Voorlopige editie

ARREST VAN HET HOF (Grote kamer)

21 maart 2024 (*)

„Prejudiciële verwijzing – Verordening (EU) 2019/1157 – Versterking van de beveiliging van identiteitskaarten van burgers van de Europese Unie – Geldigheid – Rechtsgrondslag – Artikel 21, lid 2, VWEU – Artikel 77, lid 3, VWEU – Verordening (EU) 2019/1157 – Artikel 3, lid 5, VWEU – Verplichting voor de lidstaten om in het opslagmedium van identiteitskaarten twee vingerafdrukbeelden in interoperabele, digitale formaten op te nemen – Artikel 7 van het Handvest van de grondrechten van de Europese Unie – Eerbiediging van het privéleven en van het familie- en gezinsleven – Artikel 8 van het Handvest van de grondrechten – Bescherming van persoonsgegevens – Verordening (EU) 2016/679 – Artikel 35 – Verplichting om een gegevensbeschermingseffectbeoordeling te verrichten – Handhaving van de gevolgen van een ongeldig verklaarde verordening in de tijd”

In zaak C‑61/22,

betreffende een verzoek om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland) bij beslissing van 13 januari 2022, ingekomen bij het Hof op 1 februari 2022, in de procedure

RL

tegen

Landeshauptstadt Wiesbaden,

wijst

HET HOF (Grote kamer),

samengesteld als volgt: K. Lenaerts, president, L. Bay Larsen, vicepresident, A. Arabadjiev, A. Prechal, E. Regan (rapporteur), T. von Danwitz, F. Biltgen en Z. Csehi, kamerpresidenten, J.‑C. Bonichot, S. Rodin, D. Gratsias, M. L. Arastey Sahún en M. Gavalec, rechters,

advocaat-generaal: L. Medina,

griffier: D. Dittert, hoofd van een administratieve eenheid,

gezien de stukken en na de terechtzitting op 14 maart 2023,

gelet op de opmerkingen van:

–        RL, vertegenwoordigd door W. Achelpöhler, Rechtsanwalt,

–        de Duitse regering, vertegenwoordigd door J. Möller en P.‑L. Krüger als gemachtigden,

–        de Belgische regering, vertegenwoordigd door P. Cottin en A. Van Baelen als gemachtigden, bijgestaan door P. Wytinck, advocaat,

–        de Spaanse regering, vertegenwoordigd door L. Aguilera Ruiz als gemachtigde,

–        de Poolse regering, vertegenwoordigd door B. Majczyna als gemachtigde,

–        het Europees Parlement, vertegenwoordigd door G. C. Bartram, P. López-Carceller en J. Rodrigues als gemachtigden,

–        de Raad van de Europese Unie, vertegenwoordigd door M. França en Z. Šustr als gemachtigden,

–        de Europese Commissie, vertegenwoordigd door H. Kranenborg, E. Montaguti en I. Zaloguin als gemachtigden,

gehoord de conclusie van de advocaat-generaal ter terechtzitting van 29 juni 2023,

het navolgende

Arrest

1        Het verzoek om een prejudiciële beslissing betreft de geldigheid van verordening (EU) 2019/1157 van het Europees Parlement en de Raad van 20 juni 2019 betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en van verblijfsdocumenten afgegeven aan burgers van de Unie en hun familieleden die hun recht van vrij verkeer uitoefenen (PB 2019, L 188, blz. 67), in het bijzonder artikel 3, lid 5, van deze verordening.

2        Dit verzoek is ingediend in het kader van een geding tussen RL en de Landeshauptstadt Wiesbaden (Wiesbaden, hoofdstad van de deelstaat Hessen, Duitsland) (hierna: „stad Wiesbaden”) over de afwijzing door deze laatste van het verzoek van RL tot afgifte van een identiteitskaart zonder dat daarin zijn vingerafdrukken zijn opgenomen.

I.      Toepasselijke bepalingen

A.      Unierecht

1.      Verordening 2019/1157

3        In de overwegingen 1, 2, 4, 5, 17 tot en met 21, 23, 26 tot en met 29, 32, 33, 36, 40 tot en met 42 en 46 van verordening 2019/1157 staat te lezen:

„(1)      Overeenkomstig het [VEU] is de [Europese] Unie vastbesloten het vrije verkeer van personen te vergemakkelijken en tegelijkertijd tevens de veiligheid en zekerheid van hun volkeren te waarborgen, door een ruimte van vrijheid, veiligheid en rechtvaardigheid tot stand te brengen, overeenkomstig het bepaalde in het VEU en het [VWEU].

(2)      Met het burgerschap van de Unie wordt iedere burger van de Unie het recht van vrij verkeer verleend, mits bepaalde beperkingen en voorwaarden in acht worden genomen. Richtlijn 2004/38/EG [van het Europees Parlement en de Raad van 29 april 2004 betreffende het recht van vrij verkeer en verblijf op het grondgebied van de lidstaten voor de burgers van de Unie en hun familieleden, tot wijziging van verordening (EEG) nr. 1612/68 en tot intrekking van de richtlijnen 64/221/EEG, 68/360/EEG, 72/194/EEG, 73/148/EEG, 75/34/EEG, 75/35/EEG, 90/364/EEG, 90/365/EEG en 93/96/EEG (PB 2004, L 158, blz. 77)] geeft uitvoering aan dat recht. Artikel 45 van het Handvest van de grondrechten van de Europese Unie (hierna: ‚het Handvest’) voorziet eveneens in het recht van vrijheid van verkeer en van verblijf. Vrijheid van verkeer houdt het recht in om lidstaten te verlaten en binnen te komen met een geldige identiteitskaart of een geldig paspoort.

[...]

(4)      In [richtlijn 2004/38] is bepaald dat de lidstaten de nodige maatregelen kunnen nemen om een in die richtlijn neergelegd recht in geval van rechtsmisbruik of fraude te ontzeggen, te beëindigen of in te trekken. Vervalsing van documenten of een onjuiste voorstelling van feiten betreffende de voorwaarden voor het verblijfsrecht zijn in het kader van deze richtlijn genoemd als typische gevallen van fraude.

(5)      Er bestaan aanzienlijke verschillen tussen de beveiligingsniveaus van de door de lidstaten afgegeven nationale identiteitskaarten en verblijfsvergunningen voor in een andere lidstaat woonachtige Unieonderdanen en hun familieleden. Die verschillen doen het risico op vervalsing en documentfraude toenemen, en leiden eveneens tot praktische moeilijkheden voor burgers bij de uitoefening van hun recht op vrij verkeer. Uit cijfers van het European Document Fraud Risk Analysis Network (EDF-RAN) blijkt dat het aantal incidenten met betrekking tot frauduleuze identiteitskaarten in de loop der tijd is toegenomen.

[...]

(17)      Beveiligingskenmerken zijn noodzakelijk om te verifiëren of een document authentiek is en om de identiteit van een persoon vast te stellen. De vaststelling van minimumbeveiligingsnormen en de integratie van biometrische gegevens in identiteitskaarten en in verblijfskaarten van familieleden die niet de nationaliteit bezitten van een lidstaat, zijn belangrijke stappen om het gebruik ervan in de Unie veiliger te maken. Het opnemen van dergelijke biometrische kenmerken dient Unieburgers in staat te stellen ten volle te profiteren van hun rechten van vrij verkeer.

(18)      De opslag van een gezichtsopname en twee vingerafdrukken (‚biometrische gegevens’) op identiteitskaarten en verblijfskaarten, waarin reeds wordt voorzien bij biometrische paspoorten en verblijfsvergunningen voor onderdanen van derde landen, vormt een passende combinatie van betrouwbare identificatie en authenticatie met een lagere fraudegevoeligheid, waarmee identiteitskaarten en verblijfskaarten beter kunnen worden beveiligd.

(19)      Als algemene praktijk dienen lidstaten voor de verificatie van de authenticiteit van het document en de identiteit van de houder, primair de gezichtsopname te verifiëren en, indien dit nodig is om de authenticiteit van het document en de identiteit van de houder zonder enige twijfel te bevestigen, moeten de lidstaten ook de vingerafdrukken verifiëren.

(20)      De lidstaten moeten waarborgen dat in gevallen waar een verificatie van de biometrische gegevens de authenticiteit van het document of de identiteit van de houder ervan niet bevestigt, een verplichte manuele controle door gekwalificeerd personeel plaatsvindt.

(21)      Deze verordening voorziet niet in een rechtsgrond voor het opzetten of bijhouden van nationale databanken voor de opslag van biometrische gegevens in de lidstaten; dit is een kwestie van nationale wetgeving die moet voldoen aan het Unierecht inzake gegevensbescherming. De verordening voorziet evenmin in een rechtsgrond voor het opzetten of bijhouden van een gecentraliseerde databank op Unieniveau.

[...]

(23)      Voor de toepassing van deze verordening dient rekening te worden gehouden met de specificaties van [document 9303 van de Internationale Burgerluchtvaartorganisatie (ICAO) (hierna: ‚ICAO-document 9303’)] die mondiale interoperabiliteit garanderen onder meer voor machineleesbaarheid en het gebruik van visuele inspectie.

[...]

(26)      De lidstaten moeten ervoor zorgen dat passende en doeltreffende procedures voor de verzameling van biometrische kenmerken zijn vastgesteld en die procedures stroken met de rechten en beginselen zoals verankerd in het Handvest, het [op 4 november 1950 te Rome ondertekende] Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden van de Raad van Europa en het VN-Verdrag inzake de rechten van het kind[, aangenomen door de Algemene Vergadering van de Verenigde Naties op 20 november 1989 (United Nations Treaty Series, deel 1577, blz. 3) en in werking getreden op 2 september 1990]. De lidstaten moeten ervoor zorgen dat de belangen van het kind tijdens de verzamelingsprocedure te allen tijde voorop staan. Daartoe moet gekwalificeerd personeel een passende opleiding krijgen op het gebied van kindvriendelijke methoden voor de verzameling van biometrische kenmerken.

(27)      Wanneer zich moeilijkheden voordoen bij het verzamelen van biometrische kenmerken, moeten de lidstaten ervoor zorgen dat passende procedures voorhanden zijn om de waardigheid van de betrokken persoon te eerbiedigen. Derhalve dient rekening te worden gehouden met specifieke overwegingen in verband met gender, alsook met de specifieke behoeften van kinderen en kwetsbare personen.

(28)      De invoering van minimumnormen voor de beveiliging en het model van identiteitskaarten dient lidstaten in staat te stellen op de authenticiteit van die documenten te vertrouwen wanneer Unieburgers hun rechten van vrij verkeer uitoefenen. De invoering van aangescherpte beveiligingsnormen moet overheidsinstanties en private entiteiten voldoende garanties bieden om te vertrouwen op de authenticiteit van de identiteitskaarten wanneer deze door Unieburgers voor identificatiedoeleinden worden gebruikt.

(29)      Een onderscheidingsteken in de vorm van de uit twee letters bestaande landencode van de lidstaat die het document afgeeft, omringd door twaalf gele sterren en negatief afgedrukt in een blauwe rechthoek, bevordert de visuele controle van het document, met name wanneer de houder het recht van vrij verkeer uitoefent.

[...]

(32)      De lidstaten moeten alle noodzakelijke maatregelen nemen om te waarborgen dat biometrische gegevens op correcte wijze de persoon identificeren aan wie een identiteitskaart wordt verstrekt. Hiertoe kunnen lidstaten overwegen om biometrische kenmerken, met name de gezichtsopname, te verzamelen door middel van een persoonlijke verschijning van de aanvrager bij de nationale autoriteiten die de identiteitskaarten afgeven.

(33)      De lidstaten moeten dergelijke informatie met elkaar delen, aangezien deze nodig is voor de toegang, authenticatie en verificatie van de op het veilige opslagmedium opgeslagen informatie. De formaten die voor het veilige opslagmedium worden gebruikt, moeten interoperabel zijn en moeten ook bruikbaar zijn bij geautomatiseerde grenspassage.

[...]

(36)      Verblijfsdocumenten die aan burgers van de Unie worden afgegeven, dienen specifieke informatie te bevatten om ervoor te zorgen dat zij als dusdanig in alle lidstaten worden geïdentificeerd. Een en ander dient de erkenning van het recht van vrij verkeer van de mobiele Unieburger en van de aan het gebruik van dat recht inherente rechten te vergemakkelijken, maar harmonisatie mag niet verder gaan dan hetgeen passend is om de zwakke punten van bestaande documenten aan te pakken. De lidstaten hebben de vrijheid om het formaat te kiezen waarin deze documenten worden afgegeven, en kunnen deze afgeven in een formaat dat voldoet aan de specificaties van ICAO-document 9303.

