Affaire C‑118/22
NG
contre
Direktor na Glavna direktsia „Natsionalna politsia“ pri Ministerstvo na vatreshnite raboti - Sofia
(demande de décision préjudicielle, introduite par le Varhoven administrativen sad)
Arrêt de la Cour (grande chambre) du 30 janvier 2024
« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel à des fins de lutte contre les infractions pénales – Directive (UE) 2016/680 – Article 4, paragraphe 1, sous c) et e) – Minimisation des données – Limitation de la conservation – Article 5 – Délais appropriés pour l’effacement ou pour la vérification régulière de la nécessité de la conservation – Article 10 – Traitement de données biométriques et génétiques – Nécessité absolue – Article 16, paragraphes 2 et 3 – Droit à l’effacement – Limitation du traitement – Article 52, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne – Personne physique ayant été condamnée par un jugement définitif et ultérieurement réhabilitée – Délai de conservation des données jusqu’au décès – Absence de droit à l’effacement ou à la limitation du traitement – Proportionnalité »
Rapprochement des législations – Protection des personnes physiques à l’égard du traitement des données à caractère personnel en matière pénale – Directive 2016/680 – Conservation de données à caractère personnel, notamment de données biométriques et génétiques, concernant les personnes condamnées définitivement pour une infraction pénale intentionnelle relevant de l’action publique – Réglementation nationale prévoyant une telle conservation jusqu’au décès de la personne concernée, y compris en cas de réhabilitation de celle-ci – Absence d’obligation de vérifier régulièrement la nécessité de cette conservation – Absence de droit à l’effacement ou à la limitation du traitement – Inadmissibilité
[Charte des droits fondamentaux de l’Union européenne, art. 7, 8 et 52, § 1 ; directive du Parlement européen et du Conseil 2016/680, considérant 26 et art. 4, § 1, c) et e), 5, 10, 13, § 2, b), et 16, § 2 et 3]
(voir points 39, 41-45, 48-52, 59-61, 66-72 et disp.)
Résumé
Saisie à titre préjudiciel par le Varhoven administrativen sad (Cour administrative suprême, Bulgarie), la grande chambre de la Cour se prononce sur les limites temporelles de la conservation, à des fins de lutte contre les infractions pénales, des données à caractère personnel de personnes ayant fait l’objet d’une condamnation pénale définitive, au regard de la directive 2016/680 (1).
NG a fait l’objet d’une inscription au registre de police dans le cadre d’une procédure d’instruction pour faux témoignage. Au terme de cette procédure, il a été mis en accusation et, ensuite, reconnu coupable de cette infraction et condamné à une peine de probation d’un an. Après avoir purgé cette peine, il a bénéficié d’une réhabilitation.
Sur la base de cette réhabilitation, NG a présenté une demande de radiation de son inscription au registre de police. Cette demande a été rejetée au motif qu’une condamnation pénale définitive, y compris en cas de réhabilitation, ne fait pas partie des motifs d’une telle radiation, exhaustivement énumérés par le droit national. Le recours introduit par NG contre cette décision ayant été rejeté, NG a formé un pourvoi devant la juridiction de renvoi, en soutenant qu’il résulte de la directive 2016/680 que la conservation de données à caractère personnel ne saurait avoir une durée illimitée. Or, selon NG, tel serait de facto le cas lorsque la personne concernée ne peut jamais obtenir l’effacement de telles données collectées en lien avec l’infraction pénale pour laquelle elle a été définitivement condamnée, y compris après avoir purgé sa peine et avoir bénéficié d’une réhabilitation.
C’est dans ces conditions que la Cour a été saisie, à titre préjudiciel, de la question de savoir si la directive 2016/680 (2), lue à la lumière des articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (3), s’oppose à une législation nationale qui prévoit la conservation, par les autorités de police, à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, de données à caractère personnel, notamment de données biométriques et génétiques, concernant des personnes ayant fait l’objet d’une condamnation pénale définitive pour une infraction pénale intentionnelle relevant de l’action publique, et ce jusqu’au décès de la personne concernée, y compris en cas de réhabilitation de celle-ci, sans lui reconnaître le droit à l’effacement desdites données ou, le cas échéant, à la limitation de leur traitement.
Dans son arrêt, la Cour répond à cette question par l’affirmative.
Appréciation de la Cour
Dans un premier temps, la Cour indique que la directive 2016/680 fixe un cadre général permettant de garantir, entre autres, que la conservation de données à caractère personnel et, plus particulièrement, la durée de celle-ci soient limitées à ce qui s’avère nécessaire au regard des finalités pour lesquelles ces données sont conservées, tout en laissant aux États membres le soin de déterminer, dans le respect de ce cadre, les situations concrètes dans lesquelles la protection des droits fondamentaux de la personne concernée requiert l’effacement de ces données et le moment auquel celui-ci doit intervenir. En revanche, cette directive n’exige pas que les États membres définissent des limites temporelles absolues pour la conservation des données à caractère personnel, au-delà desquelles celles-ci devraient être automatiquement effacées.
Plus précisément, tout d’abord, l’article 4, paragraphe 1, sous c), de la directive 2016/680 établit le principe de la « minimisation des données » selon lequel les États membres doivent prévoir que les données à caractère personnel sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont traitées. De plus, en vertu de l’article 4, paragraphe 1, sous e), de cette directive, les États membres doivent prévoir que ces données seront conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Dans ce cadre, l’article 5 de ladite directive impose aux États membres de prévoir notamment la fixation de délais appropriés pour l’effacement des données à caractère personnel ou pour la vérification régulière de la nécessité de conserver de telles données. Le caractère « approprié » de ces délais requiert, en tout état de cause, que ceux-ci permettent l’effacement des données concernées lorsque leur conservation n’est plus nécessaire au regard des finalités ayant justifié le traitement.
