ARRÊT DE LA COUR (cinquième chambre)
28 novembre 2024 ( *1 )
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Directive (UE) 2016/680 – Article 4, paragraphe 1, sous a) à c) – Article 8, paragraphes 1 et 2 – Article 10 – Personne mise en examen – Enregistrement policier des données biométriques et génétiques – Exécution forcée – Objectifs de prévention et de détection des infractions pénales – Interprétation de l’arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de
données biométriques et génétiques par la police) (C‑205/21, EU:C:2023:49) – Obligation d’interprétation conforme – Appréciation de la “nécessité absolue” du traitement des données sensibles – Rôle des autorités compétentes »
Dans l’affaire C‑80/23,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Sofiyski gradski sad (tribunal de la ville de Sofia, Bulgarie), par décision du 14 février 2023, parvenue à la Cour le 14 février 2023, dans la procédure pénale contre
V.S.,
en présence de :
Ministerstvo na vatreshnite raboti, Glavna direktsia za borba s organiziranata prestapnost,
LA COUR (cinquième chambre),
composée de M. I. Jarukaitis, président de la quatrième chambre, faisant fonction de président de la cinquième chambre, MM. D. Gratsias (rapporteur) et E. Regan, juges,
avocat général : M. J. Richard de la Tour,
greffier : Mme R. Stefanova-Kamisheva, administratrice,
vu la procédure écrite et à la suite de l’audience du 20 mars 2024,
considérant les observations présentées :
– pour le gouvernement bulgare, par Mmes T. Mitova et T. Tsingileva, en qualité d’agents,
– pour le gouvernement hongrois, par Mme Zs. Biró-Tóth et M. Z. Fehér, en qualité d’agents,
– pour la Commission européenne, par M. A. Bouchagiar, Mme C. Georgieva, MM. H. Kranenborg et F. Wilman, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 13 juin 2024,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 6, sous a), et de l’article 10 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation
de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).
2 Cette demande a été présentée dans le cadre d’une procédure pénale engagée contre V.S. et tendant à l’exécution forcée de la collecte des données biométriques et génétiques de celle-ci aux fins de leur enregistrement.
Le cadre juridique
Le droit de l’Union
3 Le considérant 37 de la directive 2016/680 énonce :
« Les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits. [...] Il convient [...] que le traitement de pareilles données soit autorisé par la loi lorsque la personne concernée a expressément marqué son accord au traitement qui est particulièrement intrusif pour elle.
Toutefois, l’accord de la personne concernée ne devrait pas constituer en soi une base juridique pour le traitement de ces données à caractère personnel sensibles par les autorités compétentes. »
4 L’article 1er de cette directive, intitulé « Objet et objectifs », prévoit, à son paragraphe 1 :
« La présente directive établit des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. »
5 Aux termes de l’article 3 de ladite directive :
« Aux fins de la présente directive on entend par :
[...]
7. “autorité compétente” :
a) toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; ou
b) tout autre organisme ou entité à qui le droit d’un État membre confie l’exercice de l’autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;
[...] »
6 L’article 4 de la même directive, intitulé « Principes relatifs au traitement des données à caractère personnel », dispose, à son paragraphe 1 :
« Les États membres prévoient que les données à caractère personnel sont :
a) traitées de manière licite et loyale ;
b) collectées pour des finalités déterminées, explicites et légitimes, et ne sont pas traitées d’une manière incompatible avec ces finalités ;
c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées ;
[...] »
7 L’article 6 de la directive 2016/680, intitulé « Distinction entre différentes catégories de personnes concernées », est libellé comme suit :
« Les États membres prévoient que le responsable du traitement établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :
a) les personnes à l’égard desquelles il existe des motifs sérieux de croire qu’elles ont commis ou sont sur le point de commettre une infraction pénale ;
[...] »
8 Aux termes de l’article 8 de cette directive, intitulé « Licéité du traitement » :
« 1. Les États membres prévoient que le traitement n’est licite que si et dans la mesure où il est nécessaire à l’exécution d’une mission effectuée par une autorité compétente, pour les finalités énoncées à l’article 1er, paragraphe 1, et où il est fondé sur le droit de l’Union ou le droit d’un État membre.
2. Une disposition du droit d’un État membre qui réglemente le traitement relevant du champ d’application de la présente directive précise au moins les objectifs du traitement, les données à caractère personnel devant faire l’objet d’un traitement et les finalités du traitement. »
9 L’article 10 de ladite directive, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », dispose :
« Le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique est autorisé uniquement en cas de nécessité absolue,
sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement :
a) lorsqu’ils sont autorisés par le droit de l’Union ou le droit d’un État membre ;
b) pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique ; ou
c) lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée. »
Le droit bulgare
Le NK
10 En vertu de l’article 11, paragraphe 2, du Nakazatelen kodeks (code pénal), dans sa version applicable à l’affaire au principal (ci-après le « NK »), les infractions sont intentionnelles lorsque l’auteur d’un acte a conscience de la nature de celui-ci ou lorsque la survenance du résultat de l’infraction a été voulue par lui, ou lorsqu’il l’a permise. La grande majorité des infractions prévues au NK est intentionnelle.
