PRESUDA SUDA (veliko vijeće)

21. ožujka 2024.(*)

„Zahtjev za prethodnu odluku – Uredba (EU) 2019/1157 – Jačanje sigurnosti osobnih iskaznica građana Europske unije – Valjanost – Pravna osnova – Članak 21. stavak 2. UFEU‑a – Članak 77. stavak 3. UFEU‑a – Uredba (EU) 2019/1157 – Članak 3. stavak 5. – Obveza država članica da na nosač podataka o osobnim iskaznicama pohrane dva otiska prstiju, u interoperabilnim digitalnim formatima –Članak 7. Povelje Europske unije o temeljnim pravima – Poštovanje privatnog i obiteljskog života – Članak 8. Povelje o temeljnim pravima – Zaštita osobnih podataka – Uredba (EU) 2016/679 – Članak 35. – Obveza provedbe procjene učinka na zaštitu podataka – Održavanje vremenskih učinaka uredbe koja je proglašena nevaljanom”

U predmetu C‑61/22,

povodom zahtjeva za prethodnu odluku na temelju članka 267. UFEU‑a, koji je uputio Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), odlukom od 13. siječnja 2022., koju je Sud zaprimio 1. veljače 2022., u postupku

RL

protiv

Landeshauptstadt Wiesbaden,

SUD (veliko vijeće),

u sastavu: K. Lenaerts, predsjednik, L. Bay Larsen, potpredsjednik, A. Arabadjiev, A. Prechal, E. Regan (izvjestitelj), T. von Danwitz, F. Biltgen i Z. Csehi, predsjednici vijeća, J.-C. Bonichot, S. Rodin, D. Gratsias, M. L. Arastey Sahún i M. Gavalec, suci,

nezavisna odvjetnica: L. Medina,

tajnik: D. Dittert, načelnik odjela,

uzimajući u obzir pisani dio postupka i nakon rasprave održane 14. ožujka 2023.,

uzimajući u obzir očitovanja koja su podnijeli:

–        za osobu RL, W. Achelpöhler, Rechtsanwalt,

–        za njemačku vladu, J. Möller i P.-L. Krüger, u svojstvu agenata,

–        za belgijsku vladu, P. Cottin i A. Van Baelen, u svojstvu agenata, uz asistenciju P. Wytincka, advocaat,

–        za španjolsku vladu, L. Aguilera Ruiz, u svojstvu agenta,

–        za poljsku vladu, B. Majczyna, u svojstvu agenta,

–        za Europski parlament, G. C. Bartram, P. López‑Carceller i J. Rodrigues, u svojstvu agenata,

–        za Vijeće Europske unije, M. França i Z. Šustr, u svojstvu agenata,

–        za Europsku komisiju, H. Kranenborg, E. Montaguti i I. Zaloguin, u svojstvu agenata,

saslušavši mišljenje nezavisne odvjetnice na raspravi održanoj 29. lipnja 2023.,

donosi sljedeću

Presudu

1        Zahtjev za prethodnu odluku odnosi se na valjanost Uredbe (EU) 2019/1157 Europskog parlamenta i Vijeća od 20. lipnja 2019. o jačanju sigurnosti osobnih iskaznica građana Unije i boravišnih isprava koje se izdaju građanima Unije i članovima njihovih obitelji koji ostvaruju pravo na slobodno kretanje (SL 2019., L 188, str. 67.), i to osobito njezina članka 3. stavka 5.

2        Zahtjev je upućen u okviru spora između osobe RL i Landeshauptstadta Wiesbaden (Grad Wiesbaden, glavni grad savezne zemlje, Njemačka) (u daljnjem tekstu: Grad Wiesbaden) u vezi s odlukom potonjeg o odbijanju njezina zahtjeva za izdavanje osobne iskaznice na kojoj nije pohranjen prikaz njezinih otisaka prstiju.

I.      Pravni okvir

A.      Pravo Unije

1.      Uredba 2019/1157

3        Uvodne izjave 1., 2., 4., 5., 17. do 21., 23., 26. do 29., 32., 33., 36., 40. do 42. i 46. Uredbe 2019/1157 glase:

„(1)      Ugovorom [o EU‑u] odlučeno je da se olakša slobodno kretanje osoba, a da se pritom osigura zaštita i sigurnost naroda Europe, uspostavljanjem područja slobode, sigurnosti i pravde, u skladu s odredbama UEU‑a i [UFEU‑a].

(2)      Građanstvo [Europske unije] svakom građaninu daje pravo na slobodno kretanje, podložno određenim ograničenjima i uvjetima. To se pravo provodi na temelju Direktive 2004/38/EZ Europskog parlamenta i Vijeća [od 29. travnja 2004. o pravu građana Unije i članova njihovih obitelji slobodno se kretati i boraviti na državnom području država članica, o izmjeni Uredbe (EEZ) br. 1612/68 i stavljaju izvan snage direktiva 64/221/EEZ, 68/360/EEZ, 72/194/EEZ, 73/148/EEZ, 75/34/EEZ, 75/35/EEZ, 90/364/EEZ, 90/365/EEZ i 93/96/EEZ (SL 2004., L 158, str. 77.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 5., svezak 2., str. 42. i ispravak SL 2016., L 87, str. 36.)]. Člankom 45. Povelje Europske unije o temeljnim pravima ([u daljnjem tekstu: Povelja]) također se predviđa sloboda kretanja i boravka. Sloboda kretanja podrazumijeva pravo napuštanja država članica i ulaska u njih uz važeću osobnu iskaznicu ili putovnicu.

[…]

(4)      Direktivom [2004/38] predviđeno je da države članice mogu donijeti potrebne mjere radi odbijanja, ukidanja ili opoziva prava koja proizlaze iz te direktive u slučaju zlouporabe prava ili prijevare. Krivotvorenje isprava ili pogrešno predstavljanje materijalnih činjenica o uvjetima povezanima s pravom na boravak prepoznati su kao tipični slučajevi prijevare u okviru te direktive.

(5)      Postoje velike razlike u razinama sigurnosti nacionalnih osobnih iskaznica koje izdaju države članice i boravišnih dozvola za građane Unije koji borave u drugoj državi članici i članove njihovih obitelji. Te razlike povećavaju rizik od falsificiranja i krivotvorenja isprava te dovode i do praktičnih poteškoća za građane kada žele ostvariti svoje pravo na slobodno kretanje. Statistički podaci europske mreže za analizu rizika od krivotvorenja isprava pokazuju da se broj slučajeva krivotvorenih osobnih iskaznica s vremenom povećao.

[…]

(17)      Sigurnosna obilježja potrebna su kako bi se provjerila autentičnost isprave i utvrdio identitet osobe. Uspostava minimalnih sigurnosnih standarda i uključenje biometrijskih podataka u osobne iskaznice i boravišne iskaznice članova obitelji koji nisu državljani države članice važni su koraci zbog kojih će njihova upotreba u Uniji postati sigurnija. Uključenje takvih biometrijskih identifikatora trebalo bi omogućiti građanima Unije da u potpunosti koriste svoja prava na slobodno kretanje.

(18)      Pohranjivanje prikaza lica i otisaka dva prsta (‚biometrijski podaci’) na osobnim i boravišnim iskaznicama, kao što je već slučaj kod biometrijskih putovnica i boravišnih dozvola za državljane trećih zemalja, odgovarajuća je kombinacija pouzdane identifikacije i utvrđivanja vjerodostojnosti sa smanjenim rizikom od prijevare, u svrhu jačanja sigurnosti osobnih i boravišnih iskaznica.

(19)      U pravilu, države članice trebale bi radi provjere vjerodostojnosti isprave i identiteta nositelja ponajprije provjeriti prikaz lica, a ako je to potrebno da se nedvojbeno potvrdi vjerodostojnost isprave i identitet nositelja, trebale bi provjeriti i otiske prstiju.

(20)      Države članice trebale bi osigurati da u slučajevima u kojima se provjerom biometrijskih podataka ne potvrdi vjerodostojnost isprave ili identitet njezina nositelja kvalificirano osoblje provede obveznu ručnu provjeru.

(21)      Ova Uredba ne predstavlja pravnu osnovu za uspostavu ili održavanje baza podataka na nacionalnoj razini za pohranu biometrijskih podataka u državama članicama, što je pitanje nacionalnog prava koje treba biti u skladu s pravom Unije o zaštiti podataka. Nadalje, ova Uredba ne predstavlja pravnu osnovu za uspostavu ili održavanje centralizirane baze podataka na razini Unije.

[…]

(23)      Za potrebe ove Uredbe trebalo bi uzeti u obzir specifikacije iz dokumenta 9303 [Organizacije međunarodnog civilnog zrakoplovstva (ICAO)] kojima se osigurava globalna interoperabilnost, među ostalim u odnosu na strojnu čitljivost i upotrebu vizualnog pregleda.

[…]

(26)      Države članice trebale bi osigurati da su uspostavljeni odgovarajući i djelotvorni postupci za prikupljanje biometrijskih identifikatora te da su ti postupci u skladu s pravima i načelima utvrđenima u Povelji, Konvenciji Vijeća Europe za zaštitu ljudskih prava i temeljnih sloboda [potpisanoj u Rimu 4. studenoga 1950.] te Konvenciji Ujedinjenih naroda o pravima djeteta [koju je usvojila Opća skupština Ujedinjenih naroda 20. studenoga 1989. (Zbirka međunarodnih ugovora Ujedinjenih naroda, sv. 1577., str. 3.), i koja je stupila na snagu 2. rujna 1990.]. Države članice trebale bi osigurati da primarna briga tijekom postupka prikupljanja bude najbolji interes djeteta. U tu bi svrhu kvalificirano osoblje trebalo pohađati odgovarajuće osposobljavanje o praksama prikupljanja biometrijskih identifikatora prilagođenima djeci.

(27)      U slučaju poteškoća pri prikupljanju biometrijskih identifikatora države članice trebale bi osigurati da su uspostavljeni odgovarajući postupci kojima se poštuje dostojanstvo osobe čiji se biometrijski identifikatori prikupljaju. Stoga bi trebalo u obzir uzeti posebne potrebe povezane s rodnom perspektivom, kao i posebne potrebe djece i ranjivih osoba.

(28)      Uvođenje minimalnih sigurnosnih standarda i standarda za obrasce osobnih iskaznica trebalo bi državama članicama omogućiti da se pouzdaju u autentičnost tih isprava kada građani Unije ostvaruju svoje pravo na slobodno kretanje. Uvođenje pojačanih sigurnosnih standarda trebalo bi javnim tijelima i privatnim subjektima osigurati dostatna jamstva da se mogu osloniti na autentičnost osobnih iskaznica kada ih građani Unije upotrebljavaju za potrebe identifikacije.

(29)      Razlikovna oznaka u obliku dvoslovne oznake države članice koja izdaje ispravu, otisnuta u negativu u plavom pravokutniku i okružena s 12 žutih zvjezdica, olakšava vizualni pregled isprave, posebno kada nositelj ostvaruje pravo na slobodno kretanje.

[…]

(32)      Države članice trebale bi poduzeti sve potrebne mjere kako bi osigurale da se biometrijskim podacima pravilno identificira osoba kojoj je osobna iskaznica izdana. U tu svrhu države članice mogle bi uzeti u obzir prikupljanje biometrijskih identifikatora, posebno prikaza lica, na način da ih izravno unose nacionalna tijela koja izdaju osobne iskaznice.

(33)      Države članice trebale bi međusobno razmjenjivati takve informacije koje su potrebne za pristup informacijama pohranjenima na sigurnom nosaču podataka, utvrđivanje njihove vjerodostojnosti i njihovu provjeru. Formati koji se koriste za sigurni nosač podataka trebali bi biti interoperabilni, među ostalim i u pogledu automatiziranih graničnih prijelaza.

[…]

(36)      U boravišne isprave koje se izdaju građanima Unije trebalo bi uključiti posebne informacije kojima će se osigurati da su kao takvi prepoznati u svim državama članicama. To bi trebalo olakšati da se građaninu Unije priznaje ostvarivanje njegova prava na slobodno kretanje i prava koja iz toga proizlaze, no usklađivanje ne bi trebalo biti šire od onog što je primjereno za otklanjanje nedostataka postojećih isprava. Države članice mogu odabrati format u kojem se te isprave izdaju i mogle bi ih izdati u formatu koji je u skladu sa specifikacijama iz dokumenta 9303 ICAO‑a.

