Language of document : ECLI:EU:T:2021:363

Preliminär utgåva

DOMSTOLENS DOM (stora avdelningen)

den 21 mars 2024 (*)

”Begäran om förhandsavgörande – Förordning (EU) 2019/1157 – Säkrare identitetskort för unionsmedborgare – Giltighet – Rättslig grund – Artikel 21.2 FEUF – Artikel 77.3 FEUF – Förordning (EU) 2019/1157 – Artikel 3.5 – Skyldighet för medlemsstaterna att införa två fingeravtryck i interoperabla digitala format i lagringsmedium på identitetskort – Artikel 7 i Europeiska unionens stadga om de grundläggande rättigheterna – Respekt för privatlivet och familjelivet – Artikel 8 i stadgan om de grundläggande rättigheterna – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artikel 35 – Skyldighet att göra en konsekvensbedömning avseende dataskydd – Frågan huruvida verkningarna av en förordning som förklarats sakna giltighet ska bestå i tiden”

I mål C‑61/22,

angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) genom beslut av den 13 januari 2022, som inkom till EU-domstolen den 1 februari 2022, i målet

RL

mot

Landeshauptstadt Wiesbaden,

meddelar

DOMSTOLEN (stora avdelningen)

sammansatt av ordföranden K. Lenaerts, vice-ordföranden L. Bay Larsen, avdelningsordförandena A. Arabadjiev, A. Prechal, E. Regan (referent), T. von Danwitz, F. Biltgen och Z. Csehi samt domarna J.-C. Bonichot, S. Rodin, D. Gratsias, M.L. Arastey Sahún och M. Gavalec,

generaladvokat: L. Medina,

justitiesekreterare: enhetschefen D. Dittert,

efter det skriftliga förfarandet och förhandlingen den 14 mars 2023,

med beaktande av de yttranden som avgetts av:

–        RL, genom W. Achelpöhler, Rechtsanwalt,

–        Tysklands regering, genom J. Möller och P.-L. Krüger, båda i egenskap av ombud,

–        Belgiens regering, genom P. Cottin och A. Van Baelen, båda i egenskap av ombud, biträdda av P. Wytinck, advocaat,

–        Spaniens regering, genom L. Aguilera Ruiz, i egenskap av ombud,

–        Polens regering, genom B. Majczyna, i egenskap av ombud,

–        Europaparlamentet, genom G.C. Bartram, P. López-Carceller och J. Rodrigues, samtliga i egenskap av ombud,

–        Europeiska unionens råd, genom M. França och Z. Šustr, båda i egenskap av ombud,

–        Europeiska kommissionen, genom H. Kranenborg, E. Montaguti och I. Zaloguin, samtliga i egenskap av ombud,

och efter att den 29 juni 2023 ha hört generaladvokatens förslag till yttrande,

följande

Dom

1        Begäran om förhandsavgörande avser giltigheten av Europaparlamentets och rådets förordning (EU) 2019/1157 av den 20 juni 2019 om säkrare identitetskort för unionsmedborgare och uppehållshandlingar som utfärdas till unionsmedborgare och deras familjemedlemmar när de utövar sin rätt till fri rörlighet (EUT L 188, 2019, s. 67), särskilt av artikel 3.5 i förordningen.

2        Begäran har framställts i ett mål mellan RL och Landeshauptstadt Wiesbaden (delstatshuvudstaden Wiesbaden, Tyskland) (nedan kallad Wiesbadens stad eller staden). Målet rör stadens beslut att avslå RL:s ansökan om utfärdande av ett identitetskort som inte innehåller hans fingeravtryck.

I.      Tillämpliga bestämmelser

A.      Unionsrätt

1.      Förordning 2019/1157

3        Skälen 1, 2, 4, 5, 17–21, 23, 26–29, 32, 33, 36, 40–42 och 46 i förordning 2019/1157 har följande lydelse:

”(1)      [EU-fördraget] föresatte sig att underlätta fri rörlighet för personer, samtidigt som säkerheten och tryggheten för Europas folk säkerställs, genom att upprätta ett område med frihet, säkerhet och rättvisa, i enlighet med bestämmelserna i EU-fördraget och i [EUF-fördraget].

(2)      Unionsmedborgarskap ger varje medborgare i unionen rätt till fri rörlighet, inom vissa begränsningar och på vissa villkor. Europaparlamentets och rådets direktiv 2004/38/EG [av den 29 april 2004 om unionsmedborgares och deras familjemedlemmars rätt att fritt röra sig och uppehålla sig inom medlemsstaternas territorier och om ändring av förordning (EEG) nr 1612/68 och om upphävande av direktiven 64/221/EEG, 68/360/EEG, 72/194/EEG, 73/148/EEG, 75/34/EEG, 75/35/EEG, 90/364/EEG, 90/365/EEG och 93/96/EEG (EUT L 158, 2004, s. 77, och rättelse i EUT L 229, 2004, s. 35)] genomför denna rättighet. Artikel 45 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan) innehåller också bestämmelser om fri rörlighet och fri bosättning. Fri rörlighet medför rätt att resa ut ur och in i medlemsstaterna med giltigt identitetskort eller pass.

(4)      [Direktiv 2004/38] föreskriver att medlemsstaterna får vidta nödvändiga åtgärder för att neka, avbryta eller dra tillbaka en rättighet enligt det direktivet i händelse av missbruk av rättigheter eller bedrägerier. Förfalskning av handlingar eller felaktig information om sakförhållanden som påverkar rätten att uppehålla sig i landet har i det direktivet fastställts som typiska fall av bedrägerier.

(5)      Det är stora skillnader på säkerhetsnivån i nationella identitetskort utfärdade av medlemsstaterna och uppehållstillstånd för unionsmedborgare bosatta i en annan medlemsstat samt deras familjemedlemmar. Dessa skillnader ökar risken för förfalskning och dokumentbedrägerier och medför också praktiska svårigheter för medborgare som önskar utöva sin rätt till fri rörlighet. Statistik från Europeiska unionens dokumentbedrägeri- och riskanalysnätverk visar att antalet incidenter med falska identitetskort har ökat med tiden.

(17)      Säkerhetsdetaljer krävs för att kontrollera om en handling är äkta och för att fastställa en persons identitet. Införande av minimisäkerhetsstandarder och införlivande av biometriska uppgifter på identitetskort och uppehållskort för familjemedlemmar som inte är medborgare i en medlemsstat är viktiga steg på vägen för att göra användningen av dessa handlingar säkrare i unionen. Införlivande av sådana biometriska kännetecken bör ge unionsmedborgarna möjlighet att till fullo utnyttja sin rätt till fri rörlighet.

(18)      Lagring av en ansiktsbild och två fingeravtryck (nedan kallat biometriska uppgifter) på identitets- och uppehållskort, vilket redan finns för biometriska pass och uppehållstillstånd för tredjelandsmedborgare, är en lämplig kombination av tillförlitlig identifiering och autentisering och minskad bedrägeririsk, i syfte att stärka identitets- och uppehållskorts säkerhet.

(19)      Som allmän praxis bör medlemsstaterna för att kontrollera handlingens äkthet och innehavarens identitet i första hand kontrollera ansiktsbilden och, om det behövs för att med säkerhet bekräfta handlingens äkthet och innehavarens identitet, även kontrollera fingeravtrycken.

(20)      Om handlingens äkthet eller innehavarens identitet inte kan bekräftas vid en kontroll av de biometriska uppgifterna bör medlemsstaterna säkerställa att en obligatorisk manuell kontroll utförs av kvalificerad personal.

(21)      Denna förordning utgör inte någon rättslig grund för att upprätta eller underhålla databaser på nationell nivå för lagring av biometriska uppgifter i medlemsstaterna, vilket är en fråga för nationell rätt som måste vara förenlig med unionsrätten avseende dataskydd. Denna förordning utgör heller inte någon rättslig grund för att upprätta eller underhålla en centraliserad databas på unionsnivå.

(23)      Specifikationerna i [dokument 9303 från Internationella civila luftfartsorganisationen (ICAO)], som säkerställer global interoperabilitet, bland annat avseende maskinläsbarhet och visuell inspektion, bör beaktas vid tillämpningen av denna förordning.

(26)      Medlemsstaterna bör säkerställa att det finns lämpliga och effektiva förfaranden för insamling av biometriska kännetecken, som är förenliga med de rättigheter och principer som fastställs i stadgan, Europarådets konvention om skydd för de mänskliga rättigheterna och de grundläggande friheterna [som undertecknades i Rom den 4 november 1950,] och Förenta nationernas konvention om barnets rättigheter[, som antogs av Förenta nationernas generalförsamling den 20 november 1989 (United Nations Treaty Series, volym 1577, s. 3)]. Medlemsstaterna bör säkerställa att barnets intressen sätts i främsta rummet under hela insamlingsförfarandet. För detta ändamål bör kvalificerad personal få lämplig utbildning om barnvänliga metoder för insamling av biometriska kännetecken.

(27)      Om problem uppstår vid insamlingen av biometriska kännetecken bör medlemsstaterna säkerställa att lämpliga förfaranden finns för att respektera den berörda personens värdighet. Därför bör särskild hänsyn tas till kön och till de särskilda behoven hos barn och utsatta personer.

(28)      Införande av minimisäkerhetsstandarder och normer för formatet på identitetskort bör göra det möjligt för medlemsstaterna att lita på handlingarnas äkthet när unionsmedborgare utövar sin rätt till fri rörlighet. Införande av skärpta säkerhetsstandarder bör ge offentliga myndigheter och privata aktörer tillräckliga garantier för att de ska kunna lita på identitetskortens äkthet när de används av unionsmedborgare i identifieringssyfte.

(29)      Ett igenkänningstecken i form av landskoden på två bokstäver för den medlemsstat som utfärdar handlingen, utformad som negativt ursparad text i en blå rektangel och omgiven av tolv gula stjärnor, underlättar den visuella inspektionen av handlingen, särskilt när innehavaren utövar rätten till fri rörlighet.

(32)      Medlemsstaterna bör vidta alla nödvändiga åtgärder för att säkerställa att biometriska uppgifter korrekt identifierar den person för vilken ett identitetskort utfärdas. För detta ändamål bör medlemsstaterna överväga att låta de nationella myndigheter som utfärdar identitetskort samla in biometriska kännetecken, särskilt ansiktsbild, i den berörda personens närvaro.

(33)      Medlemsstaterna bör sinsemellan utbyta sådana uppgifter som behövs för att komma åt, autentisera och kontrollera informationen på det säkra lagringsmediet. De format som används för det säkra lagringsmediet bör vara interoperabla, även med avseende på automatiserade gränsövergångsställen.

(36)      Uppehållshandlingar som utfärdas till unionsmedborgare bör innehålla särskilda uppgifter för att säkerställa att de identifieras som uppehållshandlingar i samtliga medlemsstater. Detta bör främja erkännandet av unionsmedborgarnas utnyttjande av rätten till fri rörlighet och de rättigheter som följer därav, men harmoniseringen bör inte gå utöver det som är lämpligt för att avhjälpa brister i de nuvarande handlingarna. Det står medlemsstaterna fritt att välja vilket format dessa handlingar ska utfärdas i och de kan utfärda dem i ett format som är förenligt med specifikationerna i Icaos dokument 9303.

