ROZSUDEK SOUDNÍHO DVORA (velkého senátu)

21. března 2024(*)

„Řízení o předběžné otázce – Nařízení (EU) 2019/1157 – Posílení zabezpečení průkazů totožnosti občanů Evropské unie – Platnost – Právní základ – Článek 21 odst. 2 SFEU – Článek 77 odst. 3 SFEU – Nařízení (EU) 2019/1157 – Článek 3 odst. 5 – Povinnost členských států zaznamenávat do paměťového média průkazů totožnosti dva otisky prstů v interoperabilních digitálních formátech – Článek 7 Listiny základních práv Evropské unie – Respektování soukromého a rodinného života – Článek 8 Listiny základních práv – Ochrana osobních údajů – Nařízení (EU) 2016/679 – Článek 35 – Povinnost provést posouzení vlivu na ochranu osobních údajů – Zachování časových účinků nařízení prohlášeného za neplatné“

Ve věci C‑61/22,

jejímž předmětem je žádost o rozhodnutí o předběžné otázce podaná na základě článku 267 SFEU rozhodnutím Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu, Německo) ze dne 13. ledna 2022, došlým Soudnímu dvoru dne 1. února 2022, v řízení

RL

proti

Landeshauptstadt Wiesbaden

SOUDNÍ DVŮR (velký senát),

ve složení: K. Lenaerts, předseda, L. Bay Larsen, místopředseda, A. Arabadžev, A. Prechal, E. Regan (zpravodaj), T. von Danwitz, F. Biltgen a Z. Csehi, předsedové senátů, J.-C. Bonichot, S. Rodin, D. Gratsias, M. L. Arastey Sahún a M. Gavalec, soudci,

generální advokátka: L. Medina,

za soudní kancelář: D. Dittert, vedoucí oddělení,

s přihlédnutím k písemné části řízení a po jednání konaném dne 14. března 2023,

s ohledem na vyjádření, která předložili:

–        za RL: W. Achelpöhler, Rechtsanwalt,

–        za německou vládu: J. Möller a P.-L. Krüger, jako zmocněnci,

–        za belgickou vládu: P. Cottin a A. Van Baelen, jako zmocněnci, ve spolupráci s: P. Wytinck, advocaat,

–        za španělskou vládu: L. Aguilera Ruiz, jako zmocněnec,

–        za polskou vládu: B. Majczyna, jako zmocněnec,

–        za Evropský parlament: G. C. Bartram, P. López-Carceller a J. Rodrigues, jako zmocněnci,

–        za Radu Evropské unie: M. França a Z. Šustr, jako zmocněnci,

–        za Evropskou komisi: H. Kranenborg, E. Montaguti a I. Zaloguin, jako zmocněnci,

po vyslechnutí stanoviska generální advokátky na jednání konaném dne 29. června 2023,

vydává tento

Rozsudek

1        Žádost o rozhodnutí o předběžné otázce se týká platnosti nařízení Evropského parlamentu a Rady (EU) 2019/1157 ze dne 20. června 2019 o posílení zabezpečení průkazů totožnosti občanů Unie a povolení k pobytu vydávaných občanům Unie a jejich rodinným příslušníkům, kteří vykonávají své právo volného pohybu (Úř. věst. 2019, L 188, s. 67), a zejména jeho čl. 3 odst. 5.

2        Tato žádost byla předložena v rámci sporu mezi RL a Landeshauptstadt Wiesbaden (město Wiesbaden, hlavní město spolkové země, Německo) (dále jen „město Wiesbaden“) ohledně zamítnutí žádosti RL tímto městem o vydání průkazu totožnosti bez jeho otisků prstů.

I.      Právní rámec

A.      Unijní právo

1.      Nařízení 2019/1157

3        Body 1, 2, 4, 5, 17 až 21, 23, 26 až 29, 32, 33, 36, 40 až 42 a 46 odůvodnění nařízení 2019/1157 znějí takto:

„(1)      Smlouva o [EU] má za cíl usnadnit volný pohyb osob a zároveň zajišťovat bezpečnost a ochranu národů Evropy vytvořením prostoru svobody, bezpečnosti a práva v souladu s ustanoveními Smlouvy o [EU] a Smlouvy o [FEU].

(2)      Občanství [Evropské] unie přiznává každému občanu Unie právo volného pohybu s výhradou určitých omezení a podmínek. Směrnicí [Evropského parlamentu a Rady] 2004/38/ES [ze dne 29. dubna 2004 o právu občanů Unie a jejich rodinných příslušníků svobodně se pohybovat a pobývat na území členských států, o změně nařízení (EHS) č. 1612/68 a o zrušení směrnic 64/221/EHS, 68/360/EHS, 72/194/EHS, 73/148/EHS, 75/34/EHS, 75/35/EHS, 90/364/EHS, 90/365/EHS a 93/96/EHS (Úř. věst. 2004, L 158, s. 77; Zvl. vyd. 05/05, s. 46)] se toto právo provádí. Článek 45 Listiny základních práv Evropské unie (dále jen „Listina“) rovněž stanoví volný pohyb a pobyt. Volný pohyb zahrnuje právo opustit území členského státu a vstoupit na něj s platným průkazem totožnosti nebo cestovním pasem.

[…]

(4)      Směrnice [2004/38] stanoví, že členské státy mohou přijmout potřebná opatření k odepření, pozastavení nebo odnětí jakéhokoliv práva přiznaného uvedenou směrnicí v případě zneužití práv nebo podvodu. Jako typické případy podvodu podle uvedené směrnice se uvádí padělání dokladů nebo nepravdivé doložení hmotněprávních skutečností týkajících se podmínek spojených s právem pobytu.

(5)      V úrovni zabezpečení vnitrostátních průkazů totožnosti vydávaných členskými státy a povolení k pobytu pro občany Unie, kteří pobývají v jiném členském státě, a pro jejich rodinné příslušníky existují značné rozdíly. Tyto rozdíly zvyšují riziko padělání dokladů a podvodů s nimi a rovněž způsobují praktické obtíže občanům, kteří chtějí uplatnit právo na volný pohyb. Ze statistik Evropské sítě pro analýzu rizik podvodů s doklady vyplývá, že počet případů padělání průkazů totožnosti se postupně zvyšuje.

[…]

(17)      Bezpečnostní prvky jsou nezbytné pro ověření pravosti dokladu a pro zjištění totožnosti osoby. Zavedení minimálních bezpečnostních norem a začlenění biometrických údajů do průkazů totožnosti a pobytových karet rodinných příslušníků, kteří nejsou státními příslušníky žádného členského státu, je důležitým krokem k zajištění větší bezpečnosti jejich používání v Unii. Zahrnutí takových biometrických identifikátorů by občanům Unie mělo umožnit plně využívat jejich práva volného pohybu.

(18)      Uchovávání zobrazení obličeje a dvou otisků prstů (dále jen ‚biometrické údaje‘) v průkazech totožnosti a pobytových kartách, jak je již stanoveno u biometrických pasů a povolení k pobytu státních příslušníků třetích zemí, představuje vhodnou kombinaci spolehlivé identifikace a ověření pravosti s nižším rizikem podvodu v zájmu lepšího zabezpečení průkazů totožnosti a pobytových karet.

(19)      Členské státy by měly při ověřování pravosti dokladu a totožnosti jeho držitele jako standardní postup primárně ověřovat zobrazení obličeje, a pokud je nutné potvrdit pravost dokladu a totožnost držitele nad veškerou pochybnost, měly by rovněž ověřovat otisky prstů.

(20)      Členské státy by měly zajistit, aby v případech, kdy ověření biometrických údajů nepotvrdí pravost dokladu nebo totožnost jeho držitele, platila povinnost provést manuální kontrolu kvalifikovaným pracovníkem.

(21)      Toto nařízení nevytváří právní základ pro zřízení či provoz databází na vnitrostátní úrovni pro uchovávání biometrických údajů v členských státech, což je záležitost vnitrostátního práva, jež musí být v souladu s právem Unie v oblasti ochrany údajů. Toto nařízení rovněž neposkytuje právní základ pro zřízení či provoz centralizované databáze na úrovni Unie.

[…]

(23)      Pro účely tohoto nařízení by měly být zohledněny specifikace dokumentu [Mezinárodní organizace pro civilní letectví (ICAO)] 9303, které zajišťují globální interoperabilitu, mimo jiné pokud jde o strojové čtení a využití vizuální kontroly.

[…]

(26)      Členské státy by měly zajistit zavedení vhodných a účinných postupů pro odebírání biometrických identifikátorů, a soulad těchto postupů s právy a zásadami stanovenými v Listině, Úmluvě o ochraně lidských práv a základních svobod Rady Evropy [podepsané v Římě dne 4. listopadu 1950] a Úmluvě Organizace spojených národů o právech dítěte [přijaté Valným shromážděním Organizace spojených národů dne 20. listopadu 1989 (Recueil des traités des Nations unies, sv. 1577, s. 3), která vstoupila v platnost dne 2. září 1990]. Členské státy by měly zajistit, aby během postupu odebírání biologických [biometrických] identifikátorů stál na prvním místě nejlepší zájem dítěte. Kvalifikovaní pracovníci by proto měli být vhodně proškoleni o postupech při odebírání biometrických identifikátorů, které berou ohled na potřeby dětí.

(27)      Pokud se členské státy při odebírání biometrických identifikátorů setkají s obtížemi, zajistí, aby existovaly vhodné postupy respektující důstojnost dotčené osoby. Proto je třeba zohlednit genderové aspekty a specifické potřeby dětí a zranitelných osob.

(28)      Zavedení minimálních norem zabezpečení a formátu průkazů totožnosti by mělo členským státům poskytnout dostatečnou jistotu ohledně pravosti těchto dokladů, když občané Unie vykonávají své právo volného pohybu. Zavedení přísnějších bezpečnostních norem by mělo veřejnoprávním orgánům a soukromoprávním subjektům poskytnout dostatečné záruky, aby se mohly spolehnout na pravost průkazů totožnosti, jimiž občané Unie prokazují svoji totožnost.

(29)      Společný rozlišovací znak, který má podobu kódu země tvořeného dvěma písmeny vydávajícího členského státu, vytištěného inverzně na modrém obdélníku v kruhu tvořeném dvanácti žlutými hvězdami, usnadní vizuální kontrolu dokladu, zejména pokud jeho držitel vykonává své právo na volný pohyb.

[…]

(32)      Členské státy by měly přijmout veškerá nezbytná opatření k tomu, aby biometrické údaje správně identifikovaly osobu, jíž je průkaz totožnosti vydán. Za tím účelem členské státy zváží odebírání biometrických identifikátorů, zejména zobrazení obličeje, přímo na místě vnitrostátními orgány vydávajícími průkazy totožnosti.

(33)      Členské státy by si měly vzájemně vyměňovat informace, které jsou nezbytné k přístupu, ověření pravosti a ověření informací obsažených na zabezpečeném paměťovém médiu. Formáty používané pro zabezpečené paměťové médium by měly být interoperabilní, a to i ve vztahu k automatizovaným hraničním přechodům.

[…]

(36)      Povolení k pobytu vydávaná občanům Unie by měla obsahovat konkrétní informace, díky nimž budou jako taková identifikována ve všech členských státech. To by mělo usnadnit uznávání využívání práva volného pohybu občanů Unie a práv s ním spojených, ale harmonizace by neměla překročit rámec toho, co je vhodné pro řešení nedostatků stávajících dokladů. Členské státy si mohou zvolit formát, v němž jsou tyto doklady vydávány, a měly by mít možnost je vydávat ve formátu, který je v souladu se specifikacemi dokumentu ICAO 9303.

