DOMSTOLENS DOM (Store Afdeling)

21. marts 2024 (*)

»Præjudiciel forelæggelse – forordning (EU) 2019/1157 – styrkelse af sikkerheden af unionsborgeres identitetskort – gyldighed – retsgrundlag – artikel 21, stk. 2, TEUF – artikel 77, stk. 3, TEUF – forordning (EU) 2019/1157 – artikel 3, stk. 5 – forpligtelse for medlemsstaterne til at lagre to digitale fingeraftryk i interoperable digitale formater i identitetskorts lagringsmedium – artikel 7 i Den Europæiske Unions charter om grundlæggende rettigheder – respekt for privatliv og familieliv – artikel 8 i chartret om grundlæggende rettigheder – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 35 – forpligtelse til at foretage en konsekvensanalyse vedrørende databeskyttelse – opretholdelse af de tidsmæssige virkninger af en forordning, der er kendt ugyldig«

I sag C-61/22,

angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden, Tyskland) ved afgørelse af 13. januar 2022, indgået til Domstolen den 1. februar 2022, i sagen

RL

mod

Landeshauptstadt Wiesbaden,

har

DOMSTOLEN (Store Afdeling),

sammensat af præsidenten, K. Lenaerts, vicepræsidenten, L. Bay Larsen, afdelingsformændene A. Arabadjiev, A. Prechal, E. Regan (refererende dommer), T. von Danwitz, F. Biltgen og Z. Csehi samt dommerne J.-C. Bonichot, S. Rodin, D. Gratsias, M.L. Arastey Sahún og M. Gavalec,

generaladvokat: L. Medina,

justitssekretær: kontorchef D. Dittert,

på grundlag af den skriftlige forhandling og efter retsmødet den 14. marts 2023,

efter at der er afgivet indlæg af:

–        RL ved Rechtsanwalt W. Achelpöhler,

–        den tyske regering ved J. Möller og P.-L. Krüger, som befuldmægtigede,

–        den belgiske regering ved P. Cottin og A. Van Baelen, som befuldmægtigede, bistået af advocaat P. Wytinck,

–        den spanske regering ved L. Aguilera Ruiz, som befuldmægtiget,

–        den polske regering ved B. Majczyna, som befuldmægtiget,

–        Europa-Parlamentet ved G.C. Bartram, P. López-Carceller og J. Rodrigues, som befuldmægtigede,

–        Rådet for Den Europæiske Union ved M. França og Z. Šustr, som befuldmægtigede,

–        Europa-Kommissionen ved H. Kranenborg, E. Montaguti og I. Zaloguin, som befuldmægtigede,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 29. juni 2023,

afsagt følgende

Dom

1        Anmodningen om præjudiciel afgørelse vedrører gyldigheden af Europa-Parlamentets og Rådets forordning (EU) 2019/1157 af 20. juni 2019 om styrkelse af sikkerheden af unionsborgeres identitetskort og af opholdsdokumenter, der udstedes til unionsborgere og deres familiemedlemmer, som udøver deres ret til fri bevægelighed (EUT 2019, L 188, s. 67), og navnlig af denne forordnings artikel 3, stk. 5.

2        Denne anmodning er blevet indgivet i forbindelse med en tvist mellem RL og Landeshauptstadt Wiesbaden (delstatshovedstaden Wiesbaden, Tyskland) (herefter »byen Wiesbaden«) vedrørende sidstnævntes afslag på RL’s anmodning om udstedelse af et identitetskort, som ikke indeholder hans fingeraftryk.

I.      Retsforskrifter

A.      EU-retten

1.      Forordning 2019/1157

3        1., 2., 4., 5., 17.-21., 23., 26.-29., 32., 33., 36., 40.-42. og 46. betragtning til forordning 2019/1157 har følgende ordlyd:

»(1)      I [EU-traktaten] blev det besluttet at lette den frie bevægelighed for personer, samtidig med at Europas befolkningers sikkerhed og tryghed sikres ved oprettelsen af et område med frihed, sikkerhed og retfærdighed i overensstemmelse med bestemmelserne i [EU-traktaten] og i [EUF-traktaten].

(2)      Unionsborgerskabet giver med visse begrænsninger og på visse betingelser unionsborger ret til fri bevægelighed. Europa-Parlamentets og Rådets direktiv 2004/38/EF [af 29. april 2004 om unionsborgeres og deres familiemedlemmers ret til at færdes og opholde sig frit på medlemsstaternes område, om ændring af forordning (EØF) nr. 1612/68 og om ophævelse af direktiv 64/221/EØF, 68/360/EØF, 72/194/EØF, 73/148/EØF, 75/34/EØF, 75/35/EØF, 90/364/EØF, 90/365/EØF og 93/96/EØF (EUT 2004, L 158, s. 77)] giver denne ret virkning. Desuden er retten til fri bevægelighed og opholdsretten fastsat i artikel 45 i Den Europæiske Unions charter om grundlæggende rettigheder (chartret). Af retten til fri bevægelighed følger retten til at rejse ind i og ud af medlemsstater med gyldigt identitetskort eller pas.

[...]

(4)      I direktiv [2004/38] fastsættes, at medlemsstaterne kan træffe de nødvendige foranstaltninger til at nægte, ophæve eller tilbagekalde rettigheder i henhold til nævnte direktiv, når der er tale om misbrug af rettigheder eller om svig. Forfalskning af dokumenter eller falsk fremstilling af vigtige oplysninger vedrørende de betingelser, der er knyttet til opholdsretten, er blevet udpeget som typiske tilfælde af svig i henhold til nævnte direktiv.

(5)      I øjeblikket er der betydelig forskel på sikkerhedsniveauet for de nationale identitetskort, som medlemsstaterne udsteder, og for opholdsdokumenter for unionsborgere med bopæl i en anden medlemsstat og deres familiemedlemmer. Disse forskelle øger risikoen for forfalskning og dokumentfalsk og giver også anledning til praktiske problemer for borgere, når de ønsker at udøve deres ret til fri bevægelighed. Det fremgår af statistiske oplysninger fra det europæiske risikoanalysenetværk for svig, at der er sket en stigning i forekomsten af falske identitetskort over tid.

[...]

(17)      Sikkerhedselementer er nødvendige for at kontrollere, om et dokument er ægte, og for at fastslå en persons identitet. Fastsættelse af minimumssikkerhedsstandarder for og integreringen af biometriske oplysninger i identitetskort og opholdskort til unionsborgeres familiemedlemmer, som ikke er statsborgere i en medlemsstat, er vigtige skridt i retning af at gøre anvendelsen heraf mere sikker i Unionen. Indførelsen af sådanne biometriske identifikatorer bør gøre det muligt for unionsborgere at høste det fulde udbytte af deres ret til fri bevægelighed.

(18)      Lagringen af et ansigtsbillede og to fingeraftryk (»biometriske oplysninger«) på identitets- og opholdskort, således som det allerede er tilfældet med biometriske pas og opholdstilladelser til tredjelandsstatsborgere, udgør en hensigtsmæssig kombination af pålidelig identifikation og autentificering med en reduceret risiko for svig med henblik på at øge sikkerheden af identitets- og opholdskort.

(19)      Medlemsstaterne bør som almindelig praksis for at kontrollere ægtheden af dokumentet og indehaverens identitet først og fremmest kontrollere ansigtsbilledet, og hvis det er nødvendigt med henblik på uden tvivl at bekræfte dokumentets ægthed og indehaverens identitet, bør medlemsstaterne også kontrollere fingeraftrykkene.

(20)      Medlemsstaterne bør i tilfælde, hvor en kontrol af biometriske oplysninger ikke bekræfter ægtheden af dokumentet eller indehaverens identitet, sikre, at et kvalificeret personale udfører en obligatorisk manuel kontrol heraf.

(21)      Denne forordning giver ikke hjemmel til at oprette eller opretholde nationale databaser til lagring af biometriske oplysninger i medlemsstaterne, som er et spørgsmål, der henhører under national ret, som skal overholde EU-databeskyttelsesretten. Forordningen giver heller ikke hjemmel til at oprette eller opretholde en central database på EU-plan.

[...]

(23)      Med henblik på denne forordning bør der tages hensyn til specifikationerne i [dokument 9303 fra Organisationen for International Civil Luftfart (ICAO)], som sikrer global interoperabilitet, herunder for så vidt angår maskinlæsbarhed og anvendelse af visuel kontrol.

[...]

(26)      Medlemsstaterne bør sikre, at passende og effektive procedurer for indsamlingen af biometriske identifikatorer er på plads, og at sådanne procedurer overholder rettighederne og principperne indeholdt i chartret, i Europarådets konvention til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder[, der blev undertegnet i Rom den 4. november 1950,] og i De Forenede Nationers konvention om barnets rettigheder[, der blev vedtaget af De Forenede Nationers Generalforsamling den 20. november 1989 (De Forenede Nationers traktatsamling, bind 1577, s. 3), og trådte i kraft den 2. september 1990]. Medlemsstaterne bør sikre, at barnets tarv kommer i første række under hele indsamlingsproceduren. Med henblik herpå bør kvalificeret personale modtage passende undervisning i børnevenlige praksisser for så vidt angår indsamlingen af biometriske identifikatorer.

(27)      Hvor der opstår vanskeligheder i forbindelse med indsamlingen af biometriske identifikatorer, bør medlemsstaterne sikre, at passende procedurer er på plads med henblik på at respektere den berørte persons værdighed. Der bør derfor tages særlige hensyn til køn og til de særlige behov hos børn og sårbare personer.

(28)      Indførelsen af minimumsstandarder for sikkerheden ved og udformningen af identitetskort bør gøre det muligt for medlemsstaterne at stole på ægtheden af de pågældende dokumenter, når unionsborgere udøver deres ret til fri bevægelighed. Indførelsen af strengere sikkerhedsstandarder bør give offentlige myndigheder og private enheder tilstrækkelige garantier for, at de kan forlade sig på ægtheden af identitetskort, når sådanne kort anvendes af unionsborgere til identifikationsformål.

(29)      Et mærke i form af landekoden på to bogstaver for den udstedende medlemsstat trykt med negativ skrift i et blåt rektangel og omgivet af 12 gule stjerner letter den visuelle kontrol af dokumentet, navnlig når indehaveren udøver sin ret til fri bevægelighed.

[...]

(32)      Medlemsstaterne bør træffe alle nødvendige foranstaltninger til at sikre, at biometriske oplysninger korrekt identificerer den person, som et identitetskort er udstedt til. Med henblik herpå kan medlemsstaterne overveje at indsamle biometriske identifikatorer, navnlig ansigtsbilledet, direkte hos de nationale myndigheder, der udsteder identitetskort, i tilstedeværelse af den berørte person.

(33)      Medlemsstaterne bør udveksle sådanne oplysninger med hinanden, som er nødvendige for at tilgå, autentificere og kontrollere de oplysninger, som befinder sig på det sikre lagringsmedium. De formater, der anvendes til det sikre lagringsmedium, bør være interoperable, herunder ved automatiserede grænseovergangssteder.

[...]

(36)      Opholdsdokumenter, som medlemsstaterne udsteder til unionsborgere, bør indeholde bestemte oplysninger med henblik på at sikre, at de kan genkendes som opholdsdokumenter i alle medlemsstater. Dette bør lette anerkendelsen af unionsborgeres brug af retten til fri bevægelighed og af de rettigheder, der er uløseligt forbundet med denne brug, men harmoniseringen bør ikke gå videre, end hvad der er hensigtsmæssigt til at afhjælpe nuværende dokumenters svagheder. Medlemsstaterne kan frit vælge, i hvilken udformning de ønsker at udstede disse dokumenter, og kan udstede dem i en udformning, der overholder specifikationerne i ICAO-dokument 9303.

[...]