(40)      Europaparlamentets och rådets förordning (EU) 2016/679 [av den 27 april 2016 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen)] är tillämplig på de personuppgifter som behandlas inom ramen för tillämpning av den här förordningen. Det är nödvändigt att fastställa ytterligare skyddsåtgärder för behandlingen av personuppgifter, i synnerhet känsliga uppgifter såsom biometriska kännetecken. De registrerade bör uppmärksammas på att lagringsmediet i deras handlingar innehåller deras biometriska uppgifter, som är tillgängliga även i kontaktlös form, och på de situationer där uppgifterna på deras identitetskort och uppehållshandlingar används. De registrerade bör ha tillgång till de personuppgifter som behandlas på deras identitetskort och uppehållshandlingar och ha rätt att få dem rättade genom att en ny handling utfärdas om uppgifterna är felaktiga eller ofullständiga. Lagringsmediet bör vara mycket säkert och effektivt skydda de personuppgifter som lagras på det mot obehörig åtkomst.

(41)      Medlemsstaterna bör ansvara för korrekt behandling av biometriska uppgifter, från insamling till uppgifternas integrering i ett mycket säkert lagringsmedium, i enlighet med [dataskyddsförordningen].

(42)      Medlemsstaterna bör iaktta särskild försiktighet när de samarbetar med en extern tjänsteleverantör. Sådant samarbete bör inte utesluta ansvar enligt unionsrätten eller nationell rätt för åsidosättande av skyldigheter avseende personuppgifter.

(46)      Eftersom målen för denna förordning, nämligen att öka säkerheten och underlätta utövandet av rätten till fri rörlighet för unionsmedborgare och deras familjemedlemmar, inte i tillräcklig utsträckning kan uppnås av medlemsstaterna utan snarare, på grund av åtgärdens omfattning och verkningar, kan uppnås bättre på unionsnivå, kan unionen vidta åtgärder i enlighet med subsidiaritetsprincipen i artikel 5 i [EUF-fördraget]. I enlighet med proportionalitetsprincipen i samma artikel går denna förordning inte utöver vad som är nödvändigt för att uppnå dessa mål.”

4        I artikel 1 (”Syfte”) i förordning 2019/1157 föreskrivs följande:

”Denna förordning skärper säkerhetskraven i fråga om identitetskort som medlemsstaterna utfärdar till sina medborgare och uppehållshandlingar som medlemsstaterna utfärdar till unionsmedborgare och deras familjemedlemmar när de utövar sin rätt till fri rörlighet inom unionen.”

5        I förordningens artikel 2 (”Tillämpningsområde”) föreskrivs följande:

”Denna förordning ska tillämpas på följande:

a)      Identitetskort som medlemsstaterna utfärdar till sina egna medborgare enligt artikel 4.3 i direktiv 2004/38/EG.

Denna förordning ska inte tillämpas på identitetshandlingar som utfärdas provisoriskt med en giltighetstid på mindre än sex månader.      

b)      Bevis om registrering vilket utfärdas i enlighet med artikel 8 i direktiv 2004/38/EG till unionsmedborgare som uppehåller sig i en mottagande medlemsstat mer än tre månader samt intyg om permanent uppehållsrätt som utfärdas i enlighet med artikel 19 i direktiv 2004/38/EG till unionsmedborgare efter ansökan.

c)      Uppehållskort som utfärdas i enlighet med artikel 10 i direktiv 2004/38/EG till unionsmedborgares familjemedlemmar som inte är medborgare i en medlemsstat och permanent uppehållskort i enlighet med artikel 20 i direktiv 2004/38/EG som utfärdas till unionsmedborgares familjemedlemmar som inte är medborgare i en medlemsstat.”

6        I artikel 3 (”Säkerhetsstandarder/format/specifikationer”) i förordning 2019/1157 föreskrivs följande i punkterna 5–7 och 10:

”5.      Identitetskort ska innefatta ett mycket säkert lagringsmedium som innehåller en ansiktsbild av innehavaren och två fingeravtryck i interoperabla digitala format. Vid insamlingen av biometriska kännetecken ska medlemsstaterna tillämpa de tekniska specifikationer som fastställs i kommissionens genomförandebeslut C(2018) 7767 [av den 30 november 2018 om tekniska specifikationer för en enhetlig utformning av uppehållstillstånd för medborgare i tredjeland och om upphävande av beslut C(2002)3069].

6.      Lagringsmediet ska ha tillräcklig kapacitet och möjlighet att garantera uppgifternas integritet, äkthet och sekretess. De lagrade uppgifterna ska vara tillgängliga i kontaktlös form och ska säkras på det sätt som anges i genomförandebeslut C(2018)7767. Medlemsstaterna ska utbyta sådan information som krävs för att autentisera lagringsmediet och för att komma åt och kontrollera de biometriska uppgifterna enligt punkt 5.

7.      Barn under tolv år får undantas från kravet att lämna fingeravtryck.

Barn under sex år ska undantas från kravet att lämna fingeravtryck.

Personer för vilka upptagning av fingeravtryck är fysiskt omöjlig ska undantas från kravet att lämna fingeravtryck.

10.      Om medlemsstaterna lagrar uppgifter avsedda för elektroniska tjänster, såsom e-förvaltning och e-handel, i identitetskorten ska sådana nationella uppgifter fysiskt eller logiskt separeras från de biometriska uppgifter som avses i punkt 5.”

7        Artikel 5 (”Utfasning”) i förordning 2019/1157 har följande lydelse:

”1.      Identitetskort som inte uppfyller kraven i artikel 3 ska bli ogiltiga när deras giltighetstid löper ut eller senast den 3 augusti 2031, beroende på vilket som infaller först.

2.      Genom undantag från punkt 1 gäller följande:

a)      Identitetskort som … inte innehåller ett fungerande maskinläsbart fält (MRZ) enligt definitionen i punkt 3 ska bli ogiltiga när deras giltighetstid löper ut eller senast den 3 augusti 2026, beroende på vilket som infaller först.

3.      Vid tillämpningen av punkt 2 avses med fungerande maskinläsbart fält (MRZ)

a)      ett maskinläsbart fält som är förenligt med del 3 i Icaos dokument 9303, eller

b)      ett annat maskinläsbart fält där den utfärdande medlemsstaten meddelar reglerna för att läsa och visa dess information, såvida inte en medlemsstat meddelar [Europeiska] kommissionen senast den 2 augusti 2021 att den saknar kapacitet att läsa och visa denna information.

…”

8        I förordningens artikel 6 (”Minimiuppgifter som ska anges”) föreskrivs följande i första stycket:

”Uppehållshandlingar som medlemsstaterna utfärdar till unionsmedborgare ska innehålla åtminstone följande uppgifter:

f)      Den information som ska ingå i bevis om registrering och intyg om permanent uppehållsrätt som utfärdas i enlighet med artiklarna 8 respektive 19 i direktiv 2004/38/EG.

…”

9        I förordningens artikel 10 (”Insamling av biometriska kännetecken”) föreskrivs följande:

”1.      Biometriska kännetecken ska samlas in endast av kvalificerad och vederbörligen bemyndigad personal, som utsetts av de myndigheter som ansvarar för att utfärda identitetskort eller uppehållskort, i syfte att införas i det mycket säkra lagringsmediet enligt artikel 3.5 när det gäller identitetskort och enligt artikel 7.1 när det gäller uppehållskort. Genom undantag från den första meningen, ska fingeravtryck samlas in endast av kvalificerad och vederbörligen bemyndigad personal vid sådana myndigheter, utom i samband med ansökningar som lämnas in till medlemsstatens diplomatiska och konsulära myndigheter.

För att säkerställa överensstämmelse mellan de biometriska kännetecknen och sökandens identitet ska sökanden infinna sig personligen minst en gång under utfärdandeförfarandet för varje ansökan.

2.       Medlemsstaterna ska säkerställa att det finns lämpliga och effektiva förfaranden för insamling av biometriska kännetecken, och att dessa förfaranden är förenliga med de rättigheter och principer som fastställs i stadgan, konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och Förenta nationernas konvention om barnets rättigheter.

Om problem uppstår vid insamlingen av biometriska kännetecken ska medlemsstaterna säkerställa att det finns lämpliga förfaranden för att respektera den berörda personens värdighet.

3.       Utom när de krävs för behandling i enlighet med unionsrätten och nationell rätt ska biometriska kännetecken som lagras för personalisering av identitetskort eller uppehållshandlingar förvaras på ett mycket säkert sätt och endast fram till den dag då handlingen hämtas ut, dock aldrig längre än 90 dagar från den dag då handlingen utfärdats. Efter denna period ska de biometriska kännetecknen omedelbart raderas eller förstöras.”

10      I förordningens artikel 11 (”Skydd av personuppgifter och ansvar”) föreskrivs följande i punkterna 4 och 6:

”4.      Samarbete med externa tjänsteleverantörer ska inte utesluta ansvar för en medlemsstat till följd av unionsrätten eller nationell rätt avseende överträdelse av skyldigheter avseende personuppgifter.

6.      Biometriska uppgifter som lagrats på lagringsmedium på identitetskort och uppehållshandlingar får bara användas i enlighet med unionsrätten och nationell rätt av vederbörligen bemyndigad personal vid behöriga nationella myndigheter och unionsbyråer i syfte att kontrollera följande:

a)      Identitetskortets eller uppehållshandlingens äkthet.

b)      Innehavarens identitet genom direkt tillgängliga jämförbara detaljer, när uppvisande av identitetskort eller uppehållshandling krävs enligt lag eller annan författning.”

11      I förordningens artikel 14 (”Ytterligare tekniska specifikationer”) föreskrivs följande i punkterna 1 och 2:

”1. För att i förekommande fall säkerställa att identitetskort och uppehållshandlingar enligt artikel 2 a och c överensstämmer med framtida minimisäkerhetsstandarder ska kommissionen genom genomförandeakter fastställa ytterligare tekniska specifikationer avseende följande:

a)      Ytterligare säkerhetsdetaljer och säkerhetskrav, däribland strängare standarder för att förebygga risken för hel- och delförfalskningar.

b)      Tekniska specifikationer för lagringsmediet när det gäller de biometriska kännetecknen enligt artikel 3.5 och deras säkerhet, däribland förhindrande av obehörig åtkomst och förenkling av validering.

c)      Kvalitetskrav och gemensamma tekniska standarder för ansiktsbilden och fingeravtrycken.

Dessa genomförandeakter ska antas i enlighet med det granskningsförfarande som avses i artikel 15.2.

2.      I enlighet med förfarandet i artikel 15.2 får det beslutas att specifikationerna enligt denna artikel ska vara sekretessbelagda och inte ska offentliggöras. …”

2.      Dataskyddsförordningen

12      Skäl 51 i dataskyddsförordningen har följande lydelse:

”Personuppgifter som till sin natur är särskilt känsliga med hänsyn till grundläggande rättigheter och friheter bör åtnjuta särskilt skydd, eftersom behandling av sådana uppgifter kan innebära betydande risker för de grundläggande rättigheterna och friheterna. … Behandling av foton bör inte systematiskt anses utgöra behandling av särskilda kategorier av personuppgifter, eftersom foton endast definieras som biometriska uppgifter när de behandlas med särskild teknik som möjliggör identifiering eller autentisering av en fysisk person. Sådana personuppgifter bör inte behandlas, såvida inte behandling medges i särskilda fall som fastställs i denna förordning, med beaktande av att det i medlemsstaternas lagstiftning får införas särskilda bestämmelser om dataskydd för att anpassa tillämpningen av bestämmelserna i denna förordning i syfte att fullgöra en rättslig skyldighet eller en uppgift av allmänt intresse eller som ett led i myndighetsutövning som den personuppgiftsansvarige har fått i uppgift att utföra. Utöver de särskilda kraven för sådan behandling, bör de allmänna principerna och andra bestämmelser i denna förordning tillämpas, särskilt när det gäller villkoren för laglig behandling. Undantag från det allmänna förbudet att behandla sådana särskilda kategorier av personuppgifter bör uttryckligen fastställas, bland annat om den registrerade lämnar sitt uttryckliga samtycke eller för att tillgodose specifika behov … .”

