CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. GIOVANNI PITRUZZELLA
présentées le 30 juin 2022 ( 1 )
Affaire C‑205/21
Procédure pénale
contre
V.S.,
en présence de
Ministerstvo na vatreshnite raboti, Glavna direktsia za borba s organiziranata prestapnost
[demande de décision préjudicielle formée par le Spetsializiran nakazatelen sad (tribunal pénal spécialisé, Bulgarie)]
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive (UE) 2016/680 – Personne mise en examen – Enregistrement policier de données personnelles – Données sensibles – Données biométriques et génétiques – Exécution forcée – Objectif de prévention et de détection des infractions pénales – Procédure pénale en cours – Comparaison avec des données à caractère personnel recueillies dans le cadre d’enquêtes antérieures – Protection
juridictionnelle effective – Traitement des données – Principes – Minimisation des données – Nécessité absolue »
1. Lorsqu’elle est mise au service de la répression pénale, l’évolution technologique se révèle aussi fascinante que menaçante à l’égard des droits fondamentaux ( 2 ). Le présent renvoi préjudiciel offre, de nouveau, à la Cour l’occasion d’interpréter un instrument de droit de l’Union consacré à la protection des données à caractère personnel pensé comme un garde-fou d’une politique pénale qui viserait l’objectif d’une efficacité totale, alors qu’une société démocratique, régie par l’État de droit,
devrait, paradoxalement, trouver une certaine vertu dans la faillibilité d’une telle politique. D’une certaine manière, cette affaire constitue une déclinaison, dans le domaine de la protection des données personnelles, du principe selon lequel mieux vaudrait hasarder de sauver un coupable que de condamner un innocent ( 3 ).
I. Le cadre juridique
A. La directive 2016/680
2. L’article 4 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ( 4 ) est consacré aux
principes relatifs au traitement des données à caractère personnel. Il est libellé comme suit :
« 1. Les États membres prévoient que les données à caractère personnel sont :
a) traitées de manière licite et loyale ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées d’une manière incompatible avec ces finalités ;
c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées ;
[...] »
3. L’article 6, sous a), de la directive 2016/680 dispose :
« Les États membres prévoient que le responsable du traitement établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :
a) les personnes à l’égard desquelles il existe des motifs sérieux de croire qu’elles ont commis ou sont sur le point de commettre une infraction pénale »
4. L’article 8 de la directive 2016/680 traite de la licéité du traitement et est libellé comme suit :
« 1. Les États membres prévoient que le traitement n’est licite que si et dans la mesure où il est nécessaire à l’exécution d’une mission effectuée par une autorité compétente, pour les finalités énoncées à l’article 1er, paragraphe 1, et où il est fondé sur le droit de l’Union ou le droit d’un État membre.
2. Une disposition du droit d’un État membre qui réglemente le traitement relevant du champ d’application de la présente directive précise au moins les objectifs du traitement, les données à caractère personnel devant faire l’objet d’un traitement et les finalités du traitement. »
5. L’article 10 de la directive 2016/680 prévoit :
« Le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique est autorisé uniquement en cas de nécessité absolue,
sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement :
a) lorsqu’ils sont autorisés par le droit de l’Union ou le droit d’un État membre ;
b) pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique ; ou
c) lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée. »
B. Le droit bulgare
6. L’article 68 du zakon sa Ministerstvo na vatreshnite raboti (loi sur le ministère des Affaires intérieures ( 5 ), ci-après le « ZMVR ») est libellé comme suit :
« 1. Les autorités de police effectuent un enregistrement policier de personnes qui sont mises en examen pour une infraction pénale intentionnelle poursuivie d’office. Les autorités de la procédure préliminaire sont tenues de prendre les mesures nécessaires pour que les autorités de police effectuent l’enregistrement.
2. L’enregistrement policier constitue une catégorie de traitement de données personnelles des personnes visées au paragraphe 1, qui s’effectue aux conditions de la présente loi.
3. Aux fins de l’enregistrement policier, les autorités de police :
1) recueillent les données personnelles indiqués à l’article 18 du zakon za balgaskite lichni dokumenti [ ( 6 )] ;
2) procèdent à la dactyloscopie des personnes et les photographient ;
3) effectuent des prélèvements pour établir un profil ADN des personnes.
4. L’accord de la personne n’est pas requis pour effectuer les activités visées au paragraphe 3, point 1.
5. Les personnes sont tenues de faire preuve de coopération, de ne pas mettre d’obstacles ni d’empêchements à l’exercice par les autorités de police des activités visées au paragraphe 3. En cas de refus de la personne, les activités visées au paragraphe 3, points 2 et 3, sont exercées par la contrainte moyennant une autorisation du juge de la juridiction de première instance compétente dont relève l’infraction poursuivie d’office pour laquelle la personne a été mise en examen.
6. L’enregistrement policier est levé sur la base d’une décision écrite du responsable du traitement des données personnelles ou des fonctionnaires autorisés par celui-ci d’office ou sur une demande écrite motivée de la personne enregistrée, lorsque :
1) l’enregistrement a été effectué en violation de la loi ;
2) la procédure pénale a été interrompue, en dehors des cas visés à l’article 24, paragraphe 3, du [nakazatelno-protsesualen kodeks (code de procédure pénale, ci-après le « NPK »)] ;
3) une décision d’acquittement définitive a mis fin à la procédure pénale ;
4) la responsabilité pénale de la personne n’a pas été retenue et une sanction administrative lui a été infligée ;
5 la personne est décédée, la demande pouvant être, dans ce cas, formée par ses successeurs.
7. Les modalités de mise en œuvre et de levée de l’enregistrement policier sont déterminées par un règlement du conseil des ministres. »
7. L’article 2, paragraphe 1, du naredba za reda za izvarshvane i snemane na politseyska registratsia (règlement régissant les modalités de mise en œuvre et de levée de l’enregistrement policier, ci-après le « NRISPR ») ( 7 ) prévoit que « [l]’enregistrement policier est une activité de traitement de données personnelles [...] qui s’effectue aux conditions [du ZMVR] aux fins de protection de la sécurité nationale, de lutte contre la criminalité et de maintien de l’ordre public ».
II. Le litige au principal, les questions préjudicielles et la procédure devant la Cour
8. Une procédure pénale a été diligentée à l’encontre de V.S. pour fraude à la constatation et au paiement de dettes fiscales dans le chef de deux sociétés commerciales. Le 1er mars 2021, V.S. a été mise en examen pour participation à un groupe criminel organisé constitué dans un but d’enrichissement. L’ordonnance de mise en examen a été remise à V.S. le 15 mars 2021. À cette même date, elle a été invitée à coopérer à l’enregistrement policier de ses empreintes digitales ( 8 ), de sa photographie (
9 ) et d’un prélèvement destiné à établir son profil ADN. Comme elle s’y opposait, elle a rempli un formulaire de déclaration dans lequel elle indiquait avoir été informée qu’il existait une base légale permettant de procéder à cet enregistrement mais n’être pas d’accord pour qu’il soit procédé à un tel prélèvement et à cet enregistrement la concernant.
9. Le 24 mars 2021, le directeur adjoint de la Glavna direktsiya za borba s organiziranata prestapnost (direction générale de la lutte contre la criminalité organisée) au sein du Ministerstvo na vatreshnite raboti (ministère des Affaires intérieures, Bulgarie) a saisi la juridiction de renvoi, le Spetsializiran nakazatelen sad (tribunal pénal spécialisé, Bulgarie), afin de lui demander d’autoriser l’exécution forcée de l’enregistrement policier auquel V.S. refusait de se soumettre.
10. La requête mentionne la procédure pénale en cours contre V.S. ainsi que l’existence de preuves suffisantes de sa culpabilité. Elle indique également que V.S. est officiellement poursuivie pour avoir commis une infraction et qu’elle s’est opposée à la fourniture de sa photographie, de ses empreintes digitales et d’un prélèvement en vue d’établir son profil ADN aux fins de l’enregistrement policier. Seules sont annexées à la requête deux photocopies : celle de l’ordonnance de mise en examen et
celle de la déclaration par laquelle V.S a refusé de donner son consentement à l’enregistrement policier. Les autres pièces du dossier n’ont pas été transmises à la juridiction de renvoi.
11. En premier lieu, la juridiction de renvoi se demande si l’article 10 de la directive 2016/680, qui autorise, sous certaines conditions, le traitement de données biométriques et génétiques, a été correctement transposé en droit bulgare. À cet égard, la juridiction de renvoi relève que les dispositions qui régissent l’enregistrement policier se réfèrent seulement au règlement (UE) 2016/679 ( 10 ) et non à la directive 2016/680. Or, elle relève que, en vertu de son article 2, paragraphe 2, sous d),
le RGPD ne s’applique pas au traitement de données à caractère personnel par les organes compétents à des fins de prévention et de détection des infractions pénales ainsi que d’enquêtes et de poursuites en la matière puisque c’est la directive 2016/680 qui, conformément à son article 1er, paragraphe 1, régit un tel traitement.
12. En deuxième lieu, dans l’hypothèse où il devrait être considéré que l’article 10 de la directive 2016/680 a été correctement transposé en droit national ou qu’il existe une base juridique valable dans ce droit pour procéder au traitement de données biométriques et génétiques, la juridiction de renvoi se demande si l’exigence visée à l’article 10, sous a), de cette directive, selon laquelle un tel traitement doit être autorisé par le droit de l’Union ou par le droit d’un État membre, est
satisfaite, en dépit du fait qu’il existerait une contradiction entre les dispositions de droit national applicables.
