Dans le cadre d’une enquête pour fraude fiscale, les autorités bulgares ont engagé des poursuites pénales contre plusieurs personnes pour participation à un groupe criminel. L’intéressée, officiellement mise en examen, a refusé de se soumettre à un prélèvement d’ADN et à la collecte de ses données dactyloscopiques par les services de police. Saisie d’une demande de collecte forcée, la juridiction bulgare a décidé de surseoir à statuer pour interroger la Cour de justice de l’Union européenne. Les interrogations portent sur la compatibilité d’une législation nationale prévoyant la collecte systématique de données sensibles avec les exigences de la directive relative à la protection des données. La Cour de justice de l’Union européenne, dans son arrêt du 26 janvier 2023, précise les conditions de licéité du traitement des données biométriques et génétiques en matière pénale. L’analyse portera d’abord sur l’encadrement juridictionnel de la collecte des données (I), avant d’étudier le renforcement substantiel de la protection des informations sensibles (II).
I. L’encadrement juridictionnel de la collecte des données sensibles
La validité de la base légale nationale repose sur sa clarté formelle (A), tandis que l’autorisation judiciaire de la contrainte obéit à une logique procédurale spécifique (B).
A. La validité formelle de la base légale nationale
La Cour de justice souligne que le traitement des données doit être « autorisé par le droit de l’Union ou le droit d’un État membre ». Cette exigence implique que la base légale définisse la portée de la limitation de manière suffisamment claire et précise pour les citoyens. Le fait qu’une loi nationale se réfère par erreur au règlement général sur la protection des données ne disqualifie pas nécessairement l’autorisation. L’essentiel demeure que l’interprétation de l’ensemble des dispositions applicables permette de déterminer sans équivoque que le traitement relève bien de la directive pénale. La sécurité juridique est ainsi préservée dès lors que les finalités de lutte contre la criminalité et de maintien de l’ordre public sont identifiables. Cette reconnaissance de la validité formelle de la loi bulgare permet ensuite d’examiner les modalités de son application par le juge.
B. L’exercice limité du contrôle judiciaire de la contrainte
La juridiction pénale peut autoriser l’exécution forcée de la collecte sans apprécier immédiatement les motifs sérieux pesant sur la personne mise en examen. Selon la Cour, cette limitation du contrôle juridictionnel initial ne porte pas atteinte au droit à une protection effective garanti par la Charte. L’article 6 de la directive permet en effet de distinguer les catégories de personnes sans imposer un contrôle préalable exhaustif de la culpabilité. La décision d’autorisation se borne à prendre acte de la mise en examen sans constituer une prise de position préjudicielle sur la responsabilité pénale. Cette procédure est valide pour autant que le droit national garantisse ultérieurement un contrôle juridictionnel complet des conditions de la mise en examen. Le respect de la présomption d’innocence est ainsi concilié avec les nécessités de l’enquête préliminaire lors de la phase de recueil des preuves.
II. Le renforcement de la protection des données biométriques et génétiques
La protection des libertés fondamentales impose une nécessité absolue du traitement (A), laquelle s’oppose radicalement à toute forme de collecte systématique des informations (B).
A. L’exigence stricte d’une nécessité absolue
Le traitement des données sensibles est autorisé « uniquement en cas de nécessité absolue » afin de prévenir des risques importants pour la vie privée. Cette condition renforcée de licéité exige une appréciation particulièrement rigoureuse de l’utilité des données par rapport aux objectifs de l’enquête pénale. La Cour précise que la nécessité est remplie lorsque l’objectif ne peut être atteint par des moyens moins attentatoires aux droits fondamentaux. Le responsable du traitement doit démontrer que le recours à des catégories de données moins sensibles serait insuffisant pour identifier l’auteur présumé. L’adverbe uniquement souligne que la collecte de l’ADN ou des empreintes digitales doit rester exceptionnelle et strictement justifiée par les circonstances. Cette interprétation stricte de la directive encadre le pouvoir d’appréciation des autorités nationales lors de la mise en œuvre de l’enregistrement policier.
B. Le refus d’une collecte systématique et indifférenciée
Une législation nationale ne peut prévoir la collecte systématique de données biométriques pour toute personne mise en examen pour une infraction intentionnelle publique. Le critère de l’infraction intentionnelle est jugé trop général car il englobe de nombreux délits sans considération de leur nature ou de leur gravité. La Cour affirme que la mise en examen ne permet pas de présumer que la collecte des données est absolument nécessaire au sens de la directive. Les autorités doivent vérifier si la gravité de l’infraction ou les antécédents judiciaires justifient réellement une telle ingérence dans la vie privée. Une collecte indifférenciée méconnaît le principe de minimisation des données en imposant un sacrifice disproportionné des libertés individuelles au profit de l’administration. Il appartient donc au juge national d’écarter les demandes de collecte forcée lorsqu’aucune nécessité concrète n’est établie pour la procédure en cours.