[…]

(40)      Nařízení Evropského parlamentu a Rady (EU) 2016/679 [ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“] se použije s ohledem na zpracovávané osobní údaje v souvislosti s použitím tohoto nařízení. Je nutné dále specifikovat ochranná opatření vztahující se na zpracovávané osobní údaje, a zejména na citlivé údaje, jako jsou například biometrické identifikátory. Subjekty údajů by měly být dobře obeznámeny s existencí paměťového média v jejich dokladech, které obsahuje jejich biometrické údaje, včetně jejich bezkontaktní dostupnosti, jakož i o všech případech, kdy jsou údaje obsažené v jejich průkazech totožnosti a povoleních k pobytu použity. V každém případě by subjekty údajů měly mít přístup k osobním údajům, které jsou zpracovávány v jejich průkazech totožnosti a povoleních k pobytu, a měly by mít právo na jejich opravu prostřednictvím vydání nového dokladu, pokud jsou tyto údaje chybné nebo neúplné. Paměťové médium by mělo být vysoce zabezpečené a účinně chránit na něm uchovávané osobní údaje před neoprávněným přístupem.

(41)      Členské státy by měly odpovídat za řádné zpracování biometrických údajů od jejich odebrání až po jejich uložení na vysoce zabezpečeném paměťovém médiu v souladu s [GDPR].

(42)      Členské státy by měly zachovávat zvláštní obezřetnost při spolupráci s externím poskytovatelem služeb. Tato spolupráce by neměla vylučovat odpovědnost členských států vyplývající z unijního a vnitrostátního práva v případě porušení povinností týkajících se osobních údajů.

[…]

(46)      Jelikož cílů tohoto nařízení, totiž zvýšení bezpečnosti a zjednodušení výkonu práva na volný pohyb občanů Unie a jejich rodinných příslušníků, nemůže být dosaženo uspokojivě členskými státy, ale spíše jich z důvodu rozsahu a účinků může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 [SEU]. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení těchto cílů.“

4        Článek 1 nařízení 2019/1157, nadepsaný „Předmět“, stanoví:

„Toto nařízení posiluje bezpečnostní normy vztahující se na průkazy totožnosti, které vydávají členské státy svým státním příslušníkům, a na povolení k pobytu, která vydávají členské státy občanům Unie a jejich rodinným příslušníkům při výkonu jejich práva volného pohybu.“

5        Článek 2 tohoto nařízení, nadepsaný „Oblast působnosti“, stanoví:

„Toto nařízení se vztahuje na:

a)      průkazy totožnosti vydávané členskými státy jejich státním příslušníkům, jak je uvedeno v čl. 4 odst. 3 směrnice [2004/38].

Toto nařízení se nevztahuje na dočasné doklady totožnosti, jejichž doba platnosti je kratší než šest měsíců.

b)      osvědčení o registraci vydávaná v souladu s článkem 8 směrnice [2004/38] občanům Unie pobývajícím v hostitelském členském státě déle než tři měsíce a doklady osvědčující trvalý pobyt vydávané v souladu s článkem 19 směrnice [2004/38] na požádání občanům Unie;

c)      pobytové karty vydávané v souladu s článkem 10 směrnice [2004/38] rodinným příslušníkům občanů Unie, kteří nejsou státními příslušníky žádného členského státu, a karty trvalého pobytu vydávané v souladu s článkem 20 směrnice [2004/38] rodinným příslušníkům občanů Unie, kteří nejsou státními příslušníky žádného členského státu.“

6        Článek 3 uvedeného nařízení, nadepsaný „Bezpečnostní normy/vzor/specifikace“, v odstavcích 5 až 7 a 10 stanoví:

„5.      Průkazy totožnosti zahrnují vysoce zabezpečené paměťové médium, které obsahuje zobrazení obličeje držitele průkazu a dva otisky prstů v interoperabilních digitálních formátech. Pro získání biometrických identifikátorů členské státy použijí technické normy stanovené prováděcím rozhodnutím Komise C(2018)7767 [ze dne 30. listopadu 2018, kterým se stanoví jednotný vzor povolení k pobytu pro státní příslušníky třetích zemí a zrušuje rozhodnutí C(2002)3069].

6.      Paměťové médium musí mít dostatečnou kapacitu a schopnost zaručit integritu, pravost a důvěrnost údajů. Uchovávané údaje jsou dostupné bezkontaktně a jsou zabezpečené v souladu s prováděcím rozhodnutím C(2018)7767. Členské státy si vymění informace nezbytné k ověření pravosti paměťového média a k přístupu k biometrickým údajům uvedeným v odstavci 5 a k jejich ověření.

7.      Děti mladší dvanácti let mohou být od povinnosti poskytnout otisky prstů osvobozeny.

Děti mladší šesti let jsou od povinnosti poskytnout otisky prstů osvobozeny.

Osoby, u nichž je odebrání otisků prstů fyzicky nemožné, jsou od povinnosti poskytnout otisky prstů osvobozeny.

[…]

10.      Pokud členské státy v průkazech totožnosti uchovávají údaje pro elektronické služby, jako je například elektronická veřejná správa a elektronické podnikání, tyto vnitrostátní údaje se fyzicky nebo logicky oddělí od biometrických údajů uvedených v odstavci 5.“

7        Článek 5 téhož nařízení, nadepsaný „Postupné vyřazování“, zní takto:

„1.      Průkazy totožnosti, které nesplňují požadavky stanovené v článku 3, pozbývají platnosti dnem skončení jejich platnosti nebo po 3. srpnu 2031, podle toho, co nastane dříve.

2.      Odchylně od odstavce 1:

a)      průkazy totožnosti, které […] neobsahují funkční strojově čitelnou zónu ve smyslu odstavce 3, pozbývají platnosti dnem skončení jejich platnosti nebo po 3. srpnu 2026, podle toho, co nastane dříve;

[…]

3.      Pro účely odstavce 2 se funkční strojově čitelnou zónou rozumí:

a)      strojově čitelná zóna splňující požadavky části 3 dokumentu ICAO 9303; nebo

b)      jiná strojově čitelná zóna, pro niž vydávající členský stát oznámí pravidla pro čtení a zobrazování informací v ní obsažených, ledaže některý z členských států oznámí do 2. srpna 2021 [Evropské] komisi, že není schopen tyto informace číst a zobrazovat.

[…]“

8        Článek 6 nařízení 2019/1157, nadepsaný „Minimální informace, které mají být uvedeny“, v prvním pododstavci stanoví:

„Povolení k pobytu vydávané členskými státy občanům Unie uvádí alespoň tyto údaje:

[…]

f)      informace, které mají být uvedeny na osvědčeních o registraci vydaných podle článku 8 směrnice [2004/38] a na dokladech osvědčujících trvalý pobyt vydaných podle článku 19 uvedené směrnice;

[…]“

9        Článek 10 tohoto nařízení, nadepsaný „Odebírání biometrických identifikátorů“, stanoví:

„1.      Biometrické identifikátory jsou odebírány výlučně kvalifikovanými a řádně zmocněnými pracovníky, které určí orgány příslušné pro vydávání průkazů totožnosti nebo pobytových karet, za účelem jejich uložení na vysoce zabezpečeném paměťovém médiu podle čl. 3 odst. 5 v případě průkazů totožnosti a čl. 7 odst. 1 v případě pobytových karet. Odchylně od první věty smějí být otisky prstů odebírány výlučně kvalifikovanými a řádně zmocněnými pracovníky těchto orgánů, s výjimkou případů, kdy byla žádost podána diplomatickému nebo konzulárnímu úřadu členského státu.

V zájmu zajištění shody biometrických identifikátorů s totožností žadatele se žadatel dostaví alespoň jednou během procesu vydávání každého dokladu osobně.

2.      Členské státy zajistí, že budou zavedeny vhodné a účinné postupy pro odebírání biometrických identifikátorů a tyto postupy budou v souladu s právy a zásadami stanovenými v Listině, Úmluvě o ochraně lidských práv a základních svobod a Úmluvě Organizace spojených národů o právech dítěte.

Pokud se členské státy při odebírání biometrických identifikátorů setkají s obtížemi, zajistí, aby byly zavedeny vhodné postupy respektující důstojnost dotčené osoby.

3.      Pokud to není nutné pro zpracovávání údajů v souladu s unijním a vnitrostátním právem, biometrické identifikátory uchovávané pro účely personalizace průkazů totožnosti nebo povolení k pobytu by měly být uchovávány vysoce zabezpečeným způsobem a pouze do dne převzetí dokladu, nejdéle však do 90 dnů ode dne vydání dokladu. Po uplynutí této lhůty musí být biometrické identifikátory okamžitě vymazány nebo zničeny.“

10      Článek 11 uvedeného nařízení, nadepsaný „Ochrana osobních údajů a odpovědnost“, v odstavcích 4 a 6 stanoví:

„4.      Spolupráce s externími poskytovateli služeb nevylučuje odpovědnost členského státu, která mu může vzniknout podle unijního nebo vnitrostátního práva v případě porušení povinností ohledně osobních údajů.

[…]

6.      Biometrické údaje uchovávané na paměťovém médiu průkazů totožnosti a povolení k pobytu jsou používány pouze v souladu s unijním a vnitrostátním právem řádně zmocněnými pracovníky příslušných vnitrostátních orgánů a agentur Unie pro účely ověření:

a)      pravosti průkazu totožnosti nebo povolení k pobytu;

b)      totožnosti držitele prostřednictvím přímo dostupných porovnatelných prvků v případech, kdy právní předpis stanoví povinnost průkaz totožnosti nebo povolení k pobytu předložit.“

11      Článek 14 tohoto nařízení, nadepsaný „Další technické podmínky“, v odstavcích 1 a 2 stanoví:

„1.      K zajištění toho, aby průkazy totožnosti a povolení k pobytu uvedené v čl. 2 písm. a) a c) splňovaly budoucí minimální bezpečnostní normy, Komise stanoví prostřednictvím prováděcích aktů další technické podmínky týkající se:

a)      dalších bezpečnostních prvků a požadavků včetně zdokonalených norem proti padělání, napodobování a pozměňování;

b)      technických norem média pro uchovávání biometrických prvků uvedených v čl. 3 odst. 5 a jejich zabezpečení, včetně zabránění neoprávněnému přístupu a snazšího ověřování;

c)      požadavků na kvalitu a společných technických norem pro zobrazení obličeje a otisky prstů.

Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 15 odst. 2.

