Arrêt Comdribus (CJUE 2026) : la fin de la collecte automatique de données biométriques et ses effets sur la justice prédictive en France

La collecte systématique de données biométriques d'un suspect par les autorités de police est illégale au regard du droit de l'Union européenne. Par un arrêt du 19 mars 2026 (affaire C-371/24, Comdribus), la Cour de justice de l'Union européenne a posé une règle claire : une telle collecte ne peut être justifiée que par une nécessité absolue, démontrée au cas par cas. Cette décision retentissante s'inscrit dans un débat plus large qui agite la France depuis plusieurs années : celui de la justice prédictive, et plus précisément de l'utilisation d'algorithmes d'évaluation du risque de récidive par les parquets pour décider d'une mise en détention provisoire ou d'un aménagement de peine.

Cet article examine ce que la jurisprudence de la CJUE, le RGPD, la directive « Police-Justice » (2016/680) et le droit français permettent — ou interdisent — réellement aux magistrats lorsqu'ils s'appuient sur un score algorithmique. Une question qui n'est plus théorique : en 2026, plusieurs parquets français expérimentent déjà des outils d'intelligence artificielle d'évaluation du risque, et la légalité de ces pratiques est directement en jeu.

Contexte juridique

La directive 2016/680 encadre strictement le traitement des données biométriques en matière pénale, sous peine d'illégalité.

Le droit applicable repose sur deux piliers principaux. D'abord, le Règlement général sur la protection des données (RGPD, Règlement UE 2016/679) qui, pour les traitements à des fins pénales, laisse la place à la directive « Police-Justice » (2016/680). Transposée en droit français par la loi n° 2018-493 du 20 juin 2018 et codifiée notamment aux articles 87 à 104 de la loi Informatique et Libertés (modifiée), cette directive régit spécifiquement le traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales.

Son article 10 est central : il interdit en principe le traitement des données biométriques (empreintes digitales, photographies signalétiques, ADN) lorsqu'il est mis en œuvre à des fins d'identification unique d'une personne physique, sauf si ce traitement est « strictement nécessaire ». La CJUE, dans son arrêt Comdribus du 19 mars 2026, a précisé que la notion de stricte nécessité impose une appréciation individualisée : on ne peut pas collecter ces données de manière automatique sur toute personne mise en cause, quel que soit le contexte.

En France, c'est le fichier automatisé des empreintes digitales (FAED) et le fichier national automatisé des empreintes génétiques (FNAEG) qui concentrent les enjeux. L'affaire ayant donné lieu à l'arrêt de la CJUE trouve d'ailleurs son origine dans une procédure française : un prévenu avait été condamné à 300 € d'amende par le Tribunal correctionnel de Paris (jugement du 8 septembre 2021) pour avoir refusé de se soumettre au relevé signalétique (empreintes digitales et photographies). La Cour d'appel, saisie d'une question préjudicielle, a interrogé Luxembourg sur la compatibilité du régime français de collecte systématique avec la directive 2016/680.

Analyse approfondie

L'arrêt Comdribus du 19 mars 2026 invalide la collecte automatique et ouvre la voie à une remise en cause des outils de scoring algorithmique.

L'arrêt Comdribus : une interdiction de principe

La CJUE est sans ambiguïté dans son dispositif : le droit de l'Union s'oppose à une législation nationale qui prévoit la collecte systématique des données biométriques de toute personne suspectée d'une infraction, sans exiger que cette collecte soit justifiée par une nécessité absolue au regard des circonstances propres à l'espèce. La Cour rappelle que les données biométriques constituent des données sensibles au sens de l'article 10 de la directive 2016/680, dont le traitement doit rester exceptionnel et proportionné.

Concrètement, cela signifie que la France doit modifier son cadre législatif : l'article 55-1 du Code de procédure pénale, qui autorise aujourd'hui les officiers de police judiciaire à procéder à des relevés signalétiques sur toute personne à l'égard de laquelle il existe des indices faisant présumer qu'elle a commis ou tenté de commettre une infraction, doit être réinterprété — voire modifié — à la lumière de l'arrêt.

Justice prédictive et scoring algorithmique : un cadre juridique fragile

Le lien avec la justice prédictive est direct. Si la collecte de données biométriques est soumise au test de nécessité absolue, le traitement algorithmique de ces données — et plus généralement des données personnelles du mis en cause pour calculer un score de risque de récidive — l'est a fortiori.