13      Artikel 4 (”Definitioner”) i dataskyddsförordningen har följande lydelse:

”I denna förordning avses med

2)      behandling: en åtgärd eller kombination av åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, oberoende av om de utförs automatiserat eller ej, såsom insamling, registrering, organisering, strukturering, lagring, bearbetning eller ändring, framtagning, läsning, användning, utlämning genom överföring, spridning eller tillhandahållande på annat sätt, justering eller sammanförande, begränsning, radering eller förstöring,

7)      personuppgiftsansvarig: en fysisk eller juridisk person, offentlig myndighet, institution eller annat organ som ensamt eller tillsammans med andra bestämmer ändamålen och medlen för behandlingen av personuppgifter; om ändamålen och medlen för behandlingen bestäms av unionsrätten eller medlemsstaternas nationella rätt kan den personuppgiftsansvarige eller de särskilda kriterierna för hur denne ska utses föreskrivas i unionsrätten eller i medlemsstaternas nationella rätt,

…”.

14      I artikel 9 (”Behandling av särskilda kategorier av personuppgifter”) i dataskyddsförordningen föreskrivs följande i punkt 1:

”Behandling av personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening och behandling av genetiska uppgifter, biometriska uppgifter för att entydigt identifiera en fysisk person, uppgifter om hälsa eller uppgifter om en fysisk persons sexualliv eller sexuella läggning ska vara förbjuden.”

15      I dataskyddsförordningens artikel 35 (”Konsekvensbedömning avseende dataskydd”) föreskrivs följande i punkterna 1, 3 och 10:

”1.      Om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. En enda bedömning kan omfatta en serie liknande behandlingar som medför liknande höga risker.

3.      En konsekvensbedömning avseende dataskydd som avses i punkt 1 ska särskilt krävas i följande fall:

a)      En systematisk och omfattande bedömning av fysiska personers personliga aspekter som grundar sig på automatisk behandling, inbegripet profilering, och på vilken beslut grundar sig som har rättsliga följder för fysiska personer eller på liknande sätt i betydande grad påverkar fysiska personer.

b)      Behandling i stor omfattning av särskilda kategorier av uppgifter, som avses i artikel 9.1, eller av personuppgifter som rör fällande domar i brottmål och lagöverträdelser som innefattar brott, som avses i artikel 10.

c)      Systematisk övervakning av en allmän plats i stor omfattning.

10.      Om behandling enligt artikel 6.1 c eller e har en rättslig grund i unionsrätten eller i en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, reglerar den rätten den aktuella specifika behandlingsåtgärden eller serien av åtgärder i fråga och en konsekvensbedömning avseende dataskydd redan har genomförts som en del av en allmän konsekvensbedömning i samband med antagandet av denna rättsliga grund, ska punkterna 1–7 inte gälla, om inte medlemsstaterna anser det nödvändigt att utföra en sådan bedömning före behandlingen.”

3.      Förordning (EU) 2016/399

16      I artikel 8 i Europaparlamentets och rådets förordning (EU) 2016/399 av den 9 mars 2016 om en unionskodex om gränspassage för personer (kodex om Schengengränserna) (EUT L 77, 2016, s. 1), i dess lydelse enligt Europaparlamentets och rådets förordning (EU) 2017/458 av den 15 mars 2017 (EUT L 74, 2017, s. 1), föreskrivs följande i punkterna 1 och 2:

”1.      Gränstrafiken vid de yttre gränserna ska underkastas kontroll av gränskontrolltjänstemän. Kontrollerna ska utföras i enlighet med detta kapitel.

2.      Vid inresa och utresa ska personer som åtnjuter rätten till fri rörlighet enligt unionsrätten underkastas följande kontroller:

a)      Verifiering av personens identitet och nationalitet samt av äktheten och giltigheten hos resehandlingen för gränspassage, inbegripet genom sökning i relevanta databaser …

b)      Verifiering av att en person som åtnjuter rätten till fri rörlighet enligt unionsrätten inte anses utgöra ett hot mot den allmänna ordningen, inre säkerheten, folkhälsan eller internationella förbindelser i någon av medlemsstaterna …

Om det råder tvivel om resehandlingens äkthet eller om innehavarens identitet, ska minst ett av de biometriska kännetecknen i de pass och resehandlingar som utfärdats i enlighet med [rådets förordning (EG) nr 2252/2004 av den 13 december 2004 om standarder för säkerhetsdetaljer och biometriska kännetecken i pass och resehandlingar som utfärdas av medlemsstaterna (EUT L 385, 2004, s. 1)] verifieras. Sådan verifiering bör om möjligt också göras vad gäller resehandlingar som inte omfattas av den förordningen.

…”

4.      Direktiv 2004/38

17      I punkterna 1 och 3 i artikel 4 (”Rätt till utresa”) i direktiv 2004/38 föreskrivs följande:

”1.       Utan att det påverkar tillämpningen av bestämmelserna för kontroll av resehandlingar vid de nationella gränserna skall alla unionsmedborgare med giltigt identitetskort eller pass och deras familjemedlemmar, som inte är medborgare i en medlemsstat, och som har giltigt pass, ha rätt att lämna en medlemsstats territorium för att resa till en annan medlemsstat.

3.       Medlemsstaterna skall i enlighet med sina lagar för sina egna medborgares räkning utfärda och förnya ett identitetskort eller pass som anger deras medborgarskap.”

18      I direktivets artikel 5 (”Rätt till inresa”) föreskrivs följande i punkt 1:

”Utan att det påverkar tillämpningen av bestämmelserna för kontroll av resehandlingar vid de nationella gränserna skall medlemsstaterna tillåta unionsmedborgare att resa in på deras territorium med ett giltigt identitetskort eller pass och tillåta familjemedlemmar som inte är medborgare i en medlemsstat att resa in på deras territorium med ett giltigt pass.

Unionsmedborgare får inte åläggas skyldighet att inneha inresevisering eller någon motsvarande formalitet.”

19      Direktivets artikel 6 (”Uppehållsrätt i högst tre månader”) har följande lydelse:

”1.      Unionsmedborgare skall ha rätt att uppehålla sig på en annan medlemsstats territorium i högst tre månader utan några andra villkor eller formaliteter än kravet på att inneha ett giltigt identitetskort eller pass.

2.      Bestämmelserna i punkt 1 skall också tillämpas på familjemedlemmar som inte är medborgare i en medlemsstat, som följer med eller ansluter sig till unionsmedborgaren och som innehar ett giltigt pass.”

20      I artikel 8 (”Administrativa formaliteter för unionsmedborgare”) i direktiv 2004/38 föreskrivs följande i punkterna 1 och 3:

”1.      Utan att det påverkar tillämpningen av artikel 5.5 får den mottagande medlemsstaten ålägga unionsmedborgare att registrera sig hos behöriga myndigheter vid uppehåll som överstiger tre månader.

3.      Det enda krav medlemsstaterna får ställa för att utfärda bevis om registrering är att

–        de unionsmedborgare som avses i artikel 7.1 a skall kunna visa upp ett giltigt identitetskort eller pass, en bekräftelse från arbetsgivaren om anställning eller ett anställningsintyg eller bevis på att de är egenföretagare.

–        de unionsmedborgare som avses i artikel 7.1 b skall kunna visa upp ett giltigt identitetskort eller pass och bevis på att de uppfyller villkoren i den punkten.

–        de unionsmedborgare som avses i artikel 7.1 c skall kunna visa upp ett giltigt identitetskort eller pass, ett bevis på registrering vid en erkänd institution och på att de omfattas av en heltäckande sjukförsäkring samt den förklaring eller dess motsvarighet som avses i artikel 7.1 c. Medlemsstaterna får inte kräva att ett särskilt belopp anges i förklaringen.”

5.      Det interinstitutionella avtalet

21      Punkterna 12–14 i det interinstitutionella avtalet mellan Europaparlamentet, Europeiska unionens råd och Europeiska kommissionen av den 13 april 2016 om bättre lagstiftning (EUT L 123, 2016, s. 1) (nedan kallat det interinstitutionella avtalet) har följande lydelse:

”12.      …

Konsekvensbedömningar är ett verktyg som ska hjälpa de tre institutionerna att fatta välinformerade beslut men de kan inte ersätta politiska beslut i den demokratiska beslutsprocessen. …

Konsekvensbedömningar bör behandla förekomsten, omfattningen och följderna av ett problem och frågan huruvida unionsåtgärder är nödvändiga eller inte. De bör kartlägga alternativa lösningar och om möjligt de potentiella kostnaderna och fördelarna på kort och lång sikt, genom att utvärdera de ekonomiska, miljömässiga och sociala konsekvenserna på ett integrerat och väl avvägt sätt med hjälp av både kvalitativa och kvantitativa analyser. Subsidiaritets- och proportionalitetsprincipen bör iakttas fullt ut, liksom de grundläggande rättigheterna. … Konsekvensbedömningar bör grundas på exakt, objektiv och fullständig information och vara proportionella till sin omfattning och inriktning.

13.      Kommissionen kommer att göra konsekvensbedömningar av de lagstiftningsinitiativ … som förväntas få betydande ekonomiska, miljömässiga eller sociala konsekvenser. De initiativ som ingår i kommissionens arbetsprogram eller i den gemensamma förklaringen kommer som huvudregel att åtföljas av en konsekvensbedömning.

… De slutliga resultaten av konsekvensbedömningarna kommer att göras tillgängliga för Europaparlamentet, [Europeiska unionens råd] och de nationella parlamenten och kommer att offentliggöras tillsammans med yttrandena från nämnden för lagstiftningskontroll, när kommissionens initiativ antas.

14.      Vid behandlingen av kommissionens lagstiftningsförslag kommer [parlamentet] och rådet att fullt ut beakta kommissionens konsekvensbedömningar. För detta syfte ska konsekvensbedömningarna redovisas på ett sätt som underlättar [parlamentets] och rådets utvärdering av de val som kommissionen gjort.”

B.      Tysk rätt

22      I 5 § (”Förlaga till identitetshandling; lagrade uppgifter”) i Gesetz über Personalausweise und den elektronischen Identitätsnachweis (lagen om identitetskort och elektronisk identifiering) av den 18 juni 2009 (BGBl. I, s. 1346), i den lydelse som är tillämplig på omständigheterna i det nationella målet (nedan kallad PAuswG), föreskrivs följande i punkt 9:

”[Vid ansökningar om identitetskort gäller att] den ansökande personens två fingeravtryck, som enligt [förordning 2019/1157] ska lagras på det elektroniska lagringsmediet, ska lagras på det elektroniska mediet för lagring och behandling i identitetskortet i form av ett platt avtryck av sökandens vänstra och högra pekfinger. Om ett pekfinger saknas, om fingeravtrycket är av otillräcklig kvalitet eller om fingertoppen är skadad, ska ett platt avtryck av antingen tummen, långfingret eller ringfingret lagras i stället. Fingeravtryck ska inte lagras om det är omöjligt att ta fingeravtryck på grund av medicinska skäl som inte är av övergående art.”