2.      Postupem podle čl. 15 odst. 2 lze rozhodnout, že podmínky uvedené v tomto článku mají být tajné a nemají se zveřejnit. […]“

2.      GDPR

12      Bod 51 odůvodnění GDPR stanoví:

„Osobní údaje, které jsou svou povahou obzvláště citlivé z hlediska základních práv a svobod, zasluhují zvláštní ochranu, jelikož by při jejich zpracování mohla vzniknout závažná rizika pro základní práva a svobody. […] Zpracování fotografií by nemělo být systematicky považováno za zpracování zvláštních kategorií osobních údajů, neboť na fotografie se definice biometrických údajů vztahuje pouze v případech, kdy jsou zpracovávány zvláštními technickými prostředky umožňujícími jedinečnou identifikaci nebo autentizaci fyzické osoby. Tyto osobní údaje by neměly být zpracovávány, pokud není zpracování povoleno ve zvláštních případech stanovených tímto nařízením, a to se zohledněním skutečnosti, že v právu členských států mohou být stanovena zvláštní ustanovení o ochraně údajů s cílem přizpůsobit uplatňování pravidel tohoto nařízení za účelem dodržení zákonné povinnosti nebo splnění úkolu prováděného ve veřejném zájmu či při výkonu veřejné moci, kterým je pověřen správce. Společně se zvláštními požadavky na takové zpracování by se měly uplatňovat obecné zásady a další pravidla tohoto nařízení, zejména pokud jde o podmínky pro zákonné zpracování. Odchylky od obecného zákazu zpracování těchto zvláštních kategorií osobních údajů by měly být výslovně stanoveny mimo jiné v případě, kdy subjekt údajů poskytuje svůj výslovný souhlas nebo jde-li o zvláštní potřeby […]“

13      Článek 4 tohoto nařízení, nadepsaný „Definice“, zní:

„Pro účely tohoto nařízení se rozumí:

[…]

2)      ‚zpracováním‘ jakákoliv operace nebo soubor operací s osobními údaji nebo soubory osobních údajů, který je prováděn pomocí či bez pomoci automatizovaných postupů, jako je shromáždění, zaznamenání, uspořádání, strukturování, uložení, přizpůsobení nebo pozměnění, vyhledání, nahlédnutí, použití, zpřístupnění přenosem, šíření nebo jakékoliv jiné zpřístupnění, seřazení či zkombinování, omezení, výmaz nebo zničení;

[…]

7)      ‚správcem‘ fyzická nebo právnická osoba, orgán veřejné moci, agentura nebo jiný subjekt, který sám nebo společně s jinými určuje účely a prostředky zpracování osobních údajů; jsou-li účely a prostředky tohoto zpracování určeny právem Unie či členského státu, může toto právo určit dotčeného správce nebo zvláštní kritéria pro jeho určení;

[…]“

14      Článek 9 uvedeného nařízení, nadepsaný „Zpracování zvláštních kategorií osobních údajů“, stanoví v odst. 1:

„Zakazuje se zpracování osobních údajů, které vypovídají o rasovém či etnickém původu, politických názorech, náboženském vyznání či filozofickém přesvědčení nebo členství v odborech, a zpracování genetických údajů, biometrických údajů za účelem jedinečné identifikace fyzické osoby a údajů o zdravotním stavu či o sexuálním životě nebo sexuální orientaci fyzické osoby.“

15      Článek 35 téhož nařízení, nadepsaný „Posouzení vlivu na ochranu osobních údajů“, v odstavcích 1, 3 a 10 stanoví:

„1.      Pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování mít za následek vysoké riziko pro práva a svobody fyzických osob, provede správce před zpracováním posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů. Pro soubor podobných operací zpracování, které představují podobné riziko, může stačit jedno posouzení.

[…]

3.      Posouzení vlivu na ochranu osobních údajů podle odstavce 1 je nutné zejména v těchto případech:

a)      systematické a rozsáhlé vyhodnocování osobních aspektů týkajících se fyzických osob, které je založeno na automatizovaném zpracování, včetně profilování, a na němž se zakládají rozhodnutí, která vyvolávají ve vztahu k fyzickým osobám právní účinky nebo mají na fyzické osoby podobně závažný dopad;

b)      rozsáhlé zpracování zvláštních kategorií údajů uvedených v čl. 9 odst. 1 nebo osobních údajů týkajících se odsouzení v trestních věcech a trestných činů uvedených v článku 10; nebo

c)      rozsáhlé systematické monitorování veřejně přístupných prostorů.

[…]

10.      Pokud má zpracování podle čl. 6 odst. 1 písm. c) nebo e) právní základ v právu Unie nebo členského státu, které se na správce vztahuje, a toto právo upravuje konkrétní operaci nebo soubor operací zpracování a pokud bylo posouzení vlivu na ochranu osobních údajů již provedeno jakožto součást obecného posouzení dopadů v souvislosti s přijetím uvedeného právního základu, odstavce 1 až 7 se nepoužijí, ledaže by členské státy považovaly provedení tohoto posouzení před činnostmi zpracování za nezbytné.“

3.      Nařízení (EU) 2016/399

16      Článek 8 nařízení Evropského parlamentu a Rady (EU) 2016/399 ze dne 9. března 2016, kterým se stanoví kodex Unie o pravidlech upravujících přeshraniční pohyb osob (Schengenský hraniční kodex) (Úř. věst. 2016, L 77, s. 1), ve znění nařízení Evropského parlamentu a Rady (EU) 2017/458 ze dne 15. března 2017 (Úř. věst. 2017, L 74, s. 1), stanoví v odst. 1 a 2:

„1.      Přeshraniční pohyb na vnějších hranicích podléhá kontrolám, které provádějí příslušníci pohraniční stráže. Kontroly se provádějí v souladu s touto kapitolou.

[…]

2.      Při vstupu a výstupu podléhají osoby požívající právo na volný pohyb podle práva Unie následujícím kontrolám:

a)      ověření totožnosti a státní příslušnosti osoby a pravosti a platnosti cestovního dokladu opravňujícího k překročení hranice, mimo jiné nahlédnutím do příslušných databází […]

b)      ověření, zda osoba požívající právo na volný pohyb podle práva Unie není považována za hrozbu pro veřejný pořádek, vnitřní bezpečnost, veřejné zdraví nebo mezinárodní vztahy kteréhokoli z členských států; […]

V případě pochybností o pravosti cestovního dokladu nebo o totožnosti jeho držitele se ověří alespoň jeden z biometrických identifikátorů v cestovních pasech a cestovních dokladech vydávaných v souladu s nařízením [Rady] (ES) č. 2252/2004 [ze dne 13. prosince 2004 o normách pro bezpečnostní a biometrické prvky v cestovních pasech a cestovních dokladech vydávaných členskými státy (Úř. věst. 2004, L 385, s. 1)]. Podle možnosti se toto ověření provádí rovněž u cestovních dokladů, na něž se uvedené nařízení nevztahuje.

[…]“

4.      Směrnice 2004/38

17      Článek 4 směrnice 2004/38, nadepsaný „Právo na opuštění území“, stanoví v odst. 1 a 3:

„1.      Aniž jsou dotčeny předpisy o cestovních dokladech použitelné pro kontroly na státních hranicích, mají všichni občané Unie s platným průkazem totožnosti nebo cestovním pasem a jejich rodinní příslušníci, kteří nejsou státními příslušníky žádného členského státu a mají platný cestovní pas, právo opustit území členského státu a odebrat se do jiného členského státu.

[…]

3.      Členské státy v souladu se svými právními předpisy vydávají a obnovují svým státním příslušníkům průkaz totožnosti nebo cestovní pas s uvedením jejich státní příslušnosti.“

18      Článek 5 této směrnice, nadepsaný „Právo na vstup“, stanoví v odstavci 1:

„Aniž jsou dotčeny předpisy o cestovních dokladech použitelné pro kontroly na státních hranicích, zaručují členské státy občanům Unie vstup na své území s platným průkazem totožnosti nebo cestovním pasem a rodinným příslušníkům, kteří nejsou státními příslušníky žádného členského státu, vstup na své území s platným cestovním pasem.

Po občanech Unie nesmějí být požadována výjezdní víza ani jiné rovnocenné formality.“

19      Článek 6 uvedené směrnice, nadepsaný „Právo pobytu po dobu do tří měsíců“, stanoví:

„1.      Občané Unie mají právo pobytu na území jiného členského státu po dobu až tří měsíců, aniž by podléhali jakýmkoli podmínkám či formalitám s výjimkou povinnosti být držitelem platného průkazu totožnosti nebo cestovního pasu.

2.      Odstavec 1 se použije také na rodinné příslušníky, kteří nejsou státními příslušníky žádného členského státu a tohoto občana Unie doprovázejí nebo následují a kteří jsou držiteli platného cestovního pasu.“

20      Článek 8 směrnice 2004/38, nadepsaný „Správní formality pro občany Unie“, v odst. 1 a 3 stanoví:

„1.      Aniž je dotčen čl. 5 odst. 5, může členský stát u pobytu delšího než tři měsíce požadovat po občanech Unie, aby se zaregistrovali u příslušných orgánů.

[…]

3.      K vystavení osvědčení o registraci smějí členské státy vyžadovat pouze,

–        aby občané Unie, na něž se vztahuje čl. 7 odst. 1 písm. a), předložili platný průkaz totožnosti nebo cestovní pas, potvrzení zaměstnavatele o přijetí nebo osvědčení o zaměstnání nebo doklad o tom, že jsou samostatně výdělečně činní,

–        aby občané Unie, na něž se vztahuje čl. 7 odst. 1 písm. b), předložili platný průkaz totožnosti nebo cestovní pas a prokázali, že splňují podmínky uvedeného ustanovení,

–        aby občané Unie, na které se vztahuje čl. 7 odst. 1 písm. c), předložili platný průkaz totožnosti nebo cestovní pas, doklad o tom, že jsou zapsáni u akreditovaného subjektu a že jsou účastníky všeobecného zdravotní pojištění, a prohlášení nebo jiný podobný prostředek ve smyslu čl. 7 odst. 1 písm. c). Členské státy nesmějí požadovat, aby na tomto prohlášení byla uváděna určitá výše prostředků.“

5.      Interinstitucionální dohoda

21      Body 12 až 14 interinstitucionální dohody mezi Evropským parlamentem, Radou Evropské unie a Evropskou komisí o zdokonalení tvorby právních předpisů ze dne 13. dubna 2016 (Úř. věst. 2016, L 123, s. 1, dále jen „institucionální dohoda“) zní takto:

„12.      […]

Posouzení dopadů jsou nástrojem, který má třem orgánům pomáhat přijímat informovaná rozhodnutí, ale nenahrazují politická rozhodnutí v rámci demokratického rozhodovacího procesu. […]

Posouzení dopadů by se měla zabývat existencí, rozsahem a důsledky určitého problému a otázkou, zda jsou opatření na úrovni Unie zapotřebí či nikoliv. Měla by uceleným a vyváženým způsobem a za použití kvalitativních i kvantitativních analýz mapovat alternativní řešení a pokud možno případné krátkodobé a dlouhodobé náklady a přínosy a zhodnotit hospodářské, environmentální a sociální dopady. Měla by plně respektovat zásadu subsidiarity a proporcionality, stejně jako základní práva. […] Posouzení dopadů by měla být založena na přesných, objektivních a úplných informacích a měla by být přiměřená co do rozsahu a zaměření.

13.      Komise bude provádět posouzení dopadů svých legislativních […] iniciativ, u nichž se očekávají významné hospodářské, environmentální nebo sociální dopady. Posouzení dopadů bude zpravidla připojeno k iniciativám v rámci pracovního programu Komise nebo ke společnému prohlášení.

[…] Konečné výsledky posouzení budou poskytovány Evropskému parlamentu, Radě [Evropské unie] a vnitrostátním parlamentům a v době přijetí iniciativy Komise budou spolu se stanovisky Regulačního kontrolního výboru zveřejňovány.