(40)      Europa-Parlamentets og Rådets forordning (EU) 2016/679[, af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«)] finder anvendelse på de personoplysninger, der skal behandles i forbindelse med anvendelsen af nærværende forordning. Det er nødvendigt at specificere nærmere, hvilke beskyttelsesforanstaltninger der skal finde anvendelse på de behandlede personoplysninger, navnlig hvad angår følsomme oplysninger som biometriske identifikatorer. De registrerede bør gøres opmærksom på, at deres dokumenter indeholder et lagringsmedium med deres biometriske oplysninger, herunder at de er tilgængelige i kontaktløs form, og på ethvert tilfælde, hvor oplysningerne i deres identitetskort og opholdsdokumenter benyttes. Under alle omstændigheder bør de registrerede have adgang til de personoplysninger, der behandles i deres identitetskort og opholdsdokumenter, og have ret til at få dem berigtiget gennem udstedelse af et nyt dokument, såfremt oplysningerne er fejlagtige eller ufuldstændige. Lagringsmediet bør have et højt sikkerhedsniveau og på effektiv vis beskytte de personoplysninger, der er lagret på det, mod uautoriseret adgang.

(41)      Medlemsstaterne bør være ansvarlige for den korrekte behandling af biometriske oplysninger, lige fra indsamlingen til integrationen af oplysningerne i det meget sikre lagringsmedium, i overensstemmelse med [databeskyttelsesforordningen].

(42)      Medlemsstaterne bør udvise særlig omhyggelighed, når de samarbejder med en ekstern tjenesteyder. Sådant samarbejde bør ikke udelukke nogen former for ansvar for medlemsstaterne, som måtte opstå i medfør af EU-retten eller national ret, for manglende overholdelse af forpligtelser vedrørende personoplysninger.

[...]

(46)      Målene for denne forordning, nemlig at forbedre sikkerheden og fremme udøvelsen af retten til fri bevægelighed for unionsborgere og deres familiemedlemmer, kan ikke i tilstrækkelig grad opfyldes af medlemsstaterne, men kan på grund af tiltagenes omfang og virkninger bedre nås på EU-plan; Unionen kan derfor vedtage foranstaltninger i overensstemmelse med nærhedsprincippet, jf. artikel 5 [TEU]. I overensstemmelse med proportionalitetsprincippet, jf. nævnte artikel, går denne forordning ikke videre, end hvad der er nødvendigt for at nå disse mål.«

4        Artikel 1 i forordning 2019/1157 med overskriften »Genstand« bestemmer følgende:

»Denne forordning styrker de sikkerhedsstandarder, der gælder for identitetskort, som medlemsstaterne udsteder til deres statsborgere, og for opholdsdokumenter, som medlemsstaterne udsteder til unionsborgere og deres familiemedlemmer, når de udøver deres ret til fri bevægelighed.«

5        Denne forordnings artikel 2 med overskriften »Anvendelsesområde« bestemmer følgende:

»Denne forordning finder anvendelse på:

a)      identitetskort, som medlemsstaterne udsteder til deres egne statsborgere som omhandlet i artikel 4, stk. 3, i direktiv [2004/38].

Denne forordning finder ikke anvendelse på identifikationsdokumenter udstedt på et midlertidigt grundlag med en gyldighedsperiode på under seks måneder      

b)      beviser for registrering, som i overensstemmelse med artikel 8 i direktiv [2004/38] udstedes til unionsborgere, der opholder sig mere end tre måneder i en værtsmedlemsstat, og bevis for ret til tidsubegrænset ophold, der i overensstemmelse med artikel 19 i direktiv [2004/38] udstedes til unionsborgere efter ansøgning

c)      opholdskort, der i overensstemmelse med artikel 10 i direktiv [2004/38] udstedes til unionsborgeres familiemedlemmer, som ikke er statsborgere i en medlemsstat, og tidsubegrænsede opholdskort, der i overensstemmelse med artikel 20 i direktiv [2004/38] udstedes til unionsborgeres familiemedlemmer, som ikke er statsborgere i en medlemsstat.«

6        Den nævnte forordnings artikel 3 med overskriften »Sikkerhedsstandarder/udformning/specifikationer« bestemmer i stk. 5-7 og 10 følgende:

»5.      Identitetskort skal indeholde et meget sikke[r]t lagringsmedium, der skal indeholde et ansigtsbillede af kortindehaveren og to fingeraftryk i interoperable digitale formater. For så vidt angår registreringen af de biometriske identifikatorer anvender medlemsstaterne de tekniske specifikationer, der er fastsat ved Kommissionens gennemførelsesafgørelse C(2018)7767 [af 30. november 2018 om fastsættelse af tekniske specifikationer for den ensartede udformning af opholdstilladelser til tredjelandsstatsborgere og om ophævelse af afgørelse C(2002)3069].

6.      Lagringsmediet skal have tilstrækkelig kapacitet og være i stand til at sikre oplysningernes integritet, ægthed og fortrolige karakter. De lagrede oplysninger skal være tilgængelige i kontaktløs form og være beskyttede som fastsat i gennemførelsesafgørelse C(2018) 7767. Medlemsstaterne udveksler de oplysninger, som er nødvendige for at autentificere lagringsmediet og for at tilgå og verificere de i stk. 5 omhandlede biometriske oplysninger.

7.      Børn under 12 år kan fritages for kravet om at afgive fingeraftryk.

Børn under seks år er fritaget for kravet om at afgive fingeraftryk.

Personer, for hvem det er fysisk umuligt at afgive fingeraftryk, er fritaget for kravet om at afgive fingeraftryk.

[...]

10.      Hvis en medlemsstat lagrer oplysninger til elektroniske tjenester såsom e-forvaltning og e-handel på identitetskortene, skal sådanne nationale oplysninger være fysisk eller logisk adskilt fra de biometriske oplysninger, der er omhandlet i stk. 5.«

7        Denne samme forordnings artikel 5 med overskriften »Udfasning« har følgende ordlyd:

»1.      Identitetskort, som ikke opfylder kravene fastsat i artikel 3, ophører med at være gyldige, når de udløber, eller senest den 3. august 2031, alt efter hvilken af disse datoer der er den tidligste.

2.      Uanset stk. 1:

a)      ophører identitetskort, der [...] ikke indeholder et funktionelt maskinlæsbart felt som defineret i stk. 3, med at være gyldige, når de udløber, eller senest den 3. august 2026, alt efter hvilken af disse datoer der er den tidligste

[...]

3.      Med henblik på stk. 2 forstås ved et funktionelt maskinlæsbart felt:

a)      et maskinlæsbart felt, som overholder ICAO-dokument 9303, del 3, eller

b)      ethvert andet maskinlæsbart felt, for hvilket den udstedende medlemsstat meddeler de regler, der kræves for at læse og vise de deri indeholdte oplysninger, medmindre en medlemsstat inden den 2. august 2021 underretter [Europa-]Kommissionen om, at den ikke har kapacitet til at læse og vise disse oplysninger.

[...]«

8        Artikel 6 i forordning 2019/1157 med overskriften »Oplysninger, der som minimum skal angives« bestemmer i første afsnit følgende:

»Når medlemsstaterne udsteder opholdsdokumenter til unionsborgere, skal sådanne som minimum oplyse følgende:

[...]

f)      de oplysninger, der i overensstemmelse med henholdsvis artikel 8 og 19 i direktiv [2004/38] skal angives på registreringsbeviser og på beviser for tidsubegrænset ophold

[...]«

9        Denne forordnings artikel 10 med overskriften »Indsamling af biometriske identifikatorer« fastsætter følgende:

»1.      De biometriske identifikatorer indsamles udelukkende af kvalificerede og behørigt bemyndigede medarbejdere, der er udpeget af de myndigheder, der er ansvarlige for udstedelse af identitetskort eller opholdskort, med det formål at integrere disse på det meget sikre lagringsmedium for identitetskort, jf. artikel 3, stk. 5, og for opholdskort, jf. artikel 7, stk. 1. Uanset første sætning indsamles fingeraftryk udelukkende af kvalificerede og behørigt bemyndigede medarbejdere hos sådanne myndigheder, bortset fra i tilfælde af ansøgninger, der indgives til medlemsstatens diplomatiske og konsulære myndigheder.

Med henblik på at sikre, at de biometriske identifikatorer er i overensstemmelse med ansøgerens identitet, skal ansøgeren møde op personligt mindst én gang under udstedelsesprocessen for hver ansøgning.

2.      Medlemsstaterne sikrer, at passende og effektive procedurer for indsamlingen af biometriske identifikatorer er på plads, og at disse procedurer overholder rettighederne og principperne indeholdt i chartret, konventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder og De Forenede Nationers konvention om barnets rettigheder.

Hvor der opstår vanskeligheder i forbindelse med indsamlingen af biometriske identifikatorer, sikrer medlemsstaterne, at passende procedurer er på plads med henblik på at respektere den berørte persons værdighed.

3.      Biometriske identifikatorer, der lagres med henblik på individualisering af identitetskort eller opholdsdokumenter, opbevares på en meget sikker måde og kun indtil datoen for dokumentets afhentning og under alle omstændigheder ikke længere end 90 dage fra den dato, hvor dokumentet udstedes, medmindre de er nødvendige med henblik på behandling i henhold til EU-retten og national ret. Efter denne periode slettes eller destrueres disse biometriske identifikatorer omgående.«

10      Denne forordnings artikel 11 med overskriften »Beskyttelse af personoplysninger og ansvar« bestemmer i stk. 4 og 6 følgende:

»4.      Samarbejde med eksterne tjenesteydere udelukker ikke nogen former for ansvar for medlemsstaterne, som måtte opstå i medfør af EU-retten eller national ret, for så vidt angår manglende overholdelse af forpligtelser vedrørende personoplysninger.

[...]

6.      Biometriske oplysninger, der lagres i et identitetskorts og et opholdsdokuments lagringsmedium, må kun anvendes i overensstemmelse med EU-retten og national ret og af behørigt bemyndiget personale hos kompetente nationale myndigheder og EU-agenturer med henblik på at kontrollere:

a)      identitetskortets eller opholdsdokumentets ægthed

b)      indehaverens identitet ved hjælp af umiddelbart tilgængelige, sammenlignelige oplysninger, hvor forevisning af identitetskortet eller opholdsdokumentet er lovpligtig.«

11      Samme forordnings artikel 14 med overskriften »Yderligere tekniske specifikationer« bestemmer i stk. 1 og 2 følgende:

»1.      Med henblik på at sikre, hvor det er hensigtsmæssigt, at de i artikel 2, litra a) og c), omhandlede identitetskort og opholdsdokumenter opfylder fremtidige minimumssikkerhedsstandarder, fastlægger Kommissionen ved hjælp af gennemførelsesretsakter yderligere tekniske specifikationer vedrørende følgende:

a)      yderligere sikkerhedselementer og ‑krav, herunder bedre standarder til bekæmpelse af falskneri, dokumentfalsk og efterligning

b)      tekniske specifikationer for lagringsmediet for de i artikel 3, stk. 5, omhandlede biometriske oplysninger og deres sikkerhed, herunder forebyggelse af uautoriseret adgang og forenkling af validering

c)      kvalitetskrav og fælles tekniske standarder for ansigtsbilledet og fingeraftrykkene.

Disse gennemførelsesretsakter vedtages efter undersøgelsesproceduren i artikel 15, stk. 2.

2.      Det kan i overensstemmelse med proceduren i artikel 15, stk. 2, besluttes, at de i nærværende artikel omhandlede specifikationer skal være hemmelige og ikke må offentliggøres. [...]«

2.      Databeskyttelsesforordningen

12      I 51. betragtning til databeskyttelsesforordningen er følgende angivet:

»Personoplysninger, der i kraft af deres karakter er særligt følsomme i forhold til grundlæggende rettigheder og frihedsrettigheder, bør nyde specifik beskyttelse, da sammenhængen for behandling af dem kan indebære betydelige risici for grundlæggende rettigheder og frihedsrettigheder. [...] Behandling af fotografier bør ikke systematisk anses for at være behandling af særlige kategorier af personoplysninger, eftersom de kun vil være omfattet af definitionen af biometriske data, når de behandles ved en specifik teknisk fremgangsmåde, der muliggør entydig identifikation eller autentifikation af en fysisk person. Sådanne personoplysninger bør ikke behandles, medmindre behandling er tilladt i specifikke tilfælde, der er fastsat i denne forordning, under hensyntagen til at medlemsstaternes nationale ret kan fastsætte specifikke bestemmelser om databeskyttelse for at tilpasse anvendelsen af reglerne i denne forordning med henblik på overholdelse af en retlig forpligtelse eller udførelse af en opgave i samfundets interesse eller henhørende under offentlig myndighedsudøvelse, som den dataansvarlige har fået pålagt. Foruden de specifikke krav til sådan behandling bør de generelle principper og andre regler i denne forordning finde anvendelse, navnlig for så vidt angår betingelserne for lovlig behandling. Der bør udtrykkelig gives mulighed for undtagelser fra det generelle forbud mod behandling af sådanne særlige kategorier af personoplysninger, bl.a. hvis den registrerede giver sit udtrykkelige samtykke eller for så vidt angår specifikke behov [...].«

13      Denne forordnings artikel 4 med overskriften »Definitioner« har følgende ordlyd:

»I denne forordning forstås ved: [...]