23      I 6 § PAuswG föreskrivs följande i punkterna 1 och 2:

”1)      Identitetskort ska utfärdas för en giltighetstid på tio år.

2)      Innan giltighetstiden för ett identitetskort löper ut får ett nytt identitetskort begäras om det kan motiveras av ett berättigat intresse av att utfärda ett nytt identitetskort.”

24      I 9 § (”Utfärdande av identitetskort”) PAuswG föreskrivs följande i punkt 1 första meningen:

”Identitetskort och provisoriska identitetskort ska på begäran utfärdas till tyskar, i den mening som avses i artikel 116 första stycket i Grundgesetz [(grundlagen)].”

25      I 28 § (”Ogiltighet”) PAuswG föreskrivs följande i punkt 3:

”Funktionsfel i det elektroniska lagrings- och behandlingsmediet påverkar inte identitetskortets giltighet.”

II.    Målet vid den nationella domstolen och giltighetsfrågan

26      Den 30 november 2021 ansökte klaganden i det nationella målet, RL, hos Wiesbadens stad om ett nytt identitetskort av det skälet att det elektroniska chipet i hans gamla identitetskort var defekt. I ansökan begärde RL dock att det nya identitetskortet inte skulle innehålla hans fingeravtryck.

27      Wiesbadens stad avslog denna ansökan av två skäl. För det första fann staden att RL inte hade rätt att få ett nytt identitetskort utfärdat, eftersom han redan innehade en giltig identitetshandling. Enligt 28 § punkt 3 PAuswG är nämligen ett identitetskort giltigt även om det elektroniska chipet är defekt. För det andra anförde staden att det under alla omständigheter sedan den 2 augusti 2021 är obligatoriskt att införa två fingeravtryck i lagringsmediet i identitetskort. Denna skyldighet följer av 5 § punkt 9 PAuswG, som genomför artikel 3.5 i förordning 2019/1157.

28      Den 21 december 2021 överklagade RL stadens avslagsbeslut till den hänskjutande domstolen, Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland), och yrkade att den skulle förelägga Wiesbadens stad att utfärda ett identitetskort utan fingeravtryck till honom.

29      Den hänskjutande domstolen har i sin begäran om förhandsavgörande gett uttryck för osäkerhet kring huruvida de i beslutet angivna avslagsskälen har stöd i lag. Vad särskilt gäller det andra skälet har den angett att det får anses vara tveksamt om förordning 2019/1157 – eller åtminstone dess artikel 3.5 – i sig är giltig.

30      Den hänskjutande domstolen har i det avseendet först anfört att fråga uppkommer om inte förordning 2019/1157 borde ha antagits med stöd av artikel 77.3 FEUF, och därmed med tillämpning av det i den bestämmelsen angivna särskilda lagstiftningsförfarandet, snarare än med stöd av artikel 21.2 FEUF och med tillämpning av det ordinarie lagstiftningsförfarandet. För det första hänvisas i artikel 77.3 FEUF nämligen specifikt till unionens befogenhet att anta bland annat bestämmelser om identitetskort och den får därmed anses utgöra en specialbestämmelse i förhållande till artikel 21.2 FEUF. För det andra framgår det av domen av den 17 oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), att EU-domstolen fann att det var korrekt att anta förordning nr 2252/2004 – i den del den fastställer standarder för biometriska kännetecken i pass – med stöd av artikel 62 led 2 a EG, som numera motsvaras av artikel 77.3 FEUF.

31      Vidare uppkommer enligt den hänskjutande domstolen fråga om förordning 2019/1157 kan ha antagits i strid med de bestämmelser som reglerar lagstiftningsförfarandet. Den har därvid hänvisat till vad Europeiska datatillsynsmannen (nedan kallad datatillsynsmannen) påpekade i sitt yttrande 7/2018 av den 10 augusti 2018 om förslaget till förordning om säkrare identitetskort för unionsmedborgare och andra handlingar (nedan kallat yttrande 7/2018), nämligen att upptagning och lagring av fingeravtryck utgör behandling av personuppgifter som omfattas av kravet på konsekvensbedömning enligt artikel 35.10 i dataskyddsförordningen. Den hänskjutande domstolen konstaterar dock att någon sådan konsekvensbedömning inte har gjorts i förevarande fall. Den anser i synnerhet att den handling som bifogats förslaget till förordning, med rubriken ”Impact assessment”, inte kan anses utgöra en konsekvensbedömning i den mening som avses i denna bestämmelse.

32      Därutöver vill den hänskjutande domstolen mer specifikt få klarhet i huruvida artikel 3.5 i förordning 2019/1157 är förenlig med artiklarna 7 och 8 i stadgan, vilka rör respekt för privat- och familjelivet respektive skydd av personuppgifter. Den anser nämligen att medlemsstaternas skyldighet att utfärda identitetskort vars lagringsmedium innehåller två fingeravtryck utgör en begränsning av de rättigheter som slås fast i dessa båda bestämmelser i stadgan och att denna begränsning endast kan anses vara motiverad om den uppfyller villkoren i artikel 52.1 i stadgan.

33      Enligt den hänskjutande domstolen kan nämnda begränsning dock inte anses svara mot ett mål av allmänt samhällsintresse. Den har därvid anfört att EU-domstolen, i domen av den 17 oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), visserligen medgav att målet att hindra att tredjelandsmedborgare olagligen reser in i unionen är ett mål som erkänns i unionsrätten. Enligt den hänskjutande domstolen finns det dock en skillnad mellan pass och identitetskort på så sätt att identitetskort inte i första hand är en resehandling, utan endast syftar till att göra det möjligt att kontrollera en unionsmedborgares identitet vid kontakt med nationella myndigheter eller privata aktörer.

34      Även om förordning 2019/1157 syftar till att uppnå ett i unionsrätten fastslaget mål av allmänt samhällsintresse är det dock, enligt den hänskjutande domstolen, oklart huruvida den aktuella begränsningen är proportionerlig. Den anser att den lösning som EU-domstolen valde i domen av den 17 oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), inte kan överföras till att gälla förordning 2019/1157. I det målet var det nämligen fråga om pass, som i Tyskland – till skillnad från identitetskort – inte omfattas av något krav på innehav och har ett annat användningssyfte.

35      Den hänskjutande domstolen har påpekat att datatillsynsmannen i yttrande 7/2018 däremot anförde att införande och lagring av fingeravtryck skulle ha en omfattande inverkan på upp till 370 miljoner EU-medborgare, eftersom 85 procent av EU:s befolkning potentiellt skulle omfattas av kravet att fingeravtryck ska vara obligatoriskt. Denna omfattande inverkan i kombination med de mycket känsliga uppgifter som behandlas (en ansiktsbild i kombination med två fingeravtryck) innebär att den begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som följer av kravet på upptagning av fingeravtryck vid utfärdande av identitetskort är mer omfattande än vad som är fallet när det gäller pass. Detta kräver i gengäld en starkare motivering av den aktuella åtgärden och att det görs en noggrann och strikt nödvändighetsbedömning av den.

36      Enligt den hänskjutande domstolen följer kravet på en strikt proportionalitetsprövning under alla omständigheter även av artikel 9.1 i dataskyddsförordningen, enligt vilken behandling av sådana biometriska uppgifter i princip är förbjuden och endast tillåten i snävt definierade undantagsfall.

37      I detta avseende anser den hänskjutande domstolen visserligen att användningen av biometriska uppgifter minskar risken för att identitetshandlingar kan förfalskas. Den är dock osäker på om enbart denna omständighet kan motivera omfattningen av begränsningen av rätten till skydd av personuppgifter, särskilt mot bakgrund av följande skäl.

38      Till att börja med påpekade datatillsynsmannen i yttrande 7/2018 att andra metoder för att förse identitetshandlingar med säkerhetsdetaljer vid tryckningen, såsom hologram eller vattenmärken, utgör betydligt mindre ingripande åtgärder, samtidigt som de även gör det möjligt att förhindra förfalskning av identitetshandlingar och att kontrollera deras äkthet. Den omständigheten att identitetskort med defekt elektroniskt chip fortfarande är giltiga enligt tysk rätt visar för övrigt att de fysiska säkerhetsdetaljerna, särskilt mikrotext och UV-tryck, räcker för att garantera kortens säkerhet.

39      Vidare innebär artikel 3.7 i förordning 2019/1157 att medlemsstaterna har rätt att undanta barn under tolv år från skyldigheten att lämna fingeravtryck och att medlemsstaterna under alla omständigheter är skyldiga att undanta barn under sex år från denna skyldighet. Detta visar att upptagning av två fingeravtryck inte är absolut nödvändig.

40      I övrigt strider artikel 3.5 i förordning 2019/1157 mot principen om uppgiftsminimering i artikel 5 i dataskyddsförordningen, av vilken framgår att insamling och användning av personuppgifter ska vara adekvat, relevant och inte för omfattande i förhållande till de ändamål för vilka uppgifterna behandlas. Den hänskjutande domstolen har därvid anfört att upptagning av två hela fingeravtryck, och inte bara vissa mätpunkter från fingeravtrycken, visserligen främjar interoperabilitet mellan olika typer av system, men att detta samtidigt ökar mängden lagrade personuppgifter och därmed risken för identitetsstöld vid ett eventuellt dataläckage. Denna risk är enligt den hänskjutande domstolen för övrigt inte försumbar, eftersom de elektroniska chip som används i identitetskort kan läsas av icke auktoriserade avläsare.

41      Slutligen har den hänskjutande domstolen i allt väsentligt anfört att begränsningen av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna inte kan anses vara legitim. Såsom datatillsynsmannen påpekade i yttrande 7/2018 var förhållandena vid tidpunkten för antagandet av förordning 2019/1157 sådana att antalet förfalskade identitetskort var relativt litet i förhållande till antalet utfärdade kort (38 870 förfalskade kort ska ha konstaterats mellan år 2013 och år 2017) och detta antal hade då varit avtagande sedan flera år tillbaka.

42      Det är mot ovan angivna bakgrund som Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden) har beslutat att vilandeförklara målet och ställa följande fråga till EU-domstolen:

”Ska den i artikel 3.5 i [förordning 2019/1157] angivna skyldigheten att införa och lagra fingeravtryck i identitetskort anses strida mot överordnad unionsrätt, i synnerhet

a)      mot artikel 77.3 FEUF,

b)      mot artiklarna 7 och 8 i [stadgan],

c)      mot artikel 35.10 i [dataskyddsförordningen],

och därmed anses vara ogiltig på någon av dessa grunder?”

III. Prövning av giltighetsfrågan

43      Den hänskjutande domstolen har ställt sin fråga för att få klarhet i huruvida förordning 2019/1157 är ogiltig i sin helhet eller i vissa delar på grund av att den har antagits på en felaktig rättslig grund samt att den strider mot artikel 35.10 i dataskyddsförordningen och artiklarna 7 och 8 i stadgan.

A.      Den första ogiltighetsgrunden: Förordning 2019/1157 har antagits på en felaktig rättslig grund

44      Den första ogiltighetsgrund som den hänskjutande domstolen har tagit upp avser frågan huruvida det var fel att anta förordning 2019/1157 med stöd av artikel 21.2 FEUF, samt huruvida förordningen i stället borde ha antagits med stöd av artikel 77.3 FEUF, och därmed med tillämpning av det i den bestämmelsen angivna särskilda lagstiftningsförfarandet, mot bakgrund av bland annat den uttryckliga hänvisningen till identitetskort som görs där och den lösning som EU-domstolen valde i domen av den 17 oktober 2013, Schwarz (C‑291/12, EU:C:2013:670).