14.      Parlament […] a Rada při projednávání legislativních návrhů Komise plně zohlední posouzení dopadů Komise. Za tímto účelem musí být posouzení dopadů předkládána takovým způsobem, aby Parlament […] a Rada mohly lépe posoudit rozhodnutí Komise.“

B.      Německé právo

22      Ustanovení § 5 Gesetz über Personalausweise und den elektronischen Identitätsnachweis (zákon o průkazech totožnosti a elektronické identifikaci) ze dne 18. června 2009 (BGBl. I, s. 1346), ve znění použitelném na skutkový stav v původním řízení (dále jen „PAuswG“), nadepsané „Vzor průkazu totožnosti; ukládané údaje“, v odstavci 9 stanoví:

„Dva otisky prstů žadatele [průkazu totožnosti], které mají být uchovávány na elektronickém paměťovém médiu podle [nařízení 2019/1157] se uloží na elektronické paměťové médium a médium pro elektronické zpracování průkazu totožnosti ve formě plochého otisku levého a pravého ukazováčku. Chybí-li ukazováček, není-li kvalita otisku prstu dostatečná, nebo je-li bříško prstu poraněno, nahradí se plochým otiskem palce, prostředníčku nebo prsteníčku. Otisky prstů nebudou zaznamenány, pokud odebrání otisků prstů není možné ze zdravotních důvodů, které nejsou přechodné povahy.“

23      Podle § 6 odst. 1 a 2 PAuswG platí:

„1)      Průkazy totožnosti se vydávají s dobou platnosti deset let.

2)      Před skončením platnosti průkazu totožnosti lze požádat o nový průkaz totožnosti, pokud lze prokázat oprávněný zájem na vydání nového průkazu totožnosti.“

24      Ustanovení § 9 PAuswG, nadepsaného „Vydání průkazu“, v odst. 1 první větě stanoví:

„Průkazy totožnosti, jakož i prozatímní průkazy totožnosti se vydávají Němcům ve smyslu čl. 116 odst. 1 Základního zákona.“

25      Ustanovení § 28 PAuswG, nadepsaný „Neplatnost“, v odstavci 3 stanoví:

„Závady, které mají vliv na funkčnost elektronického média pro ukládání a zpracování, se nedotýkají platnosti průkazu totožnosti.“

II.    Spor v původním řízení a předběžná otázka

26      Dne 30. listopadu 2021 požádal žalobce v původním řízení město Wiesbaden o vydání nového průkazu totožnosti z důvodu, že elektronický čip jeho starého průkazu je vadný. Požadoval však, aby nový průkaz neobsahoval jeho otisky prstů.

27      Město Wiesbaden tuto žádost zamítlo ze dvou důvodů. Zaprvé nemá žalobce v původním řízení podle jeho názoru nárok na vydání nového průkazu totožnosti, neboť je již držitelem platného průkazu totožnosti. V souladu s § 28 odst. 3 PAuswG zůstává totiž průkaz totožnosti v platnosti, i když je jeho elektronický čip vadný. Zadruhé a v každém případě je podle § 5 odst. 9 PAuswG, který provádí čl. 3 odst. 5 nařízení 2019/1157, od 2. srpna 2021 povinné zaznamenávání dvou otisků prstů na paměťovém médiu průkazů totožnosti.

28      Dne 21. prosince 2021 podal žalobce v původním řízení žalobu k Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu, Německo), který je předkládajícím soudem, jejímž prostřednictvím se domáhal, aby bylo městu Wiesbaden nařízeno vydat mu průkaz totožnosti, aniž by mu byly odebrány otisky prstů.

29      Předkládající soud vyjadřuje pochybnosti o legalitě obou důvodů rozhodnutí dotčeného v původním řízení. Především ohledně druhého důvodu se domnívá, že je sporná platnost nařízení 2019/1157 nebo přinejmenším jeho čl. 3 odst. 5.

30      Předkládající soud si v první řadě klade otázku, zda toto nařízení nemělo být přijato na základě čl. 77 odst. 3 SFEU, a tedy zvláštním legislativním postupem upraveným v tomto ustanovení, a nikoli na základě čl. 21 odst. 2 SFEU a řádným legislativním postupem. Zaprvé totiž čl. 77 odst. 3 SFEU odkazuje speciálně na pravomoc Unie přijímat předpisy týkající se mimo jiné průkazů totožnosti, a je tedy konkrétnějším ustanovením než čl. 21 odst. 2 SFEU. Zadruhé v rozsudku ze dne 17. října 2013, Schwarz (C‑291/12, EU:C:2013:670), Soudní dvůr rozhodl, že nařízení č. 2252/2004 je v rozsahu, v němž stanoví normy pro biometrické prvky v cestovních pasech, platně založeno na čl. 62 bodu 2 písm. a) ES, kterému podle předkládajícího soudu nyní odpovídá čl. 77 odst. 3 SFEU.

31      Ve druhé řadě předkládající soud poukazuje na možnou vadu procesu přijímání nařízení 2019/1157. Jak totiž upozornil evropský inspektor ochrany údajů (dále jen „EIOÚ“) ve svém stanovisku 7/2018 ze dne 10. srpna 2018 k návrhu nařízení o posílení zabezpečení průkazů totožnosti občanů Unie a jiných dokumentů (dále jen „stanovisko 7/2018“), snímání a uchovávání otisků prstů představuje zpracování osobních údajů, které musí být předmětem posouzení vlivu podle čl. 35 odst. 10 GDPR. V projednávané věci nebylo přitom takové posouzení provedeno. Dokument připojený k uvedenému návrhu nařízení, nazvaný „Impact assessment“, nelze podle jeho názoru považovat za posouzení vlivu ve smyslu tohoto ustanovení.

32      Ve třetí řadě se předkládající soud táže konkrétně na slučitelnost čl. 3 odst. 5 nařízení 2019/1157 s články 7 a 8 Listiny, které se týkají respektování soukromého a rodinného života a ochrany osobních údajů. Má totiž za to, že povinnost členských států vydávat průkazy totožnosti, jejichž paměťové médium obsahuje dva otisky prstů, představuje omezení výkonu práv přiznaných těmito dvěma ustanoveními Listiny, které může být odůvodněno pouze tehdy, pokud splňuje podmínky stanovené v čl. 52 odst. 1 Listiny.

33      Podle předkládajícího soudu je zaprvé možné, že uvedené omezení neodpovídá cíli obecného zájmu. Je pravda, že Soudní dvůr v rozsudku ze dne 17. října 2013, Schwarz (C‑291/12, EU:C:2013:670), připustil, že boj proti neoprávněnému vstupu státních příslušníků třetích zemí na území Unie je cílem uznaným unijním právem. Průkaz totožnosti však primárně není cestovním dokladem, kterým je cestovní pas, a jeho účelem je pouze umožnit ověření totožnosti občana Unie v jeho vztazích jak se správními orgány, tak se soukromými třetími osobami.

34      Zadruhé i za předpokladu, že uvedené nařízení sleduje cíl obecného zájmu uznaný unijním právem, existují pochybnosti o přiměřenosti tohoto omezení. Řešení zvolené Soudním dvorem v rozsudku ze dne 17. října 2013, Schwarz (C‑291/12, EU:C:2013:670) nelze totiž použít ve vztahu k nařízení 2019/1157, neboť se týká cestovních pasů, jejichž držení je na rozdíl od průkazů totožnosti v Německu dobrovolné a jejichž použití sleduje odlišný cíl.

35      Předkládající soud dále uvádí, že naopak ze stanoviska 7/2018 vyplývá, že ukládání a uchovávání otisků prstů má značný dopad, který se může týkat až 370 milionů občanů Unie a potenciálně vyžadovat od 85 % obyvatel Unie povinné odebírání snímků otisků prstů. Tento značný dopad spolu s vysoce citlivou povahou zpracovávaných údajů (zobrazení obličeje, ve spojení se dvěma otisky prstů) přitom znamená, že omezení výkonu práv zaručených v článcích 7 a 8 Listiny vyplývající z povinného odebírání otisků prstů pro účely vystavování průkazů totožnosti je citelnější než u cestovních pasů, což naproti tomu vyžaduje silnější odůvodnění, jakož i pečlivé posouzení dotčeného opatření podle přísného kritéria nezbytnosti.

36      Nutnost provést přísné posouzení přiměřenosti každopádně vyplývá rovněž z čl. 9 odst. 1 GDPR, podle něhož je zpracování takových biometrických údajů v zásadě zakázáno a může být povoleno pouze ve výjimečných a přísně vymezených případech.

37      V této souvislosti má předkládající soud sice za to, že použití biometrických údajů snižuje riziko padělání dokladu, avšak má pochybnosti o tom, zda tato pouhá okolnost může odůvodnit šíři omezení práva na ochranu osobních údajů, a to zejména s ohledem na následující důvody.

38      V první řadě EIOÚ ve svém stanovisku 7/2018 poukázal na to, že jiné techniky bezpečného tisku dokladů totožnosti, jako jsou hologramy nebo vodoznaky, jsou mnohem méně omezující, avšak zároveň umožňují zamezit padělání těchto dokladů a ověřit jejich pravost. Skutečnost, že německé právo připouští, že průkaz totožnosti s vadným elektronickým čipem zůstává platný, ostatně dokládá, že fyzické prvky, zejména mikrotisky nebo ultrafialově reagující přetisky, postačují k zajištění zabezpečení uvedených průkazů.

39      Předkládající soud dále uvádí, že čl. 3 odst. 7 nařízení 2019/1157 umožňuje členským státům osvobodit děti mladší dvanácti let od povinnosti poskytnout otisky prstů, a v každém případě jim ukládá, aby od této povinnosti byly osvobozeny děti mladší šesti let, což dokládá, že pořízení dvou otisků prstů není nezbytně nutné.

40      Článek 3 odst. 5 nařízení 2019/1157 nerespektuje podle předkládajícího soudu zásadu minimalizace údajů uvedenou v článku 5 GDPR, z níž vyplývá, že shromažďování a používání osobních údajů musí být přiměřené, relevantní a omezené na nezbytný rozsah ve vztahu k účelu, pro který jsou zpracovávány. Odebírání dvou úplných otisků prstů a nikoli pouze charakteristických bodů těchto otisků („minucie“) umožňuje sice podpořit interoperabilitu různých typů systémů, avšak rovněž zvyšuje množství ukládaných osobních údajů, a tedy riziko zneužití totožnosti v případě úniku údajů. Toto riziko není navíc zanedbatelné, neboť elektronické čipy používané v průkazech totožnosti mohou být načítány neautorizovanými skenery.

41      A konečně je možné, že omezení výkonu práv zaručených v článcích 7 a 8 Listiny není legitimní, neboť EIOÚ ve svém stanovisku 7/2018 uvedl, že v době, kdy bylo přijato nařízení 2019/1157, byl počet podvodných průkazů totožnosti ve srovnání s počtem vydaných průkazů relativně nízký (38 870 podvodných průkazů zjištěných v letech 2013 až 2017) a tento počet již několik let klesá.

42      Za těchto okolností se Verwaltungsgericht Wiesbaden (Správní soud ve Wiesbadenu) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:

„Je povinnost zaznamenávat a uchovávat otisky prstů v průkazech totožnosti stanovená v čl. 3 odst. 5 nařízení [2019/1157] v rozporu s unijním právem vyšší právní síly, zejména

a)      s čl. 77 odst. 3 SFEU;

b)      s články 7 a 8 [Listiny];

c)      s čl. 35 odst. 10 [GDPR],

a je proto z některého z těchto důvodů neplatná?“

III. K předběžné otázce

43      Podstatou otázky předkládajícího soudu je, zda je toto nařízení 2019/1157 zcela nebo zčásti neplatné z důvodu, že zaprvé bylo přijato na nesprávném právním základě, zadruhé porušuje čl. 35 odst. 10 GDPR a zatřetí porušuje články 7 a 8 Listiny.