[...]

(40)      Verordening (EU) 2016/679 van het Europees Parlement en de Raad [van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PB 2016, L 119, blz. 1; hierna: „AVG”)] is van toepassing op de op grond van deze verordening te verwerken persoonsgegevens. Voorts dienen nadere waarborgen te worden bepaald die gelden voor de verwerkte persoonsgegevens, en in het bijzonder voor gevoelige gegevens, zoals biometrische kenmerken. De betrokkenen dienen erop te worden gewezen dat hun documenten een opslagmedium met hun biometrische gegevens bevatten, die ook contactloos toegankelijk zijn, alsmede op alle gevallen waarin de in hun identiteitskaarten en verblijfsdocumenten opgenomen gegevens worden gebruikt. Hoe dan ook dienen de betrokkenen toegang te hebben tot persoonsgegevens die in hun identiteitskaarten en verblijfsdocumenten zijn verwerkt en dienen zij het recht te hebben deze te laten aanpassen door de afgifte van een nieuw document, indien deze gegevens incorrect of incompleet zijn. Het opslagmedium dient aan de hoogste veiligheidseisen te voldoen en dient de erop opgeslagen persoonsgegevens doeltreffend tegen ongeoorloofde toegang te beschermen.

(41)      De lidstaten moeten, overeenkomstig [de AVG] verantwoordelijk zijn voor de correcte verwerking van biometrische gegevens, vanaf de verzameling tot aan de opname van de gegevens op het opslagmedium dat aan de hoogste veiligheidseisen voldoet.

(42)      De lidstaten moeten uiterste voorzichtigheid betrachten wanneer zij samenwerken met een externe dienstverlener. Een dergelijke samenwerking mag geen uitsluiting inhouden van de aansprakelijkheid van de lidstaten die voortvloeit uit het Unierecht of nationaal recht voor schendingen van bepalingen met betrekking tot persoonsgegevens.

[...]

(46)      Daar de doelstellingen van deze verordening, namelijk het versterken van beveiliging en het vergemakkelijken van het vrij verkeer voor burgers van de Unie en hun familieleden, niet voldoende door de lidstaten kunnen worden verwezenlijkt, maar vanwege de omvang en de gevolgen van het optreden beter door de Unie kunnen worden verwezenlijkt, kan de Unie, overeenkomstig het in artikel 5 [VEU] neergelegde subsidiariteitsbeginsel, maatregelen nemen. Overeenkomstig het in hetzelfde artikel neergelegde evenredigheidsbeginsel gaat deze verordening niet verder dan nodig is om deze doelstellingen te verwezenlijken.”

4        Artikel 1 („Onderwerp”) van verordening 2019/1157 luidt als volgt:

„Deze verordening versterkt de beveiligingsnormen die gelden voor identiteitskaarten die lidstaten aan hun onderdanen afgeven, en voor verblijfsdocumenten die lidstaten afgeven aan burgers van de Unie en hun familieleden wanneer deze(n) hun recht op vrij verkeer binnen de Unie uitoefenen.”

5        Artikel 2 („Toepassingsgebied”) van deze verordening bepaalt:

„Deze verordening is van toepassing op:

a)      identiteitskaarten die lidstaten aan hun eigen onderdanen afgeven als bedoeld in artikel 4, lid 3, van [richtlijn 2004/38];

Deze verordening is niet van toepassing op identiteitsdocumenten die tijdelijk worden afgegeven en die een geldigheidsduur van minder dan zes maanden hebben.      

b)      verklaringen van inschrijving afgegeven overeenkomstig artikel 8 van [richtlijn 2004/38] aan burgers van de Unie die langer dan drie maanden in een gastland verblijven en documenten ter staving van duurzaam verblijf op verzoek afgegeven aan burgers van de Unie overeenkomstig artikel 19 van [richtlijn 2004/38];

c)      verblijfskaarten afgegeven overeenkomstig artikel 10 van [richtlijn 2004/38] aan familieleden van burgers van de Unie die niet de nationaliteit van een lidstaat bezitten en duurzame verblijfskaarten afgegeven overeenkomstig artikel 20 van [richtlijn 2004/38] aan familieleden van burgers van de Unie die niet de nationaliteit van een lidstaat bezitten.”

6        Artikel 3 („Beveiligingsnormen/model/specificaties”) van deze verordening bepaalt in de leden 5 tot en met 7 en 10:

„5.      De identiteitskaart bevat een opslagmedium dat aan de hoogste veiligheidseisen voldoet en dat een gezichtsopname en twee vingerafdrukbeelden van de houder van de kaart bevat, in een [interoperabel] digitaal formaat. Voor het verzamelen van biometrische gegevens passen de lidstaten de technische specificaties toe die zijn vastgesteld bij uitvoeringsbesluit C(2018) 7767 van de Commissie [van 30 november 2018 tot vastlegging van de technische specificaties betreffende een uniform model voor verblijfstitels voor onderdanen van derde landen en tot intrekking van besluit C(2002) 3069].

6.      Het opslagmedium heeft voldoende capaciteit en is voldoende geschikt om de integriteit, de authenticiteit en de vertrouwelijkheid van de gegevens te garanderen. De gegevens zijn contactloos toegankelijk en zijn beveiligd zoals bepaald in uitvoeringsbesluit C(2018) 7767. De lidstaten wisselen onderling de informatie uit die nodig is voor de authenticatie van het opslagmedium en voor de toegang tot en verificatie van de in lid 5 vermelde biometrische gegevens.

7.      Kinderen onder de twaalf jaar kunnen worden vrijgesteld van de verplichting om vingerafdrukken te laten nemen.

Kinderen onder de zes jaar zijn vrijgesteld van de verplichting om vingerafdrukken te laten nemen.

Personen bij wie het nemen van vingerafdrukken fysiek onmogelijk is, worden vrijgesteld van de verplichting om vingerafdrukken te laten nemen.

[...]

10.      Wanneer de lidstaten gegevens voor elektronische diensten zoals e-overheid en e-business in de identiteitskaart opnemen, zijn dergelijke nationale gegevens fysiek of logisch gescheiden van de in lid 5 genoemde biometrische gegevens.”

7        Artikel 5 („Uitfasering”) van diezelfde verordening luidt:

„1.      Identiteitskaarten die niet aan de vereisten van artikel 3 voldoen, zijn niet langer geldig bij de einddatum van hun geldigheid of, wanneer dit vroeger valt, uiterlijk op 3 augustus 2031.

2.      In afwijking van lid 1:

a)      zijn identiteitskaarten die [...] geen functionele MRZ als gedefinieerd in lid 3 bevatten, niet langer geldig bij de einddatum van geldigheid of, wanneer dit vroeger valt, uiterlijk op 3 augustus 2026;

[...]

3.      Voor de toepassing van lid 2 wordt onder een functionele MRZ verstaan:

a)      een machineleesbare zone die voldoet aan deel 3 van ICAO-document 9303; of

b)      enige andere machineleesbare zone waarvoor de lidstaat van afgifte de regels bekendmaakt die gelden voor het uitlezen en weergeven van de hierin opgenomen informatie, tenzij een lidstaat de [Europese] Commissie uiterlijk op 2 augustus 2021 in kennis stelt van zijn onvermogen om deze informatie uit te lezen en weer te geven.

[...]”

8        Artikel 6 („Minimaal te vermelden informatie”) van verordening 2019/1157 bepaalt in de eerste alinea:

„Wanneer verblijfsdocumenten door lidstaten worden afgegeven aan burgers van de Unie is hierop ten minste het volgende aangegeven:

[...]

f)      de informatie die moet worden opgenomen in registratiecertificaten en documenten ter staving van duurzaam verblijf, die worden afgegeven in overeenstemming met respectievelijk de artikelen 8 en 19 van richtlijn [2004/38];

[...]”

9        In artikel 10 („Verzameling van biometrische gegevens”) van deze verordening wordt bepaald:

„1.      De biometrische gegevens worden uitsluitend verzameld door gekwalificeerd en naar behoren gemachtigd personeel dat door de autoriteiten die verantwoordelijk zijn voor de afgifte van identiteitskaarten of verblijfskaarten, is aangewezen met als doel te worden geïntegreerd in het in artikel 3, lid 5, voor identiteitskaarten, en artikel 7, lid 1, voor verblijfskaarten bedoelde opslagmedium dat aan de hoogste veiligheidseisen voldoet. Bij wijze van afwijking op de eerste zin worden vingerafdrukken uitsluitend verzameld door gekwalificeerd en naar behoren gemachtigd personeel van deze autoriteiten, behalve in het geval van aanvragen die zijn ingediend bij de diplomatieke of consulaire autoriteiten van de lidstaat.

Om te waarborgen dat de biometrische gegevens consistent zijn met de identiteit van de aanvrager, verschijnt de aanvrager tijdens het proces van afgifte voor iedere aanvraag ten minste eenmaal in persoon.

2.      De lidstaten zorgen ervoor dat passende en doeltreffende procedures voor de verzameling van biometrische gegevens zijn vastgesteld en dat procedures stroken met de rechten en beginselen zoals verankerd in het Handvest, het Europees Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en het VN-Verdrag inzake de rechten van het kind.

Wanneer zich moeilijkheden voordoen bij het verzamelen van biometrische gegevens, zorgen de lidstaten ervoor dat passende procedures voorhanden zijn om de waardigheid van de betrokken persoon te eerbiedigen.

3.      Tenzij dit met het oog op verwerking in overeenstemming met het Unie- en nationaal recht vereist is, worden biometrische gegevens die met het oog op de personalisering van identiteitskaarten of verblijfsdocumenten worden opgeslagen, op een zeer veilige manier bewaard en slechts tot de datum waarop het document wordt afgehaald en in geen geval langer dan 90 dagen na de dag van afgifte van het document. Na deze periode worden deze biometrische gegevens onmiddellijk gewist en vernietigd.”

10      Artikel 11 („Bescherming van persoonsgegevens en aansprakelijkheid”) van deze verordening bepaalt in de leden 4 en 6:

„4.      Samenwerking met externe dienstverleners mag geen uitsluiting inhouden van de aansprakelijkheid van een lidstaat, die voortvloeit uit het Unierecht of nationaal recht in verband met schendingen van bepalingen met betrekking tot persoonsgegevens.

[...]

6.      Biometrische gegevens die worden opgeslagen op het opslagmedium van identiteitskaarten en verblijfsdocumenten worden, in overeenstemming met Unierecht en nationaal recht, door de naar behoren gemachtigde personeelsleden van de bevoegde nationale autoriteiten en Unie-agentschappen, alleen gebruikt voor het verifiëren van:

a)      de authenticiteit van de identiteitskaart of het verblijfsdocument;

b)      de identiteit van de houder door middel van direct beschikbare en vergelijkbare kenmerken wanneer het overleggen van een identiteitskaart of verblijfsdocument wettelijk vereist is.”

11      Artikel 14 („Aanvullende technische specificaties”) van diezelfde verordening bepaalt in de leden 1 en 2:

„1.      Om er in voorkomend geval voor te zorgen dat de in artikel 2, onder a) en c), bedoelde identiteitskaarten en verblijfsdocumenten overeenstemmen met de toekomstige minimumbeveiligingsnormen, stelt de Commissie door middel van uitvoeringshandelingen aanvullende technische specificaties vast met betrekking tot het volgende:

a)      aanvullende beveiligingskenmerken en -vereisten, met inbegrip van strengere normen ter voorkoming van vervalsing en namaak;

b)      technische specificaties voor het opslagmedium waarop de biometrische gegevens worden opgeslagen als bedoeld in artikel 3, lid 5, en voor de beveiliging daarvan, waaronder het voorkomen van ongeoorloofde toegang en het faciliteren van validatie;

c)      kwaliteitseisen en gemeenschappelijke technische normen inzake gezichtsopname en vingerafdrukken.

Die uitvoeringshandelingen worden vastgesteld volgens de in artikel 15, lid 2, bedoelde onderzoeksprocedure.

2.      Overeenkomstig de in artikel 15, lid 2, bedoelde procedure kan worden besloten dat de in dit artikel bedoelde specificaties geheim zijn en niet worden bekendgemaakt. [...]”

2.      AVG

12      In overweging 51 AVG staat te lezen:

„Persoonsgegevens die door hun aard bijzonder gevoelig zijn wat betreft de grondrechten en fundamentele vrijheden, verdienen specifieke bescherming aangezien de context van de verwerking ervan significante risico’s kan meebrengen voor de grondrechten en de fundamentele vrijheden. [...] De verwerking van foto’s mag niet systematisch worden beschouwd als verwerking van bijzondere categorieën van persoonsgegevens, aangezien foto’s alleen onder de definitie van biometrische gegevens vallen wanneer zij worden verwerkt met behulp van bepaalde technische middelen die de unieke identificatie of authenticatie van een natuurlijke persoon mogelijk maken. Dergelijke persoonsgegevens mogen niet worden verwerkt, tenzij de verwerking is toegestaan in in deze verordening vermelde specifieke gevallen, rekening houdend met het feit dat in de wetgeving van de lidstaten specifieke bepalingen inzake gegevensbescherming kunnen worden opgenomen teneinde de toepassing van de regels van deze verordening aan te passen met het oog op de vervulling van een wettelijke verplichting of met het oog op de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is verleend. Naast de specifieke voorschriften voor die verwerking dienen de algemene beginselen en andere regels van deze verordening te worden toegepast, met name wat betreft de voorwaarden voor rechtmatige verwerking. Er moet onder meer uitdrukkelijk in afwijkingen van het algemene verbod op de verwerking van die bijzondere categorieën persoonsgegevens worden voorzien ingeval de betrokkene zijn uitdrukkelijke toestemming geeft of in geval van specifieke behoeften [...].”

13      Artikel 4 („Definities”) van deze verordening luidt:

„Voor de toepassing van deze verordening wordt verstaan onder:      

[...]

2)      ‚verwerking’: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens;

[...]

7)      ‚verwerkingsverantwoordelijke’: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen;

[...]”

14      Artikel 9 („Verwerking van bijzondere categorieën van persoonsgegevens”) van deze verordening bepaalt in lid 1:

„Verwerking van persoonsgegevens waaruit ras of etnische afkomst, politieke opvattingen, religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of seksuele gerichtheid zijn verboden.”

15      Artikel 35 („Gegevensbeschermingseffectbeoordeling”) van diezelfde verordening bepaalt in de leden 1, 3 en 10:

„1.      Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. Eén beoordeling kan een reeks vergelijkbare verwerkingen bestrijken die vergelijkbare hoge risico’s inhouden.

[...]

3.      Een gegevensbeschermingseffectbeoordeling als bedoeld in lid 1 is met name vereist in de volgende gevallen:

a)      een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;

b)      grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10; of

c)      stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.

[...]

10.      Wanneer verwerking uit hoofde van artikel 6, lid 1, onder c) of e), haar rechtsgrond heeft in het Unierecht of in het recht van de lidstaat dat op de verwerkingsverantwoordelijke van toepassing is, de specifieke verwerking of geheel van verwerkingen in kwestie daarbij wordt geregeld, en er reeds als onderdeel van een algemene effectbeoordeling in het kader van de vaststelling van deze rechtsgrond een gegevensbeschermingseffectbeoordeling is uitgevoerd, zijn de leden 1 tot en met 7 niet van toepassing, tenzij de lidstaten het noodzakelijk achten om voorafgaand aan de verwerkingen een dergelijke beoordeling uit te voeren.”

3.      Verordening 2016/399

16      Artikel 8 van verordening (EU) 2016/399 van het Europees Parlement en de Raad van 9 maart 2016 betreffende een Uniecode voor de overschrijding van de grenzen door personen (Schengengrenscode) (PB 2016, L 77, blz. 1), zoals gewijzigd bij verordening (EU) 2017/458 van het Europees Parlement en de Raad van 15 maart 2017 (PB 2017, L 74, blz. 1), bepaalt in de leden 1 en 2:

„1.      Het grensoverschrijdende verkeer aan de buitengrenzen wordt gecontroleerd door de grenswachters. De controle wordt verricht overeenkomstig dit hoofdstuk.

[...]

2.      Bij binnenkomst en bij uitreis worden personen die onder het Unierecht inzake vrij verkeer vallen, aan de volgende controles onderworpen:

a)      de verificatie van de identiteit en de nationaliteit van de persoon, en van de echtheid en de geldigheid van het reisdocument voor het overschrijden van de grens, onder meer door de relevante databanken te raadplegen, [...]:

b)      de verificatie dat een persoon die onder het Unierecht inzake vrij verkeer valt, niet wordt beschouwd als een bedreiging voor de openbare orde, de binnenlandse veiligheid, de volksgezondheid of de internationale betrekkingen van een van de lidstaten, [...].

Bij twijfel over de echtheid van het reisdocument of over de identiteit van de houder, wordt ten minste één van de biometrische kenmerken in de paspoorten en reisdocumenten die zijn afgegeven overeenkomstig verordening (EG) nr. 2252/2004 [van de Raad van 13 december 2004 betreffende normen voor de veiligheidskenmerken van en biometrische gegevens in door de lidstaten afgegeven paspoorten en reisdocumenten (PB 2004, L 385, blz. 1)] geverifieerd. Waar mogelijk wordt deze verificatie ook verricht met betrekking tot reisdocumenten die niet onder die verordening vallen.

[...]”

4.      Richtlijn 2004/38

17      Artikel 4 („Uitreisrecht”) van richtlijn 2004/38 bepaalt in de leden 1 en 3:

„1.      „Onverminderd het bepaalde met betrekking tot reisdocumenten bij nationale grenscontroles, heeft de burger van de Unie die voorzien is van een geldige identiteitskaart of een geldig paspoort, alsmede familieleden die niet de nationaliteit van een lidstaat bezitten en die voorzien zijn van een geldig paspoort, het recht het grondgebied van een lidstaat te verlaten om zich naar een andere lidstaat te begeven.

[...]

3.      De lidstaten verstrekken hun burgers overeenkomstig hun wetgeving een identiteitskaart of een paspoort waarin hun nationaliteit is vermeld, en hernieuwen deze bescheiden.”

18      Artikel 5 („Inreisrecht”) van deze richtlijn bepaalt in lid 1:

„Onverminderd het bepaalde met betrekking tot reisdocumenten bij nationale grenscontroles, laten de lidstaten de burger van de Unie die voorzien is van een geldige identiteitskaart of een geldig paspoort, alsmede familieleden die niet de nationaliteit van een lidstaat bezitten en die voorzien zijn van een geldig paspoort, hun grondgebied binnenkomen.

Aan burgers van de Unie kan geen inreisvisumplicht of soortgelijke formaliteit worden opgelegd.”

19      Artikel 6 („Verblijfsrecht voor maximaal drie maanden”) van deze richtlijn luidt als volgt:

„1.      Burgers van de Unie hebben het recht gedurende maximaal drie maanden op het grondgebied van een andere lidstaat te verblijven zonder andere voorwaarden of formaliteiten dan de verplichting in het bezit te zijn van een geldige identiteitskaart of een geldig paspoort.

2.      Lid 1 is eveneens van toepassing ten aanzien van familieleden die niet de nationaliteit van een lidstaat bezitten en die de burger van de Unie begeleiden of zich bij hem voegen, en in het bezit zijn van een geldig paspoort.”

20      Artikel 8 („Administratieve formaliteiten voor burgers van de Unie”) van richtlijn 2004/38 bepaalt in de leden 1 en 3:

„1.      Onverminderd artikel 5, lid 5, kan het gastland voor verblijven van meer dan drie maanden burgers van de Unie de verplichting opleggen om zich bij de bevoegde autoriteiten te laten inschrijven.

[...]

3.      Voor de afgifte van de verklaring van inschrijving kunnen de lidstaten slechts verlangen:

–        ten aanzien van een burger van de Unie die valt onder artikel 7, lid 1, onder a), dat hij een geldige identiteitskaart of een geldig paspoort overlegt alsmede een verklaring van indienstneming of tewerkstelling, dan wel bewijs dat hij zelfstandige is.

–        ten aanzien van een burger van de Unie die valt onder artikel 7, lid 1, onder b), dat hij een geldige identiteitskaart of een geldig paspoort overlegt en bewijst dat hij aan die bepaling voldoet;

–        ten aanzien van een burger van de Unie die valt onder artikel 7, lid 1, onder c), dat hij een geldige identiteitskaart of een geldig paspoort overlegt, alsmede een bewijs dat hij aan een erkende instelling is ingeschreven, een bewijs dat hij beschikt over een ziektekostenverzekering voor alle risico’s, alsmede de in artikel 7, lid 1, onder c), bedoelde verklaring of daaraan gelijkwaardige bewijsmiddelen. De lidstaten mogen niet verlangen dat deze verklaring een specifiek bedrag van bestaansmiddelen vermeldt.”

5.      Interinstitutioneel akkoord

21      De punten 12 tot en met 14 van het Interinstitutioneel Akkoord tussen het Europees Parlement, de Raad van de Europese Unie en de Europese Commissie over beter wetgeven van 13 april 2016 (PB 2016, L 123, blz. 1; hierna: „interinstitutioneel akkoord”) luiden:

„12.      [...]

Effectbeoordelingen vormen een instrument dat de drie instellingen helpt om tot goed onderbouwde besluiten te komen en treden niet in de plaats van de politieke besluiten van het democratische besluitvormingsproces. [...]

Effectbeoordelingen moeten betrekking hebben op het bestaan, de omvang en de gevolgen van een probleem en op de vraag of een optreden van de Unie nodig is. Zij moeten alternatieve oplossingen in kaart brengen en, waar mogelijk, potentiële kosten en baten op de korte en lange termijn, waarbij zij een geïntegreerde en evenwichtige beoordeling dienen te maken van de economische, ecologische en sociale gevolgen en gebruik moeten maken van zowel kwalitatieve als kwantitatieve analyses. Het subsidiariteits- en het evenredigheidsbeginsel, evenals de grondrechten, moeten ten volle worden geëerbiedigd. [...] Effectbeoordelingen moeten gebaseerd zijn op exacte, objectieve en volledige informatie en moeten evenredig zijn qua reikwijdte en aandachtsgebied.

13.      De Commissie verricht effectbeoordelingen voor haar [wetgevingshandelingen] die naar verwachting significante economische, ecologische of sociale gevolgen zullen hebben. De initiatieven die zijn opgenomen in het werkprogramma van de Commissie of in de gezamenlijke verklaring gaan in de regel vergezeld van een effectbeoordeling.

[...] De definitieve resultaten van de effectbeoordelingen worden voorgelegd aan het Europees Parlement, de Raad [van de Europese Unie] en de nationale parlementen en worden bekendgemaakt bij de vaststelling van het initiatief van de Commissie, samen met het advies/de adviezen van de Raad voor regelgevingstoetsing.

14.      Bij de behandeling van wetgevingsvoorstellen van de Commissie houden het [...] Parlement en de Raad ten volle rekening met de effectbeoordelingen van de Commissie. Daartoe worden effectbeoordelingen zodanig gepresenteerd dat het [...] Parlement en de Raad de door de Commissie gemaakte keuzes gemakkelijk kunnen bestuderen.”

B.      Duits recht

22      § 5 („Model van identiteitskaarten; opgeslagen gegevens”) van het Gesetz über Personalausweise und den elektronischen Identitätsnachweis (wet betreffende identiteitskaarten en het elektronisch identiteitsbewijs) van 18 juni 2009 (BGBl. I, blz. 1346), in de op het hoofdgeding toepasselijke versie (hierna: „PAuswG”), bepaalt in lid 9:

„De twee vingerafdrukken van de aanvrager [van een identiteitskaart] die op grond van [verordening 2019/1157] op het elektronische opslagmedium moeten worden opgeslagen, worden op het elektronische opslag- en verwerkingsmedium van de identiteitskaart opgeslagen in de vorm van de platte afdrukken van de linker- en rechterwijsvinger. Wanneer een wijsvinger ontbreekt, de kwaliteit van de vingerafdruk ontoereikend is of de vingertop beschadigd is, wordt in de plaats daarvan de platte afdruk van de duim, middelvinger of ringvinger opgeslagen. Wanneer het afnemen van vingerafdrukken onmogelijk is vanwege medische redenen die niet van louter voorbijgaande aard zijn, worden er geen vingerafdrukken opgeslagen.”

23      § 6, leden 1 en 2, PAuswG luiden als volgt:

„(1)      Identiteitskaarten worden afgegeven voor een geldigheidsduur van tien jaar.

(2)      Vóór het verstrijken van de geldigheidsduur van een identiteitskaart kan een nieuwe identiteitskaart worden aangevraagd indien een rechtmatig belang bij de nieuwe afgifte wordt aangetoond.”

24      § 9 („Afgifte van de kaart”) PAuswG bepaalt in lid 1, eerste volzin:

„Identiteitskaarten en tijdelijke identiteitskaarten worden op verzoek afgegeven aan Duitsers in de zin van artikel 116, lid 1, van de grondwet.”

25      § 28 („Ongeldigheid”) PAuswG bepaalt in lid 3:

„Storingen in het elektronische opslag- en verwerkingsmedium hebben geen invloed op de geldigheid van de identiteitskaart.”

II.    Hoofdgeding en prejudiciële vraag

26      Op 30 november 2021 heeft verzoeker in het hoofdgeding de stad Wiesbaden verzocht om afgifte van een nieuwe identiteitskaart omdat de elektronische chip van zijn oude kaart defect was. Hij wilde echter niet dat de nieuwe kaart zijn vingerafdrukken zou bevatten.

27      De stad Wiesbaden heeft deze aanvraag om twee redenen afgewezen. Ten eerste heeft verzoeker in het hoofdgeding geen recht op afgifte van een nieuwe identiteitskaart, aangezien hij reeds in het bezit was van een geldige identiteitskaart. Overeenkomstig § 28, lid 3, PAuswG blijft een identiteitskaart immers geldig, ook al is de elektronische chip ervan defect. Ten tweede is het sinds 2 augustus 2021 op grond van § 5, lid 9, PAuswG, waarbij artikel 3, lid 5, van verordening 2019/1157 is omgezet, hoe dan ook verplicht om twee vingerafdrukbeelden op te nemen in het opslagmedium van identiteitskaarten.

28      Op 21 december 2021 heeft verzoeker in het hoofdgeding bij het Verwaltungsgericht Wiesbaden (bestuursrechter in eerste aanleg Wiesbaden, Duitsland), de verwijzende rechter in de onderhavige zaak, beroep ingesteld teneinde de stad Wiesbaden te doen gelasten hem een identiteitskaart af te geven waarin zijn vingerafdrukbeelden niet zijn opgenomen.

29      De verwijzende rechter betwijfelt of de twee redenen waarop het besluit in het hoofdgeding steunt, rechtmatig zijn. Wat in het bijzonder de tweede reden betreft, heeft hij bedenkingen bij de geldigheid van verordening 2019/1157, of minstens van artikel 3, lid 5, ervan.

30      In de eerste plaats vraagt de verwijzende rechter zich af of deze verordening niet had moeten worden vastgesteld op basis van artikel 77, lid 3, VWEU en dus volgens de bijzondere wetgevingsprocedure waarin deze bepaling voorziet, in plaats van op grond van artikel 21, lid 2, VWEU volgens de gewone wetgevingsprocedure. Ten eerste verwijst artikel 77, lid 3, VWEU immers specifiek naar de bevoegdheid van de Unie om onder meer bepalingen inzake identiteitskaarten vast te stellen, en is het dus een specifiekere bepaling dan artikel 21, lid 2, VWEU. Ten tweede heeft het Hof in het arrest van 17 oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), geoordeeld dat verordening nr. 2252/2004, voor zover daarbij normen worden vastgesteld voor biometrische gegevens in paspoorten, rechtsgeldig was gebaseerd op artikel 62, punt 2, onder a), EG, thans artikel 77, lid 3, VWEU.

31      In de tweede plaats beroept de verwijzende rechter zich op een mogelijke procedurefout bij de vaststelling van verordening 2019/1157. Zoals de Europese Toezichthouder voor gegevensbescherming (hierna: „EDPS”) heeft benadrukt in zijn advies 7/2018 van 10 augustus 2018 inzake het voorstel voor een verordening betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en andere documenten (hierna: „advies 7/2018”), vormen het afnemen en opslaan van vingerafdrukken immers verwerkingen van persoonsgegevens die krachtens artikel 35, lid 10, AVG aan een effectbeoordeling moeten worden onderworpen. In casu is een dergelijke beoordeling echter niet uitgevoerd. In het bijzonder kan het bij dat voorstel voor een verordening gevoegde document, met als opschrift „Impact assessment”, niet worden beschouwd als een effectbeoordeling in de zin van die bepaling.

32      In de derde plaats vraagt de verwijzende rechter zich meer in het bijzonder af of artikel 3, lid 5, van verordening 2019/1157 verenigbaar is met de artikelen 7 en 8 van het Handvest, die respectievelijk betrekking hebben op de eerbiediging van het privéleven en van het familie- en gezinsleven en op de bescherming van persoonsgegevens. De verplichting die aan de lidstaten wordt opgelegd om identiteitskaarten af te geven waarvan het opslagmedium twee vingerafdrukken bevat, vormt immers een beperking van de uitoefening van de door deze twee bepalingen van het Handvest erkende rechten, die slechts kan worden gerechtvaardigd indien zij voldoet aan de voorwaarden van artikel 52, lid 1, van het Handvest.

33      Ten eerste beantwoordt die beperking mogelijkerwijs niet aan een doelstelling van algemeen belang. In zijn arrest van 17 oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), heeft het Hof weliswaar erkend dat de bestrijding van de illegale binnenkomst van derdelanders op het grondgebied van de Unie een door het Unierecht erkend doel is, maar de identiteitskaart is niet in de eerste plaats een reisdocument, zoals het paspoort, doch heeft enkel tot doel de verificatie van de identiteit van een burger van de Unie mogelijk te maken in zijn betrekkingen met zowel administratieve autoriteiten als particuliere derden.

34      Gesteld al dat deze verordening een door het Unierecht erkende doelstelling van algemeen belang nastreeft, bestaat er ten tweede twijfel over de evenredigheid van deze beperking. De oplossing die het Hof in het arrest van 17 oktober 2013, Schwarz (C‑291/12, EU:C:2013:670), heeft gekozen, kan namelijk niet worden toegepast in een situatie die valt onder verordening 2019/1157, aangezien deze oplossing betrekking had op paspoorten waarvan het bezit, anders dan identiteitskaarten, in Duitsland facultatief is en waarvan het gebruik een ander doel dient.

35      Uit advies 7/2018 blijkt daarentegen dat het opnemen en opslaan van vingerafdrukken aanzienlijke gevolgen heeft, aangezien er zo’n 370 miljoen burgers van de Unie door kunnen worden getroffen en potentieel 85 % van de bevolking van de Unie zich verplicht kan zien om vingerafdrukken te laten nemen. Deze aanzienlijke gevolgen, samen met het zeer gevoelige karakter van de verwerkte gegevens (een gezichtsopname in combinatie met twee vingerafdrukken), betekenen dat de beperking van de uitoefening van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten die voortvloeit uit de verplichte afname van vingerafdrukken voor de opmaak van identiteitskaarten, groter is dan bij paspoorten, wat op zijn beurt een sterkere rechtvaardiging vereist alsmede een zorgvuldig onderzoek van de betrokken maatregel op basis van een strikt noodzakelijkheidscriterium.

36      In elk geval vloeit de noodzaak om een strikte evenredigheidstoets uit te voeren ook voort uit artikel 9, lid 1, AVG op grond waarvan de verwerking van dergelijke biometrische gegevens in beginsel verboden is en slechts in uitzonderlijke en strikt beperkte gevallen kan worden toegestaan.

37      In deze context is de verwijzende rechter weliswaar van oordeel dat het gebruik van biometrische gegevens het risico van documentvervalsing vermindert, maar betwijfelt hij met name om de volgende redenen of deze omstandigheid op zich de omvang van de beperking van het recht op bescherming van persoonsgegevens kan rechtvaardigen.

38      Om te beginnen heeft de EDPS in zijn advies 7/2018 benadrukt dat andere technieken voor het beveiligd drukken van identiteitsdocumenten, zoals hologrammen of watermerken, duidelijk minder ingrijpend waren en het tevens mogelijk maakten de vervalsing van deze identiteitsdocumenten te voorkomen en de echtheid ervan te verifiëren. Het feit dat het Duitse recht erkent dat een identiteitskaart met een defecte elektronische chip nog steeds geldig is, toont overigens aan dat de fysieke elementen, met name de microprints of UV-overdrukken, volstaan om de veiligheid van die kaarten te waarborgen.

39      Vervolgens staat artikel 3, lid 7, van verordening 2019/1157 de lidstaten toe om kinderen jonger dan twaalf jaar vrij te stellen van de verplichting om vingerafdrukken te laten nemen, en verplicht het hen in elk geval om kinderen jonger dan zes jaar van deze verplichting vrij te stellen, hetgeen aantoont dat het nemen van twee vingerafdrukken niet strikt noodzakelijk is.

40      Voorts is artikel 3, lid 5, van verordening 2019/1157 in strijd met het beginsel van minimale gegevensverwerking dat is neergelegd in artikel 5 AVG, waaruit volgt dat de verzameling en het gebruik van persoonsgegevens toereikend, ter zake dienend en beperkt moeten zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Het verzamelen van twee volledige vingerafdrukken, en niet van alleen de kenmerkende punten van die afdrukken (de „minutiae”) bevordert weliswaar de interoperabiliteit van de verschillende soorten systemen, maar vergroot immers ook de hoeveelheid opgeslagen persoonsgegevens en dus het risico van misbruik van identiteit in het geval dat er zich een datalek zou voordoen. Dit risico is overigens niet verwaarloosbaar, aangezien de elektronische chips die in identiteitskaarten worden gebruikt, door niet-geautoriseerde scanners kunnen worden uitgelezen.

41      Ten slotte kan de beperking van de uitoefening van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten in wezen niet legitiem zijn, aangezien de EDPS in zijn advies 7/2018 heeft opgemerkt dat ten tijde van de vaststelling van verordening 2019/1157 het aantal frauduleuze identiteitskaarten relatief gering was in verhouding tot het aantal uitgegeven kaarten (38 870 ontdekte frauduleuze kaarten tussen 2013 en 2017) en dat dit aantal sinds meerdere jaren geleidelijk afnam.

42      Tegen deze achtergrond heeft het Verwaltungsgericht Wiesbaden de behandeling van de zaak geschorst en het Hof verzocht om een prejudiciële beslissing over de volgende vraag:

„Is de verplichting tot het opnemen en opslaan van vingerafdrukken in identiteitskaarten overeenkomstig artikel 3, lid 5, van [verordening 2019/1157] in strijd met Unierecht van hogere rang, in het bijzonder

a)      met artikel 77, lid 3, [VWEU];

b)      met de artikelen 7 en 8 van het [Handvest];

c)      met artikel 35, lid 10, [AVG],

en daarom om een van die redenen ongeldig?”

III. Beantwoording van de prejudiciële vraag

43      Met zijn vraag wenst de verwijzende rechter in wezen te vernemen of verordening 2019/1157 geheel of gedeeltelijk ongeldig is op grond dat zij, ten eerste, op een onjuiste rechtsgrondslag is vastgesteld, ten tweede, artikel 35, lid 10, AVG schendt en, ten derde, de artikelen 7 en 8 van het Handvest schendt.

A.      Eerste ongeldigheidsgrond: toepassing van een onjuiste rechtsgrondslag

44      De eerste ongeldigheidsgrond die de verwijzende rechter vermeldt betreft de vraag of verordening 2019/1157, met name gelet op de uitdrukkelijke verwijzing naar identiteitskaarten in artikel 77, lid 3, VWEU en de oplossing die is toegepast in het arrest van 17 oktober 2013, Schwarz (291/12, EU:C:2013:670), had moeten worden vastgesteld op grond van dat artikel 77, lid 3, en volgens de bijzondere wetgevingsprocedure waarin dat artikel voorziet en niet, zoals is gebeurd, op basis van artikel 21, lid 2, VWEU.

1.      Opmerkingen vooraf

45      Volgens vaste rechtspraak dient de keuze van de rechtsgrondslag van een Uniehandeling te berusten op objectieve gegevens die voor rechterlijke toetsing vatbaar zijn, waaronder het doel en de inhoud van die handeling (arresten van 16 februari 2022, Hongarije/Parlement en Raad, C‑156/21, EU:C:2022:97, punt 107, en Polen/Parlement en Raad, C‑157/21, EU:C:2022:98, punt 121).

46      Voorts moet erop worden gewezen dat indien er in de Verdragen een specifiekere bepaling bestaat die als rechtsgrondslag voor de betreffende handeling kan dienen, deze handeling op die bepaling moet worden gebaseerd (arresten van 6 september 2012, Parlement/Raad, C‑490/10, EU:C:2012:525, punt 44, en 8 december 2020, Polen/Parlement en Raad, C‑626/18, EU:C:2020:1000, punt 48 en aldaar aangehaalde rechtspraak).

47      Ten slotte moet, indien bij het onderzoek van een handeling van de Unie blijkt dat zij meerdere doelen nastreeft of dat er sprake is van meerdere componenten, waarvan er een kan worden gezien als hoofddoel of voornaamste of overwegende component terwijl de andere doelen of componenten slechts van ondergeschikt belang zijn dan wel een uiterst beperkte draagwijdte hebben, de rechtsgrondslag voor de vaststelling van deze handeling worden bepaald aan de hand van dat hoofddoel of die voornaamste component [zie in die zin arrest van 20 november 2018, Commissie/Raad (BMZ Antarctica), C‑626/15 en C‑659/16, EU:C:2018:925, punt 77, en advies 1/19 (Verdrag van Istanbul) van 6 oktober 2021, EU:C:2021:832, punt 286].

2.      Werkingssfeer van artikel 21, lid 2, VWEU respectievelijk artikel 77, lid 3, VWEU

48      Artikel 21, lid 2, VWEU bepaalt dat indien een optreden van de Unie noodzakelijk blijkt om iedere burger van de Unie het recht te waarborgen vrij op het grondgebied van de lidstaten te reizen en te verblijven, en de Verdragen niet in de daartoe vereiste bevoegdheden voorzien, het Parlement en de Raad volgens de gewone wetgevingsprocedure bepalingen kunnen vaststellen om de uitoefening van deze rechten te vergemakkelijken.

49      Hieruit volgt dat deze bepaling de Unie een algemene bevoegdheid verleent om de bepalingen vast te stellen die nodig zijn om de uitoefening te vergemakkelijken van het in artikel 20, lid 2, onder a), VWEU bedoelde recht van de burgers van de Unie om zich vrij op het grondgebied van de lidstaten te verplaatsen en er vrij te verblijven, onder voorbehoud van de bevoegdheden waarin de Verdragen daartoe voorzien.

50      Anders dan artikel 21, lid 2, VWEU voorziet artikel 77, lid 3, VWEU uitdrukkelijk in dergelijke bevoegdheden om maatregelen vast te stellen met betrekking tot paspoorten, identiteitskaarten, verblijfsvergunningen en daarmee gelijkgestelde documenten die aan burgers van de Unie worden afgegeven teneinde de uitoefening te vergemakkelijken van het in artikel 20, lid 2, onder a), VWEU bedoelde recht om zich vrij op het grondgebied van de lidstaten te verplaatsen en er vrij te verblijven.

51      Artikel 77, lid 3, VWEU is opgenomen in titel V van dat Verdrag, die betrekking heeft op de ruimte van vrijheid, veiligheid en recht, en meer bepaald in hoofdstuk 2 van die titel, met als opschrift „Beleid inzake grenscontroles, asiel en immigratie”. Volgens artikel 77, lid 1, VWEU ontwikkelt de Unie evenwel een beleid dat tot doel heeft te voorkomen dat personen, ongeacht hun nationaliteit, bij het overschrijden van de binnengrenzen aan enige controle worden onderworpen, te zorgen voor personencontrole en efficiënte bewaking bij het overschrijden van de buitengrenzen, en geleidelijk een geïntegreerd systeem voor het beheer van deze grenzen op te zetten. De bepalingen betreffende paspoorten, identiteitskaarten, verblijfsvergunningen en daarmee gelijkgestelde documenten waarop de in artikel 77, lid 3, bedoelde bevoegdheid betrekking heeft, maken integrerend deel uit van dat beleid van de Unie. Deze documenten stellen burgers van de Unie immers met name in staat om aan te tonen dat zij het recht hebben om zich vrij op het grondgebied van de lidstaten te verplaatsen en er vrij te verblijven, en dus om dit recht uit te oefenen. Bijgevolg kan artikel 77, lid 3, de grondslag vormen voor de vaststelling van maatregelen met betrekking tot die documenten indien een dergelijk optreden noodzakelijk blijkt om de uitoefening van dat in artikel 20, lid 2, onder a), VWEU neergelegde recht te vergemakkelijken.

52      Aan deze uitlegging van de materiële draagwijdte van artikel 77, lid 3, VWEU wordt niet afgedaan door de historische ontwikkeling die de Verdragen hebben doorgemaakt op het gebied van de bevoegdheid van de Unie om maatregelen vast te stellen met betrekking tot paspoorten, identiteitskaarten, verblijfsvergunningen en daarmee gelijkgestelde documenten, waarnaar het Parlement, de Raad en de Commissie verwijzen, noch door de omstandigheid die door de Duitse regering wordt aangevoerd dat deze bepaling van toepassing is „tenzij de Verdragen in de daartoe vereiste bevoegdheden voorzien”.

53      Het is juist dat het Verdrag van Lissabon de voorheen in artikel 18, lid 3, EG opgenomen bepaling heeft geschrapt waarin uitdrukkelijk werd uitgesloten dat de wetgever van de Unie gebruik kon maken van artikel 18, lid 2, EG (thans artikel 21, lid 2, VWEU) als rechtsgrondslag voor de vaststelling van zowel „bepalingen betreffende paspoorten, identiteitskaarten, verblijfsvergunningen of andere daarmee gelijkgestelde documenten” als „bepalingen inzake sociale zekerheid of sociale bescherming”. Dit Verdrag heeft de Unie echter tegelijkertijd uitdrukkelijk een bevoegdheid op deze twee gebieden verleend, namelijk in artikel 21, lid 3, VWEU wat betreft sociale zekerheid en sociale bescherming, en in artikel 77, lid 3, VWEU wat betreft de bepalingen inzake paspoorten, identiteitskaarten, verblijfsvergunningen en daarmee gelijkgestelde documenten, en heeft de vaststelling van maatregelen op die gebieden onderworpen aan een bijzondere wetgevingsprocedure en met name aan eenparigheid van stemmen in de Raad.

54      Uit de schrapping van de voorheen in artikel 18, lid 3, EG opgenomen bepaling kan dan ook niet worden afgeleid dat het thans mogelijk zou zijn om op grond van artikel 21, lid 2, VWEU „bepalingen inzake paspoorten, identiteitskaarten, verblijfsvergunningen en daarmee gelijkgestelde documenten” vast te stellen. Integendeel, uit de historische evolutie volgt dat de opstellers van de Verdragen met artikel 77, lid 3, VWEU de Unie een specifiekere bevoegdheid hebben willen verlenen om dergelijke bepalingen vast te stellen ter vergemakkelijking van de uitoefening van het door artikel 20, lid 2, onder a), VWEU gewaarborgde recht om zich vrij op het grondgebied van de lidstaten te verplaatsen en er vrij te verblijven, dan de meer algemene bevoegdheid waarin artikel 21, lid 2, VWEU voorziet.

55      Bovendien moet de vermelding in artikel 77, lid 3, VWEU dat deze bepaling van toepassing is „tenzij de Verdragen in de daartoe vereiste bevoegdheden voorzien”, gelet op de algemene opzet van het VWEU, aldus worden begrepen dat de bedoelde bevoegdheden niet zijn verleend door een bepaling met een meer algemene strekking, zoals artikel 21, lid 2, VWEU, maar door een nog specifiekere bepaling.

56      Bijgevolg kon verordening 2019/1157 slechts op artikel 21, lid 2, VWEU worden gebaseerd indien het hoofddoel of de overwegende component van deze verordening buiten de specifieke werkingssfeer van artikel 77, lid 3, VWEU valt, namelijk de afgifte van paspoorten, identiteitskaarten, verblijfsvergunningen en daarmee gelijkgestelde documenten, teneinde de uitoefening van het in artikel 20, lid 2, onder a), VWEU bedoelde recht te vergemakkelijken.

3.      Hoofddoel of overwegende component van verordening 2019/1157

57      Wat in de eerste plaats de doelstelling van verordening 2019/1157 betreft, bepaalt artikel 1 dat die erin bestaat de veiligheidsnormen te versterken die gelden voor identiteitskaarten die lidstaten aan hun onderdanen afgeven, en voor verblijfsdocumenten die lidstaten afgeven aan burgers van de Unie en hun familieleden wanneer zij hun recht op vrij verkeer binnen de Unie uitoefenen.

58      In dezelfde zin heeft deze verordening volgens overweging 46 ervan tot doel „het versterken van [de] beveiliging” van deze reisdocumenten en identiteitsdocumenten om „het vrij verkeer voor burgers van de Unie en hun familieleden [te vergemakkelijken]”, hetgeen ook wordt bevestigd door de overwegingen 1, 2, 5, 17, 28, 29 en 36 van die verordening.

59      Wat in de tweede plaats de inhoud van verordening 2019/1157 betreft, moet worden vastgesteld dat deze verordening 16 artikelen bevat. De artikelen 1 en 2 omschrijven respectievelijk het voorwerp en het toepassingsgebied van de verordening. De artikelen 3 en 4 alsmede de artikelen 6 en 7, die de belangrijkste onderdelen ervan vormen, bepalen onder meer de vereisten inzake beveiliging, inhoud, model of specificaties waaraan de door de lidstaten afgegeven identiteitskaarten en verblijfsdocumenten moeten voldoen, terwijl de artikelen 5 en 8 voorzien in de uitfasering van identiteitskaarten en verblijfskaarten die niet aan de in deze verordening gestelde vereisten voldoen. Ten slotte bepalen de artikelen 9 tot en met 16 hoe de verplichtingen van deze verordening moeten worden uitgevoerd, met name wat betreft de verzameling van biometrische gegevens en de bescherming van persoonsgegevens.

60      Volgens artikel 2 van verordening 2019/1157 is deze verordening niet alleen van toepassing op identiteitskaarten die lidstaten aan hun eigen onderdanen afgeven, maar ook op verklaringen van inschrijvingen die overeenkomstig artikel 8 van richtlijn 2004/38 worden afgegeven aan burgers van de Unie die langer dan drie maanden in een gastland verblijven, en op documenten ter staving van duurzaam verblijf die overeenkomstig artikel 19 van deze richtlijn zijn afgegeven. Deze verklaringen en documenten kunnen niet worden gelijkgesteld met identiteitskaarten, paspoorten of verblijfsvergunningen. Verordening 2019/1157 bevat echter geen enkele bepaling die deze verklaringen regelt en bepaalt in artikel 6, eerste alinea, onder f), enkel dat verblijfsdocumenten die door lidstaten worden afgegeven aan burgers van de Unie de gegevens moeten bevatten die moeten worden vermeld in registratiecertificaten en documenten ter staving van duurzaam verblijf die worden afgegeven in overeenstemming met respectievelijk de artikelen 8 en 19 van richtlijn 2004/38. Bijgevolg moeten het doel en de component van deze verordening met betrekking tot deze verklaringen worden geacht een uiterst beperkte draagwijdte te hebben, zodat de rechtsgrondslag van deze verordening niet op basis van dat doel of die component kan worden bepaald.

61      Uit het hoofddoel en de hoofdcomponenten van verordening 2019/1157 volgt dan ook dat deze behoort tot de handelingen die binnen de specifieke werkingssfeer van artikel 77, lid 3, VWEU vallen, zoals omschreven in de punten 48 tot en met 51 van het onderhavige arrest.

62      Door verordening 2019/1157 vast te stellen op grond van artikel 21, lid 2, VWEU heeft de Uniewetgever bijgevolg artikel 77, lid 3, VWEU geschonden en een ongeschikte wetgevingsprocedure toegepast.

63      Hieruit volgt dat de eerste door de verwijzende rechter genoemde ongeldigheidsgrond, namelijk dat verordening 2019/1157 ten onrechte is vastgesteld op grond van artikel 21, lid 2, VWEU en volgens de gewone wetgevingsprocedure, kan leiden tot de ongeldigheid van die verordening.

