STANOVISKO GENERÁLNÍ ADVOKÁTKY
LAILY MEDINA
přednesené dne 29. června 2023(1)
Věc C‑61/22
RL
proti
Landeshauptstadt Wiesbaden
[žádost o rozhodnutí o předběžné otázce podaná Verwaltungsgericht Wiesbaden (správní soud ve Wiesbadenu, Německo)]
„Žádost o rozhodnutí o předběžné otázce – Nařízení (EU) 2019/1157 – Posílení zabezpečení průkazů totožnosti občanů EU – Článek 3 odst. 5 – Povinnost shromažďovat otisky prstů a uchovávat je na vysoce zabezpečeném paměťovém médiu – Platnost – Právní základ – Článek 21 odst. 2 SFEU – Článek 77 odst. 3 SFEU – Listina základních práv Evropské unie – Články 7 and 8 – Respektování soukromého a rodinného života – Ochrana osobních údajů – Článek 52 odst. 1 – Zásada proporcionality – Obecné nařízení o ochraně osobních údajů – Článek 35 odst. 10 – Posouzení vlivu na ochranu osobních údajů“
I. Úvod
1. Tato žádost o rozhodnutí o předběžné otázce se týká platnosti čl. 3 odst. 5 nařízení 2019/1157(2), který stanoví povinnost, dle níž každý průkaz totožnosti nově vydaný členskými státy musí zahrnovat zobrazení otisků prstů držitele na vysoce zabezpečeném paměťovém médiu(3). Žádost byla podána v rámci sporu mezi RL a Landeshauptstadt Wiesbaden (zemské hlavní město Wiesbaden, Německo), týkající se správního rozhodnutí, jímž posledně jmenovaný orgán odmítl vydat průkaz totožnosti bez toho, aby v jeho čipu bylo uloženo zobrazení otisků prstů.
2. Svou žádostí si předkládající soud přeje zaprvé zjistit, zda byl čl. 21 odst. 2 SFEU vhodný coby základ pro přijetí nařízení 2019/1157; zadruhé, zda je čl. 3 odst. 5 tohoto nařízení slučitelný s články 7 a 8 Listiny základních práv Evropské unie (dále jen „Listina“) ve spojení s jejím čl. 52 odst. 1 a zatřetí, zda je uvedené nařízení v souladu s povinností provést posouzení vlivu na ochranu osobních údajů ve smyslu čl. 35 odst. 10 GDPR(4).
3. Bez ohledu na rozdíly mezi průkazy totožnosti a cestovními pasy představuje projednávaná věc tematické rozšíření rozsudku ve věci Schwarz(5). V tomto rozsudku Soudní dvůr zkoumal platnost čl. 1 odst. 2 nařízení č. 2252/2004(6), který stanoví povinnost shromažďovat a uchovávat otisky prstů v cestovních pasech a jiných cestovních dokladech vydávaných členskými státy(7).
II. Právní rámec
A. Unijní právo
1. Nařízení 2019/1157
4. V bodech 1, 2, 3, 4, 5, 15, 17, 18, 21 a 28 odůvodnění nařízení 2019/1157 se uvádí:
„(1) Smlouva o Evropské unii (dále jen ‚Smlouva o EU‘) má za cíl usnadnit volný pohyb osob a zároveň zajišťovat bezpečnost a ochranu národů Evropy vytvořením prostoru svobody, bezpečnosti a práva v souladu s ustanoveními Smlouvy o EU a Smlouvy o fungování Evropské unie (dále jen ‚Smlouva o fungování EU‘).
(2) Občanství Unie přiznává každému občanu Unie právo volného pohybu s výhradou určitých omezení a podmínek. [Směrnicí 2004/38][(8)] se toto právo provádí. Článek 45 [Listiny] rovněž stanoví volný pohyb a pobyt. Volný pohyb zahrnuje právo opustit území členského státu a vstoupit na něj s platným průkazem totožnosti nebo cestovním pasem.
(3) Na základě [směrnice 2004/38] mají členské státy v souladu se svými právními předpisy vydávat a obnovovat svým státním příslušníkům průkazy totožnosti nebo cestovní pasy. […]
(4) [Směrnice 2004/38] stanoví, že členské státy mohou přijmout potřebná opatření k odepření, pozastavení nebo odnětí jakéhokoliv práva přiznaného uvedenou směrnicí v případě zneužití práv nebo podvodu. Jako typické případy podvodu podle uvedené směrnice se uvádí padělání dokladů nebo nepravdivé doložení hmotněprávních skutečností týkajících se podmínek spojených s právem pobytu.
(5) V úrovni zabezpečení vnitrostátních průkazů totožnosti vydávaných členskými státy a povolení k pobytu pro občany Unie, kteří pobývají v jiném členském státě, a pro jejich rodinné příslušníky existují značné rozdíly. Tyto rozdíly zvyšují riziko padělání dokladů a podvodů s nimi a rovněž způsobují praktické obtíže občanům, kteří chtějí uplatnit právo na volný pohyb.
[…]
(15) […] Zdokonalené průkazy totožnosti by měly zajistit jednodušší identifikaci a přispět k lepšímu přístupu ke službám.
[…]
(17) Bezpečnostní prvky jsou nezbytné pro ověření pravosti dokladu a pro zjištění totožnosti osoby. Zavedení minimálních bezpečnostních norem a začlenění biometrických údajů do průkazů totožnosti […] je důležitým krokem k zajištění větší bezpečnosti jejich používání v Unii. Zahrnutí takových biometrických identifikátorů by občanům Unie mělo umožnit plně využívat jejich práva volného pohybu.
(18) Uchovávání zobrazení obličeje a dvou otisků prstů (dále jen ‚biometrické údaje‘) v průkazech totožnosti a pobytových kartách, jak je již stanoveno u biometrických pasů a povolení k pobytu státních příslušníků třetích zemí, představuje vhodnou kombinaci spolehlivé identifikace a ověření pravosti s nižším rizikem podvodu v zájmu lepšího zabezpečení průkazů totožnosti a pobytových karet.
[…]
(21) Toto nařízení nevytváří právní základ pro zřízení či provoz databází na vnitrostátní úrovni pro uchovávání biometrických údajů v členských státech, což je záležitost vnitrostátního práva, jež musí být v souladu s právem Unie v oblasti ochrany údajů. Toto nařízení rovněž neposkytuje právní základ pro zřízení či provoz centralizované databáze na úrovni Unie.
[…]
(28) Zavedení minimálních norem zabezpečení a formátu průkazů totožnosti by mělo členským státům poskytnout dostatečnou jistotu ohledně pravosti těchto dokladů, když občané Unie vykonávají své právo volného pohybu. Zavedení přísnějších bezpečnostních norem by mělo veřejnoprávním orgánům a soukromoprávním subjektům poskytnout dostatečné záruky, aby se mohly spolehnout na pravost průkazů totožnosti, jimiž občané Unie prokazují svoji totožnost.“
5. Článek 1 nařízení 2019/1157, nadepsaný „Předmět“ stanoví:
„Toto nařízení posiluje bezpečnostní normy vztahující se na průkazy totožnosti, které vydávají členské státy svým státním příslušníkům […] při výkonu jejich práva volného pohybu.“
6. Článek 3 nařízení 2019/1157, nadepsaný „Bezpečnostní normy/vzor/specifikace“ stanoví:
„1. Průkazy totožnosti vydávané členskými státy se vyhotovují ve formátu ID-1 a obsahují strojově čitelnou zónu. Tyto průkazy totožnosti vycházejí ze specifikací a minimálních bezpečnostních norem stanovených v dokumentu ICAO 9303 a musí splňovat požadavky stanovené v písmenech c), d), f) a g) přílohy nařízení (ES) č. 1030/2002, ve znění nařízení (EU) 2017/1954.
[…]
5. Průkazy totožnosti zahrnují vysoce zabezpečené paměťové médium, které obsahuje zobrazení obličeje držitele průkazu a dva otisky prstů v interoperabilních digitálních formátech. Pro získání biometrických identifikátorů členské státy použijí technické normy stanovené prováděcím rozhodnutím Komise C(2018)7767.[(9)]
6. Paměťové médium musí mít dostatečnou kapacitu a schopnost zaručit integritu, pravost a důvěrnost údajů. Uchovávané údaje jsou dostupné bezkontaktně a jsou zabezpečené v souladu s prováděcím rozhodnutím C(2018)7767. Členské státy si vymění informace nezbytné k ověření pravosti paměťového média a k přístupu k biometrickým údajům uvedeným v odstavci 5 a k jejich ověření.
7. Děti mladší dvanácti let mohou být od povinnosti poskytnout otisky prstů osvobozeny.
Děti mladší šesti let jsou od povinnosti poskytnout otisky prstů osvobozeny.
Osoby, u nichž je odebrání otisků prstů fyzicky nemožné, jsou od povinnosti poskytnout otisky prstů osvobozeny.
[…]“
7. Článek 10 nařízení 2019/1157, nadepsaný „Odebírání biometrických identifikátorů“, stanoví:
„1. Biometrické identifikátory jsou odebírány výlučně kvalifikovanými a řádně zmocněnými pracovníky, které určí orgány příslušné pro vydávání průkazů totožnosti nebo pobytových karet, za účelem jejich uložení na vysoce zabezpečeném paměťovém médiu podle čl. 3 odst. 5 v případě průkazů totožnosti […]
V zájmu zajištění shody biometrických identifikátorů s totožností žadatele se žadatel dostaví alespoň jednou během procesu vydávání každého dokladu osobně.
2. Členské státy zajistí, že budou zavedeny vhodné a účinné postupy pro odebírání biometrických identifikátorů a tyto postupy budou v souladu s právy a zásadami stanovenými v Listině, Úmluvě o ochraně lidských práv a základních svobod a Úmluvě Organizace spojených národů o právech dítěte.
[…]
3. Pokud to není nutné pro zpracovávání údajů v souladu s unijním a vnitrostátním právem, biometrické identifikátory uchovávané pro účely personalizace průkazů totožnosti nebo povolení k pobytu by měly být uchovávány vysoce zabezpečeným způsobem a pouze do dne převzetí dokladu, nejdéle však do 90 dnů ode dne vydání dokladu. Po uplynutí této lhůty musí být biometrické identifikátory okamžitě vymazány nebo zničeny.“
8. Článek 11 nařízení 2019/1157, nadepsaný „Ochrana osobních údajů a odpovědnost“, zní takto:
„1. Aniž je dotčeno [GDPR], členské státy zajistí bezpečnost, integritu, pravost a důvěrnost údajů shromážděných a uchovávaných pro účely tohoto nařízení.