En France, plusieurs outils sont en cours d'expérimentation. Inspirés de modèles anglo-saxons (COMPAS aux États-Unis, OASys au Royaume-Uni), ils visent à aider les parquets à décider de l'opportunité des poursuites, d'un placement en détention provisoire ou d'un aménagement de peine. Or, ces décisions reposent sur des traitements automatisés de données personnelles — parfois biométriques — ce qui soulève trois problèmes juridiques majeurs :

1. L'interdiction des décisions automatisées individuelles (article 11 de la directive 2016/680) La directive interdit qu'une décision produisant des effets juridiques défavorables soit fondée exclusivement sur un traitement automatisé. Un score de risque ne peut donc pas, à lui seul, justifier une mise en détention provisoire.

2. Le droit à un procès équitable (article 6 CEDH, article 47 de la Charte des droits fondamentaux de l'UE) L'utilisation d'un algorithme opaque — un "boîte noire" — par un magistrat peut violer le droit du prévenu à connaître les éléments retenus contre lui et à les contester. La Cour européenne des droits de l'homme a posé dans sa jurisprudence que toute preuve utilisée dans une procédure pénale doit pouvoir faire l'objet d'un débat contradictoire effectif.

3. Le principe de non-discrimination algorithmique Les études menées sur les outils de scoring (notamment le rapport de la Commission nationale consultative des droits de l'homme, CNCDH, de 2023) montrent que ces algorithmes peuvent reproduire des biais structurels liés à l'origine sociale ou géographique des mis en cause, ce qui entre en contradiction avec l'article 14 CEDH et le principe d'égalité devant la justice.

Tableau comparatif : régime actuel vs. exigences post-arrêt Comdribus

Implications pratiques

Les parquets et juridictions français doivent revoir leurs pratiques dès maintenant, sous peine d'exposer leurs décisions à des recours fondés sur le droit de l'Union.

Du côté des magistrats et des parquets

L'arrêt Comdribus crée une insécurité juridique immédiate pour les procédures en cours. Tout prévenu condamné pour refus de relevé signalétique peut désormais invoquer l'incompatibilité de l'article 55-1 CPP avec le droit de l'Union. Plus largement, les décisions de mise en détention provisoire ou d'aménagement de peine qui se fonderaient — même partiellement — sur un score algorithmique sont susceptibles d'être contestées devant la Cour d'appel, voire devant la Cour de cassation, sur le fondement de la violation de la directive 2016/680 ou de l'article 6 CEDH.

La Chancellerie (ministère de la Justice) devrait, selon les observateurs, être contrainte de légiférer rapidement pour mettre le droit français en conformité, comme elle l'avait fait après la condamnation de la France dans l'affaire Gardel c. France (CEDH, 17 décembre 2009, req. n° 16428/05) concernant le FNAEG.

Du côté des prévenus et de leurs avocats

L'arrêt ouvre des perspectives de nullités de procédure pour les affaires en cours. Les avocats de la défense peuvent désormais soulever l'illégalité d'une collecte biométrique non justifiée par une nécessité individualisée, ou contester l'opacité d'un outil de scoring utilisé par le parquet. La CJUE a, en outre, rappelé que la charge de la démonstration de la nécessité pèse sur l'autorité publique, et non sur le mis en cause.

Une tension entre efficacité et droits fondamentaux

Il serait inexact de présenter l'arrêt Comdribus comme une victoire sans nuance. Du côté des partisans de la justice prédictive, l'argument est celui de l'efficacité : les outils algorithmiques permettraient de réduire les disparités de traitement entre juridictions, de standardiser l'évaluation des risques et de désengorger les tribunaux. Selon une étude du ministère de la Justice publiée en 2023, le taux de récidive dans les cinq ans suivant une condamnation pour délit atteint 39 % en France — un chiffre qui plaide, pour certains, en faveur d'outils prédictifs. Mais ce même argument peut se retourner : si l'algorithme reproduit les biais du passé judiciaire, il ne prédit pas la récidive future, il perpétue les inégalités présentes.