[…]

(40)      Uredba (EU) 2016/679 Europskog parlamenta i Vijeća [od 27. travnja 2016. o zaštiti pojedinaca u vezi s obradom osobnih podataka i o slobodnom kretanju takvih podataka te o stavljanju izvan snage Direktive 95/46/EZ (Opća uredba o zaštiti podataka) (SL 2016., L 119, str. 1. i ispravci SL 2018., L 127, str. 2. i SL 2021., L 74, str. 35.; u daljnjem tekstu: OUZP)] primjenjuje se u odnosu na osobne podatke koji će se obrađivati u kontekstu primjene ove Uredbe. Potrebno je dodatno odrediti zaštitne mjere koje se primjenjuju na osobne podatke koji se obrađuju, a osobito na osjetljive podatke kao što su biometrijski identifikatori. Ispitanici bi trebali znati da se u njihovim ispravama nalazi nosač podataka na kojem su pohranjeni njihovi biometrijski podaci i kojemu se može pristupiti beskontaktno te bi trebali znati u kojim se sve slučajevima podaci sadržani na njihovim osobnim iskaznicama i boravišnim ispravama upotrebljavaju. Ispitanici bi u svakom slučaju trebali imati pristup osobnim podacima koji su obrađeni na njihovim osobnim iskaznicama i boravišnim ispravama te bi ih trebali moći ispraviti tako da im se izda nova isprava u slučaju da su ti podaci netočni ili nepotpuni. Nosač podataka trebao bi biti visoko siguran, a osobni podaci pohranjeni na njemu učinkovito zaštićeni od neovlaštenog pristupa.

(41)      Države članice trebale bi biti odgovorne za pravilnu obradu biometrijskih podataka, od prikupljanja do integracije podataka na visoko sigurnom nosaču podataka, u skladu s [OUZP‑om].

(42)      Države članice trebale bi postupati s posebnim oprezom tijekom suradnje s vanjskim pružateljem usluga. Takva suradnja ne bi trebala isključivati bilo kakvu odgovornost država članica koja proizlazi iz prava Unije ili nacionalnog prava zbog kršenja obveza u pogledu osobnih podataka.

[…]

(46)      S obzirom na to da ciljeve ove Uredbe, to jest unapređivanje sigurnosti i olakšavanje ostvarivanja prava na slobodno kretanje građana Unije i članova njihovih obitelji, ne mogu dostatno ostvariti države članice, nego se zbog opsega i učinaka djelovanja oni na bolji način mogu ostvariti na razini Unije, Unija može donijeti mjere u skladu s načelom supsidijarnosti utvrđenim u članku 5. [UEU‑a]. U skladu s načelom proporcionalnosti utvrđenim u tom članku, ova Uredba ne prelazi ono što je potrebno za ostvarivanje tih ciljeva.”

4        Člankom 1. Uredbe 2019/1157, naslovljenim „Predmet”, određuje se:

„Ovom Uredbom jačaju se sigurnosni standardi koji se primjenjuju na osobne iskaznice koje države članice izdaju svojim državljanima i boravišne isprave koje države članice izdaju građanima Unije i članovima njihovih obitelji kada ostvaruju svoje pravo slobodnog kretanja u Uniji.”

5        Članak 2. te uredbe naslovljen „Područje primjene” glasi:

„Ova se Uredba primjenjuje na:

(a)      osobne iskaznice koje države članice izdaju svojim državljanima kako je navedeno u članku 4. stavku 3. Direktive [2004/38].

Ova se Uredba ne primjenjuje na osobne isprave koje se izdaju na privremenoj osnovi s rokom važenja kraćim od šest mjeseci;

(b)      potvrde o prijavi koje se u skladu s člankom 8. Direktive [2004/38] izdaju građanima Unije čije je razdoblje boravka u državi članici domaćinu dulje od tri mjeseca i isprave kojima se potvrđuje stalni boravak, a koje se u skladu s člankom 19. Direktive [2004/38] izdaju građanima Unije na zahtjev;

(c)      boravišne iskaznice koje se u skladu s člankom 10. Direktive [2004/38] izdaju članovima obitelji građana Unije koji nisu državljani države članice i iskaznice stalnog boravka koje se u skladu s člankom 20. Direktive [2004/38] izdaju članovima obitelji građana Unije koji nisu državljani države članice.”

6        U članku 3. navedene uredbe, naslovljenom „Sigurnosni standardi/format/specifikacije”, u stavcima 5., 6., 7. i 10. predviđa se:

„5.      Osobne iskaznice sadržavaju visoko siguran nosač podataka na kojem su pohranjeni prikaz lica nositelja iskaznice i dva otiska prstiju, u interoperabilnim digitalnim formatima. Za uzimanje biometrijskih identifikatora države članice primjenjuju tehničke specifikacije kako su utvrđene Provedbenom odlukom Komisije C(2018)7767 [od 30. studenoga 2018. o utvrđivanju tehničkih specifikacija za jedinstveni format boravišnih dozvola za državljane trećih zemalja i stavljanju izvan snage Odluke C(2002)3069].

6.      Nosač podataka ima dostatan kapacitet i sposobnost jamčiti cjelovitost, autentičnost i povjerljivost podataka. Pohranjenim podacima može se pristupiti beskontaktno i oni se osiguravaju kako je predviđeno Odlukom C(2018)7767. Države članice razmjenjuju informacije koje su potrebne za utvrđivanje vjerodostojnosti nosača podataka te za pristup biometrijskim podacima iz stavka 5. i njihovu provjeru.

7.      Djeca mlađa od 12 godina mogu se izuzeti od obveze davanja otisaka prstiju.

Djeca mlađa od 6 godina izuzeta su od obveze davanja otisaka prstiju.

Osobe kod kojih je uzimanje otisaka prstiju fizički nemoguće izuzete su od obveze davanja otisaka prstiju.

[…]

10.      Ako države članice na osobne iskaznice pohranjuju podatke radi mogućnosti korištenja elektroničkim uslugama kao što su e‑uprava i e‑poslovanje, takvi podaci prikupljeni na nacionalnoj razini odvajaju se fizički ili logički od biometrijskih podataka iz stavka 5.”

7        U skladu s člankom 5. iste uredbe, naslovljenim „Postupno ukidanje”:

„1.      Osobne iskaznice koje ne ispunjavaju zahtjeve utvrđene u članku 3. prestaju važiti po njihovu isteku ili 3. kolovoza 2031., ovisno o tome što nastupi ranije.

2.      Odstupajući od stavka 1.:

(a)      Osobne iskaznice koje […] ne sadržavaju funkcionalnu strojno čitljivu zonu, kako je definirana u stavku 3., prestaju važiti po njihovu isteku ili 3. kolovoza 2026., ovisno o tome što nastupi ranije;

[…]

3.      Za potrebe stavka 2., funkcionalna strojno čitljiva zona znači:

(a)      strojno čitljiva zona u skladu s dijelom 3. dokumenta 9303 ICAO‑a; ili

(b)      bilo koja druga strojno čitljiva zona za koju država članica izdavateljica dostavi obavijest o pravilima potrebnima za čitanje i prikazivanje podataka sadržanih u njoj, osim ako neka država članica do 2. kolovoza 2021. obavijesti [Europsku komisiju] da nema kapacitete za čitanje i prikazivanje tih podataka.

[…]”

8        U članku 6. Uredbe 2019/1157, naslovljenom „Minimalne informacije koje treba navesti”, u prvom stavku određuje se:

„Na boravišnim ispravama koje države članice izdaju građanima Unije navodi se najmanje sljedeće:

[…]

(f)      informacije koje je potrebno navesti na potvrdama o prijavi i ispravama kojima se potvrđuje stalni boravak, a koje se izdaju u skladu s člankom 8. odnosno 19. Direktive [2004/38];

[…]”

9        Člankom 10. te uredbe, naslovljenim „Prikupljanje biometrijskih identifikatora”, predviđa se:

„1.      Biometrijske identifikatore prikuplja isključivo kvalificirano i propisno ovlašteno osoblje koje imenuju tijela nadležna za izdavanje osobnih iskaznica ili boravišnih iskaznica, a takvo prikupljanje provodi se u svrhu integracije na visoko siguran nosač podataka predviđen u članku 3. stavku 5. za osobne iskaznice i članku 7. stavku 1. za boravišne iskaznice. Odstupajući od prve rečenice, otiske prstiju prikuplja isključivo kvalificirano i propisno ovlašteno osoblje tih tijela, osim u slučaju zahtjeva podnesenih diplomatskim i konzularnim tijelima države članice.

Kako bi se osigurala podudarnost biometrijskih identifikatora s identitetom podnositelja zahtjeva, podnositelj zahtjeva mora se osobno pojaviti barem jednom tijekom postupka izdavanja za svaki zahtjev.

2.      Države članice osiguravaju da su uspostavljeni odgovarajući i djelotvorni postupci za prikupljanje biometrijskih identifikatora te da su ti postupci u skladu s pravima i načelima utvrđenima u Povelji, Konvenciji za zaštitu ljudskih prava i temeljnih sloboda te Konvenciji Ujedinjenih naroda o pravima djeteta.

U slučaju poteškoća pri prikupljanju biometrijskih identifikatora države članice osiguravaju da su uspostavljeni odgovarajući postupci kojima se poštuje dostojanstvo osobe čiji se biometrijski identifikatori prikupljaju.

3.      Osim ako su potrebni u svrhu obrade u skladu s pravom Unije i nacionalnim pravom, biometrijski identifikatori pohranjeni u svrhu personalizacije osobnih iskaznica ili boravišnih isprava čuvaju se na visoko siguran način i samo do datuma preuzimanja isprave, a u svakom slučaju najdulje 90 dana od datuma izdavanja te isprave. Nakon isteka tog razdoblja biometrijski identifikatori odmah se brišu ili uništavaju.”

10      U članku 11. navedene uredbe, naslovljenom „Zaštita osobnih podataka i odgovornost”, u stavcima 4. i 6. navodi se:

„4.      Suradnja s vanjskim pružateljima usluga ne isključuje bilo kakvu odgovornost države članice koja proizlazi iz prava Unije ili nacionalnog prava zbog kršenja obveza u pogledu osobnih podataka.

[…]

6.      Biometrijski podaci pohranjeni na nosaču podataka na osobnim iskaznicama i boravišnim ispravama upotrebljavaju se samo u skladu s pravom Unije i nacionalnim pravom od strane propisno ovlaštenog osoblja nadležnih nacionalnih tijela i agencija Unije za potrebe provjere:

(a)      autentičnosti osobne iskaznice ili boravišne isprave;

(b)      identiteta nositelja putem izravno dostupnih usporedivih obilježja, ako je davanje osobne iskaznice ili boravišne isprave na uvid propisano zakonom.”

11      U članku 14. iste uredbe, naslovljenom „Dodatne tehničke specifikacije”, u stavcima 1. i 2. određuje se:

„1.      Kako bi se, prema potrebi, osiguralo da su osobne iskaznice i boravišne isprave iz članka 2. točaka (a) i (c) u skladu s budućim minimalnim sigurnosnim standardima, Komisija provedbenim aktima utvrđuje dodatne tehničke specifikacije koje se odnose na sljedeće:

(a)      dodatna sigurnosna obilježja i zahtjeve koji uključuju više standarde zaštite od krivotvorenja i falsificiranja;

(b)      tehničke specifikacije za nosač podataka za biometrijska obilježja iz članka 3. stavka 5. i njihovu sigurnost, uključujući sprečavanje neovlaštenog pristupa i pojednostavljenje provjere;

(c)      zahtjeve u pogledu kvalitete i zajedničke tehničke standarde za prikaz lica i otiske prstiju.

Ti se provedbeni akti donose u skladu s postupkom ocjenjivanja iz članka 15. stavka 2.

