ARRÊT DE LA COUR (cinquième chambre)
19 mars 2026 (*)
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel à des fins de lutte contre les infractions pénales – Directive (UE) 2016/680 – Article 10 – Traitement portant sur des catégories particulières de données à caractère personnel – Collecte de données biométriques – Prise d’empreintes digitales et de photographies – Personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale – Nécessité absolue – Pouvoir d’appréciation – Obligation de motivation – Refus de la personne concernée de se soumettre à la collecte de ses données biométriques – Législation nationale permettant de poursuivre et de condamner une personne au titre d’une infraction pénale spécifique réprimant ce refus même en l’absence de poursuites ou de condamnation pour l’infraction pénale qui fondait la collecte envisagée de ces données »
Dans l’affaire C‑371/24 [Comdribus] (i),
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par la cour d’appel de Paris (France), par décision du 26 avril 2024, parvenue à la Cour le 24 mai 2024, dans la procédure pénale contre
HW
en présence de :
Ministère public,
LA COUR (cinquième chambre),
composée de Mme M. L. Arastey Sahún, présidente de chambre, M. K. Lenaerts, président de la Cour, faisant fonction de juge de la cinquième chambre, MM. J. Passer, E. Regan (rapporteur) et D. Gratsias, juges,
avocat général : M. M. Szpunar,
greffier : Mme E. Sartori, administratrice,
vu la procédure écrite et à la suite de l’audience du 30 avril 2025,
considérant les observations présentées :
– pour HW, par Me A. Baudelin, avocat,
– pour le gouvernement français, par M. R. Bénard, Mmes B. Dourthe et F. du Couëdic ainsi que M. B. Fodda, en qualité d’agents,
– pour le gouvernement tchèque, par Mme L. Březinová et M. J. Vláčil, en qualité d’agents,
– pour l’Irlande, par Mme M. Browne, Chief State Solicitor, Mme A. Burke et M. A. Joyce, en qualité d’agents, assistés de M. A. Thuillier, BL,
– pour le gouvernement polonais, par M. B. Majczyna, en qualité d’agent,
– pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et M. Wasmeier, en qualité d’agents,
ayant entendu l’avocat général en ses conclusions à l’audience du 1er août 2025,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 4, paragraphe 1, sous a) à c), ainsi que des articles 8 et 10 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89).
2 Cette demande a été présentée dans le cadre d’une procédure pénale engagée contre HW à l’issue de laquelle ce dernier a été condamné à une amende en raison de son refus de se soumettre à des opérations de relevés signalétiques par la prise d’empreintes digitales et de photographies, alors même qu’il a été relaxé de l’infraction qui fondait la mise en œuvre de ces opérations.
Le cadre juridique
Le droit de l’Union
3 L’article 1er de la directive 2016/680, intitulé « Objet et objectifs », prévoit, à son paragraphe 1 :
« La présente directive établit des règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. »
4 L’article 2 de cette directive, intitulé « Champ d’application », dispose, à son paragraphe 1 :
« La présente directive s’applique au traitement de données à caractère personnel effectué par les autorités compétentes aux fins énoncées à l’article 1er, paragraphe 1. »
5 Aux termes de l’article 3 de ladite directive, intitulé « Définition » :
« Aux fins de la présente directive, on entend par :
1. “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable [...] ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ;
2. “traitement”, toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données à caractère personnel ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction ;
[...]
7. “autorité compétente” :
a) toute autorité publique compétente pour la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ; ou
b) tout autre organisme ou entité à qui le droit d’un État membre confie l’exercice de l’autorité publique et des prérogatives de puissance publique à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces ;
8. “responsable du traitement”, l’autorité compétente qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou le droit d’un État membre ;
[...]
12. “données génétiques”, les données à caractère personnel relatives aux caractéristiques génétiques héréditaires ou acquises d’une personne physique qui donnent des informations uniques sur la physiologie ou l’état de santé de cette personne physique et qui résultent, notamment, d’une analyse d’un échantillon biologique de la personne physique en question ;
13. “données biométriques”, les données à caractère personnel résultant d’un traitement technique spécifique, relatives aux caractéristiques physiques, physiologiques ou comportementales d’une personne physique, qui permettent ou confirment son identification unique, telles que des images faciales ou des données dactyloscopiques ;
[...] »
6 L’article 4 de la directive 2016/680, intitulé « Principes relatifs au traitement des données à caractère personnel », énonce :
« 1. Les États membres prévoient que les données à caractère personnel sont :
a) traitées de manière licite et loyale ;
b) collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées d’une manière incompatible avec ces finalités ;
c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées ;
[...]
4. Le responsable du traitement est responsable du respect des paragraphes 1, 2 et 3 et est en mesure de démontrer que ces dispositions sont respectées. »
7 L’article 8 de cette directive, intitulé « Licéité du traitement », prévoit :
« 1. Les États membres prévoient que le traitement n’est licite que si et dans la mesure où il est nécessaire à l’exécution d’une mission effectuée par une autorité compétente, pour les finalités énoncées à l’article 1er, paragraphe 1, et où il est fondé sur le droit de l’Union ou le droit d’un État membre.
2. Une disposition du droit d’un État membre qui réglemente le traitement relevant du champ d’application de la présente directive précise au moins les objectifs du traitement, les données à caractère personnel devant faire l’objet d’un traitement et les finalités du traitement. »
8 Aux termes de l’article 10 de ladite directive, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel » :
« Le traitement des données à caractère personnel qui révèlent l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l’appartenance syndicale, et le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique est autorisé uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement :
a) lorsqu’ils sont autorisés par le droit de l’Union ou le droit d’un État membre ;
b) pour protéger les intérêts vitaux de la personne concernée ou d’une autre personne physique ; ou
c) lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée. »
9 L’article 54 de la même directive, intitulé « Droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous‑traitant », dispose :
« Les États membres prévoient que, sans préjudice de tout recours administratif ou extrajudiciaire qui leur est ouvert, notamment le droit d’introduire une réclamation auprès d’une autorité de contrôle en vertu de l’article 52, une personne concernée a droit à un recours juridictionnel effectif lorsqu’elle considère que ses droits prévus dans les dispositions adoptées en vertu de la présente directive ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation desdites dispositions. »
Le droit français
10 Aux termes de l’article 55-1 du code de procédure pénale, dans sa version applicable aux faits de la procédure au principal (ci-après le « code de procédure pénale ») :
« L’officier de police judiciaire peut procéder, ou faire procéder sous son contrôle, [...] sur toute personne à l’encontre de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre l’infraction, aux opérations de prélèvements externes nécessaires à la réalisation d’examens techniques et scientifiques de comparaison avec les traces et indices prélevés pour les nécessités de l’enquête.
Il procède, ou fait procéder sous son contrôle, aux opérations de relevés signalétiques et notamment de prise d’empreintes digitales, palmaires ou de photographies nécessaires à l’alimentation et à la consultation des fichiers de police selon les règles propres à chacun de ces fichiers.
