et génétiques en matière pénale : chaque arrêt apporte une contribution ciblée à l’édifice, et les arrêts ultérieurs s’appuient explicitement sur les précédents pour étendre la protection des droits fondamentaux dans ce domaine sensible.
POINTS ESSENTIELS
**Saisie à titre préjudiciel par le Nejvyšší správní soud (Cour administrative suprême, République tchèque) dans le cadre d’un litige opposant JH, fonctionnaire tchèque condamné définitivement en 2017 pour abus de pouvoir, à la Policejní prezidium (direction de la police tchèque) au sujet de la collecte et de la conservation de ses données biométriques et génétiques opérées sans son consentement lors de la procédure pénale engagée à son encontre en 2015, la Cour de justice apporte, par l’arrêt du 20 novembre 2025, trois séries de précisions majeures relatives à l’interprétation de la directive (UE) 2016/680, qui gouverne le traitement des données à caractère personnel par les autorités compétentes à des fins répressives.
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats