Začasna izdaja

SODBA SODIŠČA (veliki senat)

z dne 21. marca 2024(*)

„Predhodno odločanje – Uredba (EU) 2019/1157 – Okrepitev varnosti osebnih izkaznic državljanov Evropske unije – Veljavnost – Pravna podlaga – Člen 21(2) PDEU – Člen 77(3) PDEU – Uredba (EU) 2019/1157 – Člen 3(5) – Obveznost držav članic, da v pomnilniški medij osebnih izkaznic vključijo dva prstna odtisa v interoperabilnih digitalnih oblikah – Člen 7 Listine Evropske unije o temeljnih pravicah – Spoštovanje zasebnega in družinskega življenja – Člen 8 Listine o temeljnih pravicah – Varstvo osebnih podatkov – Uredba (EU) 2016/679 – Člen 35 – Obveznost izvedbe ocene učinka v zvezi z varstvom podatkov – Časovna ohranitev učinkov uredbe, ki je bila razglašena za neveljavno“

V zadevi C‑61/22,

katere predmet je predlog za sprejetje predhodne odločbe na podlagi člena 267 PDEU, ki ga je vložilo Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija) z odločbo z dne 13. januarja 2022, ki je na Sodišče prispela 1. februarja 2022, v postopku

RL

proti

Landeshauptstadt Wiesbaden,

SODIŠČE (veliki senat),

v sestavi K. Lenaerts, predsednik, L. Bay Larsen, podpredsednik, A. Arabadjiev, predsednik senata, A. Prechal, predsednica senata, E. Regan (poročevalec), T. von Danwitz, F. Biltgen in Z. Csehi, predsedniki senatov, J.‑C. Bonichot, S. Rodin, D. Gratsias, sodniki, M. L. Arastey Sahún, sodnica, in M. Gavalec, sodnik,

generalna pravobranilka: L. Medina,

sodni tajnik: D. Dittert, vodja oddelka,

na podlagi pisnega postopka in obravnave z dne 14. marca 2023,

ob upoštevanju stališč, ki so jih predložili:

–        za RL W. Achelpöhler, Rechtsanwalt,

–        za nemško vlado J. Möller in P.‑L. Krüger, agenta,

–        za belgijsko vlado P. Cottin in A. Van Baelen, agenta, skupaj s P. Wytinckom, advocaat,

–        za špansko vlado L. Aguilera Ruiz, agent,

–        za poljsko vlado B. Majczyna, agent,

–        za Evropski parlament G. C. Bartram, P. López‑Carceller in J. Rodrigues, agenti,

–        za Svet Evropske unije M. França in Z. Šustr, agenta,

–        za Evropsko komisijo H. Kranenborg, E. Montaguti in I. Zaloguin, agenti,

po predstavitvi sklepnih predlogov generalne pravobranilke na obravnavi 29. junija 2023

izreka naslednjo

Sodbo

1        Predlog za sprejetje predhodne odločbe se nanaša na veljavnost Uredbe (EU) 2019/1157 Evropskega parlamenta in Sveta z dne 20. junija 2019 o okrepitvi varnosti osebnih izkaznic državljanov Unije in dokumentov za prebivanje, izdanih državljanom Unije in njihovim družinskim članom, ki uresničujejo svojo pravico do prostega gibanja (UL 2019, L 188, str. 67), zlasti njenega člena 3(5).

2        Ta predlog je bil vložen v okviru spora med osebo RL in Landeshauptstadt Wiesbaden (deželno glavno mesto Wiesbaden, Nemčija) (v nadaljevanju: mesto Wiesbaden), ker je zadnjenavedeno zavrnilo prošnjo te osebe za izdajo osebne izkaznice, ki ne bi vključevala njenih prstnih odtisov.

I.      Pravni okvir

A.      Pravo Unije

1.      Uredba 2019/1157

3        V uvodnih izjavah 1, 2, 4, 5, od 17 do 21, 23, od 26 do 29, 32, 33, 36, od 40 do 42 in 46 Uredbe 2019/1157 je navedeno:

„(1)      V Pogodbi [EU] je izražena trdna odločenost, da se olajša prosto gibanje oseb in hkrati zagotovi varnost narodov Evrope z vzpostavitvijo območja svobode, varnosti in pravice v skladu z določbami [Pogodbe EU] in Pogodbe [DEU].

(2)      Državljanstvo [Evropske u]nije vsakemu državljanu Unije daje pravico do prostega gibanja ob upoštevanju določenih omejitev in pogojev. To pravico uveljavlja Direktiva Evropskega parlamenta in Sveta 2004/38/ES [z dne 29. aprila 2004 o pravici državljanov Unije in njihovih družinskih članov do prostega gibanja in prebivanja na ozemlju držav članic, ki spreminja Uredbo (EGS) št. 1612/68 in razveljavlja Direktive 64/221/EGS, 68/360/EGS, 72/194/EGS, 73/148/EGS, 75/34/EGS, 75/35/EGS, 90/364/EGS, 90/365/EGS in 93/96/EEC (UL, posebna izdaja v slovenščini, poglavje 5, zvezek 5, str. 46)]. Svobodo gibanja in prebivanja določa tudi člen 45 Listine Evropske unije o temeljnih pravicah (v nadaljnjem besedilu: Listina). Prosto gibanje pomeni pravico do vstopa v države članice in izstopa iz njih z veljavno osebno izkaznico ali potnim listom.

[…]

(4)      V [Direktivi 2004/38] je določeno, da lahko države članice sprejmejo potrebne ukrepe za zavrnitev, prenehanje ali preklic katere koli pravice, dodeljene z navedeno direktivo, v primeru zlorabe pravic ali prevare. Kot značilna primera prevare iz navedene direktive sta bila opredeljena ponarejanje dokumentov in lažno predstavljanje pomembnih dejstev v zvezi s pogoji za pravico do prebivanja.

(5)      Varnostne ravni nacionalnih osebnih izkaznic, ki jih izdajajo države članice, in dovoljenj za prebivanje za državljane Unije, ki prebivajo v drugi državi članici, ter njihove družinske člane se močno razlikujejo. Te razlike povečujejo tveganje ponarejanja in zlorabe dokumentov, in državljanom povzročajo tudi praktične težave, ko želijo uresničevati pravico do prostega gibanja. Statistični podatki evropske mreže za analizo tveganja ponaredbe dokumentov kažejo, da se je število goljufij z osebnimi izkaznicami sčasoma povečalo.

[…]

(17)      Varnostne značilnosti so potrebne za preverjanje, ali je dokument verodostojen in za ugotavljanje identitete osebe. Vzpostavitev minimalnih varnostnih standardov in vključitev biometričnih podatkov v osebne izkaznice in dovoljenja za prebivanje za družinske člane, ki niso državljani države članice, sta pomembna koraka k večji varnosti njihove uporabe v Uniji. Vključitev takšnih biometričnih identifikatorjev bi morala omogočiti državljanom Unije, da v celoti izkoristijo svojo pravico do prostega gibanja.

(18)      Shranjevanje podobe obraza in dveh prstnih odtisov (v nadaljnjem besedilu: biometrični podatki) na osebnih izkaznicah in dovoljenjih za prebivanje, kot je že določeno za biometrične potne liste in dovoljenja za prebivanje za državljane tretjih držav, je primerna kombinacija za zanesljivo ugotavljanje istovetnosti in potrjevanja verodostojnosti z manjšim tveganjem goljufij, da bi povečali varnost osebnih izkaznic in dovoljenj za prebivanje.

(19)      Na splošno bi morale države članice pri preverjanju verodostojnosti dokumenta in identitete njegovega imetnika najprej preveriti podobo obraza, za nedvomno potrditev verodostojnosti dokumenta in identitete imetnika pa bi morale po potrebi preveriti tudi prstne odtise.

(20)      Države članice bi morale v primerih, ko se pri preverjanju biometričnih podatkov ne potrdi verodostojnost dokumenta ali identiteta imetnika, zagotoviti obvezno ročno preverjanje, ki ga opravi strokovno usposobljeno osebje.

(21)      Ta uredba ne zagotavlja pravne podlage za vzpostavitev ali vodenje zbirk podatkov na nacionalni ravni za shranjevanje biometričnih podatkov v državah članicah, kar je vprašanje nacionalnega prava, ki mora biti skladno s pravom Unije na področju varstva podatkov. Ta uredba tudi ne zagotavlja pravne podlage za vzpostavitev ali vodenje centralizirane zbirke podatkov na ravni Unije.

[…]

(23)      Za namen te uredbe bi bilo treba upoštevati specifikacije dokumenta [Mednarodne organizacije civilnega letalstva (ICAO)] 9303, ki zagotavljajo globalno interoperabilnost, vključno v zvezi s strojno berljivostjo in uporabo vizualnega pregleda.

[…]

(26)      Države članice bi morale zagotoviti, da so vzpostavljeni ustrezni in učinkoviti postopki za zbiranje biometričnih identifikatorjev, ki so skladni s pravicami in načeli iz Listine, Konvencije Sveta Evrope o varstvu človekovih pravic in temeljnih svoboščin[, podpisane 4. novembra 1950 v Rimu,] ter Konvencije Združenih narodov o otrokovih pravicah[, ki jo je 20. novembra 1989 sprejela Generalna skupščina Združenih narodov (Recueil des traités des Nations unies, zvezek 1577, str. 3) in je začela veljati 2. septembra 1990]. Države članice bi morale zagotoviti, da je v celotnem postopku zbiranja otrokova korist na prvem mestu. Zato bi moralo biti usposobljeno osebje deležno ustreznega usposabljanja o otrokom primernih praksah za zbiranje biometričnih identifikatorjev.

(27)      Države članice bi morale v primeru težav pri zbiranju biometričnih identifikatorjev zagotoviti, da so vzpostavljeni ustrezni postopki za spoštovanje dostojanstva zadevnih oseb. Zato bi bilo treba upoštevati posebne vidike, povezane s spolom, in posebne potrebe otrok in ranljivih oseb.

(28)      Uvedba minimalnih varnostnih standardov in standardov glede oblike osebnih izkaznic bi morala državam članicam omogočiti zanašanje na verodostojnost teh dokumentov, kadar državljani Unije uresničujejo svojo pravico do prostega gibanja. Uvedba strožjih varnostnih standardov bi morala javnim organom in zasebnim subjektom zagotoviti ustrezna jamstva, da bi se lahko zanesli na pristnost osebnih izkaznic, ko jih državljani Unije uporabljajo za namene ugotavljanja identitete.

(29)      Razpoznavni znak v obliki dvočrkovne kode za državo članico, ki je izdala dokument, natisnjene v negativu v modrem pravokotniku in obkrožene z dvanajstimi rumenimi zvezdami, omogoča lažji vizualni pregled dokumenta, zlasti kadar imetnik uresničuje pravico do prostega gibanja.

[…]

(32)      Države članice bi morale sprejeti vse potrebne ukrepe, da bi zagotovile, da bi se z biometričnimi podatki pravilno ugotovila identiteta osebe, ki ji je izdana osebna izkaznica. Zato bi morale preučiti možnost, da bi nacionalni organi, ki izdajajo osebne izkaznice, biometrične identifikatorje, zlasti podobo obraza, zbirali v obliki zapisa v živo.

(33)      Države članice bi si morale med seboj izmenjevati informacije, ki so potrebne za dostop do informacij na varnem pomnilniškem mediju ter za njihovo avtentikacijo in preverjanje. Formati, ki se uporabljajo za varen pomnilniški medij, bi morali biti interoperabilni, tudi kar zadeva avtomatizirane mejne prehode.

[…]

(36)      Dokumenti za prebivanje, izdani državljanom Unije, bi morali vsebovati določene informacije, da se zagotovi, da se kot takšni prepoznajo v vseh državah članicah. To bi moralo olajšati priznavanje uporabe pravice državljanov Unije do prostega gibanja in pravic, povezanih s to uporabo, vendar harmonizacija ne bi smela presegati tega, kar je potrebno za odpravo pomanjkljivosti obstoječih dokumentov. Države članice prosto izbirajo obliko, v kateri se ti dokumenti izdajo, in bi jih lahko izdale v obliki, ki je skladna s specifikacijami iz dokumenta ICAO 9303.