Le refus, par une personne à l’encontre de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction, de se soumettre aux opérations de prélèvement, mentionnées aux premier et deuxième alinéas ordonnées par l’officier de police judiciaire est puni d’un an d’emprisonnement et de 15 000 euros d’amende. »
La procédure au principal et les questions préjudicielles
11 Le 30 mai 2020, plus d’une centaine d’activistes pour le climat ont occupé l’avenue des Champs-Élysées à Paris (France). Intervenant pour les disperser, les forces de l’ordre ont interpellé plusieurs personnes, dont HW, pour organisation d’une manifestation non déclarée et rébellion. Entendu dans le cadre de sa garde à vue, HW a décliné son identité, mais il a refusé, d’une part, de se soumettre à la prise d’empreintes digitales et de photographies et, d’autre part, de communiquer le code de déverrouillage de son téléphone portable et de le débloquer lui-même, bien qu’il ait été informé que ces refus constituaient des délits pour lesquels il encourait des peines de prison et des amendes.
12 Le 1er juin 2020, à l’issue de sa garde à vue, HW a été déféré devant le procureur de la République, puis devant le juge des libertés et de la détention (France), lequel l’a placé sous contrôle judiciaire et lui a notifié qu’il devrait comparaître devant le tribunal correctionnel de Paris (France). HW était prévenu :
– premièrement, d’avoir à Paris, le 30 mai 2020, organisé une manifestation sur la voie publique n’ayant pas fait l’objet d’une déclaration préalable dans les conditions fixées par la loi, en l’espèce, notamment, en invectivant les participants ainsi qu’en leur donnant pour consigne de ne pas présenter leurs pièces d’identité et de ne pas coopérer aux injonctions des forces de l’ordre en créant une chaîne humaine, consignes respectées immédiatement par les autres manifestants ;
– deuxièmement, d’avoir à Paris, le 31 mai 2020, ayant connaissance d’une convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, refusé de la remettre ou de la mettre en œuvre sur réquisition judiciaire prise dans le cadre d’une enquête préliminaire, de flagrance ou d’une information judiciaire, en l’espèce, en refusant de communiquer les codes de son téléphone ;
– troisièmement, d’avoir à Paris, le 30 mai 2020, alors qu’il existait contre lui une ou plusieurs raisons plausibles de soupçonner qu’il avait commis ou tenté de commettre une infraction, refusé de se soumettre à des relevés signalétiques, notamment par prise d’empreintes digitales, palmaires ou de photographies nécessaires à l’alimentation et à la consultation des fichiers de police selon les règles propres à chacun de ces fichiers.
13 Par jugement du 8 septembre 2021, le tribunal correctionnel de Paris a relaxé HW pour les faits relevant des deux premières infractions visées au point précédent. En revanche, il l’a déclaré coupable des faits reprochés au titre de la troisième infraction y visée et, partant, l’a condamné à une amende de 300 euros.
14 HW et le ministère public ont interjeté appel de ce jugement devant la cour d’appel de Paris (France), qui est la juridiction de renvoi.
15 Cette juridiction rappelle que, dans l’arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police) (C‑205/21, EU:C:2023:49, point 135), la Cour a dit pour droit que l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), et l’article 8 de cette directive, doit être interprété en ce sens qu’il s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer, d’une part, si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, si ces objectifs ne peuvent pas être atteints par des mesures constituant une ingérence de moindre gravité pour les droits et les libertés de la personne concernée.
16 Ladite juridiction considère que, nonobstant cet arrêt, certaines interrogations demeurent en ce qui concerne l’interprétation de ces dispositions de la directive 2016/680, notamment, au regard des différences entre la législation nationale en cause dans l’affaire ayant donné lieu audit arrêt et l’article 55-1 du code de procédure pénale.
17 En premier lieu, les appréciations effectuées par la Cour dans le même arrêt s’appliqueraient à une procédure pénale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne contre laquelle il existe suffisamment d’éléments de preuve de la commission d’une infraction pour justifier sa mise en examen. En revanche, la Cour n’aurait pas encore statué sur une situation juridique, telle que celle prévue à l’article 55-1 du code de procédure pénale, qui prévoit la collecte systématique des données biométriques d’une personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction dans le cadre d’une enquête, sans que cela implique une mise en examen. Il serait ainsi nécessaire de déterminer si cette dernière condition est suffisante pour répondre aux exigences découlant de cette directive.
18 En deuxième lieu, bien qu’interrogée sur l’obligation, pour l’autorité compétente, de motiver, au regard des exigences découlant de ladite directive, de façon adéquate la nécessité d’une collecte de données biométriques et génétiques, la Cour aurait uniquement indiqué, dans l’arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police) (C‑205/21, EU:C:2023:49), qu’il appartenait au juge national de vérifier si le droit national permet d’apprécier la « nécessité absolue », au sens de l’article 10 de la même directive, de procéder à la collecte des données biométriques et génétiques de la personne concernée. La réponse à la question de savoir si l’exigence de motivation adéquate de cette nécessité absolue relève d’un examen préalable par l’officier de police judiciaire, qui est l’autorité compétente en vertu de l’article 55-1 du code de procédure pénale, et/ou d’un examen a posteriori par le juge saisi de la légalité de cette collecte resterait incertaine.
19 En troisième lieu, l’article 55-1 du code de procédure pénale soulèverait une question additionnelle inédite au regard du droit de l’Union. En effet, selon le troisième alinéa de cette disposition, le refus de se soumettre à un relevé signalétique constituerait une infraction pénale spécifique qui peut donner lieu à des poursuites et à une condamnation quand bien même l’infraction principale qui fondait la collecte envisagée n’a pas, elle, conduit à de telles poursuites ou à une telle condamnation de son auteur présumé. La question se poserait ainsi de savoir si la condition de « nécessité absolue », au sens de l’article 10 de la directive 2016/680, requise pour pouvoir procéder à la collecte de données biométriques est satisfaite et si des poursuites ou une éventuelle condamnation au titre de cette infraction pénale spécifique peuvent être justifiées.
20 Selon la juridiction de renvoi, la réponse à ces interrogations est essentielle pour l’issue de la procédure au principal, dès lors que HW a été condamné uniquement pour l’infraction de refus de se soumettre à un relevé signalétique, alors qu’il a été relaxé de l’infraction principale ayant justifié cette mesure de relevé signalétique, sans que soit fournie, à aucun moment de la procédure, une quelconque motivation adéquate de l’absolue nécessité de ladite mesure.
21 Dans ces conditions, la cour d’appel de Paris a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) L’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8 [...] de cette directive, doit-il être interprété en ce sens qu’il s’oppose à une législation nationale, telle que l’article 55-1 du code de procédure pénale [...], qui prévoit le relevé signalétique (dactyloscopique et photographique) systématique des personnes à l’encontre desquelles il existe une ou plusieurs raisons de soupçonner qu’elles ont commis ou tenté de commettre une infraction ?
