L’affaire soumise à la juridiction concerne une problématique liée à la collecte de données biométriques et génétiques dans le cadre d’une procédure distincte de l’enquête pénale, à savoir “l’enregistrement policier” i.e. en droit français, les opérations de signalisation policière.
1. Mise en examen de V.S. :
Le 1er mars 2021, la personne physique V.S. a été mise en examen pour sa participation présumée à un groupe criminel organisé visant à commettre des délits fiscaux en Bulgarie. Les faits reprochés incluaient une fraude liée au paiement de la taxe sur la valeur ajoutée (TVA). La mise en examen se fonde sur l’article 321, paragraphe 3, du Code pénal bulgare (NK).
– L’ordonnance de mise en examen a été notifiée à V.S. le 15 mars 2021.
– V.S. a décidé de se défendre seule, sans l’assistance d’un avocat.
2. Demande de collecte de données biométriques et génétiques :
Juste après la notification de la mise en examen, V.S. a été invitée à se soumettre à des mesures d’enregistrement policier, consistant en :
– La prise d’empreintes digitales,
– La réalisation de photographies,
– Un prélèvement biologique pour établir un profil ADN.
Ces mesures sont prévues par le cadre légal bulgare dans le cadre de procédures d’enregistrement policier.
3. Refus pur et simple de V.S. de se soumettre aux opérations de signalisation :
Le 15 mars 2021, V.S. a refusé de se soumettre à ces mesures en remplissant un formulaire de déclaration. Elle a confirmé avoir été informée de l’existence d’une base légale pour ces mesures mais a officiellement exprimé son désaccord, sans en préciser les motifs.
4. Demande d’autorisation des autorités policières aux fins d’exécution forcée:
Face à ce refus, les autorités policières n’ont pas procédé d’elles-mêmes à la collecte forcée des données biométriques et génétiques de V.S. Elles ont saisi la juridiction compétente (le Sofiyski gradski sad, ou Tribunal de la ville de Sofia) afin d’obtenir une autorisation judiciaire pour exécuter ces mesures par la force.
5. Contenu de la requête déposée par les autorités :
La requête des autorités policières auprès du tribunal mentionnait :
– La mise en examen de V.S. pour une infraction pénale grave,
– Les preuves réunies à son encontre,
– La mention du refus explicitement exprimé par V.S. de coopérer,
– Les dispositions légales pertinentes, notamment l’article 68, paragraphe 5, du Zakon za Ministerstvo na vatreshnite raboti (ZMVR), qui régit l’enregistrement policier en Bulgarie.
– Une demande formelle visant à autoriser l’exécution forcée des mesures d’enregistrement policier (empreintes, photographies et prélèvement ADN).
6. Documents annexés à la requête :
Les autorités policières ont joint à leur requête :
– Une copie de l’ordonnance de mise en examen de V.S.,
– Une copie de la déclaration écrite par laquelle V.S. refuse la collecte de ses données biométriques et génétiques.
7. Absence de transmission du dossier d’enquête au tribunal :
Conformément à la procédure distincte régie par le ZMVR (et non par le Code de procédure pénale, NPK), le dossier complet de l’enquête n’a pas été transmis au tribunal. Cette limitation découle des dispositions spécifiques du ZMVR, lesquelles restreignent le contrôle juridictionnel à la vérification formelle :
– De l’existence d’une mise en examen pour une infraction intentionnelle poursuivie d’office,
– De l’existence d’un refus explicite de la personne concernée.
8. Problématique soulevée par le tribunal bulgare :
Les juges ont estimé que les éléments fournis (l’ordonnance de mise en examen et la déclaration de refus) étaient insuffisants pour apprécier la nécessité absolue des mesures de collecte de données biométriques et génétiques, ajoutant que l’accès au dossier complet de l’enquête pourrait être nécessaire pour effectuer un contrôle juridictionnel effectif, conformément aux exigences du droit de l’Union européenne.
Par suite, le Tribunal devait décidé de surseoir à statuer et de soumettre une demande de décision préjudicielle à la CJUE afin qu’elle clarifie le point de savoir si, notamment, pour respecter le contrôle de nécessité absolue prévu par la directive 2016/680, le tribunal doit disposer de l’intégralité du dossier d’enquête ou si les éléments transmis suffisent.
QUESTION(S) PREJUDICIELLE(S) │ SYNTHESE
La juridiction de renvoi, le Sofiyski gradski sad (Tribunal de la ville de Sofia), a sollicité la Cour de justice de l’Union européenne (CJUE) en raison de difficultés rencontrées dans l’application de l’arrêt rendu le 26 janvier 2023 dans l’affaire C-205/21, concernant la collecte des données biométriques et génétiques de V.S.