Le NPK
11 L’article 46, paragraphe 1, et l’article 80 du Nakazatelno-protsesualen kodeks (code de procédure pénale), dans sa version applicable à l’affaire au principal (ci-après le « NPK »), prévoient que les infractions pénales sont poursuivies soit d’office, à savoir que l’accusation est engagée par le procureur, soit par la partie civile. Presque toutes les infractions prévues par le NK sont poursuivies d’office.
12 En vertu de l’article 219, paragraphe 1, du NPK, « lorsque sont réunis suffisamment d’éléments de preuve de ce qu’une personne déterminée est coupable d’avoir commis une infraction poursuivie d’office », cette personne est mise en examen et en est informée. Elle peut faire l’objet de diverses mesures de contrainte procédurale, contre lesquelles il lui est possible de se défendre en donnant des explications ou en produisant des éléments de preuve.
13 Conformément au NPK, les mesures d’investigation mises en œuvre au cours de la phase préliminaire de la procédure pénale, en vue de collecter des éléments de preuve, et qui induisent une atteinte à la sphère privée des personnes physiques, sont soumises, en principe, à l’autorisation préalable d’un juge.
14 Au titre de ces mesures d’investigation figure notamment l’examen de la personne, prévu à l’article 158 du NPK. Cet examen vise, en substance, à établir les caractéristiques physiques de la personne et peut inclure, si nécessaire, la prise de photographies et d’empreintes dactyloscopiques ainsi que le prélèvement en vue d’établir un profil ADN. Ledit examen a lieu avec le consentement de la personne. En cas de refus de celle-ci, il fait l’objet d’une exécution forcée, sous réserve de
l’autorisation préalable du juge, sauf en cas d’urgence, auquel cas une demande d’approbation judiciaire doit être introduite a posteriori.
15 Dans ce cadre, le dossier de la procédure pénale est communiqué au juge compétent, qui peut examiner l’intégralité des pièces pour apprécier le caractère fondé de la demande d’autorisation préalable ou d’approbation a posteriori.
Le ZMVR
16 En vertu de l’article 6 du zakon sa Ministerstvo na vatreshnite raboti (loi sur le ministère des Affaires intérieures) (DV no 53, du 27 juin 2014), dans sa version applicable à l’affaire au principal (ci-après le « ZMVR »), le ministère des Affaires intérieures exerce certaines activités principales, dont une activité de recherche opérationnelle et de surveillance, des activités d’enquête relatives aux infractions et une activité de renseignement.
17 En vertu de l’article 27 du ZMVR, les données enregistrées par la police au titre de l’article 68 de cette loi sont uniquement utilisées dans le cadre de la protection de la sécurité nationale, de la lutte contre la criminalité et du maintien de l’ordre public.
18 L’article 68 du ZMVR est libellé comme suit :
« 1. Les autorités de police effectuent un enregistrement policier de personnes qui sont mises en examen pour une infraction pénale intentionnelle poursuivie d’office. [...]
2. L’enregistrement policier constitue une catégorie de traitement de données personnelles des personnes visées au paragraphe 1, qui s’effectue aux conditions de la présente loi.
3. Aux fins de l’enregistrement policier, les autorités de police :
1) recueillent les données personnelles visées à l’article 18 du [zakon za balgarskite lichni dokumenti (loi sur les pièces d’identité bulgares)] ;
2) procèdent à la dactyloscopie des personnes et les photographient ;
3) effectuent des prélèvements pour établir un profil ADN des personnes.
4. L’accord de la personne n’est pas requis pour effectuer les activités visées au paragraphe 3, point 1.
5. Les personnes sont tenues de faire preuve de coopération, de ne pas mettre d’obstacles ni d’empêchements à l’exercice par les autorités de police des activités visées au paragraphe 3. En cas de refus de la personne, les activités visées au paragraphe 3, points 2 et 3, sont exercées par la contrainte moyennant une autorisation du juge de la juridiction de première instance compétente dont relève l’infraction poursuivie d’office pour laquelle la personne a été mise en examen.
[...] »
Le NRISPR
19 Le naredba za reda za izvarshvane i snemane na politseyska registratsia (règlement régissant les modalités de mise en œuvre de l’enregistrement policier) (DV no 90, du 31 octobre 2014), dans sa version applicable à l’affaire au principal (ci-après le « NRISPR »), précise les modalités d’application de l’enregistrement policier prévu à l’article 68 du ZMVR.