13. En troisième lieu, la juridiction de renvoi fait observer que, en vertu de l’article 6, sous a), de la directive 2016/680, peuvent être traitées aux fins de la lutte contre la criminalité des données à caractère personnel de personnes à l’égard desquelles il existe des motifs sérieux de croire qu’elles ont commis une infraction pénale. Elle relève, par ailleurs, que le considérant 31, troisième phrase, de cette directive indique que le traitement de données à caractère personnel de personnes qui
sont suspectées d’avoir commis une infraction sans avoir été condamnées ne devrait pas empêcher l’application du droit à la présomption d’innocence. L’article 48 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») lui apparaît donc applicable.
14. Or, d’une part, la juridiction de renvoi relève que, en vertu de l’article 219, paragraphe 1, du NPK, il est indispensable de réunir « suffisamment d’éléments de preuve de la culpabilité d’une personne déterminée ». Elle se demande si ce critère correspond à celui des « motifs sérieux de croire que [des personnes] ont commis une infraction » visé à l’article 6, sous a), de la directive 2016/680. Elle est plutôt d’avis que, pour le traitement de données biométriques et génétiques, il est
indispensable de réunir des preuves plus convaincantes que celles qui sont nécessaires, en vertu du droit national, pour mettre quelqu’un en examen, cette mise en examen servant à informer la personne des soupçons qui pèsent sur elle et de la possibilité qu’elle a de se défendre.
15. D’autre part, la juridiction de renvoi constate que l’article 68 du ZMVR ne prévoit pas que, dans le cadre de la procédure d’exécution forcée de l’enregistrement policier, la juridiction saisie exerce un quelconque contrôle sur la présence de motifs sérieux, au sens de l’article 6, sous a), de la directive 2016/680 puisque la seule constatation que la personne a été mise en examen pour une infraction intentionnelle poursuivie d’office suffit. Elle n’est ainsi pas compétente pour apprécier s’il
existe des preuves suffisantes ou sérieuses au soutien de cette mise en examen ni ne peut, en pratique, procéder à une telle appréciation, dans la mesure où elle n’a, à sa disposition, que les copies de l’ordonnance de mise en examen et de la déclaration de refus de l’enregistrement policier. La juridiction de renvoi se demande si, dans de telles conditions, la personne qui a refusé de se soumettre à cet enregistrement policier peut être considérée comme bénéficiant d’une protection
juridictionnelle effective ainsi que du respect de la présomption d’innocence, tels que garantis par les articles 47 et 48 de la Charte.
16. En quatrième lieu, la juridiction de renvoi relève que l’article 4, paragraphe 1, sous b), de la directive 2016/680 dispose que les données à caractère personnel sont collectées pour des finalités déterminées, explicites et légitimes, et que l’article 8, paragraphe 2, de ladite directive prévoit qu’une disposition du droit d’un État membre doit préciser les objectifs et les finalités du traitement. En outre, elle relève que, en vertu de l’article 4, paragraphe 1, sous c), et de l’article 8,
paragraphe 1, de ladite directive, la collecte des données à caractère personnel ne doit pas aller au-delà de ce qui est nécessaire. Elle remarque également, en ce qui concerne plus précisément les données biométriques et génétiques, que, aux termes de l’article 10 de la directive 2016/680, leur traitement n’est autorisé qu’en cas de « nécessité absolue ».
17. La juridiction de renvoi déduit de ces dispositions de la directive 2016/680 que le droit national devrait conférer aux autorités compétentes un certain pouvoir d’appréciation, lorsqu’elles procèdent à l’enregistrement policier, pouvoir qui devrait porter aussi bien sur la question de savoir si la collecte des données concernées doit avoir lieu que sur celle de savoir si cette collecte doit couvrir toutes ces données. Par ailleurs, ladite juridiction considère également qu’il devrait être déduit
de l’exigence de « nécessité absolue » le fait que l’autorisation de la collecte de telles données ne peut intervenir qu’en présence d’une motivation adéquate de sa nécessité. Or, l’enregistrement policier s’applique de manière impérative à toutes les personnes mises en examen pour des infractions intentionnelles poursuivies d’office et aux trois catégories de collecte de données à caractère personnel visées par cet article, à savoir la prise de photographies, le relevé d’empreintes digitales et
le prélèvement d’ADN.
18. En outre, la juridiction de renvoi relève que seuls les objectifs de ce traitement sont mentionnés par le ZMVR, à savoir exercer une activité de recherche, y compris en vue de la protection de la sécurité nationale, de la lutte contre la criminalité et du maintien de l’ordre public. En revanche, la législation nationale n’exige pas que soit constatée la nécessité concrète de procéder à la collecte de toutes les données biométriques et génétiques concernées ou, le cas échéant, seulement une
partie d’entre elles. La juridiction de renvoi se demande donc si la condition prévue par le droit national pour l’enregistrement policier – c’est-à-dire le fait d’avoir été mis en examen pour une infraction intentionnelle poursuivie d’office – suffit pour répondre aux exigences de la directive 2016/680.
19. C’est dans ces conditions que le Spetsializiran nakazatelen sad (tribunal pénal spécialisé) a décidé de surseoir à statuer et, par décision parvenue au greffe de la Cour le 31 mars 2021, de saisir cette dernière des questions préjudicielles suivantes :
« 1) L’article 10 de la directive 2016/680 a-t-il été transposé valablement par la référence, dans une législation nationale [...], à une disposition qui lui est similaire, à savoir l’article 9 du [RGPD] ?
2) L’exigence visée aux dispositions combinées de l’article 10, sous a), de la directive 2016/680 et des articles [3, 8 et 52] de la [Charte], selon laquelle toute limitation à l’intégrité de la personne et à la protection des données à caractère personnel doit être prévue par la loi, est-elle respectée par des normes nationales contradictoires en ce qui concerne l’admissibilité d’un traitement de données génétiques et biométriques aux fins de l’enregistrement policier ?
3) Est-il conforme à l’article 6, sous a), de la directive 2016/680 combiné à l’article 48 de la [Charte] qu’une loi nationale, à savoir l’article 68, paragraphe 4, du ZMVR prévoie que, si la personne mise en examen pour une infraction intentionnelle poursuivie d’office refuse de coopérer spontanément à l’enregistrement des données à caractère personnel (au moyen de photographies, de la dactyloscopie et de prélèvements pour établir un profil ADN), le tribunal est tenu d’ordonner une collecte
forcée de ces données à caractère personnel, alors qu’il n’a pas le pouvoir d’apprécier s’il y a des motifs sérieux de considérer que la personne a commis l’infraction pour laquelle elle est mise en examen ?
4) Est-il conforme à l’article 10, à l’article 4, paragraphe 1, sous a) et c), ainsi qu’à l’article 8, paragraphes 1 et 2, de la directive 2016/680 qu’une loi nationale, à savoir l’article 68, paragraphes 1 à 3, du ZMVR, érige en règle générale les photographies, la dactyloscopie et le prélèvement en vue d’établir un profil ADN de toutes les personnes mises en examen pour une infraction intentionnelle poursuivie d’office ? »
20. Les gouvernements bulgare et français ainsi que la Commission européenne ont déposé des observations écrites devant la Cour. Le ministère des Affaires intérieures, les gouvernements bulgares et français ainsi que la Commission ont également fait parvenir à la Cour les réponses aux questions écrites qu’elle leur avait adressées.
21. Conformément à la demande de la Cour, les présentes conclusions seront ciblées sur les troisième et quatrième questions préjudicielles.
III. Analyse
22. De manière liminaire, je souhaite rappeler ce qui suit.
23. En ce qui concerne la qualification des données collectées et traitées ( 11 ) lors de l’enregistrement policier, à l’évidence, le prélèvement en vue d’établir le profil ADN de la personne concernée est une donnée génétique, au sens de l’article 3, point 12, de la directive 2016/680. Les empreintes digitales ( 12 ) sont des données biométriques, comme le confirme l’article 3, point 13, de cette directive. Quant aux photographies ( 13 ), elles sont également susceptibles de constituer des données
biométriques, ainsi que le prévoit également l’article 3, point 13, de la directive 2016/680. L’enregistrement policier concerne donc deux catégories des données à caractère personnel : les données dites « classiques » comme l’état civil, soumises au régime général établi par la directive 2016/680, et les données dites « particulières », pour ne pas dire sensibles, que sont les photographies, les empreintes et le prélèvement en vue d’établir le profil ADN de la personne concernée. Je remarque
toutefois que la juridiction de renvoi vise, dans le libellé de ses questions, seulement ces données « particulières ». Dans le contexte des mesures contraignant à la collecte et au traitement de données, y compris sensibles, par des autorités d’enquête, de telles mesures constituent, à l’évidence, et sans préjudice de leur éventuelle justification, une ingérence dans le droit de la personne concernée, au respect de sa vie privée et à la protection de ses données à caractère personnel ( 14 ).
Cette ingérence est d’autant plus grave que les données sont sensibles ( 15 ). Pour autant, en dépit des risques de déviance et d’abus bien connus du législateur de l’Union, le traitement de cette catégorie particulière de données par les autorités de police, notamment, à des fins de fichage n’est pas interdit parce que l’efficacité d’un tel traitement pour l’accomplissement des missions de ces autorités est avérée ( 16 ). Il s’agit donc, dans cette affaire, de rechercher un juste équilibre
entre les impératifs liés au bon déroulement de l’enquête pénale et l’impératif, non moins impérieux, d’assurer un niveau de protection renforcée de ces données à caractère personnel de nature particulière.
A. Sur la troisième question préjudicielle
24. Par sa troisième question préjudicielle, la juridiction de renvoi cherche, en substance, à savoir si l’article 6, sous a), de la directive 2016/680, lu à la lumière des articles 47 et 48 de la Charte, doit être interprété en ce sens qu’il s’oppose à une législation nationale qui prévoit que, en cas de refus de la personne mise en examen pour une infraction intentionnelle poursuivie d’office de collaborer à la procédure d’enregistrement de ses données personnelles (c’est-à-dire au moins une
photographie, ses empreintes digitales et son profil ADN établi à la suite d’un prélèvement de matière), le tribunal saisi à cette fin est tenu d’ordonner une collecte forcée de ces données sans qu’il puisse apprécier l’existence de motifs sérieux de croire que la personne concernée a effectivement commis l’infraction pour laquelle elle a été mise en examen.
25. Le contexte législatif et réglementaire national se caractérise par les éléments suivants. La juridiction de renvoi indique que presque toutes les infractions prévues par le code pénal bulgare sont poursuivies d’office, c’est-à-dire que l’accusation est engagée par le procureur. Le NPK prévoit pour sa part que, lorsque sont réunis suffisamment d’éléments de preuve de ce qu’une personne déterminée est coupable d’avoir commis une infraction poursuivie d’office, cette personne est mise en examen (
17 ). Les personnes qui sont mises en examen pour ce type d’infraction sont soumises à l’enregistrement policier tel que régi notamment par l’article 68 du ZMVR. Les autorités de police procèdent à cet enregistrement, et non les autorités mettant en œuvre la procédure pénale. Les données personnelles enregistrées sont les suivantes : les informations relatives à l’état civil de la personne (nom, date et lieu de naissance, genre, nationalité), les coordonnées et le numéro d’identification
administratif ainsi que les caractéristiques physiques (taille, couleur des yeux). Seront également enregistrées au moins une photo de la personne concernée, ses empreintes digitales ainsi que son profil ADN enregistré après qu’un prélèvement d’échantillon a été organisé. La personne mise en examen a l’obligation de coopérer et de ne pas entraver la collecte de ses données personnelles. Elle n’acquiert la qualité d’accusé qu’après le dépôt, par le procureur, du réquisitoire devant le tribunal,
la procédure pénale entrant alors dans sa phase juridictionnelle.
26. En cas d’opposition, le consentement de la personne mise en examen pouvant ne pas être exigé en cas de traitement de données personnelles relatif aux activités de lutte contre la criminalité, cette personne pourra signer une déclaration écrite manifestant son désaccord. L’autorité de police chargée de l’enregistrement policier saisit ensuite le tribunal, qui sera compétent dans l’hypothèse où la procédure pénale relative à l’infraction en question devrait entrer dans sa phase juridictionnelle,
pour lui demander l’autorisation de procéder à l’exécution forcée de cet enregistrement. Le pouvoir d’appréciation du tribunal est limité puisqu’il lui appartient de vérifier seulement que la personne a bien été mise en examen pour une infraction intentionnelle poursuivie d’office et qu’elle a effectivement refusé de se soumettre à l’enregistrement policier. Le dossier de la procédure de demande d’exécution forcée de l’enregistrement policier est donc seulement constitué d’une copie de
l’ordonnance de mise en examen et de la déclaration de refus de l’enregistrement des données. Une fois qu’il a vérifié que la personne concernée a bien fait l’objet d’une mise en examen et qu’elle s’est bien opposée à l’enregistrement policier, le tribunal saisi est tenu de donner l’autorisation qu’il soit procédé à l’exécution forcée dudit enregistrement.
27. Pour sa part, l’article 6 de la directive 2016/680, qui est au cœur de cette troisième question préjudicielle, oblige les États membres, « le cas échéant et dans la mesure du possible », à établir une distinction claire entre les données de différentes catégories de personnes concernées, telles que « les personnes à l’égard desquelles il existe des motifs sérieux de croire qu’elles ont commis ou sont sur le point de commettre une infraction pénale » ( 18 ). L’objectif de cette disposition est,
comme l’a rappelé la Commission, de ne pas faire subir la même ingérence dans le droit fondamental du droit à la protection des données personnelles aux victimes d’infractions pénales qu’aux personnes suspectées de les avoir commises, par exemple ( 19 ).
28. Il découle du seul libellé de cette disposition que l’intensité de l’obligation imposée aux États membres est plutôt faible, et pas tout à fait déterminée, dans la mesure où la liste des catégories des personnes n’est pas exhaustive et où la directive laisse aux États membres la charge de tirer les conséquences de la distinction claire à laquelle il leur est demandé de procéder. D’un point de vue strictement littéral, je considère d’emblée tout à fait admissible au regard de cette disposition
qu’un État membre établisse, comme « catégorie claire », celle des personnes mises en examen, c’est-à-dire celles à l’égard desquelles sont réunis suffisamment d’éléments de preuve qu’elles ont commis une infraction.
29. En ce qui concerne l’exécution forcée, autorisée par le juge, de l’enregistrement policier, je relève, d’une part, que la directive 2016/680 n’a pas pour objet d’organiser les conditions procédurales de la collecte des données personnelles des personnes relevant de l’article 6, sous a) ( 20 ), de cette directive et que, d’autre part, et en tout état de cause, comme l’a relevé le gouvernement français, les autorités compétentes peuvent ordonner aux personnes physiques de donner suite aux demandes
qui leur sont adressées, le consentement de la personne concernée ne constituant dès lors pas une base juridique pour le traitement des données par ces autorités ( 21 ). Ce constat vaut également pour ce qui concerne les données à caractère personnel sensibles ( 22 ).
1. Sur le contrôle limité de juge dans le cadre de la procédure d’autorisation de l’exécution forcée de l’enregistrement policier et le respect du droit à un recours juridictionnel effectif
30. Dans ces conditions, la directive 2016/680 ne faisant pas obstacle à une législation nationale qui prévoit que, en ce qui concerne des personnes mises en examen, les autorités compétentes peuvent ordonner le prélèvement des données biométriques et génétiques en cas de refus desdites personnes sans, toutefois, régir les modalités procédurales d’une telle exécution forcée, force est de constater, de concert avec le gouvernement français, que les États membres peuvent, en effet, décider de mettre
en place une procédure contraignante en lui conférant un caractère soit juridique, soit administratif, et en prévoyant de confier le pouvoir de décider de l’exécution forcée de la collecte des données soit à une autorité judiciaire, soit à une autorité administrative.
31. La directive 2016/680 précise, à son chapitre VIII, les voies de recours qui doivent être à la disposition des personnes dont les données ont été traitées. Ces voies de droit incluent la possibilité d’introduire une réclamation devant l’autorité de contrôle unique ( 23 ), la possibilité d’introduire un recours juridictionnel effectif contre toute décision juridiquement contraignante d’une autorité de contrôle qui la concerne ( 24 ) ainsi que la possibilité d’introduire un recours juridique
effectif lorsque la personne concernée considère que ses droits au titre de la directive 2016/680, tels que mis en œuvre au niveau national, ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation desdits droits ( 25 ). La situation faisant l’objet de cette troisième question préjudicielle se situe toutefois en amont de ces différentes hypothèses.
32. Néanmoins, l’article 68 du ZMVR qui prévoit les conditions de l’exécution forcée de l’enregistrement policier imposé à la catégorie particulière des personnes mises en examen pour une infraction pénale intentionnelle poursuivie d’office constituant une mise en œuvre du droit de l’Union ( 26 ) au sens de l’article 51, paragraphe 1, de la Charte, il faut donc s’assurer qu’il respecte le droit à une protection juridictionnelle effective tel que consacré à l’article 47 de la Charte.
33. L’article 47 de la Charte énonce que toute personne dont les droits et les libertés garantis par le droit de l’Union ont été violés a droit à un recours effectif, dans les conditions prévues à cet article. Les articles 7 et 8 de la Charte consacrent le droit au respect de la vie privée et à la protection des données à caractère personnel. Comme la Cour l’a récemment rappelé, « aucun de ces trois droits fondamentaux ne constitue une prérogative absolue, chacun d’entre eux devant, en effet, être
pris en considération par rapport à sa fonction dans la société » ( 27 ). Par ailleurs, l’article 52, paragraphe 1, de la Charte prévoit que des limitations peuvent être apportées à l’exercice des droits et des libertés garantis par celle-ci, à condition, premièrement, que ces limitations soient prévues par la loi, deuxièmement, qu’elles respectent le contenu essentiel des droits et des libertés en cause et, troisièmement, que, dans le respect du principe de proportionnalité, elles soient
nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui. Ainsi, une limitation à l’exercice du droit à un recours effectif consacré à l’article 47 de la Charte peut être apportée par le législateur de l’Union ou, en l’absence de réglementation de l’Union en la matière, par les États membres si les conditions prévues à l’article 52, paragraphe 1, de la Charte, sont respectées ( 28 ).
34. En ce qui concerne la première condition, c’est bien le ZMVR précisé par le NRISPR qui prévoit l’obligation, de gré ou de force, pour les personnes mises en examen pour une infraction pénale intentionnelle commise d’office, de coopérer à l’enregistrement policier, le cas échéant après ordre de la juridiction de première instance dont relève ladite infraction. La compétence liée de cette juridiction et l’impossibilité de vérifier, à ce stade de la procédure, la suffisance des éléments de preuve
susceptibles d’établir que la personne a commis l’infraction pour laquelle elle est mise en examen, alors que la procédure ayant pour but d’ordonner l’exécution forcée de l’enregistrement policier se caractérise, par ailleurs, par une certaine urgence à statuer et un caractère non contradictoire, sont bien prévues par la loi au sens de l’article 52, paragraphe 1, de la Charte.
35. En ce qui concerne la deuxième condition, la Cour a itérativement jugé que le contenu essentiel du droit à un recours juridictionnel effectif consacré à l’article 47 de la Charte inclut, notamment, pour la personne titulaire de ce droit, de pouvoir accéder à un tribunal compétent pour assurer le respect des droits que le droit de l’Union lui garantit et, à cette fin, d’examiner toutes les questions de droit et de fait pertinentes pour résoudre le litige dont il se trouve saisi ( 29 ). L’exigence
du respect du contenu essentiel du droit à un recours effectif n’implique toutefois pas que le titulaire de ce droit dispose d’une voie de recours directe ayant pour objet, à titre principal, de mettre en cause une mesure donnée pour autant qu’il existe, par ailleurs, devant les différentes juridictions nationales compétentes, une ou plusieurs voies de recours lui permettant d’obtenir, à titre incident, un contrôle juridictionnel de cette mesure assurant le respect des droits et libertés que le
droit de l’Union lui garantit ( 30 ).
36. À cet égard, je relève, comme l’a expliqué le gouvernement bulgare, que l’ordre de procéder à l’enregistrement policier intervient au cours de la phase préliminaire de la procédure pénale qui constitue le stade pendant lequel sont accomplis les actes d’enquête et de collecte des éléments de preuve à l’issue desquels il y a lieu de déterminer si une infraction a été commise, qui en est l’auteur et si la responsabilité pénale de ce dernier est engagée. Une fois l’enquête pénale terminée et les
éléments de preuve communiqués, le procureur devra décider de clore la procédure pénale, de la suspendre, de proposer une exonération de responsabilité pénale assortie d’une amende administrative, de proposer une convention au règlement du litige ou de procéder à la mise en accusation au moyen d’un réquisitoire. C’est le dépôt de ce réquisitoire devant le tribunal qui lance la phase juridictionnelle du procès pénal.
37. L’existence d’éléments de preuve à l’égard de la personne qui a été forcée de se soumettre à l’enregistrement policier devra nécessairement pouvoir être vérifiée lors de l’entrée du procès pénal dans sa phase juridictionnelle, au cours duquel le tribunal saisi doit avoir la possibilité d’examiner toutes les questions de droit et de fait pertinentes, en particulier pour vérifier que les preuves sur lesquelles se fonde l’accusation n’ont pas été obtenues ou utilisées en violation des droits et des
libertés garantis à l’intéressé par le droit de l’Union ( 31 ).
38. En ce qui concerne la troisième condition, la législation nationale soumise à l’examen de la Cour doit, dans le respect du principe de proportionnalité, être nécessaire et répondre effectivement à un objectif d’intérêt général reconnu par l’Union. L’article 68 du ZMVR organise la collecte et le traitement de données particulières pour une catégorie particulière de personnes et s’inscrit, à cet égard, dans le cadre de la directive 2016/680 qui met en place un régime spécifique en ce qui concerne
les données personnelles et leur traitement par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière. Ainsi, l’objectif poursuivi par la législation nationale en cause au principal constitue nécessairement un objectif d’intérêt général reconnu par l’Union ( 32 ). Par ailleurs, les nécessités de l’enquête peuvent également expliquer le choix opéré par le législateur national de soustraire la procédure ayant pour
objet une demande d’exécution forcée de l’enregistrement policier, en dépit des graves ingérences portées aux droits garantis par les articles 7 et 8 de la Charte, au pouvoir de vérification du juge quant au respect du champ d’application ratione personae de cet enregistrement et de reporter cet examen à un stade ultérieur de la procédure. La législation nationale semble clairement propre à réaliser l’objectif poursuivi et n’apparaît pas disproportionnée, si tant est que la personne mise en
examen a effectivement la possibilité ultérieure de contester l’enregistrement policier, fût-ce devant le juge qui en a ordonné l’exécution forcée ou devant une autre juridiction.
2. Sur l’absence de vérification de la suffisance des éléments de preuve et le respect de la présomption d’innocence
39. Enfin, la juridiction de renvoi exprime un certain nombre de préoccupations se rapportant au respect de la présomption d’innocence telle que consacrée à l’article 48 de la Charte ( 33 ). Elle se demande notamment si l’impossibilité de contrôler la suffisance des éléments de preuve à l’origine de la mise en examen au moment où la juridiction compétente doit ordonner l’enregistrement policier ne porterait pas atteinte à la présomption d’innocence de la personne mise en examen.
40. Rapporté à l’article 6, sous a), de la directive 2016/680, le considérant 31 de cette directive, qui vient éclairer le sens de cette disposition, précise que l’établissement de différentes catégories de personnes auxquelles doivent correspondre différents traitements de leurs données à caractère personnel « ne devrait pas empêcher l’application du principe du droit à la présomption d’innocence garanti par la Charte et par la [CEDH] ».
41. Comme cela est rappelé plus haut, la juridiction de renvoi s’inquiète du fait que la décision par laquelle la juridiction compétente doit ordonner l’enregistrement policier intervient aux termes d’une procédure qui ne permet à ladite juridiction que d’apprécier le point de savoir si la personne concernée est effectivement mise en examen et si elle s’est effectivement opposée à l’enregistrement policier. En ce qui concerne les procédures pénales, l’article 48 de la Charte a été mis en œuvre, dans
le droit de l’Union, par la directive (UE) 2016/343 du Parlement européen et du Conseil, du 9 mars 2016, portant renforcement de certains aspects de la présomption d’innocence et du droit d’assister à son procès dans le cadre des procédures pénales ( 34 ). Cette directive s’applique « aux personnes physiques qui sont des suspects » et « à tous les stades de la procédure pénale, à partir du moment où une personne est soupçonnée d’avoir commis une infraction pénale [...] jusqu’à ce que la décision
finale visant à déterminer si cette personne a commis l’infraction pénale concernée soit devenue définitive » ( 35 ). L’article 4, paragraphe 1, de la directive 2016/343 obligent les États membres à prendre « les mesures nécessaires pour veiller à ce que les déclarations publiques des autorités publiques, ainsi que les décisions judiciaires, autres que celles statuant sur la culpabilité, ne présentent pas un suspect ou une personne poursuivie comme étant coupable aussi longtemps que sa
culpabilité n’a pas été légalement établie ». Cette disposition s’entend toutefois « sans préjudice des actes de poursuite qui visent à prouver la culpabilité du suspect ou de la personne poursuivie et sans préjudice des décisions préliminaires de nature procédurale qui sont prises par des autorités judiciaires ou par d’autres autorités compétentes et qui sont fondées sur des soupçons ou sur des éléments de preuve à charge » ( 36 ). En outre, l’article 7, paragraphe 3, de la directive 2016/343
précise que « [l]’exercice du droit de ne pas s’incriminer soi-même n’empêche pas les autorités compétentes de recueillir les preuves qui peuvent être obtenues légalement au moyen de pouvoirs de contraintes licites et qui existent indépendamment de la volonté des suspects ou des personnes poursuivies ».
42. Dans ces conditions, il me paraît envisageable de considérer que la décision par laquelle la juridiction compétente, après avoir simplement pris acte de la mise en examen présumée, à ce stade, reposer sur suffisamment d’éléments de preuve de la participation de la personne concernée à la commission de l’infraction pénale poursuivie d’office, et du refus de ladite personne de se soumettre à l’enregistrement policier, autorise les autorités de police à procéder à l’exécution forcée de cet
enregistrement ne saurait s’interpréter comme une prise de position sur la culpabilité de ladite personne ni, partant, comme portant atteinte à la présomption d’innocence de la personne concernée ( 37 ).
43. Au contraire, compte tenu du fait que le juge devant ordonner l’enregistrement policier est le même que celui devant lequel sera, éventuellement, porté le procès pénal entré dans sa phase juridictionnelle, la circonstance qu’il ne puisse pas apprécier, à ce stade de la procédure pénale, qui plus est dans le contexte d’une procédure qui ne semble pas contradictoire, la suffisance des éléments de preuve apparaît assurer à la personne mise en examen que ce juge, conformément à ce qu’exige la
présomption d’innocence, sera « libre de tout parti pris et de tout a priori lorsqu’il examine[ra] la responsabilité pénale de l’accusé » ( 38 ). En tout état de cause, « il convient, afin de contrôler le respect de la présomption d’innocence, de toujours analyser une décision judiciaire et sa motivation dans son ensemble et à la lumière des circonstances particulières dans lesquelles celle-ci a été adoptée » ( 39 ).