2)      »behandling«: enhver aktivitet eller række af aktiviteter – med eller uden brug af automatisk behandling – som personoplysninger eller en samling af personoplysninger gøres til genstand for, f.eks. indsamling, registrering, organisering, systematisering, opbevaring, tilpasning eller ændring, genfinding, søgning, brug, videregivelse ved transmission, formidling eller enhver anden form for overladelse, sammenstilling eller samkøring, begrænsning, sletning eller tilintetgørelse

[...]

7)      »dataansvarlig«: en fysisk eller juridisk person, en offentlig myndighed, en institution eller et andet organ, der alene eller sammen med andre afgør, til hvilke formål og med hvilke hjælpemidler der må foretages behandling af personoplysninger; hvis formålene og hjælpemidlerne til en sådan behandling er fastlagt i EU-retten eller medlemsstaternes nationale ret, kan den dataansvarlige eller de specifikke kriterier for udpegelse af denne fastsættes i EU-retten eller medlemsstaternes nationale ret

[...]«

14      Denne forordnings artikel 9 med overskriften »Behandling af særlige kategorier af personoplysninger« fastsætter i stk. 1 følgende:

»Behandling af personoplysninger om race eller etnisk oprindelse, politisk, religiøs eller filosofisk overbevisning eller fagforeningsmæssigt tilhørsforhold samt behandling af genetiske data, biometriske data med det formål entydigt at identificere en fysisk person, helbredsoplysninger eller oplysninger om en fysisk persons seksuelle forhold eller seksuelle orientering er forbudt.«

15      Samme forordnings artikel 35 med overskriften »Konsekvensanalyse vedrørende databeskyttelse« bestemmer i stk. 1, 3 og 10 følgende:

»1.      Hvis en type behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, foretager den dataansvarlige forud for behandlingen en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger. En enkelt analyse kan omfatte flere lignende behandlingsaktiviteter, der indebærer lignende høje risici.

[...]

3.      En konsekvensanalyse vedrørende databeskyttelse som omhandlet i stk. 1 er navnlig påkrævet i følgende tilfælde:

a)      en systematisk og omfattende vurdering af personlige forhold vedrørende fysiske personer, der er baseret på automatisk behandling, herunder profilering, og som er grundlag for afgørelser, der har retsvirkning for den fysiske person eller på tilsvarende vis betydeligt påvirker den fysiske person

b)      behandling i stort omfang af særlige kategorier af oplysninger, jf. artikel 9, stk. 1, eller af personoplysninger vedrørende straffedomme og lovovertrædelser, jf. artikel 10, eller

c)      systematisk overvågning af et offentligt tilgængeligt område i stort omfang.

[...]

10.      Hvis behandling i henhold til artikel 6, stk. 1, litra c) eller e), har et retsgrundlag i EU-retten eller i den medlemsstats nationale ret, som den dataansvarlige er underlagt, og denne ret regulerer den eller de pågældende specifikke behandlingsaktiviteter, og der allerede er foretaget en konsekvensanalyse vedrørende databeskyttelse som led i en generel konsekvensanalyse i forbindelse med vedtagelsen af dette retsgrundlag, finder stk. 1-7 ikke anvendelse, medmindre medlemsstaterne anser det for nødvendigt at foretage en sådan analyse inden behandlingsaktiviteter.«

3.      Forordning (EU) 2016/399

16      Artikel 8 i Europa-Parlamentets og Rådets forordning (EU) 2016/399 af 9. marts 2016 om en EU-kodeks for personers grænsepassage (Schengengrænsekodeks) (EUT 2016, L 77, s. 1), som ændret ved Europa-Parlamentets og Rådets forordning (EU) 2017/458 af 15. marts 2017 (EUT 2017, L 74, s. 1), fastsætter i stk. 1 og 2 følgende:

»1.      Grænsetrafikken ved de ydre grænser kontrolleres af grænsevagter. Ind- og udrejsekontrollen foretages i overensstemmelse med dette kapitel.

[...]

2.      Ved ind- og udrejse undergives personer, der har ret til fri bevægelighed i henhold til EU-retten, følgende kontrol:

a)      kontrol af den pågældende persons identitet og nationalitet og af rejsedokumentets ægthed og gyldighed til grænsepassage, herunder ved søgning i de relevante databaser [...]

b)      kontrol af, at en person, der har ret til fri bevægelighed i henhold til EU-retten, ikke betragtes som en trussel mod medlemsstaternes offentlige orden, indre sikkerhed, offentlige sundhed eller internationale forbindelser [...]

Hvis der er tvivl om rejsedokumentets ægthed eller indehaverens identitet, skal mindst en af de biometriske identifikatorer i de pas og rejsedokumenter, der er udstedt i overensstemmelse med [Rådets forordning (EF) nr. 2252/2004 af 13. december 2004 om standarder for sikkerhedselementer og biometriske identifikatorer i pas og rejsedokumenter, som medlemsstaterne udsteder (EUT 2004, L 385, s. 1)], kontrolleres. Denne kontrol skal, når det er muligt, også foretages af rejsedokumenter, der ikke er omfattet af nævnte forordning.

[...]«

4.      Direktiv 2004/38

17      Artikel 4 i direktiv 2004/38 med overskriften »Ret til udrejse« bestemmer i stk. 1 og 3 følgende:

»1.      Uden at dette berører de bestemmelser for rejsedokumenter, der gælder ved national grænsekontrol, har alle unionsborgere, der er i besiddelse af et gyldigt identitetskort eller pas, samt deres familiemedlemmer, der ikke er statsborgere i en medlemsstat, men som er i besiddelse af et gyldigt pas, ret til at forlade en medlemsstats område for at rejse til en anden medlemsstat.

[...]

3.      Medlemsstaterne udsteder og fornyer i overensstemmelse med deres nationale lovgivning identitetskort eller pas til deres statsborgere, der udtrykkeligt angiver indehaverens statsborgerskab.«

18      Dette direktivs artikel 5 med overskriften »Ret til indrejse« angiver i stk. 1 følgende:

»Uden at dette berører de bestemmelser for rejsedokumenter, der gælder ved national grænsekontrol, giver medlemsstaterne unionsborgere, der er i besiddelse af et gyldigt identitetskort eller pas, ret til at indrejse på deres område, og giver familiemedlemmer, der ikke er statsborgere i en medlemsstat, ret til at indrejse på deres område, hvis de er i besiddelse af et gyldigt pas.

Unionsborgere kan ikke pålægges visumpligt eller en lignende forpligtelse ved indrejse.«

19      Direktivets artikel 6, der har overskriften »Ret til ophold i indtil tre måneder«, bestemmer følgende:

»1.      Unionsborgere har ret til frit at tage ophold på en anden medlemsstats område for en periode på højst tre måneder uden andre betingelser eller formaliteter end kravet om at være i besiddelse af et gyldigt identitetskort eller pas.

2.      Stk. 1 finder ligeledes anvendelse på familiemedlemmer, der ikke er statsborgere i en medlemsstat, og som ledsager eller slutter sig til en unionsborger, hvis de er i besiddelse af et gyldigt pas.«

20      Artikel 8 i direktiv 2004/38 med overskriften »Administrative formaliteter for unionsborgere« fastsætter i stk. 1 og 3 følgende:

»1.      For ophold ud over tre måneder kan værtslandet kræve, at unionsborgere lader sig registrere hos de kompetente myndigheder, jf. dog artikel 5, stk. 5.

[...]

3.      Med henblik på udstedelse af beviset for registrering kan medlemsstaterne udelukkende kræve, at

–        unionsborgere som omhandlet i artikel 7, stk. 1, litra a), foreviser et gyldigt identitetskort eller pas, en bekræftelse fra arbejdsgiveren for ansættelsen eller et ansættelsesbrev eller et bevis for, at vedkommende udøver selvstændig erhvervsvirksomhed

–        unionsborgere som omhandlet i artikel 7, stk. 1, litra b), foreviser et gyldigt identitetskort eller pas samt dokumentation for, at de opfylder betingelserne i litra b)

–        unionsborgere som omhandlet i artikel 7, stk. 1, litra c), foreviser et gyldigt identitetskort eller pas og dokumentation for at være tilmeldt en anerkendt institution og være dækket af en sygeforsikring, der dækker samtlige risici, samt fremlægger den i artikel 7, stk. 1, litra c, omhandlede erklæring eller tilsvarende dokumentation. Medlemsstaterne kan ikke kræve, at der i nævnte erklæring angives et bestemt beløb.«

5.      Den interinstitutionelle aftale

21      Punkt 12-14 i den interinstitutionelle aftale mellem Europa-Parlamentet, Rådet for Den Europæiske Union og Europa-Kommissionen om bedre lovgivning af 13. april 2016 (EUT 2016, L 123, s. 1, herefter »den interinstitutionelle aftale«) har følgende ordlyd:

»12.      [...]

Konsekvensanalyser er et værktøj, der skal hjælpe de tre institutioner med at nå frem til velfunderede beslutninger, og ikke en erstatning for politiske beslutninger i den demokratiske beslutningsproces. [...]

Konsekvensanalyser bør omfatte eksistensen, omfanget og konsekvenserne af et problem og angive, om det er nødvendigt med tiltag fra Unionens side. De bør foreslå alternative løsninger og om muligt angive de potentielle omkostninger og fordele på kort og lang sigt, idet de på en integreret og afbalanceret måde vurderer de økonomiske, miljømæssige og sociale indvirkninger ved anvendelse af både kvalitative og kvantitative analyser. Nærhedsprincippet og proportionalitetsprincippet samt de grundlæggende rettigheder bør respekteres fuldt ud. [...] Konsekvensanalyser bør baseres på nøjagtige, objektive og fuldstændige oplysninger og bør stå i rimeligt forhold til deres anvendelsesområde og fokus.

13.      Kommissionen vil foretage konsekvensanalyser af sine [lovgivningsinitiativer], som forventes at få betydelige økonomiske, miljømæssige eller sociale indvirkninger. Initiativerne i Kommissionens arbejdsprogram eller i den fælles erklæring vil som hovedregel blive ledsaget af en konsekvensanalyse.

[...] De endelige resultater af konsekvensanalyserne vil blive gjort tilgængelige for Europa-Parlamentet, Rådet [for Den Europæiske Union] og de nationale parlamenter og vil blive offentliggjort sammen med udtalelsen eller udtalelserne fra Udvalget for Forskriftskontrol på tidspunktet for vedtagelsen af Kommissionens initiativ.

14.      [...]Parlamentet og Rådet vil ved behandling af Kommissionens lovgivningsforslag tage fuldt hensyn til Kommissionens konsekvensanalyser. Med henblik herpå skal konsekvensanalyser forelægges på en sådan måde, at det bliver lettere for [...]Parlamentet og Rådet at vurdere de valg, som Kommissionen har truffet.«

B.      Tysk ret

22      § 5 i Gesetz über Personalausweise und den elektronischen Identitätsnachweis (lov om identitetskort og elektroniske identifikationssystemer) af 18. juni 2009 (BGBl. I, s. 1346) i den affattelse, der finder anvendelse på de faktiske omstændigheder i hovedsagen (herefter »PAuswG«), har overskriften »Model til identitetskort; lagrede oplysninger« og bestemmer i stk. 9 følgende:

»De to fingeraftryk, der afgives af ansøgeren [om et identitetskort], og som i henhold til [forordning 2019/1157] skal lagres på identitetskortets elektroniske lagringsmedium, skal lagres på det elektroniske lagrings- og behandlingsmedium i form af et fladt aftryk af den venstre og den højre pegefinger. Hvis en pegefinger mangler, hvis kvaliteten af fingeraftrykket er utilstrækkelig, eller hvis fingerspidsen er beskadiget, skal et fladt aftryk af enten tommelfingeren, langfingeren eller ringfingeren lagres som erstatning. Fingeraftryk lagres ikke, hvis det er umuligt at optage fingeraftryk af lægelige årsager, som ikke er midlertidige.«

23      PAuswG’s § 6, stk. 1 og 2, har følgende ordlyd:

»(1)      Identitetskort udstedes med en gyldighedsperiode på ti år.