20 En vertu de l’article 11, paragraphe 2, du NRISPR, la personne devant faire l’objet d’un enregistrement policier se voit remettre une déclaration à remplir dans laquelle elle peut exprimer son accord ou son désaccord quant aux mesures de photographie, de dactyloscopie et de prélèvement d’ADN. En vertu du paragraphe 4 de l’article 11 du NRISPR, en cas de désaccord de cette personne, la police défère une requête au tribunal compétent pour que soit autorisée l’exécution forcée de ces mesures.
Le litige au principal et les questions préjudicielles
21 Par ordonnance du 1er mars 2021, V.S. a été mise en examen, sur le fondement de l’article 255 et de l’article 321, paragraphes 2 et 3, du NK, pour avoir participé, avec trois autres personnes, à un groupe criminel organisé, constitué dans un but d’enrichissement, dans le cadre de l’activité de deux sociétés commerciales, en vue de commettre de manière concertée sur le territoire bulgare des délits de fraude à la constatation et au paiement de dettes fiscales en matière de taxe sur la valeur
ajoutée.
22 À la suite de la notification de ladite ordonnance de mise en examen, V.S. a été invitée par les autorités de police, qui sont les autorités compétentes, au sens de l’article 3, point 7, de la directive 2016/680, à se soumettre à l’enregistrement policier prévu à l’article 68 du ZMVR. Un formulaire de déclaration lui a été soumis, dans lequel elle a indiqué qu’elle avait été informée qu’il existait une base légale permettant de procéder à cet enregistrement policier et qu’elle refusait de se
soumettre à la collecte des données dactyloscopiques et photographiques la concernant aux fins de leur enregistrement ainsi qu’à un prélèvement en vue d’établir son profil ADN. Ces autorités de police n’ont pas procédé à cette collecte et ont saisi le Spetsializiran nakazatelen sad (tribunal pénal spécialisé, Bulgarie) aux fins de son exécution forcée.
23 La requête des autorités de police adressée à cette juridiction indiquait que des preuves suffisantes de la culpabilité des personnes poursuivies dans le cadre de la procédure pénale concernée, y compris de V.S., avaient été réunies. Il y était précisé que celle-ci était officiellement poursuivie pour avoir commis une infraction visée au paragraphe 3, point 2, de l’article 321 du NK, lu en combinaison avec le paragraphe 2 de cet article, et qu’elle avait refusé de se soumettre à la collecte des
données dactyloscopiques et photographiques la concernant aux fins de leur enregistrement ainsi qu’à un prélèvement en vue d’établir son profil ADN, la base légale de la collecte de ces données étant citée. Enfin, dans cette requête, il était demandé à ladite juridiction d’autoriser l’exécution forcée de cette collecte. Seules les copies de l’ordonnance de mise en examen de V.S.et du formulaire de déclaration qu’elle a rempli étaient annexées à ladite requête.
24 Ayant eu des doutes sur la compatibilité avec le droit de l’Union de la procédure de l’enregistrement policier, le Spetsializiran nakazatelen sad (tribunal pénal spécialisé) a saisi la Cour, par décision du 31 mars 2021, d’une demande de décision préjudicielle.
25 Plus particulièrement, par sa troisième question, cette juridiction demandait, en substance, si l’article 6, sous a), de la directive 2016/680 ainsi que les articles 47 et 48 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») devaient être interprétés en ce sens qu’ils s’opposent à une législation nationale qui prévoit que, en cas de refus de la personne mise en examen pour une infraction intentionnelle poursuivie d’office de coopérer spontanément à la collecte
des données biométriques et génétiques la concernant aux fins de leur enregistrement, la juridiction pénale compétente est tenue d’autoriser l’exécution forcée de cette collecte, sans disposer du pouvoir d’apprécier s’il existe des motifs sérieux de considérer que la personne concernée a commis l’infraction pour laquelle elle est mise en examen [arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C‑205/21,
EU:C:2023:49, point 77, ci-après l’« arrêt Enregistrement de données biométriques et génétiques I »].
26 En outre, sa quatrième question visait à déterminer, en substance, si l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8, paragraphes 1 et 2, de cette directive, devait être interprété en ce sens qu’il s’oppose à une législation nationale qui prévoit la collecte systématique de données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur
enregistrement, sans prévoir l’obligation, pour l’autorité compétente, de déterminer et de démontrer, d’une part, que cette collecte est nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, que ces objectifs ne peuvent pas être atteints par la collecte d’une partie seulement des données concernées (arrêt Enregistrement de données biométriques et génétiques I, point 114).