1. Il ressort de l’affaire C-205/21 que:
– Au point 133 de cet arrêt, la CJUE impose au juge national de vérifier si la collecte des données biométriques et génétiques est rendue nécessaire par la nature et la gravité de l’infraction, ainsi que par d’autres éléments tels que les circonstances spécifiques de l’infraction, le profil individuel de la personne mise en examen, ses antécédents judiciaires et son lien éventuel avec d’autres affaires en cours.
– Toutefois, selon la législation bulgare (article 68, paragraphe 5 du ZMVR), le tribunal saisi d’une demande d’autorisation d’exécution forcée de ces mesures ne dispose que de deux pièces : l’ordonnance de mise en examen et la déclaration de refus de la personne concernée. Le dossier d’enquête complet n’est pas transmis, ce qui restreint considérablement le contrôle juridictionnel.
2. Il apparaît, par ailleurs, une contradiction apparente entre les exigences de la CJUE et le droit bulgare :
– Au point 100 de l’arrêt C-205/21, la CJUE considère que le tribunal national peut, dans certaines circonstances, se limiter à un contrôle formel sans avoir accès à l’intégralité du dossier d’enquête. Cependant, sans ces éléments, la juridiction de renvoi estime ne pas pouvoir procéder à une vérification effective des critères imposés aux points 132 et 133 de cet arrêt.
– En droit bulgare, seule la procédure pénale (régie par le NPK) permet un contrôle approfondi impliquant une communication complète du dossier au tribunal. En revanche, la collecte de données dans le cadre de l’enregistrement policier (régie par le ZMVR) ne prévoit pas une telle communication.
3. Interprétation incertaine de la directive 2016/680 :
– La juridiction de renvoi souligne l’ambiguïté entre le fait que, selon la CJUE, l’absence de transmission du dossier ne viole pas le droit à un recours effectif (point 100), et l’obligation d’un contrôle approfondi des critères imposés (point 133).
4. Vérification de la légalité de la mise en examen :
– Au point 130 de l’arrêt C-205/21, la CJUE précise que la seule existence d’une mise en examen ne suffit pas à justifier la collecte des données. Il est nécessaire que des “motifs sérieux” permettent de croire que la personne concernée a commis une infraction pénale.
– En droit bulgare, le tribunal ne peut pas apprécier le caractère probant des éléments de preuve dans le cadre de la procédure d’enregistrement policier prévue par le ZMVR. Cependant, si le dossier est communiqué dans son intégralité, le tribunal pourrait – et devrait peut-être – s’assurer que la mise en examen est fondée sur des preuves suffisantes.
5. Articulation entre l’article 10 et l’article 6, sous a), de la directive 2016/680 :
– L’article 6 impose que toute donnée collectée soit strictement nécessaire à la finalité poursuivie. Or, si la mise en examen n’est pas suffisamment étayée, la collecte des données manquerait de base légale dès le départ. Cela justifierait un contrôle plus approfondi par le tribunal.
6. Exigence d’un contrôle effectif et immédiat :
– La juridiction de renvoi souligne que reporter cette vérification à une étape ultérieure (comme envisagé aux points 100 et 101 de l’arrêt) constituerait une réponse insuffisante. La directive vise à éviter que des données biométriques et génétiques soient collectées sans base légale dès le départ.
Compte tenu de ces difficultés d’interprétation persistant après l’arrêt rendu dans l’affaire C-205/21, le tribunal a formulé les deux questions préjudicielles suivantes:
1. L’exigence du contrôle de la « nécessité absolue » visée à l’article 10 de la directive 2016/680 [du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89)], telle qu’elle a été interprétée par la Cour au point 133 de l’arrêt C-205/21, est-elle respectée lorsque ce contrôle est effectué seulement sur la base de l’ordonnance de mise en examen de la personne concernée et du refus écrit de celle-ci que ses données biométriques et génétiques soient collectées, ou bien faut-il que le tribunal dispose de toutes les pièces du dossier de l’affaire qui, conformément au droit national, lui sont communiquées en cas de demande d’autorisation de procéder à des mesures d’investigation qui portent atteinte à la sphère juridique des personnes physiques, lorsque cette demande a été formée dans une affaire pénale ?