2. Pro účely tohoto nařízení se orgány příslušné pro vydávání průkazů totožnosti a povolení k pobytu považují za správce ve smyslu čl. 4 bodu 7 [GDPR] a odpovídají za zpracování osobních údajů.
3. Členské státy zajistí, aby dozorové úřady mohly plně vykonávat své úkoly podle [GDPR] a měly mimo jiné přístup ke všem osobním údajům a ke všem nezbytným informacím a do všech prostor příslušných orgánů a k jejich veškerým zařízením pro zpracování údajů.
[…]
5. Informace ve strojově čitelné podobě jsou do průkazů totožnosti […] vkládány výhradně v souladu s tímto nařízením a vnitrostátním právem vydávajícího členského státu.
6. Biometrické údaje uchovávané na paměťovém médiu průkazů totožnosti a povolení k pobytu jsou používány pouze v souladu s unijním a vnitrostátním právem řádně zmocněnými pracovníky příslušných vnitrostátních orgánů a agentur Unie pro účely ověření:
a) pravosti průkazu totožnosti nebo povolení k pobytu;
b) totožnosti držitele prostřednictvím přímo dostupných porovnatelných prvků v případech, kdy právní předpis stanoví povinnost průkaz totožnosti nebo povolení k pobytu předložit.
[…]“
2. GDPR
9. Článek 6, nadepsaný „Zákonnost zpracování“, zní takto:
„1. Zpracování je zákonné, pouze pokud je splněna nejméně jedna z těchto podmínek a pouze v odpovídajícím rozsahu:
[…]
c) zpracování je nezbytné pro splnění právní povinnosti, která se na správce vztahuje;
d) zpracování je nezbytné pro ochranu životně důležitých zájmů subjektu údajů nebo jiné fyzické osoby;
e) zpracování je nezbytné pro splnění úkolu prováděného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je pověřen správce;
[…]“
10. Článek 35 GDPR, nadepsaný „Posouzení vlivu na ochranu osobních údajů“, stanoví:
„1. Pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude mít s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování za následek vysoké riziko pro práva a svobody fyzických osob, provede správce před zpracováním posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů. Pro soubor podobných operací zpracování, které představují podobné riziko, může stačit jedno posouzení.[…]
10. Pokud má zpracování podle čl. 6 odst. 1 písm. c) nebo e) právní základ v právu Unie nebo členského státu, které se na správce vztahuje, a toto právo upravuje konkrétní operaci nebo soubor operací zpracování a pokud bylo posouzení vlivu na ochranu osobních údajů již provedeno jakožto součást obecného posouzení dopadů v souvislosti s přijetím uvedeného právního základu, odstavce 1 až 7 se nepoužijí, ledaže by členské státy považovaly provedení tohoto posouzení před činnostmi zpracování za nezbytné.“
3. Směrnice 2004/38
11. Článek 4 směrnice 2004/38, nadepsaný „Právo na opuštění území“, stanoví:
„1. Aniž jsou dotčeny předpisy o cestovních dokladech použitelné pro kontroly na státních hranicích, mají všichni občané Unie s platným průkazem totožnosti nebo cestovním pasem a jejich rodinní příslušníci, kteří nejsou státními příslušníky žádného členského státu a mají platný cestovní pas, právo opustit území členského státu a odebrat se do jiného členského státu.
[…]“
12. Článek 5 směrnice 2004/38, nadepsaný „Právo na vstup“, stanoví:
„Aniž jsou dotčeny předpisy o cestovních dokladech použitelné pro kontroly na státních hranicích, zaručují členské státy občanům Unie vstup na své území s platným průkazem totožnosti nebo cestovním pasem a rodinným příslušníkům, kteří nejsou státními příslušníky žádného členského státu, vstup na své území s platným cestovním pasem.
[…]“
B. Vnitrostátní právní úprava
13. Gesetz über Personalausweise und den elektronischen Identitätsnachweis (zákon o průkazech totožnosti a elektronické identifikaci)(10) provádí do německého práva povinnost stanovenou v čl. 3 odst. 5 nařízení 2019/1157.
14. Ustanovení § 1 odst. 1 PAuswG, nadepsaného „Povinnost identifikace; právo na identifikaci“, stanoví:
„Němci ve smyslu čl. 116 odst. 1 základního zákona jsou povinni mít průkaz totožnosti, jakmile dosáhnou věku 16 let a podléhají obecné ohlašovací povinnosti, nebo pokud se na ně tato povinnost nevztahuje, pobývají-li převážně v Německu. Na výzvu orgánu oprávněného ke kontrole totožnosti musí průkaz totožnosti předložit. Po držitelích průkazu totožnosti nelze požadovat, aby svůj průkaz totožnosti odevzdali do úschovy nebo se jinak vzdali jeho držení. To neplatí ve vztahu k orgánům oprávněným ke kontrole totožnosti ani v případě odnětí nebo zadržení.“
15. Ustanovení § 5 odst. 9 PAuswG, nazvaný „Vydání průkazu totožnosti“, stanoví:
„Dva otisky prstů žadatele, které mají být uchovávány na elektronickém paměťovém médiu podle [nařízení 2019/1157] se uloží na elektronické paměťové médium a médium pro zpracování průkazu totožnosti ve formě plochého otisku levého a pravého ukazováčku. Chybí-li ukazováček, není-li kvalita otisku prstu dostatečná, nebo je-li konec prstu poraněn, uloží se jako náhrada plochý otisk palce, prostředníčku nebo prsteníčku. Otisky prstů se neuloží, pokud odebrání otisků prstů není možné ze zdravotních důvodů, které nejsou přechodné povahy.“
III. Skutkové okolnosti sporu v původním řízení a předběžná otázka
16. V listopadu 2021 požádal RL zemské hlavní město Wiesbaden o vydání nového průkazu totožnosti, přičemž tvrdil, že čip jeho starého průkazu totožnosti je vadný. Ve své žádosti RL výslovně uvedl, že požaduje vydání tohoto průkazu bez zaznamenání zobrazení otisků prstů do jeho čipu.
17. Zemské hlavní město Wiesbaden žádost RL zamítlo zaprvé z důvodu, že podle německého práva zůstává průkaz totožnosti platný, i když je jeho čip vadný. Jelikož RL již je držitelem platného dokladu totožnosti, nemá na vydání nového průkazu nárok. Zadruhé zemské hlavní město Wiesbaden mělo za to, že průkaz totožnosti v žádném případě nelze vydat bez zobrazení otisků prstů držitele, jelikož ode dne 2. srpna 2021 začala podle § 5 odst. 9 PAuswG platit povinnost uchovávat v čipu nových průkazů totožnosti zobrazení otisků prstů.
18. RL podal žalobu k Verwaltungsgericht Wiesbaden (správní soud ve Wiesbadenu, Německo), předkládajícímu soudu v projednávané věci, kterou se domáhal toho, aby byla příslušnému orgánu uložena povinnost vydat mu nový průkaz totožnosti bez uloženého zobrazení otisků prstů.
19. Předkládající soud má pochybnosti stran platnosti čl. 3 odst. 5 nařízení 2019/1157, který je základem pro § 5 odst. 9 PAuswG, a tudíž pro kogentní povahu shromažďování otisků prstů a jejich uchovávání v německých průkazech totožnosti. V tomto ohledu uvedený soud připomněl, že podle čl. 3 odst. 5 nařízení 2019/1157 musí průkazy totožnosti vydávané členskými státy zahrnovat vysoce zabezpečené paměťové médium obsahující zobrazení obličeje držitele průkazu a dva otisky prstů v interoperabilních digitálních formátech.
20. Předkládající soud uvádí konkrétně tři důvody neplatnosti čl. 3 odst. 5 nařízení 2019/1157.
21. Zaprvé předkládající soud si přeje zjistit to, zda nařízení 2019/1157 nemělo být přijato spíše na základě čl. 77 odst. 3 SFEU, který stanoví použití zvláštního legislativního postupu, v jehož rámci Rada rozhoduje jednomyslně, než na základě čl. 21 odst. 2 SFEU, jenž se týká řádného legislativního postupu zahrnujícího spolurozhodování Evropského parlamentu a Rady Evropské unie. Předkládající soud připomíná, že v rozsudku ve věci Schwarz měl Soudní dvůr za to, že čl. 62 odst. 2 písm. a) SES, tedy ustanovení, které se později stalo čl. 77 odst. 3 SFEU, bylo náležitým právním základem pro přijetí nařízení č. 2252/2004, jež stanoví povinné shromažďování a uchovávání otisků prstů občanů EU v cestovních pasech. Uvedený soud si proto klade otázku, zda neměl být stejný právní základ použit i pro přijetí nařízení 2019/1157.
22. Zadruhé předkládající soud má pochybnosti ohledně slučitelnosti čl. 3 odst. 5 nařízení 2019/1157 s články 7 a 8 Listiny. Tento soud uvádí, že povinné shromažďování a uchovávání otisků prstů v průkazech totožnosti představuje ve světle rozsudku ve věci Schwarz omezení práv přiznaných těmito dvěma ustanoveními. Toto omezení podle jeho názoru navíc nesplňuje podmínky stanovené v čl. 8 odst. 2 a čl. 52 odst. 1 Listiny, a je tedy neodůvodněné. Konkrétně si předkládající soud přeje zjistit to, zda čl. 3 odst. 5 nařízení 2019/1157 sleduje oprávněný zájem a zda lze povinnost vyplývající z tohoto ustanovení považovat za vhodnou, nezbytnou a přiměřenou.
23. Zatřetí předkládající soud vyjadřuje pochybnosti ohledně povinnosti provést posouzení vlivu na ochranu osobních údajů stanovené v čl. 35 odst. 10 GDPR. Tento soud s odkazem na stanovisko vydané evropským inspektorem ochrany údajů k návrhu nařízení(11) zejména uvádí, že toto ustanovení se použije na zpracování otisků prstů stanovené v nařízení 2019/1157. Takové posouzení však unijní normotvůrce při přijímání uvedeného nařízení neprovedl.