27 À la suite d’une modification législative entrée en vigueur le 27 juillet 2022, le Spetsializiran nakazatelen sad (tribunal pénal spécialisé) a été dissous et l’affaire au principal a été transférée à compter de cette date au Sofiyski gradski sad (tribunal de la ville de Sofia, Bulgarie), qui est la juridiction de renvoi.
28 Dans l’arrêt Enregistrement de données biométriques et génétiques I (point 110 et point 2 du dispositif), en réponse à la troisième question, la Cour a dit pour droit que l’article 6, sous a), de la directive 2016/680 ainsi que les articles 47 et 48 de la Charte doivent être interprétés en ce sens qu’ils ne s’opposent pas à une législation nationale qui prévoit que, en cas de refus de la personne mise en examen pour une infraction intentionnelle poursuivie d’office, de coopérer spontanément à la
collecte des données biométriques et génétiques la concernant aux fins de leur enregistrement, la juridiction pénale compétente est tenue d’autoriser une mesure d’exécution forcée de cette collecte, sans disposer du pouvoir d’apprécier s’il existe des motifs sérieux de considérer que la personne concernée a commis l’infraction pour laquelle elle est mise en examen, pour autant que le droit national garantisse ultérieurement le contrôle juridictionnel effectif des conditions de cette mise en
examen, dont découle l’autorisation de procéder à ladite collecte.
29 Dans le cadre de la réponse à la quatrième question, la Cour a constaté qu’une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office est, en principe, contraire à l’exigence énoncée à l’article 10 de la directive 2016/680, selon laquelle le traitement des catégories particulières de données visées à cet article doit être autorisé « uniquement en cas de nécessité
absolue » (arrêt Enregistrement de données biométriques et génétiques I, point 128).
30 S’agissant des conséquences qu’il appartenait à la juridiction de renvoi de tirer de cette considération, la Cour a, au point 133 dudit arrêt, précisé qu’il revenait à celle-ci de vérifier si, afin de garantir l’effectivité de l’article 10 de la directive 2016/680, il est possible d’interpréter la législation nationale prévoyant cette exécution forcée de manière conforme au droit de l’Union. En particulier, il appartenait à la juridiction de renvoi de vérifier si le droit national permet
d’apprécier la « nécessité absolue » de procéder à la collecte tant des données biométriques que des données génétiques de la personne concernée aux fins de leur enregistrement. Notamment, il y aurait lieu, à ce titre, de pouvoir vérifier si la nature et la gravité de l’infraction dont la personne concernée, dans la procédure pénale au principal, est suspectée ou si d’autres éléments pertinents peuvent constituer des circonstances de nature à établir une telle « nécessité absolue ». En outre, il
conviendrait de s’assurer que la collecte des données d’état civil, qui est également prévue dans le cadre de l’enregistrement policier, ne permet pas, à elle seule, de répondre aux objectifs poursuivis.
31 Au point 134 de ce même arrêt, la Cour a indiqué que, dans l’hypothèse où le droit national ne garantit pas un tel contrôle de la mesure de collecte des données biométriques et génétiques, il appartenait à la juridiction de renvoi d’assurer le plein effet dudit article 10 en rejetant la demande des autorités de police d’autoriser l’exécution forcée de cette collecte.
32 Ainsi, au vu de l’ensemble des motifs énoncés aux points 116 à 134 de l’arrêt Enregistrement de données biométriques et génétiques I, la Cour a dit pour droit, en réponse à la quatrième question, que l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8, paragraphes 1 et 2, de cette directive, doit être interprété en ce sens qu’il s’oppose à une législation nationale qui prévoit la collecte systématique des données
biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer, d’une part, si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, si ces objectifs ne peuvent pas être atteints par des mesures constituant une ingérence de moindre gravité pour les droits et les libertés de la
personne concernée (arrêt Enregistrement de données biométriques et génétiques I, point 135 et point 3 du dispositif).
33 À la suite du prononcé de cet arrêt, la juridiction de renvoi s’interroge sur les conséquences qu’il lui appartient de tirer de la réponse de la Cour à la quatrième question, en particulier eu égard aux considérations rappelées au point 30 du présent arrêt, en vue de statuer sur la requête des autorités de police visant à l’exécution forcée de la collecte des données à caractère personnel en cause au principal.
34 À cet égard, d’une part, elle estime qu’elle ne peut pas procéder aux vérifications indiquées à ce point sur la base des documents qui lui ont été transmis par ces autorités, à savoir l’ordonnance de mise en examen de V.S. ainsi que le formulaire de déclaration par lequel V.S. refuse que soient collectées ses données biométriques et génétiques, mentionnés au point 23 du présent arrêt. Elle considère que, pour ce faire, elle devrait disposer de l’intégralité du dossier, ce qui supposerait qu’elle
fasse application non pas de la règle spéciale prévue, dans le cadre de la procédure de l’enregistrement policier, à l’article 68, paragraphe 5, deuxième phrase, du ZMVR, mais des règles générales du NPK applicables à la délivrance d’une autorisation judiciaire préalable de procéder à des mesures d’enquête qui portent atteinte à la sphère privée des personnes physiques, et en particulier de l’article 158 de ce code.
