Par un arrêt rendu en sa cinquième chambre, la Cour de justice de l’Union européenne vient préciser l’étendue des obligations pesant sur les autorités nationales lors de la collecte de données biométriques et génétiques à des fins de prévention et de détection des infractions pénales. La Cour affine ainsi sa jurisprudence sur l’articulation entre les impératifs de sécurité et la protection des droits fondamentaux, en particulier le droit à la protection des données à caractère personnel.
En l’espèce, une personne mise en examen en Bulgarie pour participation à un groupe criminel organisé s’est vue notifier une demande de collecte de ses données dactyloscopiques, photographiques et génétiques aux fins d’un enregistrement policier. Suite à son refus, les autorités de police ont saisi la juridiction pénale compétente afin d’obtenir l’autorisation de procéder à une exécution forcée de cette collecte, conformément à la législation nationale. Saisie d’une première demande de décision préjudicielle, la Cour avait jugé, dans un arrêt antérieur, qu’une réglementation nationale prévoyant la collecte systématique de telles données pour toute personne mise en examen pour une infraction intentionnelle poursuivie d’office était, en principe, contraire au droit de l’Union, faute de prévoir un contrôle de la « nécessité absolue » de cette collecte. La Cour avait alors renvoyé au juge national le soin de vérifier si une interprétation conforme de son droit interne était possible. C’est dans ce contexte que la juridiction bulgare, confrontée à des difficultés d’application de ce premier arrêt, a de nouveau saisi la Cour.
La question de droit soulevée consistait essentiellement à déterminer si, en l’absence dans le droit national d’une obligation pour l’autorité compétente de vérifier et de démontrer la nécessité absolue de la collecte de données sensibles, la juridiction saisie d’une demande d’exécution forcée peut se substituer à cette autorité pour effectuer elle-même ce contrôle et, le cas échéant, si elle doit pour ce faire exiger la communication de l’intégralité du dossier pénal.
La Cour de justice répond par la négative, affirmant que l’obligation de s’assurer du caractère absolument nécessaire du traitement incombe exclusivement à l’autorité qui en prend l’initiative, et non à la juridiction dont l’intervention est sollicitée pour contraindre la personne concernée. Le juge ne saurait donc pallier la carence de la législation nationale en exerçant un contrôle qui n’est pas prévu par les textes applicables à l’autorité de poursuite. L’arrêt souligne ainsi la portée des obligations imposées par le droit de l’Union aux États membres (I), tout en confirmant les limites du rôle du juge national face à une législation nationale défaillante (II).
La Cour réaffirme avec force le caractère strict de l’exigence de « nécessité absolue » pour le traitement de données sensibles (A), avant de préciser que la responsabilité de ce contrôle pèse sur l’autorité initiant la collecte et ne peut être déléguée au juge (B).
**A. La confirmation d’une exigence renforcée pour le traitement des données sensibles**
La décision s’inscrit dans le prolongement direct de la jurisprudence antérieure de la Cour, en rappelant que la collecte de données biométriques et génétiques constitue une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données. Ces données, en raison de leur sensibilité, bénéficient d’une protection accrue en vertu de l’article 10 de la directive 2016/680. La Cour rappelle que cet article impose des conditions plus strictes que les principes généraux de nécessité et de proportionnalité applicables aux autres types de données.
En effet, le traitement de ces catégories particulières de données n’est autorisé « uniquement en cas de nécessité absolue ». Cette exigence implique une appréciation concrète et individualisée, qui ne saurait se satisfaire d’une simple référence à la nature de l’infraction reprochée. Une législation nationale qui, comme en l’espèce, instaure une collecte systématique et généralisée pour toutes les personnes mises en examen pour un certain type d’infractions, sans laisser de marge d’appréciation à l’autorité compétente, est donc structurellement incompatible avec le niveau de protection voulu par le législateur de l’Union. La Cour estime qu’une telle approche « est susceptible de conduire, de manière indifférenciée et généralisée, à la collecte des données biométriques et génétiques de la plupart des personnes mises en examen ».