2.      U skladu s postupkom iz članka 15. stavka 2., može se odlučiti da specifikacije iz ovog članka budu tajne i da se ne objavljuju. […]”

2.      OUZP

12      U uvodnoj izjavi 51. OUZP‑a navodi se:

„Osobni podaci koji su po svojoj naravi posebno osjetljive prirode u pogledu temeljnih prava i sloboda zaslužuju posebnu zaštitu jer bi u okviru njihove obrade moglo doći do značajnih rizika za temeljna prava i slobode. […] Obradu fotografija ne bi trebalo sustavno smatrati obradom posebnih kategorija osobnih podataka jer su one […] obuhvaćene samo definicijom biometrijskih podataka pri obradi posebnim tehničkim sredstvima kojima se omogućuje jedinstvena identifikacija ili autentifikacija pojedinca. Takvi osobni podaci ne bi se smjeli obrađivati osim ako je obrada dopuštena u posebnim slučajevima navedenima u ovoj Uredbi, uzimajući u obzir da pravom država članica mogu biti propisane posebne odredbe o zaštiti podataka kako bi se prilagodila primjena pravila iz ove Uredbe radi poštovanja pravne obveze ili za obavljanje zadaće koja se obavlja u javnom interesu ili pri izvršavanju službene ovlasti koju ima voditelj obrade. Osim posebnih zahtjeva za takvu obradu, trebala bi se primjenjivati opća načela i druga pravila iz ove Uredbe, posebno u pogledu uvjeta za zakonitu obradu. Odstupanja od opće zabrane obrade takvih posebnih kategorija osobnih podataka trebala bi biti izričito predviđena, među ostalim ako je ispitanik dao svoju izričitu privolu ili u vezi s posebnim potrebama […]”

13      U članku 4. te uredbe, naslovljenom „Definicije”, navodi se:

„Za potrebe ove Uredbe:

[…]

2.      ‚obrada’ znači svaki postupak ili skup postupaka koji se obavljaju na osobnim podacima ili na skupovima osobnih podataka, bilo automatiziranim bilo neautomatiziranim sredstvima kao što su prikupljanje, bilježenje, organizacija, strukturiranje, pohrana, prilagodba ili izmjena, pronalaženje, obavljanje uvida, uporaba, otkrivanje prijenosom, širenjem ili stavljanjem na raspolaganje na drugi način, usklađivanje ili kombiniranje, ograničavanje, brisanje ili uništavanje;

[…]

7.      ,voditelj obrade’ znači fizička ili pravna osoba, tijelo javne vlasti, agencija ili drugo tijelo koje samo ili zajedno s drugima određuje svrhe i sredstva obrade osobnih podataka; kada su svrhe i sredstva takve obrade utvrđeni pravom Unije ili pravom države članice, voditelj obrade ili posebni kriteriji za njegovo imenovanje mogu se predvidjeti pravom Unije ili pravom države članice;

[…]”

14      U članku 9. navedene uredbe, naslovljenom „Obrada posebnih kategorija osobnih podataka”, u stavku 1. određuje se:

„Zabranjuje se obrada osobnih podataka koji otkrivaju rasno ili etničko podrijetlo, politička mišljenja, vjerska ili filozofska uvjerenja ili članstvo u sindikatu te obrada genetskih podataka, biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca, podataka koji se odnose na zdravlje ili podataka o spolnom životu ili seksualnoj orijentaciji pojedinca.”

15      Člankom 35. iste uredbe, naslovljenim „Procjena učinka na zaštitu podataka”, stavcima 1., 3. i 10. određuje se:

„1.      Ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade prije obrade provodi procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka. Jedna procjena može se odnositi na niz sličnih postupaka obrade koji predstavljaju slične visoke rizike.

[…]

3.      Procjena učinka na zaštitu podataka iz stavka 1. obvezna je osobito u slučaju:

(a)      sustavne i opsežne procjene osobnih aspekata u vezi s pojedincima koja se temelji na automatiziranoj obradi, uključujući izradu profila, i na temelju koje se donose odluke koje proizvode pravne učinke koji se odnose na pojedinca ili na sličan način značajno utječu na pojedinca;

(b)      opsežne obrade posebnih kategorija osobnih podataka iz članka 9. stavka 1. ili podataka u vezi s kaznenim osudama i kažnjivim djelima iz članka 10.; ili

(c)      sustavnog praćenja javno dostupnog područja u velikoj mjeri.

[…]

10.      Ako obrada u skladu s člankom 6. stavkom 1. točkom (c) ili (e) ima pravnu osnovu u pravu Unije ili pravu države članice kojem voditelj obrade podliježe, ako se tim pravom uređuju posebni postupci obrade ili skupina dotičnih postupaka te je procjena učinka na zaštitu podataka već provedena kao dio opće procjene učinka u kontekstu donošenja pravne osnove, stavci od 1. do 7. ne primjenjuju se, osim ako države članice smatraju da je potrebno provesti takvu procjenu prije aktivnosti obrade.”

3.      Uredba (EU) 2016/399

16      Člankom 8. Uredbe (EU) 2016/399 Europskog parlamenta i Vijeća od 9. ožujka 2016. o Zakoniku Unije o pravilima kojima se uređuje kretanje osoba preko granica (Zakonik o schengenskim granicama) (SL 2016., L 77, str. 1.), kako je izmijenjena Uredbom (EU) 2017/458 Europskog parlamenta i Vijeća od 15. ožujka 2017. (SL 2017., L 74, str. 1.), stavcima 1. i 2. propisuje se:

„1.      Kretanje preko vanjskih granica podliježe kontrolama službenika graničnog nadzora. Kontrole se provode u skladu s ovim poglavljem.

[…]

2.      Osobe s pravom slobodnog kretanja u skladu s pravom Unije pri ulasku i izlasku podliježu sljedećim kontrolama:

(a)      provjera identiteta i državljanstva osobe te vjerodostojnosti i valjanosti putne isprave za prelazak granice, među ostalim provjerom u relevantnim bazama podataka […]

(b)      provjera da se osoba s pravom slobodnog kretanja u skladu s pravom Unije ne smatra prijetnjom javnom poretku, unutarnjoj sigurnosti, javnom zdravlju ili međunarodnim odnosima bilo koje države članice; […]

Ako postoje sumnje u pogledu vjerodostojnosti putne isprave ili identiteta njezina imatelja, provodi se provjera najmanje jednog od biometrijskih identifikatora integriranih u putovnice i putne isprave izdane u skladu s Uredbom [Vijeća (EZ) br. 2252/2004 od 13. prosinca 2004. o standardima za sigurnosna obilježja i biometrijske podatke u putovnicama i putnim ispravama koje izdaju države članice (SL 2004., L 385, str. 1.) (SL, posebno izdanje na hrvatskom jeziku, poglavlje 1., svezak 2., str. 242.)]. Ako je moguće, takva provjera također se provodi u pogledu putnih isprava koje nisu obuhvaćene tom uredbom.

[…]”

4.      Direktiva 2004/38

17      U članku 4. Direktive 2004/38, naslovljenom „Pravo na izlazak”, u stavcima 1. i 3. određuje se:

„1.      Ne dovodeći u pitanje odredbe o putnim ispravama koje se primjenjuju pri nadzoru državne granice, svi građani Unije s važećom osobnom iskaznicom ili putovnicom te članovi njihovih obitelji koji nisu državljani države članice i koji imaju važeću putovnicu, imaju pravo napustiti državno područje države članice radi putovanja u drugu državu članicu.

[…]

3.      Države članice u skladu sa svojim zakonodavstvom vlastitim državljanima izdaju i produljuju osobnu iskaznicu ili putovnicu u kojima je naznačeno njihovo državljanstvo.”

18      Člankom 5. te direktive, naslovljenim „Pravo na ulazak”, stavkom 1. propisuje se:

„Ne dovodeći u pitanje odredbe o putnim ispravama koje se primjenjuju pri nadzoru državne granice, države članice odobravaju ulazak na svoje državno područje građanima Unije s važećom osobnom iskaznicom ili putovnicom te članovima obitelji koji nisu državljani države članice s važećom putovnicom.

Od građana Unije ne smije se zahtijevati ulazna viza niti jednakovrijedna formalnost.”

19      Člankom 6. navedene direktive, naslovljenim „Pravo na boravak do tri mjeseca”, određuje se:

„1.      Građani Unije imaju pravo na boravak na državnom području druge države članice u razdoblju do tri mjeseca bez bilo kakvih uvjeta ili formalnosti, osim zahtjeva da imaju važeću osobnu iskaznicu ili putovnicu.

2.      Odredbe stavka 1. primjenjuju se i na članove obitelji koji imaju važeću putovnicu, a nisu državljani države članice te su u pratnji građanina Unije ili mu se pridružuju.”

20      Člankom 8. Direktive 2004/38 naslovljenim „Administrativne formalnosti za građane Unije” stavcima 1. i 3. propisuje se:

„1.      Ne dovodeći u pitanje članak 5. stavak 5., ako su razdoblja boravka dulja od tri mjeseca, država članica domaćin može od građana Unije zahtijevati da se prijave kod nadležnih tijela.

[…]

3.      Za izdavanje potvrde o prijavi, država članica smije zahtijevati samo da:

–        građani Unije na koje se primjenjuje članak 7. stavak 1. točka (a) predoče važeću osobnu iskaznicu ili putovnicu, potvrdu poslodavca o zapošljavanju ili potvrdu o radnom odnosu ili dokaz da su samozaposlene osobe,

–        građani Unije na koje se primjenjuje članak 7. stavak 1. točka (b) predoče važeću osobnu iskaznicu ili putovnicu te pruže dokaz da ispunjavaju uvjete utvrđene u toj odredbi,

–        građani Unije na koje se primjenjuje članak 7. stavak 1. točka (c) predoče važeću osobnu iskaznicu ili putovnicu, pruže dokaz o upisu u ovlaštenu ustanovu i dokaz o sveobuhvatnom zdravstvenom osiguranju te izjavu ili jednakovrijedno sredstvo iz članka 7. stavka 1. točke (c). Države članice ne smiju zahtijevati da se u toj izjavi upućuje na bilo koji određeni iznos.”

5.      Međuinstitucijski sporazum

21      U točkama 12., 13. i 14. Međuinstitucijskog sporazuma Europskog parlamenta, Vijeća Europske unije i Europske komisije o boljoj izradi zakonodavstva od 13. travnja 2016. (SL 2016., L 123, str. 1., u daljnjem tekstu: Međuinstitucijski sporazum) navodi se:

„12.      […]

Procjene učinka su instrument koji služi za pomoć trima institucijama u donošenju dobro razmotrenih odluka i nisu zamjena za političke odluke u demokratskom procesu donošenja odluka. […]

Procjene učinka trebale bi obuhvatiti postojanje, razmjer i posljedice problema te pitanje potrebe za djelovanjem Unije. U njima bi se trebala izložiti druga rješenja i, ako je to moguće, potencijalni kratkoročni i dugoročni troškovi i koristi te, s pomoću kvalitativnih i kvantitativnih analiza, na integrirani i uravnotežen način procjenjivati učinci na gospodarstvo, okoliš i društvo. Trebalo bi se u potpunosti poštovati načela supsidijarnosti i proporcionalnosti, kao i temeljna prava. […] Procjene učinka trebale bi se temeljiti na točnim, nepristranim i potpunim informacijama te bi trebale biti razmjerne u odnosu na područje primjene i težište.

13.      Komisija će provoditi procjene učinka svojih zakonodavnih […] inicijativa […] za koje se očekuje da će imati značajne učinke na gospodarstvo, okoliš ili društvo. Uz inicijative uključene u program rada Komisije ili u zajedničku izjavu, kao opće pravilo, bit će priložena procjena učinka.

[…] Konačni rezultati procjena učinka bit će dostupni Europskom parlamentu, Vijeću [Europske unije] i nacionalnim parlamentima te će se objavljivati uz mišljenje/mišljenja Odbora za regulatorni nadzor u trenutku donošenja inicijative Komisije.

14.      [Parlament] i Vijeće će nakon razmatranja zakonodavnih prijedloga Komisije u potpunosti uzeti u obzir procjene učinka Komisije. Stoga se procjene učinka predstavljaju na način da se [Parlamentu] i Vijeću omogući razmatranje odabira Komisije.”