35 D’autre part, la juridiction de renvoi relève que, aux points 100 et 101 de l’arrêt Enregistrement de données biométriques et génétiques I, la Cour a jugé qu’il n’était pas contraire à l’article 47 de la Charte que le juge, saisi d’une demande de délivrer une autorisation de collecte forcée des données biométriques et génétiques de la personne mise en examen, ne dispose pas des éléments de preuve ayant conduit à cette mise en examen et, partant, ne puisse pas effectuer une appréciation de ces
éléments.
36 Cependant, elle estime que cette considération repose sur la prémisse erronée que l’appréciation par le juge des preuves justifiant la mise en examen, lors de la phase préliminaire de la procédure pénale, pourrait entraver le déroulement de l’enquête pénale au cours de laquelle ces données sont collectées.
37 Notamment, elle souligne que, dans le cadre de la procédure régie par l’article 158 du NPK, le législateur bulgare a prévu l’exercice d’un contrôle juridictionnel effectif ainsi que la communication du dossier de l’affaire au juge mais que tel n’est pas le cas dans le cadre de l’enregistrement policier. Selon elle, les raisons de cette différence de régime juridique sont, d’une part, que la collecte des données dans le cadre de cet enregistrement est demandée par la police et non par le ministère
public et, d’autre part, que ladite collecte a lieu seulement dans la perspective que les données en cause soient éventuellement utilisées à l’avenir, si la nécessité se présentait. En revanche, l’absence d’un tel contrôle juridictionnel effectif dans une telle situation n’aurait pour but ni de respecter le secret de l’instruction ni de ne pas entraver les mesures d’enquêtes à venir dans le cadre de la procédure pénale en cause.
38 Dans ces conditions, la juridiction de renvoi considère que, avant d’exiger des autorités compétentes la transmission du dossier de la procédure pénale, elle doit obtenir de la Cour la confirmation qu’une telle exigence ne contredit pas les points 100 et 101 de l’arrêt Enregistrement de données biométriques et génétiques I ou, au contraire, l’indication que les vérifications visées au point 133 de cet arrêt doivent être effectuées uniquement sur la base de l’ordonnance de mise en examen de la
personne concernée et de la déclaration de refus de celle-ci que ses données biométriques et génétiques soient collectées.
39 En outre, dans le cas où la Cour apporterait une telle confirmation, la juridiction de renvoi estime que, dès lors qu’elle disposerait du dossier de la procédure pénale, elle devrait procéder à l’appréciation du bien-fondé de ladite mise en examen.
40 Dans ces conditions, le Sofiyski gradski sad (tribunal de la ville de Sofia) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) L’exigence du contrôle de la “nécessité absolue” visée à l’article 10 de la directive 2016/680, telle qu’elle a été interprétée par la Cour au point 133 de l’arrêt [Enregistrement de données biométriques et génétiques I], est-elle respectée lorsque ce contrôle est effectué seulement sur la base de l’ordonnance de mise en examen de la personne concernée et du refus écrit de celle-ci que ses données biométriques et génétiques soient collectées, ou bien faut-il que le tribunal dispose de toutes
les pièces du dossier de l’affaire qui, conformément au droit national, lui sont communiquées en cas de demande d’autorisation de procéder à des mesures d’investigation qui portent atteinte à la sphère juridique des personnes physiques, lorsque cette demande a été formée dans une affaire pénale ?
2) En cas de réponse [affirmative à la première question], dans le cadre de l’appréciation de la “nécessité absolue” visée à l’article 10 combiné à l’article 6, sous a), de la directive 2016/680, le tribunal peut-il, après que le dossier de l’affaire lui a été communiqué, également apprécier s’il existe des motifs sérieux de croire que la personne poursuivie a commis l’infraction mentionnée dans la mise en examen ? »
Sur la recevabilité de la demande de décision préjudicielle
41 La Commission européenne soutient que la demande de décision préjudicielle est irrecevable. À cet égard, elle estime que, dans l’arrêt Enregistrement de données biométriques et génétiques I, la Cour a fourni à la juridiction de renvoi l’interprétation du droit de l’Union dont dépend la solution du litige dont elle est saisie. Par ailleurs, elle fait valoir que les questions préjudicielles reposent sur une compréhension incorrecte de cet arrêt. En effet, d’une part, au point 133 dudit arrêt, la
Cour ne se serait pas prononcée sur le contrôle que le juge national doit effectuer avant d’autoriser une mesure de collecte de données biométriques et génétiques et n’aurait donc pas imposé à la juridiction de renvoi une vérification spécifique en lien avec cette collecte. D’autre part, ce serait à tort que cette juridiction déduirait des points 100 et 101 de l’arrêt Enregistrement de données biométriques et génétiques I que la Cour a considéré comme conforme au droit de l’Union le contrôle
juridictionnel limité prévu à l’article 68, paragraphe 5, du ZMVR et conclurait, de ce fait, à l’existence d’une contradiction entre ces points et le point 133 de cet arrêt.