1.      Inledande synpunkter

45      Enligt fast rättspraxis ska valet av rättslig grund för en unionsrättsakt grundas på objektiva omständigheter som kan bli föremål för domstolsprövning, däribland rättsaktens syfte och innehåll (dom av den 16 februari 2022, Ungern/parlamentet och rådet, C‑156/21, EU:C:2022:97, punkt 107, och dom av den 16 februari 2022, Polen/parlamentet och rådet, C‑157/21, EU:C:2022:98, punkt 121).

46      Det ska vidare påpekas att i fall där det finns en mer specifik bestämmelse i fördragen som kan användas som rättslig grund för den aktuella rättsakten, så är det denna som ska användas (dom av den 6 september 2012, parlamentet/rådet, C‑490/10, EU:C:2012:525, punkt 44, och dom av den 8 december 2020, Polen/parlamentet och rådet, C‑626/18, EU:C:2020:1000, punkt 48 och där angiven rättspraxis).

47      Därutöver gäller att om prövningen av en unionsrättsakt visar att den har flera syften eller flera beståndsdelar, och om ett av dessa syften eller en av dessa beståndsdelar kan identifieras som det – eller den – huvudsakliga eller dominerande, medan de övriga endast är av underordnad betydelse eller har en ytterst begränsad räckvidd, ska den rättsliga grunden för att anta den aktuella rättsakten fastställas utifrån dess huvudsakliga syfte eller beståndsdel (se, för ett liknande resonemang, dom av den 20 november 2018, kommissionen/rådet (Marina skyddsområden Antarktis), C‑626/15 och C‑659/16, EU:C:2018:925, punkt 77, och yttrande 1/19 (Istanbulkonventionen) av den 6 oktober 2021, EU:C:2021:832, punkt 286).

2.      Tillämpningsområdena för artikel 21.2 FEUF respektive artikel 77.3 FEUF

48      Av artikel 21.2 FEUF framgår att om en åtgärd från unionens sida är nödvändig för att säkerställa att alla unionsmedborgare har rätt att fritt röra sig och uppehålla sig inom medlemsstaternas territorier, och om inte befogenheter för detta ändamål föreskrivs i fördragen, får parlamentet och rådet i enlighet med det ordinarie lagstiftningsförfarandet anta bestämmelser för att underlätta utövandet av dessa rättigheter.

49      Denna bestämmelse ger således unionen en allmän befogenhet att anta de bestämmelser som behövs för att underlätta för unionsmedborgarna att utöva sin rätt enligt artikel 20.2 a FEUF att fritt röra sig och uppehålla sig inom medlemsstaternas territorier, om inte befogenheter för detta ändamål föreskrivs i fördragen.

50      Till skillnad från artikel 21.2 FEUF föreskrivs i artikel 77.3 FEUF uttryckligen sådana befogenheter när det gäller att anta bestämmelser om pass, identitetskort, uppehållstillstånd eller andra liknande handlingar som utfärdas till unionsmedborgare i syfte att underlätta för dem att utöva sin rätt enligt artikel 20.2 a FEUF att fritt röra sig och uppehålla sig inom medlemsstaternas territorier.

51      Artikel 77.3 FEUF ingår visserligen i EUF-fördragets avdelning V (”Ett område med frihet, säkerhet och rättvisa”), närmare bestämt i denna avdelnings kapitel 2 (”Politik som gäller gränskontroll, asyl och invandring”). Det ska dock påpekas att det av artikel 77.1 FEUF framgår att unionen ska utforma en politik med syftet att säkerställa både att det inte förekommer någon kontroll av personer, oavsett deras medborgarskap, när de passerar de inre gränserna, och att det sker en kontroll av personer och en effektiv övervakning i fråga om passage av de yttre gränserna samt att stegvis införa ett integrerat system för förvaltning av de yttre gränserna. De bestämmelser om pass, identitetskort, uppehållstillstånd eller andra liknande handlingar som omfattas av den befogenhetsgrund som föreskrivs i artikel 77.3 FEUF utgör en integrerad del av en sådan politik som unionen ska utforma. Vad gäller unionsmedborgare är det nämligen med hjälp av dessa handlingar som dessa kan styrka bland annat att de omfattas av rätten att fritt röra sig och uppehålla sig inom medlemsstaternas territorier och därmed utöva denna rätt. Det nu sagda innebär att artikel 77.3 FEUF kan utgöra rättslig grund för att anta bestämmelser om sådana handlingar av detta slag, om detta behövs för att underlätta utövandet av den rätt som föreskrivs i artikel 20.2 a FEUF.

52      Någon annan tolkning av det materiella tillämpningsområdet för artikel 77.3 FEUF föranleds inte av det som parlamentet, rådet och kommissionen har anfört om den historiska utvecklingen av fördragen i fråga om unionens befogenhet att anta bestämmelser om pass, identitetskort, uppehållstillstånd och andra liknande handlingar, eller av den av den tyska regeringen åberopade omständigheten att det i denna bestämmelse föreskrivs att den ska tillämpas ”om inte befogenheter för detta ändamål föreskrivs i fördragen”.

53      Genom Lissabonfördraget upphävdes visserligen den tidigare bestämmelsen i artikel 18.3 EG, som uttryckligen uteslöt möjligheten för unionslagstiftaren att använda artikel 18.2 EG (nu artikel 21.2 FEUF) som rättslig grund för att anta såväl ”bestämmelser om pass, identitetskort, uppehållstillstånd eller andra jämförbara dokument” som ”bestämmelser om social trygghet eller socialt skydd”. Samtidigt innebar Lissabonfördraget dock att unionen uttryckligen gavs en befogenhet att vidta åtgärder på dessa två områden (det vill säga dels genom artikel 21.3 FEUF vad gäller social trygghet och socialt skydd, dels genom artikel 77.3 FEUF vad gäller bestämmelser om pass, identitetskort, uppehållstillstånd eller andra liknande handlingar), och att det infördes ett särskilt lagstiftningsförfarande för att anta bestämmelser på nämnda områden, som bland annat innefattar krav på enhällighet i rådet.

54      Vid sådana förhållanden kan upphävandet av den tidigare bestämmelsen i artikel 18.3 EG inte anses ha medfört att det numera skulle vara möjligt att anta ”bestämmelser om pass, identitetskort, uppehållstillstånd eller andra jämförbara dokument” med stöd av artikel 21.2 FEUF. Tvärtom framgår det av den historiska utvecklingen att fördragens upphovsmän genom artikel 77.3 FEUF har avsett att ge unionen en mer specifik befogenhet att anta sådana bestämmelser för att underlätta utövandet av den i artikel 20.2 a FEUF angivna rätten att fritt röra sig och uppehålla sig inom medlemsstaternas territorier än den allmännare befogenhet som föreskrivs i artikel 21.2 FEUF.

55      Härtill kommer att lokutionen ”om inte befogenheter för detta ändamål föreskrivs i fördragen” i artikel 77.3 FEUF måste läsas mot bakgrund av EUF-fördragets allmänna systematik. Den ska således förstås på så sätt att de befogenheter att vidta åtgärder som det talas om i bestämmelsen inte är befogenheter som föreskrivs i en bestämmelse med allmännare räckvidd, såsom artikel 21.2 FEUF, utan i en ännu mer specifik bestämmelse.

56      EU-domstolen finner mot bakgrund av det nu anförda att artikel 21.2 FEUF endast kan anses ha utgjort korrekt rättslig grund för att anta förordning 2019/1157 under förutsättning att förordningens huvudsakliga eller dominerande syfte eller beståndsdel ligger utanför det specifika tillämpningsområdet för artikel 77.3 FEUF, det vill säga utfärdande av pass, identitetskort, uppehållstillstånd eller andra liknande handlingar i syfte att underlätta utövandet av den rätt som föreskrivs i artikel 20.2 a FEUF.

3.      Frågan om vad som utgör det huvudsakliga eller dominerande syftet med förordning 2019/1157 eller förordningens huvudsakliga eller dominerande beståndsdel

57      EU-domstolen ska först pröva frågan om vad som utgör syftet med förordning 2019/1157. Därvid framgår av artikel 1 i förordningen att syftet består i att skärpa säkerhetskraven i fråga om identitetskort som medlemsstaterna utfärdar till sina medborgare och uppehållshandlingar som medlemsstaterna utfärdar till unionsmedborgare och deras familjemedlemmar när de utövar sin rätt till fri rörlighet inom unionen.

58      I linje med detta anges i skäl 46 i förordningen att dess mål består i att ”öka säkerheten” kring dessa resehandlingar och identitetshandlingar för att ”underlätta utövandet av rätten till fri rörlighet för unionsmedborgare och deras familjemedlemmar”, vilket även framgår av skälen 1, 2, 5, 17, 28, 29 och 36 i förordningen.

59      Vad därefter gäller innehållet i förordning 2019/1157 ska det påpekas att förordningen består av sexton artiklar. I artiklarna 1 och 2 i förordningen definieras dess syfte respektive tillämpningsområde. Artiklarna 3 och 4 samt 6 och 7 i förordning 2019/1157 utgör förordningens huvudsakliga beståndsdelar. I dessa artiklar anges bland annat vilka krav som gäller i fråga om säkerhet, innehåll, format eller specifikationer för identitetskort och uppehållshandlingar som utfärdas av medlemsstaterna. Av artiklarna 5 och 8 i förordningen framgår att identitetskort och uppehållskort som inte uppfyller förordningens krav ska fasas ut. I artiklarna 9–16 i förordning 2019/1157 anges närmare hur de i förordningen angivna skyldigheterna ska genomföras, särskilt vad gäller insamling av biometriska kännetecken och skydd av personuppgifter.

60      I artikel 2 i förordning 2019/1157 anges visserligen att förordningen inte bara ska tillämpas på identitetskort som medlemsstaterna utfärdar till sina egna medborgare, utan även på bevis om registrering som utfärdas i enlighet med artikel 8 i direktiv 2004/38 till unionsmedborgare som uppehåller sig i en mottagande medlemsstat mer än tre månader samt på intyg om permanent uppehållsrätt som utfärdas i enlighet med artikel 19 i samma direktiv; sådana bevis och intyg kan inte likställas med identitetskort, pass eller uppehållstillstånd. Förordning 2019/1157 innehåller dock inte någon bestämmelse som reglerar sådana bevis om registrering. I artikel 6 första stycket f i förordningen anges endast att de uppehållshandlingar som medlemsstaterna utfärdar till unionsmedborgare ska innehålla den information som ska ingå i bevis om registrering och intyg om permanent uppehållsrätt som utfärdas i enlighet med artiklarna 8 respektive 19 i direktiv 2004/38. Förordningens syfte och beståndsdelar måste därför anses ha en ytterst begränsad räckvidd i fråga om bevis om registrering av nyss nämnt slag, vilket innebär att den rättsliga grunden för denna förordning inte kan fastställas utifrån detta syfte eller denna beståndsdel.

61      Vid sådana förhållanden finner EU-domstolen att det framgår av förordningens huvudsakliga syfte och beståndsdelar att den ingår bland de rättsakter som omfattas av det specifika tillämpningsområdet för artikel 77.3 FEUF, såsom detta fastställts i punkterna 48–51 ovan.

62      Unionslagstiftarens val att anta förordning 2019/1157 med stöd av artikel 21.2 FEUF strider således mot artikel 77.3 FEUF och innebär att lagstiftaren inte har tillämpat korrekt lagstiftningsförfarande.