[…]

(40)      V zvezi z osebnimi podatki, ki jih je treba obdelati v okviru uporabe te uredbe, se uporablja Uredba (EU) 2016/679 Evropskega parlamenta in Sveta [z dne 27. aprila 2016 o varstvu posameznikov pri obdelavi osebnih podatkov in o prostem pretoku takih podatkov ter o razveljavitvi Direktive 95/46/ES (Splošna uredba o varstvu podatkov) (UL 2016, L 119, str. 1, in popravek v UL 2018, L 127, str. 2; v nadaljevanju: SUVP)]. Podrobneje je treba določiti zaščitne ukrepe, ki se uporabljajo za obdelane osebne podatke in zlasti za občutljive podatke, kot so biometrični identifikatorji. Posamezniki, na katere se nanašajo osebni podatki, bi morali biti seznanjeni s tem, da je v njihovih dokumentih pomnilniški medij, ki vsebuje njihove biometrične podatke, vključno z njihovo brezstično dostopnostjo in z vsemi primeri, kadar se uporabljajo podatki z njihovih osebnih izkaznic in dokumentov za prebivanje. V vsakem primeru bi morali imeti posamezniki, na katere se nanašajo osebni podatki, dostop do osebnih podatkov, obdelanih v njihovih osebnih izkaznicah in dokumentih za prebivanje, in imeti pravico, da zahtevajo popravke, tako da se jim izda nov dokument, kadar so ti podatki napačni ali nepopolni. Pomnilniški medij bi moral biti zelo varen, osebni podatki, ki so na njem shranjeni, pa bi morali biti učinkovito zaščiteni pred nepooblaščenim dostopom.

(41)      Države članice bi morale biti odgovorne za pravilno obdelavo biometričnih podatkov, od njihovega zbiranja do vključitve na zelo varen pomnilniški medij, v skladu [s SUVP].

(42)      Države članice bi morale biti posebej previdne, kadar sodelujejo z zunanjim ponudnikom storitev. To sodelovanje ne bi smelo izključevati morebitne odgovornosti držav članic na podlagi prava Unije ali nacionalnega prava za kršitve obveznosti v zvezi z osebnimi podatki.

[…]

(46)      Ker ciljev te uredbe, in sicer okrepiti varnost in olajšati uresničevanje pravice do prostega gibanja državljanov Unije in njihovih družinskih članov, države članice ne morejo zadovoljivo doseči, temveč se zaradi obsega in učinkov ukrepa lažje dosežejo na ravni Unije, lahko Unija sprejme ukrepe v skladu z načelom subsidiarnosti iz člena 5 [PEU]. V skladu z načelom sorazmernosti iz navedenega člena ta uredba ne presega tistega, kar je potrebno za doseganje navedenih ciljev.“

4        Člen 1 Uredbe 2019/1157, naslovljen „Predmet urejanja“, določa:

„Ta uredba krepi varnostne standarde, ki se uporabljajo za osebne izkaznice, ki jih države članice izdajo svojim državljanom, in dokumente za prebivanje, ki jih države članice izdajo državljanom Unije in njihovim družinskim članom, ki uresničujejo pravico do prostega gibanja.“

5        Člen 2 te uredbe, naslovljen „Področje uporabe“, določa:

„Ta uredba se uporablja za:

(a)      osebne izkaznice, ki jih države članice izdajo svojim državljanom, kakor je določeno v členu 4(3) Direktive [2004/38];

Ta uredba se ne uporablja za identifikacijske dokumente, ki se izdajo začasno za obdobje veljavnosti manj kot šest mesecev.      

(b)      potrdila o prijavi, ki se v skladu s členom 8 Direktive [2004/38] izdajo državljanom Unije, ki v državi članici gostiteljici prebivajo več kot tri mesece, in listine, ki potrjujejo stalno prebivališče in se v skladu s členom 19 Direktive [2004/38] na zahtevo izdajo državljanom Unije;

(c)      dovoljenja za prebivanje, ki se v skladu s členom 10 Direktive [2004/38] izdajo družinskim članom državljanov Unije, ki niso državljani države članice, in dovoljenja za stalno prebivanje, ki se v skladu s členom 20 Direktive [2004/38] izdajo družinskim članom državljanov Unije, ki niso državljani države članice.“

6        Člen 3 navedene uredbe, naslovljen „Varnostni standardi/oblika/specifikacije“, v odstavkih od 5 do 7 in 10 določa:

„5.      Osebne izkaznice vključujejo zelo varen pomnilniški medij, ki vsebuje podobo obraza imetnika izkaznice in dva prstna odtisa v interoperabilnih digitalnih oblikah. Države članice za zapis biometričnih identifikatorjev uporabljajo tehnične specifikacije, kakor so določene v Izvedbenem sklepu Komisije C(2018) 7767 [z dne 30. novembra 2018 o tehničnih specifikacijah za enotno obliko dovoljenja za prebivanje za državljane tretjih držav in o razveljavitvi Sklepa C(2002)3069].

6.      Pomnilniški medij ima zadostno zmogljivost in zmožnost za zagotavljanje integritete, avtentičnosti in zaupnosti podatkov. Shranjeni podatki so brezstično dostopni in zavarovani, kakor je določeno v Izvedbenem sklepu C(2018)7767. Države članice si med seboj izmenjajo informacije, ki so potrebne za avtentikacijo pomnilniškega medija ter za dostop do biometričnih podatkov iz odstavka 5 in njihovo preverjanje.

7.      Otroci, mlajši od 12 let, so lahko izvzeti iz obveznosti odvzema prstnih odtisov.

Otroci, mlajši od 6 let, so izvzeti iz obveznosti odvzema prstnih odtisov.

Osebe, pri katerih je odvzem prstnih odtisov fizično nemogoč, so izvzete iz obveznosti odvzema prstnih odtisov.

[…]

10.      Kadar države članice v osebnih izkaznicah shranjujejo podatke za e-storitve, kot sta e-uprava in e-poslovanje, morajo biti takšni nacionalni podatki fizično ali smiselno ločeni od biometričnih podatkov iz odstavka 5.“

7        Člen 5 te uredbe, naslovljen „Postopno opuščanje“, določa:

„1.      Osebne izkaznice, ki ne izpolnjujejo zahtev iz člena 3, prenehajo veljati na dan prenehanja njihove veljavnosti ali do 3. avgusta 2031, kar koli nastopi prej.

2.      Z odstopanjem od odstavka 1:

(a)      osebne izkaznice, ki ne vključujejo funkcionalnega strojno berljivega polja, opredeljenega v odstavku 3, prenehajo veljati na dan prenehanja njihove veljavnosti ali do 3. avgusta 2026, kar nastopi prej;

[…]

3.      Funkcionalno strojno berljivo polje za namene odstavka 2 pomeni:

(a)      strojno berljivo polje, skladno z delom 3 dokumenta ICAO 9303, ali

(b)      katero koli drugo strojno berljivo polje, za katerega država članica izdajateljica sporoči pravila, ki se zahtevajo za branje in prikazovanje vsebovanih informacij, razen če država članica [Evropsko k]omisijo do 2. avgusta 2021 obvesti o pomanjkanju zmogljivosti za branje in prikazovanje teh informacij.

[…]“

8        Člen 6 Uredbe 2019/1157, naslovljen „Minimalne informacije, ki morajo biti navedene“, v prvem odstavku določa:

„Na dokumentih za prebivanje, kadar jih države članice izdajo državljanom Unije, se navede vsaj naslednje:

[…]

(f)      informacije, ki se vključijo na potrdila o prijavi, in dokumenti [dokumente], ki potrjujejo stalno prebivališče, izdani [izdane] v skladu s členoma 8 oziroma 19 Direktive [2004/38];

[…].“

9        Člen 10 te uredbe, naslovljen „Zbiranje biometričnih identifikatorjev“, določa:

„1.      Biometrične identifikatorje zbira le usposobljeno in ustrezno pooblaščeno osebje, ki ga imenujejo organi, pristojni za izdajanje osebnih izkaznic ali dovoljenj za prebivanje, za namen njihove vključitve v zelo varen pomnilniški medij iz člena 3(5) za osebne izkaznice in iz člena 7(1) za dovoljenja za prebivanje. Z odstopanjem od prvega stavka prstne odtise zbira le usposobljeno in ustrezno pooblaščeno osebje teh organov, razen v primeru vlog, ki se oddajo pri diplomatskih in konzularnih organih države članice.

Da se zagotovi skladnost biometričnih identifikatorjev z identiteto vlagatelja, se vlagatelj tekom postopka izdaje za posamezno vlogo vsaj enkrat osebno zglasi.

2.      Države članice zagotovijo, da so vzpostavljeni ustrezni in učinkoviti postopki za zbiranje biometričnih identifikatorjev, ki so skladni s pravicami in načeli iz Listine, Konvencije o varstvu človekovih pravic in temeljnih svoboščin ter Konvencije Združenih narodov o otrokovih pravicah.

V primeru težav pri zbiranju biometričnih identifikatorjev države članice zagotovijo, da so vzpostavljeni ustrezni postopki za zagotavljanje dostojanstva zadevnih oseb.

3.      Kadar se biometrični identifikatorji ne zahtevajo za namen obdelave v skladu s pravom Unije in nacionalnim pravom, se za namene personalizacije osebnih izkaznic ali dokumentov za prebivanje shranjujejo zelo varno in le do prevzema dokumenta, vsekakor pa največ 90 dni od datuma izdaje dokumenta. Biometrični identifikatorji se po preteku tega obdobja takoj izbrišejo ali uničijo.“

10      Člen 11 navedene uredbe, naslovljen „Varstvo osebnih podatkov in odgovornost“, v odstavkih 4 in 6 določa:

„4.      Sodelovanje z zunanjimi ponudniki storitev ne izključuje morebitne odgovornosti države članice na podlagi prava Unije ali nacionalnega prava za kršitve obveznosti v zvezi z osebnimi podatki.

[…]

6.      Biometrične podatke, shranjene v pomnilniškem mediju osebnih izkaznic in dokumentov za prebivanje, uporablja samo ustrezno pooblaščeno osebje pristojnih nacionalnih organov in agencij Unije v skladu s pravom Unije in nacionalnim pravom, in sicer za preverjanje:

(a)      pristnost[i] osebne izkaznice ali dokumenta za prebivanje;

(b)      identitete imetnika s pomočjo neposredno dostopnih primerljivih značilnosti, kadar zakon zahteva predložitev osebne izkaznice ali dokumenta za prebivanje.“

11      Člen 14 iste uredbe, naslovljen „Dodatne tehnične specifikacije“, v odstavkih 1 in 2 določa:

„1.      Da se po potrebi zagotovi, da osebne izkaznice in dokumenti za prebivanje iz točk (a) in (c) člena 2 izpolnjujejo prihodnje minimalne varnostne standarde, Komisija z izvedbenimi akti določi dodatne tehnične specifikacije v zvezi z:

(a)      dodatnimi varnostnimi značilnostmi in zahtevami, vključno z višjimi standardi zaščite pred prenarejanjem in ponarejanjem;

(b)      tehničnimi specifikacijami za pomnilniški medij za biometrične značilnosti iz člena 3(5) in njihovo varnost, vključno s preprečevanjem nepooblaščenega dostopa in poenostavljenim preverjanjem veljavnosti;

(c)      zahtevami glede kakovosti in skupnimi tehničnimi standardi za podobo obraza in prstne odtise.

Ti izvedbeni akti se sprejmejo v skladu s postopkom pregleda iz člena 15(2).

