Lettre de la DAJ - La collecte systématique des données biométriques et génétiques et la protection des données personnelles

La collecte systématique des données biométriques et génétiques de toute personne mise en examen aux fins de leur enregistrement policier est contraire à la directive relative à la protection des données personnelles (interprétation de la CJUE dans l’affaire C-205/21).

Saisie d’un renvoi préjudiciel, la Cour de justice de l’Union européenne (CJUE) s’est prononcée sur l’interprétation des dispositions des articles 4, 6, 8 et 10 de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales.

En substance, les traitements des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, et les traitements des données génétiques, des données biométriques aux fins d'identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont autorisés uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée, et uniquement :

  • lorsqu'ils sont autorisés par le droit de l'Union ou le droit d'un Etat membre ;
  • pour protéger les intérêts vitaux de la personne concernée ou d'une autre personne physique ;
  • ou lorsque le traitement porte sur des données manifestement rendues publiques par la personne concernée.

Dans l’affaire C205/21 du 26 janvier 2023, une personne mise en examen pour fraude fiscale a refusé la collecte par la police de ses données biométriques et génétiques aux fins de leur enregistrement (données dactyloscopiques et photographiques et prélèvement en vue de l’établissement du profil ADN).

Les autorités de police pouvaient-elles l’y contraindre ?

En l’espèce, la question posée à la CJUE est de savoir si l’article 10 de la directive 2016/680, doit être interprété en ce sens que la collecte de données biométriques et génétiques par les autorités de police en vue de leurs activités de recherche à des fins de lutte contre la criminalité et de maintien de l’ordre public est autorisée par le droit d’un Etat membre lorsque, d’une part, les dispositions nationales formant la base juridique de cette autorisation se réfèrent à l’article 9 du Règlement général de protection des données (RGPD), tout en reproduisant le contenu dudit article 10 de la directive 2016/680, et, d’autre part, ces dispositions nationales paraissent énoncer des exigences contradictoires en ce qui concerne l’admissibilité d’une telle collecte.

La Cour précise que le traitement des données biométriques et génétiques par les autorités de police est autorisé par le droit national dès lors que ce dernier contient une base juridique suffisamment claire et précise pour autoriser ledit traitement, quand bien même la règle de droit national ferait référence au RGPD et non à la directive.

De plus, la CJUE relève que si le législateur national a la faculté de prévoir, dans le cadre du même instrument législatif, le traitement de données à caractère personnel à des fins relevant de la directive 2016/680 ainsi qu’à d’autres fins relevant du RGPD, il a en revanche l’obligation de s’assurer de l’absence d’ambiguïté quant à l’applicabilité de l’un ou de l’autre de ces deux actes de l’Union à la collecte des données biométriques et génétiques.

En outre, elle relève qu’en cas d’une contradiction apparente, comme au cas précis, des dispositions nationales autorisant le traitement de données en cause et celles semblant l’exclure, la juridiction nationale doit donner à ces dispositions une interprétation qui préserve l’effet utile de la directive 2016/680.

Partant, la CJUE juge que le droit de l’Union s’oppose à une législation nationale qui prévoit la collecte systématique des données biométriques et génétiques de toute personne mise en examen pour une infraction intentionnelle poursuivie d’office aux fins de leur enregistrement, sans prévoir l’obligation, pour l’autorité compétente, de vérifier et de démontrer, d’une part, si cette collecte est absolument nécessaire à la réalisation des objectifs concrets poursuivis et, d’autre part, si ces objectifs ne peuvent pas être atteints par des mesures constituant une ingérence de moindre gravité pour les droits et les libertés de la personne concernée.