A.      K prvnímu důvodu neplatnosti vycházejícímu z použití nesprávného právního základu

44      První důvod neplatnosti, který uvádí předkládající soud, se týká otázky, zda z důvodu výslovného odkazu na průkazy totožnosti v čl. 77 odst. 3 SFEU, jakož i s ohledem na řešení obsažené v rozsudku ze dne 17. října 2013, Schwarz (C‑291/12, EU:C:2013:670), mělo být nařízení 2019/1157 přijato na základě tohoto čl. 77 odst. 3 a zvláštním legislativním postupem, který upravuje, a nikoli na základě čl. 21 odst. 2 SFEU, jako tomu bylo v projednávané věci.

1.      Úvodní poznámky

45      Podle ustálené judikatury platí, že se volba právního základu unijního aktu musí zakládat na objektivních skutečnostech, které mohou být předmětem soudního přezkumu, mezi něž patří účel a obsah tohoto aktu (rozsudky ze dne 16. února 2022, Maďarsko v. Parlament a Rada, C‑156/21, EU:C:2022:97, bod 107, jakož i ze dne 16. února 2022, Polsko v. Parlament a Rada, C‑157/21, EU:C:2022:98, bod 121).

46      Kromě toho je třeba uvést, že pokud ve Smlouvách existuje specifičtější ustanovení, které může být právním základem dotčeného aktu, musí se tento akt zakládat na tomto ustanovení (rozsudky ze dne 6. září 2012, Parlament v. Rada, C‑490/10, EU:C:2012:525, bod 44, jakož i ze dne 8. prosince 2020, Polsko v. Parlament a Rada, C‑626/18, EU:C:2020:1000, bod 48 a citovaná judikatura).

47      A konečně pokud přezkum unijního aktu ukáže, že tento akt sleduje několikerý účel nebo že má několik složek a jeden z těchto účelů či jednu z těchto složek je možné označit za hlavní nebo převažující, zatímco ostatní jsou pouze vedlejší nebo mají pouze mimořádně omezený dosah, musí být právní základ pro přijetí tohoto aktu zvolen podle hlavního účelu nebo hlavní složky [v tomto smyslu viz rozsudek ze dne 20. listopadu 2018, Komise v. Rada (CHMO Antarktida), C‑626/15 a C‑659/16, EU:C:2018:925, bod 77, jakož i posudek 1/19 (Istanbulská úmluva) ze dne 6. října 2021, EU:C:2021:832, bod 286].

2.      K působnosti čl. 21 odst. 2 SFEU a čl. 77 odst. 3 SFEU

48      Článek 21 odst. 2 SFEU stanoví, že pokud se k zaručení práva každého občana Unie svobodně se pohybovat a pobývat na území členských států ukáže činnost Unie jako nezbytná a pokud Smlouvy pro takovou činnost nestanoví nezbytné pravomoci, mohou Evropský parlament a Rada řádným legislativním postupem přijímat předpisy k usnadnění výkonu těchto práv.

49      Z toho vyplývá, že toto ustanovení přiznává Unii obecnou pravomoc přijímat předpisy nezbytné k usnadnění výkonu práva občanů Unie svobodně se pohybovat a pobývat na území členských států, uvedeného v čl. 20 odst. 2 písm. a) SFEU, s výhradou, že jsou za tímto účelem Smlouvami stanoveny pro tuto činnost pravomoci.

50      Na rozdíl od čl. 21 odst. 2 SFEU přitom čl. 77 odst. 3 SFEU výslovně stanoví pro takovou činnost přijímání předpisů týkajících se cestovních pasů, průkazů totožnosti, povolení k pobytu a jiných obdobných dokladů vydávaných občanům Unie pravomoc za účelem usnadnění výkonu práva svobodně se pohybovat a pobývat na území členských států, uvedeného v čl. 20 odst. 2 písm. a) SFEU.

51      Je pravda, že čl. 77 odst. 3 SFEU je obsažen v hlavě V této Smlouvy, věnované prostoru svobody, bezpečnosti a práva, a konkrétně v kapitole 2 této hlavy, nazvané „Politiky týkající se kontrol na hranicích, azylu a přistěhovalectví“. Podle čl. 77 odst. 1 SFEU však Unie rozvíjí politiku jak s cílem zajistit, aby osoby bez ohledu na svou státní příslušnost nebyly kontrolovány při překračování vnitřních hranic, tak s cílem zajistit kontrolu osob a účinný dohled nad překračováním vnějších hranic, jakož i postupně zavést integrovaný systém řízení těchto hranic. Předpisy týkající se cestovních pasů, průkazů totožnosti, povolení k pobytu a jiných obdobných dokladů, na které se vztahuje pravomoc stanovená tímto čl. 77 odst. 3, jsou přitom nedílnou součástí této unijní politiky. Pokud jde totiž o občany Unie, tyto doklady jim umožňují především prokázat, že jsou oprávněni se volně pohybovat a pobývat na území členských států, a toto právo tedy vykonávat. Uvedený čl. 77 odst. 3 může proto představovat základ pro přijetí opatření týkajících se uvedených dokladů, pokud se taková činnost ukáže jako nezbytná k usnadnění výkonu uvedeného práva, stanoveného v čl. 20 odst. 2 písm. a) SFEU.

52      Tento výklad věcné působnosti čl. 77 odst. 3 SFEU nemůže být zpochybněn ani historickým vývojem Smluv v oblasti pravomoci Unie přijímat opatření týkající se cestovních pasů, průkazů totožnosti, povolení k pobytu a jiných obdobných dokladů, na který odkazují Parlament, Rada a Komise, ani okolností, na kterou poukazuje německá vláda, že toto ustanovení stanoví, že se použije, „nestanoví-li Smlouvy pro takovou činnost nezbytné pravomoci“.

53      Lisabonskou smlouvou bylo sice zrušeno ustanovení dříve uvedené v čl. 18 odst. 3 ES, které výslovně vylučovalo možnost unijního normotvůrce použít čl. 18 odst. 2 ES (nyní čl. 21 odst. 2 SFEU) jako právní základ pro přijetí jak „předpisů týkajících se cestovních pasů, průkazů totožnosti, povolení k pobytu a jiných obdobných dokladů“, tak „předpisů týkajících se sociálního zabezpečení nebo sociální ochrany“. Zároveň však tato Smlouva Unii výslovně svěřila pravomoc jednat v těchto dvou oblastech – a sice zaprvé v čl. 21 odst. 3 SFEU, pokud jde o sociální zabezpečení a sociální ochranu, a zadruhé v čl. 77 odst. 3 SFEU, pokud jde o předpisy týkající se cestovních pasů, průkazů totožnosti, povolení k pobytu a jiných obdobných dokladů – a stanovila pro přijetí opatření v uvedených oblastech zvláštní legislativní postup, a především jednomyslnost v Radě.

54      Za těchto podmínek nelze ze zrušení ustanovení dříve obsaženého v čl. 18 odst. 3 ES vyvodit, že by nyní bylo možné přijímat „předpisy týkající se cestovních pasů, průkazů totožnosti, povolení k pobytu a jiných obdobných dokladů“ na základě čl. 21 odst. 2 SFEU. Z historického vývoje naopak vyplývá, že autoři Smluv zamýšleli prostřednictvím čl. 77 odst. 3 SFEU svěřit Unii specifičtější pravomoc pro přijímání takových ustanovení k usnadnění výkonu práva svobodně se pohybovat a pobývat na území členských států zaručeného v čl. 20 odst. 2 písm. a) SFEU, než je obecnější pravomoc stanovená v čl. 21 odst. 2.

55      Kromě toho je třeba formulaci uvedenou v čl. 77 odst. 3 SFEU, podle níž se toto ustanovení použije, „nestanoví-li Smlouvy pro takovou činnost nezbytné pravomoci“, chápat s ohledem na obecnou systematiku Smlouvy o FEU tak, že se u těchto pravomocí jedná o pravomoci, které nejsou svěřeny prostřednictvím takového ustanovením s obecnější působností, jako je čl. 21 odst. 2 SFEU, ale ustanovením, které je ještě specifičtější.

56      Přijetí nařízení 2019/1157 mohlo být tedy založeno na čl. 21 odst. 2 SFEU pouze za podmínky, že hlavní či převažující účel nebo složka tohoto nařízení nespadá do zvláštní působnosti čl. 77 odst. 3 SFEU, a sice vydávání cestovních pasů, průkazů totožnosti, povolení k pobytu nebo jiných obdobných dokladů k usnadnění výkonu práva uvedeného v čl. 20 odst. 2 písm. a) SFEU.

3.      K hlavnímu nebo převažujícímu účelu či hlavní nebo převažující složce nařízení 2019/1157

57      Pokud jde v první řadě o účel nařízení 2019/1157, jeho článek 1 stanoví, že posiluje bezpečnostní normy vztahující se na průkazy totožnosti, které vydávají členské státy svým státním příslušníkům, a na povolení k pobytu, která vydávají členské státy občanům Unie a jejich rodinným příslušníkům při výkonu jejich práva volného pohybu.

58      V tomtéž smyslu bod 46 odůvodnění tohoto nařízení uvádí, že jeho cílem je „zvýšení bezpečnosti“ těchto cestovních dokladů a dokladů totožnosti, „za účelem zjednodušení výkonu práva na volný pohyb občanů Unie a jejich rodinných příslušníků“, což potvrzují rovněž body 1, 2, 5, 17, 28, 29 a 36 odůvodnění uvedeného nařízení.

59      Co se týče ve druhé řadě obsahu nařízení 2019/1157, je třeba uvést, že obsahuje šestnáct článků. Články 1 a 2 tohoto nařízení vymezují jeho předmět a oblast působnosti. Články 3 a 4, jakož i články 6 a 7 uvedeného nařízení, které tvoří jeho hlavní složky, stanoví mimo jiné požadavky na bezpečnosti, obsah, formát nebo specifikace, které musí průkazy totožnosti a doklady k pobytu vydávané členskými státy splňovat, zatímco články 5 a 8 téhož nařízení upravují postupné vyřazování průkazů totožnosti a pobytových karet, které nesplňují požadavky stanovené v tomto nařízení. A konečně, články 9 až 16 nařízení 2019/1157 upřesňují, jak mají být plněny povinnosti v něm stanovené, zejména pokud jde o odebírání biometrických identifikátorů a ochranu osobních údajů.

60      Článek 2 nařízení 2019/1157 sice uvádí, že se toto nařízení vztahuje nejen na průkazy totožnosti vydávané členskými státy jejich státním příslušníkům, ale rovněž na osvědčení o registraci vydávaná v souladu s článkem 8 směrnice 2004/38 občanům Unie pobývajícím v hostitelském členském státě déle než tři měsíce a doklady osvědčující trvalý pobyt vydávané v souladu s článkem 19 této směrnice, což jsou osvědčení a doklady, které nelze považovat za průkazy totožnosti, cestovní pasy nebo povolení k pobytu. Nařízení 2019/1157 však neobsahuje žádné ustanovení upravující tato osvědčení a v čl. 6 prvním pododstavci písm. f) pouze uvádí, že povolení k pobytu vydávaná členskými státy občanům Unie musí obsahovat informace, které mají být uvedeny na osvědčeních o registraci vydaných podle článku 8 směrnice 2004/38/ES a na dokladech osvědčujících trvalý pobyt vydaných podle článku 19 uvedené směrnice. Je tedy třeba mít za to, že účel a složka tohoto nařízení, které se váží k těmto osvědčením, mají mimořádně omezený dosah, takže právní základ uvedeného nařízení nelze určit s ohledem na tento účel nebo tuto složku.