2.      V skladu s postopkom iz člena 15(2) se lahko sprejme odločitev, da so specifikacije iz tega člena tajne in se ne smejo objaviti. […]“

2.      SUVP

12      V uvodni izjavi 51 SUVP je navedeno:

Posebno varstvo si zaslužijo osebni podatki, ki so po svoji naravi posebej občutljivi z vidika temeljnih pravic in svoboščin, saj bi lahko okoliščine njihove obdelave resno ogrozile temeljne pravice in svoboščine. […] Obdelava fotografij se ne bi smela sistematično šteti za obdelavo posebnih vrst osebnih podatkov, saj spadajo v opredelitev biometričnih podatkov le, kadar so obdelane s posebnimi tehničnimi sredstvi, ki omogočajo edinstveno identifikacijo ali avtentikacijo posameznika. Takšni osebni podatki se ne bi smeli obdelovati, razen če je obdelava dovoljena v posebnih primerih iz te uredbe, pri čemer je treba upoštevati, da se lahko v pravu držav članic opredelijo posebne določbe o varstvu podatkov, s katerimi se prilagodi uporaba pravil iz te uredbe zaradi izpolnjevanja pravne obveznosti ali zaradi izvajanja naloge v javnem interesu ali izvajanja javne oblasti, dodeljene upravljavcu. Poleg posebnih zahtev za takšno obdelavo bi morala veljati splošna načela in druga pravila iz te uredbe, zlasti glede pogojev zakonite obdelave. Izrecno bi morala biti določena odstopanja od splošne prepovedi obdelave takšnih posebnih vrst osebnih podatkov, med drugim kadar posameznik, na katerega se nanašajo osebni podatki, da izrecno privolitev, ali glede posebnih potreb […].“

13      Člen 4 te uredbe, naslovljen „Opredelitev pojmov“, določa:

„V tej uredbi:

[…]

2.      ,obdelava‘ pomeni vsako dejanje ali niz dejanj, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov z avtomatiziranimi sredstvi ali brez njih, kot je zbiranje, beleženje, urejanje, strukturiranje, shranjevanje, prilagajanje ali spreminjanje, priklic, vpogled, uporaba, razkritje s posredovanjem, razširjanje ali drugačno omogočanje dostopa, prilagajanje ali kombiniranje, omejevanje, izbris ali uničenje;

[…]

7.      ,upravljavec‘ pomeni fizično ali pravno osebo, javni organ, agencijo ali drugo telo, ki samo ali skupaj z drugimi določa namene in sredstva obdelave; kadar namene in sredstva obdelave določa pravo Unije ali pravo države članice, se lahko upravljavec ali posebna merila za njegovo imenovanje določijo s pravom Unije ali pravom države članice;

[…].“

14      Člen 9 navedene uredbe, naslovljen „Obdelava posebnih vrst osebnih podatkov“, v odstavku 1 določa:

„Prepovedani sta obdelava osebnih podatkov, ki razkrivajo rasno ali etnično poreklo, politično mnenje, versko ali filozofsko prepričanje ali članstvo v sindikatu, in obdelava genskih podatkov, biometričnih podatkov za namene edinstvene identifikacije posameznika, podatkov v zvezi z zdravjem ali podatkov v zvezi s posameznikovim spolnim življenjem ali spolno usmerjenostjo.“

15      Člen 35 iste uredbe, naslovljen „Ocena učinka v zvezi z varstvom podatkov“, v odstavkih 1, 3 in 10 določa:

„1.      Kadar je možno, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov, upravljavec pred obdelavo opravi oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov. V eni oceni je lahko obravnavan niz podobnih dejanj obdelave, ki predstavljajo podobna velika tveganja.

[…]

3.      Ocena učinka v zvezi z varstvom podatkov iz odstavka 1 se zahteva zlasti v primeru:

(a)      sistematičnega in obsežnega vrednotenja osebnih vidikov v zvezi s posamezniki, ki temelji na avtomatizirani obdelavi, vključno z oblikovanjem profilov, in je osnova za odločitve, ki imajo pravne učinke v zvezi s posameznikom ali nanj na podoben način znatno vplivajo;

(b)      obsežne obdelave posebnih vrst podatkov iz člena 9(1) ali osebnih podatkov v zvezi s kazenskimi obsodbami in prekrški iz člena 10, ali

(c)      obsežnega sistematičnega spremljanja javno dostopnega območja.

[…]

10.      Kadar je pravna podlaga za obdelavo v skladu s točko (c) ali (e) člena 6(1) pravo Unije ali pravo države članice, ki velja za upravljavca, to pravo ureja zadevno posebno dejanje obdelave ali niz zadevnih dejanj obdelave, in je bila ocena učinka v zvezi z varstvom podatkov že izvedena v okviru splošne ocene učinkov med sprejemanjem te pravne podlage, se odstavki 1 do 7 ne uporabljajo, razen če države članice menijo, da je treba tako oceno opraviti pred dejavnostmi obdelave.“

3.      Uredba (EU) 2016/399

16      Člen 8 Uredbe (EU) 2016/399 Evropskega parlamenta in Sveta z dne 9. marca 2016 o Zakoniku Unije o pravilih, ki urejajo gibanje oseb prek meja (Zakonik o schengenskih mejah) (UL 2016, L 77, str. 1), kakor je bila spremenjena z Uredbo (EU) 2017/458 Evropskega parlamenta in Sveta z dne 15. marca 2017 (UL 2017, L 74, str. 1), v odstavkih 1 in 2 določa:

„1.      Prehod čez zunanje meje je predmet kontrole mejnih policistov. Kontrola se opravlja v skladu s tem poglavjem.

[…]

2.      Pri osebah, ki imajo pravico do prostega gibanja po pravu Unije, se pri vstopu in izstopu opravi naslednja kontrola:

(a)      preverjanje identitete in državljanstva osebe ter verodostojnosti in veljavnosti potne listine za prestop meje, tudi s preverjanjem podatkov v ustreznih zbirkah podatkov […]

(b)      preverjanje, da oseba, ki ima pravico do prostega gibanja po pravu Unije, ne predstavlja grožnje javnemu redu, notranji varnosti, javnemu zdravju ali mednarodnim odnosom katere koli države članice, […]

V primerih dvoma glede verodostojnosti potne listine ali identitete imetnika potne listine se preveri vsaj enega od biometričnih identifikatorjev, vdelanih v potne liste in potovalne dokumente, izdane v skladu z Uredbo [Sveta] (ES) št. 2252/2004 [z dne 13. decembra 2004 o standardih za varnostne značilnosti in biometrične podatke v potnih listih in potovalnih dokumentih, ki jih izdajo države članice (UL 2004, L 385, str. 1)]. Kadar je mogoče, se takšno preverjanje izvaja tudi za potne listine, ki jih navedena uredba ne zajema.

[…]“

4.      Direktiva 2004/38

17      Člen 4 Direktive 2004/38, naslovljen „Pravica do izstopa“, v odstavkih 1 in 3 določa:

„1.      Brez vpliva na določbe o potnih listinah, ki se uporabljajo pri nadzorih državne meje, imajo vsi državljani Unije z veljavno osebno izkaznico ali potnim listom in njihovi družinski člani, ki niso državljani države članice in ki imajo veljavni potni list, pravico, da zapustijo ozemlje države članice zaradi potovanja v drugo državo članico.

[…]

3.      Države članice v skladu s svojim pravom svojim državljanom izdajo in obnovijo osebno izkaznico ali potni list, v katerih je navedeno njihovo državljanstvo.“

18      Člen 5 te direktive, naslovljen „Pravica do vstopa“, v odstavku 1 določa:

„Brez vpliva na določbe o potnih listinah, ki se uporabljajo pri nadzorih državne meje, države članice dovolijo državljanom Unije vstop na njihovo ozemlje z veljavno osebno izkaznico ali potnim listom ter dovolijo družinskim članom, ki niso državljani države članice, vstop na njihovo ozemlje z veljavnim potnim listom.

Od državljanov Unije se ne sme zahtevati nobenega vstopnega vizuma ali enakovrednih formalnosti.“

19      Člen 6 navedene direktive, naslovljen „Pravica do prebivanja do treh mesecev“, določa:

„1.      Državljani Unije imajo pravico prebivati na ozemlju druge države članice v obdobju do treh mesecev brez kakršnih koli pogojev ali kakršnih koli formalnosti, razen zahteve, da imajo veljavno osebno izkaznico ali potni list.

2.      Določbe odstavka 1 se uporabijo tudi za družinske člane, ki imajo veljavni potni list, ki niso državljani države članice in ki spremljajo ali se pridružijo državljanu Unije.“

20      Člen 8 Direktive 2004/38, naslovljen „Upravne formalnosti za državljane Unije“, v odstavkih 1 in 3 določa:

„1.      Brez vpliva na člen 5(5) lahko država članica gostiteljica, za obdobja prebivanja, daljša od treh mesecev, zahteva od državljanov Unije, da se prijavijo pri ustreznih organih.

[…]

3.      Za izdajo potrdila o prijavi lahko države članice zahtevajo samo:

–        da državljani Unije, za katere velja točka (a) člena 7(1), predložijo veljavno osebno izkaznico ali potni list, delodajalčevo potrdilo o zaposlitvi ali potrdilo o zaposlitvi ali dokazilo, da so samozaposlene osebe;

–        da državljani Unije, za katere velja točka (b) člena 7(1), predložijo veljavno osebno izkaznico ali potni list in predložijo dokazilo o izpolnjevanju pogojev, ki so tam določeni;

–        da državljani Unije, za katere velja točka (c) člena 7(1), predložijo veljavno osebno izkaznico ali potni list, predložijo dokazilo o vpisu na priznano ustanovo in o celovitem zavarovalnem kritju za primer bolezni ter izjavo ali enakovredno sredstvo, navedeno v točki (c) člena 7(1). Države članice ne smejo zahtevati, da se v tej izjavi navede določen znesek sredstev.“

5.      Medinstitucionalni sporazum

21      V točkah od 12 do 14 Medinstitucionalnega sporazuma med Evropskim parlamentom, Svetom Evropske unije in Evropsko komisijo o boljši pripravi zakonodaje z dne 13. aprila 2016 (UL 2016, L 123, str. 1; v nadaljevanju: Medinstitucionalni sporazum) je določeno:

„12.      […]

Ocene učinka so orodje, s katerim si tri institucije pomagajo pri sprejemanju dobro utemeljenih odločitev, in niso nadomestek za politične odločitve v demokratičnem procesu odločanja. […]

V ocenah učinka bi bilo treba obravnavati obstoj, obseg in posledice problema ter vprašanje, ali je potrebno ukrepanje na ravni Unije ali ne. V njih bi bilo treba začrtati alternativne rešitve ter po možnosti morebitne kratkoročne in dolgoročne stroške in koristi, pri tem pa celovito in uravnoteženo oceniti gospodarske, okoljske in socialne učinke ter uporabljati tako kvalitativno kot kvantitativno analizo. V celoti bi bilo treba upoštevati načeli subsidiarnosti in sorazmernosti ter temeljne pravice. […] Ocene učinka bi morale temeljiti na točnih, objektivnih in popolnih informacijah ter biti sorazmerne v svojem obsegu in usmeritvi.

13.      Komisija bo izvedla ocene učinka svojih zakonodajnih […] pobud […], za katere se predvideva, da bi lahko imeli znatne gospodarske, okoljske ali socialne učinke. Ocena učinka bo praviloma priložena pobudam, vključenim v delovnem programu Komisije ali v skupni izjavi.

[…] Končni rezultati ocen učinka bodo ob sprejetju pobude Komisije na voljo Evropskemu parlamentu, Svetu [Evropske unije] in nacionalnim parlamentom ter objavljeni skupaj z mnenjem oziroma mnenji Odbora za regulativni nadzor.