B.      Tweede ongeldigheidsgrond: schending van artikel 35, lid 10, AVG

64      De tweede ongeldigheidsgrond die de verwijzende rechter vermeldt, houdt in dat verordening 2019/1157 in strijd met artikel 35, lid 10, AVG is vastgesteld zonder dat er een gegevensbeschermingseffectbeoordeling is uitgevoerd.

65      In dit verband moet worden opgemerkt dat artikel 35, lid 1, AVG bepaalt dat wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan, waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, de verwerkingsverantwoordelijke vóór de verwerking een beoordeling moet uitvoeren van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. Artikel 35, lid 3, van deze verordening preciseert dat een dergelijke analyse vereist is in het geval van een grootschalige verwerking van bijzondere categorieën gevoelige gegevens als bedoeld in artikel 9, lid 1, van die verordening, zoals biometrische gegevens met het oog op de unieke identificatie van een persoon.

66      Aangezien verordening 2019/1157 in casu zelf geen enkele bewerking met betrekking tot persoonsgegevens of een geheel van persoonsgegevens verricht, maar slechts bepaalt dat de lidstaten bepaalde verwerkingen uitvoeren wanneer een identiteitskaart wordt aangevraagd, moet worden geoordeeld dat de vaststelling van deze verordening niet afhankelijk was van de voorafgaande uitvoering van een beoordeling van het effect van de beoogde verwerkingsactiviteiten in de zin van artikel 35, lid 1, AVG. Artikel 35, lid 10, AVG voorziet in een afwijking van artikel 35, lid 1, van deze verordening.

67      Aangezien artikel 35, lid 1, AVG, zoals blijkt uit het voorgaande, niet van toepassing was bij de vaststelling van verordening 2019/1157, kon deze vaststelling dan ook niet in strijd zijn met artikel 35, lid 10, AVG.

68      Gelet op het voorgaande kan de tweede grond, die schending van artikel 35, lid 10, AVG betreft, niet leiden tot de ongeldigheid van verordening 2019/1157.

C.      Derde ongeldigheidsgrond: artikel 3, lid 5, van verordening 2019/1157 is onverenigbaar met de artikelen 7 en 8 van het Handvest

69      De derde grond voor ongeldigheid van verordening 2019/1157 die de verwijzende rechter noemt, heeft betrekking op de vraag of de verplichting die wordt opgelegd bij artikel 3, lid 5, van deze verordening om twee volledige vingerafdrukbeelden op te nemen in het opslagmedium van de identiteitskaarten die door de lidstaten worden afgegeven, een ongerechtvaardigde beperking inhoudt van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten.

1.      Bestaan van een beperking

70      Artikel 7 van het Handvest bepaalt met name dat eenieder recht heeft op eerbiediging van zijn privéleven. Volgens artikel 8, lid 1, van het Handvest heeft eenieder recht op bescherming van zijn persoonsgegevens. Uit deze bepalingen, gelezen in hun onderling verband, volgt dat in beginsel elke verwerking van persoonsgegevens door een derde, een aantasting van die rechten kan opleveren (arrest van 17 oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, punt 25).

71      In casu bepaalt artikel 3, lid 5, van verordening 2019/1157 dat het opslagmedium waarmee de identiteitskaarten moeten zijn uitgerust die de lidstaten aan hun eigen onderdanen afgeven, aan de hoogste veiligheidseisen moet voldoen en biometrische gegevens moet bevatten, namelijk een gezichtsopname en twee vingerafdrukbeelden in een interoperabel digitaal formaat.

72      Dergelijke persoonsgegevens maken het mogelijk de betrokken natuurlijke personen nauwkeurig te identificeren en zijn bijzonder gevoelig wegens de aanzienlijke risico’s die het gebruik ervan met zich kan brengen voor de grondrechten en de fundamentele vrijheden, zoals met name blijkt uit overweging 51 AVG. Zoals overweging 40 van verordening 2019/1157 in herinnering brengt, is de AVG van toepassing op de betrokken gegevens.

73      Bijgevolg vormt de in artikel 3, lid 5, van verordening 2019/1157 vervatte verplichting om twee vingerafdrukbeelden op te nemen in het opslagmedium voor identiteitskaarten een beperking van zowel het recht op eerbiediging van het privéleven als het recht op bescherming van persoonsgegevens, die respectievelijk zijn neergelegd in de artikelen 7 en 8 van het Handvest.

74      Bovendien impliceert deze verplichting dat er voorafgaandelijk twee opeenvolgende verwerkingen van persoonsgegevens worden uitgevoerd, namelijk het verzamelen van die vingerafdrukbeelden bij de betrokkene en de voorlopige opslag ervan met het oog op de personalisering van identiteitskaarten, die worden geregeld in artikel 10 van die verordening. Deze handelingen vormen ook beperkingen van de in de artikelen 7 en 8 van het Handvest neergelegde rechten.

2.      Rechtvaardiging van de beperking

75      Zoals uit vaste rechtspraak blijkt, zijn het recht op eerbiediging van het privéleven en het recht op bescherming van persoonsgegevens, die respectievelijk door de artikelen 7 en 8 van het Handvest worden gewaarborgd, niet absoluut, maar moeten zij in relatie tot hun functie in de samenleving worden beschouwd (zie in die zin arrest van 20 september 2022, SpaceNet en Telekom Deutschland, C‑793/19 en C‑794/19, EU:C:2022:702, punt 63).

76      Er kunnen dus beperkingen worden gesteld aan deze rechten, mits zij overeenkomstig artikel 52, lid 1, eerste volzin, van het Handvest bij wet worden gesteld en de wezenlijke inhoud van die rechten eerbiedigen. Bovendien kunnen dergelijke beperkingen volgens de tweede volzin van dit lid met inachtneming van het evenredigheidsbeginsel slechts worden gesteld indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen. Dienaangaande bepaalt artikel 8, lid 2, van het Handvest dat persoonsgegevens met name „voor bepaalde doeleinden en met toestemming van de betrokkene of op basis van een andere gerechtvaardigde grondslag waarin de wet voorziet” moeten worden verwerkt.

a)      Eerbiediging van het legaliteitsbeginsel 

77      Wat het vereiste van artikel 52, lid 1, eerste zin, van het Handvest betreft dat elke beperking op de uitoefening van de in het Handvest erkende grondrechten bij wet wordt gesteld, moet in herinnering worden gebracht dat dit vereiste inhoudt dat de rechtsgrond die de inmenging in die rechten toestaat zelf de reikwijdte van de beperking op de uitoefening van het betrokken recht moet bepalen, met dien verstande, ten eerste, dat dit vereiste zich er niet tegen verzet dat de betrokken beperking in voldoende open bewoordingen is geformuleerd om te kunnen worden toegepast op verschillende gevallen en aangepast aan veranderende omstandigheden en, ten tweede, dat het Hof in voorkomend geval via uitlegging de concrete reikwijdte van de beperking kan verduidelijken aan de hand van de bewoordingen zelf van de betrokken Uniewetgeving alsook de algemene opzet en de doelstellingen van die wetgeving, zoals uitgelegd tegen de achtergrond van de door het Handvest gewaarborgde grondrechten (arrest van 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punt 114).

78      In casu zijn de beperkingen op de uitoefening van de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten die voortvloeien uit de verplichting om twee volledige vingerafdrukbeelden op te nemen in het opslagmedium van de identiteitskaarten die door de lidstaten worden afgegeven, alsook de toepassingsvoorwaarden en de reikwijdte van die beperkingen, duidelijk en nauwkeurig omschreven in artikel 3, lid 5, en artikel 10, leden 1 en 3, van verordening 2019/1157, die door de Uniewetgever volgens de gewone wetgevingsprocedure zijn vastgesteld en waarvan de gevolgen bij het onderhavige arrest zullen worden gehandhaafd.

79      Bijgevolg voldoen die beperkingen van de uitoefening van de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten aan het legaliteitsbeginsel van artikel 52, lid 1, eerste volzin, van het Handvest.

b)      Eerbiediging van de wezenlijke inhoud van de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten

80      Er moet worden vastgesteld dat de informatie die door de vingerafdrukken wordt verstrekt op zich geen inzage geeft in het privéleven en het familie- en gezinsleven van de betrokken personen.

81      De beperking die voortvloeit uit de verplichting van artikel 3, lid 5, van verordening 2019/1157 om twee vingerafdrukbeelden op te nemen in het opslagmedium van identiteitskaarten die door de lidstaten worden afgegeven, doet geen afbreuk aan de wezenlijke inhoud van de in de artikelen 7 en 8 van het Handvest neergelegde grondrechten (zie naar analogie arrest van 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punt 120).

c)      Eerbiediging van het evenredigheidsbeginsel

82      Zoals blijkt uit artikel 52, lid 1, tweede volzin, van het Handvest, kunnen met inachtneming van het evenredigheidsbeginsel slechts beperkingen worden gesteld aan de uitoefening van de in het Handvest gewaarborgde grondrechten indien zij noodzakelijk zijn en daadwerkelijk beantwoorden aan door de Unie erkende doelstellingen van algemeen belang of aan de eisen van de bescherming van de rechten en vrijheden van anderen.

83      Meer in het bijzonder moeten de uitzonderingen op en de beperkingen van de bescherming van persoonsgegevens binnen de grenzen van het strikt noodzakelijke blijven, met dien verstande dat wanneer er een keuze mogelijk is tussen meerdere geschikte maatregelen voor de verwezenlijking van de rechtmatig nagestreefde doelstellingen, de maatregel moet worden gekozen die het minst belastend is. Bovendien kan een doelstelling van algemeen belang niet rechtmatig worden nagestreefd zonder dat er rekening mee wordt gehouden dat deze doelstelling moet worden verzoend met de door de maatregel aangetaste grondrechten via een evenwichtige afweging tussen de doelstelling en de op het spel staande rechten, om ervoor te zorgen dat de nadelen die door die maatregel worden veroorzaakt niet onevenredig zijn aan het nagestreefde doel. Bijgevolg moet de mogelijkheid om een beperking van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten te rechtvaardigen, worden beoordeeld door de ernst te bepalen van de inmenging die een dergelijke beperking meebrengt, en moet er worden nagegaan of het belang van de met die beperking nagestreefde doelstelling van algemeen belang in verhouding staat tot die ernst (arrest van 22 november 2022, Luxembourg Business Registers, C‑37/20 en C‑601/20, EU:C:2022:912, punt 64 en aldaar aangehaalde rechtspraak).

84      Om na te gaan of in casu de inmengingen in de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten als gevolg van de verplichting om twee vingerafdrukbeelden op te nemen in het opslagmedium van identiteitskaarten, als bedoeld in artikel 3, lid 5, van verordening 2019/1157, in overeenstemming zijn met het evenredigheidsbeginsel, moet bijgevolg worden onderzocht, ten eerste, of deze maatregel een of meer door de Unie erkende doelstellingen van algemeen belang nastreeft en daadwerkelijk geschikt is om die doelstellingen te verwezenlijken, ten tweede, of de daaruit voortvloeiende inmengingen beperkt blijven tot het strikt noodzakelijke, in die zin dat die doelstellingen redelijkerwijs niet even doeltreffend kunnen worden bereikt op een andere wijze die de grondrechten van de betrokken personen minder aantast, en, ten derde, of die inmengingen niet onevenredig zijn aan de doelstellingen in kwestie, wat met name een afweging vereist van die doelstellingen en van de ernst van die inmengingen (zie in deze zin arresten van 22 november 2022, Luxembourg Business Registers, C‑37/20 en C‑601/20, EU:C:2022:912, punt 66, en 8 december 2022, Orde van Vlaamse Balies e.a., C‑694/20, EU:C:2022:963, punt 42).

1)      Nastreven van een of meer door de Unie erkende doelstellingen van algemeen belang en geschiktheid van de maatregel om die doelstellingen te bereiken

i)      De betrokken maatregel streeft doelstellingen van algemeen belang na

85      Verordening 2019/1157 heeft volgens artikel 1 tot doel de beveiligingsnormen te versterken die met name gelden voor identiteitskaarten die lidstaten aan hun onderdanen afgeven wanneer zij hun recht op vrij verkeer uitoefenen.