Ensuite, l’article 10 de la directive 2016/680, qui régit les traitements de catégories particulières de données à caractère personnel, notamment les données biométriques et génétiques, autorise le traitement de telles données « uniquement en cas de nécessité absolue ».
Enfin, l’article 16, paragraphe 2, de la directive 2016/680 instaure un droit à l’effacement des données à caractère personnel lorsque le traitement constitue une violation des dispositions adoptées en vertu de cette directive (4) ou lorsque ces données doivent être effacées pour respecter une obligation légale à laquelle est soumis le responsable du traitement (5). Il en découle que ce droit à l’effacement peut être exercé, notamment, lorsque la conservation des données à caractère personnel en cause ne revêt pas ou ne revêt plus un caractère nécessaire au regard des finalités de leur traitement ou lorsque cet effacement est requis pour respecter le délai fixé, à cet effet, par le droit national.
Dans un deuxième temps, la Cour relève que, en l’occurrence, les données à caractère personnel figurant dans le registre de police et concernant les personnes qui sont poursuivies pour une infraction intentionnelle relevant de l’action publique sont conservées uniquement à des fins d’enquête opérationnelle et, plus particulièrement, en vue d’être comparées à d’autres données collectées lors d’enquêtes relatives à d’autres infractions. À cet égard, toutefois, la notion d’« infraction pénale intentionnelle relevant de l’action publique » revêt un caractère particulièrement général et est susceptible de s’appliquer à un grand nombre d’infractions pénales, indépendamment de leur nature et de leur gravité. Or, toutes les personnes définitivement condamnées pour une telle infraction ne présentent pas le même degré de risque d’être impliquées dans d’autres infractions pénales, justifiant une durée uniforme de conservation des données les concernant. Ainsi, dans certains cas, eu égard à des facteurs tels que la nature et la gravité de l’infraction commise ou l’absence de récidive, le risque représenté par la personne condamnée ne justifiera pas nécessairement le maintien jusqu’à son décès des données la concernant dans le registre national de police prévu à cet effet, de sorte qu’il n’existera plus de rapport nécessaire entre les données conservées et l’objectif poursuivi. Dès lors, dans de tels cas, leur conservation ne sera pas conforme au principe de minimisation des données et excèdera la durée nécessaire au regard des finalités pour lesquelles elles sont traitées.
Ensuite, dans la mesure où la conservation des données à caractère personnel dans le registre de police en cause inclut des données biométriques et génétiques, la Cour précise que, certes, la conservation de telles données de personnes ayant déjà fait l’objet d’une condamnation pénale définitive, y compris jusqu’au décès de ces personnes, est susceptible de revêtir un caractère de nécessité absolue (6), notamment pour permettre de vérifier leur éventuelle implication dans d’autres infractions pénales et, ainsi, de poursuivre et de condamner les auteurs de ces infractions. Toutefois, la conservation de ces données ne répond à une telle exigence que si elle prend en considération la nature et la gravité de l’infraction ayant abouti à la condamnation pénale définitive, ou d’autres circonstances telles que le contexte particulier dans lequel cette infraction a été commise, son lien éventuel avec d’autres procédures en cours ou encore les antécédents ou le profil de la personne condamnée. Partant, lorsque, comme le prévoit le droit national dans l’affaire au principal, les données biométriques et génétiques des personnes concernées inscrites sur le registre de police sont conservées jusqu’à la date du décès de ces personnes en cas de condamnation pénale définitive de celles-ci, le champ d’application de cette conservation présente un caractère excessivement étendu au regard des finalités pour lesquelles ces données sont traitées.
Enfin, s’agissant, d’une part, de l’obligation de prévoir la fixation de délais appropriés (7), un délai ne saurait être considéré comme « approprié », notamment en ce qui concerne la conservation des données biométriques et génétiques de toute personne condamnée définitivement pour une infraction pénale intentionnelle relevant de l’action publique, que s’il prend en considération les circonstances pertinentes de nature à rendre nécessaire une telle durée de conservation. Par conséquent, même si la référence à la survenance du décès de la personne concernée est susceptible de constituer un « délai » pour l’effacement des données conservées, un tel délai ne saurait être considéré comme étant « approprié » que dans des circonstances particulières qui le justifient dûment. Or, tel n’est manifestement pas le cas lorsqu’il est applicable de manière générale et indifférenciée à toute personne condamnée définitivement. Certes, il revient aux États membres de décider si des délais doivent être fixés concernant l’effacement desdites données ou la vérification régulière de la nécessité de les conserver (8). Toutefois, le caractère « approprié » des délais pour une telle vérification régulière requiert que ceux-ci permettent d’aboutir à l’effacement des données en cause, dans le cas où leur conservation n’est plus nécessaire. Or, une telle exigence n’est pas satisfaite lorsque le seul cas dans lequel un tel effacement est prévu est la survenance du décès de la personne concernée.
D’autre part, les dispositions de la directive 2016/680 prévoyant des garanties concernant les conditions relatives aux droits à l’effacement et à la limitation du traitement s’opposent également à une législation nationale qui ne permet pas à une personne définitivement condamnée pour une infraction pénale intentionnelle relevant de l’action publique d’exercer ces droits.