Commentaire de l’arrêt CJUE, 19 mars 2026, aff. C-371/24, Comdribus
Introduction
La protection des données personnelles constitue aujourd’hui l’un des piliers fondamentaux du droit de l’Union européenne, particulièrement dans le domaine sensible du droit pénal. Si les autorités répressives disposent de pouvoirs d’enquête étendus, ceux-ci doivent s’exercer dans le respect strict des droits fondamentaux, notamment du droit à la vie privée et à la protection des données.
Dans ce contexte, la collecte de données biométriques – telles que les empreintes digitales ou les photographies – soulève des enjeux majeurs. Ces données, par leur nature même, permettent une identification unique et permanente des individus, justifiant ainsi un encadrement juridique renforcé.
C’est dans ce cadre que s’inscrit l’arrêt rendu le 19 mars 2026 par la Cour de justice de l’Union européenne dans l’affaire Comdribus (C-371/24). Saisie d’une question préjudicielle par la cour d’appel de Paris, la Cour était invitée à se prononcer sur la compatibilité du droit français avec la Directive (UE) 2016/680, notamment quant au caractère potentiellement systématique des relevés signalétiques.
La décision apporte une clarification majeure :
la collecte de données biométriques dans le cadre d’une enquête pénale ne peut être justifiée que par une “nécessité absolue” et doit faire l’objet d’une motivation individuelle.
Dès lors, une double problématique se dégage :
dans quelle mesure le droit de l’Union encadre-t-il la collecte de données biométriques en matière pénale, et quelles en sont les conséquences sur la validité des sanctions en cas de refus ?
La Cour apporte une réponse structurée, en consacrant d’une part une interdiction de la collecte systématique de données biométriques (I), et en conditionnant d’autre part la validité des sanctions au respect de cette exigence (II).
I. L’encadrement strict de la collecte des données biométriques en droit pénal européen
A. La consécration d’une exigence de » nécessité absolue » pour les données biométriques
La Cour rappelle d’emblée un principe fondamental du droit de l’Union :
les données biométriques constituent des données sensibles, bénéficiant d’une protection renforcée.
En application de la Directive (UE) 2016/680, leur traitement n’est autorisé que dans des conditions strictes :
- existence d’une nécessité absolue ;
- mise en place de garanties appropriées pour les droits et libertés de la personne.
Cette exigence de « nécessité absolue » marque un seuil particulièrement élevé. Elle dépasse la simple utilité ou opportunité de la mesure. Autrement dit, il ne suffit pas que la collecte facilite l’enquête :
elle doit être indispensable à celle-ci.
La Cour opère ainsi une distinction essentielle entre :
- les mesures d’enquête ordinaires ;
- et celles impliquant des atteintes graves aux droits fondamentaux.
Les données biométriques, en raison de leur caractère permanent et intrusif, relèvent clairement de la seconde catégorie.
Cette position s’inscrit dans la continuité de la jurisprudence européenne en matière de protection des données, mais elle en renforce ici la portée dans le champ pénal, traditionnellement plus permissif.
B. L’interdiction de la collecte systématique et l’exigence d’une motivation individuelle
L’apport central de l’arrêt réside dans le rejet explicite de toute logique de systématisation.
La Cour affirme clairement :
la simple existence de soupçons plausibles ne suffit pas à justifier un relevé signalétique.
En conséquence :
- chaque décision doit faire l’objet d’une appréciation individuelle ;
- cette décision doit être motivée, même de manière succincte.
Cette motivation poursuit un double objectif :
- Informer la personne concernée, afin qu’elle comprenne les raisons de la mesure ;
- Permettre l’exercice d’un recours effectif, conformément aux exigences du droit de l’Union.
La Cour insiste sur un point essentiel :
cette exigence ne constitue pas une contrainte excessive pour les autorités.
Pourquoi ? Parce que précisément, la collecte ne doit pas être systématique. Autrement dit, si la motivation paraît lourde, c’est que la pratique elle-même est illégale.
La décision remet ainsi en cause toute législation nationale qui prévoirait, explicitement ou implicitement, une collecte généralisée des données biométriques pour toute personne soupçonnée.
Elle impose également aux États membres de :
- définir clairement les finalités de la collecte ;
- encadrer les conditions de mise en œuvre ;
- garantir un contrôle juridictionnel effectif.
II. L’impact du respect de la nécessité absolue sur la validité des sanctions pénales
A. La conditionnalité de la sanction du refus de se soumettre aux relevés biométriques
L’arrêt présente un intérêt particulier quant aux conséquences pratiques de l’illégalité d’une collecte.
La Cour pose un principe clair :
la validité de la sanction du refus dépend de la légalité de la mesure initiale.
Autrement dit :
- si la collecte respecte l’exigence de nécessité absolue → la sanction peut être valable ;
- si ce n’est pas le cas → la sanction est incompatible avec le droit de l’Union.
Ce raisonnement repose sur une logique simple mais fondamentale :
on ne peut sanctionner le refus de se soumettre à une mesure illégale.
En l’espèce, la personne concernée avait été condamnée pour avoir refusé un relevé signalétique, alors même qu’elle avait été relaxée de l’infraction initiale.
La Cour ne tranche pas directement le litige, mais elle fournit au juge national une grille d’analyse déterminante :
- vérifier si la collecte était justifiée ;
- en déduire la légalité de la sanction.
Cette solution renforce considérablement les droits de la défense, en permettant une contestation indirecte de la mesure à travers la sanction.
B. Le contrôle de proportionnalité et le rôle renforcé du juge national
Même lorsque la collecte est jugée légale, la sanction doit encore respecter un autre principe fondamental :
le principe de proportionnalité, garanti par la Charte des droits fondamentaux de l’Union européenne.
Cela implique que :
- la sanction doit être adaptée à la gravité du refus ;
- elle ne doit pas être excessive au regard des circonstances.
Le juge national se voit ainsi confier un rôle central :
- apprécier la nécessité de la collecte ;
- contrôler la motivation de la décision ;
- vérifier la proportionnalité de la sanction.
Ce triple contrôle illustre une évolution majeure du droit pénal européen :
le juge devient le garant effectif de la protection des données dans la procédure pénale.
Cette décision s’inscrit dans une dynamique plus large de juridictionnalisation du droit des données personnelles, y compris dans des domaines traditionnellement dominés par les impératifs sécuritaires.
Elle invite également les praticiens à une vigilance accrue :
- pour les avocats : contester systématiquement la motivation des relevés ;
- pour les autorités : formaliser rigoureusement leurs décisions ;
- pour les juges : exercer un contrôle approfondi.
Conclusion
L’arrêt Comdribus du 19 mars 2026 marque une étape importante dans la construction d’un droit pénal européen respectueux des libertés fondamentales.
Trois enseignements majeurs se dégagent :
- La collecte de données biométriques est strictement encadrée et ne peut être justifiée que par une nécessité absolue ;
- Toute systématisation est prohibée, chaque décision devant être motivée individuellement ;
- La validité des sanctions dépend de la légalité de la collecte, sous le contrôle du principe de proportionnalité.
Par cette décision, la Cour de justice de l’Union européenne réaffirme la primauté des droits fondamentaux dans le domaine pénal et impose aux États membres une exigence accrue de rigueur juridique.
Elle illustre également une tendance de fond :
la montée en puissance du droit des données personnelles comme limite aux pouvoirs d’enquête.
Pour les praticiens du droit pénal, cette décision constitue un outil stratégique majeur, tant en matière de contentieux que de conseil.