B.      Njemačko pravo

22      Člankom 5. Gesetza über Personalausweise und den elektronischen Identitätsnachweis (Zakon o osobnim iskaznicama i elektroničkim osobnim ispravama) od 18. lipnja 2009. (BGBl. I, str. 1346.), u verziji koja se primjenjuje na činjenice u glavnom postupku (u daljnjem tekstu: PAuswG), naslovljenim „Model osobne iskaznice; pohranjeni podaci”, u stavku 9. propisuje se:

„Dva otiska prstiju podnositelja zahtjeva [za osobnu iskaznicu] koja treba pohraniti na elektronički nosač podataka u skladu s Uredbom [2019/1157] pohranjuju se na elektronički nosač za pohranu i obradu podataka u osobnoj iskaznici u obliku ravnog otiska kažiprsta lijeve i desne ruke. Ako kažiprst nedostaje, ako je kvaliteta otiska prsta nedostatna ili ako na jagodici prsta postoji ozljeda, umjesto toga pohranjuje se ravni otisak palca, srednjeg prsta ili prstenjaka. Otisci prstiju ne pohranjuju se ako je njihovo uzimanje nemoguće zbog zdravstvenih razloga koji nisu privremene prirode.”

23      U skladu s člankom 6. stavcima 1. i 2. PAuswG‑a:

„(1)      Osobne iskaznice izdaju se s rokom važenja od deset godina.

(2)      Prije prestanka važenja osobne iskaznice može se podnijeti zahtjev za izdavanje nove osobne iskaznice ako postoji legitiman interes za njezino izdavanje.”

24      U članku 9. PAuswG‑a, naslovljenom „Izdavanje iskaznice”, u prvoj rečenici stavka 1. navodi se:

„Osobne iskaznice i privremene osobne iskaznice izdaju se na zahtjev Nijemcima u smislu članka 116. stavka 1. Temeljnog zakona.”

25      U članku 28. PAuswG‑a, naslovljenom „Nevaljanost”, u stavku 3. određuje se:

„Nepravilnosti u elektroničkom mediju za pohranu i obradu podataka ne utječu na valjanost osobne iskaznice.”

II.    Glavni postupak i prethodno pitanje

26      Tužitelj iz glavnog postupka je 30. studenoga 2021. od grada Wiesbadena zatražio izdavanje nove osobne iskaznice jer je elektronički čip u njegovoj staroj osobnoj iskaznici bio neispravan. Međutim, zahtijevao je da nova osobna iskaznica ne sadržava njegove otiske prstiju.

27      Grad Wiesbaden odbio je taj zahtjev ističući dva razloga. S jedne strane, tužitelj iz glavnog postupka nije imao pravo na izdavanje nove osobne iskaznice jer je već posjedovao važeću osobnu ispravu. Naime, u skladu s člankom 28. stavkom 3. PAuswG‑a, osobna iskaznica ostaje valjana čak i ako je njezin elektronički čip neispravan. S druge strane i u svakom slučaju, od 2. kolovoza 2021. pohranjivanje dvaju otisaka prstiju na elektronički nosač podataka na osobnim iskaznicama obvezno je na temelju članka 5. stavka 9. PAuswG‑a, kojim se prenosi članak 3. stavak 5. Uredbe 2019/1157.

28      Tužitelj iz glavnog postupka podnio je 21. prosinca 2021. tužbu Verwaltungsgerichtu Wiesbaden (Upravni sud u Wiesbadenu, Njemačka), sudu koji je uputio zahtjev, kako bi se Gradu Wiesbadenu naložilo da mu izda osobnu iskaznicu bez prikupljanja njegovih otisaka prstiju.

29      Sud koji je uputio zahtjev izražava sumnje u pogledu zakonitosti dvaju razloga iz odluke o kojoj je riječ u glavnom postupku. Kad je konkretnije riječ o drugom razlogu, taj je sud sklon smatrati da je valjanost Uredbe 2019/1157, ili barem njezina članka 3. stavka 5., sporna.

30      Kao prvo, sud koji je uputio zahtjev pita se nije li tu uredbu trebalo donijeti na temelju članka 77. stavka 3. UFEU‑a i, slijedom toga, u posebnom zakonodavnom postupku predviđenom tom odredbom, a ne na temelju članka 21. stavka 2. UFEU‑a i primjenom redovnog zakonodavnog postupka. Naime, s jedne strane, u članku 77. stavku 3. UFEU‑a posebno se upućuje na nadležnost Unije za donošenje, među ostalim, odredbi u području osobnih iskaznica te je stoga specifičnija odredba od članka 21. stavka 2. UFEU‑a. S druge strane, u presudi od 17. listopada 2013., Schwarz (C‑291/12, EU:C:2013:670), Sud je presudio da se Uredba br. 2252/2004, u dijelu u kojem se njome utvrđuju standardi za biometrijske podatke u putovnicama, valjano temelji na članku 62. stavku 2. točki (a) UEZ‑a, koji sada odgovara članku 77. stavku 3. UFEU‑a.

31      Kao drugo, sud koji je uputio zahtjev navodi moguće postojanje postupovne povrede u donošenju Uredbe 2019/1157. Naime, kao što je to Europski nadzornik za zaštitu podataka (u daljnjem tekstu: EDPS) istaknuo u svojem mišljenju 7/2018 od 10. kolovoza 2018. o Prijedlogu uredbe o jačanju sigurnosti osobnih iskaznica građana Unije i drugih dokumenata (u daljnjem tekstu: mišljenje 7/2018), uzimanje i pohranjivanje otisaka prstiju obrada je osobnih podataka u pogledu koje se mora provesti procjena učinka na temelju članka 35. stavka 10. OUZP‑a. Međutim, u ovom slučaju takva analiza nije provedena. Konkretnije, dokument priložen navedenom prijedlogu uredbe, naslovljen „Impact assessment”, ne može se smatrati procjenom učinka u smislu te odredbe.

32      Kao treće, sud koji je uputio zahtjev konkretnije se pita o usklađenosti članka 3. stavka 5. Uredbe 2019/1157 s člancima 7. i 8. Povelje, koji se odnose na poštovanje privatnog i obiteljskog života odnosno na zaštitu osobnih podataka. Naime, obveza država članica da izdaju osobne iskaznice čiji nosač podataka sadržava dva otiska prstiju predstavlja ograničenje ostvarivanja prava priznatih tim dvjema odredbama Povelje, koje se može opravdati samo ako ispunjava uvjete iz članka 52. stavka 1. Povelje.

33      S jedne strane, navedeno ograničenje možda ne odgovara cilju u općem interesu. Točno je da je Sud u presudi od 17. listopada 2013., Schwarz (C‑291/12, EU:C:2013:670), priznao da je borba protiv nezakonitih ulazaka državljana trećih zemalja na područje Unije cilj priznat pravom Unije. Međutim, osobna iskaznica nije, kao prvo, putna isprava poput putovnice i njezin je cilj samo omogućiti provjeru identiteta građanina Unije u njegovim odnosima kako s upravnim tijelima tako i s trećim fizičkim osobama.

34      S druge strane, pod pretpostavkom da se navedenom uredbom nastoji postići cilj u općem interesu priznat pravom Unije, postoje sumnje u pogledu proporcionalnosti tog ograničenja. Naime, rješenje koje je Sud prihvatio u presudi od 17. listopada 2013., Schwarz (C‑291/12, EU:C:2013:670) ne može se primijeniti na Uredbu 2019/1157 jer se ono odnosilo na putovnice čije je posjedovanje, za razliku od osobnih iskaznica, u Njemačkoj fakultativno i čija uporaba ima različitu svrhu.

35      Suprotno tomu, iz mišljenja 7/2018 proizlazi da unos i pohrana otisaka prstiju imaju znatan utjecaj koji bi se mogao odnositi na do 370 milijuna građana Unije i potencijalno podvrgnuti 85 % stanovništva Unije obveznom uzimanju otisaka prstiju. Taj znatan utjecaj, u kombinaciji s vrlo osjetljivom prirodom obrađenih podataka (prikaz lica zajedno s dva otiska prstiju), značio bi da je ograničenje ostvarivanja prava zajamčenih člancima 7. i 8. Povelje, koje proizlazi iz obveznog uzimanja otisaka prstiju radi izdavanja osobnih iskaznica, veće nego za putovnice, što bi zauzvrat zahtijevalo snažnije opravdanje i pažljivu provjeru predmetne mjere prema kriteriju stroge nužnosti.

36      U svakom slučaju, nužnost provođenja strogog nadzora proporcionalnosti proizlazi i iz članka 9. stavka 1. OUZP‑a, na temelju kojeg je obrada takvih biometrijskih podataka načelno zabranjena i može se odobriti samo u iznimnim i strogo ograničenim slučajevima.

37      U tom kontekstu, iako sud koji je uputio zahtjev smatra da upotreba biometrijskih podataka smanjuje opasnost od mogućnosti krivotvorenja dokumenta, on dvoji može li sama ta okolnost opravdati opseg ograničenja prava na zaštitu osobnih podataka s obzirom na, osobito, sljedeće razloge.

38      Najprije, EDPS je u svojem mišljenju 7/2018 naglasio da su druge tehnike sigurnosnog tiskanja osobnih isprava, poput holograma ili vodenih žigova, mnogo manje invazivne a da i dalje omogućavaju sprječavanje krivotvorenja tih isprava i provjeru njihove autentičnosti. Osim toga, činjenica da se u njemačkom pravu prihvaća da je osobna iskaznica s neispravnim elektroničkim čipom i dalje valjana dokazuje da fizički elementi, osobito mikrotisak ili pretisak reaktivan na ultraljubičaste zrake, dovoljno jamče sigurnost navedenih iskaznica.

39      Nadalje, člankom 3. stavkom 7. Uredbe 2019/1157 države se članice ovlašćuju da djecu mlađu od dvanaest godina izuzmu iz obveze davanja otisaka prstiju te im se u svakom slučaju nalaže da iz te obveze izuzmu djecu mlađu od šest godina, što dokazuje da uzimanje dvaju otisaka prstiju nije strogo nužno.

40      Usto, člankom 3. stavkom 5. Uredbe 2019/1157 ne poštuje se načelo smanjenja količine podataka, navedeno u članku 5. OUZP‑a, iz kojeg proizlazi da prikupljanje i upotreba osobnih podataka moraju biti primjereni, relevantni i ograničeni na ono što je nužno u odnosu na svrhe u koje se obrađuju. Naime, iako se prikupljanjem dvaju potpunih otisaka prstiju, a ne samo karakterističnih točaka tih otisaka (tzv. minucije), potiče interoperabilnost različitih vrsta sustava, time se također povećava količina pohranjenih osobnih podataka, a time i opasnost od zloupotrebe identiteta u slučaju curenja podataka. Ta opasnost uostalom nije zanemariva jer se elektronički čipovi korišteni u osobnim iskaznicama mogu očitati neovlaštenim skenerima.

41      Naposljetku i u biti, ograničenje ostvarivanja prava zajamčenih člancima 7. i 8. Povelje moglo bi biti nelegitimno jer je EDPS u svojem mišljenju 7/2018 istaknuo da je, kada je Uredba 2019/1157 donesena, broj krivotvorenih osobnih iskaznica bio relativno nizak u odnosu na broj izdanih iskaznica (38 870 krivotvorenih iskaznica utvrđenih između 2013. i 2017.) i da se taj broj već nekoliko godina smanjuje.

42      U tim je okolnostima Verwaltungsgericht Wiesbaden (Upravni sud u Wiesbadenu) odlučio prekinuti postupak i uputiti Sudu sljedeće prethodno pitanje:

„Je li obveza uključenja otisaka prstiju u osobne iskaznice i pohranjivanja u njima u skladu s člankom 3. stavkom 5. Uredbe [2019/1157] u suprotnosti s nadređenim pravom Unije, osobito

(a)      s člankom 77. stavkom 3. UFEU‑a;

(b)      s člancima 7. i 8. [Povelje];

(c)      s člankom 35. stavkom 10. [OUZP‑a],

te je li stoga nevaljana zbog jednog od tih razloga?”

III. O prethodnom pitanju

43      Svojim pitanjem sud koji je uputio zahtjev u biti želi doznati je li ta Uredba 2019/1157 nevaljana, u potpunosti ili djelomično, zbog toga što je, kao prvo, donesena na pogrešnoj pravnoj osnovi, kao drugo, povređuje članak 35. stavak 10. OUZP‑a i, kao treće, povređuje članke 7. i 8. Povelje.