24. Za těchto okolností se Verwaltungsgericht Wiesbaden (správní soud ve Wiesbadenu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžné otázky:
„Je povinnost zaznamenávat a uchovávat otisky prstů v průkazech totožnosti stanovená v čl. 3 odst. 5 [nařízení 2019/1157] v rozporu s unijním právem vyšší právní síly, zejména
a) s čl. 77 odst. 3 SFEU,
b) s články 7 a 8 Listiny základních práv,
c) s čl. 35 odst. 10 GDPR,
a je proto z některého z těchto důvodů neplatná?“
25. Žádost o rozhodnutí o předběžné otázce byla zapsána do rejstříku kanceláře Soudního dvora dne 1. února 2022. Písemná vyjádření předložili německá, španělská a polská vláda, Parlament, Rada, Evropská komise, jakož i žalobce v původním řízení. Jednání se konalo dne 14. března 2023.
IV. Hodnocení
26. Svou předběžnou otázkou si předkládající soud přeje zjistit to, zda je nařízení 2019/1157 platné z hlediska unijního práva. Podstatou jeho otázky je zejména:
– zaprvé to, zda čl. 21 odst. 2 SFEU představoval vhodný právní základ pro přijetí nařízení 2019/1157, a zejména čl. 3 odst. 5 tohoto nařízení, řádným legislativním postupem v něm uvedeným;
– zadruhé to, zda je čl. 3 odst. 5 nařízení 2019/1157 slučitelný s články 7 a 8 Listiny ve spojení s jejím čl. 52 odst. 1; a
– zatřetí to, zda je čl. 3 odst. 5 nařízení 2019/1157 v souladu s povinností provést posouzení vlivu na ochranu osobních údajů podle čl. 35 odst. 10 GDPR.
27. Každý z těchto rozličných důvodů neplatnosti postupně posoudím.
A. K právnímu základu pro přijetí nařízení 2019/1157
28. První důvod neplatnosti se týká právního základu pro přijetí nařízení 2019/1157. Předkládající soud má v podstatě pochybnosti o tom, zda toto nařízení nemělo být přijato spíše na základě čl. 77 odst. 3 SFEU, než čl. 21 odst. 2 téže Smlouvy. Z formálního hlediska stojí za volbou vhodného právního základu nařízení 2019/1157 alternativní legislativní postup, který se použije podle jednoho z obou ustanovení.
29. Článek 21 SFEU je obsažen v části druhé této Smlouvy upravující „Zákaz diskriminace a občanství Unie“. V odstavci 1 tohoto článku se stanoví, že každý občan Unie má právo svobodně se pohybovat a pobývat na území členských států s výhradou omezení a podmínek stanovených ve Smlouvách a v opatřeních přijatých k jejich provedení. Článek 21 odst. 2 SFEU následně poskytuje Unii možnost přijímat předpisy k usnadnění výkonu tohoto práva, pokud se činnost k dosažení tohoto cíle ukáže jako nezbytná a pokud Smlouvy pro takovou činnost nestanoví nezbytné pravomoci. V takovém případě se použije řádný legislativní postup zahrnující spolurozhodování Parlamentu a Rady.
30. Naproti tomu čl. 77 odst. 3 SFEU, který se vztahuje na „Politiky týkající se kontrol na hranicích, azylu a přistěhovalectví“, se nachází v hlavě V části třetí téže Smlouvy upravující „Prostor svobody, bezpečnosti a práva“. Stanoví, že pokud se činnost Unie ukáže jako nezbytná k usnadnění výkonu práva podle čl. 20 odst. 2 písm. a) SFEU – právo svobodně se pohybovat a pobývat na území členských států – může Rada přijmout předpisy týkající se mimo jiné cestovních pasů a průkazů totožnosti. Použití čl. 77 odst. 3 SFEU závisí podle jeho znění rovněž na neexistenci nezbytných pravomocí stanovených Smlouvami. V takovém případě se použije zvláštní legislativní postup, v jehož rámci Rada rozhoduje jednomyslně po konzultaci s Parlamentem.
31. Podle ustálené judikatury Soudního dvora se volba právního základu unijního aktu musí zakládat na objektivních skutečnostech, které mohou být předmětem soudního přezkumu, mezi něž patří účel a obsah tohoto aktu(12). Soudní dvůr kromě toho rozhodl, že pro určení náležitého právního základu unijního aktu lze vzít v úvahu právní kontext, jehož je nová právní úprava součástí, zejména může-li takový kontext ozřejmit cíl této právní úpravy(13).
32. Pokud jde o projednávanou věc, hned na úvod bych ráda poukázala na to, že okolnost, že v rozsudku ve věci Schwarz byl čl. 77 odst. 3 SFEU považován za náležitý právní základ pro nařízení č. 2252/2004, které stanovilo povinné shromažďování a uchovávání otisků prstů v cestovních pasech občanů EU(14), není, na rozdíl od názoru zastávaného předkládajícím soudem, sama o sobě rozhodující pro účely určení toho, zda bylo přijetí nařízení 2019/1157 na základě čl. 21 odst. 2 SFEU správné. Soudní dvůr totiž v souladu s výše citovanou judikaturou setrvale zastává názor, že pro určení správného právního základu posuzovaného opatření je třeba zohlednit jeho cíl a obsah, a nikoli právní základ jiných unijních aktů, které se případně vyznačují podobnými vlastnostmi(15).
33. Na jedné straně, pokud jde o cíl nařízení 2019/1157, konstatuji, že jeho článek 1 nadepsaný „Předmět“ stanoví, že toto nařízení posiluje bezpečnostní normy vztahující se na průkazy totožnosti, které vydávají členské státy svým státním příslušníkům při výkonu jejich práva volného pohybu. Toto ustanovení představuje normativní vyjádření bodů 1 až 5 odůvodnění uvedeného nařízení, které s odkazem na Smlouvu o EU, Smlouvu o FEU, článek 45 Listiny a směrnici 2004/38 evokují cíl spočívající ve zjednodušení výkonu práva občanů EU na volný pohyb v bezpečném prostředí(16).
34. Zejména v bodě 4 odůvodnění nařízení 2019/1157 je uvedeno, že jako typické případy podvodu spojeného s volným pohybem se uvádí padělání dokladů nebo nepravdivé doložení hmotněprávních skutečností týkajících se podmínek spojených s právem pobytu. V bodě 5 odůvodnění nařízení 2019/1157 se navíc uvádí, že padělání dokladů a podvody s nimi jsou důsledkem značných rozdílů existujících v úrovni zabezpečení vnitrostátních průkazů totožnosti vydávaných členskými státy. Tyto rozdíly podle téhož bodu odůvodnění zvyšují riziko padělání dokladů a podvodů s nimi a způsobují praktické obtíže občanům, kteří chtějí uplatnit právo na volný pohyb. Konečně v bodě 28 odůvodnění nařízení 2019/1157 je uvedeno, že zavedení přísnějších bezpečnostních norem by mělo veřejnoprávním orgánům a soukromoprávním subjektům poskytnout dostatečné záruky, aby se mohly spolehnout na pravost průkazů totožnosti, jimiž občané EU prokazují svoji totožnost.
35. Na druhé straně, co se týče obsahu nařízení 2019/1157, povinné shromažďování a uchovávání zobrazení otisků prstů stanovené tímto nařízením, o něž se jedná v projednávané věci, je součástí širší skupiny aktů vztahujících se na nově vydávané vnitrostátní průkazy totožnosti, které jsou z velké části vyjmenovány v článku 3 nadepsaném „Bezpečnostní normy/vzor/specifikace“.
36. Ve světle bodu 17 odůvodnění nařízení 2019/1157 je zřejmé, že tyto akty mají sloužit bezpečnostním účelům nezbytným k ověření pravosti dokumentu a ke zjištění totožnosti osoby(17). V bodě 18 odůvodnění nařízení 2019/1157 je v tomto ohledu dále vysvětleno, že uchovávání biometrických údajů – zobrazení obličeje a dvou otisků prstů – v průkazech totožnosti představuje vhodnou kombinaci spolehlivé identifikace a ověření pravosti s nižším rizikem podvodu v zájmu lepšího zabezpečení průkazů totožnosti
37. Z výše uvedeného vyplývá, že cílem nařízení 2019/1157 zamýšleným Parlamentem a Radou bylo v podstatě usnadnit občanům EU výkon práva cestovat do kteréhokoli členského státu a pobývat v něm se svým průkazem totožnosti a spoléhat se na tento průkaz jakožto na pravý a spolehlivý doklad totožnosti. Tyto pojmy používá rovněž Komise ve svém návrhu nařízení(18), v němž je stejně jako v nařízení 2019/1157 zdůrazněna potřeba snížit riziko padělání dokladů a podvodů s nimi za účelem zlepšení přijímání těchto průkazů v jiných členských státech odlišných od toho, který je vydal(19). Tohoto cíle mělo být s ohledem na ustanovení obsažená v nařízení 2019/1157 dosaženo tím, že do vnitrostátních průkazů totožnosti budou začleněny společné bezpečnostní prvky, které jsou v tomto nařízení roztříděny na i) minimální bezpečnostní normy a formáty a ii) přísnější bezpečnostní normy(20). Posledně uvedená kategorie zahrnovala povinné shromažďování otisků prstů a uchovávání jejich zobrazení na vysoce zabezpečeném médiu.
38. Přetrvává otázka, zda unijní normotvůrce vzhledem k cíli a obsahu nařízení 2019/1157, jak jsem již popsala, postupoval správně, když považoval čl. 21 odst. 2 SFEU za náležitý právní základ pro přijetí tohoto nařízení. S ohledem na znění tohoto ustanovení uvedené v bodě 29 výše by tato otázka vyžadovala, aby Soudní dvůr přezkoumal zaprvé to, zda lze nařízení 2019/1157 považovat za nařízení správně přijaté s cílem usnadnit výkon práva svobodně se pohybovat a pobývat na území členských států; zadruhé to, zda byla k dosažení tohoto cíle nezbytná činnost Unie; a zatřetí to, zda Smlouvy nestanovily potřebné pravomoci.
1. K usnadnění výkonu práva na volný pohyb
39. Na prvním místě, pokud jde o to, zda bylo nařízení 2019/1157 správně přijato s cílem usnadnit výkon práva na volný pohyb, je důležité připomenout, že podle článku 4 směrnice 2004/38 mají všichni občané EU právo opustit území členského státu a odebrat se do jiného členského státu („právo na opuštění území“). Obdobně podle článku 5 uvedené směrnice musí členské státy zaručit občanům EU vstup na své území („právo na vstup“). Jak vyplývá ze směrnice 2004/38 – a jak bylo zopakováno v bodě 2 odůvodnění nařízení 2019/1157 – obě práva představují podstatu práva na volný pohyb a jako taková jsou jedním z pilířů občanství EU.