14.      [P]arlament in Svet bosta pri preučitvi zakonodajnih predlogov Komisije v celoti upoštevala njene ocene učinka. V ta namen bodo ocene učinka predstavljene na način, ki bo [Parlamentu] in Svetu olajšal preučevanje odločitev Komisije.“

B.      Nemško pravo

22      Člen 5 Gesetz über Personalausweise und den elektronischen Identitätsnachweis (zakon o osebnih izkaznicah in elektronskem dokazovanju identitete) z dne 18. junija 2009 (BGBl. I, str. 1346) v različici, ki se uporablja za dejansko stanje iz postopka v glavni stvari (v nadaljevanju: PAuswG), naslovljen „Oblika osebne izkaznice; shranjeni podatki“, v odstavku 9 določa:

„Prstna odtisa prosilca [za izdajo osebne izkaznice], ki ju je treba v skladu z Uredbo [2019/1157] shraniti na elektronski pomnilniški medij, se shranita v obliki ploskega odtisa kazalca leve in desne roke na elektronski pomnilniški medij osebne izkaznice, ki omogoča obdelavo teh podatkov. Če kazalec manjka, če kakovost prstnega odtisa ni zadostna ali če je konica prsta poškodovana, se namesto prstnega odtisa kazalca shrani ploski prstni odtis palca, sredinca ali prstanca. Prstni odtisi se ne shranijo, če odvzem prstnih odtisov iz zdravstvenih razlogov, ki niso začasni, ni mogoč.“

23      Člen 6(1) in (2) PAuswG določa:

„1.      Osebne izkaznice se izdajajo za obdobje veljavnosti 10 let.

2.      Pred iztekom veljavnosti osebne izkaznice se lahko zaprosi za novo osebno izkaznico, če se dokaže obstoj upravičenega interesa za izdajo nove izkaznice.“

24      Člen 9 PAuswG, naslovljen „Izdaja izkaznice“, v odstavku 1, prvi stavek, določa:

„Osebne izkaznice in začasne osebne izkaznice se na zahtevo izdajo Nemcem v smislu člena 116(1) temeljnega zakona.“

25      Člen 28 PAuswG, naslovljen „Neveljavnost“, v odstavku 3 določa:

„Motnje delovanja elektronskega medija za shranjevanje in obdelavo ne vpliva na veljavnost osebne izkaznice.“

II.    Spor o glavni stvari in vprašanje za predhodno odločanje

26      Tožeča stranka iz postopka v glavni stvari je 30. novembra 2021 pri mestu Wiesbaden zaprosila za izdajo nove osebne izkaznice, ker naj elektronski čip na njeni stari izkaznici ne bi deloval. Vendar je zaprosila, naj nova izkaznica ne vsebuje njenih prstnih odtisov.

27      Mesto Wiesbaden je to prošnjo zavrnilo iz dveh razlogov. Po eni strani naj tožeča stranka iz postopka v glavni stvari ne bi imela pravice do izdaje nove osebne izkaznice, ker je že imela veljaven osebni dokument. V skladu s členom 28(3) PAuswG naj bi bila namreč osebna izkaznica še naprej veljavna, čeprav njen elektronski čip ne deluje. Po drugi strani in vsekakor naj bi bila od 2. avgusta 2021 vključitev dveh prstnih odtisov v pomnilniški medij osebnih izkaznic obvezna na podlagi člena 5(9) PAuswG, s katerim je prenesen člen 3(5) Uredbe 2019/1157.

28      Tožeča stranka iz postopka v glavni stvari je 21. decembra 2021 pri Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu, Nemčija), ki je predložitveno sodišče, vložila tožbo, s katero predlaga, naj se mestu Wiesbaden naloži, naj ji izda osebno izkaznico, ne da bi se pridobili njeni prstni odtisi.

29      Predložitveno sodišče izraža dvome o zakonitosti dveh razlogov, na katerih temelji odločba iz postopka v glavni stvari. Natančneje v zvezi z drugim razlogom se nagiba k mnenju, da je veljavnost Uredbe 2019/1157 ali vsaj veljavnost člena 3(5) te uredbe sporna.

30      Na prvem mestu, predložitveno sodišče se sprašuje, ali ne bi bilo treba to uredbo sprejeti na podlagi člena 77(3) PDEU in zato po posebnem zakonodajnem postopku iz te določbe, ne pa na podlagi člena 21(2) PDEU in po rednem zakonodajnem postopku. Po eni strani naj bi se namreč člen 77(3) PDEU posebej skliceval na pristojnost Unije, da med drugim sprejme določbe v zvezi z osebnimi izkaznicami, in naj bi bil tako bolj specifična določba kot člen 21(2) PDEU. Po drugi strani naj bi Sodišče v sodbi z dne 17. oktobra 2013, Schwarz (C‑291/12, EU:C:2013:670), razsodilo, da Uredba št. 2252/2004 v delu, v katerem določa standarde za biometrične podatke v potnih listih, veljavno temelji na členu 62, točka 2(a), ES, ki naj bi zdaj ustrezal členu 77(3) PDEU.

31      Na drugem mestu, predložitveno sodišče se sklicuje na morebiten obstoj kršitve postopka pri sprejetju Uredbe 2019/1157. Kot naj bi namreč poudaril Evropski nadzornik za varstvo podatkov (v nadaljevanju: ENVP) v mnenju 7/2018 z dne 10. avgusta 2018 o predlogu uredbe o okrepitvi varnosti osebnih izkaznic državljanov Unije in drugih dokumentov (v nadaljevanju: mnenje 7/2018), naj bi odvzem in shranjevanje prstnih odtisov pomenila obdelavo osebnih podatkov, za katero je treba na podlagi člena 35(10) SUVP opraviti oceno učinka. V obravnavanem primeru pa naj taka ocena ne bi bila izvedena. Natančneje, dokumenta, ki je priložen navedenemu predlogu uredbe in je naslovljen „Impact assessment“, naj ne bi bilo mogoče šteti za oceno učinka v smislu te določbe.

32      Na tretjem mestu, predložitveno sodišče se natančneje sprašuje o združljivosti člena 3(5) Uredbe 2019/1157 s členoma 7 in 8 Listine, ki se nanašata na spoštovanje zasebnega in družinskega življenja oziroma na varstvo osebnih podatkov. Obveznost držav članic, da izdajo osebne izkaznice, katerih pomnilniški medij vsebuje dva prstna odtisa, naj bi namreč pomenila omejitev uveljavljanja pravic, priznanih s tema določbama Listine, tako omejitev pa naj bi bilo mogoče upravičiti le, če izpolnjuje pogoje iz člena 52(1) Listine.

33      Po eni strani pa naj navedena omejitev morda ne bi ustrezala cilju v splošnem interesu. Sodišče je sicer v sodbi z dne 17. oktobra 2013, Schwarz (C‑291/12, EU:C:2013:670), priznalo, da je boj proti nezakonitim vstopom državljanov tretjih držav na ozemlje Unije cilj, ki ga priznava pravo Unije. Vendar naj osebna izkaznica v prvi vrsti ne bi bila potna listina, kot je potni list, in njen cilj naj bi bil le omogočiti preverjanje identitete državljana Unije v njegovih razmerjih tako z upravnimi organi kot tudi z zasebnimi tretjimi osebami.

34      Po drugi strani naj bi, tudi če bi se z navedeno uredbo uresničeval cilj v splošnem interesu, ki ga priznava pravo Unije, obstajali dvomi o sorazmernosti te omejitve. Rešitve, ki jo je Sodišče sprejelo v sodbi z dne 17. oktobra 2013, Schwarz (C‑291/12, EU:C:2013:670), naj namreč ne bi bilo mogoče prenesti na Uredbo 2019/1157, ker se je ta rešitev nanašala na potne liste, katerih posedovanje v Nemčiji je, drugače kot velja za osebne izkaznice, neobvezno in katerih uporaba ima drugačen cilj.

35      Iz mnenja 7/2018 pa naj bi bilo razvidno, da bi imela vključitev in shranjevanje prstnih odtisov znaten vpliv, ki bi lahko veljal za do 370 milijonov državljanov Unije in ki bi lahko za 85 % prebivalstva Unije pomenil obvezni odvzem prstnih odtisov. Ta znaten vpliv v povezavi z zelo občutljivo naravo obdelanih podatkov (podoba obraza v povezavi z dvema prstnima odtisoma) pa naj bi pomenil, da je omejitev uveljavljanja pravic, zagotovljenih s členoma 7 in 8 Listine, ki je posledica obveznega odvzema prstnih odtisov za izdajo osebnih izkaznic, večja kot pri potnih listih, kar pa bi zahtevalo trdnejšo utemeljitev in skrbno preučitev zadevnega ukrepa glede na merilo stroge nujnosti.

36      Vsekakor naj bi potreba po izvedbi strogega nadzora sorazmernosti izhajala tudi iz člena 9(1) SUVP, v skladu s katerim je obdelava takih biometričnih podatkov načeloma prepovedana in jo je mogoče dovoliti le v izjemnih in strogo omejenih primerih.

37      V tem okviru predložitveno sodišče sicer meni, da uporaba biometričnih podatkov zmanjšuje tveganje, da bi bilo dokument mogoče ponarediti, vendar dvomi o tem, ali je mogoče zgolj s to okoliščino upravičiti obseg omejitve pravice do varstva osebnih podatkov, zlasti glede na naslednje razloge.

38      Najprej, ENVP naj bi v mnenju 7/2018 poudaril, da so druge tehnike varnostnega tiskanja identifikacijskih dokumentov, kot so hologrami ali vodni znaki, precej manj vsiljive, hkrati pa omogočajo tudi preprečevanje ponarejanja teh dokumentov in preverjanje njihove pristnosti. Poleg tega naj bi dejstvo, da nemško pravo priznava, da je osebna izkaznica, katere elektronski čip ne deluje, še naprej veljavna, dokazovalo, da fizični elementi, zlasti mikrotiski ali pretiski, ki reagirajo na ultravijolične žarke, zadostujejo za zagotovitev varnosti navedenih izkaznic.

39      Dalje, člen 3(7) Uredbe 2019/1157 naj bi državam članicam dovoljeval, da otroke, mlajše od dvanajstih let, izvzamejo iz obveznosti odvzema prstnih odtisov, in jim vsekakor nalagal, da iz te obveznosti izvzamejo otroke, mlajše od šestih let, kar naj bi dokazovalo, da odvzem dveh prstnih odtisov ni nujno potreben.

40      Poleg tega naj člen 3(5) Uredbe 2019/1157 ne bi spoštoval načela najmanjšega obsega podatkov iz člena 5 SUVP, iz katerega izhaja, da morata biti zbiranje in uporaba osebnih podatkov ustrezna, relevantna in omejena na to, kar je potrebno za namene, za katere se ti podatki obdelujejo. Čeprav namreč omogoča spodbujanje interoperabilnosti različnih vrst sistemov, naj bi se z zbiranjem dveh celotnih prstnih odtisov, in ne le značilnih točk teh odtisov (minucije), povečala tudi količina shranjenih osebnih podatkov in torej nevarnost zlorabe identitete v primeru uhajanja podatkov. To tveganje naj poleg tega ne bi bilo zanemarljivo, saj naj bi bilo mogoče elektronske čipe, uporabljene v osebnih izkaznicah, prebrati z nepooblaščenimi bralniki.

41      Nazadnje in v bistvu naj omejitev uveljavljanja pravic, zagotovljenih s členoma 7 in 8 Listine, morda ne bi bila legitimna, ker naj bi ENVP v mnenju 7/2018 navedel, da je bilo ob sprejetju Uredbe 2019/1157 število goljufivih osebnih izkaznic razmeroma majhno glede na število izdanih kartic (38.870 goljufivih izkaznic, ugotovljenih med letoma 2013 in 2017), in da se je to število že več let zmanjševalo.

42      V teh okoliščinah je Verwaltungsgericht Wiesbaden (upravno sodišče v Wiesbadnu) prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:

„Ali je obveznost vključitve in shranjevanja prstnih odtisov v osebne izkaznice v skladu s členom 3(5) Uredbe [2019/1157] v nasprotju z nadrejenim pravom Unije, zlasti

(a)      členom 77(3) PDEU,

(b)      členoma 7 in 8 [Listine] ter

(c)      členom 35(10) [SUVP]

in je zato iz enega od teh razlogov neveljavna?“

III. Vprašanje za predhodno odločanje

43      Predložitveno sodišče želi z vprašanjem v bistvu izvedeti, ali je ta Uredba 2019/1157 v celoti ali deloma neveljavna, prvič, ker naj bi bila sprejeta na napačni pravni podlagi, drugič, ker naj bi kršila člen 35(10) SUVP, in tretjič, ker naj bi kršila člena 7 in 8 Listine.