44. Il résulte ainsi de l’analyse qui précède que l’article 6, sous a), de la directive 2016/680, lu à la lumière des articles 47 et 48 de la Charte, doit être interprété en ce sens qu’il ne s’oppose pas à une législation nationale, telle que celle en cause au principal, qui prévoit que le contrôle de la juridiction pénale compétente, saisie d’une demande d’autorisation de l’exécution forcée de l’enregistrement policier des données à caractère personnel notamment biométriques et génétiques auquel la
personne mise en examen pour une infraction intentionnelle poursuivie d’office a refusé de se soumettre, est limité au constat de la décision de la mise en examen et du refus de la personne concernée, sans qu’elle puisse apprécier l’existence de la suffisance des éléments de preuve ayant conduit à la décision de mettre ladite personne en examen, dès lors que la question de la suffisance des éléments de preuve pour fonder la mise en examen pourra être utilement soulevée devant le juge, le cas
échéant lors d’une phase ultérieure de la procédure pénale.
B. Sur la quatrième question préjudicielle
45. Par sa quatrième question préjudicielle, la juridiction de renvoi interroge la Cour sur l’interprétation de l’article 4, paragraphe 1, sous b) et c) ( 40 ), ainsi que les articles 8 et 10 de la directive 2016/680 afin qu’elle puisse, in fine, apprécier la conformité, à ces dispositions, de l’article 68 du ZMVR, dont il découle que les photographies, les empreintes digitales et le prélèvement en vue d’établir un profil ADN sont systématiquement collectés et traités, dès lors qu’une personne est
mise en examen pour une infraction pénale intentionnelle poursuivie d’office.
46. La directive 2016/680 consacre une disposition spécifique au traitement portant sur des catégories particulières de données à caractère personnel, telles que celles visées par le libellé de la quatrième question préjudicielle, à son article 10 qui prévoit, en substance, que le traitement des données biométriques et génétiques aux fins d’identifier une personne physique de manière unique « est autorisé uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits
et libertés de la personne concernée, et uniquement [...] lorsqu’[il est autorisé] par le droit de l’Union ou le droit d’un État membre » ( 41 ).
47. L’application de l’article 10 n’empêche pas la soumission, par ailleurs et a fortiori, du traitement de ces données particulières aux autres exigences prévues par la directive 2016/680, de sorte qu’un traitement de catégories particulières de données à caractère personnel doit, notamment, respecter l’article 4, paragraphe 1, sous b) et c), ainsi que l’article 8 de cette directive. Toutefois, un examen successif de ces dispositions aboutirait à un résultat redondant, de sorte qu’il me semble
possible d’intégrer les exigences propres à ces dispositions dans l’analyse menée sur le fondement de l’article 10 de la directive 2016/680.
48. Ainsi, je considère, en effet, qu’il doit être vérifié, en premier lieu, que le traitement des données soumis au champ d’application de l’article 10 de la directive 2016/680 est absolument nécessaire. Cela implique, d’une part, de définir le niveau de nécessité requis et, d’autre part, d’introduire dans le test de la nécessité également le principe de minimisation des données à caractère personnel consacré à l’article 4, paragraphe 1, sous c), de cette directive ( 42 ). Le contrôle de la
corrélation entre les moyens mis en œuvre et la finalité poursuivie, laquelle doit être déterminée, explicite et légitime au sens de l’article 4, paragraphe 1, sous b), et de l’article 8, paragraphe 1, de la directive 2016/680, peut également intervenir à ce stade de l’analyse. En deuxième lieu, il faut s’assurer que le traitement est bien autorisé par le droit d’un État membre, ce qui, comme je le démontrerai, renvoie à la qualité de la loi à la lumière de ce qui est prescrit notamment à
l’article 8, paragraphe 2, de la directive 2016/680. En troisième lieu, il faudra apprécier le point de savoir si le traitement régi par l’article 10 de cette directive répond à l’exigence d’offrir des garanties appropriées pour les droits et libertés de la personne concernée.
1. Sur le caractère absolument nécessaire du traitement des données collectées lors de l’enregistrement policier
49. La première des conditions est donc que le traitement des données biométriques et génétiques doit être absolument nécessaire. Il ne fait, selon moi, pas de doute qu’il s’agit là d’une exigence renforcée, l’article 8, paragraphe 1, de la directive 2016/680 se bornant à faire référence à la seule nécessité du traitement pour en conditionner la licéité. Je note, toutefois, que, sans prétendre à l’exhaustivité, les versions en langues espagnole, allemande, anglaise, italienne, polonaise, portugaise
ou encore roumaine fixent, à l’article 10 de cette directive, un seuil libellé différemment puisque ces versions se réfèrent à un traitement strictement nécessaire ( 43 ). Si la nuance, bien que subtile, existe, je suis d’avis qu’elle n’emporte pas véritablement de conséquences sur la nature du test qui en découle. En revanche, l’article 10 de la directive 2016/680 impose clairement un niveau d’exigence renforcé, rendu nécessaire en présence d’ingérences graves dans le droit à la protection des
données personnelles ( 44 ), par rapport à ce qui est admis dans le cadre du régime général appliqué aux données non particulières. L’idée d’une rigoureuse nécessité doit être, par conséquent, constamment gardée à l’esprit.
50. Pour une plus grande cohérence de cette dernière, je commence par l’examen des finalités. Les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées d’une manière incompatible avec ces finalités, ce qui nécessite un examen du droit national qui compose, par ses différentes sources, le régime juridique de l’enregistrement policier, examen qu’il appartiendra à la juridiction de renvoi de mener. La seule invocation
d’une finalité poursuivie à l’article 1er, paragraphe 1, de la directive 2016/680 ne peut suffire pour constater que l’exigence prévue à l’article 4, paragraphe 1, sous b), de cette directive est satisfaite. Si la directive 2016/680 reconnaît le besoin des autorités compétentes de traiter des données à caractère personnel collectées dans le cadre de la prévention et de la détection d’infractions pénales spécifiques et des enquêtes et poursuites en la matière au-delà de ce cadre, pour acquérir
une meilleure compréhension des activités criminelles et établir des liens entre les différentes infractions pénales mises à jour ( 45 ), le droit national qui encadre cette activité doit identifier les finalités du traitement, qui doivent être énoncées clairement ( 46 ). En outre, s’agissant de l’objectif de prévention, de recherche, de détection et de poursuite d’infractions pénales, « seules la lutte contre la criminalité grave et la prévention de menaces graves contre la sécurité publique
sont de nature à justifier des ingérences graves dans les droits fondamentaux consacrés aux articles 7 et 8 de la Charte [...] Dès lors, seules des ingérences dans lesdits droits fondamentaux ne présentant pas un caractère grave peuvent être justifiées par l’objectif de prévention, de recherche, de détection et de poursuites d’infractions pénales en général » ( 47 ).
51. Les dispositions nationales doivent être claires et précises ( 48 ), pour que les personnes concernées puissent être informées des risques, règles, garanties et droits ( 49 ) relatifs au traitement envisagé. À mon sens, le contrôle du caractère légitime de la finalité poursuivie ne peut se borner à l’examen de la seule mention, par le droit national, d’une finalité commune à celles de la directive 2016/680, la finalité étant aussi légitimée par les conditions de sa poursuite. En outre,
insuffisamment détaillée quant aux conditions de sa mise en œuvre pratique, la finalité poursuivie, bien que légitime, ne pourra être considérée comme étant ni explicite ni déterminée, toujours au sens de l’article 4, sous b), de la directive 2016/680. Or, l’explicitation et la détermination des finalités sont des étapes essentielles pour que l’examen de l’absolue nécessité puise être mené.
52. En ce qui concerne le principe selon lequel les données à caractère personnel collectées et traitées doivent être adéquates, pertinentes et non excessives au regard des finalités poursuivies par leur traitement, il s’agit du principe de minimisation des données ( 50 ), tel qu’exprimé à l’article 4, paragraphe 1, sous c), de la directive 2016/680.
53. L’adéquation et la pertinence des données ne semblent, a priori, pas poser de problème, les photographies, les empreintes et l’ADN étant des facteurs connus d’identification unique permettant d’établir, par comparaison, la participation présumée de la personne concernée à la commission de l’infraction, que ce soit dans le cadre de la procédure pénale en cours ou par comparaison avec des éléments de preuve recueillis dans le cadre de procédures passées.
54. Le considérant 26 de la directive 2016/680 englobe, dans le principe de minimisation des données, la vérification de la durée nécessaire de conservation des données concernées ( 51 ) et indique que les données « ne devraient être traitées que si la finalité du traitement ne peut être raisonnablement atteinte par d’autres moyens » ( 52 ). S’agissant, en outre, de dérogations et de restrictions au droit fondamental à la protection des données personnelles, ces dérogations et restrictions doivent
s’opérer dans les limites du strict nécessaire ( 53 ). Un rapport raisonnable doit être établi entre les données à conserver et l’objectif ( 54 ) poursuivi. S’il ne s’agit pas de remettre en cause la contribution efficace des fichiers de données, consultés par les autorités nationales, à la répression de certaines infractions, parfois les plus graves, la Cour européenne des droits de l’homme a néanmoins déjà jugé que de tels dispositifs ne sauraient être mis en œuvre dans une logique excessive
de maximalisation des informations qui y sont placées et de la durée de leur conservation. En effet, sans le respect d’une nécessaire proportionnalité au regard des objectifs légitimes qui leur sont attribués, les avantages qu’ils apportent seraient obérés par les atteintes graves qu’ils causeraient aux droits et libertés que les États doivent assurer ( 55 ).