2) L’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8 [...] de cette directive, doit-il être interprété en ce sens qu’il s’oppose à une législation nationale, telle que l’article 55-1 du code de procédure pénale [...], qui ne prévoit pas d’obligation pour l’autorité compétente de motiver de façon adéquate à chaque cas d’espèce en quoi le relevé signalétique relève d’une absolue nécessité ?
3) L’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8 [...] de cette directive, doit-il être interprété en ce sens qu’il s’oppose à une législation nationale, telle que l’article 55-1 du code de procédure pénale [...], qui permet de poursuivre et de condamner de façon autonome une personne ayant refusé le relevé signalétique, quand bien même cette dernière ne serait pas poursuivie ou condamnée pour l’infraction qui fondait la mesure de relevé signalétique ? »
Sur les questions préjudicielles
Sur la première question
22 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8 de cette directive, doit être interprété en ce sens qu’il s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale.
23 Il convient d’emblée de rappeler que l’article 10 de ladite directive constitue une disposition spécifique qui, s’agissant de certaines catégories de données à caractère personnel, telles que les données biométriques ou génétiques, vise à leur assurer une protection accrue en définissant des conditions renforcées de licéité du traitement de telles données. En effet, ces catégories de données sont, par nature, particulièrement sensibles du point de vue des libertés et des droits fondamentaux, car le contexte dans lequel de telles données sont traitées peut engendrer des risques importants pour les libertés et les droits des personnes concernées [voir, en ce sens, arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 48 ainsi que jurisprudence citée].
24 Ainsi, l’article 10 de la même directive prévoit, pour ce qui est des données à caractère personnel relevant de l’une des catégories limitativement énumérées à celui-ci (ci-après les « données à caractère personnel sensibles »), dont les données biométriques et génétiques, que leur traitement doit satisfaire, outre à la condition de relever de l’un des trois cas de figure énumérés à ses points a) à c), dont celui visé au point a), selon lequel ce traitement est autorisé par le droit d’un État membre, à deux autres conditions, à savoir, d’une part, celle selon laquelle il doit exister des « garanties appropriées » pour les droits et libertés de la personne concernée et, d’autre part, celle selon laquelle le traitement envisagé doit répondre à une « nécessité absolue » [voir, en ce sens, arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 77].
25 En ce qui concerne cette dernière condition, l’article 10 de la directive 2016/680 constituant une mise en œuvre particulière, applicable aux données à caractère personnel sensibles, des principes énoncés aux articles 4 et 8 de cette directive, qui doivent être respectés par tout traitement de données à caractère personnel relevant du champ d’application de ladite directive, la portée de cette condition doit être déterminée au regard de ces principes [arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C‑205/21, EU:C:2023:49, point 121].
26 Il s’ensuit, d’une part, que la portée de la condition de « nécessité absolue », au sens de l’article 10 de la directive 2016/680, doit être déterminée, conformément à l’article 4, paragraphe 1, sous b), de cette directive, au regard des finalités de la collecte des données à caractère personnel en cause, lesquelles finalités doivent être déterminées, explicites et légitimes. En outre, cette condition exige, conformément à l’article 4, paragraphe 1, sous c), de ladite directive, que les données à caractère personnel soient adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées, cette dernière exigence impliquant ainsi le respect, par les États membres, du principe de minimisation du traitement des données, dont cet article 10 constitue une application spécifique aux données à caractère personnel sensibles [voir, en ce sens, arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C‑205/21, EU:C:2023:49, point 122].
27 D’autre part, la portée de ladite condition doit, à la lumière de l’article 4, paragraphe 1, sous a), de la directive 2016/680, être déterminée au regard de l’article 8, paragraphe 1, de cette directive, en vertu duquel les États membres doivent prévoir, notamment, que le traitement n’est licite que si et dans la mesure où il est nécessaire à l’exécution d’une mission effectuée par une autorité compétente aux fins énoncées à l’article 1er, paragraphe 1, de ladite directive, ainsi que de son article 8, paragraphe 2, qui exige qu’une disposition du droit d’un État membre qui réglemente le traitement relevant du champ d’application de la même directive précise au moins les objectifs du traitement, les données à caractère personnel devant faire l’objet d’un traitement et les finalités du traitement [arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C‑205/21, EU:C:2023:49, point 123].
28 Compte tenu de ces principes découlant de l’article 4, paragraphe 1, sous a) à c), et de l’article 8 de la directive 2016/680, la condition de « nécessité absolue », au sens de l’article 10 de cette directive, qui définit des conditions renforcées de licéité du traitement des données sensibles au regard de celles découlant desdits articles 4 et 8, implique, en premier lieu, que cette nécessité soit appréciée de manière particulièrement rigoureuse au regard des finalités poursuivies par le traitement en cause et que, par suite, un tel traitement ne puisse être considéré comme étant nécessaire que dans un nombre limité de cas [voir, en ce sens, arrêts du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C‑205/21, EU:C:2023:49, points 117 et 118, ainsi que du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 78].
29 Partant, les finalités d’un traitement de données à caractère personnel sensibles, tel que la collecte de données biométriques et génétiques, ne sauraient être désignées dans des termes à caractère trop général, mais requièrent d’être définies de manière suffisamment précise et concrète pour permettre d’évaluer la « nécessité absolue » de celui-ci, au sens de cet article 10 [voir, en ce sens, arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 79 ainsi que jurisprudence citée].
30 À cet égard, si certes la directive 2016/680 ne définit pas la notion de « finalités du traitement », il peut être relevé que, ainsi qu’il ressort du point 27 du présent arrêt, l’article 8, paragraphe 2, de cette directive distingue expressément cette notion de celle d’« objectifs du traitement » [voir, en ce sens, arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 80].
31 Or, la Cour a déjà dit pour droit que la notion d’« objectifs du traitement », au sens de cet article 8, paragraphe 2, renvoie aux finalités plus générales mentionnées à l’article 1er, paragraphe 1, de la directive 2016/680 que doit poursuivre un traitement pour relever de cette directive, tandis que celle de « finalités du traitement », au sens, notamment, dudit article 8, paragraphe 2, doit se comprendre comme se référant aux buts spécifiques et concrets poursuivis par un traitement de données à caractère personnel au regard de la mission dont est investi le responsable du traitement, telle qu’une tâche spécifique liée à la prévention ou à la détection des infractions pénales, ou à la réalisation d’une enquête et de poursuites en la matière ou d’exécution de sanctions pénales [arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 81].
32 En deuxième lieu, la condition de « nécessité absolue », au sens de l’article 10 de la directive 2016/680, implique un contrôle particulièrement strict du respect du principe de minimisation du traitement des données concernées, énoncé à l’article 4, paragraphe 1, sous c), de cette directive, et requiert ainsi que le responsable du traitement des données à caractère personnel sensibles s’assure que la finalité poursuivie par le traitement concerné ne puisse pas être atteinte de manière aussi efficace en ayant recours à des catégories de données autres que celles énumérées à cet article 10 [voir, en ce sens, arrêts du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C‑205/21, EU:C:2023:49, points 125 et 126, ainsi que du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, points 82 et 85], ce principe donnant expression au principe de proportionnalité [arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 79 et jurisprudence citée].