A.      Prvi razlog za neveljavnost: uporaba napačne pravne podlage

44      Prvi razlog za neveljavnost, ki ga navaja predložitveno sodišče, se nanaša na vprašanje, ali bi morala biti Uredba 2019/1157 zlasti ob upoštevanju izrecnega sklicevanja na osebne izkaznice v členu 77(3) PDEU in rešitve, sprejete v sodbi z dne 17. oktobra 2013, Schwarz (C‑291/12, EU:C:2013:670), sprejeta na podlagi tega člena 77(3) in ob uporabi posebnega zakonodajnega postopka, ki je z njim določen, ne pa tako, kot je bila sprejeta, to je na podlagi člena 21(2) PDEU.

1.      Uvodne ugotovitve

45      V skladu z ustaljeno sodno prakso mora izbira pravne podlage akta Unije temeljiti na objektivnih elementih, ki jih je mogoče sodno preizkusiti, med katerimi sta zlasti cilj in vsebina tega akta (sodbi z dne 16. februarja 2022, Madžarska/Parlament in Svet, C‑156/21, EU:C:2022:97, točka 107, in z dne 16. februarja 2022 Poljska/Parlament in Svet, C‑157/21, EU:C:2022:98 točka 121).

46      Poleg tega je treba navesti, da če v Pogodbah obstaja bolj specifična določba, ki je lahko pravna podlaga za zadevni akt, mora ta temeljiti na tej določbi (sodbi z dne 6. septembra 2022, Parlament/Svet, C‑490/10, EU:C:2012:525, točka 44, in z dne 8. decembra 2020 Poljska/Parlament in Svet, C‑626/18, EU:C:2020:1000, točka 48 in navedena sodna praksa).

47      Nazadnje, če se pri preizkusu akta Unije izkaže, da ima ta več ciljev ali več sestavnih delov, in je enega od teh ciljev ali sestavnih delov mogoče opredeliti za glavnega ali prevladujočega, drugi pa so zgolj stranski ali imajo zelo omejen obseg, je treba pravno podlago za sprejetje tega akta določiti glede na ta glavni cilj ali sestavni del (glej v tem smislu sodbo z dne 20. novembra 2018, Komisija/Svet (ZMO Antarktika), C‑626/15 in C‑659/16, EU:C:2018:925, točka 77, in mnenje 1/19 (Istanbulska konvencija) z dne 6. oktobra 2021, EU:C:2021:832, točka 286).

2.      Področje uporabe člena 21(2) PDEU oziroma člena 77(3) PDEU

48      Člen 21(2) PDEU določa, da lahko – če bi se izkazalo, da je zaradi tega, da se vsakemu državljanu Unije zagotovi pravica prostega gibanja in prebivanja na ozemlju držav članic, potrebno ukrepanje Unije, Pogodbi pa ne predvidevata potrebnih pooblastil – Evropski parlament in Svet po rednem zakonodajnem postopku sprejmeta določbe za olajšanje uresničevanja teh pravic.

49      Iz tega izhaja, da je s to določbo Uniji podeljena splošna pristojnost za sprejetje določb, potrebnih za olajšanje uresničevanja pravice državljanov Unije do prostega gibanja in prebivanja na ozemlju držav članic iz člena 20(2)(a) PDEU, ob upoštevanju potrebnih pooblastil za ukrepanje, ki jih določata Pogodbi.

50      Drugače kot člen 21(2) PDEU pa člen 77(3) PDEU izrecno določa taka pooblastila za ukrepanje v zvezi s sprejetjem ukrepov glede potnih listov, osebnih izkaznic, dovoljenj za prebivanje ali drugih takih listin, izdanih državljanom Unije, da bi se olajšalo uresničevanje pravice do prostega gibanja in prebivanja na ozemlju držav članic iz člena 20(2)(a) PDEU.

51      Člen 77(3) PDEU je sicer umeščen v naslov V te pogodbe, ki se nanaša na območje svobode, varnosti in pravice, natančneje v poglavje 2 tega naslova, naslovljeno „Politika glede mejne kontrole, azila in priseljevanja“. Vendar v skladu s členom 77(1) PDEU Unija oblikuje politiko, da bi zagotovila, da se ne izvaja kontrola oseb pri prehajanju notranjih meja, ne glede na državljanstvo, ter da bi se izvajala kontrola oseb in učinkovit nadzor pri prehajanju zunanjih meja in da bi se postopno uvedel integriran sistem upravljanja teh meja. Določbe, ki se nanašajo na potne liste, osebne izkaznice, dovoljenja za prebivanje ali druge take listine in ki so zajete s pristojnostjo, določeno s tem členom 77(3), pa so sestavni del take politike Unije. Državljanom Unije namreč te listine omogočajo zlasti, da dokažejo svoj status imetnika pravice do prostega gibanja in prebivanja na ozemlju držav članic, in da torej to pravico uveljavljajo. Navedeni člen 77(3) je zato lahko podlaga za sprejetje ukrepov v zvezi z navedenimi listinami, če se izkaže, da je tako ukrepanje potrebno za olajšanje uresničevanja navedene pravice, določene v členu 20(2)(a) PDEU.

52      Te razlage materialnega obsega člena 77(3) PDEU ni mogoče ovreči niti z zgodovinskim razvojem Pogodb na področju pristojnosti Unije za sprejetje ukrepov o potnih listih, osebnih izkaznicah, dovoljenjih za prebivanje in drugih takih listinah, na katerega se sklicujejo Parlament, Svet in Komisija, niti z okoliščino, ki jo navaja nemška vlada, da iz te določbe izhaja, da se uporablja, „če v Pogodbah niso predvidena potrebna pooblastila za tako ukrepanje“.

53      Z Lizbonsko pogodbo je bila sicer črtana določba, ki je bila prej v členu 18(3) ES in ki je izrecno izključevala možnost zakonodajalca Unije, da uporabi člen 18(2) ES (postal člen 21(2) PDEU) kot pravno podlago za sprejetje tako „določb o potnih listinah, osebnih izkaznicah, dovoljenjih za prebivanje ali katerih koli drugih tovrstnih dokumentih“ kot tudi „določb o socialni varnosti ali socialni zaščiti“. Vendar je bila ob tem s to pogodbo Uniji izrecno podeljena pristojnost za ukrepanje na teh dveh področjih – in sicer po eni strani v členu 21(3) PDEU glede socialnega varstva in socialne zaščite in po drugi strani v členu 77(3) PDEU v zvezi z določbami o potnih listih, osebnih izkaznicah, dovoljenjih za prebivanje ali drugih takih listinah – in za sprejetje ukrepov na navedenih področjih določen posebni zakonodajni postopek, zlasti da se zahteva soglasje v Svetu.

54      V teh okoliščinah iz navedenega črtanja določbe, ki je bila prej v členu 18(3) ES, ni mogoče sklepati, da bi bilo odslej mogoče „določbe o potnih listih, osebnih izkaznicah, dovoljenjih za prebivanje ali drugih takih listinah“ sprejeti na podlagi člena 21(2) PDEU. Nasprotno, iz zgodovinskega razvoja je razvidno, da je bil namen avtorjev Pogodb s členom 77(3) PDEU Uniji podeliti bolj specifično pristojnost za sprejetje takih določb za olajšanje uveljavljanja pravice do prostega gibanja in prebivanja na ozemlju držav članic, zagotovljene v členu 20(2)(a) PDEU, kot je splošnejša pristojnost iz tega člena 21(2).

55      Poleg tega je treba navedbo iz člena 77(3) PDEU, v skladu s katero se ta določba uporablja, „če v Pogodbah niso predvidena potrebna pooblastila za tako ukrepanje“, ob upoštevanju splošne sistematike Pogodbe DEU razumeti tako, da so s tem mišljena pooblastila, ki niso podeljena z določbo, ki je splošnejša, kot je člen 21(2) PDEU, ampak z določbo, ki je še bolj specifična.

56      Zato sprejetje Uredbe 2019/1157 lahko temelji na členu 21(2) PDEU le, če glavni ali prevladujoči cilj oziroma sestavni del te uredbe ni zajet s posebnim področjem uporabe člena 77(3) PDEU, in sicer z izdajo potnih listov, osebnih izkaznic, dovoljenj za prebivanje ali drugih takih listin, da bi se olajšalo uresničevanje pravice iz člena 20(2)(a) PDEU.

3.      Glavni ali prevladujoči cilj oziroma sestavni del Uredbe 2019/1157

57      Na prvem mestu, v zvezi z namenom Uredbe 2019/1157 njen člen 1 določa, da je cilj te uredbe krepiti varnostne standarde, ki se uporabljajo za osebne izkaznice, ki jih države članice izdajo svojim državljanom, in dokumente za prebivanje, ki jih države članice izdajo državljanom Unije in njihovim družinskim članom, ki uresničujejo pravico do prostega gibanja.

58      V istem smislu je v uvodni izjavi 46 te uredbe navedeno, da je njen cilj „okrepiti varnost“ teh potnih in identifikacijskih listin, da bi se „olajša[lo] uresničevanje pravice do prostega gibanja državljanov Unije in njihovih družinskih članov“, kar potrjujejo tudi uvodne izjave 1, 2, 5, 17, 28, 29 in 36 navedene uredbe.

59      Na drugem mestu, v zvezi z vsebino Uredbe 2019/1157 je treba navesti, da ta vsebuje 16 členov. Člena 1 in 2 te uredbe določata njen predmet urejanja oziroma področje uporabe. Členi 3 in 4 ter 6 in 7 navedene uredbe, ki so njeni glavni sestavni deli, zlasti določajo zahteve glede varnosti, vsebine, oblike oziroma specifikacij, ki jih morajo izpolnjevati osebne izkaznice in dokumenti za prebivanje, ki jih izdajo države članice, medtem ko člena 5 in 8 iste uredbe določata postopno opuščanje osebnih izkaznic in dovoljenj za prebivanje, ki ne izpolnjujejo zahtev iz te uredbe. Nazadnje, v členih od 9 do 16 Uredbe 2019/1157 je natančneje določeno, kako je treba izvajati obveznosti, določene s to uredbo, zlasti v zvezi z zbiranjem biometričnih identifikatorjev in varstvom osebnih podatkov.

60      V členu 2 Uredbe 2019/1157 je sicer navedeno, da se ta uredba ne uporablja le za osebne izkaznice, ki jih države članice izdajo svojim državljanom, ampak tudi za potrdila o prijavi, ki se v skladu s členom 8 Direktive 2004/38 izdajo državljanom Unije, ki v državi članici gostiteljici prebivajo več kot tri mesece, in listine, ki potrjujejo stalno prebivališče in se izdajo v skladu s členom 19 te direktive, pri čemer teh potrdil in listin ni mogoče enačiti z osebnimi izkaznicami, potnimi listi ali dovoljenji za prebivanje. Vendar v Uredbi 2019/1157 ni nobene določbe, s katero bi bila urejena ta potrdila, in v njenem členu 6, prvi odstavek, točka (f), je zgolj navedeno, da morajo biti na dokumentih za prebivanje, ki jih države članice izdajo državljanom Unije, navedene informacije, ki se vključijo na potrdila o prijavi, in dokumenti, ki potrjujejo stalno prebivališče, izdani v skladu s členoma 8 oziroma 19 Direktive 2004/38. Zato je treba za cilj in sestavni del te uredbe, ki se navezujeta na ta potrdila, šteti, da imata zelo omejen obseg, tako da pravne podlage te uredbe ni mogoče določiti glede na ta cilj ali ta sestavni del.

61      V teh okoliščinah iz cilja in glavnih sestavnih delov Uredbe 2019/1157 izhaja, da ta uredba spada med akte, ki spadajo na specifično področje uporabe člena 77(3) PDEU, kot je opredeljeno v točkah od 48 do 51 te sodbe.