61      Za těchto podmínek z hlavního účelu a hlavních složek nařízení 2019/1157 vyplývá, že toto nařízení patří mezi akty, které spadají do zvláštní působnosti čl. 77 odst. 3 SFEU, která je uvedena v bodech 48 až 51 tohoto rozsudku.

62      Unijní normotvůrce proto tím, že přijal nařízení 2019/1157 na základě čl. 21 odst. 2 SFEU, porušil čl. 77 odst. 3 SFEU a použil nevhodný legislativní postup.

63      Z toho vyplývá, že první důvod neplatnosti uvedený předkládajícím soudem, který vychází z toho, že nařízení 2019/1157 bylo přijato chybně na základě čl. 21 odst. 2 SFEU a řádným legislativním postupem, může vést k neplatnosti tohoto nařízení.

B.      Ke druhému důvodu neplatnosti, vycházejícímu z porušení čl. 35 odst. 10 GDPR

64      Druhý důvod neplatnosti uvedený předkládajícím soudem vychází podle jeho popisu z toho, že nařízení 2019/1157 bylo v rozporu s čl. 35 odst. 10 GDPR přijato bez provedení posouzení vlivu na ochranu osobních údajů.

65      V této souvislosti je nutno uvést, že čl. 35 odst. 1 GDPR stanoví, že pokud je pravděpodobné, že určitý druh zpracování, zejména při využití nových technologií, bude mít s přihlédnutím k povaze, rozsahu, kontextu a účelům zpracování za následek vysoké riziko pro práva a svobody fyzických osob, provede správce před zpracováním posouzení vlivu zamýšlených operací zpracování na ochranu osobních údajů. Článek 35 odst. 3 tohoto nařízení upřesňuje, že takové posouzení vlivu je nutné v případě rozsáhlého zpracování zvláštních kategorií údajů uvedených v čl. 9 odst. 1 tohoto nařízení, jako jsou biometrické údaje pro účely jedinečné identifikace fyzické osoby.

66      Vzhledem k tomu, že v projednávané věci neupravuje samotné nařízení 2019/1157 žádnou operaci, která by se použila na osobní údaje nebo soubory osobních údajů, ale pouze stanoví provádění určitých zpracování členskými státy v případě žádosti o průkaz totožnosti, je nutno konstatovat, že přijetí tohoto nařízení nepodléhalo předchozímu provedení posouzení vlivu zamýšlených operací zpracování ve smyslu čl. 35 odst. 1 GDPR. Článek 35 odst. 10 tohoto nařízení však zavádí výjimku z čl. 35 odst. 1 uvedeného nařízení.

67      Z toho vyplývá, že přijetím nařízení 2019/1157 nemohl být porušen čl. 35 odst. 10 nařízení 2016/679, jelikož se s ohledem na výše uvedené neměl při jeho přijetí použít čl. 35 odst. 1 GDPR.

68      S ohledem na výše uvedené nemůže druhý důvod vycházející z porušení čl. 35 odst. 10 GDPR vést k neplatnosti nařízení 2019/1157.

C.      Ke třetímu důvodu neplatnosti, vycházejícímu z neslučitelnosti čl. 3 odst. 5 nařízení 2019/1157 s články 7 a 8 Listiny

69      Třetí důvod neplatnosti nařízení 2019/1157 uvedený předkládajícím soudem se týká otázky, zda povinnost zaznamenávat dva úplné otisky prstů na paměťovém médiu průkazů totožnosti vydávaných členskými státy, stanovená v čl. 3 odst. 5 tohoto nařízení, vede k neodůvodněnému omezení práv zaručených v článcích 7 a 8 Listiny.

1.      K existenci omezení

70      Článek 7 Listiny stanoví mimo jiné, že každý má právo na respektování svého soukromého života. Podle čl. 8 odst. 1 Listiny má každý právo na ochranu osobních údajů, které se ho týkají. Z těchto ustanovení ve vzájemném spojení vyplývá, že každé zpracování osobních údajů třetí osobou může být v zásadě zásahem do uvedených práv (rozsudek ze dne 17. října 2013, Schwarz, C‑291/12, EU:C:2013:670, bod 25).

71      V projednávané věci čl. 3 odst. 5 nařízení 2019/1157 stanoví, že vysoce zabezpečené paměťové médium, které musí být součástí průkazů totožnosti vydávaných členskými státy jejich státním příslušníkům, musí obsahovat biometrické údaje, a sice zobrazení obličeje a dva otisky prstů v interoperabilních digitálních formátech.

72      Tyto osobní údaje umožňují přesnou identifikaci dotčených fyzických osob a jsou obzvláště citlivé z důvodu významných rizik pro základní práva a svobody, která by mohlo představovat jejich použití, jak vyplývá zejména z bodu 51 odůvodnění GDPR, které se, jak je připomenuto v bodě 40 odůvodnění nařízení 2019/1157, vztahuje na dotčené údaje.

73      Povinnost zaznamenávat dva otisky prstů do paměťového média průkazů totožnosti, stanovená v čl. 3 odst. 5 nařízení 2019/1157, tedy představuje omezení jak práva na respektování soukromého života, tak práva na ochranu osobních údajů, jež jsou zakotvena v článcích 7 a 8 Listiny.

74      Tato povinnost navíc zahrnuje předchozí provedení dvou po sobě jdoucích zpracování osobních údajů, a sice shromáždění uvedených otisků od subjektu údajů a poté jejich dočasné uchovávání za účelem personalizace průkazů totožnosti, která jsou upravena v článku 10 uvedeného nařízení. Rovněž tyto operace představují omezení práv zakotvených v článcích 7 a 8 Listiny.

2.      K odůvodnění omezení

75      Jak vyplývá z ustálené judikatury, právo na respektování soukromého života a právo na ochranu osobních údajů zaručená v článcích 7 a 8 Listiny nejsou absolutními výsadami, ale musí být zohledněna ve vztahu k jejich funkci ve společnosti (v tomto smyslu viz rozsudek ze dne 20. září 2022, SpaceNet a Telekom Deutschland, C‑793/19 a C‑794/19, EU:C:2022:702, bod 63).

76      Tato práva tedy mohou být omezena, pokud jsou tato omezení v souladu s čl. 52 odst. 1 první větou Listiny stanovena zákonem a respektují podstatu těchto práv. Kromě toho podle druhé věty tohoto odstavce mohou být omezení zavedena při dodržení zásady proporcionality pouze tehdy, pokud jsou nezbytná a pokud skutečně odpovídají cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého. Článek 8 odst. 2 Listiny v tomto ohledu stanoví, že osobní údaje musí být zpracovány mimo jiné „k přesně stanoveným účelům a na základě souhlasu dotčené osoby nebo na základě jiného oprávněného důvodu stanoveného zákonem“.

a)      K dodržení zásady legality

77      Pokud jde o požadavek uvedený v čl. 52 odst. 1 první větě Listiny, aby každé omezení výkonu práv jí uznaných bylo stanoveno zákonem, je nutno připomenout, že tento požadavek implikuje, že akt dovolující zásah do těchto práv musí sám definovat rozsah omezení výkonu dotyčného práva s tím, že zaprvé tento požadavek nevylučuje, aby dotčené omezení bylo formulováno dostatečně širokým způsobem, aby se mohlo přizpůsobit odlišným případům, jakož i změnám situací, a zadruhé že Soudní dvůr může případně upřesnit výkladem konkrétní rozsah omezení jak s ohledem na samotné znění dotčené právní úpravy Unie, tak na její obecnou systematiku a cíle, které sleduje, vykládané s ohledem na základní práva zaručená Listinou (rozsudek ze dne 21. června 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, bod 114).

78      V projednávané věci jsou omezení výkonu základních práv zaručených v článcích 7 a 8 Listiny vyplývající z povinnosti zaznamenávat do paměťového média průkazů totožnosti vydávaných členskými státy dva úplné otisky prstů, jakož i podmínky použití a rozsah těchto omezení jasně a přesně vymezeny v čl. 3 odst. 5 a čl. 10 odst. 1 a 3 nařízení 2019/1157, které byly přijaty unijním normotvůrcem řádným legislativním postupem a jejichž účinky budou tímto rozsudkem zachovány.

79      Uvedená omezení výkonu základních práv zaručených v článcích 7 a 8 Listiny jsou tedy v souladu se zásadou legality stanovenou v čl. 52 odst. 1 první větě Listiny.

b)      K respektování podstaty základních práv zaručených v článcích 7 a 8 Listiny

80      Je třeba konstatovat, že údaje obsažené v otiscích prstů samy o sobě neumožňují odhalit informace o soukromém a rodinném životě dotčených osob.

81      Za těchto podmínek neporušuje omezení, které s sebou nese povinnost zaznamenávat dva otisky prstů do paměťového média průkazů totožnosti vydávaných členskými státy, stanovené v čl. 3 odst. 5 nařízení 2019/1157, podstatu základních práv zakotvených v článcích 7 a 8 Listiny (obdobně viz rozsudek ze dne 21. června 2022,Ligue des droits humains, C‑817/19, EU:C:2022:491, bod 120).

c)      K dodržení zásady proporcionality

82      Jak vyplývá z čl. 52 odst. 1 druhé věty Listiny, k tomu, aby bylo možné omezit výkon základních práv zaručených Listinou při dodržení zásady proporcionality, musí být tato omezení nezbytná a skutečně odpovídat cílům obecného zájmu, které uznává Unie, nebo potřebě ochrany práv a svobod druhého.

83      Konkrétně výjimky z ochrany osobních údajů a jejich omezení jsou činěny v mezích toho, co je nezbytně nutné, přičemž se rozumí, že pokud se nabízí volba mezi více opatřeními vhodnými k dosažení sledovaných legitimních cílů, je třeba zvolit nejméně omezující opatření. Kromě toho nelze při sledování cíle obecného zájmu ztrácet ze zřetele skutečnost, že tento cíl je třeba uvést do souladu se základními právy dotčenými daným opatřením, a to vyváženým poměřením tohoto cíle s dotčenými právy, aby se zajistilo, že nepříznivé následky způsobené tímto opatřením nebudou nepřiměřené vzhledem ke sledovaným cílům. Možnost odůvodnit omezení práv zaručených v článcích 7 a 8 Listiny musí být tedy posuzována z hlediska závažnosti zásahu, který takové omezení představuje, a musí být ověřeno, že význam cíle obecného zájmu sledovaného tímto omezením je úměrný závažnosti zásahu (rozsudky ze dne 22. listopadu 2022, Luxembourg Business Registers, C‑37/20 a C‑601/20, EU:C:2022:912, bod 64, jakož i citovaná judikatura).

84      Za účelem ověření, zda zásahy do práv zaručených v článcích 7 a 8 Listiny, které vyplývají z povinnosti zaznamenávání dvou otisků prstů do paměťového média průkazů totožnosti, stanoveného v čl. 3 odst. 5 nařízení 2019/1157, jsou v projednávané věci v souladu se zásadou proporcionality, je tedy třeba zkoumat, zda zaprvé toto opatření sleduje jeden nebo více cílů obecného zájmu uznaných Unií a je skutečně vhodné k dosažení těchto cílů, zadruhé, zda jsou zásahy, které z něj plynou, omezeny na to, co je nezbytně nutné v tom smyslu, že uvedených cílů nelze rozumně dosáhnout stejně účinným způsobem jinými prostředky, které méně zasahují do těchto základních práv dotčených osob, a zatřetí, zda uvedené zásahy nejsou nepřiměřené ve vztahu k cílům, což mimo jiné předpokládá zvážení těchto cílů a závažnosti uvedených zásahů (v tomto smyslu viz rozsudky ze dne 22. listopadu 2022, Luxembourg Business Registers, C‑37/20 a C‑601/20, EU:C:2022:912, bod 66, jakož i ze dne 8. prosince 2022, Orde van Vlaamse Balies a další, C‑694/20, EU:C:2022:963, bod 42).