55. La Cour a récemment rappelé, dans le contexte du RGPD et à propos du principe de minimisation, que, pour satisfaire l’exigence de proportionnalité à laquelle il est donné expression par la disposition prévoyant ce principe, « la réglementation qui fonde le traitement doit prévoir des règles claires et précises régissant la portée et l’application de la mesure en cause et imposant des exigences minimales, de telle sorte que les personnes dont les données à caractère personnel sont concernées
disposent de garanties suffisantes permettant de protéger efficacement ces données contre les risques d’abus. Cette réglementation doit être légalement contraignante en droit interne et, en particulier, indiquer en quelles circonstances et sous quelles conditions une mesure prévoyant le traitement de telles données peut être prise, garantissant que l’ingérence soit limitée au strict nécessaire » ( 56 ). Ladite réglementation doit, en outre, « se fonder sur des critères objectifs pour définir les
circonstances et les conditions » ( 57 ) dans lesquelles une personne est tenue de fournir ses données personnelles en vue de leur traitement par les autorités compétentes.
2. Sur l’exigence selon laquelle le traitement doit être autorisé par le droit national
56. L’article 10 prévoit, comme l’une des conditions d’autorisation du traitement des catégories particulières de données à caractère personnel, que ce dernier doit être autorisé par le droit de l’Union ou le droit national. Le considérant 33 la directive 2016/680 précise ce qu’il faut entendre par « droit national » ainsi que les qualités que celui-ci doit avoir. Ainsi, le droit national doit être clair et précis, et son application prévisible. Son contenu est fixé à l’article 8, paragraphe 2, de
cette directive qui prévoit qu’une disposition du droit national qui régit un traitement des données à caractère personnel relevant du champ d’application de ladite directive précise « au moins les objectifs du traitement, les données à caractère personnel devant faire l’objet d’un traitement et les finalités [de ce dernier] ». Distinguer les objectifs du traitement et ses finalités ne paraît pas, de prime abord, évident. Il me semble toutefois que, si la finalité peut être formulée à un certain
niveau de généralité, les objectifs devraient préciser l’utilité concrète et immédiate du traitement envisagé ( 58 ). Le droit national doit ainsi mettre suffisamment en évidence les raisons pour lesquelles le traitement de cette catégorie particulière de données a été autorisé.
3. Sur l’existence de garanties appropriées pour les droits et libertés de la personne concernée
57. Eu égard aux risques engendrés par le traitement des données à caractère personnel dites sensibles, celui-ci doit être encadré par des garanties appropriées pour les droits et libertés de la personne concernée. Pour être appropriées, ces garanties doivent, sans surprise, être prévues par la loi ( 59 ). Apprécier l’existence de ces garanties nécessite d’avoir une vue d’ensemble de toutes les conditions afin d’être en mesure d’apprécier la portée exacte du traitement en cause et de s’assurer d’une
protection efficace contre les traitements impropres ou abusifs ( 60 ). En effet, le considérant 37 de la directive 2016/680 mentionne à titre d’exemples de telles garanties « la possibilité de ne collecter ces données qu’en rapport avec d’autres données relatives à la personne physique concernée, la possibilité de sécuriser les données collectées de manière adéquate, des règles plus strictes pour l’accès du personnel de l’autorité compétente aux données et l’interdiction de la transmission de
ces données ». En matière de traitement de données sensibles, parce qu’il s’agit d’une ingérence grave et en considération des risques d’abus liés à la qualité intrinsèque de ces données, les questions de la durée de leur conservation et de l’accès des autorités compétentes sont fondamentales. L’appréciation de la conformité du traitement envisagé aux prescriptions de l’article 10 de la directive 2016/680 implique donc également un examen rigoureux de tous les aspects du traitement envisagé qui
doivent, dès lors, être formulés clairement par le droit national ( 61 ) et répondre aux normes fixées par le droit de l’Union.
4. Conclusion et application provisoire
58. Ainsi, il résulte de ce qui précède que l’article 10 de la directive 2016/680, lu ensemble avec l’article 4, sous b) et c), et l’article 8 de cette directive, et interprété à la lumière des articles 7, 8 et de l’article 52, paragraphe 1, de la Charte, doit être interprété en ce sens que la collecte et le traitement des données biométriques et génétiques, telles que les photographies, les empreintes digitales et un prélèvement en vue de l’établissement d’un profil ADN, en ce qu’ils constituent
une ingérence grave dans le droit à la protection des données à caractère personnel, ne sont autorisés qu’en cas de stricte nécessité pour la poursuite d’objectifs liés à la criminalité grave, que le droit national doit clairement identifier. La nature et le nombre de données à caractère personnel traitées doivent être strictement adéquats et cohérents avec l’objectif et la finalité poursuivis. À cet égard, le droit national doit se conformer à l’une des finalités poursuivies par la
directive 2016/680. Il doit également indiquer quels sont les objectifs concrets poursuivis susceptibles de contribuer à la réalisation de cette finalité. Doivent également être précisées de manière concrète les raisons pour lesquelles, en dépit du fait qu’il s’agisse d’une ingérence grave, le traitement de ces données, et en particulier des données génétiques, apparaît strictement nécessaire à cette fin. Le droit national doit, en outre, énoncer clairement les conditions du traitement dans
toutes ses dimensions, c’est-à-dire des conditions de la collecte jusqu’aux conditions de l’accès aux données et de leur effacement en passant par la détermination précise et nécessairement strictement limitée du champ d’application personnel de la mesure de collecte et de traitement. Chacune de ces conditions doit être limitée au strict nécessaire. Le régime ainsi défini doit se révéler de nature à protéger efficacement les personnes contre les risques d’abus que représente, en particulier, le
traitement des données génétiques. Il appartiendra à la juridiction de renvoi de s’assurer que l’ensemble de ces prescriptions sont scrupuleusement respectées.
59. La Cour ne me paraît, en effet, pas disposer pleinement de tous les éléments d’informations sur l’état du droit national régissant l’enregistrement policier pour pouvoir se prononcer elle-même sur la compatibilité de l’enregistrement policier avec le droit de l’Union. Pour autant, il doit être dit que certains éléments propres à cet enregistrement suscitent déjà quelques interrogations, voire préoccupations.
60. La juridiction de renvoi mentionne, dans sa demande de décision préjudicielle, que le traitement a pour objectif une activité de recherche et qu’il s’inscrit dans le cadre de l’exécution des activités du ministère des Affaires intérieures. Il ressort, en outre, de l’article 27 du ZMVR que les données enregistrées par la police au titre de l’article 68 de cette loi sont « uniquement » utilisées dans le cadre de la protection de la sécurité nationale, de la lutte contre la criminalité et du
maintien de l’ordre public ( 62 ). Les données collectées lors de l’enregistrement policier seront traitées aux fins de la procédure pénale dans laquelle la personne concernée a été mise en examen mais aussi « à d’autres fins liées à la lutte contre la criminalité », selon les écritures du gouvernement bulgare, et le cas échéant par comparaison. Prima facie, ces finalités apparaissent, certes, correspondre à celles mentionnées à l’article 1er, paragraphe 1, de la directive 2016/680, en
particulier les fins de détection des infractions pénales et d’enquêtes. Toutefois, l’absence de détermination précise de la finalité poursuivie, voire l’accumulation des finalités invoquées, ainsi que le manque d’explicitation des raisons pour lesquelles une/de telle(s) fin(s) justifie(nt) un tel moyen (à savoir, je le rappelle, la collecte et le traitement obligatoire et systématique de trois types de données à caractère personnel relevant des catégories particulières devant bénéficier d’une
protection renforcée au titre de l’article 10 de la directive 2016/680, dont le profil ADN, des personnes mises en examen pour une infraction intentionnelle poursuivie d’office) ( 63 ) apparaissent manifestes et risquent d’entraver les autres étapes du test devant être appliqué. En particulier, s’agissant de l’alimentation d’un fichier automatisé par le profil ADN de la personne concernée, l’effort du droit national en ce qui concerne les explicitations de la nécessité de recourir à un tel
traitement doit être particulièrement soutenu afin qu’il soit démontré que le résultat auquel il est parvenu procède d’une mise en balance sérieusement menée des intérêts en présence.
61. Même si les finalités prétendument poursuivies par l’enregistrement policier apparaissaient conformes à celles visées à l’article 1er, paragraphe 1, de la directive 2016/680, le droit national n’a ni établi ni précisé les liens entre l’ampleur de la collecte – que ce soit sur le nombre de personnes concernées comme sur le nombre de données collectées et traitées – et les finalités poursuivies.
62. La Cour ayant déjà jugé que l’efficacité de poursuites pénales dépend généralement non pas d’un seul instrument d’enquête, mais de tous les instruments d’enquête dont disposent les autorités nationales compétentes à ces fins ( 64 ), lorsqu’un État membre autorise ces autorités à collecter et à traiter des données à caractère personnel aussi sensibles que le profil ADN, les raisons pour lesquelles ces données doivent faire l’objet d’un traitement aux fins de l’enquête en cours devraient être
spécifiquement précisées.