62      Zato je zakonodajalec Unije s sprejetjem Uredbe 2019/1157 na podlagi člena 21(2) PDEU kršil člen 77(3) PDEU in uporabil neustrezen zakonodajni postopek.

63      Iz tega izhaja, da je prvi razlog za neveljavnost, ki ga navaja predložitveno sodišče in s katerim se trdi, da je bila Uredba 2019/1157 napačno sprejeta na podlagi člena 21(2) PDEU in v rednem zakonodajnem postopku, takšen, da povzroči neveljavnost te uredbe.

B.      Drugi razlog za neveljavnost: nespoštovanje člena 35(10) SUVP

64      Drugi razlog za neveljavnost, ki ga navaja predložitveno sodišče, je predstavljen tako, da se nanaša na to, da naj bi bila Uredba 2019/1157 sprejeta brez ocene učinka v zvezi z varstvom podatkov, kar naj bi bilo v nasprotju s členom 35(10) SUVP.

65      V zvezi s tem je treba navesti, da člen 35(1) SUVP določa, da mora upravljavec – kadar je možno, da bi lahko vrsta obdelave, zlasti z uporabo novih tehnologij, ob upoštevanju narave, obsega, okoliščin in namenov obdelave povzročila veliko tveganje za pravice in svoboščine posameznikov – pred obdelavo opraviti oceno učinka predvidenih dejanj obdelave na varstvo osebnih podatkov. Člen 35(3) te uredbe natančneje določa, da se taka analiza zahteva v primeru obsežne obdelave posebnih vrst podatkov iz člena 9(1) navedene uredbe, kot so biometrični podatki za namene edinstvene identifikacije posameznika.

66      Ker v obravnavanem primeru Uredba 2019/1157 sama ne določa nobenega dejanja, ki se izvaja v zvezi z osebnimi podatki ali nizi osebnih podatkov, temveč določa le, da države članice v primeru zahteve za osebno izkaznico opravijo nekatere obdelave, je treba ugotoviti, da sprejetje te uredbe ni bilo pogojeno s predhodno izvedbo ocene učinka predvidenih dejanj obdelave v smislu člena 35(1) SUVP. Člen 35(10) te uredbe pa določa odstopanje od člena 35(1) navedene uredbe.

67      Iz tega sledi, da s tem sprejetjem – ker se, kot izhaja iz zgoraj navedenega, člen 35(1) SUVP za sprejetje Uredbe 2019/1157 ni uporabljal – ni mogel biti kršen člen 35(10) Uredbe 2016/679.

68      Glede na navedeno drugi razlog, s katerim se zatrjuje kršitev člena 35(10) SUVP, ne more povzročiti neveljavnosti Uredbe 2019/1157.

C.      Tretji razlog za neveljavnost: nezdružljivost člena 3(5) Uredbe 2019/1157 s členoma 7 in 8 Listine

69      Tretji razlog za neveljavnost Uredbe 2019/1157, ki ga navaja predložitveno sodišče, se nanaša na vprašanje, ali obveznost vključitve dveh celotnih prstnih odtisov v pomnilniški medij osebnih izkaznic, ki jih izdajo države članice, določena v členu 3(5) te uredbe, pomeni neupravičeno omejitev pravic, zagotovljenih s členoma 7 in 8 Listine.

1.      Obstoj omejitve

70      Člen 7 Listine med drugim določa, da ima vsakdo pravico do spoštovanja svojega zasebnega življenja. Člen 8(1) te listine pa določa, da ima vsakdo pravico do varstva osebnih podatkov, ki se nanj nanašajo. Iz teh določb, če se berejo povezano, izhaja, da lahko načeloma kršitev navedenih pravic pomeni vsaka obdelava osebnih podatkov s strani tretje osebe (sodba z dne 17. oktobra 2013, Schwarz, C‑291/12, EU:C:2013:670, točka 25).

71      V obravnavanem primeru člen 3(5) Uredbe 2019/1157 določa, da mora zelo varen pomnilniški medij, ki ga morajo vključevati osebne izkaznice, ki jih države članice izdajo svojim državljanom, vsebovati biometrične podatke, in sicer podobo obraza in dva prstna odtisa v interoperabilnih digitalnih oblikah.

72      Taki osebni podatki pa omogočajo natančno identifikacijo posameznikov, na katere se nanašajo osebni podatki, in so posebej občutljivi zaradi znatnih tveganj za temeljne pravice in svoboščine, ki lahko izhajajo iz njihove uporabe, kot je razvidno zlasti iz uvodne izjave 51 SUVP, ki je uredba, ki se uporablja za zadevne podatke, kot je opozorjeno v uvodni izjavi 40 Uredbe 2019/1157.

73      Zato obveznost vključitve dveh prstnih odtisov v pomnilniški medij osebnih izkaznic, ki je določena v členu 3(5) Uredbe 2019/1157, pomeni omejitev tako pravice do spoštovanja zasebnega življenja kot tudi pravice do varstva osebnih podatkov, ki sta določeni v členih 7 oziroma 8 Listine.

74      Poleg tega ta obveznost vključuje predhodno izvedbo dveh zaporednih dejanj obdelave osebnih podatkov, in sicer pridobitev navedenih odtisov od posameznika, na katerega se nanašajo osebni podatki, in njuno začasno shranjevanje za namene personalizacije osebnih izkaznic, pri čemer se za ti dejanji uporablja člen 10 navedene uredbe. Z navedenima dejanjema se prav tako omejujeta pravici, določeni v členih 7 in 8 Listine.

2.      Utemeljitev omejitve

75      Kot izhaja iz ustaljene sodne prakse, pravica do spoštovanja zasebnega življenja in pravica do varstva osebnih podatkov, ki sta določeni v členih 7 in 8 Listine, nista absolutni, ampak ju je treba upoštevati glede na njuno funkcijo v družbi (glej v tem smislu sodbo z dne 20. septembra 2022, SpaceNet in Telekom Deutschland, C‑793/19 in C‑794/19, EU:C:2022:702, točka 63).

76      V zvezi s tema pravicama se torej lahko določijo omejitve, če so, kot je določeno v členu 52(1), prvi stavek, Listine, predpisane z zakonom in spoštujejo bistveno vsebino navedenih pravic. Poleg tega je v drugem stavku tega odstavka določeno, da so ob upoštevanju načela sorazmernosti take omejitve dovoljene samo, če so potrebne in če dejansko ustrezajo ciljem splošnega interesa, ki jih priznava Unija, ali če so potrebne zaradi zaščite pravic in svoboščin drugih. V zvezi s tem člen 8(2) Listine natančneje določa, da se morajo osebni podatki obdelovati med drugim „za določene namene in na podlagi privolitve prizadete osebe ali na drugi legitimni podlagi, določeni z zakonom“.

a)      Spoštovanje načela zakonitosti 

77      V zvezi z zahtevo, določeno v členu 52(1), prvi stavek, Listine, da mora biti kakršno koli omejevanje uresničevanja pravic, priznanih s to listino, predpisano z zakonom, je treba opozoriti, da ta zahteva pomeni, da mora biti v samem aktu, ki omogoča poseganje v te pravice, opredeljen obseg omejitve uresničevanja zadevne pravice, pri čemer je treba po eni strani pojasniti, da ta zahteva ne izključuje možnosti, da je zadevna omejitev oblikovana dovolj ohlapno, da se lahko prilagodi različnim primerom in spremembam položajev, in po drugi strani, da lahko Sodišče po potrebi z razlago pojasni konkretni obseg omejitve tako glede na samo besedilo zadevnega predpisa Unije kot tudi glede na njegovo splošno sistematiko in cilje, ki se z njim uresničujejo, kot se razlagajo ob upoštevanju temeljnih pravic, zagotovljenih z Listino (sodba z dne 21. junija 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, točka 114).

78      V obravnavanem primeru so omejitve uresničevanja temeljnih pravic, zagotovljenih s členoma 7 in 8 Listine, ki izhajajo iz obveznosti vključitve dveh celotnih prstnih odtisov v pomnilniški medij osebnih izkaznic, ki jih izdajo države članice, ter pogoji za uporabo in obseg teh omejitev jasno in natančno opredeljeni v členu 3(5) ter členu 10(1) in (3) Uredbe 2019/1157, ki jih je zakonodajalec Unije sprejel po rednem zakonodajnem postopku in katerih učinki bodo s to sodbo ohranjeni.

79      Zato je z navedenimi omejitvami uresničevanja temeljnih pravic, zagotovljenih s členoma 7 in 8 Listine, spoštovano načelo zakonitosti iz člena 52(1), prvi stavek, Listine.

b)      Spoštovanje bistvene vsebine temeljnih pravic iz členov 7 in 8 Listine

80      Ugotoviti je treba, da informacije, pridobljene s prstnimi odtisi, same po sebi ne omogočajo vpogleda v zasebno in družinsko življenje zadevnih oseb.

81      V teh okoliščinah omejitev, ki jo pomeni obveznost vključitve dveh prstnih odtisov v pomnilniški medij osebnih izkaznic, ki jih izdajo države članice, določena v členu 3(5) Uredbe 2019/1157, ne posega v bistveno vsebino temeljnih pravic iz člena 7 in 8 Listine (glej po analogiji sodbo z dne 21. junija 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, točka 120).

c)      Spoštovanje načela sorazmernosti

82      Kot izhaja iz člena 52(1), drugi stavek, Listine, morajo biti omejitve uresničevanja temeljnih pravic, zagotovljenih z Listino, da bi lahko bile določene ob spoštovanju načela sorazmernosti, potrebne in dejansko ustrezati ciljem splošnega interesa, ki jih priznava Unija, ali biti potrebne zaradi zaščite pravic in svoboščin drugih.

83      Natančneje, odstopanja od varstva osebnih podatkov in njegove omejitve se določijo v mejah tega, kar je nujno potrebno, pri čemer je treba takrat, kadar je mogoče izbirati med več primernimi ukrepi za uresničitev zastavljenih legitimnih ciljev, uporabiti najmanj omejujočega. Poleg tega cilju v splošnem interesu ni mogoče legitimno slediti brez upoštevanja tega, da ga je treba uskladiti s temeljnimi pravicami, v katere posega ukrep, in sicer z uravnoteženjem, na eni strani, cilja splošnega interesa ter, na drugi strani, zadevnih pravic, da se zagotovi, da nevšečnosti, ki jih povzroča ta ukrep, niso nesorazmerne glede na zastavljene cilje. Tako je treba možnost upravičiti omejitev pravic, zagotovljenih s členoma 7 in 8 Listine, presojati tako, da se oceni teža posega, ki ga pomeni taka omejitev, in preveri, ali je pomembnost cilja splošnega interesa, ki mu sledi ta omejitev, v sorazmerju s to težo (sodba z dne 22. novembra 2022, Luxembourg Business Registers, C‑37/20 in C‑601/20, EU:C:2022:912, točka 64 in navedena sodna praksa).

84      Zato je treba – da bi se preverilo, ali se v obravnavanem primeru s posegi v pravici, zagotovljeni s členoma 7 in 8 Listine, ki izhajajo iz obveznosti vključitve dveh prstnih odtisov v pomnilniški medij osebnih izkaznic, določene v členu 3(5) Uredbe 2019/1157, spoštuje načelo sorazmernosti – preučiti, prvič, ali se s tem ukrepom dosega eden ali več ciljev v splošnem interesu, ki jih priznava Unija, in ali je ta ukrep dejansko primeren za uresničitev teh ciljev, drugič, ali so posegi, ki iz tega izhajajo, omejeni na to, kar je nujno potrebno, tako da navedenih ciljev ne bi bilo mogoče razumno doseči enako učinkovito z drugimi sredstvi, ki bi manj posegala v te temeljne pravice zadevnih oseb, in tretjič, ali to poseganje ni nesorazmerno glede na ta cilje, kar zlasti pomeni tehtanje teh ciljev in teže navedenih posegov (gej v tem smislu sodbi z dne 22. novembra 2022, Luxembourg Business Registers, C‑37/20 in C‑601/20, EU:C:2022:912, točka 66, in z dne 8. decembra 2022, Orde van Vlaamse Balies in drugi, C‑694/20, EU:C:2022:963, točka 42).

