La Cour de Justice de l'Union européenne précise la portée de la protection des données personnelles

Une audience de la Cour de justice chambre à cinq juges
Source : Cour de Justice de l’Union Européenne

Une loi nationale peut-elle permettre la collecte des données génétiques et biométriques d’une personne mise en examen pour une infraction pénale ? Cette loi n’est-elle pas contraire au droit de l’Union européenne ? Un arrêt de la Cour de Justice de l’Union européenne (CJUE) du 26 janvier 2023 précise la portée de la protection des données personnelles par les textes communautaires.

L’arrêt de la CJUE a son origine dans une procédure pénale pour fraude fiscale engagée par les autorités bulgares. V.S avait été mise en examen par ces dernières pour avoir participé à un groupe criminel organisé, « constitué dans un but d’enrichissement, en vue de commettre de manière concertée des délits sur le territoire bulgare". À la suite de cette mise en examen, la police bulgare avait demandé à V.S de se soumettre à l’enregistrement policier consistant dans la collecte des données telles que les empreintes digitales, la photographie, et le profil ADN. V.S ayant refusé, la police avait saisi le tribunal pénal spécialisé pour obtenir l’exécution forcée. Au lieu de quoi, le tribunal avait préféré surseoir à statuer pour poser à la CJUE des questions sur la conformité de la demande de la police au droit de l’UE.
 

Dans sa décision du 26 janvier 2023 (aff.C-205/21 | Ministerstvo na vatreshnite raboti), la CJUE estime que le droit communautaire « s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer, d’une part, si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, si ces objectifs ne peuvent pas être atteints par des mesures constituant une ingérence de moindre gravité pour les droits et les libertés de la personne concernée » (dispositif de la décision).
Le texte sur lequel s’appuie la Cour de Justice de l’Union Européenne est la directive (UE) 2016/680 du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données telle que ses dispositions se combinent avec celles de la Charte des droits fondamentaux de l’Union européenne.
 

La Cour commence par écarter l’application du règlement RGPD (Règlement (UE) 2016/679, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la  protection des données) qui est l’autre texte communautaire régissant le traitement de données sensibles. Alors que la directive l’autorise sous certaines conditions strictes pour prévenir et poursuivre les infractions pénales, le RGPD énonce une interdiction de principe du traitement des données, assortie d’une liste d’exceptions. Dans le cas d’une contradiction apparente des dispositions nationales qui autorisent le traitement de données et celles qui semblent l’exclure, la juridiction nationale doit « donner à ces dispositions une interprétation qui préserve l’effet utile de la directive 2016/680 » (point 72).
 

Ni la directive ni la Charte ne s’opposent à ce qu’une loi nationale prévoit qu’une mesure d’exécution forcée de collecte de données puisse être autorisée par une juridiction pénale en cas de refus de la personne mise en examen. Mais le droit à une protection juridictionnelle effective doit également être respecté. Car une personne mise en examen est présumée innocence et cette présomption d’innocence peut faire obstacle à ce qu’un tribunal autorise cette collecte contre son gré. Selon la CJUE une limitation de ce droit est possible et n’est pas disproportionnée, si la loi nationale garantit ultérieurement un contrôle juridictionnel effectif des conditions de la mise en examen, dont découle l’autorisation de procéder à la collecte des données (101).
 

Enfin, et il s’agit du point de l’arrêt de la CJUE qui a été le plus commenté, la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle peut être jugée contraire au droit communautaire. Ce sera le cas si la loi qui la permet n’a pas prévu l’obligation, pour l’autorité compétente, de vérifier et de démontrer, d’une part, si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, et, d’autre part, que ces objectifs ne peuvent pas être atteints par la collecte d’une partie seulement des données concernées (114). Pour guider le juge national dans son appréciation, la Cour rappelle que la directive dispose que les traitements de données sensibles sont autorisés « uniquement en cas de nécessité absolue ». Selon la Cour : « les finalités du traitement de données biométriques et génétiques ne sauraient être désignées dans des termes à caractère trop général, mais requièrent d’être définies de manière suffisamment précise et concrète pour permettre d’évaluer la « nécessité absolue » dudit traitement » (124). Faute de quoi elle peut conduire, de manière indifférenciée et généralisée, à la collecte des données de la plupart des personnes mises en examen et porter ainsi atteinte gravement aux droits fondamentaux. En effet, « la notion d’ « infraction pénale intentionnelle poursuivie d’office » revêt un caractère particulièrement général et est susceptible de s’appliquer à un grand nombre d’infractions pénales, indépendamment de leur nature et de leur gravité » (129).


Dispositif
 

Par ces motifs , la Cour (cinquième chambre) dit pour droit

     1)    L’article 10, sous a), de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, lu à la lumière de l’article 52 de la charte des droits fondamentaux de l’Union européenne, doit être interprété en ce sens que :
le traitement de données biométriques et génétiques par les autorités de police en vue de leurs activités de recherche, à des fins de lutte contre la criminalité et de maintien de l’ordre public, est autorisé par le droit d’un État membre, au sens de l’article 10, sous a), de cette directive, dès lors que le droit de cet État membre contient une base juridique suffisamment claire et précise pour autoriser ledit traitement. Le fait que l’acte législatif national contenant une telle base juridique se réfère, par ailleurs, au règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), et non à la directive 2016/680, n’est pas de nature, en lui-même, à remettre en cause l’existence d’une telle autorisation, pour autant qu’il ressort, de manière suffisamment claire, précise et dénuée d’équivoque de l’interprétation de l’ensemble des dispositions applicables du droit national que le traitement de données biométriques et génétiques en cause relève du champ d’application de cette directive, et non de ce règlement.


     2)    L’article 6, sous a), de la directive 2016/680 ainsi que les articles 47 et 48 de la charte des droits fondamentaux de l’Union européenne doivent être interprétés en ce sens que :
ils ne s’opposent pas à une législation nationale qui prévoit que, en cas de refus de la personne mise en examen pour une infraction intentionnelle poursuivie d’office, de coopérer spontanément à la collecte des données biométriques et génétiques la concernant aux fins de leur enregistrement, la juridiction pénale compétente est tenue d’autoriser une mesure d’exécution forcée de cette collecte, sans disposer du pouvoir d’apprécier s’il existe des motifs sérieux de considérer que la personne concernée a commis l’infraction pour laquelle elle est mise en examen, pour autant que le droit national garantisse ultérieurement le contrôle juridictionnel effectif des conditions de cette mise en examen, dont découle l’autorisation de procéder à ladite collecte.


     3)    L’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8, paragraphes 1 et 2, de cette directive, doit être interprété en ce sens que :
il s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer, d’une part, si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, si ces objectifs ne peuvent pas être atteints par des mesures constituant une ingérence de moindre gravité pour les droits et les libertés de la personne concernée.