40. Podle těchto ustanovení je však výkon práva na opuštění území a práva na vstup podmíněn povinností předložit platný průkaz totožnosti nebo cestovní pas. Jak uvedl Soudní dvůr ve své judikatuře, cílem této povinnosti je zjednodušit řešení problémů spojených s prokázáním práva pobytu jak pro občany EU, tak i pro vnitrostátní orgány(21). Důvěra členských států ve vztahu k přijímání občana EU na jejich území a v konečném důsledku i výkon práva na volný pohyb tímto občanem jsou podmíněny spolehlivostí jeho průkazu totožnosti nebo cestovního pasu z hlediska pravosti a prokázání totožnosti(22). To platí tím spíše, jak vyplývá z bodu 4 odůvodnění nařízení 2019/1157, že směrnice 2004/38 – zejména její článek 35 – umožňuje členským státům odepřít, pozastavit nebo odejmout jakékoli právo přiznané touto směrnicí v případě podvodu(23).
41. Navíc je důležité mít na paměti, že výkon práva na volný pohyb se neomezuje pouze na hraniční kontroly(24) nebo administrativní registraci, jak tvrdí především žalobce. Právo na volný pohyb a pobyt umožňuje občanům EU zapojit se do každodenního života ostatních obyvatel hostitelského členského státu. Vnitrostátní průkazy totožnosti tak mají stejné funkce jako v případě těchto obyvatelů, což znamená, že pouze spolehlivý a pravý doklad totožnosti vydaný v souladu se společnými bezpečnostními normami a formáty umožňuje plné uplatnění volného pohybu. Bez takovýchto společných norem a formátů a vzhledem k nejednotnosti současných vnitrostátních průkazů totožnosti v rámci Evropské unie, o čemž pojednám později(25), mohou snadněji vyvstávat překážky a obtíže, což představuje hlavní důvod k obavám popsaný v bodě 5 odůvodnění nařízení 2019/1157.
42. Názorné je v tomto ohledu používání vnitrostátních dokladů totožnosti pro přístup ke službám veřejnoprávních a soukromoprávních subjektů v hostitelském členském státě, zejména v případech, kdy je doklad totožnosti vyžadován vnitrostátními právními předpisy pro účely takové identifikace. Je tomu tak například v případě přístupu k veřejným službám, jako je zdravotní péče, nebo při jednání s bankami, leteckými společnostmi, zábavními zařízeními, hotely a jinými pohostinskými zařízeními atd. Mimoto používání vnitrostátních průkazů totožnosti je nezbytné pro využívání práv úzce spojených s právem volného pohybu a pobytu, jako je právo volit a být volen v evropských a komunálních volbách(26).
43. V tomto kontextu považuji s ohledem na cíl a obsah nařízení 2019/1157 za problematické tvrzení, že toto nařízení nemá nic společného s cílem usnadnit výkon práva na volný pohyb. Právě naopak: sjednocení formátu vnitrostátních průkazů totožnosti a zvýšení jejich spolehlivosti prostřednictvím bezpečnostních norem, včetně norem zavedených čl. 3 odst. 5 nařízení 2019/1157, má přímý dopad na výkon tohoto práva tím, že učiní tyto průkazy důvěryhodnějšími – a to jak z technického hlediska, tak z hlediska jejich vnímání ze strany veřejnosti, jak správně poznamenává Komise – a jako takové snadněji přijímané orgány členských států a subjekty poskytujícími služby(27). V konečném důsledku to znamená snížení nepohodlí, nákladů a administrativních překážek pro mobilní občany EU.
44. Chtěla bych ve stručnosti dodat, že i když cestovní pasy, na které se již vztahuje povinnost shromažďovat a uchovávat otisky prstů podle nařízení č. 2252/2004, představují dokumenty, které občané EU mohou alternativně použít k výkonu práva na volný pohyb, tato okolnost nevylučuje možnost, aby vnitrostátní průkazy totožnosti sloužily témuž účelu na základě směrnice 2004/38(28), a z pohledu unijního normotvůrce by tyto průkazy mohly vyžadovat harmonizovanější formáty a robustnější bezpečnostní normy, aby byly spolehlivější a proto snáze přijímané.
45. První podmínka stanovená v čl. 21 odst. 2 SFEU, tedy požadavek, aby nařízení 2019/1157 bylo správně přijato s cílem usnadnit výkon práva svobodně se pohybovat a pobývat na území členských států, je tedy dle mého názoru splněn.
2. K otázce, zda by se měla činnost ukázat jako nezbytná
46. Zadruhé, pokud jde o otázku, zda byla činnost Evropské unie nezbytná k dosažení cíle spočívajícího v usnadnění výkonu práva na volný pohyb, musím uvést, že se nejedná o prvek, o němž by se předkládající soud výslovně zmínil, nebo který by žalobce v původním řízení zpochybnil. V každém případě bych ráda Soudní dvůr upozornila na posouzení dopadů vypracované Komisí, které je přiloženo k návrhu nařízení předloženého tímto orgánem(29).
47. V tomto posouzení Komise vysvětluje, že evropští občané jsou stále mobilnější – v rámci Evropské unie i mimo ni – což je bezpochyby významným úspěchem evropské integrace(30). V této souvislosti Komise zdůrazňuje, že ačkoli směrnice 2004/38 stanovila podmínky pro výkon práva na volný pohyb a pobyt, neupravila formát a bezpečnostní normy pro vnitrostátní průkazy totožnosti, pročež je v Evropské unii v oběhu více než 250 platných verzí těchto průkazů(31). Za těchto okolností jsou v posouzení dopadů vypracovaném Komisí označeny jako problémy pro výkon práva na volný pohyb nedostatečné přijímání vnitrostátních průkazů totožnosti členskými státy, rostoucí míra podvodů s doklady a nedostatečné ověření pravosti v souvislosti s těmito průkazy a složitost jejich vydávání a správy(32). Komise ve svém posouzení dospěla k závěru, že ačkoli vzrůstá potřeba používat vnitrostátní průkazy totožnosti, v případě nepřijetí náležitých opatření by značné obtíže při výkonu práv na volný pohyb přetrvávaly nebo by se zvýšily(33).
48. Výše popsané okolnosti, které jsou blíže rozvedeny v posouzení dopadů vypracovaném Komisí, dle mého názoru dokládají rostoucí využívání práv volného pohybu občany EU, což je všeobecně známá skutečnost. Tyto okolnosti zároveň poukazují na současné obtíže a rizika, které vznikají při výkonu těchto práv v důsledku nejednotnosti, pokud jde o formáty a bezpečnostní prvky vnitrostátních průkazů totožnosti. Vzhledem k široké posuzovací pravomoci, která je unijnímu normotvůrci přiznána v případě, že musí provádět komplexní posouzení a hodnocení(34), by nemělo být pochyb o tom, že se Parlament a Rada nedopustily žádného pochybení, když usoudily, že k dosažení cíle spočívajícího v usnadnění výkonu práva na volný pohyb bude nezbytná činnost Evropské unie.
49. Druhá podmínka stanovená v čl. 21 odst. 2 SFEU je tedy dle mého názoru rovněž splněna.
3. K nezbytným pravomocem
50. Zatřetí přijetí unijního aktu na základě čl. 21 odst. 2 SFEU je podmíněno tím, že „Smlouvy pro takovou činnost nestanoví nezbytné pravomoci“. Předkládající soud v předkládacím rozhodnutí vyjádřil názor, že čl. 77 odst. 3 SFEU představuje zvláštní právní základ pro zavedení nových bezpečnostních prvků do vnitrostátních průkazů totožnosti členských států. Z tohoto důvodu má uvedený soud za to, že při přijímání nařízení 2019/1157 měl být jako právní základ namísto čl. 21 odst. 2 SFEU použit čl. 77 odst. 3 SFEU.
51. Úvodem bych ráda připomněla, že podle ustálené judikatury je použití dvojího právního základu vyloučeno, pokud jsou postupy stanovené pro jednotlivé právní základy vzájemně neslučitelné(35). V projednávané věci se legislativní postupy použitelné na základě čl. 21 odst. 2 SFEU na straně jedné a čl. 77 odst. 3 SFEU na straně druhé vzájemně vylučují, což znamená, že použití prvního z těchto ustanovení při přijímání nařízení 2019/1157 by nemohlo být schváleno, pokud by Soudní dvůr dospěl k závěru, že správným právním základem pro přijetí tohoto nařízení měl být čl. 77 odst. 3 SFEU.
52. V každém případě se domnívám, že při zohlednění znění a systematiky čl. 77 odst. 3 SFEU, jakož i systematiky této Smlouvy, nelze souhlasit s názorem, který zastává předkládající soud.
53. Zaprvé, jak je uvedeno v bodě 30 tohoto stanoviska, čl. 77 odst. 3 SFEU se nachází v hlavě V třetí části SFEU upravující „Prostor svobody, bezpečnosti a práva“, konkrétně v její kapitole 2, která se vztahuje na „Politiky týkající se kontrol na hranicích, azylu a přistěhovalectví“. Toto ustanovení navazuje na čl. 77 odst. 1 SFEU, jenž stanoví, že Evropská unie rozvíjí politiku k dosažení určitých cílů týkajících se zejména hraničních kontrol. Navazuje rovněž na čl. 77 odst. 2 SFEU, který umožňuje Parlamentu a Radě přijímat řádným legislativním postupem opatření týkající se téže politiky.
54. Celkový obsah a systematika článku 77 SFEU tedy vybízí k úvaze, že ačkoli jeho odstavec 3 svěřuje Radě pravomoc přijímat předpisy týkající se cestovních pasů a průkazů totožnosti za účelem usnadnění výkonu práva na volný pohyb a pobyt, tuto pravomoc je třeba chápat tak, že odkazuje na kontext politiky týkající se hraničních kontrol. Unijní akt přesahující tento konkrétní obsah, bez ohledu na požadavky použitelného legislativního postupu, by nespadal do oblasti působnosti čl. 77 odst. 3 SFEU.