63. Je relève également que toutes les personnes mises en examen pour une infraction intentionnelle poursuivie d’office doivent se soumettre à l’enregistrement policier. Or, la juridiction de renvoi précise que ce sont presque toutes les infractions prévues au code pénal qui relèvent de ces catégories (infraction intentionnelle/infraction poursuivie d’office). Toutes les données sont prélevées au stade de la mise en examen, alors que, comme cela est exigé par le droit pénal processuel bulgare, ont
déjà été rassemblées suffisamment de preuves de la culpabilité de la personne mise en examen. Au regard de l’enregistrement policier, les personnes qui seront effectivement déclarées coupables au terme de la procédure ne sont toutefois pas traitées différemment de celles qui ne le seront pas, mis à part, semble-t-il, un droit à l’effacement des données traitées, une fois que la personne est finalement acquittée. Or, s’agissant d’ingérences graves et de données sensibles nécessitant une
protection renforcée, je me demande pourquoi cette logique n’est pas inversée, c’est-à-dire pourquoi ne pas attendre la condamnation pour les faits reprochés avant de procéder à l’enregistrement policier, ce qui aurait au moins le mérite de renforcer la sélectivité de la mesure. La Cour ne dispose toutefois pas d’informations sur les raisons qui ont motivé le choix du législateur national.
64. La nature de l’infraction pour laquelle la mise en examen a été prononcée n’est pas davantage prise en compte. Si l’on devait schématiser à l’extrême, l’on pourrait avancer que la personne mise en examen pour un délit routier sera traitée de la même façon que celle mise en examen pour assassinat. La législation n’apparaît pas prévoir de cas dans lesquels il n’est pas procédé à l’enregistrement policier de toutes les données concernées. Or, au moins en ce qui concerne les procédures pénales en
cours, toutes ne nécessiteront pas l’établissement d’un profil ADN pour attester de la culpabilité de la personne concernée. Si, parce qu’elle est « limitée » aux personnes mises en examen, la mesure n’est pas, en tant que telle généralisée, en revanche, dans la vaste catégorie desdites personnes, son application indifférenciée pose clairement question. Par ailleurs, en ne distinguant pas selon la gravité de l’infraction, le droit national apparaît déjà, sur ce seul point, difficilement
conciliable avec la jurisprudence rappelée au point 50 des présentes conclusions.
65. Une attention particulière devra également être portée aux conditions de conservation des données et d’accès à ces données, à propos desquelles la Cour est peu renseignée.
66. Enfin, la question de la comparaison des données ainsi prélevées m’inspire deux séries de commentaires. D’abord, en ce qui concerne la comparaison avec les éléments de preuve recueillis lors d’enquêtes précédentes, une interprétation strictement nécessaire de cet objectif ne pourra qu’éventuellement justifier une comparaison immédiate des traces, sans qu’il soit nécessaire de conserver à plus ou moins long terme les données des personnes mises en examen. Ensuite, si l’idée est de constituer une
base de données pour faciliter la résolution des infractions à venir, donc en cas de récidive, il n’apparaît clairement pas justifié d’alimenter cette base avec des données à caractère personnel sensibles de personnes à propos desquelles, alors qu’elles n’ont pas encore été jugées coupables, on mettrait déjà en œuvre des éléments de lutte contre le risque tout à fait hypothétique de récidive qu’elles représenteraient.
IV. Conclusion
67. Eu égard à l’ensemble des considérations qui précèdent, je suggère à la Cour de répondre comme suit aux troisième et quatrième questions préjudicielles adressées par le Spetsializiran nakazatelen sad (tribunal pénal spécialisé, Bulgarie) :
L’article 6, sous a), de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, lu à la
lumière des articles 47 et 48 de la charte des droits fondamentaux de l’Union européenne, doit être interprété en ce sens qu’il ne s’oppose pas à une législation nationale, telle que celle en cause au principal, qui prévoit que le contrôle de la juridiction pénale compétente, saisie d’une demande d’autorisation de l’exécution forcée de l’enregistrement policier des données à caractère personnel notamment biométriques et génétiques, auquel la personne mise en examen pour une infraction
intentionnelle poursuivie d’office a refusé de se soumettre, est limité au constat de la décision de la mise en examen et du refus de la personne concernée, sans qu’elle puisse apprécier l’existence de la suffisance des éléments de preuve ayant conduit à la décision de mettre ladite personne en examen, dès lors que la question de la suffisance des éléments de preuve pour fonder la mise en examen pourra être utilement soulevée devant le juge, le cas échéant lors d’une phase ultérieure de la
procédure pénale.
L’article 10 de la directive 2016/680, lu ensemble avec l’article 4, sous b) et c), et l’article 8 de cette directive, et interprété à la lumière des articles 7, 8 et de l’article 52, paragraphe 1, de la charte des droits fondamentaux, doit être interprété en ce sens que la collecte et le traitement des données biométriques et génétiques, telles que les photographies, les empreintes digitales et un prélèvement en vue de l’établissement d’un profil ADN, en ce qu’ils constituent une ingérence
grave dans le droit à la protection des données à caractère personnel, ne sont autorisés qu’en cas de stricte nécessité pour la poursuite d’objectifs liés à la criminalité grave, que le droit national doit clairement identifier. La nature et le nombre de données à caractère personnel traitées doivent être strictement adéquats et cohérents avec l’objectif et la finalité poursuivis. À cet égard, le droit national doit poursuivre l’une des finalités poursuivies par la directive 2016/680. Il doit
également indiquer quels sont les objectifs concrets poursuivis susceptibles de contribuer à la réalisation de cette finalité. Doivent également être précisées de manière concrète les raisons pour lesquelles, en dépit du fait qu’il s’agisse d’une ingérence grave, le traitement de ces données, et en particulier des données génétiques, apparaît strictement nécessaire à cette fin. Le droit national doit, en outre, énoncer clairement les conditions du traitement dans toutes ses dimensions,
c’est-à-dire des conditions de la collecte jusqu’aux conditions de l’accès aux données et de leur effacement en passant par la détermination précise et nécessairement strictement limitée du champ d’application personnel de la mesure de collecte et de traitement. Chacune de ces conditions doit être limitée au strict nécessaire. Le régime ainsi défini doit se révéler de nature à protéger efficacement les personnes contre les risques d’abus que représente, en particulier, le traitement des données
génétiques. Il appartient à la juridiction de renvoi de s’assurer que l’ensemble de ces prescriptions sont respectées.
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( 1 ) Langue originale : le français.
( 2 ) Voir, également, mes conclusions dans l’affaire Ligue des droits humains (C‑817/19, EU:C:2022:65, point 2).
( 3 ) Selon le « grand principe » en vertu duquel Zadig, devenu premier ministre du roi, avait exercé son ministère (dans Voltaire, Zadig ou la destinée, éditions Pocket, Paris, 2020, p. 41).
( 4 ) JO 2016, L 119, p. 89.
( 5 ) DV no 53, du 27 juin 2014, modifié et complété en dernier lieu au CV no 85, du 2 octobre 2020, complété au DV no 20, du 9 mars 2021.
( 6 ) Loi sur les pièces d’identité bulgares.
( 7 ) DV no 90, du 31 octobre 2014, modifié en dernier lieu au DV no 57, du 28 juillet 2015.
( 8 ) Le nombre d’empreintes digitales ainsi relevées n’est pas précisé dans le dossier dont dispose la Cour.
( 9 ) Il ressort du dossier dont dispose la Cour que le contenu de l’enregistrement policier est décrit comme incluant une photographie ou des photographies, sans que le nombre et le contenu de la ou des photographie(s) soient davantage précisés.
( 10 ) Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
( 11 ) L’enregistrement, par les autorités compétentes à cette fin, dans les fichiers de recherche d’un État membre des données à caractère personnel telles que celles concernées par l’enregistrement policier constitue un traitement de ces données au sens de la directive 2016/380 : voir article 3, points 2 et 7, de cette directive. Voir également, par analogie, arrêt du 12 mai 2021, Bundesrepublik Deutschland (Notice rouge d’Interpol) (C‑505/19, EU:C:2021:376, point 111).
( 12 ) Je rappelle que le nombre d’empreintes digitales ainsi prélevées n’est pas précisé.
( 13 ) Là encore, leur nombre et leur contenu ne sont pas précisés.
( 14 ) Voir, par analogie, arrêts du 16 juillet 2020, Facebook Ireland et Schrems (C‑311/18, EU:C:2020:559, point 171), et du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C‑245/19 et C‑246/19, EU:C:2020:795, point 73).
( 15 ) Sur le rapport entre le caractère sensible des données et la gravité de l’ingérence, voir, notamment, arrêts du 24 septembre 2019, GC e.a. (Déréférencement de données sensibles) (C‑136/17, EU:C:2019:773, point 44), et du 6 octobre 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 142).
( 16 ) Comme le confirment les statistiques fournis par le gouvernement français dans ses observations écrites.
( 17 ) Article 219, paragraphe 1, du NPK.
( 18 ) Article 6, sous a), de la directive 2016/680. Mise en italique par mes soins. Les autres catégories visées par cette disposition sont les personnes coupables d’une infraction pénale [article 6, sous b)], les victimes [article 6, sous c)] et les tiers comme les témoins [article 6, sous c)].