(2)      Inden et identitetskorts gyldighed udløber, kan der ansøges om et nyt identitetskort, hvis det kan godtgøres, at der foreligger en berettiget interesse i at få udstedt et nyt kort.«

24      PAuswG’s § 9 med overskriften »Udstedelse af kort« bestemmer i stk. 1, første punktum, følgende:

»Identitetskort og midlertidige identitetskort udstedes efter ansøgning til tyskere i den i [Grundsetzs (grundlov)] artikel 116, stk. 1, forudsatte betydning.«

25      PAuswG’s § 28 med overskriften »Ugyldighed« bestemmer i stk. 3 følgende:

»Funktionsforstyrrelser, der påvirker det elektroniske lagrings- og behandlingsmedium, har ingen betydning for identitetskortets gyldighed.«

II.    Tvisten i hovedsagen og det præjudicielle spørgsmål

26      Den 30. november 2021 ansøgte sagsøgeren i hovedsagen byen Wiesbaden om at få udstedt et nyt identitetskort med den begrundelse, at chippen i hans gamle kort var defekt. Han anmodede imidlertid om, at det nye kort ikke skulle indeholde hans fingeraftryk.

27      Byen Wiesbaden afslog denne anmodning med to begrundelser. For det første havde sagsøgeren i hovedsagen ikke ret til at få udstedt et nyt identitetskort, eftersom han allerede var i besiddelse af et gyldigt identitetsdokument. I henhold til PAuswG’s § 28, stk. 3, bevarer et identitetskort nemlig sin gyldighed, selv om dets chip er defekt. For det andet og under alle omstændigheder havde det siden den 2. august 2021 været obligatorisk i henhold til PAuswG’s § 5, stk. 9, som gennemfører artikel 3, stk. 5, i forordning 2019/1157, at lagre to digitale fingeraftryk i identitetskorts lagringsmedium.

28      Den 21. december 2021 anlagde sagsøgeren i hovedsagen sag ved Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden, Tyskland), som er den forelæggende ret, med påstand om, at byen Wiesbaden pålægges at udstede et identitetskort til ham, uden at hans fingeraftryk indsamles.

29      Den forelæggende ret har udtrykt tvivl om lovligheden af de to begrundelser for den i hovedsagen omhandlede afgørelse. Hvad navnlig angår den anden begrundelse er den tilbøjelig til at mene, at gyldigheden af forordning 2019/1157, eller i det mindste gyldigheden af denne forordnings artikel 3, stk. 5, kan anfægtes.

30      I første omgang har den forelæggende ret spurgt, om denne forordning burde været blevet vedtaget på grundlag af artikel 77, stk. 3, TEUF og dermed efter den særlige lovgivningsprocedure, der er fastsat i denne bestemmelse, snarere end på grundlag af artikel 21, stk. 2, TEUF og under anvendelse af den almindelige lovgivningsprocedure. For det første henviser artikel 77, stk. 3, TEUF nemlig specifikt til Unionens kompetence til bl.a. at fastsætte bestemmelser vedrørende identitetskort og er således en mere specifik bestemmelse end artikel 21, stk. 2, TEUF. For det andet fastslog Domstolen i dom af 17. oktober 2013, Schwarz (C-291/12, EU:C:2013:670), at forordning nr. 2252/2004, for så vidt som den fastsatte standarder for biometriske identifikatorer i pas, var gyldigt baseret på artikel 62, nr. 2), litra a), EF, som nu svarer til artikel 77, stk. 3, TEUF.

31      I anden omgang har den forelæggende ret anført, at vedtagelsen af forordning 2019/1157 muligvis er behæftet med en procedurefejl. Som Den Europæiske Tilsynsførende for Databeskyttelse har fremhævet i sin udtalelse 7/2018 af 10. august 2018 om forslaget til forordning om styrkelse af sikkerheden ved unionsborgeres identitetskort og andre dokumenter (herefter »udtalelse 7/2018«), udgør optagelse og lagring af fingeraftryk nemlig behandlinger af personoplysninger, der skal gøres til genstand for en konsekvensanalyse i henhold til databeskyttelsesforordningens artikel 35, stk. 10. I det foreliggende tilfælde blev der imidlertid ikke foretaget en sådan analyse. Navnlig kan det dokument med overskriften »Impact assessment«, der ledsagede det nævnte forslag til forordning, ikke anses for at være en konsekvensanalyse i denne bestemmelses forstand.

32      I tredje omgang ønsker den forelæggende ret nærmere bestemt oplyst, om artikel 3, stk. 5, i forordning 2019/1157 er forenelig med chartrets artikel 7 og 8 om henholdsvis respekt for privatliv og familieliv og beskyttelse af personoplysninger. Medlemsstaternes forpligtelse til at udstede identitetskort, hvis lagringsmedium indeholder to fingeraftryk, udgør nemlig en begrænsning af udøvelsen af de rettigheder, som disse to bestemmelser i chartret tillægger, og denne begrænsning kan kun begrundes, hvis den opfylder de betingelser, der er opstillet i chartrets artikel 52, stk. 1.

33      For det første kan den nævnte begrænsning imidlertid tænkes ikke at svare til et mål af almen interesse. Domstolen har ganske vist i dom af 17. oktober 2013, Schwarz (C-291/12, EU:C:2013:670), anerkendt, at bekæmpelse af tredjelandsstatsborgeres ulovlige indrejse på Unionens område er et mål, der er anerkendt i EU-retten. Et identitetskort er imidlertid ikke først og fremmest et rejsedokument såsom et pas, og dets formål er alene at gøre det muligt at kontrollere en unionsborgers identitet i vedkommendes relationer til såvel forvaltningsmyndigheder som private tredjeparter.

34      Selv hvis det antages, at den nævnte forordning forfølger et mål af almen interesse, der er anerkendt i EU-retten, er der for det andet tvivl om, hvorvidt denne begrænsning er forholdsmæssig. Den løsning, som Domstolen valgte i dom af 17. oktober 2013, Schwarz (C-291/12, EU:C:2013:670), kan nemlig ikke overføres, da den vedrører pas, som det i modsætning til identitetskort er frivilligt at være i besiddelse af i Tyskland, og hvis anvendelse forfølger et andet formål.

35      Det fremgår derimod af udtalelse 7/2018, at integrationen og lagringen af fingeraftryk har en betydelig indvirkning, som kan vedrøre op til 370 mio. unionsborgere og potentielt gøre det obligatorisk for 85% af Unionens befolkning at få taget billeder af fingeraftryk. Denne betydelige indvirkning, sammenholdt med de behandlede oplysningers meget følsomme karakter (et ansigtsbillede kombineret med to fingeraftryk), indebærer imidlertid, at den begrænsning i udøvelsen af de ved chartrets artikel 7 og 8 sikrede rettigheder, som følger af den obligatoriske indsamling af fingeraftryk med henblik på udstedelse af identitetskort, er større end for pas, hvilket til gengæld kræver en stærkere begrundelse og en omhyggelig undersøgelse af den omhandlede foranstaltning i henhold til et strengt nødvendighedskriterium.

36      Nødvendigheden af at foretage en streng proportionalitetskontrol følger under alle omstændigheder ligeledes af databeskyttelsesforordningens artikel 9, stk. 1, hvorefter behandling af sådanne biometriske data i princippet er forbudt og kun kan tillades i ekstraordinære og strengt begrænsede tilfælde.

37      Selv om den forelæggende ret i denne forbindelse finder, at anvendelsen af biometriske data mindsker risikoen for, at et dokument kan forfalskes, nærer den tvivl om, hvorvidt denne ene omstændighed kan begrunde omfanget af begrænsningen af retten til beskyttelse af personoplysninger, navnlig henset til følgende grunde.

38      Indledningsvis har Den Europæiske Tilsynsførende for Databeskyttelse i sin udtalelse 7/2018 fremhævet, at andre teknikker til sikker trykning af identifikationsdokumenter, såsom hologrammer eller vandmærker, er langt mindre indgribende, samtidig med at de ligeledes gør det muligt at forhindre forfalskning af disse identitetsdokumenter og at kontrollere deres ægthed. Den omstændighed, at tysk ret tillader, at et identitetskort, hvis chip er defekt, forbliver gyldigt, viser i øvrigt, at de fysiske elementer, navnlig mikrotryk eller overtryk, der reagerer på ultraviolette stråler, er tilstrækkelige til at garantere de nævnte korts sikkerhed.

39      Dernæst giver artikel 3, stk. 7, i forordning 2019/1157 medlemsstaterne mulighed for at fritage børn under 12 år fra forpligtelsen til at afgive deres fingeraftryk, og bestemmelsen pålægger under alle omstændigheder medlemsstaterne at fritage børn under 6 år fra denne forpligtelse, hvilket viser, at optagelse af to fingeraftryk ikke er strengt nødvendig.

40      I øvrigt overholder artikel 3, stk. 5, i forordning 2019/1157 ikke det i databeskyttelsesforordningens artikel 5 fastsatte princip om dataminimering, hvoraf det fremgår, at indsamlingen og anvendelsen af personoplysninger skal være tilstrækkelig, relevant og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles. Selv om indsamlingen af to fuldstændige fingeraftryk og ikke blot de karakteristiske punkter i disse fingeraftryk (»minutiæ«) gør det muligt at fremme interoperabiliteten mellem de forskellige typer af systemer, øger denne indsamling nemlig også mængden af lagrede personoplysninger og dermed risikoen for identitetstyveri i tilfælde af en lækage af oplysninger. Denne risiko er i øvrigt ikke ubetydelig, idet de chips, der anvendes i identitetskort, kan aflæses af uautoriserede scannere.

41      Endelig og i det væsentlige kan begrænsningen i udøvelsen af de ved chartrets artikel 7 og 8 sikrede rettigheder ikke være lovlig, eftersom Den Europæiske Tilsynsførende for Databeskyttelse i sin udtalelse 7/2018 anførte, at antallet af forfalskede identitetskort på tidspunktet for vedtagelsen af forordning 2019/1157 var relativt lille i forhold til antallet af udstedte kort (38 870 forfalskede kort konstateret mellem 2013 og 2017), og at dette antal havde været faldende i flere år.

42      På denne baggrund har Verwaltungsgericht Wiesbaden (forvaltningsdomstolen i Wiesbaden) besluttet at udsætte sagen og at forelægge Domstolen følgende præjudicielle spørgsmål:

»Er forpligtelsen til optagelse og lagring af fingeraftryk på identitetskort i henhold til artikel 3, stk. 5, i [forordning 2019/1157] i strid med trinhøjere EU-ret, navnlig med:

a)      artikel 77, stk. 3, [TEUF]

b)      artikel 7 og 8 i [chartret]

c)      artikel 35, stk. 10, i [databeskyttelsesforordningen,]

og er forpligtelsen derfor af en af de pågældende grunde ugyldig?«

III. Det præjudicielle spørgsmål

43      Med sit spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om forordning 2019/1157 er helt eller delvist ugyldig, fordi den for det første er blevet vedtaget på et forkert retsgrundlag, for det andet er i strid med databeskyttelsesforordningens artikel 35, stk. 10, og for det tredje ikke overholder chartrets artikel 7 og 8.

A.      Den første ugyldighedsgrund om anvendelse af et forkert retsgrundlag

44      Den første ugyldighedsgrund, som den forelæggende ret har henvist til, vedrører spørgsmålet om, hvorvidt forordning 2019/1157, henset til bl.a. den udtrykkelige henvisning til identitetskort i artikel 77, stk. 3, TEUF og den løsning, der blev valgt i dom af 17. oktober 2013, Schwarz (291/12, EU:C:2013:670), burde være blevet vedtaget på grundlag af denne artikel 77, stk. 3, og i henhold til den særlige lovgivningsprocedure, der er fastsat i denne bestemmelse, og ikke, som det var tilfældet, på grundlag af artikel 21, stk. 2, TEUF.