42 En premier lieu, selon une jurisprudence constante de la Cour, dans le cadre de la coopération entre la Cour et les juridictions nationales instituée à l’article 267 TFUE, il appartient au seul juge national qui est saisi du litige et qui doit assumer la responsabilité de la décision juridictionnelle à intervenir d’apprécier, au regard des particularités de l’affaire, tant la nécessité d’une décision préjudicielle pour être en mesure de rendre son jugement que la pertinence des questions qu’il
pose à la Cour. En conséquence, dès lors que les questions posées portent sur l’interprétation du droit de l’Union, la Cour est, en principe, tenue de statuer (arrêt du 6 novembre 2018, Bauer et Willmeroth, C‑569/16 et C‑570/16, EU:C:2018:871, point 23 ainsi que jurisprudence citée).
43 Le rejet d’une demande formée par une juridiction nationale n’est donc possible que s’il apparaît de manière manifeste que l’interprétation sollicitée du droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal ou encore lorsque le problème est de nature hypothétique ou que la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées (arrêt du 6 novembre 2018, Bauer et Willmeroth, C‑569/16
et C‑570/16, EU:C:2018:871, point 24 ainsi que jurisprudence citée).
44 En second lieu, il convient de rappeler également que l’autorité dont est revêtu un arrêt rendu en matière préjudicielle ne fait pas obstacle à ce que le juge national destinataire de cet arrêt puisse estimer nécessaire de saisir de nouveau la Cour avant de trancher le litige au principal. Un tel recours peut être justifié, notamment, lorsque le juge national se heurte à des difficultés de compréhension ou d’application de l’arrêt, lorsqu’il pose à la Cour une nouvelle question de droit, ou
encore lorsqu’il lui soumet de nouveaux éléments d’appréciation susceptibles de conduire la Cour à répondre différemment à une question déjà posée (voir, en ce sens, arrêts du 6 mars 2003,Kaba, C‑466/00, EU:C:2003:127, point 39 et jurisprudence citée, ainsi que du 9 mars 2023, Pro Rauchfrei II, C‑356/22, EU:C:2023:174, point 16 et jurisprudence citée).
45 En l’occurrence, par ses questions, la juridiction de renvoi entend obtenir de la Cour des précisions concernant l’exigence relative au contrôle juridictionnel de la « nécessité absolue » de la collecte de données biométriques et génétiques, au sens de l’article 10 de la directive 2016/680, qui, selon elle, aurait été énoncée au point 133 de l’arrêt Enregistrement de données biométriques et génétiques I, en vue de statuer sur la requête des autorités de police bulgares, tendant à l’exécution
forcée de la collecte de telles catégories de données, laquelle requête est précisément à l’origine des questions préjudicielles auxquelles la Cour a répondu dans cet arrêt. Il s’ensuit que les questions posées ont un rapport direct avec le litige au principal et sont pertinentes afin de permettre à la juridiction de renvoi de trancher celui-ci.
46 Quant à l’argumentation de la Commission relative à la prétendue interprétation erronée, par la juridiction de renvoi, des points 100, 101 et 133 de l’arrêt Enregistrement de données biométriques et génétiques I, elle concerne, en réalité, le fond des questions posées et ne saurait donc, par essence, conduire à l’irrecevabilité de celles-ci [voir, en ce sens, arrêt du 27 octobre 2022, Proximus (Annuaires électroniques publics), C‑129/21, EU:C:2022:833, point 59 et jurisprudence citée].
47 Il résulte de ce qui précède que la demande de décision préjudicielle est recevable.
Sur les questions préjudicielles
Sur la première question
48 Selon une jurisprudence constante, dans le cadre de la procédure de coopération entre les juridictions nationales et la Cour instituée à l’article 267 TFUE, il appartient à celle-ci de donner au juge national une réponse utile qui lui permette de trancher le litige dont il est saisi. Dans cette optique, il incombe, le cas échéant, à la Cour de reformuler les questions qui lui sont soumises. En outre, la Cour peut être amenée à prendre en considération des normes du droit de l’Union auxquelles le
juge national n’a pas fait référence dans l’énoncé de sa question (arrêt du 30 janvier 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, point 31 et jurisprudence citée).