63      Härav följer att den första ogiltighetsgrund som den hänskjutande domstolen har tagit upp – nämligen att det var fel att anta förordning 2019/1157 med stöd av artikel 21.2 FEUF och med tillämpning av det ordinarie lagstiftningsförfarandet – är ägnad att medföra att denna förordning är ogiltig.

B.      Den andra ogiltighetsgrunden: Åsidosättande av artikel 35.10 i dataskyddsförordningen

64      Den andra ogiltighetsgrund som den hänskjutande domstolen har tagit upp avser att förordning 2019/1157 antogs utan att det hade gjorts någon konsekvensbedömning avseende dataskydd, i strid med artikel 35.10 i dataskyddsförordningen.

65      Av artikel 35.1 i dataskyddsförordningen framgår följande. Om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. I artikel 35.3 i dataskyddsförordningen anges att en sådan bedömning krävs vid behandling i stor omfattning av särskilda kategorier av uppgifter som avses i artikel 9.1 i förordningen, såsom biometriska uppgifter för att entydigt identifiera en fysisk person.

66      Vad gäller det nu aktuella fallet kan det konstateras att förordning 2019/1157 i sig inte innebär att det vidtas några åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, utan endast att medlemsstaterna åläggs att utföra vissa behandlingar av personuppgifter vid ansökan om identitetskort. EU-domstolen finner således att det inte var en förutsättning för att kunna anta förordningen att det först gjorts en konsekvensbedömning av den planerade behandlingen, i den mening som avses i artikel 35.1 i dataskyddsförordningen, innan förordningen antogs. Genom artikel 35.10 i dataskyddsförordningen införs dock ett undantag från dess artikel 35.1.

67      Det nu sagda innebär att artikel 35.1 i dataskyddsförordningen inte var tillämplig vid antagandet av förordning 2019/1157, vilket i sin tur innebär att det inte kunde strida mot artikel 35.10 i dataskyddsförordningen att anta förordning 2019/1157.

68      Mot bakgrund av det ovan anförda finner EU-domstolen att den andra ogiltighetsgrunden, som avser åsidosättande av artikel 35.10 i dataskyddsförordningen, inte är ägnad att medföra att förordning 2019/1157 är ogiltig.

C.      Den tredje ogiltighetsgrunden: Artikel 3.5 i förordning 2019/1157 är oförenlig med artiklarna 7 och 8 i stadgan

69      Den tredje ogiltighetsgrund som den hänskjutande domstolen har tagit upp avser frågan huruvida den i artikel 3.5 i förordning 2019/1157 angivna skyldigheten att införa två hela fingeravtryck i lagringsmediet i identitetskort som utfärdas av medlemsstaterna medför en omotiverad begränsning av de rättigheter som garanteras i artiklarna 7 och 8 i stadgan.

1.      Huruvida det föreligger en begränsning

70      I artikel 7 i stadgan föreskrivs bland annat att var och en har rätt till respekt för sitt privatliv. Enligt artikel 8.1 i stadgan har var och en rätt till skydd av de personuppgifter som rör honom eller henne. Av dessa bestämmelser sammantagna framgår att all personuppgiftsbehandling som utförs av tredje part i princip kan anses utgöra ett ingrepp i dessa rättigheter (dom av den 17 oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, punkt 25).

71      Vad gäller det nu aktuella fallet kan följande konstateras. Av artikel 3.5 i förordning 2019/1157 framgår att identitetskort utfärdade av medlemsstaterna till sina egna medborgare ska innefatta ett mycket säkert lagringsmedium och att detta ska innehålla biometriska uppgifter, det vill säga en ansiktsbild och två fingeravtryck i interoperabla digitala format.

72      Denna typ av personuppgifter gör det möjligt att exakt identifiera de berörda fysiska personerna och är särskilt känsliga på grund av de betydande risker för grundläggande fri- och rättigheter som användningen av dem kan innebära. Detta framgår särskilt av skäl 51 i dataskyddsförordningen, som är tillämplig på de aktuella uppgifterna (se skäl 40 i förordning 2019/1157).

73      Det nu sagda innebär att den i artikel 3.5 i förordning 2019/1157 angivna skyldigheten att införa två fingeravtryck i lagringsmediet i identitetskort utgör en begränsning av såväl rätten till respekt för privatlivet som rätten till skydd av personuppgifter, vilka slås fast i artikel 7 respektive artikel 8 i stadgan.

74      Härtill kommer att denna skyldighet innebär att två på varandra följande åtgärder som utgör behandling av personuppgifter först måste vidtas. Den ena består i upptagning av den registrerades fingeravtryck och den andra består i att fingeravtrycken tillfälligt lagras för personalisering av identitetskortet. Båda åtgärderna regleras i artikel 10 i förordningen. Även dessa åtgärder utgör begränsningar av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna.

2.      Huruvida begränsningen är motiverad

75      Av fast rättspraxis framgår att de i artiklarna 7 respektive 8 i stadgan garanterade rättigheterna avseende respekt för privatlivet och skydd av personuppgifter inte utgör några absoluta rättigheter, utan måste bedömas utifrån deras funktion i samhället (se, för ett liknande resonemang, dom av den 20 september 2022, SpaceNet och Telekom Deutschland, C‑793/19 och C‑794/19, EU:C:2022:702, punkt 63).

76      Dessa rättigheter får således begränsas, dock endast under de förutsättningar som anges i artikel 52.1 i stadgan. Av första meningen i den bestämmelsen framgår att begränsningarna ska vara föreskrivna i lag och förenliga med det väsentliga innehållet i dessa rättigheter. Av andra meningen i bestämmelsen framgår vidare att begränsningarna, med iakttagande av proportionalitetsprincipen, måste vara nödvändiga och faktiskt svara mot mål av allmänt samhällsintresse som erkänns av unionen eller mot behovet av skydd för andra människors fri- och rättigheter. I detta avseende anges i artikel 8.2 i stadgan ett krav på att behandling av personuppgifter bland annat ska ske ”för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund”.

a)      Huruvida legalitetsprincipen har iakttagits 

77      Kravet i artikel 52.1 första meningen i stadgan på att samtliga begränsningar av i stadgan stadfästa rättigheter ska vara föreskrivna i lag innebär att det av själva lagstödet för rättighetsingreppet klart ska framgå vilken räckvidd begränsningen av den aktuella rättigheten har. Nämnda krav hindrar dock inte att en rättighetsbegränsning ges en tillräckligt öppen formulering för att den ska kunna anpassas till olika fall och till förändrade förhållanden. Vidare kan EU-domstolen i förekommande fall tolkningsvägen precisera den konkreta räckvidden av begränsningen med beaktande av såväl själva lydelsen i den aktuella unionslagstiftningen som dess allmänna systematik och eftersträvade mål, såsom dessa tolkats mot bakgrund av de i stadgan garanterade grundläggande rättigheterna (dom av den 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punkt 114 och där angiven rättspraxis).

78      Vad beträffar det nu aktuella fallet gör EU-domstolen följande bedömning. Av artiklarna 3.5 samt 10.1 och 10.3 i förordning 2019/1157 – vilka är bestämmelser som unionslagstiftaren antagit med tillämpning av det ordinarie lagstiftningsförfarandet och vars verkningar ska bestå i enlighet med vad som anges nedan – framgår klart och tydligt vilka begränsningar av de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna som följer av skyldigheten att införa två hela fingeravtryck i lagringsmediet i identitetskort utfärdade av medlemsstaterna samt vilka förutsättningar som gäller för tillämpningen av dessa begränsningar och vilken räckvidd de har.

79      Dessa begränsningar av de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna uppfyller således legalitetsprincipen, såsom den kommer till uttryck i artikel 52.1 första meningen i stadgan.

b)      Huruvida kravet på förenlighet med det väsentliga innehållet i de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna har iakttagits

80      Det ska konstateras att den information som fingeravtrycken innehåller inte i sig gör det möjligt att få en bild av de berörda personernas privat- och familjeliv.

81      Vid sådana förhållanden finner EU-domstolen att den rättighetsbegränsning som följer av den i artikel 3.5 i förordning 2019/1157 angivna skyldigheten att införa två fingeravtryck i lagringsmediet i identitetskort utfärdade av medlemsstaterna inte strider mot det väsentliga innehållet i de grundläggande rättigheter som slås fast i artiklarna 7 och 8 i stadgan (se, analogt, dom av den 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punkt 120).

c)      Huruvida proportionalitetsprincipen har iakttagits

82      Av artikel 52.1 andra meningen i stadgan framgår att en förutsättning för att begränsningar av de i stadgan garanterade grundläggande rättigheterna ska kunna göras med iakttagande av proportionalitetsprincipen är att rättighetsbegränsningarna är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller mot behovet av skydd för andra människors fri- och rättigheter.

83      Närmare bestämt ska undantag från och begränsningar av skyddet för personuppgifter inskränkas till vad som är absolut nödvändigt. När det finns flera ändamålsenliga åtgärder att välja mellan för att uppnå de legitima mål som eftersträvas, ska den åtgärd väljas som är minst ingripande. När ett mål av allmänt samhällsintresse eftersträvas måste det dessutom beaktas att detta mål ska vara förenligt med de grundläggande rättigheter som berörs av den aktuella åtgärden. Här ska en balanserad avvägning göras mellan å ena sidan målet av allmänt samhällsintresse och å andra sidan de berörda rättigheterna, för att säkerställa att de olägenheter som åtgärden medför inte är orimliga i förhållande till de eftersträvade målen. Möjligheten att motivera en begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna ska således bedömas utifrån allvaret i det ingrepp som rättighetsbegränsningen medför och genom en prövning av huruvida betydelsen av det mål av allmänt samhällsintresse som eftersträvas med denna begränsning står i proportion till ingreppets allvar (dom av den 22 november 2022, Luxembourg Business Registers, C‑37/20 och C‑601/20, EU:C:2022:912, punkt 64 och där angiven rättspraxis).

84      Överfört på förevarande fall innebär det nyss anförda att de ingrepp i de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som följer av den i artikel 3.5 i förordning 2019/1157 angivna skyldigheten att införa två fingeravtryck i lagringsmediet i identitetskort ska prövas mot proportionalitetsprincipen, vilket i sig innefattar en prövning i tre led. Prövningen avser i det första ledet om denna åtgärd eftersträvar ett eller flera av unionen erkända mål av allmänt samhällsintresse och faktiskt är ägnad att uppnå dessa mål, i det andra ledet om rättighetsingreppen är begränsade till vad som är absolut nödvändigt, i den meningen att målen inte rimligen skulle kunna uppnås lika effektivt med andra medel som innebär ett mindre intrång i de berörda personernas grundläggande rättigheter, och i det tredje ledet om ingreppen står i rimlig proportion till de eftersträvade målen, vilket bland annat innefattar en avvägning mellan dessa mål och ingreppens allvar (se, för ett liknande resonemang, dom av den 22 november 2022, Luxembourg Business Registers, C‑37/20 och C‑601/20, EU:C:2022:912, punkt 66, och dom av den 8 december 2022, Orde van Vlaamse Balies m.fl., C‑694/20, EU:C:2022:963, punkt 42).