A.      Prvi razlog nevaljanosti, koji se temelji na pogrešnoj pravnoj osnovi

44      Prvi razlog nevaljanosti koji navodi sud koji je uputio zahtjev odnosi se na pitanje je li Uredba 2019/1157, osobito s obzirom na izričito upućivanje na osobne iskaznice u članku 77. stavku 3. UFEU‑a, kao i na rješenje izneseno u presudi od 17. listopada 2013., Schwarz (C‑291/12, EU:C:2013:670), trebala biti donesena na temelju tog članka 77. stavka 3. UFEU‑a i u njime propisanom posebnom zakonodavnom postupku, a ne na temelju članka 21. stavka 2. UFEU‑a, kao što je bio slučaj.

1.      Uvodne napomene

45      U skladu s ustaljenom sudskom praksom, izbor pravne osnove za neki akt Unije mora se temeljiti na objektivnim elementima koji podliježu sudskoj kontroli, među kojima su cilj i sadržaj tog akta (presude od 16. veljače 2022., Mađarska/Parlament i Vijeće, C‑156/21, EU:C:2022:97, t. 107. i od 16. veljače 2022., Poljska/Parlament i Vijeće, C‑157/21, EU:C:2022:98, t. 121.).

46      Osim toga, valja istaknuti da se, ako u Ugovorima postoji određenija odredba koja može biti pravna osnova akta o kojem je riječ, on treba temeljiti na toj odredbi (presude od 6. rujna 2012., Parlament/Vijeće, C‑490/10, EU:C:2012:525, t. 44. i od 8. prosinca 2020., Poljska/Parlament i Vijeće, C‑626/18, EU:C:2020:1000, t. 48. i navedena sudska praksa).

47      Naposljetku, ako analiza akta Unije pokaže da on slijedi više ciljeva ili da ima više sastavnih dijelova i ako se jedan od tih ciljeva ili tih sastavnih dijelova može prepoznati kao glavni ili prevladavajući, a drugi samo kao akcesorni ili izuzetno ograničenog dosega, pravna osnova za donošenje tog akta mora se odrediti u skladu s tim glavnim ciljem ili sastavnim dijelom (vidjeti, u tom smislu, presudu od 20. studenoga 2018., Komisija/Vijeće (ZMP Antarktika), C‑626/15 i C‑659/16, EU:C:2018:925, t. 77. i mišljenje 1/19 (Istanbulska konvencija) od 6. listopada 2021., EU:C:2021:832, t. 286.).

2.      Područje primjene članka 21. stavka 2. UFEU‑a odnosno članka 77. stavka 3. UFEU‑a

48      U članku 21. stavku 2. UFEU‑a navodi se da, ako je potrebno djelovanje Unije kako bi se svakom građaninu Unije zajamčilo pravo slobodno se kretati i boraviti na državnom području država članica i osim ako u Ugovorima u tu svrhu nisu predviđene ovlasti djelovanja, Parlament i Vijeće, odlučujući u skladu s redovnim zakonodavnim postupkom, mogu usvojiti odredbe radi olakšavanja ostvarivanja tih prava.

49      Iz toga proizlazi da se tom odredbom Uniji dodjeljuje opća nadležnost za donošenje odredaba nužnih za olakšavanje ostvarivanja prava građana Unije na slobodno kretanje i boravak na državnom području država članica iz članka 20. stavka 2. točke (a) UFEU‑a, podložno ovlastima djelovanja koje u tu svrhu predviđaju Ugovori.

50      Za razliku od članka 21. stavka 2. UFEU‑a, članak 77. stavak 3. UFEU‑a izričito predviđa takve ovlasti u pogledu donošenja mjera koje se odnose na putovnice, osobne iskaznice, boravišne dozvole ili bilo koje druge slične isprave izdane građanima Unije kako bi se olakšalo ostvarivanje prava iz članka 20. stavka 2. točke (a) UFEU‑a slobodno se kretati i boraviti na državnom području država članica.

51      Točno je da se članak 77. stavak 3. UFEU‑a nalazi u glavi V. tog ugovora, posvećenoj području slobode, sigurnosti i pravde i, konkretnije, u poglavlju 2. te glave, naslovljenom „Politike koje se odnose na graničnu kontrolu, azil i useljavanje”. Međutim, u skladu s člankom 77. stavkom 1. UFEU‑a, Unija razvija politiku čiji je cilj kako osigurati da se osobe pri prijelazu unutarnjih granica, bez obzira na njihovo državljanstvo, ne provjeravaju, tako i obavljanje kontrole osoba i učinkovit nadzor prijelaza vanjskih granica, kao i postupno uvođenje integriranog sustava upravljanja tim granicama. Tako su odredbe koje se odnose na putovnice, osobne iskaznice, boravišne dozvole ili bilo koju drugu sličnu ispravu iz područja nadležnosti predviđenog tim člankom 77. stavkom 3. sastavni dio takve Unijine politike. Naime, što se tiče građana Unije, te im isprave omogućavaju, među ostalim, da dokažu da imaju pravo slobodno se kretati i boraviti na državnom području država članica i da tako ostvare to pravo. Stoga se donošenje mjera koje se odnose na navedene dokumente može temeljiti na navedenom članku 77. stavku 3. ako se pokaže da je takvo djelovanje nužno kako bi se olakšalo ostvarivanje navedenog prava iz članka 20. stavka 2. točke (a) UFEU‑a.

52      To tumačenje materijalnog dosega članka 77. stavka 3. UFEU‑a ne može se dovesti u pitanje ni povijesnim razvojem Ugovorâ u području nadležnosti Unije za donošenje mjera koje se odnose na putovnice, osobne iskaznice, boravišne dozvole i druge slične isprave, na koji se pozivaju Parlament, Vijeće i Komisija, ni okolnošću na koju se poziva njemačka vlada, prema kojoj ta odredba predviđa da se ona primjenjuje „ako se Ugovorima ne predviđaju potrebne ovlasti”.

53      Točno je da je Lisabonskim ugovorom ukinuta odredba koja je prethodno postojala u članku 18. stavku 3. UEZ‑a, kojom se izričito isključivala mogućnost da se zakonodavac Unije koristi člankom 18. stavkom 2. UEZ‑a (koji je postao članak 21. stavak 2. UFEU‑a) kao pravnom osnovom za donošenje kako „odredbi koje se odnose na putovnice, osobne iskaznice, boravišne dozvole ili bilo koju drugu sličnu ispravu” tako i „odredbi koje se odnose na socijalnu sigurnost ili socijalnu zaštitu”. Međutim, taj je ugovor istodobno Uniji izričito dodijelio ovlast za djelovanje u tim dvama područjima, to jest, s jedne strane, u članku 21. stavku 3. UFEU‑a u pogledu socijalne sigurnosti i socijalne zaštite i, s druge strane, u članku 77. stavku 3. UFEU‑a što se tiče odredbi koje se odnose na putovnice, osobne iskaznice, boravišne dozvole ili bilo koju drugu sličnu ispravu te je za donošenje mjera u navedenim područjima propisao posebni zakonodavni postupak, a posebice jednoglasnost Vijeća.

54      U tim okolnostima, iz ukidanja odredbe koja je prethodno postojala u članku 18. stavku 3. UEZ‑a ne može se zaključiti da je sada „odredbe koje se odnose na putovnice, osobne iskaznice, boravišne dozvole ili bilo koju drugu sličnu ispravu” moguće donijeti na temelju članka 21. stavka 2. UFEU‑a. Naprotiv, iz povijesnog razvoja proizlazi da su autori Ugovorâ člankom 77. stavkom 3. UFEU‑a namjeravali Uniji dodijeliti nadležnost za donošenje takvih odredbi čiji je cilj olakšati ostvarivanje prava na slobodno kretanje i boravak na državnom području država članica, zajamčeno člankom 20. stavkom 2. točkom (a) UFEU‑a, koja je posebnija nego što je to općenitija nadležnost predviđena tim člankom 21. stavkom 2.

55      Osim toga, navod iz članka 77. stavka 3. UFEU‑a prema kojem se ta odredba primjenjuje „ako Ugovorima nisu predviđene potrebne ovlasti” mora se, s obzirom na opću strukturu UFEU‑a, shvatiti na način da ovlasti na koje se misli nisu one dodijeljene nekom odredbom koja ima općenitiji doseg, poput članka 21. stavka 2. UFEU‑a, nego one dodijeljene posebnijom odredbom.

56      Stoga se donošenje Uredbe 2019/1157 moglo temeljiti na članku 21. stavku 2. UFEU‑a samo pod uvjetom da se glavni ili prevladavajući cilj ili sastavni dio te uredbe nalazi izvan posebnog područja primjene članka 77. stavka 3. UFEU‑a, to jest izdavanja putovnica, osobnih iskaznica, boravišnih dozvola ili bilo koje druge slične isprave radi olakšavanja ostvarivanja prava iz članka 20. stavka 2. točke (a) UFEU‑a.

3.      Glavni ili prevladavajući cilj ili sastavni dio Uredbe 2019/1157

57      Kao prvo, što se tiče cilja Uredbe 2019/1157, u njezinu članku 1. navodi se da je njezin cilj jačanje sigurnosnih standarda koji se primjenjuju na osobne iskaznice koje države članice izdaju svojim državljanima i boravišne isprave koje države članice izdaju građanima Unije i članovima njihovih obitelji kada ostvaruju svoje pravo slobodnog kretanja u Uniji.

58      U istom smislu uvodna izjava 46. te uredbe navodi da su njezini ciljevi „unapređivanje sigurnosti” tih putnih i osobnih isprava i „olakšavanje ostvarivanja prava na slobodno kretanje građana Unije i članova njihovih obitelji”, što potvrđuju i uvodne izjave 1., 2., 5., 17., 28., 29. i 36. navedene uredbe.

59      Kao drugo, što se tiče sadržaja Uredbe 2019/1157, valja istaknuti da ona sadržava šesnaest članaka. U člancima 1. i 2. te uredbe definiraju se njezin predmet i područje primjene. Člancima 3., 4. te 6. i 7. navedene uredbe, koji čine njezine sastavne dijelove, utvrđuju se, među ostalim, zahtjevi u pogledu sigurnosti, sadržaja, oblika ili specifikacija koje moraju ispunjavati osobne iskaznice i boravišne isprave koje izdaju države članice, dok članci 5. i 8. iste uredbe predviđaju postupno ukidanje osobnih iskaznica i boravišnih iskaznica koje ne ispunjavaju njome utvrđene zahtjeve. Naposljetku, člancima 9. do 16. Uredbe 2019/1157 pojašnjava se način na koji treba provesti njome predviđene obveze, osobito u pogledu prikupljanja biometrijskih identifikatora i zaštite osobnih podataka.

60      Točno je da se u članku 2. Uredbe 2019/1157 navodi da se ona ne primjenjuje samo na osobne iskaznice koje države članice izdaju svojim državljanima, nego i na potvrde o prijavi koje se u skladu s člankom 8. Direktive 2004/38 izdaju građanima Unije čije je razdoblje boravka u državi članici domaćinu dulje od tri mjeseca i isprave kojima se potvrđuje stalni boravak izdane u skladu s člankom 19. te direktive 2004/38, koje su potvrde i dokumenti koji se ne mogu smatrati osobnim iskaznicama, putovnicama ili boravišnim ispravama. Međutim, Uredba 2019/1157 ne sadržava nijednu odredbu kojom se uređuju te potvrde te se u njezinu članku 6. prvom stavku točki (f) samo navodi da boravišne isprave koje države članice izdaju građanima Unije moraju sadržavati informacije koje je potrebno navesti na potvrdama o prijavi i ispravama kojima se potvrđuje stalni boravak, a koje se izdaju u skladu s člankom 8. odnosno člankom 19. Direktive 2004/38. Posljedično, valja smatrati da cilj i sastavni dio te uredbe koji su povezani s tim potvrdama imaju iznimno ograničen doseg, zbog čega se pravna osnova navedene uredbe ne može odrediti s obzirom na taj cilj ili taj sastavni dio.

61      U tim okolnostima, iz glavnog cilja i sastavnih dijelova Uredbe 2019/1157 proizlazi da se ona nalazi među aktima koji ulaze u posebno područje primjene članka 77. stavka 3. UFEU‑a, kako je utvrđeno u točkama 48. do 51. ove presude.