1)      Ke sledování jednoho nebo více cílů obecného zájmu uznaných Unií a ke vhodnosti opatření k dosažení těchto cílů

i)      K povaze cílů sledovaných dotčeným opatřením jako cílů obecného zájmu

85      Předmětem nařízení 2019/1157 je podle jeho článku 1 posilovat bezpečnostní normy vztahující se mimo jiné na průkazy totožnosti, které vydávají členské státy svým státním příslušníkům při výkonu jejich práva volného pohybu.

86      Jak vyplývá konkrétně z bodů 4, 5, 17 až 20 a 32 odůvodnění nařízení 2019/1157, zaznamenávání biometrických údajů, mezi nimiž jsou obsaženy dva úplné otisky prstů, do paměťového média průkazů totožnosti má za cíl zajistit pravost těchto průkazů, jakož i umožnit spolehlivou identifikaci jejich držitele, a zároveň přispívat, v souladu s body 23 a 33 odůvodnění, jakož i s čl. 3 odst. 5 tohoto nařízení, k interoperabilitě systémů ověřování dokladů totožnosti s cílem snížit riziko padělání dokladů totožnosti a podvodů s nimi.

87      Soudní dvůr již měl příležitost rozhodnout v souvislosti s vydáváním cestovních pasů (v tomto smyslu viz rozsudek ze dne 17. října 2013, Schwarz, C‑291/12, EU:C:2013:670, body 36 až 38), jakož i se zřízením rejstříku státních příslušníků třetích zemí (v tomto smyslu viz rozsudek ze dne 3. října 2019, A a další, C‑70/18, EU:C:2019:823, bod 46, jakož i citovaná judikatura), že boj proti podvodům s dokumenty, který zahrnuje zejména boj proti výrobě padělaných průkazů totožnosti a zneužití totožnosti, představuje cíl obecného zájmu uznaný Unií.

88      Takovou povahu má rovněž cíl interoperability systémů ověřování dokladů totožnosti, neboť jak vyplývá z bodu 17 odůvodnění nařízení 2019/1157, tento cíl přispívá k usnadnění výkonu práva občanů Unie svobodně se pohybovat a pobývat na území členských států, která jim přiznává článek 20 SFEU.

ii)    Ke vhodnosti dotčeného opatření účinně splnit sledované cíle obecného zájmu

89      V projednávané věci je zaznamenávání dvou úplných otisků prstů do paměťového média průkazů totožnosti vhodné k uskutečnění cílů obecného zájmu spočívajících v boji proti výrobě padělaných průkazů totožnosti a proti zneužití totožnosti, jakož i v interoperabilitě systémů ověřování, které unijní normotvůrce uvedl k odůvodnění tohoto opatření.

90      Zaprvé může totiž zaznamenávání takových biometrických údajů, jako jsou otisky prstů, do průkazů totožnosti ztížit výrobu padělaných průkazů totožnosti, jelikož zejména podle čl. 3 odst. 5 nařízení 2019/1157 ve spojení s čl. 14 odst. 1 a 2 tohoto nařízení musí být tyto údaje uchovávány podle přesných technických norem, které mohou být tajné.

91      Dále představuje zaznamenávání těchto biometrických údajů prostředek, který v souladu s čl. 11 odst. 6 a body 18 a 19 odůvodnění nařízení 2019/1157 umožňuje spolehlivě ověřit pravost průkazu totožnosti a totožnost držitele průkazu, a snížit tak riziko podvodu.

92      A konečně volba unijního normotvůrce upravit zaznamenávání úplných otisků prstů se rovněž zdá být vhodná k dosažení cíle interoperability systémů ověřování průkazů totožnosti, jelikož použití úplných otisků prstů umožňuje zajistit kompatibilitu se všemi automatizovanými systémy identifikace otisků prstů používanými členskými státy, přestože tyto systémy nutně nevyužívají tentýž mechanismus identifikace.

93      Předkládající soud ještě podotýká, že čl. 3 odst. 7 nařízení 2019/1157 v prvním pododstavci umožňuje členským státům osvobodit z odebírání otisků prstů zejména děti mladší dvanácti let, a ve druhém pododstavci jim dokonce ukládá, aby z tohoto odebírání osvobodily děti mladší šesti let.

94      Je pravda, že právní úprava je vhodná k zaručení uskutečnění dovolávaného cíle pouze tehdy, pokud v ní stanovená opatření skutečně odpovídají snaze jej dosáhnout a pokud jsou prováděna soudržným a systematickým způsobem (obdobně viz rozsudek ze dne 5. prosince 2023, Nordic Info, C‑128/22, EU:C:2023:951, bod 84 a citovaná judikatura).

95      Nařízení 2019/1157 však tento požadavek splňuje, přestože stanoví výjimky z povinnosti odebírání otisků prstů u dětí, jelikož – jak vyplývá z jeho bodu 26 odůvodnění – cílem těchto výjimek je zohlednit nejlepší zájem dítěte.

96      Totéž platí pro pravidlo stanovené v článku 5 nařízení 2019/1157, podle něhož průkazy totožnosti, které nesplňují požadavky uvedené v článku 3 tohoto nařízení, pozbývají platnosti teprve skončením jejich platnosti nebo nejpozději dne 3. srpna 2031. Unijní normotvůrce mohl totiž považovat takové přechodné období za vhodné k tomu, aby členské státy ušetřil zátěže spojené s vydáváním nových průkazů totožnosti pro všechny dotčené osoby ve velmi krátkém období, aniž tím zpochybnil dlouhodobou účinnost opatření stanovených tímto nařízením.

97      Pokud jde o okolnost, že některé členské státy ve svých právních předpisech stanoví, že průkazy totožnosti, které vydávají, zůstávají v platnosti bez ohledu na vadné elektronické paměťové médium, postačí uvést, že takové právní předpisy jsou slučitelné s nařízením 2019/1157 pouze za předpokladu, že přechodné období uvedené v předchozím bodě neuplynulo.

2)      K nezbytnosti použití dotčeného opatření pro účely dosažení sledovaných cílů obecného zájmu

98      Pokud jde v tomto ohledu zaprvé o samotnou zásadu zaznamenávání otisků prstů do paměťového média průkazů totožnosti, je třeba konstatovat, že otisky prstů jsou spolehlivými a účinnými prostředky k tomu, aby byla s jistotou zjištěna totožnost osoby, a že postup používaný pro účely shromažďování těchto otisků je jednoduše proveditelný.

99      Jak konkrétně uvedla generální advokátka v bodě 90 svého stanoviska, pouhé vložení zobrazení obličeje představuje méně účinný prostředek identifikace než vložení dvou otisků prstů vedle tohoto zobrazení, neboť stárnutí, způsob života, onemocnění nebo estetický či rekonstrukční chirurgický zákrok mohou pozměnit anatomické rysy obličeje.

100    Je pravda, že v posouzení vlivu, které provedla Komise a je připojeno k návrhu nařízení, z něhož vychází nařízení 2019/1157, bylo uvedeno, že má být upřednostněna možnost, podle níž nebude povinné zaznamenávat dva otisky do paměťového média průkazů totožnosti.

101    Nicméně kromě toho, že se sama Komise rozhodla tuto možnost do svého legislativního návrhu nezahrnout, je třeba poznamenat, že interinstitucionální dohoda sice v bodě 14 stanoví, že při posuzování legislativních návrhů Komise musí Parlament a Rada plně zohlednit posouzení dopadů provedené Komisí, avšak bod 12 téže dohody uvádí, že tato posouzení „jsou nástrojem, který má třem orgánům pomáhat přijímat informovaná rozhodnutí, ale nenahrazují politická rozhodnutí v rámci demokratického rozhodovacího procesu“. I když jsou tedy Parlament a Rada povinny zohlednit posouzení dopadů Komise, nejsou nicméně vázány jejich obsahem, zejména pokud jde o posouzení, která jsou v něm obsažena (v tomto smyslu viz rozsudek ze dne 21. června 2018, Polsko v. Parlament a Rada, C‑5/16, EU:C:2018:483, bod 159, jakož i citovaná judikatura).

102    Samotná skutečnost, že unijní normotvůrce přijal odlišné, případně striktnější opatření, než které bylo doporučeno po posouzení dopadu, nemůže prokázat, že unijní normotvůrce překročil meze toho, co bylo nezbytné k dosažení sledovaného cíle (v tomto smyslu viz rozsudek ze dne 4. května 2016, Pillbox 38, C‑477/14, EU:C:2016:324, bod 65).

103    V projednávané věci vyplynulo z posouzení vlivu provedeného Komisí, že možnost povinného zaznamenávání otisků prstů do paměťového média průkazů totožnosti je nejúčinnějším prostředkem pro dosažení specifického cíle boje proti výrobě padělaných průkazů totožnosti a zlepšení ověřování pravosti dokladů. Za těchto podmínek nemůže možnost, aby takové zaznamenávání nebylo povinné, zpochybnit v žádném případě nezbytnost opatření zvoleného unijním normotvůrcem ve smyslu judikatury uvedené v bodě 84 tohoto rozsudku.

104    Ve druhé řadě, pokud jde o ukládání dvou úplných otisků prstů a nikoli určitých charakteristických bodů těchto otisků („minucie“), je třeba konstatovat, jak zaprvé uvedla generální advokátka v bodě 93 svého stanoviska, že minucie neposkytují stejné záruky jako úplný otisk. Zadruhé uložení úplného otisku je nezbytné pro interoperabilitu systémů ověřování dokladů totožnosti, což představuje jeden ze základních sledovaných cílů. Jak totiž vyplývá z bodu 47 posudku 7/2018 a rovněž zdůrazňuje předkládající soud, členské státy používají různé technologie identifikace otisků prstů, takže zaznamenávání pouze některých charakteristických bodů otisků do paměťového média dokladů totožnosti by mělo za následek, že bude narušeno uskutečnění cíle interoperability systémů ověřování dokladů totožnosti sledovaného nařízením 2019/1157.

105    Z výše uvedených úvah vyplývá, že omezení základních práv zaručených v článcích 7 a 8 Listiny, která vyplývají z povinnosti zaznamenávat dva úplné otisky prstů do paměťového média, dodržují podle všeho meze toho, co je naprosto nezbytné.

3)      K existenci poměrného vážení závažnosti zásahu do dotčených základních práv na jedné straně a cílů sledovaných tímto opatřením na straně druhé

i)      K závažnosti zásahu vyvolaného omezením výkonu práv zaručených v článcích 7 a 8 Listiny

106    Posouzení závažnosti zásahu vycházejícího z omezení práv zaručených v článcích 7 a 8 Listiny vyžaduje zohlednění povahy dotčených osobních údajů, zejména případně jejich citlivé povahy, jakož i povahy a konkrétních způsobů zpracování údajů, zejména počtu osob, které mají k těmto údajům přístup, a podmínek přístupu k nim. Případně musí být rovněž zohledněna existence opatření, která mají zabránit riziku, že tyto údaje budou předmětem zneužívajících zpracování.