1.      Indledende bemærkninger

45      Ifølge fast retspraksis skal valget af retsgrundlag for en EU-retsakt foretages på grundlag af objektive forhold, som kan være genstand for en domstolskontrol, herunder retsaktens formål og indhold (domme af 16.2.2022, Ungarn mod Parlamentet og Rådet, C-156/21, EU:C:2022:97, præmis 107, og Polen mod Parlamentet og Rådet, C-157/21, EU:C:2022:98, præmis 121).

46      Det skal desuden bemærkes, at når der i traktaterne findes en mere specifik bestemmelse, som kan udgøre retsgrundlaget for den omhandlede retsakt, skal retsakten vedtages på grundlag af denne bestemmelse (dom af 6.9.2012, Parlamentet mod Rådet, C-490/10, EU:C:2012:525, præmis 44, og af 8.12.2020, Polen mod Parlamentet og Rådet, C-626/18, EU:C:2020:1000, præmis 48 og den deri nævnte retspraksis).

47      Endelig gælder det, at hvis en gennemgang af en EU-retsakt viser, at den har flere formål, eller at den består af flere led, og det ene af disse formål eller af disse led kan bestemmes som det primære eller fremherskende, mens de andre kun er accessoriske eller kun har en ekstremt begrænset rækkevidde, skal retsgrundlaget for vedtagelsen af denne retsakt afgøres i overensstemmelse med dette primære formål eller led (jf. i denne retning dom af 20.11.2018, Kommissionen mod Rådet (Beskyttet havområde i Antarktis), C-626/15 og C-659/16, EU:C:2018:925, præmis 77, og udtalelse 1/19 (Istanbulkonventionen) af 6.10.2021, EU:C:2021:832, præmis 286).

2.      De respektive anvendelsesområder for artikel 21, stk. 2, TEUF og artikel 77, stk. 3, TEUF

48      Det er angivet i artikel 21, stk. 2, TEUF, at såfremt en handling fra Unionens side viser sig påkrævet for at sikre enhver unionsborger retten til at færdes og opholde sig frit på medlemsstaternes område, og traktaterne ikke indeholder fornøden hjemmel hertil, kan Parlamentet og Rådet efter den almindelige lovgivningsprocedure vedtage bestemmelser, der skal gøre det lettere at udøve disse rettigheder.

49      Det følger heraf, at denne bestemmelse giver Unionen en generel kompetence til at vedtage de bestemmelser, der er nødvendige for at lette udøvelsen af den ret for unionsborgerne til at færdes og opholde sig frit på medlemsstaternes område, som er omhandlet i artikel 20, stk. 2, litra a), TEUF, med forbehold af, at traktaterne ikke indeholder fornøden hjemmel hertil.

50      Til forskel fra artikel 21, stk. 2, TEUF indeholder artikel 77, stk. 3, TEUF imidlertid udtrykkeligt en sådan hjemmel med hensyn til vedtagelsen af foranstaltninger vedrørende pas, identitetskort, opholdsbeviser eller andre dokumenter, der er sidestillet hermed, og som udstedes til unionsborgere med henblik på at lette udøvelsen af den i artikel 20, stk. 2, litra a), TEUF omhandlede ret til at færdes og opholde sig frit på medlemsstaternes område.

51      Det er korrekt, at artikel 77, stk. 3, TEUF er indeholdt i denne traktats afsnit V om et område med frihed, sikkerhed og retfærdighed, og nærmere bestemt i dette afsnits kapitel 2 med overskriften »Politikkerne for grænsekontrol, asyl og indvandring«. I henhold til artikel 77, stk. 1, TEUF udformer Unionen imidlertid en politik, der skal sikre, såvel at personer uanset nationalitet ikke kontrolleres ved passage af de indre grænser, som at der foretages personkontrol og effektiv overvågning ved passage af de ydre grænser, og at der gradvis indføres et integreret system for forvaltningen af de ydre grænser. Bestemmelserne vedrørende pas, identitetskort, opholdsbeviser eller andre dokumenter, der er sidestillet hermed, som er omhandlet i det i artikel 77, stk. 3, fastsatte kompetencegrundlag, udgør en integrerende del af en sådan politik i Unionen. Hvad angår unionsborgere gør disse dokumenter det nemlig bl.a. muligt for dem at godtgøre, at de er personer, der har ret til at færdes og opholde sig frit på medlemsstaternes område, og dermed at udøve denne ret. Artikel 77, stk. 3, TEUF kan derfor danne grundlag for vedtagelsen af foranstaltninger vedrørende de nævnte dokumenter, hvis en sådan handling forekommer nødvendig for at lette udøvelsen af denne ret, der er fastsat i artikel 20, stk. 2, litra a), TEUF.

52      Denne fortolkning af den materielle rækkevidde af artikel 77, stk. 3, TEUF kan hverken afkræftes af den historiske udvikling, som traktaterne har undergået på området for Unionens kompetence til at vedtage foranstaltninger vedrørende pas, identitetskort, opholdsbeviser og andre dokumenter, der er sidestillet hermed, som Parlamentet, Rådet og Kommissionen har henvist til, eller af den omstændighed, som den tyske regering har anført, hvorefter denne bestemmelse fastsætter, at den finder anvendelse, »hvis traktaterne ikke indeholder fornøden hjemmel hertil«.

53      Lissabontraktaten ophævede ganske vist den tidligere fastsatte bestemmelse i artikel 18, stk. 3, EF, som udtrykkeligt udelukkede EU-lovgivers mulighed for at anvende artikel 18, stk. 2, EF (nu artikel 21, stk. 2, TEUF) som retsgrundlag for vedtagelsen af såvel »bestemmelser vedrørende pas, identitetskort, opholdsbeviser eller andre dokumenter, der er sidestillet hermed«, som »bestemmelser vedrørende social sikring eller social beskyttelse«. Denne traktat har imidlertid samtidig udtrykkeligt tillagt Unionen en beføjelse til at handle på disse to områder – nemlig dels i artikel 21, stk. 3, TEUF for så vidt angår social sikring og social beskyttelse, dels i artikel 77, stk. 3, TEUF for så vidt angår bestemmelser vedrørende pas, identitetskort, opholdsbeviser eller andre dokument, der er sidestillet hermed – og har underlagt vedtagelsen af foranstaltninger på disse områder en særlig lovgivningsprocedure og navnlig med enstemmighed i Rådet.

54      Under disse omstændigheder kan det ikke udledes af ophævelsen af den tidligere fastsatte bestemmelse i artikel 18, stk. 3, EF, at det herefter er muligt at vedtage »bestemmelser vedrørende pas, identitetskort, opholdsbeviser eller andre dokumenter, der er sidestillet hermed«, på grundlag af artikel 21, stk. 2, TEUF. Det følger tværtimod af den historiske udvikling, at traktaternes ophavsmænd med artikel 77, stk. 3, TEUF har haft til hensigt at tillægge Unionen en mere specifik kompetence til at vedtage sådanne bestemmelser, der har til formål at lette udøvelsen af den ret til at færdes og opholde sig frit på medlemsstaternes område, der er sikret ved artikel 20, stk. 2, litra a), TEUF, end den mere generelle kompetence, der er fastsat i artikel 21, stk. 2, TEUF.

55      Angivelsen i artikel 77, stk. 3, TEUF af, at denne bestemmelse finder anvendelse, »hvis traktaterne ikke indeholder fornøden hjemmel hertil«, skal endvidere, henset til EUF-traktatens generelle opbygning, forstås således, at de anførte beføjelser til at handle ikke er dem, der er tillagt ved en bestemmelse med en mere generel rækkevidde såsom artikel 21, stk. 2, TEUF, men ved en endnu mere specifik bestemmelse.

56      Vedtagelsen af forordning 2019/1157 kunne derfor kun baseres på artikel 21, stk. 2, TEUF på betingelse af, at denne forordnings primære eller fremherskende formål eller led befinder sig uden for det specifikke anvendelsesområde for artikel 77, stk. 3, TEUF, dvs. udstedelse af pas, identitetskort, opholdsbeviser eller andre dokumenter, der er sidestillet hermed, med henblik på at lette udøvelsen af den ret, der er omhandlet i artikel 20, stk. 2, litra a), TEUF.

3.      Forordning 2019/1157’s primære eller fremherskende formål eller led

57      Hvad for det første angår formålet med forordning 2019/1157 er det angivet i denne forordnings artikel 1, at den har til formål at styrke de sikkerhedsstandarder, der gælder for identitetskort, som medlemsstaterne udsteder til deres statsborgere, og for opholdsdokumenter, som medlemsstaterne udsteder til unionsborgere og deres familiemedlemmer, når de udøver deres ret til fri bevægelighed.

58      I samme retning er det angivet i 46. betragtning til denne forordning, at forordningens formål er at »forbedre sikkerheden« for disse rejse- og identitetsdokumenter for at »fremme udøvelsen af retten til fri bevægelighed for unionsborgere og deres familiemedlemmer«, hvilket ligeledes bekræftes i 1., 2., 5., 17., 28., 29. og 36. betragtning til denne forordning.

59      Hvad for det andet angår indholdet af forordning 2019/1157 skal det bemærkes, at denne forordning indeholder 16 artikler. Denne forordnings artikel 1 og 2 definerer henholdsvis forordningens genstand og anvendelsesområde. Forordningens artikel 3, 4, 6 og 7, som udgør forordningens primære led, fastsætter bl.a. de krav til sikkerhed, indhold, format eller specifikationer, som de identitetskort og opholdsbeviser, der udstedes af medlemsstaterne, skal opfylde, mens samme forordnings artikel 5 og 8 foreskriver en udfasning af de identitetskort og opholdskort, der ikke opfylder de krav, der er fastsat i forordningen. Endelig præciserer artikel 9-16 i forordning 2019/1157 den måde, hvorpå de heri fastsatte forpligtelser skal opfyldelses, navnlig for så vidt angår indsamling af biometriske identifikatorer og beskyttelse af personoplysninger.

60      Det fremgår ganske vist af artikel 2 i forordning 2019/1157, at denne forordning ikke blot finder anvendelse på identitetskort, som medlemsstaterne udsteder til deres egne statsborgere, men ligeledes på beviser for registrering, som i overensstemmelse med artikel 8 i direktiv 2004/38 udstedes til unionsborgere, der opholder sig mere end tre måneder i en værtsmedlemsstat, og bevis for ret til tidsubegrænset ophold, der udstedes i overensstemmelse med dette direktivs artikel 19, hvilke beviser og dokumenter ikke kan sidestilles med identitetskort, pas eller opholdsbeviser. Forordning 2019/1157 indeholder imidlertid ingen bestemmelse, der regulerer disse beviser, og begrænser sig til i sin artikel 6, stk. 1, litra f), at angive, at de opholdsdokumenter, som medlemsstaterne udsteder til unionsborgerne, skal indeholde de oplysninger, der i overensstemmelse med henholdsvis artikel 8 og 19 i direktiv 2004/38 skal angives på registreringsbeviser og på beviser for tidsubegrænset ophold. Det formål med og led i denne forordning, der knytter sig til disse beviser, må følgelig anses for at have en ekstremt begrænset rækkevidde, således at retsgrundlaget for den nævnte forordning ikke kan afgøres ud fra dette formål eller led.

61      Under disse omstændigheder følger det af de primære formål med og led i forordning 2019/1157, at denne forordning indgår blandt de retsakter, der er omfattet af det specifikke anvendelsesområde for artikel 77, stk. 3, TEUF, således som identificeret i nærværende doms præmis 48-51.

62      Ved at vedtage forordning 2019/1157 på grundlag af artikel 21, stk. 2, TEUF tilsidesatte EU-lovgiver følgelig artikel 77, stk. 3, TEUF og anvendte en ukorrekt procedure.

63      Det følger heraf, at den første ugyldighedsgrund, som den forelæggende ret har anført, hvorefter forordning 2019/1157 med urette blev vedtaget på grundlag af artikel 21, stk. 2, TEUF og i henhold til den almindelige lovgivningsprocedure, kan medføre, at denne forordning er ugyldig.