62      Posljedično, time što je donio Uredbu 2019/1157 na temelju članka 21. stavka 2. UFEU‑a, zakonodavac Unije povrijedio je članak 77. stavak 3. UFEU‑a i primijenio neodgovarajući zakonodavni postupak.

63      Iz toga slijedi da prvi razlog nevaljanosti koji navodi sud koji je uputio zahtjev, koji se temelji na tome da je Uredba 2019/1157 pogrešno donesena na temelju članka 21. stavka 2. UFEU‑a i u redovnom zakonodavnom postupku, može dovesti do nevaljanosti te uredbe.

B.      Drugi razlog nevaljanosti, koji se temelji na nepoštovanju članka 35. stavka 10. OUZP‑a

64      Navodi se da se drugi razlog nevaljanosti na koji se poziva sud koji je uputio zahtjev temelji na tome da je Uredba 2019/1157 donesena a da nije provedena procjena učinka na zaštitu podataka, protivno članku 35. stavku 10. OUZP‑a.

65      U tom je pogledu važno istaknuti da se člankom 35. stavkom 1. OUZP‑a određuje da, ako je vjerojatno da će neka vrsta obrade, osobito putem novih tehnologija i uzimajući u obzir prirodu, opseg, kontekst i svrhe obrade, prouzročiti visok rizik za prava i slobode pojedinaca, voditelj obrade prije obrade mora provesti procjenu učinka predviđenih postupaka obrade na zaštitu osobnih podataka. Člankom 35. stavkom 3. te uredbe pojašnjava se da je takva procjena obvezna u slučaju opsežne obrade posebnih kategorija podataka iz članka 9. stavka 1. navedene uredbe, poput biometrijskih podataka u svrhu jedinstvene identifikacije pojedinca.

66      Budući da se u ovom slučaju samom Uredbom 2019/1157 ne provode nikakvi postupci koji se primjenjuju na podatke ili skupove osobnih podataka, nego se njome samo predviđa da države članice provode određene obrade u slučaju zahtjeva za osobnu iskaznicu, valja utvrditi da donošenje te uredbe nije bilo uvjetovano prethodnom provedbom procjene učinka predviđenih postupaka obrade u smislu članka 35. stavka 1. OUZP‑a. Člankom 35. stavkom 10. te uredbe uvodi se odstupanje od članka 35. stavka 1. navedene uredbe.

67      Iz toga slijedi da, s obzirom na to da se, kao što to proizlazi iz prethodno navedenog, članak 35. stavak 1. OUZP‑a nije mogao primijeniti prilikom donošenja Uredbe 2019/1157, tim se donošenjem nije mogao povrijediti članak 35. stavak 10. Uredbe 2016/679.

68      S obzirom na prethodno navedeno, drugi razlog, koji se temelji na povredi članka 35. stavka 10. OUZP‑a, ne može dovesti do nevaljanosti Uredbe 2019/1157.

C.      Treći razlog nevaljanosti, koji se temelji na neusklađenosti članka 3. stavka 5. Uredbe 2019/1157 s člancima 7. i 8. Povelje

69      Treći razlog nevaljanosti Uredbe 2019/1157 koji navodi sud koji je uputio zahtjev odnosi se na pitanje dovodi li obveza uključivanja dvaju potpunih otisaka prstiju u nosač podataka na osobnim iskaznicama koje izdaju države članice, predviđena člankom 3. stavkom 5. te uredbe, do neopravdanog ograničenja prava zajamčenih člancima 7. i 8. Povelje.

1.      Postojanje ograničenja

70      Člankom 7. Povelje određuje se, među ostalim, da svatko ima pravo na poštovanje svojeg privatnog života. Što se tiče članka 8. stavka 1., u njemu se navodi da svatko ima pravo na zaštitu osobnih podataka koji se na njega ili nju odnose. Iz tih odredaba promatranih zajedno proizlazi da načelno svaka obrada osobnih podataka koju provede treća osoba može značiti zadiranje u navedena prava (presuda od 17. listopada 2013., Schwarz, C‑291/12, EU:C:2013:670, t. 25.).

71      U ovom slučaju, člankom 3. stavkom 5. Uredbe 2019/1157 određuje se da visoko siguran nosač podataka koji mora biti ugrađen u osobne iskaznice koje države članice izdaju vlastitim državljanima mora sadržavati biometrijske podatke, to jest prikaz lica i dva otiska prstiju u interoperabilnim digitalnim formatima.

72      Na temelju takvih osobnih podataka može se precizno identificirati fizičke osobe o kojima je riječ i oni su osobito osjetljivi zbog znatnih opasnosti za temeljna prava i slobode do kojih njihova upotreba može dovesti, kao što to osobito proizlazi iz uvodne izjave 51. OUZP‑a, uredbe koja se primjenjuje na podatke o kojima je riječ, kao što na to podsjeća uvodna izjava 40. Uredbe 2019/1157.

73      Slijedom toga je obveza uključivanja dvaju otisaka prstiju u nosač podataka na osobnim iskaznicama, propisana člankom 3. stavkom 5. Uredbe 2019/1157, ograničenje kako prava na poštovanje privatnog života tako i prava na zaštitu osobnih podataka, sadržanih u člancima 7. odnosno 8. Povelje.

74      Osim toga, ta obveza podrazumijeva prethodno provođenje dvaju uzastopnih postupaka obrade osobnih podataka, to jest prikupljanje navedenih otisaka od osobe o kojoj je riječ i zatim njihovo privremeno pohranjivanje u svrhu personalizacije osobnih iskaznica, pri čemu su ti postupci uređeni člankom 10. navedene uredbe. Navedeni postupci čine također ograničenje prava iz članaka 7. i 8. Povelje.

2.      Opravdanje ograničenja

75      Kao što to proizlazi iz ustaljene sudske prakse, pravo na poštovanje privatnog života i pravo na zaštitu osobnih podataka, zajamčena člancima 7. odnosno 8. Povelje, nisu apsolutna prava, nego ih valja razmatrati s obzirom na njihovu funkciju u društvu (vidjeti u tom smislu presudu od 20. rujna 2022., SpaceNet i Telekom Deutschland, C‑793/19 i C‑794/19, EU:C:2022:702, t. 63.).

76      Stoga se ta prava mogu ograničiti pod uvjetom da su, u skladu s člankom 52. stavkom 1. prvom rečenicom Povelje, ta ograničenja predviđena zakonom i da poštuju bit tih prava. Osim toga, prema drugoj rečenici tog stavka, takva su ograničenja moguća uz poštovanje načela proporcionalnosti samo ako su nužna i ako doista odgovaraju ciljevima u općem interesu koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba. U tom se pogledu u članku 8. stavku 2. Povelje pojašnjava da se osobni podaci moraju obrađivati, među ostalim, „u utvrđene svrhe i na temelju suglasnosti osobe o kojoj je riječ, ili na nekoj drugoj legitimnoj osnovi utvrđenoj zakonom”.

a)      Poštovanje načela zakonitosti

77      Što se tiče zahtjeva iz članka 52. stavka 1. prve rečenice Povelje prema kojem svako ograničavanje ostvarivanja temeljnih prava mora biti predviđeno zakonom, valja podsjetiti na to da se tim zahtjevom podrazumijeva da se u samom aktu kojim se dopušta zadiranje u ta prava mora definirati doseg ograničavanja ostvarivanja dotičnog prava, pri čemu valja pojasniti, s jedne strane, da taj zahtjev ne isključuje da to ograničenje bude dovoljno široko formulirano da se može prilagoditi različitim slučajevima i promjenama situacija i da, s druge strane, Sud može, po potrebi, tumačenjem pojasniti konkretan doseg ograničavanja s obzirom na sami tekst predmetnog propisa Unije kao i s obzirom na njegovu opću strukturu i ciljeve koji se njime nastoje postići, kako se tumače s obzirom na temeljna prava zajamčena Poveljom (presuda od 21. lipnja 2022., Ligue des droits humains, C‑817/19, EU:C:2022:491, t. 114.).

78      U ovom slučaju, ograničenja ostvarivanja temeljnih prava zajamčenih člancima 7. i 8. Povelje koja proizlaze iz obveze uključivanja dvaju potpunih otisaka prstiju u nosač podataka na osobnim iskaznicama koje izdaju države članice kao i uvjeti primjene i doseg tih ograničenja jasno su i precizno definirani člankom 3. stavkom 5. i člankom 10. stavcima 1. i 3. Uredbe 2019/1157, koje je zakonodavac Unije donio u redovnom zakonodavnom postupku i čiji će se učinci održati na snazi ovom presudom.

79      Slijedom toga, navedena ograničenja ostvarivanja temeljnih prava zajamčenih člancima 7. i 8. Povelje poštuju načelo zakonitosti iz članka 52. stavka 1. prve rečenice Povelje.

b)      Poštovanje bitnog sadržaja temeljnih prava zajamčenih člancima 7. i 8. Povelje

80      Valja utvrditi da informacije dobivene putem otisaka prstiju same po sebi ne omogućavaju uvid u privatni i obiteljski život osoba o kojima je riječ.

81      U tim okolnostima ograničenje koje sa sobom nosi obveza uključivanja dvaju otisaka prstiju u nosač podataka na osobnim iskaznicama koje izdaju države članice, predviđena u članku 3. stavku 5. Uredbe 2019/1157, ne ugrožava bitan sadržaj temeljnih prava propisanih člancima 7. i 8. Povelje (vidjeti po analogiji presudu od 21. lipnja 2022., Ligue des droits humains, C‑817/19, EU:C:2022:491, t. 120.).

c)      Poštovanje načela proporcionalnosti

82      Kao što to proizlazi iz članka 52. stavka 1. druge rečenice Povelje, da bi se ostvarivanje njome utvrđenih temeljnih prava moglo ograničiti uz poštovanje načela proporcionalnosti, ta ograničenja moraju biti nužna i zaista odgovarati ciljevima u općem interesu koje priznaje Unija ili potrebi zaštite prava i sloboda drugih osoba.

83      Konkretnije, izuzeća od zaštite osobnih podataka kao i njezina ograničenja moraju se kretati u granicama onoga što je strogo nužno, pri čemu kada postoji izbor između više prikladnih mjera za ostvarenje željenih legitimnih ciljeva, valja upotrijebiti najmanje ograničavajuću mjeru. Usto, cilj u općem interesu ne može se legitimno postići a da se u obzir ne uzme činjenica da se on mora pomiriti s temeljnim pravima na koja se odnosi mjera o kojoj je riječ, tako da se pravilno odvagne, s jedne strane, cilj u općem interesu i, s druge strane, prava o kojima je riječ, kako bi se osiguralo da nepovoljnosti uzrokovane tom mjerom nisu neproporcionalne u odnosu na ciljeve koji se žele postići. Tako, mogućnost opravdavanja ograničenja prava zajamčenih člancima 7. i 8. Povelje treba ocijeniti tako da se odmjeri ozbiljnost zadiranja takvog ograničenja i provjeri je li važnost cilja u općem interesu koji se nastoji postići tim ograničenjem povezana s tom ozbiljnošću (presuda od 22. studenoga 2022., Luxembourg Business Registers, C‑37/20 i C‑601/20, EU:C:2022:912, t. 64. i navedena sudska praksa).

84      Slijedom toga, kako bi se provjerilo poštuje li se u ovom slučaju pri zadiranju u prava zajamčena člancima 7. i 8. Povelje koje proizlazi iz obveze uključivanja dvaju otisaka prstiju u nosač podataka na osobnim iskaznicama – predviđene u članku 3. stavku 5. Uredbe 2019/1157 – načelo proporcionalnosti, valja ispitati, kao prvo, slijedi li se tom mjerom jedan ili više ciljeva u općem interesu koje priznaje Unija i je li ona stvarno prikladna za ostvarenje tih ciljeva, kao drugo, jesu li zadiranja koja iz toga proizlaze ograničena na ono što je strogo nužno, u smislu da se navedeni ciljevi razumno ne bi mogli jednako učinkovito postići drugim sredstvima kojima se manje zadire u ta temeljna prava osoba o kojima je riječ i, kao treće, jesu li navedena zadiranja neproporcionalna u odnosu na ciljeve, što uključuje, posebice, odvagivanje tih ciljeva s ozbiljnošću navedenih zadiranja (vidjeti u tom smislu presude od 22. studenoga 2022., Luxembourg Business Registers, C‑37/20 i C‑601/20, EU:C:2022:912, t. 66. i od 8. prosinca 2022., Orde van Vlaamse Balies i dr., C‑694/20, EU:C:2022:963, t. 42.).