107    Je pravda, že v projednávané věci se omezení výkonu práv zaručených v článcích 7 a 8 Listiny vyplývající z nařízení 2019/1157 může dotknout velkého počtu osob, přičemž tento počet Komise ve svém posouzení vlivu odhadla na 370 milionů obyvatel z celkového tehdejšího počtu 440 milionů obyvatel Unie. Otisky prstů jakožto biometrické údaje jsou svou povahou obzvláště citlivé a požívají, jak vyplývá zejména z bodu 51 odůvodnění GDPR, v unijním právu zvláštní ochrany.

108    Je však třeba zdůraznit, že shromažďování a uchovávání dvou úplných otisků prstů je nařízením 2019/1157 povoleno pouze za účelem zaznamenávání těchto otisků prstů do paměťového média průkazů totožnosti.

109    Kromě toho z čl. 3 odst. 5 tohoto nařízení ve spojení s jeho čl. 10 odst. 3 vyplývá, že jakmile bylo provedeno toto zaznamenání a dotčené osobě byl vydán průkaz totožnosti, jsou shromážděné otisky prstů uchovávány pouze v paměťovém médiu uvedeného průkazu, jehož fyzickým držitelem je v zásadě tato osoba.

110    A konečně nařízení 2019/1157 stanoví soubor záruk, jimiž mají být omezena rizika, že při jeho provádění budou osobní údaje shromažďovány nebo používány k jiným účelům, než je dosažení cílů, které sleduje, a to nejen v souvislosti se zpracováním osobních údajů, které toto nařízení stanoví jako povinné, ale rovněž s ohledem na hlavní zpracování, jež se mohou týkat otisků prstů zaznamenávaných v paměťovém médiu průkazů totožnosti.

111    Pokud jde zaprvé o shromažďování údajů, čl. 10 odst. 1 a 2 nařízení 2019/1157 stanoví, že biometrické identifikátory jsou odebírány „výlučně kvalifikovanými a řádně zmocněnými pracovníky“, a tito pracovníci musí dodržovat „vhodné a účinné postupy pro odebírání biometrických identifikátorů“, přičemž tyto postupy musí být v souladu s právy a zásadami stanovenými v Listině, Úmluvě o ochraně lidských práv a základních svobod a Úmluvě OSN o právech dítěte. Jak bylo navíc uvedeno v bodě 93 tohoto rozsudku, čl. 3 odst. 7 tohoto nařízení obsahuje zvláštní pravidla pro děti mladší dvanácti let (první a druhý pododstavec), jakož i pro osoby, u nichž je odebrání otisků prstů fyzicky nemožné (třetí pododstavec), přičemž posledně uvedené osoby jsou „od povinnosti poskytnout otisky prstů osvobozeny“.

112    Pokud jde zadruhé o uchovávání údajů, nařízení 2019/1157 ukládá zaprvé členským státům povinnost uchovávat jako biometrické údaje zobrazení obličeje a dva otisky prstů. V tomto ohledu bod 21 odůvodnění tohoto nařízení výslovně uvádí, že toto nařízení nevytváří „právní základ pro zřízení či provoz databází na vnitrostátní úrovni pro uchovávání biometrických údajů v členských státech, což je záležitost vnitrostátního práva, jež musí být v souladu s právem Unie v oblasti ochrany údajů“, ani neposkytuje „právní základ pro zřízení či provoz centralizované databáze na úrovni Unie“. Zadruhé čl. 10 odst. 3 uvedeného nařízení stanoví, že tyto „biometrické identifikátory […] jsou uchovávány […] pouze do dne převzetí dokladu, nejdéle však do 90 dnů ode dne vydání dokladu“ a upřesňuje, že „[p]o uplynutí této lhůty musí být biometrické identifikátory okamžitě vymazány nebo zničeny“.

113    Z toho zejména vyplývá, že čl. 10 odst. 3 nařízení 2019/1157 neumožňuje členským státům zpracovávat biometrické údaje pro jiné účely, než jsou účely uvedené v tomto nařízení. Toto ustanovení navíc brání centralizovanému uchovávání otisků prstů, které přesahuje rámec dočasného uchovávání těchto otisků prstů pro účely personalizace průkazů totožnosti.

114    A konečně čl. 11 odst. 6 nařízení 2019/1157 zmiňuje, že biometrické údaje obsažené v zabezpečeném paměťovém médiu mohou v souladu s unijním a vnitrostátním právem používat řádně zmocnění pracovníci příslušných vnitrostátních orgánů a agentur Unie.

115    Podle písm. a) tohoto ustanovení lze biometrické údaje uchovávané na paměťovém médiu průkazů totožnosti a povolení k pobytu používat pouze pro účely ověření pravosti průkazu totožnosti nebo povolení k pobytu.

116    Podle písm. b) uvedeného ustanovení mohou být biometrické údaje uchovávané na paměťovém médiu průkazů totožnosti a povolení k pobytu používány k ověření totožnosti držitele „prostřednictvím přímo dostupných porovnatelných prvků v případech, kdy právní předpis stanoví povinnost průkaz totožnosti nebo povolení k pobytu předložit“. Takové zpracování může poskytnout další informace o soukromém životě subjektů údajů, takže může být prováděno pouze pro účely přísně omezené na identifikaci subjektu údajů a za podmínek přesně vymezených zákonem, který vyžaduje předložení průkazu totožnosti nebo dokladu o pobytu.

117    Pokud jde zatřetí o prohlížení biometrických údajů uložených na paměťovém médiu průkazů totožnosti, je třeba zdůraznit, že bod 19 odůvodnění nařízení 2019/1157 stanoví pořadí pro využití prostředků pro ověření pravosti dokladu a totožnosti držitele, když stanoví, že členské státy musí „primárně ověřovat zobrazení obličeje“, a pokud je nutné potvrdit pravost dokladu a totožnost držitele nad veškerou pochybnost, měly by rovněž „ověřovat otisky prstů“.

118    Pokud jde začtvrté o riziko neoprávněného přístupu k uchovávaným údajům, čl. 3 odst. 5 a 6 nařízení 2019/1157 stanoví, že v zájmu minimalizace tohoto rizika se otisky prstů uchovávají na „vysoce zabezpečeném paměťovém médiu“, které má „dostatečnou kapacitu a schopnost zaručit integritu, pravost a důvěrnost údajů“. Navíc z čl. 3 odst. 10 tohoto nařízení vyplývá, že „pokud členské státy v průkazech totožnosti uchovávají údaje pro elektronické služby, jako je například elektronická veřejná správa a elektronické podnikání, tyto vnitrostátní údaje se fyzicky nebo logicky oddělí“ zejména od biometrických údajů shromažďovaných a uchovávaných na základě uvedeného nařízení. A konečně z bodů 41 a 42 odůvodnění, jakož i z čl. 11 odst. 4 téhož nařízení vyplývá, že členské státy zůstávají odpovědné za řádné zpracování biometrických údajů, a to i při spolupráci s externími poskytovateli služeb.

ii)    K významu sledovaných cílů

119    Jak bylo připomenuto v bodě 86 tohoto rozsudku, cílem zaznamenávání dvou otisků prstů do paměťového média průkazů totožnosti je boj proti výrobě padělaných průkazů totožnosti a zneužití totožnosti, jakož i zajištění interoperability systémů ověřování dokladů totožnosti. V tomto ohledu může přispívat k ochraně soukromého života dotčených osob, jakož i obecněji k boji proti trestné činnosti a terorismu.

120    Takové opatření navíc umožňuje reagovat na potřebu všech občanů Unie mít k dispozici prostředky k tomu, aby se mohli spolehlivě identifikovat, jakož i k tomu, aby se členské státy ujistily, že osoby, které se dovolávají práv přiznaných unijním právem, jsou jejich skutečnými nositeli. Přispívá tedy zejména k usnadnění výkonu práva občanů Unie na svobodu pohybu a pobytu, která je rovněž základním právem zaručeným v článku 45 Listiny. Cíle sledované nařízením 2019/1157 zejména prostřednictvím ukládání dvou otisků prstů do paměťového média průkazů totožnosti mají tedy zvláštní význam nejen pro Unii a členské státy, ale i pro občany Unie.

121    Kromě toho legitimita a význam těchto cílů nejsou nijak zpochybněny okolností, na kterou poukázal předkládající soud, že v bodech 24 až 26 stanoviska 7/2018 bylo uvedeno, že v letech 2013 až 2017 bylo zjištěno pouze 38 870 případů podvodných průkazů totožnosti a tento počet již několik let klesá.

122    I za předpokladu, že by byl počet podvodných průkazů totožnosti nízký, nebyl totiž unijní normotvůrce povinen čekat, až se tento počet zvýší, aby teprve poté přijal opatření k předcházení riziku používání těchto průkazů, nýbrž mohl, zejména v zájmu kontroly nad riziky, takový vývoj předvídat, pokud byly splněny ostatní podmínky týkající se dodržení zásady proporcionality.

iii) K vyváženosti

123    S ohledem na výše uvedené je třeba konstatovat, že omezení výkonu práv zaručených v článcích 7 a 8 Listiny pramenící z ukládání dvou otisků prstů do paměťového média průkazů totožnosti se nejeví být vzhledem k povaze dotčených údajů, povaze a způsobům zpracování, jakož i stanoveným ochranným mechanismům natolik závažné, aby bylo nepřiměřené v poměru k důležitosti jednotlivých cílů, které toto opatření sleduje. Je tedy třeba učinit závěr, že takové opatření je založeno na vyváženém poměření těchto cílů na jedné straně a dotčených základních práv na straně druhé.

124    Omezení výkonu práv zaručených v článcích 7 a 8 Listiny proto není v rozporu se zásadou proporcionality, takže třetí důvod nemůže vést k neplatnosti nařízení 2019/1157.

125    Ze všech výše uvedených úvah vyplývá, že nařízení 2019/1157 je neplatné, neboť bylo přijato na základě čl. 21 odst. 2 SFEU.

IV.    K zachování časových účinků nařízení 2019/1157

126    Účinky aktu prohlášeného za neplatný lze zachovat z důvodů právní jistoty, zejména pokud by okamžité účinky rozsudku konstatujícího tuto neplatnost měly závažné negativní důsledky pro dotčené osoby (v tomto smyslu viz rozsudek ze dne 17. března 2016, Parlament v. Komise, C‑286/14, EU:C:2016:183, bod 67).

127    V projednávané věci by zrušení nařízení 2019/1157 s okamžitým účinkem mohlo mít závažné negativní důsledky pro značný počet občanů Evropské unie a zejména pro jejich bezpečnost v prostoru svobody, bezpečnosti a práva.

128    Za těchto podmínek Soudní dvůr rozhodl, že je třeba zachovat účinky nařízení 2019/1157 do doby, než v přiměřené lhůtě, která nepřesáhne dva roky od 1. ledna roku následujícího po dni vyhlášení tohoto rozsudku, vstoupí v platnost nové nařízení založené na čl. 77 odst. 3 SFEU, které jej nahradí.

V.      K nákladům řízení

129    Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (velký senát) rozhodl takto:

1)      Nařízení Evropského parlamentu a Rady (EU) 2019/1157 ze dne 20. června 2019 o posílení zabezpečení průkazů totožnosti občanů Unie a povolení k pobytu vydávaných občanům Unie a jejich rodinným příslušníkům, kteří vykonávají své právo volného pohybu, je neplatné.

2)      Účinky nařízení 2019/1157 jsou zachovány do doby, než v přiměřené lhůtě, která nepřesáhne dva roky od 1. ledna roku následujícího po dni vyhlášení tohoto rozsudku, vstoupí v platnost nové nařízení založené na čl. 77 odst. 3 SFEU, které jej nahradí.

Podpisy

*      Jednací jazyk: němčina.