B.      Den anden ugyldighedsgrund om manglende overholdelse af databeskyttelsesforordningens artikel 35, stk. 10

64      Den anden ugyldighedsgrund, som den forelæggende ret har henvist til, er udledt af, at forordning 2019/1157 angiveligt blev vedtaget, uden at der var blevet foretaget en konsekvensanalyse af databeskyttelsen, hvilket var i strid med databeskyttelsesforordningens artikel 35, stk. 10.

65      Det skal i denne forbindelse bemærkes, at databeskyttelsesforordningens artikel 35, stk. 1, bestemmer, at hvis en type behandling, navnlig ved brug af nye teknologier og i medfør af sin karakter, omfang, sammenhæng og formål, sandsynligvis vil indebære en høj risiko for fysiske personers rettigheder og frihedsrettigheder, foretager den dataansvarlige forud for behandlingen en analyse af de påtænkte behandlingsaktiviteters konsekvenser for beskyttelse af personoplysninger. Det præciseres i databeskyttelsesforordningens artikel 35, stk. 3, at en sådan analyse er påkrævet i tilfælde af en behandling i stort omfang af særlige kategorier af følsomme oplysninger som omhandlet i nævnte forordnings artikel 9, stk. 1, såsom biometriske oplysninger med henblik på entydigt at identificere en fysisk person.

66      Eftersom der i det foreliggende tilfælde ikke ved forordning 2019/1157 i sig selv foretages nogen aktivitet, der anvendes på personoplysninger eller en samling af personoplysninger, men denne forordning begrænser sig til at opstille krav om, at medlemsstaterne skal foretage visse behandlinger i tilfælde af ansøgning om identitetskort, skal det fastslås, at vedtagelsen af denne forordning ikke var betinget af, at der forinden blev foretaget en konsekvensanalyse af de påtænkte behandlingsaktiviteter som omhandlet i databeskyttelsesforordningens artikel 35, stk. 1. Denne forordnings artikel 35, stk. 10, indfører imidlertid en undtagelse til forordningens artikel 35, stk. 1.

67      Det følger heraf, at eftersom databeskyttelsesforordningens artikel 35, stk. 1, således som det følger af det ovenstående, ikke fandt anvendelse ved vedtagelsen af forordning 2019/1157, kunne denne vedtagelse ikke være i strid med databeskyttelsesforordningens artikel 35, stk. 10.

68      Henset til det ovenstående kan den anden ugyldighedsgrund om tilsidesættelse af databeskyttelsesforordningens artikel 35, stk. 10, ikke medføre, at forordning 2019/1157 er ugyldig.

C.      Den tredje ugyldighedsgrund om uforeneligheden af artikel 3, stk. 5, i forordning 2019/1157 med chartrets artikel 7 og 8

69      Den tredje ugyldighedsgrund angående forordning 2019/1157, som den forelæggende ret har henvist til, vedrører spørgsmålet om, hvorvidt den i denne forordnings artikel 3, stk. 5, fastsatte forpligtelse til at lagre to fuldstændige fingeraftryk i lagringsmediet for de identitetskort, som medlemsstaterne udsteder, medfører en ubegrundet begrænsning af de rettigheder, der er sikret i chartrets artikel 7 og 8.

1.      Spørgsmålet om, hvorvidt der foreligger en begrænsning

70      Chartrets artikel 7 fastsætter bl.a., at enhver har ret til respekt for sit privatliv. Med hensyn til chartrets artikel 8, stk. 1, fastslår denne bestemmelse, at enhver har ret til beskyttelse af personoplysninger, der vedrører den pågældende. Det følger af disse bestemmelser, læst samlet, at enhver behandling af personoplysninger foretaget af en tredjemand principielt kan udgøre et indgreb i de nævnte rettigheder (dom af 17.10.2013, Schwarz, C-291/12, EU:C:2013:670, præmis 25).

71      I det foreliggende tilfælde bestemmer artikel 3, stk. 5, i forordning 2019/1157, at det meget sikre lagringsmedium, der skal være indeholdt i de identitetskort, som medlemsstaterne udsteder til deres egne statsborgere, skal indeholde biometriske oplysninger, nemlig et ansigtsbillede og to fingeraftryk i interoperable digitale formater.

72      Sådanne personoplysninger gør det imidlertid muligt præcist at identificere de berørte fysiske personer og er særligt følsomme på grund af de betydelige risici for de grundlæggende frihedsrettigheder og rettigheder, som anvendelsen heraf kan udgøre, således som det navnlig fremgår af 51. betragtning til databeskyttelsesforordningen, hvilken forordning finder anvendelse på de omhandlede oplysninger, således som det fremgår af 40. betragtning til forordning 2019/1157.

73      Følgelig udgør den forpligtelse til at lagre to fingeraftryk i identitetskorts lagringsmedium, der er fastsat i artikel 3, stk. 5, i forordning 2019/1157, en begrænsning af såvel retten til respekt for privatlivet som retten til beskyttelse af personoplysninger, som er fastsat i henholdsvis chartrets artikel 7 og 8.

74      Desuden indebærer denne forpligtelse en forudgående gennemførelse af to på hinanden følgende behandlingsaktiviteter vedrørende personoplysninger, nemlig en indsamling af de nævnte fingeraftryk hos den registrerede og en midlertidig lagring af disse med henblik på individualisering af identitetskortene, og disse behandlingsaktiviteter er reguleret af artikel 10 i forordning 2019/1157. Disse behandlingsaktiviteter udgør ligeledes begrænsninger af de rettigheder, der er sikret ved chartrets artikel 7 og 8.

2.      Begrundelsen for begrænsningen

75      Som det fremgår af fast retspraksis, er retten til respekt for privatlivet og retten til beskyttelse af personoplysninger, som er sikret i henholdsvis chartrets artikel 7 og 8, ikke absolutte rettigheder, men skal ses i sammenhæng med deres funktion i samfundet (jf. i denne retning dom af 20.9.2022, SpaceNet og Telekom Deutschland, C-793/19 og C-794/19, EU:C:2022:702, præmis 63).

76      Der kan således indføres begrænsninger i disse rettigheder, forudsat at de i overensstemmelse med chartrets artikel 52, stk. 1, første punktum, er fastlagt i lovgivningen og respekterer disse rettigheders væsentligste indhold. Det følger endvidere af chartrets artikel 52, stk. 1, andet punktum, at der under iagttagelse af proportionalitetsprincippet kun kan indføres sådanne begrænsninger, såfremt disse er nødvendige og faktisk svarer til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder. I denne henseende er det i chartrets artikel 8, stk. 2, præciseret, at personoplysninger navnlig skal behandles »til udtrykkeligt angivne formål og på grundlag af de berørte personers samtykke eller på et andet berettiget ved lov fastsat grundlag«.

a)      Overholdelsen af legalitetsprincippet

77      Hvad angår kravet i chartrets artikel 52, stk. 1, første punktum, om, at enhver begrænsning i udøvelsen af de rettigheder, der anerkendes ved dette charter, skal være fastlagt i lovgivningen, skal det påpeges, at dette krav indebærer, at den retsakt, som tillader et indgreb i disse rettigheder, selv skal definere rækkevidden af begrænsningen i udøvelsen af den pågældende rettighed, idet det skal præciseres dels, at dette krav ikke udelukker, at den pågældende begrænsning formuleres så åbent, at den kan tilpasses forskellige situationer og ændrede omstændigheder, dels at Domstolen om nødvendigt ved fortolkning kan præcisere den konkrete rækkevidde af begrænsningen både med hensyn til selve ordlyden af den omhandlede EU-lovgivning og med hensyn til dens almindelige opbygning og de formål, den forfølger, som fortolket i lyset af de grundlæggende rettigheder, som er sikret ved chartret (dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 114).

78      I det foreliggende tilfælde er de begrænsninger i udøvelsen af de ved chartrets artikel 7 og 8 sikrede grundlæggende rettigheder, der følger af forpligtelsen til at lagre to fuldstændige fingeraftryk i lagringsmediet for de identitetskort, som medlemsstaterne udsteder, samt betingelserne for anvendelsen og rækkevidden af disse begrænsninger klart og præcist defineret i artikel 3, stk. 5, og artikel 10, stk. 1 og 3, i forordning 2019/1157, som EU-lovgiver har vedtaget efter den almindelige lovgivningsprocedure, og hvis virkninger vil blive opretholdt ved nærværende dom.

79      De nævnte begrænsninger i udøvelsen af de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8, opfylder derfor legalitetsprincippet som omhandlet i chartrets artikel 52, stk. 1, første punktum.

b)      Respekten for det væsentligste indhold af de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8

80      Det skal fastslås, at de oplysninger, der gives ved fingeraftryk, ikke i sig selv gør det muligt at få et overblik over de berørte personers privatliv og familieliv.

81      Under disse betingelser må det fastslås, at den begrænsning, der følger af den i artikel 3, stk. 5, i forordning 2019/1157 fastsatte forpligtelse til at lagre to fingeraftryk i lagringsmediet for de identitetskort, som medlemsstaterne udsteder, ikke skader det væsentligste indhold af de grundlæggende rettigheder, der er sikret ved chartrets artikel 7 og 8 (jf. analogt dom af 21.6.2022, Ligue des droits humains, C-817/19, EU:C:2022:491, præmis 120).

c)      Overholdelsen af proportionalitetsprincippet

82      Som det fremgår af chartrets artikel 52, stk. 1, andet punktum, gælder det, at for at der kan indføres begrænsninger i udøvelsen af de ved chartret sikrede grundlæggende rettigheder under iagttagelse af proportionalitetsprincippet, skal disse begrænsninger være nødvendige og faktisk svare til mål af almen interesse, der er anerkendt af Unionen, eller et behov for beskyttelse af andres rettigheder og friheder.

83      Mere specifikt skal undtagelser fra og begrænsninger i beskyttelsen af personoplysninger begrænses til det strengt nødvendige, hvorved det forudsættes, at såfremt det er muligt at vælge mellem flere egnede foranstaltninger i forhold til de tilsigtede legitime mål, skal den mindst bebyrdende foranstaltning vælges. Desuden kan et mål af almen interesse ikke forfølges uden hensyntagen til den omstændighed, at målet skal forenes med de grundlæggende rettigheder, der er berørt af den pågældende foranstaltning, ved at foretage en rimelig afvejning mellem på den ene side målet af almen interesse og på den anden side de pågældende rettigheder med henblik på at sikre, at ulemperne ved denne foranstaltning ikke er uforholdsmæssige i forhold til de tilsigtede mål. Muligheden for at begrunde en begrænsning af de rettigheder, der er sikret ved chartrets artikel 7 og 8, skal således vurderes ved at bedømme alvoren af det indgreb, som en sådan begrænsning indebærer, og ved at kontrollere, at betydningen af det mål af almen interesse, der forfølges med denne begrænsning, står i forhold til denne alvor (dom af 22.11.2022, Luxembourg Business Registers, C-37/20 og C-601/20, EU:C:2022:912, præmis 64 og den deri nævnte retspraksis).

84      Med henblik på i det foreliggende tilfælde at efterprøve, om de indgreb i de ved chartrets artikel 7 og 8 sikrede rettigheder, som følger af den lagring af to fingeraftryk i identitetskorts lagringsmedium, der er fastsat i artikel 3, stk. 5, i forordning 2019/1157, overholder proportionalitetsprincippet, skal det derfor undersøges, for det første om denne foranstaltning forfølger et eller flere mål af almen interesse, der er anerkendt af Unionen, og rent faktisk er egnet til at nå disse mål, for det andet om de heraf følgende indgreb er begrænset til det strengt nødvendige i den forstand, at de nævnte mål ikke med rimelighed kan nås lige så effektivt ved andre midler, der er mindre indgribende i de berørte personers grundlæggende rettigheder, og for det tredje om disse indgreb er uforholdsmæssige i forhold til målene, hvilket navnlig indebærer en afvejning mellem disse mål og alvoren af de nævnte indgreb (jf. i denne retning dom af 22.11.2022, Luxembourg Business Registers, C-37/20 og C-601/20, EU:C:2022:912, præmis 66, og af 8.12.2022, Orde van Vlaamse Balies m.fl., C-694/20, EU:C:2022:963, præmis 42).