55. V projednávané věci může mít zavedení jednotných norem, formátů a specifikací týkajících se zabezpečení vnitrostátních průkazů totožnosti, včetně těch, které jsou vymezeny v čl. 3 odst. 5 nařízení 2019/1157, nepochybně dopad na hraniční kontroly(36). Jak jsem však uvedla v tomto stanovisku, zmíněné nařízení se vztahuje na širší sféru života občanů EU, což brání tomu, aby se omezovalo pouze na oblast hraničních kontrol. V tomto ohledu může být užitečné připomenout, že pokud přezkum unijního aktu ukáže, že tento sleduje několik účelů a jeden z těchto účelů je možné označit za hlavní nebo převažující, zatímco ostatní jsou pouze vedlejší, musí být tento akt založen na jediném právním základu, a sice na tom, který odpovídá hlavnímu účelu(37). Pokud jde o nařízení 2019/1157, je mi zřejmé, že se týká práva na volný pohyb a pobyt v mnoha různých ohledech, přičemž na hraniční kontroly dopadá pouze částečně.
56. Zadruhé je důležité poznamenat, že podle čl. 77 odst. 3 SFEU, který je subsidiárním ustanovením formulovaným obdobně jako čl. 21 odst. 2 SFEU, se toto ustanovení použije pouze tehdy, pokud pravomoci nezbytné k dosažení jeho cíle nestanoví jiná ustanovení Smluv. Vyvstává tedy otázka, zda buď čl. 21 odst. 2 SFEU, nebo čl. 77 odst. 3 SFEU představuje zvláštní ustanovení ve vztahu ke druhému z nich, zejména pokud jde o právo svobodně se pohybovat a pobývat na území členských států.
57. V tomto ohledu bych chtěla na jedné straně upozornit na to, že čl. 77 odst. 3 SFEU výslovně odkazuje na článek 20 této smlouvy, jenž zavádí občanství EU, a konkrétně na jeho odst. 2, který stanoví, že toto občanství zahrnuje právo svobodně se pohybovat a pobývat na území členských států. Článek 77 odst. 3 SFEU pak stanoví, že Rada má pravomoc přijmout za účelem usnadnění výkonu práva podle čl. 20 odst. 2 písm. a) SFEU předpisy týkající se mimo jiné průkazů totožnosti, pokud nezbytné pravomoci nestanoví Smlouvy. Jak jsem již uvedla, článek 21 SFEU následně rozšiřuje obsah čl. 20 odst. 2 písm. a) této smlouvy tím, že mimo jiné stanoví, že právo uvedené v tomto ustanovení, podléhá omezením a podmínkám stanoveným ve Smlouvách a v opatřeních přijatých k jejich provedení, a to konkrétně prostřednictvím odstavce 2 tohoto ustanovení. V této souvislosti se proto přikláním k názoru, že pokud jde o čl. 20 odst. 2 SFEU, zvláštním ustanovením je článek 21 této smlouvy, což má za následek nepoužitelnost subsidiárního ustanovení čl. 77 odst. 3 SFEU, a tedy i zvláštního legislativního postupu, který je tímto ustanovením upraven.
58. Na druhé straně, jak tvrdí Komise, oblast působnosti subsidiárního ustanovení vyplývající z čl. 21 odst. 2 SFEU, jenž umožňuje přijímat předpisy za účelem usnadnění volného pohybu osob, pokud Smlouvy nestanoví nezbytné pravomoci, je podle všeho omezena na ty články Smlouvy o FEU, které jsou obsaženy v její hlavě IV třetí části, konkrétně na článek 45 upravující volný pohyb pracovníků a články 49 a 56 upravující právo usazování a právo poskytovat služby na území jiného členského státu. Ze systematického hlediska je to zřejmé vzhledem k riziku překrývání se, které vyplývá z ustanovení Smlouvy týkajících se na jedné straně práva občanů EU na volný pohyb a pobyt v rámci Evropské unie a na druhé straně práv na volný pohyb jako základních prvků vnitřního trhu. Judikatura Soudního dvora totiž podporuje tento výklad(38) v rozsahu, v němž je v této judikatuře stanoveno, že článek 21 SFEU nachází své zvláštní vyjádření v ustanoveních zajišťujících volný pohyb, a dále naznačuje, že pokud určitá věc spadá do působnosti jednoho z těchto ustanovení, článek 21 SFEU pozbývá své postavení coby náležitý právní základ pro přijetí předpisů za účelem usnadnění výkonu práva svobodného pohybu a pobytu(39).
59. Závěrem bych stručně poznamenala, že na základě okolnosti, že znění čl. 77 odst. 3 SFEU odkazuje konkrétně na průkazy totožnosti, jak uvádí předkládající soud, není možné považovat toto ustanovení za zvláštní ve vztahu k článku 21 odst. 2 SFEU. Ostatně čl. 77 odst. 3 SFEU odkazuje například také na povolení k pobytu, jejichž jednotný vzor, zejména pro státní příslušníky třetích zemí, byl stanoven v nařízení č. 1030/2002(40), včetně minimálních bezpečnostních prvků a povinnosti uchovávat biometrické údaje. Toto nařízení a jeho změny však byly přijaty řádným legislativním postupem na základě čl. 63 bodu 3 Smlouvy o SES, který se později stal článkem 79 SFEU, a nikoli na základě předchůdce čl. 77 odst. 3. SFEU. Je tomu tak proto, že povolení k pobytu jsou doklady, jež mají být používány uvnitř vydávajícího členského státu, a nikoli pro účely hraničních kontrol, jak je tomu také ve většině případů u vnitrostátních průkazů totožnosti.
60. Z toho vyplývá, že čl. 77 odst. 3 SFEU nepředstavuje pro účely usnadnění výkonu práva svobodně se pohybovat a pobývat na území členských států zvláštní ustanovení ve vztahu ke čl. 21 odst. 2 SFEU, a proto je splněna třetí podmínka stanovená v tomto posledně uvedeném ustanovení.
61. S ohledem na výše uvedené a vzhledem tomu, že analýza, kterou jsem předložila, ukazuje, že tři podmínky vyplývající ze znění čl. 21 odst. 2 SFEU jsou splněny, jsem dospěla k závěru, že Parlament a Rada tím, že použily toto ustanovení jakožto právní základ nařízení 2019/1157, správně přijaly toto nařízení.
62. První důvod neplatnosti uplatněný předkládajícím soudem by tedy neměl vést k tomu, že by Soudní dvůr prohlásil nařízení 2019/1157, a zejména jeho čl. 3 odst. 5, za neplatné.
B. K článkům 7 a 8 Listiny
63. Druhý důvod neplatnosti uvedený v žádosti o rozhodnutí o předběžné otázce se týká toho, zda povinnost shromažďovat a uchovávat zobrazení dvou otisků prstů v průkazech totožnosti nově vydávaných členskými státy podle čl. 3 odst. 5 nařízení 2019/1157 představuje neodůvodněné omezení článků 7 a 8 Listiny ve spojení s jejím čl. 52 odst. 1.
1. K omezení
64. Článek 7 Listiny stanoví, že každý má právo na respektování svého soukromého a rodinného života, obydlí a komunikace. Podle čl. 8 odst. 1 Listiny má každý právo na ochranu osobních údajů, které se ho týkají. Přestože tato dvě ustanovení jsou věnována dvěma různým základním právům, Soudní dvůr je tradičně uplatňuje současně, když, tak jako v projednávané věci, posuzuje soulad evropských nebo vnitrostátních předpisů upravujících zpracování osobních údajů s Listinou(41).
65. Soudní dvůr rovněž konstatoval, že respektování práva na soukromý život v souvislosti se zpracováním osobních údajů, přiznaného články 7 a 8 Listiny, se vztahuje na veškeré informace o identifikované nebo identifikovatelné fyzické osobě(42). To je zjevně případ biometrických identifikátorů, a zejména otisků prstů, o něž se jedná v nařízení 2019/1157, které obsahují jedinečné informace o fyzických osobách umožňující jejich přesnou identifikaci(43).
66. Soudní dvůr dále v rozsudku ve věci Schwarz rozhodl, že povinnost zahrnout otisky prstů do cestovních pasů nově vydaných členskými státy, která je stanovena nařízením č. 2252/2004, je třeba považovat za zpracování osobních údajů a toto zahrnutí otisků prstů představuje omezení práv zaručených články 7 a 8 Listiny(44). V souladu s názorem všech zúčastněných v projednávané věci vede toto rozhodnutí k závěru, že nařízení 2019/1157, které zavádí podobná opatření ve vztahu k vnitrostátním průkazům totožnosti, zavádí omezení obou základních práv chráněných těmito články.
67. Konkrétně by toto omezení mělo být vymezeno odkazem na dvojí opatření stanovená v čl. 3 odst. 5 nařízení 2019/1157, a to na samotné shromažďování otisků prstů – jehož postup je dále upraven v čl. 10 odst. 1 uvedeného nařízení – a definitivní zaznamenání těchto otisků prstů na vysoce zabezpečené paměťové médium v každém průkazu totožnosti nově vydávaném členskými státy(45).
68. Kromě toho, jak uvádí Parlament, je třeba vzít v úvahu opatření, které je stanoveno v čl. 10 odst. 3 nařízení 2019/1157. Dle tohoto ustanovení v podstatě platí, že veřejnoprávní orgány musí uchovávat biometrické identifikátory uchovávané pro účely personalizace průkazů totožnosti do dne převzetí tohoto průkazu jeho držitelem, nejdéle však do 90 dnů ode dne jeho vydání. Uchovávání biometrických identifikátorů uvedeným způsobem zvyšuje riziko neoprávněného přístupu veřejnoprávních orgánů k těmto identifikátorům získaným podle čl. 3 odst. 5 nařízení 2019/1157, a proto by nemělo být opomenuto při posuzování omezení práv zaručených články 7 a 8 Listiny, které toto ustanovení zavádí.
69. Konečně článek 11 nařízení 2019/1157, nazvaný „Ochrana osobních údajů a odpovědnost“, zejména jeho odstavec 6, umožňuje příslušným vnitrostátním orgánům a agenturám EU používat vnitrostátní průkazy totožnosti s uloženými otisky prstů pro účely ověření pravosti průkazu a totožnosti držitele. Opět platí, že v souvislosti s tímto použitím by mohlo dojít k ohrožení biometrických identifikátorů shromážděných podle čl. 3 odst. 5 nařízení 2019/1157.
70. Z výše uvedeného vyplývá, že Soudní dvůr by měl za účelem definování omezení práv, zaručených články 7 a 8 Listiny, zavedeného v projednávané věci a za účelem ověření toho, zda lze toto omezení odůvodnit, provést přezkum nejen s ohledem na shromažďování otisků prstů a jejich zahrnutí do vnitrostátních průkazů totožnosti nově vydávaných členskými státy, ale také s ohledem na dvě další opatření, která by vzhledem k jejich úzké vazbě na biometrické identifikátory dotčené čl. 3 odst. 5 nařízení 2019/1157, pokud jde o uchovávání a další používání, neměla být v rámci tohoto přezkumu ponechána stranou.