1)      Doseganje enega ali več ciljev v splošnem interesu, ki jih priznava Unija, in primernost ukrepa za uresničitev teh ciljev

i)      Narava splošnega interesa ciljev, ki se dosegajo z zadevnim ukrepom

85      V skladu s členom 1 Uredbe 2019/1157 je njen cilj, da se krepijo varnostni standardi, ki se uporabljajo med drugim za osebne izkaznice, ki jih države članice izdajo svojim državljanom, ki uresničujejo pravico do prostega gibanja.

86      Natančneje in kot izhaja iz uvodnih izjav 4, 5, od 17 do 20 in 32 Uredbe 2019/1157, je namen vključitve biometričnih podatkov, med katerimi sta dva celotna prstna odtisa, v pomnilniški medij osebnih izkaznic zagotoviti pristnost navedenih izkaznic in omogočiti zanesljivo identifikacijo njihovega imetnika, hkrati pa, kot izhaja iz uvodnih izjav 23 in 33 ter člena 3(5) te uredbe, prispevati k interoperabilnosti sistemov za preverjanje identifikacijskih dokumentov, da bi se zmanjšalo tveganje ponarejanja in zlorabe dokumentov.

87      Sodišče pa je že imelo priložnost v zvezi z izdajo potnih listov (glej v tem smislu sodbo z dne 17. oktobra 2013, Schwarz, C‑291/12, EU:C:2013:670, točke od 36 do 38) in v zvezi z izdelavo identifikacijskega registra državljanov tretjih držav (glej v tem smislu sodbo z dne 3. oktobra 2019, A in drugi, C‑70/18, EU:C:2019:823, točka 46 in navedena sodna praksa) presoditi, da je boj proti zlorabi dokumentov, ki med drugim zajema boj proti izdelavi lažnih osebnih izkaznic in proti zlorabi identitete, cilj v splošnem interesu, ki ga priznava Unija.

88      Tudi cilj interoperabilnosti sistemov za preverjanje identifikacijskih dokumentov je take narave, saj – kot je razvidno iz uvodne izjave 17 Uredbe 2019/1157 – prispeva k temu, da se državljanom Unije olajša uresničevanje pravice do prostega gibanja in prebivanja na ozemlju držav članic, ki jim je priznana s členom 20 PDEU.

ii)    Zmožnost zadevnega ukrepa za dejansko ustrezanje zastavljenim ciljem v splošnem interesu

89      V obravnavanem primeru je vključitev dveh celotnih prstnih odtisov v pomnilniški medij osebnih izkaznic primerna za uresničitev ciljev v splošnem interesu, to je za boj proti izdelavi lažnih osebnih izkaznic in proti zlorabi identitete ter za interoperabilnost sistemov za preverjanje, ki jih je zakonodajalec Unije navedel v utemeljitev tega ukrepa.

90      Najprej, vključitev biometričnih podatkov, kot so prstni odtisi, v osebne izkaznice namreč lahko oteži izdelavo lažnih osebnih izkaznic, zlasti ker morajo biti v skladu s členom 3(5) Uredbe 2019/1157 v povezavi s členom 14(1) in (2) te uredbe taki podatki shranjeni v skladu z natančnimi tehničnimi specifikacijami, ki so lahko tajne.

91      Dalje, vključitev takih biometričnih podatkov je sredstvo, ki v skladu s členom 11(6) ter uvodnima izjavama 18 in 19 Uredbe 2019/1157 omogoča zanesljivo preverjanje verodostojnosti osebne izkaznice in identitete imetnika izkaznice ter s tem zmanjšanje tveganja goljufij.

92      Nazadnje, tudi odločitev zakonodajalca Unije, da je določil vključitev celotnih prstnih odtisov, se zdi primerna za uresničitev cilja interoperabilnosti sistemov za preverjanje osebnih izkaznic, saj uporaba celotnih prstnih odtisov omogoča zagotovitev združljivosti z vsemi avtomatiziranimi sistemi za identifikacijo prstnih odtisov, ki jih uporabljajo države članice, čeprav taki sistemi ne uporabljajo nujno enakega mehanizma identifikacije.

93      Predložitveno sodišče še opozarja, da člen 3(7) Uredbe 2019/1157 v prvem pododstavku državam članicam dovoljuje, da iz obveznosti odvzema prstnih odtisov izvzamejo otroke, mlajše od dvanajstih let, in da jim v drugem pododstavku celo nalaga, da iz tega odvzema izvzamejo otroke, mlajše od šestih let.

94      Zakonodaja je sicer primerna za zagotovitev uresničitve navedenega cilja le, če ukrepi, ki jih določa, resnično odražajo prizadevanje za doseganje tega cilja in če so ti ukrepi dosledni in sistematični (glej po analogiji sodbo z dne 5. decembra 2023, Nordic Info, C‑128/22, EU:C:2023:951, točka 84 in navedena sodna praksa).

95      Vendar Uredba 2019/1157 to zahtevo izpolnjuje, čeprav določa izjeme od obveznosti odvzema prstnih odtisov otrok, saj je, kot izhaja iz njene uvodne izjave 26, namen teh izjem, da se upošteva otrokova korist.

96      Enako velja za pravilo iz člena 5 Uredbe 2019/1157, v skladu s katerim osebne izkaznice, ki ne izpolnjujejo zahtev iz člena 3 te uredbe, prenehajo veljati šele na dan prenehanja njihove veljavnosti ali najpozneje 3. avgusta 2031. Zakonodajalec Unije je namreč lahko menil, da je tako prehodno obdobje primerno, da se prepreči, da bi državam članicam nastalo breme izdajanja novih osebnih izkaznic za vse zadevne osebe v zelo kratkem obdobju, vendar ne da bi bila ogrožena dolgoročna učinkovitost ukrepov iz te uredbe.

97      V zvezi z okoliščino, da nekatere države članice v svoji zakonodaji določajo, da osebne izkaznice, ki jih izdajo, ostanejo veljavne ne glede na nedelovanje elektronskega pomnilniškega medija, zadostuje navesti, da so take zakonodaje združljive z Uredbo 2019/1157 le, če se zgoraj navedeno prehodno obdobje ni izteklo.

2)      Nujnost uporabe zadevnega ukrepa za uresničitev zastavljenih ciljev v splošnem interesu

98      Na prvem mestu, v zvezi s samim načelom vključitve prstnih odtisov v pomnilniški medij osebnih izkaznic je treba ugotoviti, da prstni odtisi pomenijo zanesljiva in učinkovita sredstva za zanesljivo ugotavljanje identitete osebe in da je postopek, ki se uporablja za odvzem teh odtisov, preprost za izvajanje.

99      Natančneje, kot je generalna pravobranilka navedla v točki 90 sklepnih predlogov, bi zgolj vključitev podobe obraza pomenila manj učinkovito sredstvo za identifikacijo kot to, da se poleg te podobe vključita dva prstna odtisa, saj lahko staranje, način življenja, bolezen ali estetski oziroma rekonstrukcijski kirurški poseg spremenijo anatomske značilnosti obraza.

100    V oceni učinka, ki jo je opravila Komisija in ki je bila priložena predlogu uredbe, na podlagi katerega je bila sprejeta Uredba 2019/1157, je bilo sicer navedeno, da bi bilo treba dati prednost možnosti, da vključitev dveh prstnih odtisov v pomnilniški medij osebnih izkaznic ne bi bila obvezna.

101    Vendar je treba poleg tega, da se je Komisija sama odločila, da v svojem zakonodajnem predlogu ne bo uporabila te možnosti, navesti, da je, čeprav Medinstitucionalni sporazum v točki 14 določa, da morata Parlament in Svet pri preučitvi zakonodajnih predlogov Komisije v celoti upoštevati ocene učinka Komisije, v točki 12 tega sporazuma navedeno, da so take ocene „orodje, s katerim si tri institucije pomagajo pri sprejemanju dobro utemeljenih odločitev, in niso nadomestek za politične odločitve v demokratičnem procesu odločanja“. Zato Parlament in Svet, čeprav morata upoštevati ocene učinka Komisije, nista vezana na vsebino teh ocen, zlasti v zvezi s presojami iz teh ocen (glej v tem smislu sodbo z dne 21. junija 2018, Poljska/Parlament in Svet, C‑5/16, EU:C:2018:483, točka 159 in navedena sodna praksa).

102    Zato zgolj s tem, da je zakonodajalec Unije sprejel drug ukrep, ki je morda bolj omejujoč od tistega, ki ga je Komisija predlagala v oceni učinka, ni mogoče dokazati, da je ta zakonodajalec očitno prestopil meje tistega, kar je potrebno za uresničitev zastavljenega cilja (glej v tem smislu sodbo z dne 4. maja 2016, Pillbox 38, C‑477/14, EU:C:2016:324, točka 65).

103    V obravnavanem primeru je bilo v oceni učinka, ki jo je opravila Komisija, ugotovljeno, da je možnost obvezne vključitve prstnih odtisov v pomnilniški medij osebnih izkaznic najučinkovitejša za doseganje posebnega cilja boja proti izdelavi lažnih osebnih izkaznic in izboljšanja avtentikacije dokumentov. V teh okoliščinah možnost, da taka vključitev ne bi bila obvezna, nikakor ne more biti argument proti nujnosti ukrepa, ki ga je sprejel zakonodajalec Unije, v smislu sodne prakse, navedene v točki 84 te sodbe.

104    Na drugem mestu, kar zadeva vključitev dveh celotnih prstnih odtisov namesto nekaterih značilnih točk teh odtisov (minucije), po eni strani, kot je generalna pravobranilka navedla v točki 93 sklepnih predlogov, minucije ne zagotavljajo enakih jamstev kot celotni odtis. Po drugi strani je vključitev celotnega odtisa potrebna za interoperabilnost sistemov za preverjanje identifikacijskih dokumentov, kar je eden od bistvenih zastavljenih ciljev. Kot je namreč razvidno iz točke 47 mnenja 7/2018 in kot poudarja tudi predložitveno sodišče, države članice uporabljajo različne tehnologije za identifikacijo prstnih odtisov, tako da bi bilo s tem, da bi se v pomnilniški medij osebne izkaznice vključile le nekatere značilnosti prstnega odtisa, ogroženo uresničevanje cilja interoperabilnosti sistemov za preverjanje identifikacijskih dokumentov, ki se uresničuje z Uredbo 2019/1157.

105    Iz zgornjih preudarkov izhaja, da se zdi, da se z omejitvami temeljnih pravic, zagotovljenih s členoma 7 in 8 Listine, ki izhajajo iz obveznosti vključitve dveh celotnih prstnih odtisov v pomnilniški medij, očitno spoštujejo meje tega, kar je nujno potrebno.

3)      Obstoj tehtanja med resnostjo posega v zadevne temeljne pravice na eni strani in cilji tega ukrepa na drugi

i)      Resnost posega, povzročenega z omejitvijo uresničevanja pravic, zagotovljenih s členoma 7 in 8 Listine

106    Pri presoji resnosti posega, ki se povzroči z omejitvijo pravic, zagotovljenih s členoma 7 in 8 Listine, je treba upoštevati naravo zadevnih osebnih podatkov, zlasti morebitno občutljivost teh podatkov, ter naravo in konkretne načine obdelave podatkov, zlasti število oseb, ki imajo dostop do teh podatkov, in načine dostopa do teh podatkov. Po potrebi je treba upoštevati tudi obstoj ukrepov za preprečevanje tveganja, da bi bili ti podatki predmet zlorab.

107    V obravnavanem primeru se omejitev uresničevanja pravic, zagotovljenih s členoma 7 in 8 Listine, ki izhaja iz Uredbe 2019/1157, sicer lahko nanaša na veliko število oseb, pri čemer je Komisija to število v svoji oceni učinka ocenila na 370 milijonov prebivalcev od 440 milijonov prebivalcev, ki jih je takrat imela Unija. Prstni odtisi kot biometrični podatki so po naravi posebej občutljivi, zaradi česar so, kot je razvidno zlasti iz uvodne izjave 51 SUVP, v pravu Unije upravičeni do posebnega varstva.