33 En troisième lieu, eu égard aux risques importants que représente le traitement des données à caractère personnel sensibles pour les droits et les libertés des personnes concernées, en particulier dans le contexte des missions des autorités compétentes aux fins énoncées à l’article 1er, paragraphe 1, de la directive 2016/680, la condition de « nécessité absolue », au sens de l’article 10 de cette directive, exige qu’il soit tenu compte de l’importance particulière de la finalité poursuivie par le traitement concerné. Une telle importance peut s’apprécier, notamment, en fonction de la nature de cette finalité, du fait que ce traitement sert un but spécifique et concret en lien avec la prévention d’infractions pénales ou de menaces contre la sécurité publique présentant un certain degré de gravité, la répression de telles infractions ou la protection contre de telles menaces, ainsi qu’à la lumière des circonstances spécifiques dans lesquelles ledit traitement est effectué [arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 83 ainsi que jurisprudence citée].
34 En quatrième lieu, s’agissant de la collecte des données biométriques et génétiques de personnes poursuivies pour avoir commis une infraction pénale intentionnelle ou soupçonnées d’avoir commis une telle infraction à des fins d’identification et de comparaison futures de ces personnes, il ressort de la jurisprudence de la Cour que le caractère absolument nécessaire de cette collecte doit tenir compte de l’ensemble des éléments pertinents, tels que, notamment, la nature et la gravité de l’infraction présumée pour laquelle elles sont mises en examen, les circonstances particulières de cette infraction, le lien éventuel de ladite infraction avec d’autres procédures en cours, ainsi que les antécédents judiciaires ou le profil individuel des personnes en cause [voir, en ce sens, arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 84 ainsi que jurisprudence citée].
35 Par conséquent, si un État membre peut se conformer à la directive 2016/680 soit en déléguant aux autorités compétentes le soin de veiller, dans chaque cas d’espèce, au respect de la condition, pour tout traitement de données à caractère personnel sensibles, de répondre à une « nécessité absolue », au sens de l’article 10 de cette directive, soit en fixant, au niveau législatif, des critères d’appréciation que les autorités doivent appliquer par la suite de manière non discrétionnaire, il n’en demeure pas moins que, dans cette seconde hypothèse, ces critères doivent être de nature à remplir l’ensemble des exigences découlant de cette condition, telles qu’énoncées aux points 25 à 34 du présent arrêt [arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 87].
36 Ainsi, eu égard à l’ensemble de ces exigences, la Cour a considéré qu’une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer, d’une part, que cette collecte est absolument nécessaire à la réalisation des finalités spécifiques et concrètes poursuivies et, d’autre part, que ces finalités ne peuvent pas être atteintes par des mesures constituant une ingérence de moindre gravité pour les droits et les libertés de la personne concernée, est contraire à cette condition de « nécessité absolue », au sens de l’article 10 de la directive 2016/680, dès lors qu’une telle législation est susceptible de conduire, de manière indifférenciée et généralisée, à la collecte des données biométriques et génétiques de la plupart des personnes mises en examen [voir, en ce sens, notamment, arrêts du 30 janvier 2024, Direktor na Glavna direktsia « Natsionalna politsia » pri MVR – Sofia, C‑118/22, EU:C:2024:97, point 64, et du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 88 ainsi que jurisprudence citée].
37 En l’occurrence, l’article 55‑1 du code de procédure pénale, en ce qu’il prévoit, en substance, que l’officier de police judiciaire procède, ou fait procéder sous son contrôle, aux opérations de relevés signalétiques, notamment, de prises d’empreintes digitales et de photographies, de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, porte, à l’instar d’une législation nationale telle que celle visée au point 36 du présent arrêt, sur le « traitement » de « données biométriques », tel que visé à l’article 10 de la directive 2016/680. En effet, ces relevés donnent lieu, au sens de l’article 3, points 2 et 13, de cette directive, à la « collecte », respectivement, de « données dactyloscopiques » et d’« images faciales » qui fournissent, par un traitement technique spécifique, des données relatives aux caractéristiques physiques d’une personne et qui permettent ou confirment son identification unique.
38 Ainsi que cela ressort du libellé de l’article 55-1 du code de procédure pénale et comme l’a confirmé le gouvernement français dans ses observations écrites, cette collecte de données biométriques a pour finalités de permettre une comparaison des données biométriques d’une personne faisant l’objet d’une enquête pénale avec les traces et indices prélevés pour les nécessités de cette enquête ainsi que d’identifier la personne mise en cause dans le cadre de celle-ci ou d’autres procédures pénales en cours ou futures.
39 Comme M. l’avocat général l’a indiqué, en substance, aux points 52 à 54 de ses conclusions, les données ainsi collectées apparaissent, au regard de ces finalités spécifiques et concrètes, adéquates et pertinentes, au sens de l’article 4, paragraphe 1, sous c), de ladite directive, sous réserve que ces finalités soient, ce qu’il incombe à la juridiction de renvoi de vérifier, définies de manière appropriée et suffisamment précise par le droit de l’État membre concerné, en ce compris la jurisprudence des juridictions nationales [voir, en ce sens, arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 90].
40 Toutefois, il y a lieu de constater que le champ d’application de la collecte de données biométriques, tel que défini à l’article 55‑1 du code de procédure pénale, apparaît particulièrement large, dès lors qu’il concerne toutes les personnes à l’égard desquelles il existe une ou plusieurs raisons plausibles de soupçonner qu’elles ont commis ou tenté de commettre une infraction pénale.
41 Or, le seul fait qu’il existe une ou plusieurs raisons plausibles de soupçonner qu’une personne a commis ou a tenté de commettre une telle infraction ne saurait être considéré comme étant un élément permettant, à lui seul, de présumer que la collecte de ses données biométriques est absolument nécessaire au regard des finalités spécifiques et concrètes qu’elle vise et compte tenu des atteintes aux droits au respect de la vie privée et à la protection des données à caractère personnel garantis par les articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte ») qui en résultent [voir, en ce sens, arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C‑205/21, EU:C:2023:49, point 130].
42 En effet, d’une part, il ne peut être exclu que, dans certains cas, la collecte de données biométriques n’obéira, nonobstant l’existence d’une ou de plusieurs raisons plausibles de soupçonner que la personne concernée a commis ou tenté de commettre une infraction pénale, à aucune nécessité concrète aux fins de la procédure pénale en cours [voir, en ce sens, arrêt du 26 janvier 2023, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques par la police), C‑205/21, EU:C:2023:49, point 131].
43 D’autre part, la possibilité que la collecte des données biométriques d’une personne suspectée d’avoir commis ou tenté de commettre une infraction pénale soit absolument nécessaire dans le cadre de l’enquête dont elle fait l’objet ou d’autres procédures pénales en cours ou futures, doit être appréciée conformément à la jurisprudence rappelée au point 34 du présent arrêt, au regard de l’ensemble des éléments pertinents.