86      Meer in het bijzonder blijkt uit de overwegingen 4, 5, 17 tot en met 20, en 32 van verordening 2019/1157 dat de integratie van biometrische gegevens, waaronder twee volledige vingerafdrukken, in het opslagmedium van identiteitskaarten beoogt de authenticiteit van die kaarten te waarborgen en de houder ervan op betrouwbare wijze te kunnen identificeren. Overeenkomstig de overwegingen 23 en 33 en artikel 3, lid 5, van deze verordening moet dat ook bijdragen tot de interoperabiliteit van de systemen voor de verificatie van identiteitsdocumenten, teneinde het risico van vervalsing en documentfraude te verminderen.

87      Het Hof heeft met betrekking tot de afgifte van paspoorten (zie in die zin arrest van 17 oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, punten 36‑38) en het aanmaken van een bestand om onderdanen van derde landen te identificeren (zie in die zin arrest van 3 oktober 2019, A e.a., C‑70/18, EU:C:2019:823, punt 46 en aldaar aangehaalde rechtspraak) al geoordeeld dat de strijd tegen documentfraude, die onder meer de strijd tegen de vervaardiging van valse identiteitskaarten en identiteitsfraude omvat, een door de Unie erkende doelstelling van algemeen belang is.

88      De doelstelling om de interoperabiliteit van de systemen voor de verificatie van identiteitsdocumenten te waarborgen is ook een dergelijke doelstelling van algemeen belang, aangezien deze, zoals blijkt uit overweging 17 van verordening 2019/1157, eraan bijdraagt dat de burgers van de Unie het hun bij artikel 20 VWEU verleende recht om zich vrij op het grondgebied van de lidstaten te verplaatsen en er vrij te verblijven, gemakkelijker kunnen uitoefenen.

ii)    Geschiktheid van de betrokken maatregel om daadwerkelijk te beantwoorden aan de nagestreefde doelstellingen van algemeen belang

89      In casu is de opneming van twee volledige vingerafdrukken in het opslagmedium van identiteitskaarten geschikt om de doelstellingen van algemeen belang te verwezenlijken die de Uniewetgever ter rechtvaardiging van deze maatregel heeft aangevoerd, namelijk het tegengaan van de vervaardiging van valse identiteitskaarten en identiteitsfraude alsmede het waarborgen van de interoperabiliteit van de verificatiesystemen.

90      Om te beginnen kan de opneming van biometrische gegevens, zoals vingerafdrukken, in identiteitskaarten de vervaardiging van valse identiteitskaarten namelijk bemoeilijken, aangezien dergelijke gegevens overeenkomstig met name artikel 3, lid 5, van verordening 2019/1157, gelezen in samenhang met artikel 14, leden 1 en 2, van die verordening, moeten worden opgeslagen volgens nauwkeurige technische specificaties die geheim kunnen worden gehouden.

91      De opneming van dergelijke biometrische gegevens vormt voorts een middel waarmee overeenkomstig artikel 11, lid 6, en de overwegingen 18 en 19 van verordening 2019/1157 de authenticiteit van de identiteitskaart en de identiteit van de kaarthouder op betrouwbare wijze kunnen worden geverifieerd, en aldus de fraudegevoeligheid kan worden beperkt.

92      Ten slotte lijkt de keuze van de Uniewetgever om te voorzien in de opneming van volledige vingerafdrukken ook geschikt om de doelstelling van interoperabiliteit van de systemen voor de verificatie van identiteitskaarten te verwezenlijken, aangezien het gebruik van volledige vingerafdrukken het mogelijk maakt de compatibiliteit met alle door de lidstaten gebruikte geautomatiseerde systemen voor de identificatie van vingerafdrukken te verzekeren, ook al maken dergelijke systemen niet noodzakelijkerwijs gebruik van hetzelfde identificatiemechanisme.

93      De verwijzende rechter merkt tevens op dat artikel 3, lid 7, eerste alinea, van verordening 2019/1157 de lidstaten toestaat om met name kinderen jonger dan twaalf jaar vrij te stellen van de verplichting om vingerafdrukken te laten nemen en hen in de tweede alinea verplicht om kinderen jonger dan zes jaar daarvan vrij te stellen.

94      Een wettelijke regeling is uiteraard slechts geschikt om de verwezenlijking van het gestelde doel te waarborgen wanneer de maatregelen waarin zij voorziet daadwerkelijk ertoe strekken om dat doel op samenhangende en stelselmatige wijze te bereiken (zie naar analogie arrest van 5 december 2023, Nordic Info, C‑128/22, EU:C:2023:951, punt 84 en aldaar aangehaalde rechtspraak).

95      Verordening 2019/1157 voldoet echter aan dit vereiste, ook al voorziet zij in vrijstellingen van de verplichting om vingerafdrukken af te nemen van kinderen, aangezien die vrijstellingen, zoals blijkt uit overweging 26 ervan, beogen rekening te houden met de belangen van het kind.

96      Hetzelfde geldt voor de regel van artikel 5 van verordening 2019/1157 dat identiteitskaarten die niet aan de vereisten van artikel 3 van die verordening voldoen, hun geldigheid pas verliezen wanneer zij vervallen of uiterlijk op 3 augustus 2031. De Uniewetgever mocht zich namelijk op het standpunt stellen dat een dergelijke overgangsperiode passend was om te voorkomen dat de lidstaten binnen een zeer korte periode nieuwe identiteitskaarten moesten uitgeven voor alle betrokken personen, zonder daarvoor de doeltreffendheid op lange termijn van de in die verordening vastgestelde maatregelen ter discussie te stellen.

97      Wat de omstandigheid betreft dat bepaalde lidstaten in hun wetgeving bepalen dat de door hen afgegeven identiteitskaarten geldig blijven hoewel het elektronisch opslagmedium defect is, volstaat het op te merken dat dergelijke wettelijke regelingen slechts verenigbaar zijn met verordening 2019/1157 voor zover de in het vorige punt genoemde overgangsperiode niet is verstreken.

2)      Noodzaak van de betrokken maatregel om de nagestreefde doelstellingen van algemeen belang te verwezenlijken

98      Wat in de eerste plaats het beginsel zelf betreft dat vingerafdrukken moeten worden opgenomen in het opslagmedium voor identiteitskaarten, moet worden opgemerkt dat vingerafdrukken een betrouwbaar en doeltreffend middel zijn om de identiteit van een persoon met zekerheid vast te stellen en dat het voor het verzamelen van die vingerafdrukken gebruikte procedé eenvoudig toe te passen is.

99      Zoals de advocaat-generaal in punt 90 van haar conclusie heeft opgemerkt, zou de opneming van louter een gezichtsopname een minder doeltreffend identificatiemiddel zijn dan de opneming van twee vingerafdrukken naast die afbeelding, aangezien veroudering, levensstijl, ziekte of esthetische of reconstruerende chirurgische ingrepen de anatomische kenmerken van het gezicht kunnen veranderen.

100    In de effectbeoordeling van de Commissie bij het voorstel voor een verordening dat heeft geleid tot verordening 2019/1157 staat dat de voorkeur moet worden gegeven aan de optie om de opneming van twee vingerafdrukken in het opslagmedium voor identiteitskaarten niet verplicht te stellen.

101    Nog afgezien van het feit dat de Commissie er zelf voor heeft gekozen deze optie niet te volgen in haar wetgevingsvoorstel, moet echter worden opgemerkt dat het interinstitutioneel akkoord in punt 14 weliswaar bepaalt dat het Parlement en de Raad bij het onderzoek van de wetgevingsvoorstellen van de Commissie ten volle rekening moeten houden met de effectbeoordelingen van de Commissie, maar dat in punt 12 van dat akkoord wordt verklaard dat dergelijke beoordelingen „een instrument [vormen] dat de drie instellingen helpt om tot goed onderbouwde besluiten te komen en [...] niet in de plaats [treden] van de politieke besluiten van het democratische besluitvormingsproces”. Bijgevolg zijn het Parlement en de Raad, hoewel zij rekening moeten houden met de effectbeoordelingen van de Commissie, niet gebonden door de inhoud daarvan, in het bijzonder wat de daarin vervatte beoordelingen betreft (zie in die zin arrest van 21 juni 2018, Polen/Parlement en Raad, C‑5/16, EU:C:2018:483, punt 159 en aldaar aangehaalde rechtspraak).

102    Het enkele feit dat de wetgever van de Unie heeft gekozen voor een andere, in voorkomend geval strengere maatregel dan die welke in de effectbeoordeling was aanbevolen, kan dan ook niet aantonen dat hij de grenzen heeft overschreden van hetgeen noodzakelijk was om de beoogde doelstelling te bereiken (zie in die zin arrest van 4 mei 2016, Pillbox 38, C‑477/14, EU:C:2016:324, punt 65).

103    In casu is uit de effectbeoordeling van de Commissie gebleken dat de optie om de opneming van vingerafdrukken in het opslagmedium voor identiteitskaarten verplicht te stellen, de meest doeltreffende manier was om de specifieke doelstelling te verwezenlijken die erin bestaat de vervaardiging van valse identiteitskaarten te bestrijden en de authenticatie van documenten te verbeteren. In die omstandigheden kan de keuze om een dergelijke opneming niet verplicht te stellen hoe dan ook niet afdoen aan de noodzakelijkheid, in de zin van de in punt 84 van het onderhavige arrest aangehaalde rechtspraak, van de door de Uniewetgever gekozen maatregel.

104    Wat in de tweede plaats de opneming van twee volledige vingerafdrukken in plaats van slechts de kenmerkende punten ervan (de „minutiae”) betreft, bieden de minutiae, zoals de advocaat-generaal in punt 93 van haar conclusie heeft opgemerkt, niet dezelfde waarborgen als een volledige afdruk. Voorts is de opneming van een volledige afdruk noodzakelijk voor de interoperabiliteit van de systemen voor de verificatie van identiteitsdocumenten, hetgeen een van de nagestreefde wezenlijke doelstellingen is. Zoals blijkt uit punt 47 van advies 7/2018 en zoals de verwijzende rechter ook benadrukt, gebruiken de lidstaten verschillende technologieën voor de identificatie van vingerafdrukken, zodat de opneming van slechts bepaalde kenmerken van een vingerafdruk in het opslagmedium van de identiteitskaart de verwezenlijking in gevaar zou brengen van de door verordening 2019/1157 nagestreefde doelstelling van interoperabiliteit van de systemen voor de verificatie van identiteitsdocumenten.

105    Uit het voorgaande volgt dat de beperkingen van de door de artikelen 7 en 8 van het Handvest gewaarborgde grondrechten die voortvloeien uit de verplichting om twee volledige vingerafdrukken in het opslagmedium op te nemen, binnen de grenzen van het strikt noodzakelijke blijven.

3)      Afweging tussen de ernst van de inmenging in de betrokken grondrechten en de doelstellingen die met deze maatregel worden nagestreefd

i)      Ernst van de inmenging die het gevolg is van de beperking van de uitoefening van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten

106    Bij de beoordeling van de ernst van de inmenging die wordt veroorzaakt door een beperking van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten, moet rekening worden gehouden met de aard van de betrokken persoonsgegevens, in het bijzonder met het feit dat het mogelijk gevoelige gegevens betreft, en met de aard van de gegevensverwerking en de wijze waarop deze wordt uitgevoerd, in het bijzonder het aantal personen dat toegang heeft tot de gegevens en de wijze waarop deze toegankelijk worden gemaakt. In voorkomend geval moet ook rekening worden gehouden met het bestaan van maatregelen die het risico beogen te voorkomen dat deze gegevens onrechtmatig worden verwerkt.

107    In casu kan de uit verordening 2019/1157 voortvloeiende beperking van de uitoefening van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten zeker een groot aantal personen treffen, aangezien de Commissie dit aantal in haar effectbeoordeling heeft geraamd op 370 miljoen van de 440 miljoen inwoners die de Unie toen telde. Vingerafdrukken zijn als biometrische gegevens naar hun aard bijzonder gevoelig en genieten, zoals met name blijkt uit overweging 51 AVG, een specifieke Unierechtelijke bescherming.

108    Er zij echter op gewezen dat het verzamelen en het opslaan van twee volledige vingerafdrukken op grond van verordening 2019/1157 alleen is toegestaan om deze vingerafdrukken op te nemen in het opslagmedium van identiteitskaarten.