1)      Ostvarivanje jednog ili više ciljeva u općem interesu koje priznaje Unija i prikladnost mjere za postizanje tih ciljeva

i)      Pitanje jesu li ciljevi koji se nastoje ostvariti mjerom o kojoj je riječ u općem interesu

85      U skladu s njezinim člankom 1., cilj je Uredbe 2019/1157 ojačati sigurnosne standarde koji se primjenjuju, među ostalim, na osobne iskaznice koje države članice izdaju svojim državljanima kada ostvaruju svoje pravo slobodnog kretanja.

86      Konkretnije i kao što to proizlazi iz uvodnih izjava 4., 5., 17. do 20. i 32. Uredbe 2019/1157, cilj je uključivanja biometrijskih podataka, među kojima su dva potpuna otiska prstiju, u nosač podataka na osobnim iskaznicama osigurati autentičnost navedenih iskaznica i omogućiti pouzdanu identifikaciju njihova nositelja, pri čemu se, u skladu s uvodnim izjavama 23. i 33. te člankom 3. stavkom 5. te uredbe, pridonosi interoperabilnosti sustava provjere osobnih isprava kako bi se smanjio rizik od falsificiranja i krivotvorenja isprava.

87      Sud je već imao priliku u pogledu izdavanja putovnica (vidjeti u tom smislu presudu od 17. listopada 2013., Schwarz, C‑291/12, EU:C:2013:670, t. 36. do 38.) i uspostave identifikacijske baze podataka za državljane trećih zemalja (vidjeti u tom smislu presudu od 3. listopada 2019., A i dr., C‑70/18, EU:C:2019:823, t. 46. i navedenu sudsku praksu) presuditi da je borba protiv krivotvorenja isprava, koja obuhvaća, među ostalim, borbu protiv izrade lažnih osobnih iskaznica i zloupotrebe identiteta, cilj u općem interesu koji priznaje Unija.

88      Što se tiče cilja interoperabilnosti sustava provjere osobnih isprava, i on je takve prirode jer, kao što to proizlazi iz uvodne izjave 17. Uredbe 2019/1157, pridonosi tomu da se građanima Unije olakša ostvarivanje prava koje im priznaje članak 20. UFEU‑a na slobodno kretanje i boravak na državnom području država članica.

ii)    Prikladnost mjere o kojoj je riječ da učinkovito ispuni postavljene ciljeve u općem interesu

89      U ovom slučaju, uključivanje dvaju potpunih otisaka prstiju u nosač podataka na osobnim iskaznicama jest prikladno za ostvarenje ciljeva u općem interesu koji se sastoje od borbe protiv izrade lažnih osobnih iskaznica i zloupotrebe identiteta kao i interoperabilnosti sustava provjere, koje je zakonodavac Unije istaknuo kako bi opravdao tu mjeru.

90      Naime, prije svega, uključivanje biometrijskih podataka, poput otisaka prstiju, u osobne iskaznice može otežati izradu lažnih osobnih iskaznica, s obzirom na to da se, među ostalim, u skladu s člankom 3. stavkom 5. Uredbe 2019/1157 u vezi s člankom 14. stavcima 1. i 2. te uredbe, takvi podaci moraju pohraniti u skladu s preciznim tehničkim specifikacijama i da se mogu čuvati u tajnosti.

91      Nadalje, uključivanje takvih biometrijskih podataka sredstvo je kojim se, u skladu s člankom 11. stavkom 6. i uvodnim izjavama 18. i 19. Uredbe 2019/1157, omogućava pouzdana provjera autentičnosti osobne iskaznice i identiteta nositelja iskaznice i na taj način smanjuje rizik od prijevare.

92      Naposljetku, čini se da je izbor zakonodavca Unije da propiše uključivanje potpunih otisaka prstiju također prikladan za postizanje cilja interoperabilnosti sustava provjere osobnih iskaznica jer se uporabom potpunih otisaka prstiju osigurava usklađenost sa svim automatskim sustavima za identifikaciju otisaka prstiju kojima se koriste države članice, čak i ako takvi sustavi ne upotrebljavaju nužno isti mehanizam identifikacije.

93      Sud koji je uputio zahtjev također primjećuje da članak 3. stavak 7. Uredbe 2019/1157 u svojem prvom podstavku dopušta državama članicama da od uzimanja otisaka prstiju izuzmu, među ostalim, djecu mlađu od dvanaest godina te im čak, u svojem drugom podstavku, nalaže da od tog uzimanja izuzmu djecu mlađu od šest godina.

94      Točno je da je zakonodavstvo prikladno za jamčenje ostvarenja navedenog cilja samo ako mjere koje propisuje stvarno odražavaju nastojanje da on bude ostvaren te ako se provode dosljedno i sustavno (vidjeti po analogiji presudu od 5. prosinca 2023., Nordic Info, C‑128/22, EU:C:2023:951, t. 84. i navedenu sudsku praksu).

95      Međutim, Uredba 2019/1157 ispunjava taj zahtjev iako se njome predviđaju izuzeća od obveze uzimanja otisaka prstiju djece s obzirom na to da se, kao što to proizlazi iz njezine uvodne izjave 26., tim izuzećima nastoji uzeti u obzir najbolji interes djeteta.

96      Isto vrijedi i za pravilo navedeno u članku 5. Uredbe 2019/1157, prema kojem osobne iskaznice koje ne ispunjavaju zahtjeve iz članka 3. te uredbe prestaju važiti tek po njihovu isteku ili najkasnije 3. kolovoza 2031. Naime, zakonodavac Unije mogao je smatrati da je takvo prijelazno razdoblje prikladno kako bi se izbjeglo opterećivanje država članica teretom izdavanja novih osobnih iskaznica za sve dotične osobe u vrlo kratkom razdoblju, a da se pritom ne dovede u pitanje dugoročna učinkovitost mjera predviđenih tom uredbom.

97      Što se tiče okolnosti da određene države članice u svojem zakonodavstvu predviđaju da osobne iskaznice koje izdaju ostaju valjane unatoč neispravnosti elektroničkog nosača podataka, dovoljno je istaknuti da su takva zakonodavstva u skladu s Uredbom 2019/1157 samo ako prijelazno razdoblje navedeno u prethodnoj točki nije isteklo.

2)      Nužnost mjere o kojoj je riječ radi ostvarenja postavljenih ciljeva u općem interesu

98      Što se tiče, kao prvo, samog načela da se otisci prstiju uključe u nosač podataka na osobnim iskaznicama, valja utvrditi da su otisci prstiju pouzdana i djelotvorna sredstva za utvrđivanje identiteta osobe sa sigurnošću i da je postupak koji se koristi za prikupljanje tih otisaka jednostavno provesti.

99      Konkretnije, kao što je to istaknula nezavisna odvjetnica u točki 90. svojeg mišljenja, samo unošenje prikaza lica bilo bi manje učinkovito sredstvo identifikacije od unošenja, uz taj prikaz, dvaju otisaka prstiju jer starenje, način života, bolest ili estetski ili rekonstrukcijski kirurški zahvat mogu izmijeniti anatomske značajke lica.

100    Točno je da je Komisija u procjeni učinka koju je provela i koja se nalazi u prilogu prijedlogu uredbe na temelju kojeg je donesena Uredba 2019/1157 navela da treba dati prednost mogućnosti da se uključivanje dvaju otisaka prstiju u nosač podataka na osobnim iskaznicama ne učini obveznim.

101    Međutim, osim što je sama Komisija odlučila da neće unijeti tu mogućnost u svoj zakonodavni prijedlog, valja utvrditi da, iako se u točki 14. Međuinstitucijskog sporazuma predviđa da Parlament i Vijeće prilikom ispitivanja Komisijinih zakonodavnih prijedloga moraju u potpunosti uzeti u obzir Komisijine procjene učinka, u točki 12. istog sporazuma navodi se da su takve procjene „instrument koji služi za pomoć trima institucijama u donošenju dobro razmotrenih odluka i nisu zamjena za političke odluke u demokratskom procesu donošenja odluka”. Slijedom toga, iako Parlament i Vijeće moraju uzeti u obzir Komisijine procjene učinka, oni ipak nisu vezani njihovim sadržajem, osobito kad je riječ o ocjenama koje se u njima nalaze (vidjeti u tom smislu presudu od 21. lipnja 2018., Poljska/Parlament i Vijeće, C‑5/16, EU:C:2018:483, t. 159. i navedenu sudsku praksu).

102    Posljedično, sama činjenica da je Unijin zakonodavac donio drukčiju mjeru koja je, ovisno o slučaju, više ograničavajuća od mjere preporučene u procjeni učinka, ne dokazuje da je on očito prekoračio granice onoga što je nužno za ostvarenje cilja koji se nastoji postići (vidjeti u tom smislu presudu od 4. svibnja 2016., Pillbox 38, C‑477/14, EU:C:2016:324, t. 65.).

103    U ovom slučaju, u procjeni učinka koju je provela Komisija utvrđeno je da je propisivanje obveze uključivanja otisaka prstiju u nosač podataka na osobnim iskaznicama najdjelotvornije za postizanje posebnog cilja borbe protiv izrade lažnih osobnih iskaznica i poboljšanja utvrđivanja vjerodostojnosti isprava. U tim se okolnostima odabirom da se takvo uključivanje ne učini obveznim ni u kojem slučaju ne može dovesti u pitanje nužnost, u smislu sudske prakse navedene u točki 84. ove presude, mjere koju je donio Unijin zakonodavac.

104    Kao drugo, što se tiče uključivanja cjelovitih dvaju otisaka prstiju, a ne samo nekih od karakterističnih točaka tih otisaka (tzv. minucije), s jedne strane, kao što je to istaknula nezavisna odvjetnica u točki 93. svojeg mišljenja, minucije ne pružaju ista jamstva kao potpuni otisak. S druge strane, uključivanje potpunog otiska nužno je za interoperabilnost sustava provjere osobnih isprava, što je jedan od osnovnih ciljeva koji se žele postići. Naime, kao što to proizlazi iz točke 47. mišljenja 7/2018 i kao što to također naglašava sud koji je uputio zahtjev, države članice upotrebljavaju različite tehnologije za identificiranje otisaka prstiju pa bi uključivanje u nosač podataka osobne iskaznice samo nekih obilježja otiska prstiju dovelo do ugrožavanja postizanja cilja interoperabilnosti sustava provjere osobnih isprava koji se nastoji postići Uredbom 2019/1157.

105    Iz prethodnih razmatranja proizlazi da ograničenja temeljnih prava zajamčenih člancima 7. i 8. Povelje koja proizlaze iz obveze uključivanja dvaju potpunih otisaka prstiju u nosač podataka poštuju granice onog što je strogo nužno.

3)      Postojanje odvagivanja između, s jedne strane, ozbiljnosti zadiranja u temeljna prava o kojima je riječ i, s druge strane, ciljeva koji se nastoje postići tom mjerom

i)      Ozbiljnost zadiranja uzrokovanog ograničenjem ostvarivanja prava zajamčenih člancima 7. i 8. Povelje

106    Ocjena ozbiljnosti zadiranja do kojeg dolazi zbog ograničenja prava zajamčenih člancima 7. i 8. Povelje podrazumijeva uzimanje u obzir prirode osobnih podataka o kojima je riječ, osobito njihove potencijalne osjetljivosti, kao i prirode i konkretnih načina njihove obrade, osobito broja osoba koje imaju pristup tim podacima i načina pristupa potonjima. Po potrebi, također treba uzeti u obzir postojanje mjera kojima se nastoji spriječiti opasnost da se ti podaci zloupotrijebe.

107    U ovom slučaju, točno je da se ograničenje ostvarivanja prava zajamčenih člancima 7. i 8. Povelje koje proizlazi iz Uredbe 2019/1157 može odnositi na velik broj osoba, pri čemu je Komisija u svojoj procjeni učinka procijenila da taj broj iznosi 370 milijuna stanovnika od 440 milijuna koliko ih je tada imala Unija. Otisci prstiju, kao biometrijski podaci, po svojoj su prirodi posebno osjetljivi te su, kao što to osobito proizlazi iz uvodne izjave 51. OUZP‑a, u pravu Unije posebno zaštićeni.