44 Or, ainsi qu’il ressort du libellé même de la première question, la juridiction de renvoi part de la prémisse que l’article 55-1 du code de procédure pénale prévoit une collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elles ont commis ou tenté de commettre une infraction pénale, sans obligation, pour l’officier de police judiciaire, de vérifier et de démontrer, dans chaque cas particulier, la « nécessité absolue » de cette collecte, au sens de l’article 10 de la directive 2016/680.
45 Il y a lieu cependant de relever que le gouvernement français conteste cette interprétation du droit national effectuée par la juridiction de renvoi.
46 En effet, d’une part, il ressortirait du terme « peut », employé à l’article 55‑1, premier alinéa, du code de procédure pénale, que l’officier de police judiciaire dispose d’une marge d’appréciation afin de procéder aux opérations de prélèvements externes qui sont « nécessaires » à l’enquête, au sens de cette disposition.
47 D’autre part, il résulterait également du libellé même de l’article 55‑1, deuxième alinéa, de ce code que la mise en œuvre des opérations de relevés signalétiques, notamment dactyloscopiques et photographiques, prévues à cette disposition dépendent des règles propres à chacun des fichiers de police que ces opérations alimentent, à savoir, respectivement, le fichier automatisé des empreintes digitales et, pour les seules photographies, le traitement des antécédents judiciaires. Or, plusieurs autres dispositions dudit code, qui ne sont pas mentionnées par la juridiction de renvoi, encadreraient strictement la possibilité d’effectuer des relevés signalétiques et leur exploitation. En particulier, conformément à ces dispositions, il ne serait recouru aux relevés signalétiques que lorsque l’enquête le requiert. En outre, cette possibilité serait soumise à des conditions plus strictes que la seule existence de soupçons d’avoir commis ou tenté de commettre une infraction pénale, puisque serait exigée la présence d’indices graves ou concordants rendant vraisemblable la participation de la personne mise en cause, comme auteur ou complice, à une infraction pénale punie d’une peine d’emprisonnement ou la nécessité d’une identification certaine de cette personne.
48 Par ailleurs, le gouvernement français souligne que la condition de « nécessité absolue », au sens de l’article 10 de la directive 2016/680, si elle n’est certes pas mentionnée à l’article 55-1 du code de procédure pénale, figure néanmoins explicitement dans la législation nationale ayant transposé spécifiquement cette directive. Or, la collecte de données biométriques sur le fondement de cet article 55-1 ne pourrait pas méconnaître les dispositions de cette législation.
49 À cet égard, il importe de rappeler qu’il n’appartient pas à la Cour de se prononcer sur l’interprétation des dispositions nationales et de juger si l’interprétation ou l’application qu’en donne le juge national est correcte, une telle interprétation relevant de la compétence exclusive de ce dernier [arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 53 et jurisprudence citée].
50 Ainsi, il incombe à la Cour de prendre en compte, dans le cadre de la répartition des compétences entre les juridictions de l’Union et les juridictions nationales, le contexte factuel et réglementaire dans lequel s’insèrent les questions préjudicielles, tel que défini par la décision de renvoi. Partant, quelles que soient les critiques émises par le gouvernement d’un État membre à l’égard de l’interprétation du droit national retenue par la juridiction de renvoi, l’examen des questions préjudicielles doit être effectué sur la base de cette interprétation et il n’appartient pas à la Cour d’en vérifier l’exactitude [arrêt du 29 juillet 2024, CU et ND (Assistance sociale – Discrimination indirecte), C‑112/22 et C‑223/22, EU:C:2024:636, point 40 ainsi que jurisprudence citée].
51 Dans ces conditions, à supposer que, comme l’indique la juridiction de renvoi, l’article 55-1 du code de procédure pénale doive être interprété en ce sens qu’il confère un caractère systématique aux opérations de relevés signalétiques, notamment dactyloscopiques et photographiques, de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, sans que l’autorité compétente soit tenue d’apprécier, dans chaque cas particulier, la « nécessité absolue », au sens de l’article 10 de la directive 2016/680, de procéder à ces relevés signalétiques, une telle législation nationale serait, conformément à la jurisprudence rappelée au point 36 du présent arrêt, contraire à cet article 10, dans la mesure où elle serait susceptible de conduire, de manière indifférenciée et généralisée, à la collecte des données biométriques de ces personnes.
52 Cela étant, compte tenu, notamment, des éléments visés aux points 46 à 48 du présent arrêt, il incombe, d’une part, à cette juridiction de vérifier si la législation nationale en cause au principal impose à l’autorité de police judiciaire de procéder systématiquement à une telle collecte, sans que cette autorité soit en mesure d’apprécier, dans chaque cas particulier, la « nécessité absolue » de celle-ci, au sens dudit article 10.
53 D’autre part, la juridiction de renvoi doit également s’assurer, compte tenu, notamment, de l’allégation formulée par HW tant dans le cadre de la procédure au principal que dans ses observations écrites, mentionnée également dans les motifs de la décision de renvoi, selon laquelle le fichier automatisé des empreintes digitales contiendrait l’enregistrement des empreintes digitales de 6,5 millions de personnes, que la mise en œuvre effective de la législation nationale en cause au principal par les autorités compétentes n’aboutit pas non plus à la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale (voir, par analogie, arrêt du 23 avril 2009, Angelidaki e.a., C‑378/07 à C‑380/07, EU:C:2009:250, point 164 ainsi que jurisprudence citée). En effet, dans l’hypothèse visée au point 46 du présent arrêt, selon laquelle l’officier de police judiciaire disposerait d’une marge d’appréciation pour l’application de l’article 55-1, premier alinéa, du code de procédure pénale, celui-ci devrait exercer cette faculté conformément aux exigences exposées aux points 28 à 36 du présent arrêt.
54 En conséquence, il convient de répondre à la première question que l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), et l’article 8 de cette directive, doit être interprété en ce sens qu’il s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, à moins qu’il ne soit établi, d’une part, que le droit national définit les finalités spécifiques et concrètes poursuivies par cette collecte de manière appropriée et suffisamment précise et, d’autre part, que l’autorité compétente est tenue, dans chaque cas particulier, d’apprécier si ladite collecte est absolument nécessaire à la réalisation de ces finalités, si bien qu’une telle collecte ne revêt pas un caractère systématique.
Sur la deuxième question
55 Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 10 de la directive 2016/680 doit être interprété en ce sens qu’il s’oppose à une législation nationale qui ne prévoit pas l’obligation, pour l’autorité compétente, de motiver de façon adéquate, dans chaque cas particulier, la « nécessité absolue », au sens de cette disposition, de procéder à la collecte des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale.