2. K odůvodnění omezení
71. Pokud jde o to, zda lze výše popsané omezení vyplývající z nařízení 2019/1157 odůvodnit, je třeba hned na úvod poznamenat, že čl. 8 odst. 2 Listiny umožňuje zpracování osobních údajů, pokud s tím dotčená osoba souhlasí, nebo pokud se uplatní jiný oprávněný důvod stanovený zákonem. Zde je zřejmé, že občané členských států, kteří žádají o vydání vnitrostátního průkazu totožnosti, nemohou v důsledku povinného charakteru opatření stanovených v čl. 3 odst. 5 nařízení 2019/1157 vznést námitku proti zpracování jejich otisků prstů(46). Proto je třeba ověřit, zda lze toto zpracování odůvodnit na základě jiného legitimního právního základu.
72. Soudní dvůr setrvale zastává názor, že práva přiznaná články 7 a 8 Listiny se neprojevují jako absolutní výsady, ale musí k nim být přihlédnuto ve vztahu k jejich společenské funkci(47). Článek 52 odst. 1 Listiny ve své první větě v tomto ohledu stanoví, že každé omezení výkonu práv a svobod uznaných touto listinou musí být stanoveno zákonem a respektovat podstatu těchto práv a svobod. Ve druhé větě čl. 52 odst. 1 se dále uvádí, že při dodržení zásady proporcionality mohou být omezení zavedena pouze tehdy, pokud jsou nezbytná a pokud skutečně odpovídají cílům obecného zájmu, které uznává Evropská Unie, nebo potřebě ochrany práv a svobod druhého(48).
73. V projednávané věci, jak připouští předkládající soud, nevzniká žádný problém ohledně požadavků stanovených v čl. 52 odst. 1 větě první Listiny. Ostatně omezení jejích článků 7 a 8 vyplývající z nařízení 2019/1157 jsou stanovena právním předpisem ve formě nařízení, které bylo v případě Spolkové republiky Německo dokonce provedeno do vnitrostátního práva(49). Kromě toho vzhledem k různým zárukám stanoveným v čl. 3 odst. 5, čl. 10 odst. 1 a 3 a čl. 11 odst. 6 nařízení 2019/1157, zejména pokud jde o shromažďování, uchovávání a používání otisků prstů v nově vydaných vnitrostátních průkazech totožnosti, jak popíšu později(50), je podstata práv zakotvených v obou ustanoveních respektována.
74. Nadále zůstává otevřená otázka, zda jsou tato omezení v souladu se zásadou proporcionality, a zejména, zda jsou nezbytná a zda skutečně odpovídají cílům obecného zájmu uznávaným Evropskou unií podle čl. 52 odst. 1 věty druhé Listiny.
75. Pokud jde o to, zda omezení vyplývající z nařízení 2019/1157 naplňují cíl obecného zájmu, vysvětlila jsem již v rámci své analýzy prvního důvodu neplatnosti(51),, že cílem tohoto nařízení je usnadnit výkon práva občanů EU na volný pohyb tím, že se vnitrostátní průkazy totožnosti stanou spolehlivějšími z hlediska pravosti a prokázání totožnosti. Z článku 1 nařízení 2019/1157, ve spojení mimo jiné s jeho body 4, 5, 18 a 28 odůvodnění, v podstatě vyplývá, že nejednotnost formátů a bezpečnostních prvků vnitrostátních průkazů totožnosti, zvyšuje riziko padělání a podvodů s doklady, jejichž předcházení tak představuje cíl tohoto nařízení jakožto způsob, jak podpořit přijímání těchto průkazů v jiných členských státech, než je členský stát, který je vydal.
76. Domnívám se proto, že v rozsahu, v němž má shromažďování a uchovávání otisků prstů v nově vydávaných vnitrostátních průkazech totožnosti, jak je stanoveno v čl. 3 odst. 5 nařízení 2019/1157, za cíl zabránit tomu, aby byly tyto průkazy padělány nebo podvodně použity jinými osobami než skutečným držitelem – a tím usnadnit výkon práva na volný pohyb zakotveného mimo jiné v článku 45 Listiny – sledují omezení zavedená nařízením 2019/1157 cíl obecného zájmu ve smyslu čl. 52 odst. 1 Listiny(52). Obdobný výklad přijal Soudní dvůr v rozsudku ve věci Schwarz(53), která je podle mého názoru obdobou projednávané věci.
77. Pokud jde o proporcionalitu omezení zavedených nařízením 2019/1157, z ustálené judikatury Soudního dvora vyplývá, že zásada proporcionality vyžaduje, aby akty unijních orgánů byly způsobilé k uskutečnění legitimních cílů sledovaných dotčenou právní úpravou a nepřekračovaly meze toho, co je přiměřené a nezbytné k dosažení těchto cílů(54).
78. Kromě toho, jedná-li se o zásahy do základních práv, rozsah posuzovací pravomoci unijního zákonodárce může být omezený v závislosti na řadě skutečností, mezi něž patří mimo jiné dotyčná oblast, povaha dotčeného práva zaručeného Listinou, povaha a závažnost zásahu a jeho účel(55).
79. Je pravda, že samotné získávání otisků prstů a jejich uchovávání v nově vydávaných vnitrostátních průkazech totožnosti v projednávané věci nepředstavuje z hlediska omezení práv zaručených články 7 a 8 Listiny opatření zvláštní intenzity. Ostatně získávání otisků prstů na jedné straně není úkonem intimní povahy(56) a na druhé straně biometrické identifikátory uložené v nově vydaném průkazu zůstávají podle nařízení 2019/1157 ve výlučné dispozici držitele průkazu.
80. Omezení zavedené nařízením 2019/1157 se však týká ochrany osobních údajů, která podle judikatury Soudního dvora hraje důležitou roli z hlediska základního práva na respektování soukromého života(57). Opatření, která doprovázejí získávání a uchovávání otisků prstů, jak jsem popsala v bodech 68 a 69 tohoto stanoviska, kromě toho mohou zvýšit riziko neoprávněného přístupu veřejnoprávních orgánů k biometrickým identifikátorům a jejich zneužití v tomto ohledu. Konečně, jak zdůrazňuje předkládající soud, je třeba vzít v úvahu celkový dopad nařízení 2019/1157 na obyvatele EU, neboť jím stanovená povinnost zahrnout zobrazení otisků prstů držitele do nově vydávaných průkazů totožnosti se může vzhledem ke kogentní povaze těchto průkazů ve většině členských států dotknout až 85 % občanů EU(58).
81. Ze všech těchto důvodů by měla být posuzovací pravomoc unijního normotvůrce podle mého názoru považována za omezenou, v důsledku čehož by přezkum této posuzovací pravomoci měl být důsledný. Mám tedy za to, že omezení vyplývající z nařízení 2019/1157, a zejména z jeho čl. 3 odst. 5, jsou přiměřená, nezbytná a nepřekračují rámec toho, co je nezbytné k dosažení hlavního cíle tohoto nařízení.
82. Zaprvé, pokud jde o otázku, zda je získávání a uchovávání otisků prstů v nově vydávaných vnitrostátních průkazech totožnosti způsobilé k dosažení cíle sledovaného nařízením 2019/1157, je nesporné – a Soudní dvůr to skutečně zohlednil v rozsudku ve věci Schwarz(59) – že uchovávání otisků prstů na vysoce zabezpečeném paměťovém médiu může vzhledem k jedinečné povaze otisků prstů pro účely identifikace a sofistikované technologii používané při jejich uchovávání snížit riziko padělání vnitrostátních dokladů(60). Snížením rizika padělání vnitrostátních průkazů totožnosti se zvýší přijímání těchto průkazů v jiných členských státech, než je členský stát, který je vydal, což v konečném důsledku usnadní výkon práva občanů EU na volný pohyb(61). Z tohoto hlediska se domnívám, že by neměly přetrvávat jakékoli pochybnosti o způsobilosti použití otisků prstů k dosažení cíle nařízení 2019/1157(62).
83. Předkládající soud nicméně připomíná, že shromažďování a uchovávání otisků prstů umožňuje pouze ověření toho, zda biometrické údaje obsažené v konkrétním vnitrostátním průkazu totožnosti odpovídají biometrickým údajům jeho držitele, nikoli však identifikaci této osoby jako takové. Podle jeho názoru lze tuto identifikaci provést pouze porovnáním biometrických údajů uložených v průkazu totožnosti na straně jedné a biometrických údajů uložených v databázi absolutně zabezpečené proti padělání na straně druhé. Z tohoto hlediska si předkládající soud přeje zjistit to, zda povinné zahrnutí otisků prstů do vnitrostátních průkazů totožnosti může splnit cíl nařízení 2019/1157.
84. V tomto ohledu zdůrazňuji, že argumentace předkládajícího soudu není způsobilá zpochybnit skutečnost, že zahrnutí otisků prstů do vnitrostátních průkazů totožnosti je samo o sobě účinným prostředkem ke zvýšení úrovně pravosti a spolehlivosti těchto průkazů a zvýšit jejich přijímání při výkonu práva volného pohybu. Tato argumentace se opírá pouze o předpoklad, že zahrnutí otisků prstů do vnitrostátních průkazů totožnosti nemusí být zcela spolehlivé, neboť je lze stále padělat a pozměňovat, což znamená, že cíle sledovaného nařízením 2019/1157 nelze plně dosáhnout.
85. Existence absolutního zabezpečení vnitrostátních průkazů totožnosti proti padělání po přijetí nařízení 2019/1157, včetně opatření uložených jeho čl. 3 odst. 5, je otázkou, kterou nelze posoudit na základě důkazů, jež má Soudní dvůr k dispozici. Z rozsudku ve věci Schwarz nicméně vyplývá, že na základě okolnosti, že metoda boje proti padělání a podvodnému používání není zcela spolehlivá, nelze tuto metodu považovat za nezpůsobilou pro účely výkladu čl. 52 odst. 1 Listiny. Ve skutečnosti stačí, že metoda výrazně snižuje riziko padělání, které by existovalo, kdyby tatáž metoda použita nebyla(63).