1)      Forfølgelsen af et eller flere mål af almen interesse, der er anerkendt af Unionen, og foranstaltningens egnethed til at nå disse mål

i)      Spørgsmålet om, hvorvidt de mål, der forfølges med den omhandlede foranstaltning, er af almen interesse

85      Forordning 2019/1157 har i henhold til sin artikel 1 til formål at styrke de sikkerhedsstandarder, der bl.a. gælder for identitetskort, som medlemsstaterne udsteder til deres statsborgere, når de udøver deres ret til fri bevægelighed.

86      Mere specifikt, og således som det fremgår af 4., 5., 17.-20. og 32. betragtning til forordning 2019/1157, er formålet med lagringen af biometriske oplysninger, herunder to fuldstændige fingeraftryk, i lagringsmediet for identitetskort at sikre de nævnte korts ægthed og at muliggøre en pålidelig identifikation af deres indehaver, samtidig med at det i overensstemmelse med 23. og 33. betragtning til samt artikel 3, stk. 5, i denne forordning bidrager til interoperabiliteten mellem systemerne til kontrol af identifikationsdokumenter med henblik på at mindske risikoen for forfalskning og dokumentfalsk.

87      Domstolen har allerede haft anledning til – med hensyn til udstedelse af pas (jf. i denne retning dom af 17.10.2013, Schwarz, C-291/12, EU:C:2013:670, præmis 36-38) og oprettelse af et register til identifikation af tredjelandsstatsborgere (jf. i denne retning dom af 3.10.2019, A m.fl., C-70/18, EU:C:2019:823, præmis 46 og den deri nævnte retspraksis) – at fastslå, at bekæmpelse af dokumentfalsk, som bl.a. omfatter bekæmpelse af fremstilling af falske identitetskort og bekæmpelse af identitetstyveri, udgør et mål af almen interesse, der er anerkendt af Unionen.

88      Hvad angår formålet om interoperabilitet mellem systemerne til kontrol af identifikationsdokumenter har dette ligeledes en sådan karakter, eftersom det, som det fremgår af 17. betragtning til forordning 2019/1157, bidrager til at gøre det lettere for unionsborgerne at udøve den ret, som artikel 20 TEUF tillægger dem til at færdes og opholde sig frit på medlemsstaternes område.

ii)    Den omhandlede foranstaltnings egnethed til faktisk at opfylde de forfulgte mål af almen interesse

89      I det foreliggende tilfælde er lagringen af to fuldstændige fingeraftryk i lagringsmediet for identitetskort egnet til at opfylde de mål af almen interesse om bekæmpelse af fremstilling af falske identitetskort og identitetstyveri samt om interoperabilitet mellem kontrolsystemerne, som EU-lovgiver har fremhævet for at begrunde denne foranstaltning.

90      Indledningsvis kan lagringen af biometriske oplysninger, såsom fingeraftryk, i identitetskort nemlig gøre det vanskeligere at fremstille falske identitetskort, idet sådanne oplysninger bl.a. – i overensstemmelse med artikel 3, stk. 5, i forordning 2019/1157, sammenholdt med denne forordnings artikel 14, stk. 1 og 2 – skal lagres efter præcise tekniske specifikationer, som er egnede til at blive holdt hemmelige.

91      Dernæst udgør lagringen af sådanne biometriske oplysninger et middel til i overensstemmelse med artikel 11, stk. 6, i samt 18. og 19. betragtning til forordning 2019/1157 at foretage en pålidelig kontrol af identitetskortets ægthed og kortindehaverens identitet og således mindske risikoen for svig.

92      Endelig synes EU-lovgivers valg om at opstille et krav om lagring af fuldstændige fingeraftryk ligeledes at være egnet til at opfylde målet om interoperabilitet mellem systemerne til kontrol af identitetskort, eftersom anvendelsen af fuldstændige fingeraftryk gør det muligt at sikre kompatibilitet med samtlige de automatiserede systemer til identifikation af fingeraftryk, som medlemsstaterne anvender, selv om sådanne systemer ikke nødvendigvis anvender den samme identifikationsmekanisme.

93      Den forelæggende ret har endvidere anført, at artikel 3, stk. 7, første afsnit, i forordning 2019/1157 giver medlemsstaterne mulighed for at fritage bl.a. børn under 12 år fra at afgive deres fingeraftryk, og at forordningens artikel 3, stk. 7, andet afsnit, endog pålægger medlemsstaterne at fritage børn under 6 år fra denne afgivelse.

94      Ganske vist er en lovgivning kun egnet til at sikre opfyldelsen af det påberåbte mål, hvis de foranstaltninger, som lovgivningen fastsætter, reelt tager sigte på at nå dette mål, og hvis de gennemføres på en sammenhængende og systematisk måde (jf. analogt dom af 5.12.2023, Nordic Info, C-128/22, EU:C:2023:951, præmis 84 og den deri nævnte retspraksis).

95      Imidlertid opfylder forordning 2019/1157 dette krav, selv om den fastsætter undtagelser fra forpligtelsen til at optage fingeraftryk i forhold til børn, idet disse undtagelser, således som det fremgår af 26. betragtning til forordningen, har til formål at tage hensyn til barnets tarv.

96      Det samme gør sig gældende for så vidt angår reglen i artikel 5 i forordning 2019/1157, hvorefter identitetskort, som ikke opfylder kravene i denne forordnings artikel 3, først mister deres gyldighed, når de udløber, eller senest den 3. august 2031. EU-lovgiver kunne nemlig være af den opfattelse, at en sådan overgangsperiode var hensigtsmæssig med henblik på at undgå, at medlemsstaterne skulle udstede nye identitetskort for alle de berørte personer inden for en meget kort periode, uden dog at bringe den langsigtede effektivitet af de foranstaltninger, der er fastsat i denne forordning, i fare.

97      Hvad angår den omstændighed, at visse medlemsstater i deres lovgivning fastsætter, at de identitetskort, som de udsteder, forbliver gyldige, uanset at det elektroniske lagringsmedium er defekt, er det tilstrækkeligt at bemærke, at sådanne lovgivninger kun er forenelige med forordning 2019/1157, så længe den i den foregående præmis nævnte overgangsperiode ikke er udløbet.

2)      Spørgsmålet om, hvorvidt anvendelsen af den omhandlede foranstaltning er nødvendig for at nå de forfulgte mål af almen interesse

98      I første omgang og hvad angår selve princippet om at lagre fingeraftryk i identitetskorts lagringsmedium skal det bemærkes, at fingeraftryk udgør pålidelige og effektive midler til med sikkerhed at fastslå en persons identitet, og at den fremgangsmåde, der anvendes til at optage disse fingeraftryk, er enkel at anvende.

99      Navnlig, og som generaladvokaten har anført i punkt 90 i forslaget til afgørelse, udgør indsættelsen af blot et ansigtsbillede et mindre effektivt middel til identifikation, end hvis der ud over dette billede indsættes to fingeraftryk, eftersom aldring, livsstil, sygdom eller et æstetisk eller rekonstruktivt kirurgisk indgreb ligeledes kan forandre ansigtets anatomiske kendetegn.

100    Det er rigtigt, at det i Kommissionens konsekvensanalyse, der ledsagede det forslag til forordning, der lå til grund for forordning 2019/1157, blev tilkendegivet, at den valgmulighed, der bestod i ikke at gøre det obligatorisk at lagre to fingeraftryk i identitetskorts lagringsmedium, var at foretrække.

101    Ud over at Kommissionen selv valgte ikke at følge denne valgmulighed i sit lovgivningsforslag, skal det imidlertid påpeges, at selv om den interinstitutionelle aftale i punkt 14 bestemmer, at Parlamentet og Rådet ved behandling af Kommissionens lovgivningsforslag skal tage fuldt hensyn til Kommissionens konsekvensanalyser, fremgår det af samme aftales punkt 12, at sådanne analyser »er et værktøj, der skal hjælpe de tre institutioner med at nå frem til velfunderede beslutninger, og ikke en erstatning for politiske beslutninger i den demokratiske beslutningsproces«. Selv om Parlamentet og Rådet er forpligtede til at tage hensyn til Kommissionens konsekvensanalyser, er de derfor ikke af den grund bundet af indholdet af disse analyser, navnlig ikke hvad angår de deri indeholdte vurderinger (jf. i denne retning dom af 21.6.2018, Polen mod Parlamentet og Rådet, C-5/16, EU:C:2018:483, præmis 159 og den deri nævnte retspraksis).

102    Den omstændighed alene, at EU-lovgiver har vedtaget en anden foranstaltning og efter omstændighederne en mere indgribende foranstaltning end den, der blev anbefalet efter konsekvensanalysen, kan derfor ikke godtgøre, at EU-lovgiver har overskredet grænserne for, hvad der er nødvendigt for at nå det tilsigtede mål (jf. i denne retning dom af 4.5.2016, Pillbox 38, C-477/14, EU:C:2016:324, præmis 65).

103    I det foreliggende tilfælde blev det i Kommissionens konsekvensanalyse konstateret, at den valgmulighed, der bestod i at gøre det obligatorisk at lagre fingeraftryk i identitetskorts lagringsmedium, var den mest effektive med henblik på at nå det specifikke mål om at bekæmpe fremstillingen af falske identitetskort og forbedre dokumentautentificeringen. Under disse betingelser kan den valgmulighed, der bestod i ikke at gøre en sådan lagring obligatorisk, under alle omstændigheder ikke rejse tvivl om, at den foranstaltning, som EU-lovgiver valgte, var nødvendig som omhandlet i den retspraksis, der er nævnt i nærværende doms præmis 84.

104    I anden omgang og hvad angår lagringen af to fuldstændige fingeraftryk snarere end visse af de karakteristiske punkter i disse fingeraftryk (»minutiæ«) giver minutiæ, som generaladvokaten har anført i punkt 93 i forslaget til afgørelse, for det første ikke den samme sikkerhed som et fuldstændigt fingeraftryk. For det andet er lagringen af et fuldstændigt fingeraftryk nødvendig for interoperabiliteten mellem systemerne til kontrol af identifikationsdokumenter, hvilket udgør et af de væsentligste formål, der forfølges. Som det fremgår af punkt 47 i udtalelse 7/2018, og som den forelæggende ret ligeledes har fremhævet, anvender medlemsstaterne nemlig forskellige teknologier til genkendelse af fingeraftryk, således at en lagring af kun visse kendetegn ved et fingeraftryk i et identitetskorts lagringsmedium ville indebære en risiko for opfyldelsen af det formål om interoperabilitet mellem systemerne til kontrol af identifikationsdokumenter, der forfølges med forordning 2019/1157.

105    Det fremgår af ovenstående betragtninger, at de begrænsninger af de ved chartrets artikel 7 og 8 sikrede grundlæggende rettigheder, der følger af forpligtelsen til at lagre to fuldstændige fingeraftryk i lagringsmediet, synes at overholde grænserne for det strengt nødvendige.

3)      Spørgsmålet om, hvorvidt der er foretaget en afvejning mellem på den ene side alvoren af det indgreb, der gøres i de foreliggende grundlæggende rettigheder, og på den anden side formålene med denne foranstaltning

i)      Alvoren af det indgreb, der følger af begrænsningen i udøvelsen af de rettigheder, der er sikret ved chartrets artikel 7 og 8

106    Vurderingen af alvoren af det indgreb, der følger af en begrænsning i de rettigheder, der er sikret ved chartrets artikel 7 og 8, indebærer, at der skal tages hensyn til arten af de omhandlede personoplysninger, navnlig til disse oplysningers eventuelt følsomme karakter, samt til arten af og den konkrete fremgangsmåde ved behandlingen af oplysningerne, navnlig antallet af personer, der har adgang til disse oplysninger, og de nærmere vilkår for adgangen til disse oplysninger. Eventuelt skal der også tages hensyn til, om der findes foranstaltninger, der har til formål at forebygge risikoen for, at der sker retsstridige former for behandling af disse oplysninger.

107    I det foreliggende tilfælde kan den begrænsning i udøvelsen af de ved chartrets artikel 7 og 8 sikrede rettigheder, som følger af forordning 2019/1157, ganske vist vedrøre et stort antal personer, idet Kommissionen i sin konsekvensanalyse vurderede dette antal til 370 mio. indbyggere ud af de 440 mio. indbyggere, som Unionen dengang havde. Fingeraftryk som biometriske data er i sagens natur særligt følsomme og nyder, således som det bl.a. fremgår af 51. betragtning til databeskyttelsesforordningen, en særlig beskyttelse i EU-retten.