Sur la recevabilité
56 Le gouvernement français estime que cette question est irrecevable. En effet, il ressortirait de la demande de décision préjudicielle que les raisons ayant conduit la juridiction de renvoi à poser ladite question concernent l’autorité qui doit assurer le contrôle de la « nécessité absolue », au sens de l’article 10 de la directive 2016/680. Or, la formulation de la deuxième question ne porterait pas sur cet aspect, mais concernerait l’obligation de motiver de manière adéquate, au cas par cas, la raison pour laquelle le relevé signalétique des personnes concernées répondrait à une telle « nécessité absolue ». L’utilité de la réponse à la deuxième question pour l’issue de la procédure au principal ne serait donc pas étayée. En particulier, la juridiction de renvoi omettrait d’exposer en quoi les dispositions du droit de l’Union qu’elle mentionne, à savoir l’article 4, paragraphe 1, sous a) à c), ainsi que les articles 8 et 10 de cette directive, justifieraient une quelconque obligation de motivation.
57 À cet égard, il convient de rappeler que, selon une jurisprudence constante, les questions relatives à l’interprétation du droit de l’Union posées par le juge national dans le cadre réglementaire et factuel qu’il définit sous sa propre responsabilité, et dont il n’appartient pas à la Cour de vérifier l’exactitude, bénéficient d’une présomption de pertinence. [arrêts du 15 mai 2003, Salzmann, C‑300/01, EU:C:2003:283, point 31, et du 18 décembre 2025, Tenergie (Demande de remise des droits à l’importation), C‑259/24, EU:C:2025:1013, point 26 ainsi que jurisprudence citée].
58 Le refus de la Cour de statuer sur une question préjudicielle posée par une juridiction nationale n’est possible que s’il apparaît de manière manifeste que l’interprétation sollicitée du droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal, lorsque le problème est de nature hypothétique ou encore lorsque la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées [arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 62 ainsi que jurisprudence citée].
59 En l’occurrence, il y a lieu de constater que, ainsi qu’il ressort du point 18 du présent arrêt, la juridiction de renvoi s’interroge explicitement, dans les motifs de sa demande de décision préjudicielle, sur la question de savoir si « l’exigence de motivation adéquate » de la « nécessité absolue », au sens de l’article 10 de la directive 2016/680, de la collecte de relevés signalétiques incombe à l’« autorité compétente », telle que définie à l’article 3, point 7, de cette directive, à savoir l’officier de police judiciaire, et/ou à la juridiction nationale exerçant le contrôle des actes adoptés par cette autorité.
60 Il en ressort ainsi que, contrairement à ce que soutient le gouvernement français, la juridiction de renvoi ne se borne pas à s’interroger sur l’autorité qui doit assurer le contrôle de la « nécessité absolue » d’une telle collecte, au sens de l’article 10 de ladite directive, mais cherche également à faire préciser la portée de l’obligation de motivation, en particulier quant à son caractère adéquat, qui incomberait, le cas échéant, à cette autorité.
61 Dans ces conditions, il ne saurait être considéré que l’interprétation sollicitée du droit de l’Union n’a manifestement aucun rapport avec la réalité ou l’objet de la procédure au principal ou qu’elle se rapporte à un problème de nature hypothétique.
62 Quant aux motifs pour lesquels le droit de l’Union imposerait à l’autorité compétente de motiver la « nécessité absolue », au sens de l’article 10 de la même directive, de procéder à la collecte de données biométriques, lesquels ne seraient pas exposés dans la décision de renvoi, il suffit de relever que de tels motifs concernent le fond de la réponse à apporter à la deuxième question et non la recevabilité de celle-ci.
63 Il s’ensuit que cette deuxième question est recevable.
Sur le fond
64 Ainsi qu’il ressort du point 24 du présent arrêt, l’article 10 de la directive 2016/680 prévoit que le traitement de données à caractère personnel sensibles, tel que la collecte de données biométriques, doit satisfaire, outre à la condition selon laquelle le traitement envisagé doit répondre à une « nécessité absolue », à celle, notamment, selon laquelle il doit exister des « garanties appropriées » pour les droits et libertés de la personne concernée.
65 En ce qui concerne cette dernière condition, il convient de relever que l’article 54 de cette directive, qui donne expression à l’article 47 de la Charte, impose explicitement aux États membres de prévoir que, lorsqu’une personne considère que ses droits prévus dans les dispositions adoptées en vertu de ladite directive ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation de ces dispositions, cette personne a droit à un recours juridictionnel effectif [arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 117].
66 À cet égard, il ressort également de la jurisprudence de la Cour que le droit à un recours juridictionnel effectif, garanti à cet article 47, exige, en principe, que l’intéressé puisse connaître les motifs sur lesquels est fondée la décision prise à son égard, soit par la lecture de cette décision, soit par une communication de ces motifs, afin de lui permettre de défendre ses droits dans les meilleures conditions possibles et de décider en pleine connaissance de cause s’il est utile de saisir le juge compétent, ainsi que pour mettre ce dernier pleinement en mesure d’exercer le contrôle de la légalité de cette décision (arrêt du 13 juin 2024, HYA e.a. II, C‑229/23, EU:C:2024:505, point 52 ainsi que jurisprudence citée).
67 Si ce droit ne constitue pas une prérogative absolue et si, conformément à l’article 52, paragraphe 1, de la Charte, des limitations peuvent y être apportées, c’est à condition que ces limitations soient prévues par la loi, qu’elles respectent le contenu essentiel des droits et des libertés en cause et que, dans le respect du principe de proportionnalité, elles soient nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et des libertés d’autrui [arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 119 et jurisprudence citée].
68 Il incombe, dès lors, à l’autorité compétente, autorisée par le droit national à collecter des données biométriques en cas de « nécessité absolue », au sens de l’article 10 de la directive 2016/680, de fournir aux personnes concernées, dans le cadre des procédures nationales applicables, les motifs sur lesquels cette « nécessité absolue » repose, ces motifs étant nécessaires pour permettre à ces personnes d’exercer, notamment, le droit de recours, explicitement prévu à l’article 54 de cette directive, conformément à l’article 47 de la Charte [voir, en ce sens, arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 120 et jurisprudence citée].
69 Ces considérations ne sont pas remises en cause par les arguments des gouvernements ayant participé à la présente procédure préjudicielle.
70 Tout d’abord, une telle obligation, pour l’autorité compétente, de motiver la « nécessité absolue », au sens de cet article 10, de procéder à la collecte des données biométriques d’une personne faisant l’objet d’une enquête pénale n’est nullement susceptible de compromettre celle-ci. En effet, une telle motivation peut être succincte, pourvu qu’elle soit suffisamment claire pour permettre à la personne concernée d’exercer son droit de recours.
71 Ensuite, cette obligation de motivation s’impose d’autant plus que, ainsi qu’il ressort, en particulier, des points 25 à 36 du présent arrêt, l’autorité compétente doit, conformément audit article 10, apprécier, dans chaque cas particulier, la « nécessité absolue » de cette collecte en vérifiant et démontrant celle-ci. Or, si cette autorité n’était pas tenue de motiver ses décisions à cet égard, la juridiction nationale saisie de la légalité de ladite collecte ne serait en mesure de contrôler ni l’exercice effectif par ladite autorité de ce pouvoir d’appréciation ni le bien-fondé de la même collecte [voir, en ce sens, arrêt du 28 novembre 2024, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques II), C‑80/23, EU:C:2024:991, point 58].