86. Proto i když shromažďování a uchovávání otisků prstů v nově vydávaných občanských průkazech nelze považovat za opatření absolutně odolné proti padělání, nezpochybňuje to jejich způsobilost pro účely předcházení padělání a podvodům s doklady, a tím usnadnění výkonu práva občanů EU na volný pohyb. Uvedené nezpochybňuje ani okolnost – na kterou poukázal rovněž předkládající soud – že shromažďování a zahrnutí otisků prstů do průkazů totožnosti se uplatní pouze u nově vydávaných průkazů a staré průkazy budou nadále dočasně platné(64). I v tomto případě totiž postupné zavádění tohoto opatření ve vztahu k vnitrostátním průkazům totožnosti snižuje riziko padělání vnitrostátních dokladů a postupně napomáhá k dosažení cíle nařízení 2019/1157.
87. Zadruhé, pokud jde o otázku, zda je získávání a uchovávání otisků prstů v průkazech totožnosti rovněž nezbytné – tedy že k dosažení téhož legitimního cíle neexistuje žádná stejně vhodná, avšak méně obtěžující metoda – předkládající soud uvádí dvě hlavní alternativy k tomuto opatření, z nichž první je podrobně přezkoumána Komisí v posouzení dopadů připojeném k návrhu nařízení(65).
88. První alternativou by skutečně bylo omezení požadavků na ochranu proti padělání na zobrazení obličeje držitele průkazu, což je metoda, která by rovněž sloužila k harmonizaci různých bezpečnostních norem pro vnitrostátní průkazy totožnosti na vnitrostátní úrovni.
89. V tomto ohledu jsem poukázala na to, že Soudní dvůr již rozhodl, že opatření spočívající v odebrání otisků prstů není, stejně jako je tomu v případě zobrazení obličeje, úkonem intimní povahy. Tento úkon není pro dotyčnou osobu ani zvláště fyzicky nebo psychicky nepříjemný, podobně jako pořízení zobrazení obličeje(66). Soudní dvůr dále konstatoval, že ačkoli odebrání otisků prstů doplňuje pořízení zobrazení obličeje, na kumulaci obou úkonů určených k identifikaci osob nelze a priori nahlížet tak, že sama o sobě vede k výraznějšímu zásahu do práv přiznaných články 7 a 8 Listiny, než kdyby byly tyto úkony posuzovány izolovaně(67).
90. Navíc vzhledem k tomu, že anatomické rysy obličeje určité osoby se mohou výrazně změnit v důsledku různých peripetií v jejím životě, jako je stárnutí nebo propuknutí nemoci, pouhé porovnání zobrazení obličeje na vnitrostátním průkazu totožnosti s obličejem držitele karty může vést k nesprávné identifikaci s větší pravděpodobností než ověření zobrazení obličeje na vnitrostátním průkazu totožnosti a otisků prstů téhož držitele. Německá vláda v tomto ohledu upozorňuje, že i shoda biometrického zobrazení může být zavádějící díky moderním morfingovým technikám, které spojují různá zobrazení obličeje do jediného.
91. Proto ani manuální, ani automatizované porovnání zobrazení obličeje na vnitrostátních průkazech totožnosti s obličejem jeho držitele(68), což byly metody používané členskými státy před přijetím nařízení 2019/1157, nemůže poskytnout efektivnější výsledek než kombinace biometrických identifikátorů uvedených v čl. 3 odst. 5 téhož nařízení, tedy zobrazení obličeje držitele průkazu a dva otisky prstů(69). Mám za to, že k podobnému závěru lze dospět v případě kombinace zobrazení obličeje držitele průkazu totožnosti pouze s hologramy nebo vodoznaky, jak tvrdí také předkládající soud.
92. Druhou alternativou by bylo uchovávání menšího množství údajů o otiscích prstů v podobě tzv. minucií, nebo povinnost odebrat jeden otisk prstu. V tomto ohledu je třeba vysvětlit, že zahrnutí minucií do vnitrostátních průkazů totožnosti by v prvním kroku vyžadovalo odebrání celého otisku prstu a následně v dalším kroku extrakci těchto minucií, což znamená, že kromě získávání a uchovávání jednotlivých otisků prstů by muselo být prováděno rozsáhlejší zpracování údajů. Z tohoto důvodu se domnívám, že uvedenou metodu nelze považovat za méně obtěžující.
93. Dle odborné literatury navíc uchovávání minucií patrně nenabízí při ověřování totožnosti stejnou úroveň zabezpečení jako použití úplných otisků prstů(70), což je aspekt, který lze připojit k obavám, jež vyvolává používání minucií z hlediska interoperability. V tomto ohledu, jak zdůraznila většina zúčastněných v průběhu jednání, na evropské ani na vnitrostátní úrovni neexistuje žádný zavedený jednotný postup, a dokonce ani dostupný software, pro načítání minucií z vnitrostátních průkazů totožnosti, což by zvýšilo nepřekonatelnou zátěž pro výměnu údajů mezi vnitrostátními orgány(71).
94. Totéž platí například i v mezinárodní oblasti, kde pro použití průkazů totožnosti v mezinárodní letecké dopravě musí být splněny specifikace dokumentu Mezinárodního úřadu pro civilní letectví 9303(72). V těchto specifikacích se stanoví, že pokud určitý stát vyžaduje zahrnutí otisků prstů do strojově čitelných cestovních dokladů, je uchovávání zobrazení otisků prstů povinné, aby byla umožněna globální interoperabilita(73). Uchovávání minucií tyto požadavky nesplňuje.
95. Pokud jde o odebrání a uchovávání jednoho otisku prstu, přikláním se k názoru, že ačkoli je objem uložených údajů menší než při uchovávání dvou otisků prstů, tato metoda není stejně vhodná, neboť má za následek nižší spolehlivost. Příkladem by v tomto ohledu mohl být případ, kdy dojde k chybnému odebrání otisku prstu, nebo kdy je prst, jehož otisk byl odebrán, poraněn. V každém případě z judikatury Soudního dvora vyplývá, že i odebrání většího počtu otisků prstů lze považovat za přiměřené(74).
96. Z výše uvedených úvah vyplývá, že patrně neexistuje stejně vhodná, avšak méně obtěžující metoda ve srovnání s odebíráním a uchováváním otisků prstů, jak podobně účinným způsobem dosáhnout cíle nařízení 2019/1157.
97. Zatřetí, aby byl čl. 3 odst. 5 nařízení 2019/1157 odůvodněn vzhledem ke svému cíli, zpracování odebraných otisků prstů by nemělo překračovat meze toho, co je k uskutečnění uvedeného cíle nezbytné. V tomto ohledu je třeba uvést, že zákonodárce se musí ujistit, že existují specifické záruky pro účinnou ochranu těchto údajů proti nevhodnému a zneužívajícímu zpracování(75). Toto odůvodnění lze přijmout pouze tehdy, jsou-li stanovena konkrétní omezení potencionálních hrozeb, aby se zabránilo jakémukoli zneužití(76).
98. V projednávané věci je třeba zdůraznit, že čl. 3 odst. 5 a 6 a články 10 a 11 nařízení 2019/1157 stanoví jasný právní rámec pro shromažďování, uchovávání a používání biometrických identifikátorů, zejména otisků prstů(77).
99. Zaprvé podmínky odebírání otisků prstů, jsou stanoveny zejména v článku 10 nařízení 2019/1157. V tomto ustanovení je výslovně uvedeno, že biometrické identifikátory mohou být odebírány výlučně kvalifikovanými a řádně zmocněnými pracovníky, které předem určí orgány příslušné pro vydávání průkazů totožnosti, výlučně za účelem jejich uložení na vysoce zabezpečeném paměťovém médiu podle čl. 3 nařízení 2019/1157. Mimoto členské státy musí zajistit zavedení vhodných a účinných postupů pro odebírání biometrických identifikátorů a tyto postupy musí být v souladu s právy a zásadami stanovenými nejen v Listině, ale také v Evropské úmluvě o lidských právem a Úmluvě o právech dítěte(78). Tyto postupy musí také v případě nastalých obtíží respektovat důstojnost dotčené osoby.
100. Zadruhé, pokud jde o uchovávání biometrických identifikátorů po jejich odebrání, čl. 3 odst. 6 nařízení 2019/1157 výslovně stanoví, že paměťové médium průkazu totožnosti musí mít schopnost zaručit integritu, pravost a důvěrnost údajů, které musí být zabezpečené v souladu s prováděcím rozhodnutím C(2018)7767(79). Dále podle čl. 10 odst. 3 tohoto nařízení musí být uchovávání biometrických identifikátorů po jejich odebrání veřejnoprávními orgány omezeno na dobu mezi shromážděním údajů a datem vydání průkazu totožnosti a v žádném případě nesmí přesáhnout 90 dnů ode dne jeho vydání. Během této lhůty musí být údaje uchovávány vysoce zabezpečeným způsobem. Po uplynutí této lhůty musí být odebrané otisky prstů vymazány nebo zničeny.
101. Zatřetí přístup k otiskům prstů uchovávaným na paměťovém médiu je podle článku 11 nařízení 2019/1157 také velmi omezený. Přístup k nim mají pouze řádně zmocnění pracovníci příslušných orgánů(80) a přístup je možný, pouze pokud je předložení průkazu totožnosti vyžadováno unijními nebo vnitrostátními právními předpisy. Dále jediným účelem tohoto přístupu musí být ověření pravosti průkazu totožnosti nebo totožnosti držitele. Navíc kontrola zobrazení obličeje je primárním cílem ověření pravosti dokumentu a totožnosti držitele, což v obecné praxi znamená, že by členské státy měly ověřovat otisky prstů pouze v případě, kdy je nutné potvrdit pravost dokladu a totožnost držitele nad veškerou pochybnost(81).
102. S ohledem na výše uvedené mám za to, že nařízení 2019/1157 nabízí dostatečná a vhodná opatření, která zaručují, že shromažďování, zpracování a použití biometrických identifikátorů, zejména otisků prstů, je účinně chráněno proti nevhodnému použití a zneužití.