108    Vendar je treba poudariti, da sta zbiranje in shranjevanje dveh celotnih prstnih odtisov z Uredbo 2019/1157 dovoljena le za to, da se ta prstna odtisa vključita v pomnilniški medij osebnih izkaznic.

109    Poleg tega iz člena 3(5) te uredbe v povezavi z njenim členom 10(3) izhaja, da se zbrani prstni odtisi po opravljeni vključitvi in predaji osebne izkaznice zadevni osebi ohranijo le v pomnilniškem mediju navedene kartice, ki je načeloma fizično v posesti te osebe.

110    Nazadnje, Uredba 2019/1157 določa sklop zaščitnih ukrepov za omejitev tveganj, da bi se pri njenem izvajanju zbirali ali uporabljali osebni podatki za druge namene od doseganja ciljev, ki jim sledi ta uredba, in to ne le v zvezi z dejanji obdelave osebnih podatkov, ki so s to uredbo postali obvezni, ampak tudi v zvezi z glavnimi obdelavami, katerih predmet so lahko prstni odtisi, vneseni v pomnilniški medij osebnih izkaznic.

111    Tako, prvič, v zvezi z zbiranjem podatkov člen 10(1) in (2) Uredbe 2019/1157 določa, da biometrične identifikatorje zbira „le usposobljeno in ustrezno pooblaščeno osebje“ ter da mora to osebje upoštevati „ustrezne in učinkovite postopke za zbiranje biometričnih identifikatorjev“, pri čemer morajo biti ti postopki v skladu s pravicami in načeli iz Listine, Konvencije o varstvu človekovih pravic in temeljnih svoboščin ter Konvencije Združenih narodov o otrokovih pravicah. Poleg tega, kot je bilo navedeno v točki 93 te sodbe, člen 3(7) te uredbe vsebuje posebna pravila za otroke, mlajše od dvanajstih let (prvi in drugi pododstavek), in za osebe, pri katerih je odvzem prstnih odtisov fizično nemogoč (tretji odstavek), pri čemer so zadnjenavedene osebe „izvzete iz obveznosti odvzema prstnih odtisov“.

112    Drugič, kar zadeva shranjevanje podatkov, Uredba 2019/1157 na eni strani državam članicam nalaga obveznost, da kot biometrične podatke shranijo podobo obraza in dveh prstnih odtisov. V zvezi s tem je v uvodni izjavi 21 te uredbe izrecno navedeno, da ta uredba ne zagotavlja „pravne podlage za vzpostavitev ali vodenje zbirk podatkov na nacionalni ravni za shranjevanje biometričnih podatkov v državah članicah, kar je vprašanje nacionalnega prava, ki mora biti skladno s pravom Unije na področju varstva podatkov“, prav tako kot ne zagotavlja „pravne podlage za vzpostavitev ali vodenje centralizirane zbirke podatkov na ravni Unije“. Na drugi strani člen 10(3) navedene uredbe določa, da se „biometrični identifikatorji […] shranjujejo […] le do prevzema dokumenta, vsekakor pa največ 90 dni od datuma izdaje dokumenta“, in natančneje, da se „[b]iometrični identifikatorji […] po preteku tega obdobja takoj izbrišejo ali uničijo“.

113    Iz tega zlasti izhaja, da člen 10(3) Uredbe 2019/1157 državam članicam ne dopušča, da bi biometrične podatke shranjevali za druge namene od tistih, ki so določeni s to uredbo. Poleg tega ista določba nasprotuje centralizirani hrambi prstnih odtisov, ki presega začasno shranjevanje teh odtisov za namene personalizacije osebnih izkaznic.

114    Nazadnje, v členu 11(6) Uredbe 2019/1157 je omenjena možnost, da lahko biometrične podatke, ki so v varnem pomnilniškem mediju, uporablja ustrezno pooblaščeno osebje pristojnih nacionalnih organov in agencij Unije v skladu s pravom Unije in nacionalnim pravom.

115    Točka (a) te določbe dopušča uporabo biometričnih podatkov, shranjenih v pomnilniškem mediju osebnih izkaznic in dokumentov za prebivanje, le za preverjanje pristnosti osebne izkaznice ali dokumenta za prebivanje.

116    Točka (b) navedene določbe pa določa, da se lahko biometrični podatki, shranjeni v pomnilniškem mediju osebnih izkaznic in dokumentov za prebivanje, uporabljajo za preverjanje identitete imetnika „s pomočjo neposredno dostopnih primerljivih značilnosti, kadar zakon zahteva predložitev osebne izkaznice ali dokumenta za prebivanje“. Ker pa lahko taka obdelava zagotovi dodatne informacije o zasebnem življenju zadevnih oseb, se lahko izvaja le za namene, ki so strogo omejeni na identifikacijo zadevne osebe, in pod pogoji, ki so natančno opredeljeni z zakonom, s katerim se zahteva predložitev osebne izkaznice ali dokumenta za prebivanje.

117    Tretjič, v zvezi z vpogledom v biometrične podatke, shranjene v pomnilniškem mediju osebnih izkaznic, je treba poudariti, da je v uvodni izjavi 19 Uredbe 2019/1157 naveden prednostni vrstni red pri uporabi sredstev za preverjanje verodostojnosti dokumenta in identitete njegovega imetnika, pri čemer je določeno, da morajo države članice „najprej preveriti podobo obraza“ in po potrebi za nedvomno potrditev verodostojnosti dokumenta in identitete imetnika „preveriti […] prstne odtise“.

118    Četrtič, v zvezi s tveganjem nepooblaščenega dostopa do shranjenih podatkov člen 3(5) in (6) Uredbe 2019/1157 za čim večje zmanjšanje tega tveganja določa, da se prstna odtisa shranita na „zelo varen pomnilniški medij“, ki ima „zadostno zmogljivost in zmožnost za zagotavljanje integritete, avtentičnosti in zaupnosti podatkov“. Poleg tega iz člena 3(10) te uredbe izhaja, da „[k]adar države članice v osebnih izkaznicah shranjujejo podatke za e-storitve, kot sta e-uprava in e-poslovanje, morajo biti takšni nacionalni podatki fizično ali smiselno ločeni“, kar med drugim velja za prstne odtise, zbrane in shranjene na podlagi navedene uredbe. Nazadnje, iz uvodnih izjav 41 in 42 ter člena 11(4) iste uredbe je razvidno, da države članice ostanejo odgovorne za pravilno obdelavo biometričnih podatkov, in sicer tudi kadar sodelujejo z zunanjimi ponudniki storitev.

ii)    Pomembnost zastavljenih ciljev

119    Kot je bilo opozorjeno v točki 86 te sodbe, je vključitev dveh prstnih odtisov v pomnilniški medij osebnih izkaznic namenjena boju proti izdelavi lažnih osebnih izkaznic in proti zlorabi identitete ter zagotovitvi interoperabilnost sistemov za preverjanje identifikacijskih dokumentov. Glede na to pa ta vključitev lahko prispeva k varstvu zasebnega življenja zadevnih oseb ter širše k boju proti kriminalu in terorizmu.

120    Poleg tega tak ukrep omogoča, da se zadovoljita potreba vsakega državljana Unije, da ima na voljo sredstvo za zanesljivo identifikacijo, in potreba držav članic, da se prepričajo, da so osebe, ki uveljavljajo pravice, priznane s pravom Unije, dejansko imetnice teh pravic. Tako med drugim prispeva k temu, da se olajša uresničevanje pravice državljanov Unije do prostega gibanja in prebivanja, ki je tudi temeljna pravica, zagotovljena s členom 45 Listine. Tako so cilji, ki se uresničujejo z Uredbo 2019/1157, med drugim z vključitvijo dveh prstnih odtisov v pomnilniški medij osebnih izkaznic, posebej pomembni ne le za Unijo in države članice, ampak tudi za državljane Unije.

121    Poleg tega legitimnosti in pomembnosti teh ciljev nikakor ne omaje okoliščina, ki jo je navedlo predložitveno sodišče, da je bilo v točkah od 24 do 26 mnenja 7/2018 navedeno, da je bilo med letoma 2013 in 2017 odkritih le 38.870 primerov goljufivih osebnih izkaznic in da se je to število že več let zmanjševalo.

122    Tudi če bi se namreč štelo, da je število goljufivih osebnih izkaznic majhno, zakonodajalcu Unije za sprejetje ukrepov za preprečevanje tveganja uporabe takih izkaznic ni bilo treba čakati, da se to število poveča, temveč je lahko zlasti zaradi obvladovanja tveganj predvidel tak razvoj, če so bili izpolnjeni drugi pogoji v zvezi s spoštovanjem načela sorazmernosti.

iii) Tehtanje

123    Glede na navedeno je treba ugotoviti, da resnost omejitve uresničevanja pravic, zagotovljenih s členoma 7 in 8 Listine, ki izhaja iz vključitve dveh prstnih odtisov v pomnilniški medij osebnih izkaznic, ob upoštevanju narave zadevnih podatkov, narave dejanj obdelave in pravil zanje ter predvidenih zaščitnih mehanizmov očitno ni taka, da bi bila nesorazmerna glede na pomembnost različnih ciljev tega ukrepa. Tako je treba za tak ukrep šteti, da temelji na uravnoteženju teh ciljev na eni strani in zadevnih temeljnih pravic na drugi.

124    Zato omejitev uresničevanja pravic, zagotovljenih s členoma 7 in 8 Listine, ni v nasprotju z načelom sorazmernosti, tako da tretji razlog ne more povzročiti neveljavnosti Uredbe 2019/1157.

125    Iz vseh navedenih preudarkov izhaja, da je Uredba 2019/1157 neveljavna le v delu, v katerem je bila sprejeta na podlagi člena 21(2) PDEU.

IV.    Časovna ohranitev učinkov Uredbe 2019/1157

126    Učinke akta, ki je bil razglašen za neveljavnega, je mogoče iz razlogov pravne varnosti ohraniti, zlasti kadar bi takojšnji učinki sodbe, s katero je bila ugotovljena ta neveljavnost, povzročili resne negativne posledice za zadevne osebe (glej v tem smislu sodbo z dne 17. marca 2016, Parlament/Komisija, C‑286/14, EU:C:2016:183, točka 67).

127    V obravnavanem primeru bi lahko razveljavitev Uredbe 2019/1157 s takojšnjim učinkom povzročila resne negativne posledice za veliko število državljanov Unije, zlasti za njihovo gotovost na območju svobode, varnosti in pravice.

128    V teh okoliščinah Sodišče odloči, da je treba učinke te uredbe ohraniti, dokler v razumnem roku, ki ne sme biti daljši od dveh let od 1. januarja leta, ki sledi datumu razglasitve te sodbe, ne začne veljati nova uredba, ki bo temeljila na členu 77(3) PDEU in s katero bo nadomeščena prvonavedena uredba.

V.      Stroški

129    Ker je ta postopek za stranki v postopku v glavni stvari ena od stopenj v postopku pred predložitvenim sodiščem, to odloči o stroških. Stroški za predložitev stališč Sodišču, ki niso stroški omenjenih strank, se ne povrnejo.

Iz teh razlogov je Sodišče (veliki senat) razsodilo:

1.      Uredba (EU) 2019/1157 Evropskega parlamenta in Sveta z dne 20. junija 2019 o okrepitvi varnosti osebnih izkaznic državljanov Unije in dokumentov za prebivanje, izdanih državljanom Unije in njihovim družinskim članom, ki uresničujejo svojo pravico do prostega gibanja, je neveljavna.

2.      Učinki Uredbe 2019/1157 se ohranijo, dokler v razumnem roku, ki ne sme biti daljši od dveh let od 1. januarja leta, ki sledi datumu razglasitve te sodbe, ne začne veljati nova uredba, ki bo temeljila na členu 77(3) PDEU in s katero bo nadomeščena prvonavedena uredba.

Podpisi

*      Jezik postopka: nemščina.