2. En cas de réponse positive [à la première question], dans le cadre de l’appréciation de la « nécessité absolue » visée à l’article 10 combiné à l’article 6, sous a), de la directive 2016/680, le tribunal peut-il, après que le dossier de l’affaire lui a été communiqué, également apprécier s’il existe des motifs sérieux de croire que la personne poursuivie a commis l’infraction mentionnée dans la mise en examen ?
MOTIVATION DE LA COUR
1. Nécessité absolue et contrôle strict
La CJUE a réaffirmé que l’article 10 de la directive 2016/680 exige une évaluation rigoureuse et individualisée de la nécessité absolue avant tout traitement de données sensibles. Cette exigence dépasse le simple critère de nécessité générale prévu à l’article 4 de la directive. La collecte des données biométriques ou génétiques ne peut être justifiée que si elle est indispensable pour atteindre des objectifs spécifiques, explicites et légitimes, et si ces objectifs ne peuvent être atteints par d’autres moyens moins intrusifs.
La Cour a souligné que cette “nécessité absolue” doit être établie par les autorités compétentes avant toute demande d’autorisation judiciaire. Une collecte systématique ou généralisée, comme celle prévue par la législation bulgare, est incompatible avec ce principe, car elle ne permet pas une évaluation au cas par cas.
2. Rôle des autorités compétentes
La directive confie aux autorités compétentes (telles que définies à l’article 3, point 7) la responsabilité de démontrer cette nécessité absolue. La CJUE a insisté sur le fait que ces autorités doivent examiner les circonstances spécifiques de chaque affaire, notamment :
– La nature et la gravité de l’infraction présumée.
– Les circonstances particulières entourant cette infraction.
– Les antécédents judiciaires ou le profil individuel de la personne concernée.
– Le lien éventuel avec d’autres enquêtes en cours.
La Cour a rejeté toute délégation de cette responsabilité exclusive aux juridictions nationales saisies pour autoriser l’exécution forcée. Le rôle du juge est un contrôle secondaire visant à vérifier l’évaluation réalisée par les autorités compétentes, mais il ne peut se substituer à leur obligation initiale.
3. Proportionnalité et minimisation des données
L’arrêt met également en avant le principe de minimisation des données inscrit dans la directive. Les données collectées doivent être adéquates, pertinentes et limitées à ce qui est strictement nécessaire pour atteindre les finalités poursuivies. Toute collecte excédant ce cadre est disproportionnée et contraire au droit européen.
La CJUE a rappelé qu’une législation nationale qui prévoit une collecte indifférenciée des données sensibles pour toutes les personnes mises en examen pour des infractions intentionnelles poursuivies d’office viole ce principe. Le seul fait d’être mis en examen ne constitue pas un critère suffisant pour établir la nécessité absolue d’une telle collecte.
4. Incompatibilité de la législation bulgare
La Cour a jugé que la législation bulgare ne respectait pas ces exigences pour plusieurs raisons :
– Elle ne prévoit pas que les autorités compétentes démontrent concrètement la nécessité absolue avant de procéder à une collecte.
– Elle autorise une collecte systématique sans distinction entre les cas individuels.
– Elle limite le rôle du juge à statuer sur la base d’éléments insuffisants (par exemple, l’ordonnance de mise en examen et le refus écrit du mis en cause), sans accès à l’ensemble du dossier ni possibilité d’évaluer pleinement les circonstances pertinentes.
En conséquence, la CJUE a conclu que cette législation devait être écartée si elle empêchait un contrôle effectif conforme au droit européen.
5. Conséquences pour le juge national
Enfin, la Cour a précisé qu’en cas d’incompatibilité avec le droit européen, il incombe au juge national d’assurer le plein effet des dispositions de la directive 2016/680. Cela inclut le rejet des demandes d’autorisation judiciaire basées sur une législation non conforme. La juridiction nationale doit également veiller à ce que toute collecte forcée respecte pleinement les principes établis par l’article 10.
PRECEDENTS JURISPRUDENTIELS D’INTERET
L’arrêt C-80/23 s’appuie explicitement sur plusieurs décisions antérieures :
– C-205/21 (“Enregistrement I”) : Cet arrêt a posé les bases sur l’interdiction des collectes systématiques sans justification individualisée.
– C-118/22 (“Direktor na Glavna direktsia Natsionalna politsia”) : Concernant les garanties procédurales pour protéger les droits fondamentaux lors du traitement des données personnelles.
– C-548/21 (“Bezirkshauptmannschaft Landeck”) : Portant sur l’accès aux données personnelles stockées et leur traitement dans un cadre strictement nécessaire.
Ces arrêts illustrent une jurisprudence cohérente visant à renforcer les garanties procédurales entourant le traitement des données sensibles.