49 En l’occurrence, ainsi qu’il ressort des points 29 à 32 du présent arrêt, aux points 116 à 135 de l’arrêt Enregistrement de données biométriques et génétiques I, la Cour a examiné la question de savoir si le droit de l’Union s’oppose à une législation nationale qui ne prévoit pas l’obligation, pour les autorités compétentes, de vérifier et de démontrer la « nécessité absolue » de procéder à la collecte tant des données biométriques que des données génétiques de la personne concernée aux fins de
leur enregistrement.
50 À cet égard, il convient de rappeler que l’article 3, point 7, de la directive 2016/680 définit la notion d’« autorité compétente », dont relèvent les autorités de police en cause dans le litige au principal, comme toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces,
ainsi que tout autre organisme ou entité à qui le droit d’un État membre confie l’exercice de l’autorité publique et des prérogatives de puissance publique à de telles fins.
51 Par ailleurs, étant donné que, au point 135 et au point 3 du dispositif de l’arrêt Enregistrement de données biométriques et génétiques I, la Cour s’est référée, s’agissant de la réponse à la quatrième question dans l’affaire ayant donné lieu à cet arrêt, à l’interprétation de l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8, paragraphes 1 et 2, de cette directive, il y a lieu de considérer que la présente question
vise également l’ensemble de ces dispositions.
52 Dès lors, il y a lieu de considérer que, par sa première question, la juridiction de renvoi demande, en substance, si l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8, paragraphes 1 et 2, de cette directive, doit être interprété en ce sens que, lorsqu’une législation nationale prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle
poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, au sens de l’article 3, point 7, de ladite directive, de vérifier et de démontrer la nécessité absolue de cette collecte, conformément à l’article 10 de cette même directive, le respect d’une telle obligation peut être assuré par la juridiction saisie par cette autorité compétente aux fins de l’exécution forcée de ladite collecte, le cas échéant en exigeant la communication du dossier de la
procédure pénale.
53 Il convient de rappeler que l’article 10 de la directive 2016/680 constitue une disposition spécifique régissant les traitements de catégories particulières de données à caractère personnel, notamment les données biométriques et génétiques. Cette disposition tend à assurer une protection accrue de la personne concernée dans la mesure où, en raison de leur sensibilité particulière et du contexte dans lequel elles sont traitées, les données en cause sont susceptibles d’engendrer, ainsi qu’il
ressort du considérant 37 de ladite directive, des risques importants pour les libertés et les droits fondamentaux, tels que le droit au respect de la vie privée et le droit à la protection des données à caractère personnel, garantis par les articles 7 et 8 de la Charte (arrêts Enregistrement de données biométriques et génétiques I, point 116, ainsi que du 30 janvier 2024, Direktor na Glavna direktsia Natsionalna politsia pri MVR – Sofia, C‑118/22, EU:C:2024:97, point 47).
54 À cet effet, ainsi qu’il résulte des termes mêmes de cet article 10, l’exigence selon laquelle le traitement des données sensibles est autorisé « uniquement en cas de nécessité absolue » doit être interprétée comme définissant des conditions renforcées de licéité du traitement de telles données, au regard de celles qui découlent de l’article 4, paragraphe 1, sous b) et c), ainsi que de l’article 8, paragraphe 1, de la directive 2016/680, lesquelles se réfèrent seulement à la « nécessité » d’un
traitement de données relevant, de manière générale, du champ d’application de la même directive [voir, en ce sens, arrêts Enregistrement de données biométriques et génétiques I, point 117, ainsi que du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 107].
55 Ainsi, dans l’arrêt Enregistrement de données biométriques et génétiques I, la Cour a jugé qu’une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office, sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer la « nécessité absolue » de cette collecte, conformément à l’obligation qui lui incombe, en vertu de l’article 10 de la directive
2016/680, est, en principe, contraire à cet article 10, dès lors qu’une telle législation est susceptible de conduire, de manière indifférenciée et généralisée, à la collecte des données biométriques et génétiques de la plupart des personnes mises en examen (voir, en ce sens, arrêt Enregistrement de données biométriques et génétiques I, points 128, 129 et 135).