72 Cette interprétation est corroborée, ainsi que la Commission européenne l’a fait valoir, à juste titre, par l’article 4, paragraphe 4, de la directive 2016/680, qui impose à l’autorité compétente procédant à la collecte de données biométriques, en tant que « responsable du traitement », au sens de l’article 3, point 8, de cette directive, de pouvoir démontrer le respect, notamment, des obligations énoncées au paragraphe 1, sous a) à c), de cet article 4, dont il découle, lu en combinaison avec l’article 10 de ladite directive, que les finalités de cette collecte doivent, ainsi qu’il a été relevé au point 29 du présent arrêt, être suffisamment précises et concrètes pour permettre d’évaluer la « nécessité absolue » de ladite collecte, au sens de cet article 10.
73 Il s’ensuit que l’existence d’un contrôle juridictionnel portant sur la légalité de la collecte de données biométriques par l’« autorité compétente », telle que définie à l’article 3, point 7, de la directive 2016/680, ne saurait en aucun cas pallier l’absence d’obligation, pour cette autorité, de motiver la « nécessité absolue » de cette collecte, conformément à l’article 10 de cette directive, en assurant, à sa place, le respect de cette obligation, dès lors que c’est à cette dernière qu’il incombe d’effectuer l’appréciation exigée en vertu de cet article 10, laquelle appréciation permet précisément d’assurer, à son tour, le caractère effectif de ce contrôle [voir, en ce sens, arrêt du 28 novembre 2024, Ministerstvo na vatreshnite raboti (Enregistrement de données biométriques et génétiques II), C‑80/23, EU:C:2024:991, points 57 et 61].
74 Enfin, il convient de préciser que l’obligation, pour l’autorité compétente, de motiver la « nécessité absolue », au sens de l’article 10 de la directive 2016/680, de la collecte de données biométriques ne saurait, ainsi que M. l’avocat général l’a relevé au point 81 de ses conclusions, être considérée comme constituant une charge déraisonnable pour cette autorité, dès lors que, comme il ressort, notamment, du point 36 du présent arrêt, cette collecte ne peut, en aucun cas, revêtir un caractère systématique en ce qui concerne les personnes à l’égard desquelles il existe une ou plusieurs raisons plausibles de soupçonner qu’elles ont commis ou tenté de commettre une infraction pénale.
75 En conséquence, il convient de répondre à la deuxième question que l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 4, ainsi qu’avec l’article 54 de cette directive, et à la lumière de l’article 47 de la Charte, doit être interprété en ce sens qu’il s’oppose à une législation nationale qui ne prévoit pas l’obligation, pour l’autorité compétente, de motiver de façon adéquate, dans chaque cas particulier, la « nécessité absolue », au sens de cet article 10, de procéder à la collecte des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale.
Sur la troisième question
76 Par sa troisième question, la juridiction de renvoi demande, en substance, si l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), et l’article 8 de cette directive, doit être interprété en ce sens qu’il s’oppose à une législation nationale qui permet de poursuivre et de condamner une personne au titre d’une infraction pénale spécifique réprimant le refus de celle-ci de permettre la collecte de ses données biométriques, alors même que cette dernière n’a pas été poursuivie ou condamnée pour l’infraction pénale qui fondait la collecte envisagée de ces données.
Sur la recevabilité
77 Le gouvernement français met en doute la recevabilité de cette question. En effet, celle-ci porterait sur la légalité de l’infraction pénale spécifique prévue à l’article 55-1, troisième alinéa, du code de procédure pénale, lequel incrimine et punit le refus de la personne concernée de se soumettre à des opérations de relevés signalétiques, alors que la directive 2016/680 ne régirait pas les conséquences d’un tel refus. En outre, aucun acte du droit de l’Union n’édicterait de règles communes concernant la possibilité, pour un État membre, d’incriminer et de sanctionner un tel refus. L’article 55-1, troisième alinéa, du code de procédure pénale ne procéderait donc en rien de la mise en œuvre du droit de l’Union.
78 À cet égard, il suffit toutefois de rappeler que, selon une jurisprudence constante, lorsqu’il n’apparaît pas de manière manifeste que l’interprétation d’un acte de droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal, comme c’est le cas, en l’occurrence, de la directive 2016/680, l’objection tirée de l’inapplicabilité de cet acte à l’affaire au principal relève de l’examen du fond des questions [arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 67 et jurisprudence citée].
79 En conséquence, il convient de considérer que la troisième question est recevable.
Sur le fond
80 En vue de répondre à cette troisième question, il convient d’examiner, dans un premier temps, si une législation nationale qui, à l’instar de l’article 55-1, troisième alinéa, du code de procédure pénale, permet de poursuivre et de condamner une personne au titre d’une infraction pénale spécifique réprimant le refus de celle-ci de permettre la collecte de ses données biométriques, alors même que cette dernière n’a pas été poursuivie ou condamnée pour l’infraction pénale qui fondait la collecte envisagée de ces données, relève du champ d’application du droit de l’Union, et en particulier, ainsi que l’envisage la juridiction de renvoi, de la directive 2016/680. Dans l’affirmative, il importe encore de déterminer, dans un second temps, si les dispositions de cette directive s’opposent à une telle législation.
81 En ce qui concerne, en premier lieu, le champ d’application de ladite directive, il y a lieu de rappeler que, conformément à son article 2, paragraphe 1, celle-ci s’applique au traitement de données à caractère personnel effectué par l’autorité compétente aux fins énoncées à son article 1er, paragraphe 1, à savoir, notamment, celles de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière.
82 Or, il ressort de la jurisprudence de la Cour que la tentative de l’autorité compétente de procéder à un traitement de données à caractère personnel, telle que celle ayant lieu lorsque la personne concernée refuse la collecte de ses données biométriques, aux fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, relève du champ d’application de la directive 2016/680 [voir, en ce sens, arrêt du 4 octobre 2024, Bezirkshauptmannschaft Landeck (Tentative d’accès aux données personnelles stockées sur un téléphone portable), C‑548/21, EU:C:2024:830, point 77].
83 Il s’ensuit que, ainsi que M. l’avocat général l’a relevé au point 99 de ses conclusions, lorsque ce refus expose cette personne, en vertu du droit national, à l’infliction d’une sanction pénale au titre d’une infraction spécifique tenant audit refus, la conformité de la collecte de données biométriques envisagée aux dispositions de cette directive constitue une condition de la légalité de cette sanction (voir, par analogie, arrêt du 16 mai 2017, Berlioz Investment Fund, C‑682/15, EU:C:2017:373, points 41 et 74).
84 En conséquence, une législation nationale qui, à l’instar de l’article 55‑1, troisième alinéa, du code de procédure pénale, permet de poursuivre et de condamner, au titre d’une infraction pénale spécifique, une personne ayant refusé la collecte de ses données biométriques, alors même que cette dernière n’a pas été poursuivie ou condamnée pour l’infraction pénale qui fondait cette collecte, relève du champ d’application de ladite directive.
