Dans un arrêt rendu ce mardi 30 janvier, la Cour de justice de l'Union européenne (CJUE) juge que les fichiers biométriques des condamnés mis en place par les différentes polices de l'UE ne sont pas exemptés du respect du droit à l'effacement.

La CJUE s'oppose ici à une loi bulgare qui prévoit une conservation généralisée des données jusqu'à la mort de la personne condamnée, même si celle-ci a été réhabilitée.

Le droit à l'effacement d'un condamné réhabilité

En effet, la CJUE a été interrogée en 2022 par la Cour administrative suprême de Bulgarie concernant une personne condamnée pour faux témoignage puis réhabilitée (et pseudonymisée NG dans l'arrêt de la CJUE).

Cette personne a fait l'objet d'une inscription au registre de police dans le cadre de la procédure de sa condamnation. Elle a été condamnée à une peine de probation d'un an qu'elle a purgé, mais a ensuite bénéficié d'une réhabilitation.

Dans son arrêt, la CJUE explique que la loi bulgare prévoit que « les autorités de police inscrivent au registre de police les personnes qui sont poursuivies pour une infraction intentionnelle relevant de l’action publique ». Cette inscription rassemble des données à caractère personnel, des photographies des empreintes digitales et le profil ADN de la personne après prélèvement par la police.

Elle relève que la loi prévoit la radiation de l'inscription au registre de police lorsque :

• l’enregistrement a été effectué en violation de la loi ;
• la procédure pénale est classée ;
• la procédure pénale a abouti à un acquittement ;
• la personne a été exonérée de sa responsabilité pénale et une sanction administrative lui a été infligée ;
•  la personne est décédée, auquel cas la demande peut être faite par ses héritiers.

Cette loi ne prévoit donc aucune possibilité de radiation de ce registre pour les condamnés jusqu'à leur mort. Ainsi, la police bulgare a rejeté la demande de radiation de son fichier à cette personne pourtant réhabilitée, « ayant considéré qu’une condamnation pénale définitive, y compris en cas de réhabilitation, ne fait pas partie des motifs de radiation de l’inscription au registre de police », explique la CJUE.

NG a formé un pourvoi devant la Cour suprême administrative s'appuyant sur la directive européenne « Police - Justice » de 2016 « relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales », selon laquelle le traitement de données à caractère personnel résultant de leur conservation ne saurait avoir une durée illimitée. La Cour suprême a éprouvé un doute sur la compatibilité du droit bulgare avec cette directive et a interrogé la CJUE.

La conservation des données peut être nécessaire

La Cour européenne considère d'abord que « la conservation, dans un registre de police, de données concernant des personnes ayant fait l’objet d’une condamnation pénale définitive peut s’avérer nécessaire » aux fins « d’enquête opérationnelle et, plus particulièrement, en vue d’être comparées à d’autres données collectées lors d’enquêtes relatives à d’autres infractions », comme prévu par la loi bulgare.

Elle considère aussi que le relevé des empreintes digitales, la photographie de la personne concernée et le prélèvement à des fins de profilage ADN, « peuvent s’avérer indispensables aux fins de vérifier si la personne concernée est impliquée dans le cadre d’autres infractions pénales que celles pour laquelle elle a été définitivement condamnée » et donc peuvent être stockés dans une base de données de police.

Obligation de vérifier « régulièrement »

Mais la CJUE considère que la directive citée par NG (et précisément l'article 4, paragraphe 1 sous c) et e) ) « s'oppose » à une législation comme celle de la Bulgarie prévoyant la conservation des données des condamnés qui ne met pas « à la charge du responsable du traitement l’obligation de vérifier régulièrement si cette conservation est toujours nécessaire, ni reconnaître à ladite personne le droit à l’effacement de ces données, dès lors que leur conservation n’est plus nécessaire au regard des finalités pour lesquelles elles ont été traitées, ou, le cas échéant, à la limitation du traitement de celles-ci. »

Dans le communiqué de presse [.pdf] associé, la CJUE en conclut que « les autorités de police ne peuvent conserver, sans autre limite temporelle que celle du décès de la personne concernée, des données biométriques et génétiques concernant toutes les personnes ayant fait l’objet d’une condamnation pénale définitive pour une infraction volontaire ».

« Quand bien même cette conservation générale et indifférenciée est justifiée par la prévention et la détection d’infractions pénales, d’enquêtes et de poursuite ou d’exécution de sanctions pénales », souligne-t-elle, « les autorités nationales sont tenues de mettre à la charge du responsable du traitement l’obligation de vérifier régulièrement si cette conservation est toujours nécessaire, et reconnaître à l’intéressé le droit à l’effacement de ces données lorsque tel n’est plus le cas ».