56 Dans ce contexte, la Cour a, toutefois, indiqué, au point 133 de l’arrêt Enregistrement de données biométriques et génétiques I, qu’il appartenait à la juridiction de renvoi de vérifier, notamment, si, afin de garantir l’effectivité de l’article 10 de la directive 2016/680, le droit national peut être interprété de manière conforme au droit de l’Union. Dès lors, ce faisant, la Cour a invité cette juridiction à déterminer si le droit national permet aux autorités compétentes, au sens de
l’article 3, point 7, de cette directive, d’apprécier la « nécessité absolue » de procéder à la collecte tant des données biométriques que des données génétiques de la personne concernée aux fins de leur enregistrement. Ainsi, la Cour a entendu rappeler à cette juridiction que le principe de primauté lui imposait, notamment, d’interpréter, dans toute la mesure du possible, son droit interne de manière conforme au droit de l’Union [voir, en ce sens, arrêt du 27 avril 2023, M.D. (Interdiction
d’entrée en Hongrie), C‑528/21, EU:C:2023:341, point 99 et jurisprudence citée]. Par conséquent, ledit point se limitaità indiquer à cette juridiction qu’elle devait vérifier si le droit national pouvait être interprété en ce sens que les autorités compétentes pour procéder à ce traitement de données étaient en mesure d’effectuer l’appréciation qui leur incombe en vertu de cet article 10.
57 Il s’ensuit que, comme l’a souligné M. l’avocat général, notamment aux points 24 et 55 de ses conclusions, contrairement à la prémisse sur laquelle se fondent les interrogations de la juridiction de renvoi, en l’absence d’obligation pour l’autorité compétente, en vertu du droit national, de procéder à l’appréciation de la « nécessité absolue » du traitement qu’elle a effectué ou qu’elle envisage d’effectuer, une juridiction saisie afin de connaître d’un tel traitement de données à caractère
personnel opéré par cette autorité compétente ne saurait assurer, à la place de cette dernière, le respect de l’obligation qui incombe à ladite autorité au titre dudit article 10.
58 Ainsi, force est de constater que l’interprétation du droit national par laquelle la juridiction de renvoi envisage d’apprécier elle-même la « nécessité absolue » de la collecte des données biométriques et génétiques de la personne concernée n’est pas de nature à garantir la conformité au droit de l’Union d’une législation nationale telle que celle visée au point 57 du présent arrêt, dès lors qu’elle ne permet pas, en tout état de cause, de pallier l’absence d’obligation pour les autorités
compétentes, en vertu de cette législation, de vérifier et de démontrer la « nécessité absolue » d’une telle collecte.
59 Une telle conclusion est d’ailleurs corroborée par le fait que la demande préjudicielle concerne, ainsi qu’il ressort des points 18, 20, 22 et 23 du présent arrêt, une législation nationale qui prévoit que la collecte des données biométriques et génétiques des personnes mises en examen pour une infraction intentionnelle poursuivie d’office fait l’objet d’une exécution forcée autorisée, sur demande des autorités compétentes, par la juridiction compétente, lorsque la personne concernée ne consent
pas à une telle collecte. En revanche, ainsi que le gouvernement bulgare l’a confirmé à l’audience en réponse à une question de la Cour, lorsque la personne concernée y a consenti, une telle autorisation judiciaire n’est pas requise, de sorte que les autorités compétentes peuvent procéder à ladite collecte sur la seule base de ce consentement.
60 Par conséquent, dans une telle situation, la juridiction compétente n’est pas en mesure, par hypothèse, d’assurer la protection juridique des personnes concernées ayant exprimé un tel consentement, en particulier, s’agissant du contrôle du respect, par les autorités compétentes, de l’exigence de nécessité absolue, telle qu’interprétée par la jurisprudence mentionnée aux points 53 à 55 du présent arrêt.
61 Il résulte de tout ce qui précède qu’il convient de répondre à la première question que l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8, paragraphes 1 et 2, de cette directive, doit être interprété en ce sens que, lorsqu’une législation nationale prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de
leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, au sens de l’article 3, point 7, de ladite directive, de vérifier et de démontrer la nécessité absolue de cette collecte, conformément à l’article 10 de cette même directive, le respect d’une telle obligation ne saurait être assuré par la juridiction saisie par cette autorité compétente aux fins de l’exécution forcée de ladite collecte, dès lors que c’est à ladite autorité compétente qu’il incombe d’effectuer
l’appréciation exigée en vertu de cet article 10.
Sur la seconde question
62 Eu égard à la réponse apportée à la première question, il n’y a pas lieu de répondre à la seconde question.
Sur les dépens
63 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (cinquième chambre) dit pour droit :
L’article 10 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, lu en combinaison avec
l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8, paragraphes 1 et 2, de cette directive,
doit être interprété en ce sens que :
lorsqu’une législation nationale prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, au sens de l’article 3, point 7, de ladite directive, de vérifier et de démontrer la nécessité absolue de cette collecte, conformément à l’article 10 de cette même directive, le respect d’une telle obligation ne saurait
être assuré par la juridiction saisie par cette autorité compétente aux fins de l’exécution forcée de ladite collecte, dès lors que c’est à ladite autorité compétente qu’il incombe d’effectuer l’appréciation exigée en vertu de cet article 10.
Signatures
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( *1 ) Langue de procédure : le bulgare.