1)      Huruvida den aktuella åtgärden eftersträvar ett eller flera av unionen erkända mål av allmänt samhällsintresse och huruvida åtgärden är ägnad att uppnå dessa mål

i)      Huruvida de mål som eftersträvas med åtgärden är av allmänt samhällsintresse

85      Av artikel 1 i förordning nr 2019/1157 framgår att syftet med förordningen är att skärpa säkerhetskraven för bland annat identitetskort som medlemsstaterna utfärdar till sina medborgare när de utövar sin rätt till fri rörlighet inom unionen.

86      Mer specifikt kan följande konstateras. Av skälen 4, 5, 17–20 och 32 i förordning 2019/1157 framgår att syftet med att införa biometriska uppgifter, däribland två hela fingeravtryck, i lagringsmediet i identitetskort är att garantera identitetskortens äkthet och att möjliggöra tillförlitlig identifiering av innehavaren. Av skälen 23 och 33 samt artikel 3.5 i förordningen framgår att denna åtgärd samtidigt bidrar till att uppnå interoperabilitet mellan olika system för kontroll av identitetshandlingar, i syfte att minska risken för förfalskning och dokumentbedrägeri.

87      EU-domstolen har dock i tidigare avgöranden, som rörde utfärdande av pass (se, för ett liknande resonemang, dom av den 17 oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, punkterna 36–38) respektive upprättande av ett register för identifiering av tredjelandsmedborgare (se, för ett liknande resonemang, dom av den 3 oktober 2019, A m.fl., C‑207/18, EU:C:2019:823, punkt 46 och där angiven rättspraxis), redan slagit fast att målet att motverka dokumentbedrägeri, vilket bland annat innefattar att motverka tillverkning av falska identitetskort och identitetsstöld, utgör ett av unionen erkänt mål av allmänt samhällsintresse.

88      Även målet att uppnå interoperabilitet mellan olika system för kontroll av identitetshandlingar är ett mål av nyss nämnt slag. Såsom framgår av skäl 17 i förordning 2019/1157 bidrar detta nämligen till att underlätta för unionsmedborgarna att utöva sin rätt enligt artikel 20 FEUF att fritt röra sig och uppehålla sig inom medlemsstaternas territorier.

ii)    Huruvida åtgärden är ägnad att faktiskt svara mot de eftersträvade målen av allmänt samhällsintresse

89      Vad gäller det nu aktuella fallet gör EU-domstolen bedömningen att åtgärden att införa två hela fingeravtryck i lagringsmediet i identitetskort är ägnad att uppnå de mål av allmänt samhällsintresse som unionslagstiftaren har anfört för att motivera denna åtgärd, det vill säga målen att motverka tillverkning av falska identitetskort och identitetsstöld samt att uppnå interoperabilitet mellan olika kontrollsystem.

90      Det ska först påpekas att införandet av biometriska uppgifter, såsom fingeravtryck, i identitetskort är en åtgärd som kan göra att det blir svårare att tillverka falska identitetskort. Av artikel 3.5 jämförd med artikel 14.1 och 14.2 i förordning 2019/1157 framgår nämligen bland annat att sådana uppgifter ska lagras i enlighet med exakta tekniska specifikationer som kan hållas hemliga.

91      Införandet av biometriska uppgifter möjliggör vidare tillförlitlig kontroll av identitetskortets äkthet och av kortinnehavarens identitet, vilket därmed minskar risken för bedrägeri. Detta framgår av artikel 11.6 samt skälen 18 och 19 i förordning 2019/1157.

92      Unionslagstiftarens val att föreskriva en skyldighet att införa hela fingeravtryck får även anses vara ägnat att uppnå målet att uppnå interoperabilitet mellan olika system för kontroll av identitetskort. Användningen av hela fingeravtryck gör det nämligen möjligt att säkerställa driftskompatibilitet mellan samtliga automatiserade system för identifiering av fingeravtryck som används av medlemsstaterna, trots att dessa system inte nödvändigtvis använder samma identifieringsmekanism.

93      Den hänskjutande domstolen har därutöver påpekat att det av artikel 3.7 första stycket i förordning 2019/1157 framgår att medlemsstaterna får undanta bland annat barn under tolv år från kravet på upptagning av fingeravtryck, samt att medlemsstaterna till och med, enligt bestämmelsens andra stycke, ska undanta barn under sex år från nämnda krav.

94      Som förutsättning för att en lagstiftning ska kunna anses vara ägnad att säkerställa att det åberopade målet uppnås gäller visserligen att de åtgärder som föreskrivs däri verkligen svarar mot en avsikt att uppnå målet och att åtgärderna genomförs på ett sammanhängande och systematiskt sätt (se, analogt, dom av den 5 december 2023, Nordic Info, C‑128/22, EU:C:2023:951, punkt 84 och där angiven rättspraxis).

95      EU-domstolen finner dock att förordning 2019/1157 uppfyller detta krav, trots att den föreskriver undantag från kravet på upptagning av fingeravtryck när det gäller barn. Av skäl 26 i förordningen framgår nämligen att dessa undantag syftar till att sätta barnets intressen i främsta rummet.

96      Detsamma gäller regeln i artikel 5 i förordning 2019/1157, av vilken framgår att identitetskort som inte uppfyller kraven i förordningens artikel 3 ska fortsätta att vara giltiga till dess att de löper ut, dock inte längre än till och med den 3 augusti 2031. Unionslagstiftaren hade nämligen rätt att anse att en sådan övergångsperiod var lämplig för att undvika att medlemsstaterna skulle behöva utfärda nya identitetskort till samtliga berörda personer under en mycket kort tidsperiod, utan att detta påverkade de långsiktiga verkningarna av de i förordningen föreskrivna åtgärderna.

97      När det gäller den omständigheten att vissa medlemsstater i sin lagstiftning föreskriver att identitetskort som de utfärdar fortsätter att vara giltiga trots att det elektroniska lagringsmediet är defekt, räcker det att påpeka att sådan lagstiftning endast är förenlig med förordning 2019/1157 så länge den i föregående punkt nämnda övergångsperioden inte har löpt ut.

2)      Huruvida den aktuella åtgärden är nödvändig för att uppnå de eftersträvade målen av allmänt samhällsintresse

98      Vad därvid först gäller själva principen att införa fingeravtryck i lagringsmediet i identitetskort, ska det påpekas att fingeravtryck utgör en tillförlitlig och effektiv metod för att med säkerhet fastställa en persons identitet och att förfarandet vid fingeravtrycksupptagning är lätt att genomföra.

99      I synnerhet ska konstateras – i likhet med vad generaladvokaten har anfört i punkt 90 i sitt förslag till avgörande – att det ur identifieringssynpunkt skulle vara mindre effektivt om lagringsmediet enbart innehöll en ansiktsbild istället för både en ansiktsbild och två fingeravtryck, eftersom faktorer som åldrande, livsstil, sjukdom och kirurgiska ingrepp av estetisk eller rekonstruktiv art även kan förändra ett ansiktes anatomiska egenskaper.

100    I kommissionens konsekvensbedömning som åtföljde förslaget till förordning 2019/1157 angavs visserligen att det alternativ som bör föredras är att inte göra det obligatoriskt att föra in två fingeravtryck i lagringsmediet i identitetskort.

101    Här ska dock påpekas att kommissionen själv valde att inte föreslå detta alternativ i sitt lagstiftningsförslag. Härtill kommer att även om det av punkt 14 i det interinstitutionella avtalet framgår att parlamentet och rådet är skyldiga att vid behandlingen av kommissionens lagstiftningsförslag fullt ut beakta kommissionens konsekvensbedömningar, så anges i punkt 12 i avtalet att konsekvensbedömningar ”är ett verktyg som ska hjälpa de tre institutionerna att fatta välinformerade beslut men de kan inte ersätta politiska beslut i den demokratiska beslutsprocessen”. Parlamentet och rådet är således skyldiga att beakta kommissionens konsekvensbedömningar, men de är inte bundna av deras innehåll, särskilt när det gäller de slutsatser som dras i dem (se, för ett liknande resonemang, dom av den 21 juni 2018, Polen/parlamentet och rådet, C‑5/16, EU:C:2018:483, punkt 159 och där angiven rättspraxis).

102    Det nu sagda innebär att enbart den omständigheten att unionslagstiftaren har valt en annan och, i förekommande fall, mer betungande åtgärd än den som rekommenderades i konsekvensbedömningen inte räcker för att visa att lagstiftaren har överskridit gränserna för vad som är nödvändigt för att uppnå det eftersträvade målet (se, för ett liknande resonemang, dom av den 4 maj 2016, Pillbox 38, C‑477/14, EU:C:2016:324, punkt 65).

103    Vad gäller det nu aktuella fallet ska följande påpekas. Kommissionen konstaterade i sin konsekvensbedömning att det effektivaste alternativet för att uppnå det särskilda målet att motverka tillverkningen av falska identitetskort och förbättra äkthetskontrollen av handlingar var att göra det obligatoriskt att införa fingeravtryck i lagringsmediet i identitetskort. Vid sådana förhållanden kan alternativet att inte göra detta obligatoriskt ändå inte medföra att den åtgärd som unionslagstiftaren valt att införa inte anses uppfylla kravet på nödvändighet, i den mening som avses i den rättspraxis som anges i punkt 84 ovan.

104    Vad därefter gäller införandet av två hela fingeravtryck, och inte bara vissa mätpunkter från fingeravtrycket med dess karakteristiska egenskaper, ska det för det första konstateras – i likhet med vad generaladvokaten har anfört i punkt 93 i sitt förslag till avgörande – att ett sådant urval av vissa mätpunkter inte ger samma garantier som ett helt fingeravtryck. För det andra är det nödvändigt att införa hela fingeravtryck för att säkerställa interoperabilitet mellan olika system för kontroll av identitetshandlingar, vilket utgör ett av de centrala målen med förordning 2019/1157. Såsom framgår av punkt 47 i yttrande 7/2018 använder medlemsstaterna nämligen olika tekniker för fingeravtrycksigenkänning. Detta har även den hänskjutande domstolen påpekat. Alternativet att i identitetskortets lagringsmedium endast införa vissa karakteristiska egenskaper hos fingeravtrycket skulle därmed äventyra uppnåendet av det med förordningen eftersträvade målet att säkerställa interoperabilitet mellan olika system för kontroll av identitetshandlingar.

105    Av det ovan anförda följer att de begränsningar av de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna som följer av skyldigheten att införa två hela fingeravtryck i lagringsmediet inte kan anses gå utöver vad som är absolut nödvändigt.

3)      Huruvida det gjorts en avvägning mellan, å ena sidan, det aktuella rättighetsingreppets allvar och, å andra sidan, de mål som eftersträvas med den aktuella åtgärden

i)      Allvaret i det ingrepp som begränsningen av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna medför

106    Vid bedömningen av allvaret i det ingrepp som en begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna medför ska det tas hänsyn till vilken typ av personuppgifter det är fråga om, i synnerhet till att det kan vara fråga om känsliga uppgifter. Vidare ska det tas hänsyn till vilken typ av personuppgiftsbehandling det är fråga om och hur denna konkret går till, varvid det särskilt ska beaktas hur många personer som har tillgång till uppgifterna och formerna för åtkomst till dessa. I förekommande fall ska det därutöver tas hänsyn till huruvida det finns åtgärder för att förebygga risken för otillåten personuppgiftsbehandling.

107    Den nu aktuella rättighetsbegränsningen, det vill säga den begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som följer av förordning 2019/1157, kan visserligen komma att beröra ett stort antal personer. Kommissionen uppskattade i sin konsekvensbedömning detta antal till 370 miljoner av de 440 miljoner invånare som unionen då hade. Biometriska uppgifter som fingeravtryck är till sin natur särskilt känsliga och åtnjuter ett särskilt skydd i unionsrätten, såsom bland annat framgår av skäl 51 i dataskyddsförordningen.