( 19 ) Cet article 6 est le résultat d’un glissement du principe de catégorisation des données, consacré par le principe no 3 de la recommandation no R (87/15) du Comité des ministres aux États membres visant à réglementer l’utilisation de données à caractère personnel dans le secteur de la police et dont il s’inspire [voir exposé des motifs de la proposition de directive COM(2012) 10 final du 25 janvier 2012, point 3.4.2] au principe de catégorisation des personnes dont les données personnelles
vont être collectées puis traitées.
( 20 ) Il ressort, en effet, de l’article 1er de la directive 2016/680 que cette dernière a pour objet d’établir « des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en matière ou d’exécution de sanctions pénales ».
( 21 ) Voir considérant 35 de la directive 2016/680.
( 22 ) Voir considérant 37 de la directive 2016/680.
( 23 ) Voir article 52 de la directive 2016/680.
( 24 ) Voir article 53 de la directive 2016/680.
( 25 ) Voir article 54 de la directive 2016/680.
( 26 ) Plus particulièrement de l’article 6, sous a), de la directive 2016/680.
( 27 ) Arrêt du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C‑245/19 et C‑246/19, EU:C:2020:795, point 49).
( 28 ) Voir arrêt du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C‑245/19 et C‑246/19, EU:C:2020:795, point 60).
( 29 ) Voir arrêt du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C‑245/19 et C‑246/19, EU:C:2020:795, point 66).
( 30 ) Voir arrêt du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C‑245/19 et C‑246/19, EU:C:2020:795, point 79).
( 31 ) Voir, par analogie, arrêt du 6 octobre 2020, État luxembourgeois (Droit de recours contre une demande d’information en matière fiscale) (C‑245/19 et C‑246/19, EU:C:2020:795, point 82 et jurisprudence citée). La question de la conséquence à tirer de l’éventuel constat de l’illégalité de la preuve obtenue en violation du droit de l’Union en matière de protection des données à caractère personnel est une question ultérieure.
( 32 ) Voir arrêts du 2 octobre 2018, Ministerio Fiscal (C‑207/16, EU:C:2018:788, point 57), et du 2 mars 2021, Prokuratuur (Conditions d’accès aux données relatives aux communications électroniques) (C‑746/18, EU:C:2021:152, point 33).
( 33 ) Pour rappel, cet article de la Charte tire son inspiration directement de l’article 6, paragraphes 2 et 3, de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH ») comme cela ressort des explications relatives à la Charte. L’article 48 de la Charte opère comme un seuil de protection minimale et doit être interprété en prenant en considération l’article 6, paragraphes 2 et 3, de la CEDH, ainsi que la
jurisprudence y relative de la Cour européenne des droits de l’homme : voir arrêt du 5 septembre 2019, AH e.a. (Présomption d’innocence) (C‑377/18, EU:C:2019:670, point 41).
( 34 ) JO 2016, L 65, p. 1.
( 35 ) Article 2 de la directive 2016/343.
( 36 ) Je note néanmoins que, sans être traduite par une exigence concrète dans le corpus de la directive 2016/343, la question de la suffisance des éléments de preuve est effleurée à son considérant 16, dont l’ultime phrase prévoit que, « [a]vant de prendre une décision préliminaire de nature procédurale, l’autorité compétente pourrait être d’abord tenue de vérifier qu’il existe suffisamment d’éléments de preuve à charge à l’égard du suspect ou de la personne poursuivie pour justifier ladite
décision, et celle-ci pourrait contenir une référence à ces éléments » (mise en italique par mes soins).
( 37 ) À l’image de ce que la Cour a jugé à propos d’une décision judiciaire ayant pour seul objet l’éventuel maintien en détention provisoire d’une personne poursuivie, décision qui, selon la Cour, vise uniquement à trancher la question de savoir si cette personne doit ou non être remise en liberté, au regard de l’ensemble des circonstances pertinentes, sans déterminer si la personne est coupable de l’infraction qui lui est reprochée : voir arrêt du 28 novembre 2019, Spetsializirana prokuratura
(C‑653/19 PPU, EU:C:2019:1024, point 35).
( 38 ) Arrêt du 16 novembre 2021, Prokuratura Rejonowa w Mińsku Mazowieckim e.a. (C‑748/19 à C‑754/19, EU:C:2021:931, point 88).
( 39 ) Arrêt du 5 septembre 2019, AH e.a. (Présomption d’innocence) (C‑377/18, EU:C:2019:670, point 46).
( 40 ) Eu égard aux motifs de la demande de décision préjudicielle (voir, notamment, point 57 de celle-ci), il y a lieu de reformuler le libellé de cette quatrième question comme portant sur l’interprétation du point b), et non du point a), de l’article 4, paragraphe 1, de la directive 2016/680.
( 41 ) Aux fins de l’analyse, je retiens que l’enregistrement policier relève de l’hypothèse visé à l’article 10, sous a), de la directive 2016/680. Il semble ressortir du dossier que les photographies sont prises par les autorités compétentes procédant à l’enregistrement policier, et que ces dernières n’utilisent donc pas des photographies éventuellement manifestement rendues publiques par la personne concernée, par exemple sur les réseaux sociaux, excluant ainsi l’application de l’article 10,
sous c), de ladite directive.
( 42 ) Sur les liens entre les principes de nécessité du traitement et de minimisation des données, voir, par analogie, arrêt du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, point 48).
( 43 ) Ce qui est généralement exigé de la Cour en cas de dérogations et de restrictions au principe de protection des données à caractère personnel : voir, notamment, arrêt du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, point 46 et jurisprudence citée). Une telle formulation du seuil fixé à l’article 10 de la directive 2016/680 apparaît en conformité avec ce qui est exigé par la Cour en présence de données dites sensibles : voir, notamment, arrêt du
6 octobre 2020, Privacy International (C‑623/17, EU:C:2020:790, point 68 et jurisprudence citée).
( 44 ) Voir note 15 des présentes conclusions.
( 45 ) Voir considérant 27 de la directive 2016/680.
( 46 ) Voir arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, points 64 et 65).
( 47 ) Arrêt du 6 octobre 2020, La Quadrature du Net e.a. (C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 140 et jurisprudence citée). Mise en italique par mes soins. Voir, également, arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 59).
( 48 ) Voir, par analogie, arrêt du 21 décembre 2016, Tele2 Sverige et Watson e.a. (C‑203/15 et C‑698/15, EU:C:2016:970, point 118).
( 49 ) Voir considérant 26 de la directive 2016/680.
( 50 ) Selon la jurisprudence de la Cour, ce principe de minimisation donne corps au principe de proportionnalité : voir, dans le contexte du RGPD, arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, point 98 et jurisprudence citée).
( 51 ) Pour une illustration de ce rapport, bien que dans le contexte du RGPD, voir arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 79).
( 52 ) Pour une formulation jurisprudentielle de cette exigence, voir arrêt du 11 décembre 2019, Asociaţia de Proprietari bloc M5A-ScaraA (C‑708/18, EU:C:2019:1064, point 47).
( 53 ) Voir arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 73 et jurisprudence citée).
( 54 ) Sur la distinction entre finalité et objectif, voir point 56 des présentes conclusions.
( 55 ) Voir Cour EDH, 22 juin 2017, Aycaguer c. France (CE:ECHR:2017:0622JUD000880612, § 34 et jurisprudence citée).
( 56 ) Arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 83 et jurisprudence citée). Mise en italique par mes soins.
( 57 ) Arrêt du 24 février 2022, Valsts ieņēmumu dienests (Traitement des données personnelles à des fins fiscales) (C‑175/20, EU:C:2022:124, point 84).
( 58 ) L’objectif visé peut être rapproché des missions des autorités compétentes qui sont mentionnées à l’article 8, paragraphe 1, de la directive 2016/680.
( 59 ) Voir considérant 37 de la directive 2016/680.
( 60 ) Cette exigence s’impose également au législateur de l’Union : voir arrêt du 17 octobre 2013, Schwarz (C‑291/12, EU:C:2013:670).
( 61 ) En ce qui concerne l’accès aux données, la Cour a jugé que le droit national ne pouvait se borner à exiger que l’accès des autorités aux données réponde à la finalité poursuivie mais devait également prévoir les conditions matérielles et procédurales régissant cette utilisation [voir arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 104)].
( 62 ) Ce qui a été confirmé par le gouvernement bulgare dans sa réponse à une question écrite adressée par la Cour. Cela étant, ces objectifs, formulés dans la législation bulgare de manière générale et cumulative, ne sont pas susceptibles de justifier, pris individuellement, les mêmes ingérences dans le droit à la protection des données à caractère personnel : voir arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 57 et jurisprudence citée).
( 63 ) Dans le contexte de la lutte contre la criminalité grave, la Cour a notamment déjà jugé, après avoir reconnu la légitimité de cet objectif, et le fait que son efficacité pouvait dépendre, dans une large mesure, de l’utilisation des techniques modernes d’enquête, qu’un tel objectif d’intérêt général « pour fondamental qu’il soit, ne saurait à lui seul justifier qu’une mesure de conservation généralisée et indifférenciée des données relatives au trafic et des données de localisation [...] soit
considérée comme nécessaire » [arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 94)].
( 64 ) Arrêt du 5 avril 2022, Commissioner of An Garda Síochána e.a. (C‑140/20, EU:C:2022:258, point 69).