**B. L’impossibilité d’une substitution du juge à l’autorité administrative**
La nouveauté principale de l’arrêt réside dans la clarification du rôle de chaque acteur. La juridiction de renvoi se demandait si elle pouvait « sauver » la loi nationale en effectuant elle-même le contrôle de nécessité absolue que la loi n’imposait pas aux autorités de police. La Cour rejette catégoriquement cette possibilité. Elle juge que l’obligation de vérifier et de démontrer cette nécessité incombe à l’ »autorité compétente », définie comme l’autorité publique chargée de la prévention et de la détection des infractions pénales, soit, dans le cas d’espèce, les autorités de police.
Le raisonnement de la Cour est fondé sur la logique même du système de protection des données. Le contrôle de la nécessité doit intervenir au moment où la décision de traiter les données est prise. Confier ce contrôle au juge, et seulement dans les cas où la personne refuse de coopérer, créerait une protection à deux vitesses. En effet, « la juridiction compétente n’est pas en mesure, par hypothèse, d’assurer la protection juridique des personnes concernées ayant exprimé un tel consentement ». Ainsi, une part importante des collectes de données échapperait à tout contrôle, ce qui viderait de sa substance l’exigence de nécessité absolue. Le contrôle juridictionnel ne peut être un mécanisme de substitution, mais doit porter sur le respect par l’autorité administrative de ses propres obligations.
Face à l’incompatibilité de la loi nationale, la Cour rappelle les limites de l’interprétation conforme (A) et désigne l’application du principe de primauté comme la seule issue pour le juge national (B).
**A. Les limites de l’interprétation conforme face à une défaillance systémique**
Le principe de l’interprétation conforme impose au juge national d’interpréter son droit interne, dans toute la mesure du possible, à la lumière du texte et de la finalité de la directive applicable. Cependant, ce principe connaît des limites. Il ne peut conduire à une interprétation *contra legem* du droit national, c’est-à-dire une interprétation qui serait en contradiction ouverte avec sa lettre et son esprit. En l’occurrence, la législation bulgare ne prévoyait aucune obligation pour l’autorité de police d’apprécier la nécessité absolue de la collecte.
Demander au juge de créer de sa propre initiative une telle étape de contrôle reviendrait à lui faire endosser le rôle du législateur. La Cour juge que « l’interprétation du droit national par laquelle la juridiction de renvoi envisage d’apprécier elle-même la ‘nécessité absolue’ […] n’est pas de nature à garantir la conformité au droit de l’Union », car elle ne remédie pas à la lacune fondamentale de la loi, qui est l’absence d’une telle obligation pour l’autorité à l’origine du traitement. La Cour refuse donc que le juge national se livre à un « bricolage » judiciaire pour pallier une transposition incorrecte de la directive par l’État membre.
**B. L’obligation de laisser inappliquée la norme nationale contraire**
Dès lors que l’interprétation conforme est impossible, le juge national se trouve face à une contradiction entre son droit interne et une disposition claire et inconditionnelle du droit de l’Union. Dans une telle situation, le principe de primauté lui impose de faire prévaloir le droit de l’Union en laissant inappliquée la disposition nationale contraire. Cette solution avait déjà été esquissée dans le premier arrêt, et la Cour la confirme ici sans ambiguïté.
La conséquence pratique pour la juridiction de renvoi est donc simple : elle doit rejeter la demande d’autorisation de collecte forcée présentée par les autorités de police. En agissant ainsi, elle assure le plein effet de l’article 10 de la directive et garantit la protection des droits fondamentaux de la personne concernée. La portée de cet arrêt est considérable. Il adresse un message clair aux États membres sur la nécessité de transposer correctement les garanties prévues par le droit de l’Union en matière de protection des données. Faute de quoi, les juridictions nationales se verront contraintes de neutraliser les dispositions nationales non conformes, rendant ainsi inopérantes les procédures qui en découlent.