108    Det ska dock påpekas att förordning 2019/1157 endast tillåter upptagning och lagring av två hela fingeravtryck i syfte att införa fingeravtrycken i lagringsmedium i identitetskort.

109    Det framgår dessutom av artikel 3.5 jämförd med artikel 10.3 i förordningen att när fingeravtrycken väl har införts och identitetskortet har överlämnats till den berörda personen, kommer de upptagna fingeravtrycken endast att finnas sparade på lagringsmediet i den berörda personens identitetskort, vilket i regel fysiskt innehas av den personen.

110    I förordning 2019/1157 föreskrivs även ett antal skyddsregler med syftet att begränsa riskerna för att det i samband med genomförandet av förordningen sker insamling eller användning av personuppgifter för andra ändamål än att uppnå de mål som eftersträvas med den, inte bara när det gäller de enligt förordningen obligatoriska åtgärderna som utgör personuppgiftsbehandling, utan även med avseende på de huvudsakliga typerna av behandling som kan komma att ske av fingeravtryck som är införda i lagringsmediet i identitetskort.

111    För det första ska följande konstateras vad gäller insamlingen av uppgifter. Av artikel 10.1 och 10.2 i förordning 2019/1157 framgår att biometriska kännetecken ska samlas in ”endast av kvalificerad och vederbörligen bemyndigad personal” och att denna personal ska följa ”lämpliga och effektiva förfaranden för insamling av biometriska kännetecken”, varvid dessa förfaranden ska vara förenliga med de rättigheter och principer som slås fast i stadgan, Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och Förenta nationernas konvention om barnets rättigheter. Såsom anförts ovan i punkt 93 innehåller dessutom artikel 3.7 i förordningen särskilda regler för barn under tolv år (första och andra stycket) och för personer som det är fysiskt omöjligt att ta fingeravtryck av (tredje stycket), vilka ”ska undantas från kravet att lämna fingeravtryck”.

112    För det andra ska följande konstateras vad gäller lagringen av uppgifter. Enligt förordning 2019/1157 är medlemsstaterna skyldiga att lagra en ansiktsbild och två fingeravtryck som biometriska uppgifter. I detta avseende anges uttryckligen i skäl 21 i förordningen att denna inte utgör någon ”rättslig grund för att upprätta eller underhålla databaser på nationell nivå för lagring av biometriska uppgifter i medlemsstaterna, vilket är en fråga för nationell rätt som måste vara förenlig med unionsrätten avseende dataskydd” och inte heller utgör någon ”rättslig grund för att upprätta eller underhålla en centraliserad databas på unionsnivå”. Vidare föreskrivs i artikel 10.3 i förordningen att dessa ”biometriska kännetecken [ska] förvaras … endast fram till den dag då handlingen hämtas ut, dock aldrig längre än 90 dagar från den dag då handlingen utfärdats” och att ”[e]fter denna tidsperiod ska de biometriska kännetecknen omedelbart raderas eller förstöras”.

113    Av detta följer bland annat att artikel 10.3 i förordning 2019/1157 utgör hinder för att medlemsstaterna behandlar biometriska uppgifter för andra ändamål än de som föreskrivs i förordningen. Denna bestämmelse utgör även hinder för en centraliserad lagring av fingeravtryck som går utöver den tillfälliga lagringen av fingeravtryck för personalisering av identitetskort.

114    Slutligen framgår av artikel 11.6 i förordning 2019/1157 att biometriska uppgifter som finns lagrade i det säkra lagringsmediet kan komma att användas, i enlighet med unionsrätten och nationell rätt, av vederbörligen bemyndigad personal vid behöriga nationella myndigheter och unionsbyråer.

115    Enligt artikel 11.6 a i förordningen får biometriska uppgifter som finns lagrade i lagringsmediet i identitetskort och uppehållshandlingar endast användas i syfte att kontrollera identitetskortets eller uppehållshandlingens äkthet.

116    Enligt artikel 11.6 b i förordningen får biometriska uppgifter som finns lagrade i lagringsmediet i identitetskort och uppehållshandlingar användas för att kontrollera innehavarens identitet ”genom direkt tillgängliga jämförbara detaljer, när uppvisande av identitetskort eller uppehållshandling krävs enligt lag eller annan författning”. En sådan uppgiftsbehandling är dock av sådant slag att den kan ge ytterligare information om de berörda personernas privatliv och den får således endast ske för ändamål som är strikt begränsade till att identifiera den berörda personen och under vissa klart avgränsade förutsättningar i den lag som innehåller kravet på uppvisande av identitetskort eller uppehållshandling.

117    För det tredje ska följande konstateras vad gäller sökning på biometriska uppgifter som finns lagrade på lagringsmedium i identitetskort. I skäl 19 i förordning 2019/1157 fastställs en prioritetsordning för sätten att kontrollera handlingens äkthet och innehavarens identitet. Där anges nämligen att medlemsstaterna ”i första hand [ska] kontrollera ansiktsbilden” och att de ska ”kontrollera fingeravtrycken” endast om detta behövs för att med säkerhet bekräfta handlingens äkthet och innehavarens identitet.

118    För det fjärde ska följande konstateras vad gäller risken för otillåten åtkomst till lagrade uppgifter. Av artikel 3.5 och 3.6 i förordning 2019/1157 framgår att denna risk ska minimeras genom att fingeravtryck ska lagras på ett ”mycket säkert lagringsmedium” med ”tillräcklig kapacitet och möjlighet att garantera uppgifternas integritet, äkthet och sekretess”. Härtill kommer att det i artikel 3.10 i förordning 2019/1157 anges att ”om medlemsstaterna lagrar uppgifter avsedda för elektroniska tjänster, såsom e-förvaltning och e-handel, i identitetskorten ska sådana nationella uppgifter fysiskt eller logiskt separeras” bland annat från fingeravtryck som samlats in och lagrats med stöd av förordningen. Slutligen framgår det av skälen 41 och 42 samt artikel 11.4 i förordningen att det även fortsättningsvis är medlemsstaterna som är ansvariga för korrekt behandling av biometriska uppgifter, även när de samarbetar med externa tjänsteleverantörer.

ii)    Betydelsen av de mål som eftersträvas med den aktuella åtgärden

119    Såsom anförts ovan i punkt 86 syftar åtgärden att införa två fingeravtryck i lagringsmediet i identitetskort till att motverka tillverkning av falska identitetskort och identitetsstöld samt till att säkerställa interoperabilitet mellan olika system för kontroll av identitetshandlingar. Åtgärden är i så måtto ägnad att bidra till att skydda de berörda personernas privatliv och, i ett större perspektiv, till att motverka brottslighet och terrorism.

120    Den gör det dessutom möjligt att tillgodose alla unionsmedborgares behov av att kunna identifiera sig på ett tillförlitligt sätt och medlemsstaternas behov av att förvissa sig om att personer som gör gällande unionsrättsliga rättigheter verkligen har dessa rättigheter. Åtgärden bidrar därmed i synnerhet till att underlätta för unionsmedborgarna att utöva sin rätt att fritt röra sig och uppehålla sig inom unionen, vilken även slås fast som en grundläggande rättighet i artikel 45 i stadgan. Det nu sagda innebär att de mål som eftersträvas med förordning 2019/1157, bland annat genom åtgärden att införa två fingeravtryck i lagringsmediet i identitetskort, är av särskild betydelse inte bara för unionen och medlemsstaterna, utan även för unionsmedborgarna.

121    Någon annan bedömning av de eftersträvade målens legitimitet och betydelse föranleds inte av den av den hänskjutande domstolen angivna omständigheten att datatillsynsmannen i punkterna 24–26 i yttrande 7/2018 påpekade att endast 38 870 fall av förfalskade identitetskort ska ha konstaterats mellan år 2013 och år 2017 och att detta antal hade varit avtagande sedan flera år tillbaka.

122    Även om man skulle anse att antalet förfalskade identitetskort vid den aktuella tiden var lågt, var unionslagstiftaren nämligen inte skyldig att vänta på att detta antal skulle öka för att vidta åtgärder för att förebygga risken för användning av förfalskade identitetskort. Tvärtom hade lagstiftaren, bland annat av riskhanteringsskäl, rätt att förekomma en sådan utveckling, under förutsättning att de övriga kraven enligt proportionalitetsprincipen var uppfyllda.

iii) Avvägning

123    Mot bakgrund av det ovan anförda finner EU-domstolen att den begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som följer av åtgärden att införa två fingeravtryck i lagringsmediet i identitetskort – bedömd utifrån vilken typ av uppgifter som berörs, vilka typer av uppgiftsbehandling som kan bli aktuella och hur de går till samt vilka skyddsregler som föreskrivs – inte kan anses vara oproportionerligt allvarlig i förhållande till betydelsen av de olika mål som eftersträvas med denna åtgärd. Den aktuella åtgärden får därmed anses vara grundad på en balanserad avvägning mellan å ena sidan de eftersträvade målen och å andra sidan de grundläggande rättigheter som berörs.

124    Begränsningen av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna strider följaktligen inte mot proportionalitetsprincipen, vilket innebär att den ovan nämnda tredje ogiltighetsgrunden inte är ägnad att medföra att förordning 2019/1157 är ogiltig.

125    Med beaktande av allt det ovan anförda finner EU-domstolen att förordning 2019/1157 är ogiltig i det att den har antagits med stöd av artikel 21.2 FEUF.

IV.    Huruvida verkningarna av förordning 2019/1157 ska bestå i tiden

126    Av rättssäkerhetsskäl kan det beslutas att verkningarna av en rättsakt som förklarats sakna giltighet ska bestå. Detta gäller särskilt i fall där de som berörs skulle drabbas av allvarliga negativa konsekvenser om domen om ogiltigförklaring hade omedelbara verkningar (se, för ett liknande resonemang, dom av den 17 mars 2016, parlamentet/kommissionen, C‑286/14, EU:C:2016:183, punkt 67).

127    Vad gäller det nu aktuella fallet kan följande konstateras. Om förordning 2019/1157 förklarades sakna giltighet med omedelbar verkan skulle detta kunna medföra allvarliga negativa konsekvenser för ett stort antal unionsmedborgare och för deras säkerhet inom området med frihet, säkerhet och rättvisa.

128    Vid sådana förhållanden beslutar EU-domstolen att verkningarna av förordning 2019/1157 ska bestå till dess att en ny – med stöd av artikel 77.3 FEUF antagen – förordning som ersätter den träder i kraft, vilket ska ske inom skälig tid, dock senast inom två år räknat från den 1 januari året efter det att denna dom meddelas.

V.      Rättegångskostnader

129    Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

Mot denna bakgrund beslutar domstolen (stora avdelningen) följande:

1)      Europaparlamentets och rådets förordning (EU) 2019/1157 av den 20 juni 2019 om säkrare identitetskort för unionsmedborgare och uppehållshandlingar som utfärdas till unionsmedborgare och deras familjemedlemmar när de utövar rätten till fri rörlighet är ogiltig.

2)      Verkningarna av förordning 2019/1157 ska bestå till dess att en ny – med stöd av artikel 77.3 FEUF antagen – förordning som ersätter den träder i kraft, vilket ska ske inom skälig tid, dock senast inom två år räknat från den 1 januari året efter det att denna dom meddelas.

Underskrifter


*      Rättegångsspråk: tyska.