103. Konkrétně mají tato patření zajistit, že postupy odebírání jsou prováděny omezeným počtem specializovaných pracovníků a členskými státy jsou předem pečlivě upraveny tak, aby byla dodržována základní práva a respektována důstojnost dotčených osob. Zaručují rovněž, že biometrické identifikátory uchovávané v nově vydávaných dokladech zůstanou po vydání tohoto dokladu ve výlučné dispozici držitele dokladu a nejsou veřejně přístupné(82). Biometrické identifikátory jsou uchovávány veřejnoprávními orgány pouze pro účely vydání dokladu totožnosti, a to vysoce zabezpečeným způsobem, a žádný další přístup není povolen ani jim ani jiným osobám. V případě, že tento doklad nebude vydán, musí být biometrické identifikátory v každém případě vymazány nebo zničeny po uplynutí jasně stanovené a opodstatněné doby jejich uchovávání veřejnoprávními orgány. Nakonec opatření zavedená nařízením 2019/1157 potvrzují, že biometrické identifikátory jsou přístupné a jsou používány za striktně omezených okolností, přičemž tyto okolnosti musí být v souladu s hlavním účelem tohoto nařízení předem vymezeny právními předpisy, výhradně pro účely ověření pravosti dokladu a totožnosti jeho držitele.
104. Pro úplnost bych ráda odkázala na úvodní podmínku uvedenou v čl. 10 odst. 3 nařízení 2019/1157, která byla předmětem několika otázek položených Soudním dvorem během jednání. Jak jsem již zmínila, první věta čl. 10 odst. 3 nařízení 2019/1157 obsahuje před odkazem na dočasné uchovávání otisků prstů veřejnoprávními orgány a na povinnost uchovávat tyto biometrické identifikátory vysoce zabezpečeným způsobem podmínku, která zní „[p]okud to není nutné pro zpracovávání údajů v souladu s unijním a vnitrostátním právem“. Tato podmínka vyplývá z interinstitucionálního vyjednávání – neboli trialogu – vedeného mezi Parlamentem, Radou a Komisí v průběhu řádného legislativního postupu, který vedl k přijetí nařízení 2019/1157(83).
105. V tomto ohledu je pravda, že tato podmínka by mohla naznačovat, že veřejnoprávní orgány mohou uchovávat biometrické identifikátory, jako jsou otisky prstů, po jejich získání po dobu delší, než je doba vymezená v čl. 10 odst. 3 nařízení 2019/1157, a tyto orgány je mohou používat pro další účely, které nejsou v tomto nařízení přesně vymezeny, jako je například vytváření vnitrostátních databází.
106. Pozorný rozbor čl. 10 odst. 3 nařízení 2019/1157 však ukazuje, že tato podmínka nevytváří žádný právní základ pro jiné účely než pro ty, které jsou tímto nařízením výslovně stanoveny. Uvedená podmínka totiž výslovně odkazuje na další právní předpisy, ať již Evropské unie nebo členských států, což znamená, že jakékoli omezení práv zaručených články 7 a 8 Listiny je třeba zkoumat pouze s ohledem na tyto právní předpisy, a nikoli jako omezení, které je v nařízení 2019/1157 obsaženo samostatně. Toto pojetí je obzvláště posíleno v případě zohlednění bodu 21 odůvodnění nařízení 2019/1157(84), v němž se jednoznačně uvádí, že toto nařízení nevytváří právní základ pro zřízení či provoz databází na vnitrostátní úrovni pro uchovávání biometrických údajů v členských státech, což je záležitost vnitrostátního práva, jež musí být v souladu s unijním právem v oblasti ochrany údajů. Tentýž bod odůvodnění dále uvádí, že toto nařízení neposkytuje právní základ pro zřízení či provoz centralizované databáze na unijní úrovni.
107. Z tohoto důvodu se nedomnívám, že by úvodní podmínka uvedená čl. 10 odst. 3 nařízení 2019/1157 mohla zpochybnit závěr uvedený v bodě 101 výše, že nařízení 2019/1157 nabízí dostatečné záruky pro předcházení nevhodnému a zneužívajícímu zpracování biometrických identifikátorů, zejména digitálních otisků prstů.
108. S ohledem na výše uvedené jsem dospěla k závěru, že nařízení 2019/1157, a zejména jeho čl. 3 odst. 5, nepředstavuje neodůvodněné omezení článků 7 a 8 Listiny ve spojení s jejím čl. 52 odst. 1.
109. Druhý důvod neplatnosti uplatněný předkládajícím soudem by tedy neměl vést k tomu, že by Soudní dvůr prohlásil nařízení 2019/1157 za neplatné.
C. K článku 35 odst. 10 GDPR
110. Podstatou třetího důvodu neplatnosti uplatněného předkládajícím soudem je to, zda je čl. 3 odst. 5 nařízení 2019/1157 v rozporu s čl. 35 odst. 10 GDPR. V souladu s názorem, který zaujal EIOÚ ve svém stanovisku ze dne 10. srpna 2018(85), tento soud vyjadřuje pochybnosti stran toho, zda unijní normotvůrce neměl při přijímání nařízení 2019/1157 provést posouzení vlivu na ochranu osobních údajů.
111. Článek 35 GDPR je obsažen v kapitole IV tohoto nařízení, nadepsané „Správce a zpracovatel“, konkrétně v oddíle 3 který se týká posouzení vlivu na ochranu údajů a předchozí konzultace.
112. Podle odstavce 1 tohoto článku platí, že pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude mít za následek vysoké riziko pro práva a svobody fyzických osob, správce musí před zpracováním provést posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů. Odstavce 2 až 7 téhož ustanovení dále rozvádějí obsah povinnosti správců provést posouzení vlivu, zejména stanovením případů, kdy je toto posouzení vyžadováno, a popisem minimálních prvků, které musí toto posouzení obsahovat.
113. Naproti tomu čl. 35 odst. 10 GDPR stanoví z povinnosti provést posouzení vlivu výjimku, a to za předpokladu, že jsou splněny podmínky uvedené v tomto ustanovení. Je tomu tak zejména pokud i) je zpracování údajů nezbytné pro splnění právní povinnosti, která se na správce vztahuje, ii) toto právo upravuje konkrétní operaci nebo soubor operací zpracování a iii) posouzení vlivu na ochranu osobních údajů již bylo provedeno jakožto součást obecného posouzení dopadů v souvislosti s přijetím uvedeného právního předpisu.
114. Ve vztahu k projednávané věci musím hned na úvod poznamenat, že ačkoli předkládající soud uvádí, že porušení, ve vztahu k němuž je uplatňován tento důvod neplatnosti, je založeno na čl. 35 odst. 10 GDPR, z údajů uvedených v předkládacím usnesení vyplývá, že tento důvod je ve skutečnosti založen na porušení čl. 35 odst. 1 GDPR. Právě posledně uvedené ustanovení totiž ukládá správcům údajů ve smyslu čl. 4 odst. 7 GDPR povinnost provést posouzení vlivu, pokud existuje vysoké riziko pro práva a svobody fyzických osob. Právě tato povinnost se podle předkládajícího soudu vztahovala na unijního normotvůrce při přijímání nařízení 2019/1157 a podle téhož soudu patrně nebyla splněna.
115. Dále je třeba uvést, že GDPR a nařízení 2019/1157 jsou akty sekundárního práva, které jsou v hierarchii pramenů unijního práva rovnocenné. To znamená, že na rozdíl od toho, co uvádí předkládající soud ve své otázce, GDPR nelze ve vztahu k nařízení 2019/1157 považovat za „právní předpis vyšší právní síly“. V tomto ohledu z judikatury Soudního dvora v podstatě vyplývá, že pokud akt sekundárního práva neobsahuje ustanovení, které by výslovně upravovalo přednost před jiným aktem, nelze platnost druhého z nich posuzovat ve světle prvního. V takovém případě je pouze třeba zajistit takové použití každého z těchto aktů, které bude slučitelné s použitím druhého z nich, a umožní tak jejich konzistentní uplatňování(86).
116. Co se týče nařízení 2019/1157, konstatuji, že v něm, zejména v jeho článku 11, jsou obsaženy výslovné vazby na GDPR, pokud jde o ochranu osobních údajů. Z tohoto ustanovení, které je třeba vykládat ve světle bodů 40, 41 a 43 odůvodnění téhož nařízení, je zřejmé, že GDPR se použije ve vztahu k osobním údajům, které mají být zpracovávány v souvislosti s uplatňováním nařízení 2019/1157. Konkrétně z čl. 11 odst. 2 tohoto nařízení vyplývá, že orgány příslušné k vydávání průkazů totožnosti musí být považovány za správce uvedeného ve smyslu čl. 4 odst. 7 GDPR a musí odpovídat za zpracování osobních údajů. Kromě toho čl. 11 odst. 3 nařízení 2019/1157 ukládá členským státům povinnost zajistit, aby dozorové úřady mohly plně vykonávat své úkoly podle GDPR a měly mimo jiné přístup například ke všem osobním údajům a do všech prostor příslušných orgánů a k jejich veškerým zařízením pro zpracování údajů.
117. Z nařízení 2019/1157 vyplývá, že GDPR může ukládat povinnosti vnitrostátním úřadům a příslušným orgánům, pokud provádějí nařízení 2019/1157. Unijní orgány a vlády, které vystupují v řízení před Soudním dvorem jako vedlejší účastníci, tento aspekt připouštějí. Přitom z GDPR nijak nevyplývá, že by povinnost provést posouzení vlivu, jak je stanovena v jeho čl. 35 odst. 1, byla pro unijního normotvůrce závazná, a toto ustanovení ani nezavádí žádné kritérium, podle něhož by měla být posuzována například platnost jiné normy sekundárního práva Evropské unie.
118. S ohledem na výše uvedené jsem tedy dospěla k závěru, že čl. 35 odst. 1 GDPR se na unijního zákonodárce při přijímání normy sekundárního práva nevztahuje, a z tohoto důvodu nelze legislativní proces vedoucí k přijetí nařízení 2019/1157, a zejména jeho čl. 3 odst. 5, považovat za porušení požadavku na provedení posouzení vlivu.
119. Z výše uvedených úvah vyplývá, že třetí důvod neplatnosti uplatněný předkládajícím soudem by tedy neměl vést k tomu, že by Soudní dvůr prohlásil nařízení 2019/1157 za neplatné.
120. Přezkum předběžné otázky položené předkládajícím soudem neodhalil žádnou skutečnost, kterou by mohla být dotčena platnost nařízení 2019/1157, a zejména jeho čl. 3 odst. 5.
V. Závěry
121. Vzhledem ke všem výše uvedeným úvahám navrhuji, aby Soudní dvůr odpověděl na otázku položenou Verwaltungsgericht Wiesbaden (správní soud ve Wiesbadenu, Německo) následovně:
„Přezkum předběžné otázky neodhalil žádnou skutečnost, kterou by mohla být dotčena platnost nařízení 2019/1157, a zejména jeho čl. 3 odst. 5.“