85 En ce qui concerne, en second lieu, la question de savoir si les dispositions de la directive 2016/680 s’opposent à une telle législation nationale, il y a lieu de constater que, dans la mesure où la conformité de la collecte de données biométriques envisagée à ces dispositions constitue, ainsi qu’il ressort du point 83 du présent arrêt, une condition de la légalité de la sanction pénale infligée, au titre d’une infraction spécifique, à la personne qui refuse cette collecte, une telle sanction ne peut être infligée à cette personne que si, ainsi qu’il ressort, en particulier, des points 24 à 36 de cet arrêt, la tentative de collecte répond à la condition de « nécessité absolue », au sens de l’article 10 de cette directive, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), et l’article 8 de celle-ci.
86 À cet égard, ainsi qu’il ressort de la jurisprudence rappelée aux points 34 et 43 du présent arrêt, la possibilité que la collecte des données biométriques envisagée soit absolument nécessaire, au sens de ladite directive, doit être appréciée au regard de l’ensemble des éléments pertinents au moment où les autorités compétentes envisagent d’effectuer cette collecte. Partant, le fait que la personne concernée, à l’égard de laquelle il existait, au moment où ladite collecte a été envisagée, une ou plusieurs raisons de soupçonner qu’elle avait commis ou tenté de commettre une infraction pénale, ne soit, en fin de compte, pas poursuivie ou condamnée pour cette infraction, n’est pas, à lui seul, déterminant pour le respect de cette condition de « nécessité absolue ».
87 Ainsi, la Cour a déjà précisé que la seule circonstance que la collecte des données biométriques d’une personne à laquelle est reproché une infraction pénale survienne avant que celle-ci ne soit définitivement condamnée ne suffit pas à exclure qu’une telle collecte puisse être considérée comme répondant à une « nécessité absolue », au sens de l’article 10 de la même directive, dès lors que, compte tenu des finalités spécifiques et concrètes poursuivies, cette collecte, en ce compris eu égard au type de données concerné, peut s’avérer absolument nécessaire, notamment pour permettre de déterminer si, en raison de son appartenance éventuelle à une organisation criminelle, ladite personne est susceptible d’avoir participé à d’autres infractions pour lesquelles des données de ce type pourraient être pertinentes, ou, s’il existe un risque de fuite, pour permettre son identification [voir, en ce sens, arrêt du 20 novembre 2025, Policejní prezidium (Conservation de données biométriques et génétiques), C‑57/23, EU:C:2025:905, point 93].
88 Cela étant, il importe de souligner que, dès lors qu’une telle sanction pénale, au titre d’une infraction spécifique réprimant le refus d’une personne de permettre la collecte de ses données biométriques, relève du champ d’application du droit de l’Union, elle doit respecter les principes généraux du droit de l’Union, parmi lesquels figure le principe de proportionnalité, lequel est consacré, notamment, à l’article 49, paragraphe 3, de la Charte, aux termes duquel l’intensité des peines ne doit pas être disproportionnée par rapport à l’infraction [voir, en ce sens, arrêt du 8 mars 2022, Bezirkshauptmannschaft Hartberg-Fürstenfeld (Effet direct), C‑205/20, EU:C:2022:168, point 31 et jurisprudence citée].
89 Le principe de proportionnalité exige, d’une part, que la sanction infligée corresponde à la gravité de l’infraction et, d’autre part, que, lors de la détermination de la sanction ainsi que de la fixation du montant de l’amende, il soit tenu compte des circonstances individuelles du cas d’espèce (arrêt du 4 octobre 2018, Link Logistik N&N, C‑384/17, EU:C:2018:810, point 45).
90 À cet égard, ainsi que M. l’avocat général l’a souligné, en substance, aux points 109 à 112 de ses conclusions, il incombe à la juridiction nationale compétente pour l’infliction d’une sanction pénale au titre d’une infraction spécifique réprimant le refus d’une personne de permettre la collecte de ses données biométriques de tenir compte, conformément à la jurisprudence rappelée au point 34 du présent arrêt, notamment, du comportement et du profil de cette personne, de ses antécédents judiciaires et de la gravité de l’infraction pénale présumée qui fondait la collecte envisagée.
91 En conséquence, il convient de répondre à la troisième question que l’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8 de cette directive, et à la lumière de l’article 49, paragraphe 3, de la Charte, doit être interprété en ce sens qu’il ne s’oppose pas à une législation nationale qui permet de poursuivre et de condamner une personne au titre d’une infraction pénale spécifique réprimant le refus de celle-ci de permettre la collecte de ses données biométriques, alors même que cette dernière n’a pas été poursuivie ou condamnée pour l’infraction pénale qui fondait la collecte envisagée de ces données, pour autant que ladite collecte réponde à la condition de « nécessité absolue », au sens de cet article 10, et que la sanction pénale infligée à ce titre respecte le principe de proportionnalité.
Sur les dépens
92 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (cinquième chambre) dit pour droit :
1) L’article 10 de la directive (UE) 2016/680 du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), et l’article 8 de cette directive,
doit être interprété en ce sens que :
il s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale, à moins qu’il ne soit établi, d’une part, que le droit national définit les finalités spécifiques et concrètes poursuivies par cette collecte de manière appropriée et suffisamment précise et, d’autre part, que l’autorité compétente est tenue, dans chaque cas particulier, d’apprécier si ladite collecte est absolument nécessaire à la réalisation de ces finalités, si bien qu’une telle collecte ne revêt pas un caractère systématique.
2) L’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 4, ainsi qu’avec l’article 54 de cette directive, et à la lumière de l’article 47 de la charte des droits fondamentaux de l’Union européenne,
doit être interprété en ce sens que :
il s’oppose à une législation nationale qui ne prévoit pas l’obligation, pour l’autorité compétente, de motiver de façon adéquate, dans chaque cas particulier, la « nécessité absolue », au sens de cet article 10, de procéder à la collecte des données biométriques de toute personne à l’égard de laquelle il existe une ou plusieurs raisons plausibles de soupçonner qu’elle a commis ou tenté de commettre une infraction pénale.
3) L’article 10 de la directive 2016/680, lu en combinaison avec l’article 4, paragraphe 1, sous a) à c), ainsi qu’avec l’article 8 de cette directive, et à la lumière de l’article 49, paragraphe 3, de la charte des droits fondamentaux,
doit être interprété en ce sens que :
il ne s’oppose pas à une législation nationale qui permet de poursuivre et de condamner une personne au titre d’une infraction pénale spécifique réprimant le refus de celle-ci de permettre la collecte de ses données biométriques, alors même que cette dernière n’a pas été poursuivie ou condamnée pour l’infraction pénale qui fondait la collecte envisagée de ces données, pour autant que ladite collecte réponde à la condition de « nécessité absolue », au sens de cet article 10, et que la sanction pénale infligée à ce titre respecte le principe de proportionnalité.
Signatures