109    Voorts volgt uit artikel 3, lid 5, van deze verordening, gelezen in samenhang met artikel 10, lid 3, ervan, dat wanneer deze opneming eenmaal heeft plaatsgevonden en de identiteitskaart aan de betrokkene is overhandigd, de verzamelde vingerafdrukbeelden uitsluitend worden bewaard in het opslagmedium van die kaart, die in beginsel feitelijk in het bezit is van die persoon.

110    Ten slotte voorziet verordening 2019/1157 in een reeks waarborgen om het risico te beperken dat bij de toepassing van deze verordening persoonsgegevens worden verzameld of gebruikt voor andere doeleinden dan de verwezenlijking van de door deze verordening nagestreefde doelstellingen, niet alleen met betrekking tot de verwerkingen van persoonsgegevens die door deze verordening verplicht worden gesteld, maar ook met betrekking tot de belangrijkste verwerkingen waaraan de in het opslagmedium van identiteitskaarten opgenomen vingerafdrukken kunnen worden onderworpen.

111    Wat ten eerste het verzamelen van gegevens betreft, bepaalt artikel 10, leden 1 en 2, van verordening 2019/1157 namelijk dat de biometrische identificatiemiddelen „uitsluitend [...] door gekwalificeerd en naar behoren gemachtigd personeel” worden verzameld en dat dit personeel zich dient te houden aan „passende en doeltreffende procedures voor de verzameling van biometrische gegevens”, waarbij deze procedures de rechten en beginselen moeten eerbiedigen die zijn neergelegd in het Handvest, het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden en het VN-Verdrag inzake de rechten van het kind. Zoals in punt 93 van het onderhavige arrest is opgemerkt, bevat artikel 3, lid 7, van deze verordening bovendien bijzondere regels voor kinderen jonger dan twaalf jaar (eerste en tweede alinea) en voor personen bij wie het nemen van vingerafdrukken fysiek onmogelijk is (derde alinea), waarbij laatstgenoemde personen worden „vrijgesteld van de verplichting om vingerafdrukken te laten nemen”.

112    Wat ten tweede de opslag van gegevens betreft, verplicht verordening 2019/1157 de lidstaten om een gezichtsopname en twee vingerafdrukbeelden als biometrische gegevens op te slaan. In dit verband wordt in overweging 21 ervan uitdrukkelijk gepreciseerd dat deze verordening niet voorziet „in een rechtsgrond voor het opzetten of bijhouden van nationale databanken voor de opslag van biometrische gegevens in de lidstaten; dit is een kwestie van nationale wetgeving die moet voldoen aan het Unierecht inzake gegevensbescherming”, en evenmin „in een rechtsgrond voor het opzetten of bijhouden van een gecentraliseerde databank op Unieniveau”. Voorts bepaalt artikel 10, lid 3, van die verordening dat die „biometrische gegevens [...] slechts tot de datum waarop het document wordt afgehaald en in geen geval langer dan 90 dagen na de dag van afgifte van het document [worden opgeslagen]” en verduidelijkt het dat „[n]a deze periode [...] deze biometrische gegevens onmiddellijk [worden] gewist en vernietigd”.

113    Daaruit volgt met name dat artikel 10, lid 3, van verordening 2019/1157 de lidstaten niet toestaat biometrische gegevens te verwerken voor andere doeleinden dan die waarin deze verordening voorziet. Bovendien staat diezelfde bepaling in de weg aan een gecentraliseerde opslag van vingerafdrukken die verder gaat dan de tijdelijke opslag van die afdrukken met het oog op de personalisatie van identiteitskaarten.

114    Ten slotte wordt in artikel 11, lid 6, van verordening 2019/1157 verwezen naar de mogelijkheid dat de biometrische gegevens in het beveiligde opslagmedium overeenkomstig het Unierecht en het nationale recht worden gebruikt door de naar behoren gemachtigde personeelsleden van de bevoegde nationale autoriteiten en Unie-agentschappen.

115    Punt a) van deze bepaling staat alleen toe dat de biometrische gegevens die zijn opgeslagen op het opslagmedium van identiteitskaarten en verblijfsdocumenten worden gebruikt voor het verifiëren van de authenticiteit van de identiteitskaart of het verblijfsdocument.

116    Punt b) van deze bepaling bepaalt dat de biometrische gegevens die zijn opgeslagen op het opslagmedium van identiteitskaarten en verblijfsdocumenten kunnen worden gebruikt voor het verifiëren van de identiteit van de houder „door middel van direct beschikbare en vergelijkbare kenmerken wanneer het overleggen van een identiteitskaart of verblijfsdocument wettelijk vereist is”. Aangezien een dergelijke verwerking aanvullende informatie over het privéleven van de betrokkenen kan opleveren, mag zij slechts worden uitgevoerd voor doeleinden die strikt beperkt zijn tot de identificatie van de betrokkene en onder nauwkeurige voorwaarden die zijn vastgesteld in de wettelijke bepalingen die de overlegging van de identiteitskaart of het verblijfsdocument voorschrijven.

117    Wat ten derde de raadpleging van de op het opslagmedium voor identiteitskaarten opgeslagen biometrische gegevens betreft, moet worden benadrukt dat overweging 19 van verordening 2019/1157 een rangorde vaststelt voor het gebruik van de middelen om de authenticiteit van het document en de identiteit van de houder te verifiëren, in die zin dat de lidstaten „primair de gezichtsopname [dienen te] verifiëren” en, indien dit nodig is om de authenticiteit van het document en de identiteit van de houder zonder enige twijfel te bevestigen, „ook de vingerafdrukken”.

118    Wat ten vierde het risico van ongeoorloofde toegang tot de opgeslagen gegevens betreft, bepaalt artikel 3, leden 5 en 6, van verordening 2019/1157, teneinde dit risico tot een minimum te beperken, dat de vingerafdrukken worden opgeslagen op een „opslagmedium dat aan de hoogste veiligheidseisen voldoet”, dat „voldoende capaciteit [heeft] en voldoende geschikt [is] om de integriteit, de authenticiteit en de vertrouwelijkheid van de gegevens te garanderen”. Bovendien volgt uit artikel 3, lid 10, van deze verordening dat „wanneer de lidstaten gegevens voor elektronische diensten zoals e-overheid en e-business in de identiteitskaart opnemen, [...] dergelijke nationale gegevens fysiek of logisch gescheiden [zijn]”, met name van de op grond van die verordening verzamelde en opgeslagen vingerafdrukken. Ten slotte blijkt uit de overwegingen 41 en 42 en uit artikel 11, lid 4, van deze verordening dat de lidstaten verantwoordelijk blijven voor de correcte verwerking van biometrische gegevens, ook wanneer zij samenwerken met externe dienstverleners.

ii)    Belang van de nagestreefde doelstellingen

119    Zoals in punt 86 van het onderhavige arrest in herinnering is gebracht, beoogt de opneming van twee vingerafdrukken in het opslagmedium voor identiteitskaarten de vervaardiging van valse identiteitskaarten en identiteitsfraude tegen te gaan en de interoperabiliteit van systemen voor de verificatie van identiteitsdocumenten te waarborgen. In dit opzicht kan zij bijdragen tot de bescherming van het privéleven van de betrokkenen en, meer in het algemeen, tot de bestrijding van criminaliteit en terrorisme.

120    Bovendien kan met een dergelijke maatregel worden voldaan aan de behoefte van elke burger van de Unie om over een betrouwbaar identificatiemiddel te beschikken, en aan de behoefte van de lidstaten om zich ervan te vergewissen dat personen die zich op door het Unierecht erkende rechten beroepen, die rechten ook daadwerkelijk genieten. Hij draagt er aldus in het bijzonder aan bij dat de burgers van de Unie hun recht van vrij verkeer en verblijf gemakkelijker kunnen uitoefenen, dat eveneens een door artikel 45 van het Handvest gewaarborgd grondrecht vormt. De doelstellingen die door verordening 2019/1157 worden nagestreefd, met name door de opneming van twee vingerafdrukken in het opslagmedium van identiteitskaarten, zijn bijgevolg niet alleen voor de Unie en de lidstaten, maar ook voor de burgers van de Unie van bijzonder belang.

121    Aan de rechtmatigheid en het belang van deze doelstellingen wordt overigens geenszins afgedaan door de omstandigheid waaraan de verwijzende rechter refereert, dat er volgens de punten 24 tot en met 26 van advies 7/2018 tussen 2013 en 2017 slechts 38 870 gevallen van frauduleuze identiteitskaarten waren ontdekt en dat dit aantal sinds meerdere jaren afnam.

122    Zelfs indien wordt aangenomen dat het aantal frauduleuze identiteitskaarten gering is, was de Uniewetgever immers niet verplicht te wachten totdat dit aantal zou toenemen om maatregelen te nemen teneinde het risico van het gebruik van dergelijke kaarten te voorkomen, maar kon hij met name met het oog op risicobeheersing anticiperen op zo’n ontwikkeling, mits aan de andere voorwaarden inzake de eerbiediging van het evenredigheidsbeginsel was voldaan.

iii) Belangenafweging

123    Gelet op het voorgaande moet worden vastgesteld dat de beperking van de uitoefening van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten als gevolg van de opneming van twee vingerafdrukken in het opslagmedium voor identiteitskaarten, in het licht van de aard van de betrokken gegevens, de aard van de verwerkingen en de wijze waarop deze worden uitgevoerd, alsook de ingestelde vrijwaringsmechanismen, niet dermate ernstig lijkt te zijn dat zij onevenredig is aan het belang van de verschillende doelstellingen die met deze maatregel worden nagestreefd. Een dergelijke maatregel moet dus worden geacht te zijn gebaseerd op een evenwichtige afweging tussen enerzijds deze doelstellingen en anderzijds de betrokken grondrechten.

124    Bijgevolg is de beperking van de uitoefening van de door de artikelen 7 en 8 van het Handvest gewaarborgde rechten niet in strijd met het evenredigheidsbeginsel, zodat de derde grond niet kan leiden tot ongeldigheid van verordening 2019/1157.

125    Uit al het voorgaande volgt dat verordening 2019/1157 ongeldig is voor zover zij is vastgesteld op grond van artikel 21, lid 2, VWEU.

IV.    Handhaving in de tijd van de gevolgen van verordening 2019/1157

126    De gevolgen van een ongeldig verklaarde handeling kunnen worden gehandhaafd met het oog op de rechtszekerheid, met name wanneer de directe effecten van het arrest waarbij de ongeldigheid wordt vastgesteld ernstige negatieve gevolgen voor de betrokkenen teweegbrengen (zie in die zin arrest van 17 maart 2016, Parlement/Commissie, C‑286/14, EU:C:2016:183, punt 67).

127    In casu zou de ongeldigverklaring van verordening 2019/1157 met onmiddellijke ingang ernstige negatieve gevolgen kunnen hebben voor een groot aantal burgers van de Unie, in het bijzonder voor hun veiligheid in de ruimte van vrijheid, veiligheid en recht.

128    In die omstandigheden beslist het Hof dat de gevolgen van deze verordening moeten worden gehandhaafd totdat binnen een redelijke termijn van ten hoogste twee jaar te rekenen vanaf 1 januari van het jaar volgend op de datum van uitspraak van het onderhavige arrest een nieuwe verordening in werking treedt die op artikel 77, lid 3, VWEU is gebaseerd en verordening 2019/1157 vervangt.

V.      Kosten

129    Ten aanzien van de partijen in het hoofdgeding is de procedure als een aldaar gerezen incident te beschouwen, zodat de verwijzende rechter over de kosten heeft te beslissen. De door anderen wegens indiening van hun opmerkingen bij het Hof gemaakte kosten komen niet voor vergoeding in aanmerking.

Het Hof (Grote kamer) verklaart voor recht:

1)      Verordening (EU) 2019/1157 van het Europees Parlement en de Raad van 20 juni 2019 betreffende de versterking van de beveiliging van identiteitskaarten van burgers van de Unie en van verblijfsdocumenten afgegeven aan burgers van de Unie en hun familieleden die hun recht van vrij verkeer uitoefenen, is ongeldig.

2)      De gevolgen van verordening 2019/1157 worden gehandhaafd totdat binnen een redelijke termijn van ten hoogste twee jaar te rekenen vanaf 1 januari van het jaar volgend op de datum van uitspraak van het onderhavige arrest een nieuwe verordening in werking treedt die op artikel 77, lid 3, VWEU is gebaseerd en verordening 2019/1157 vervangt.

ondertekeningen

*      Procestaal: Duits.