108    Međutim, važno je naglasiti da su prema Uredbi 2019/1157 prikupljanje i pohranjivanje dvaju potpunih otisaka prstiju dopušteni samo radi uključivanja tih otisaka prstiju u nosač podataka na osobnim iskaznicama.

109    Osim toga, iz članka 3. stavka 5. te uredbe, u vezi s njezinim člankom 10. stavkom 3., proizlazi da se, jednom kada se provede to uključivanje i osobna iskaznica preda osobi o kojoj je riječ, prikupljeni otisci prstiju čuvaju samo na nosaču podataka navedene iskaznice, koja je načelno fizički u posjedu te osobe.

110    Naposljetku, Uredbom 2019/1157 predviđa se skup jamstava kojima se nastoje ograničiti rizici da se prilikom njezine provedbe osobni podaci prikupljaju ili upotrebljavaju u svrhe različite od ostvarivanja njezinih ciljeva, i to ne samo u pogledu postupaka obrade osobnih podataka koji su tom uredbom učinjeni obveznima, nego i u pogledu glavnih postupaka obrada kojima mogu biti podvrgnuti otisci prstiju uključeni u nosač podataka na osobnim iskaznicama predviđen za pohranu podataka.

111    Dakle, što se tiče, kao prvo, prikupljanja podataka, u članku 10. stavcima 1. i 2. Uredbe 2019/1157 navodi se da biometrijske identifikatore prikuplja „isključivo kvalificirano i propisno ovlašteno osoblje” i da to osoblje mora osigurati da se provode „odgovarajući i djelotvorni postupci za prikupljanje biometrijskih identifikatora”, pri čemu ti postupci moraju poštovati prava i načela navedena u Povelji, Konvenciji za zaštitu ljudskih prava i temeljnih sloboda i Konvenciji Ujedinjenih naroda o pravima djeteta. Osim toga, kao što je to utvrđeno u točki 93. ove presude, članak 3. stavak 7. te uredbe sadržava posebna pravila za djecu mlađu od dvanaest godina (prvi i drugi stavak) kao i za osobe kod kojih je fizički nemoguće uzeti otiske prstiju (treći stavak), tako da su te osobe „izuzete […] od obveze davanja otisaka prstiju”.

112    Što se tiče, kao drugo, pohrane podataka, s jedne se strane Uredbom 2019/1157 države članice obvezuje da kao biometrijske podatke pohrane prikaz lica i dva otiska prstiju. U tom pogledu, u uvodnoj izjavi 21. te uredbe izričito se pojašnjava da ona ne predstavlja „pravnu osnovu za uspostavu ili održavanje baza podataka na nacionalnoj razini za pohranu biometrijskih podataka u državama članicama, što je pitanje nacionalnog prava koje treba biti u skladu s pravom Unije o zaštiti podataka” niti „pravnu osnovu za uspostavu ili održavanje centralizirane baze podataka na razini Unije”. S druge strane, člankom 10. stavkom 3. navedene uredbe predviđa se da se ti „biometrijski identifikatori […] čuvaju […] samo do datuma preuzimanja isprave, a u svakom slučaju najdulje 90 dana od datuma izdavanja te isprave” te se pojašnjava da se „[n]akon isteka tog razdoblja biometrijski identifikatori odmah […] brišu ili uništavaju”.

113    Iz toga osobito proizlazi da članak 10. stavak 3. Uredbe 2019/1157 ne dopušta državama članicama da obrađuju biometrijske podatke u svrhe različite od onih predviđenih tom uredbom. Osim toga, toj istoj odredbi protivi se centralizirano pohranjivanje otisaka prstiju koje nadilazi privremeno pohranjivanje tih otisaka u svrhu personalizacije osobnih iskaznica.

114    Naposljetku, u članku 11. stavku 6. Uredbe 2019/1157 navodi se mogućnost da propisno ovlašteno osoblje nadležnih nacionalnih tijela i agencija Unije upotrebljava, u skladu s pravom Unije i nacionalnim pravom, biometrijske podatke sadržane na sigurnom nosaču podataka.

115    Što se tiče točke (a) te odredbe, njome se upotreba biometrijskih podataka pohranjenih na nosaču podataka na osobnim iskaznicama i boravišnim ispravama dopušta samo za potrebe provjere autentičnosti osobne iskaznice ili boravišne isprave.

116    Kad je riječ o točki (b) navedene odredbe, njome se predviđa da se biometrijski podaci pohranjeni na nosaču podataka na osobnim iskaznicama i boravišnim ispravama mogu upotrebljavati za provjeru identiteta nositelja „putem izravno dostupnih usporedivih obilježja, ako je davanje osobne iskaznice ili boravišne isprave na uvid propisano zakonom”. Budući da takva obrada može pružiti dodatne informacije o privatnom životu osoba o kojima je riječ, do nje može doći samo u svrhe koje su strogo ograničene na identifikaciju osobe o kojoj je riječ i u uvjetima koji su točno određeni zakonom kojim se zahtijeva predočenje osobne iskaznice ili boravišne isprave.

117    Kao treće, kad je riječ o upotrebi biometrijskih podataka zabilježenih na nosaču podataka na osobnim iskaznicama, važno je naglasiti da se u uvodnoj izjavi 19. Uredbe 2019/1157 određuje redoslijed prioriteta u upotrebi sredstava provjere vjerodostojnosti isprave i identiteta nositelja, pri čemu se predviđa da države članice moraju „ponajprije provjeriti prikaz lica” i, prema potrebi, kako bi nedvojbeno potvrdile vjerodostojnost isprave i identitet nositelja, „provjeriti i otiske prstiju”.

118    Kao četvrto, što se tiče rizika od neovlaštenog pristupa pohranjenim podacima, člankom 3. stavcima 5. i 6. Uredbe 2019/1157 predviđa se, kako bi se taj rizik sveo na najmanju moguću mjeru, da se otisci prstiju pohranjuju na „visoko sigurnom nosaču podataka” koji ima „dostatan kapacitet i sposobnost jamčiti cjelovitost, autentičnost i povjerljivost podataka”. Nadalje, iz članka 3. stavka 10. te uredbe proizlazi da „[a]ko države članice na osobne iskaznice pohranjuju podatke radi mogućnosti korištenja elektroničkim uslugama kao što su e‑uprava i e‑poslovanje, takvi podaci prikupljeni na nacionalnoj razini odvajaju se fizički ili logički”, osobito od otisaka prstiju koji su prikupljeni i pohranjeni na temelju navedene uredbe. Naposljetku, iz uvodnih izjava 41. i 42. kao i iz članka 11. stavka 4. iste uredbe proizlazi da su države članice i dalje odgovorne za ispravnu obradu biometrijskih podataka, uključujući kada surađuju s vanjskim pružateljima usluga.

ii)    Važnost postavljenih ciljeva

119    Kao što je utvrđeno u točki 86. ove presude, cilj je uključivanja dvaju otisaka prstiju u nosač podataka na osobnim iskaznicama borba protiv izrade lažnih osobnih iskaznica i zloupotrebe identiteta te osiguravanje interoperabilnosti sustava provjere osobnih isprava. U tom smislu ono može doprinijeti zaštiti privatnog života osoba o kojima je riječ kao i, šire, borbi protiv kriminala i terorizma.

120    Osim toga, takva mjera omogućuje da se odgovori na potrebu svakog građanina Unije da raspolaže sredstvima za pouzdanu identifikaciju i država članica da se osiguraju da su osobe koje se pozivaju na prava priznata pravom Unije doista nositelji tih prava. Ona tako osobito pridonosi olakšavanju ostvarivanja prava građana Unije na slobodu kretanja i prava na boravak, koje je također temeljno pravo zajamčeno člankom 45. Povelje. Tako su ciljevi koji se žele postići Uredbom 2019/1157, osobito uključivanjem dvaju otisaka prstiju u nosač podataka na osobnim iskaznicama, osobito važni ne samo za Uniju i države članice nego i za građane Unije.

121    Usto, legitimnost i važnost tih ciljeva nikako se ne dovode u pitanje okolnošću, koju navodi sud koji je uputio zahtjev, da se u mišljenju 7/2018, u njegovim točkama 24. do 26., navodi da je između 2013. i 2017. otkriveno samo 38 870 slučajeva krivotvorenih osobnih iskaznica i da se taj broj već nekoliko godina smanjuje.

122    Naime, čak i pod pretpostavkom da je broj krivotvorenih osobnih iskaznica malen, zakonodavac Unije nije morao čekati da se taj broj poveća kako bi donio mjere kojima se nastoji spriječiti opasnost od upotrebe takvih iskaznica, nego je mogao, osobito radi kontrole rizika, predvidjeti takav razvoj, pod uvjetom da su poštovani drugi uvjeti koji se odnose na poštovanje načela proporcionalnosti.

iii) Odvagivanje

123    S obzirom na prethodno navedeno, valja utvrditi da ograničenje ostvarivanja prava zajamčenih u člancima 7. i 8. Povelje koje proizlazi iz uključivanja dvaju otisaka prstiju u nosač podataka na osobnim iskaznicama – uzimajući u obzir prirodu podataka o kojima je riječ, prirodu i načine postupaka obrade kao i predviđene zaštitne mehanizme – nije toliko ozbiljno da bi bilo neproporcionalno u odnosu na važnost različitih ciljeva koji se tom mjerom žele postići. Stoga treba smatrati da se takva mjera temelji na uravnoteženom odvagivanju, s jedne strane, tih ciljeva i, s druge strane, temeljnih prava o kojima je riječ.

124    Slijedom toga, ograničenjem ostvarivanja prava zajamčenih člancima 7. i 8. Povelje ne povređuje se načelo proporcionalnosti, tako da treći razlog ne može dovesti do nevaljanosti Uredbe 2019/1157.

125    Iz svih prethodnih razmatranja proizlazi da Uredba 2019/1157 nije valjana jer je donesena na temelju članka 21. stavka 2. UFEU‑a.

IV.    Održavanje na snazi učinaka Uredbe 2019/1157

126    Učinci akta koji je proglašen nevaljanim mogu se održati na snazi zbog pravne sigurnosti, osobito ako bi trenutačni učinci presude kojom se ta nevaljanost utvrđuje doveli do ozbiljnih negativnih posljedica za osobe na koje se odnose (vidjeti u tom smislu presudu od 17. ožujka 2016., Parlament/Komisija, C‑286/14, EU:C:2016:183, t. 67.).

127    U ovom bi slučaju proglašavanje nevaljanosti Uredbe 2019/1157 s trenutačnim učinkom moglo dovesti do ozbiljnih negativnih posljedica za velik broj građana Unije, osobito za njihovu sigurnost u području slobode, sigurnosti i pravde.

128    U tim okolnostima Sud odlučuje da valja održati na snazi učinke te uredbe do stupanja na snagu, u razumnom roku koji ne može biti dulji od dvije godine računajući od 1. siječnja godine koja slijedi nakon dana objave ove presude, nove uredbe donesene na temelju članka 77. stavka 3. UFEU‑a koja će je zamijeniti.

V.      Troškovi

129    Budući da ovaj postupak ima značaj prethodnog pitanja za stranke glavnog postupka pred sudom koji je uputio zahtjev, na tom je sudu da odluči o troškovima postupka. Troškovi podnošenja očitovanja Sudu, koji nisu troškovi spomenutih stranaka, ne nadoknađuju se.

Slijedom navedenog, Sud (veliko vijeće) odlučuje:

1.      Uredba (EU) 2019/1157 Europskog parlamenta i Vijeća od 20. lipnja 2019. o jačanju sigurnosti osobnih iskaznica građana Unije i boravišnih isprava koje se izdaju građanima Unije i članovima njihovih obitelji koji ostvaruju pravo na slobodno kretanje je nevaljana.

2.      Učinci Uredbe 2019/1157 održat će se na snazi do stupanja na snagu, u razumnom roku koji ne može biti dulji od dvije godine računajući od 1. siječnja godine koja slijedi nakon dana objave ove presude, nove uredbe donesene na temelju članka 77. stavka 3. UFEU‑a koja će je zamijeniti.

Potpisi

*      Jezik postupka: njemački