Points clés à retenir

• L'arrêt CJUE C-371/24 (Comdribus) du 19 mars 2026 interdit la collecte systématique et automatique de données biométriques sur les suspects sans nécessité absolue démontrée au cas par cas.
• L'article 55-1 du Code de procédure pénale est directement visé et devra être mis en conformité avec le droit de l'Union européenne.
• La directive 2016/680 (Police-Justice), transposée aux articles 87 à 104 de la loi Informatique et Libertés, interdit les décisions pénales fondées exclusivement sur un traitement automatisé.
• Un score algorithmique de récidive peut être utilisé comme aide à la décision, mais jamais comme fondement unique d'une mise en détention provisoire ou d'un refus d'aménagement de peine.
• Le droit au contradictoire (article 6 CEDH) impose que le mis en cause puisse connaître et contester la méthodologie de tout outil algorithmique utilisé à son encontre.
• Les prévenus et leurs avocats peuvent dès à présent invoquer l'arrêt Comdribus pour contester des procédures impliquant une collecte biométrique non individualisée ou une décision algorithmique opaque.
• La France risque une procédure d'infraction si elle ne modifie pas rapidement son cadre législatif relatif au relevé signalétique et aux fichiers FAED/FNAEG.

Questions fréquentes

Qu'est-ce que l'arrêt Comdribus de la CJUE du 19 mars 2026 ?

L'arrêt Comdribus (CJUE, 19 mars 2026, C-371/24) est une décision par laquelle la Cour de justice de l'Union européenne a jugé incompatible avec la directive 2016/680 toute législation nationale prévoyant la collecte systématique de données biométriques sur les suspects, sans exiger une nécessité absolue au cas par cas. Il fait suite à une question préjudicielle posée dans une affaire française où un prévenu avait été condamné pour refus de relevé signalétique.

Un juge français peut-il utiliser un algorithme pour décider d'une mise en détention provisoire ?

Non, pas de manière exclusive. La directive 2016/680, transposée en droit français, interdit qu'une décision produisant des effets juridiques défavorables soit fondée uniquement sur un traitement automatisé. Un outil algorithmique peut constituer une aide à la décision, mais le magistrat doit exercer un contrôle humain effectif et motiver sa décision de manière autonome.

Quelles données sont concernées par l'arrêt de la CJUE ?

L'arrêt concerne principalement les données biométriques au sens de l'article 10 de la directive 2016/680 : empreintes digitales, photographies signalétiques et données génétiques (ADN). Ces données sont qualifiées de sensibles et ne peuvent être collectées en matière pénale que si une nécessité absolue est démontrée pour chaque cas individuel.

Peut-on contester une condamnation pour refus de relevé signalétique en France ?

Oui. Depuis l'arrêt Comdribus, toute personne condamnée sur ce fondement peut invoquer l'incompatibilité de l'article 55-1 du Code de procédure pénale avec le droit de l'Union européenne, devant la Cour d'appel ou dans le cadre d'un pourvoi en cassation. Les affaires en cours peuvent également faire l'objet d'une exception d'illégalité.

Qu'est-ce que la directive « Police-Justice » et comment s'applique-t-elle en France ?

La directive 2016/680, dite directive « Police-Justice », encadre le traitement des données personnelles à des fins pénales par les autorités compétentes. En France, elle a été transposée par la loi n° 2018-493 du 20 juin 2018 et figure aux articles 87 à 104 de la loi Informatique et Libertés modifiée. Elle prime sur le RGPD pour les traitements à finalité pénale et soumet les données biométriques à un régime de protection renforcée.

Quels sont les risques pour la France si elle ne modifie pas sa législation ?

La France s'expose à une procédure d'infraction menée par la Commission européenne, ainsi qu'à une multiplication de recours individuels fondés sur la primauté du droit de l'Union. Elle pourrait également être condamnée par la Cour européenne des droits de l'homme pour violation de l'article 8 CEDH (droit au respect de la vie privée), comme cela a déjà été le cas dans l'affaire Gardel c. France (CEDH, 17 décembre 2009) concernant la conservation des données génétiques dans le FNAEG.

Les outils de justice prédictive sont-ils déjà utilisés en France ?

Plusieurs expérimentations sont en cours dans des juridictions françaises, notamment pour l'évaluation du risque de récidive et l'aide à la décision en matière d'aménagement de peines. Ces outils ne font pas encore l'objet d'un cadre législatif dédié, ce qui constitue en soi un problème au regard des exigences de transparence et de base légale posées par la directive 2016/680 et l'article 22 du RGPD.

Comment un avocat peut-il contester un score algorithmique utilisé par le parquet ?

L'avocat peut exiger, au titre du droit au contradictoire (article 6 CEDH), la communication de la méthodologie de l'outil utilisé et des données ayant alimenté le score. Il peut soulever une exception de nullité si la décision repose exclusivement sur le traitement automatisé, ou demander l'exclusion du score comme élément de preuve s'il a été produit en violation de la directive 2016/680. La CNIL, saisie d'une plainte, peut également diligenter un contrôle sur le traitement algorithmique mis en œuvre.