108    Det skal imidlertid fremhæves, at optagelse og lagring af to fuldstændige fingeraftryk kun er tilladt i henhold til forordning 2019/1157 med henblik på at lagre disse fingeraftryk i identitetskorts lagringsmedium.

109    Det følger desuden af denne forordnings artikel 3, stk. 5, sammenholdt med forordningens artikel 10, stk. 3, at når først denne lagring er gennemført, og identitetskortet er udleveret til den berørte person, opbevares de optagne fingeraftryk udelukkende i lagringsmediet til dette kort, som denne person i princippet er i fysisk besiddelse af.

110    Endelig fastsætter forordning 2019/1157 en helhed af garantier, der har til formål at begrænse risiciene for, at personoplysninger i forbindelse med forordningens gennemførelse indsamles eller anvendes til andre formål end at opfylde de mål, som forordningen forfølger, og dette ikke kun for så vidt angår de behandlingsaktiviteter vedrørende personoplysninger, som denne forordning gør obligatoriske, men også i forhold til de vigtigste behandlinger, som fingeraftryk, der er lagret i lagringsområdet for identitetskort, kan gøres til genstand for.

111    Hvad i første omgang angår indsamlingen af oplysninger bestemmer artikel 10, stk. 1 og 2, i forordning 2019/1157 således, at de biometriske identifikatorer »udelukkende [indsamles] af kvalificerede og behørigt bemyndigede medarbejdere«, og at disse medarbejdere skal følge »passende og effektive procedurer for indsamlingen af biometriske identifikatorer«, idet disse procedurer skal overholde rettighederne og principperne indeholdt i chartret, konventionen til beskyttelse af menneskerettigheder og grundlæggende frihedsrettigheder og De Forenede Nationers konvention om barnets rettigheder. Som anført i nærværende doms præmis 93 indeholder denne forordnings artikel 3, stk. 7, desuden særlige regler for børn under 12 år (første og andet afsnit) og for personer, for hvem det er fysisk umuligt at afgive fingeraftryk (tredje afsnit), idet sidstnævnte personer er »fritaget for kravet om at afgive fingeraftryk«.

112    Hvad i anden omgang angår lagring af oplysninger forpligter forordning 2019/1157 for det første medlemsstaterne til at lagre et ansigtsbillede og to fingeraftryk som biometriske oplysninger. I denne henseende præciseres det udtrykkeligt i 21. betragtning til forordning 2019/1157, at denne forordning ikke giver »hjemmel til at oprette eller opretholde nationale databaser til lagring af biometriske oplysninger i medlemsstaterne, som er et spørgsmål, der henhører under national ret, som skal overholde EU-databeskyttelsesretten«, ligesom forordningen heller ikke giver »hjemmel til at oprette eller opretholde en central database på EU-plan«. For det andet bestemmer artikel 10, stk. 3, i forordning 2019/1157, at disse »[b]iometriske identifikatorer [...] kun [opbevares] indtil datoen for dokumentets afhentning og under alle omstændigheder ikke længere end 90 dage fra den dato, hvor dokumentet udstedes«, og det præciseres i bestemmelsen, at »[e]fter denne periode slettes eller destrueres disse biometriske identifikatorer omgående«.

113    Det følger bl.a. heraf, at artikel 10, stk. 3, i forordning 2019/1157 ikke tillader medlemsstaterne at behandle biometriske oplysninger til andre formål end dem, der er fastsat i denne forordning. Denne bestemmelse er desuden til hinder for en centraliseret opbevaring af fingeraftryk, der går videre end til den midlertidige lagring af disse aftryk med henblik på individualisering af identitetskort.

114    Endelig nævnes i artikel 11, stk. 6, i forordning 2019/1157 muligheden for, at biometriske oplysninger, der er indeholdt i et sikret lagringsmedium, i overensstemmelse med EU-retten og national ret kan anvendes af behørigt bemyndiget personale hos kompetente nationale myndigheder og EU-agenturer.

115    Hvad angår artikel 11, stk. 6, litra a), i forordning 2019/1157 tillader denne bestemmelse kun anvendelse af biometriske oplysninger, der lagres i et identitetskorts og et opholdsdokuments lagringsmedium, med henblik på at kontrollere identitetskortets eller opholdsdokumentets ægthed.

116    Med hensyn til artikel 11, stk. 6, litra b), i forordning 2019/1157 fastsætter denne bestemmelse, at biometriske oplysninger, der lagres i et identitetskorts og et opholdsdokuments lagringsmedium, kan anvendes med henblik på at kontrollere indehaverens identitet »ved hjælp af umiddelbart tilgængelige, sammenlignelige oplysninger, hvor forevisning af identitetskortet eller opholdsdokumentet er lovpligtig«. Da der ved en sådan behandling kan blive tilvejebragt yderligere oplysninger om de berørte personers privatliv, kan den dog kun finde sted til formål, der er strengt begrænsede til identifikationen af den berørte person, og under betingelser, der er præcist afgrænset ved den lov, som kræver forevisning af identitetskortet eller opholdsdokumentet.

117    Hvad i tredje omgang angår søgningen i de biometriske oplysninger, der er lagret i identitetskorts lagringsmedium, skal det fremhæves, at der i 19. betragtning til forordning 2019/1157 opstilles en prioriteringsrækkefølge ved anvendelsen af midlerne til kontrol af dokumentets ægthed og indehaverens identitet, idet det fastsættes, at medlemsstaterne »først og fremmest [bør] kontrollere ansigtsbilledet« og, hvis det er nødvendigt med henblik på uden tvivl at bekræfte dokumentets ægthed og indehaverens identitet, »kontrollere fingeraftrykkene«.

118    Hvad i fjerde omgang angår risikoen for uautoriseret adgang til de lagrede oplysninger fastsætter artikel 3, stk. 5 og 6, i forordning 2019/1157 for at minimere denne risiko mest muligt, at fingeraftryk skal lagres på et »meget sikke[r]t lagringsmedium«, som skal have »tilstrækkelig kapacitet og være i stand til at sikre oplysningernes integritet, ægthed og fortrolige karakter«. Det følger endvidere af denne forordnings artikel 3, stk. 10, at »[h]vis en medlemsstat lagrer oplysninger til elektroniske tjenester såsom e-forvaltning og e-handel på identitetskortene, skal sådanne nationale oplysninger være fysisk eller logisk adskilt« bl.a. fra de fingeraftryk, der indsamles og lagres i henhold til denne forordning. Endelig fremgår det af 41. og 42. betragtning til samt artikel 11, stk. 4, i denne forordning, at medlemsstaterne fortsat er ansvarlige for den korrekte behandling af biometriske oplysninger, herunder når de samarbejder med eksterne tjenesteydere.

ii)    Betydningen af de forfulgte formål

119    Som påpeget i nærværende doms præmis 86 er formålet med lagringen af to fingeraftryk i lagringsmediet for identitetskort at bekæmpe fremstilling af falske identitetskort og identitetstyveri samt at sikre interoperabiliteten mellem systemerne til kontrol af identifikationsdokumenter. Denne lagring kan derved bidrage til beskyttelsen af de berørte personers privatliv og mere generelt til bekæmpelsen af kriminalitet og terrorisme.

120    En sådan foranstaltning gør det desuden muligt at opfylde enhver unionsborgers behov for at råde over midler til at identificere sig pålideligt og medlemsstaternes behov for at sikre sig, at de personer, der påberåber sig rettigheder, som er anerkendt i EU-retten, rent faktisk har disse rettigheder. Foranstaltningen bidrager således navnlig til at lette unionsborgernes udøvelse af deres ret til fri bevægelighed og ophold, som ligeledes udgør en grundlæggende rettighed, der er sikret ved chartrets artikel 45. De formål, der forfølges med forordning 2019/1157 – navnlig ved hjælp af en lagring af to fingeraftryk i identitetskorts lagringsmedium – har således en særlig betydning ikke blot for Unionen og medlemsstaterne, men også for unionsborgerne.

121    Lovligheden og betydningen af disse formål drages i øvrigt på ingen måde i tvivl af den omstændighed, som den forelæggende ret har henvist til, at det i punkt 24-26 i udtalelse 7/2018 blev nævnt, at der mellem 2013 og 2017 kun blev opdaget 38 870 tilfælde af forfalskede identitetskort, og at dette tal havde været faldende i flere år.

122    Selv hvis det antages, at antallet af forfalskede identitetskort var lavt, var EU-lovgiver nemlig ikke forpligtet til at afvente, at dette antal skulle stige, for at vedtage foranstaltninger til forebyggelse af risikoen for anvendelse af sådanne kort, men kunne bl.a. af hensyn til risikostyring foregribe en sådan udvikling, forudsat at de øvrige betingelser vedrørende overholdelsen af proportionalitetsprincippet var opfyldt.

iii) Afvejning

123    Henset til det ovenstående skal det fastslås, at den begrænsning i udøvelsen af de ved chartrets artikel 7 og 8 sikrede rettigheder, som følger af lagringen af to fingeraftryk i identitetskorts lagringsmedium, henset til de omhandlede oplysningers karakter, til arten af og fremgangsmåden ved behandlingsaktiviteterne samt til de fastsatte beskyttelsesmekanismer, ikke synes at være så alvorlig, at den står i misforhold til betydningen af de forskellige formål, som denne foranstaltning forfølger. En sådan foranstaltning må således anses for at være baseret på en rimelig afvejning mellem på den ene side disse formål og på den anden side de foreliggende grundlæggende rettigheder.

124    Begrænsningen i udøvelsen af de rettigheder, der er sikret ved chartrets artikel 7 og 8, er følgelig ikke i strid med proportionalitetsprincippet, hvorfor den tredje ugyldighedsgrund ikke kan medføre, at forordning 2019/1157 er ugyldig.

125    Det følger af samtlige ovenstående betragtninger, at forordning 2019/1157 er ugyldig, for så vidt som den er blevet vedtaget på grundlag af artikel 21, stk. 2, TEUF.

IV.    Opretholdelsen af de tidsmæssige virkninger af forordning 2019/1157

126    Virkningerne af en retsakt, der er blevet erklæret ugyldig, kan opretholdes af retssikkerhedsmæssige grunde, bl.a. når de umiddelbare virkninger af den dom, hvorved denne ugyldighed fastslås, vil kunne få alvorlige negative konsekvenser for de berørte personer (jf. i denne retning dom af 17.3.2016, Parlamentet mod Kommissionen, C-286/14, EU:C:2016:183, præmis 67).

127    I det foreliggende tilfælde vil en ugyldiggørelse af forordning 2019/1157 med øjeblikkelig virkning kunne få alvorlige negative konsekvenser for et betydeligt antal EU-borgere, og navnlig for deres sikkerhed inden for området med frihed, sikkerhed og retfærdighed.

128    Under disse omstændigheder bestemmer Domstolen, at virkningerne af forordning 2019/1157 skal opretholdes indtil ikrafttrædelsen inden for en rimelig frist, der ikke kan overstige to år regnet fra den 1. januar i det år, der følger efter datoen for afsigelsen af nærværende dom, af en ny forordning baseret på artikel 77, stk. 3, TEUF, som skal erstatte den omhandlede forordning.

V.      Sagsomkostninger

129    Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra de nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Store Afdeling) for ret:

1)      Europa-Parlamentets og Rådets forordning (EU) 2019/1157 af 20. juni 2019 om styrkelse af sikkerheden af unionsborgeres identitetskort og af opholdsdokumenter, der udstedes til unionsborgere og deres familiemedlemmer, som udøver deres ret til fri bevægelighed, er ugyldig.

2)      Virkningerne af forordning 2019/1157 opretholdes indtil ikrafttrædelsen inden for en rimelig frist, der ikke kan overstige to år regnet fra den 1. januar i det år, der følger efter datoen for afsigelsen af nærværende dom, af en ny forordning baseret på artikel 77, stk. 3, TEUF, som skal erstatte den omhandlede forordning.

Underskrifter

*      Processprog: tysk.