Asunto C‑61/22
Sr. Detlev Sieber
contra
Landeshauptstadt Wiesbaden
(Petición de decisión prejudicial planteada por el Verwaltungsgericht Wiesbaden)
Sentencia del Tribunal de Justicia (Gran Sala) de 21 de marzo de 2024
«Procedimiento prejudicial — Reglamento (UE) 2019/1157 — Refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión Europea — Validez — Base jurídica — Artículo 21 TFUE, apartado 2 — Artículo 77 TFUE, apartado 3 — Reglamento 2019/1157 — Artículo 3, apartado 5 — Obligación de los Estados miembros de integrar en el medio de almacenamiento de los documentos de identidad dos impresiones dactilares en formatos digitales interoperables — Artículo 7 de la Carta de los Derechos Fundamentales de la Unión Europea — Respeto de la vida privada y familiar — Artículo 8 de la Carta de los Derechos Fundamentales — Protección de datos de carácter personal — Reglamento (UE) 2016/679 — Artículo 35 — Obligación de realizar una evaluación de impacto relativa a la protección de datos — Mantenimiento en el tiempo de los efectos de un reglamento declarado inválido»
1. Actos de las instituciones — Elección de la base jurídica — Criterios — Existencia de una base jurídica específica — Reglamento sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión y de los documentos de residencia expedidos a dichos ciudadanos y a los miembros de sus familias que ejerzan su derecho a la libre circulación — Adopción sobre la base de las disposiciones específicas del artículo 77 TFUE, apartado 3, y no sobre la base del artículo 21 TFUE, apartado 2
[Arts. 21 TFUE, ap. 2, y 77 TFUE, ap. 3; Reglamento (UE) 2019/1157 del Parlamento Europeo y del Consejo]
(véanse los apartados 46, 49 a 56 y 61)
2. Protección de las personas físicas en lo que respecta al tratamiento de datos personales — Reglamento (UE) 2016/679 — Obligación del responsable de un tratamiento de datos personales, que pueda entrañar un alto riesgo para los derechos y libertades de las personas físicas, de realizar previamente una evaluación de impacto — Obligación que no es aplicable para la adopción de un reglamento que no lleva a cabo por sí mismo ningún tratamiento de datos personales — Incumplimiento — Inexistencia
[Reglamentos (UE) del Parlamento Europeo y del Consejo, 2016/679, art. 35, aps. 1 y 10, y 2019/1157]
(véanse los apartados 66 y 67)
3. Derechos fundamentales — Carta de los Derechos Fundamentales — Respeto de la vida privada — Protección de datos de carácter personal — Toma y almacenamiento de las impresiones dactilares en los documentos de identidad de los ciudadanos de la Unión — Inclusión — Vulneración de los derechos reconocidos en los artículos 7 y 8 de la Carta
[Carta de los Derechos Fundamentales de la Unión Europea, arts. 7 y 8; Reglamento (UE) 2019/1157 del Parlamento Europeo y del Consejo, art. 3, ap. 5]
(véanse los apartados 70, 72 y 73)
4. Derechos fundamentales — Carta de los Derechos Fundamentales — Respeto de la vida privada — Protección de datos de carácter personal — Reglamento sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión y de los documentos de residencia expedidos a dichos ciudadanos y a los miembros de sus familias que ejerzan su derecho a la libre circulación — Toma y almacenamiento de las impresiones dactilares en los documentos de identidad de los ciudadanos de la Unión — Injerencia en dichos derechos fundamentales — Limitaciones al ejercicio de esos derechos — Procedencia — Requisitos
[Carta de los Derechos Fundamentales de la Unión Europea, arts. 7, 8 y 52, ap. 1; Reglamento (UE) 2019/1157 del Parlamento Europeo y del Consejo, art. 3, ap. 5]
(véanse los apartados 75, 76, 79, 81, 84, 90 a 92, 98 a 101, 104, 108 a 110, 119, 120, 123 y 124)
5. Cuestiones prejudiciales — Apreciación de validez — Declaración de invalidez de un reglamento — Declaración de invalidez del Reglamento sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión y de los documentos de residencia expedidos a dichos ciudadanos y a los miembros de sus familias que ejerzan su derecho a la libre circulación — Efectos — Limitación en el tiempo
[Reglamento (UE) 2019/1157 del Parlamento Europeo y del Consejo]
(véanse los apartados 126 a 128 y los puntos 1 y 2 del fallo)
Resumen
En respuesta a una petición de decisión prejudicial planteada por el Verwaltungsgericht Wiesbaden (Tribunal de lo Contencioso-Administrativo de Wiesbaden, Alemania), el Tribunal de Justicia, constituido en Gran Sala, declara inválido el Reglamento 2019/1157, (1) sobre el refuerzo de la seguridad de los documentos de identidad de los ciudadanos de la Unión, por haber sido adoptado sobre una base jurídica errónea. No obstante, declara que la inserción obligatoria de dos impresiones dactilares en los documentos de identidad, establecida en dicho Reglamento, es compatible con los derechos fundamentales al respeto de la vida privada y a la protección de los datos de carácter personal. Por lo tanto, el Tribunal de Justicia mantiene sus efectos hasta la entrada en vigor de un nuevo reglamento que lo sustituya, fundado en la base jurídica específica adecuada.
En noviembre de 2021, el demandante en el litigio principal solicitó al Ayuntamiento de Wiesbaden (2) la expedición de un nuevo documento de identidad, pidiendo que este no incluyera sus impresiones dactilares. El Ayuntamiento de Wiesbaden denegó dicha solicitud debido, entre otras cosas, a que, desde el 2 de agosto de 2021, la integración de dos impresiones dactilares en el medio de almacenamiento de los documentos de identidad es obligatoria en virtud de la disposición de Derecho nacional que transpone, en esencia, el artículo 3, apartado 5, del Reglamento 2019/1157.
El 21 de diciembre de 2021, el demandante en el litigio principal interpuso ante el tribunal remitente un recurso contra la resolución del Ayuntamiento de Wiesbaden con objeto de que se conminara a este último a expedirle un documento de identidad sin que se recojan sus impresiones dactilares.
Por albergar dudas sobre la legalidad de los motivos de la resolución impugnada, ya que se pregunta, entre otras cosas, si la validez del Reglamento 2019/1157 es en sí misma cuestionable, el tribunal remitente suspendió el procedimiento para preguntar al Tribunal de Justicia si dicho Reglamento es inválido debido a que, en primer lugar, se adoptó erróneamente sobre la base del artículo 21 TFUE, apartado 2, en lugar del artículo 77 TFUE, apartado 3; en segundo lugar, infringe el Reglamento General de Protección de Datos, (3) y, en tercer lugar, infringe los artículos 7 y 8 de la Carta de los Derechos Fundamentales de la Unión Europea. (4)
Apreciación del Tribunal de Justicia
Sobre el primer motivo de invalidez, basado en la elección de una base jurídica errónea
Por lo que se refiere a los ámbitos de aplicación respectivos del artículo 21 TFUE, apartado 2, y del artículo 77 TFUE, apartado 3, el Tribunal de Justicia declara que la primera de estas dos disposiciones atribuye a la Unión la competencia para adoptar las disposiciones necesarias con el fin de facilitar el ejercicio del derecho de los ciudadanos de la Unión a circular y residir libremente en el territorio de los Estados miembros, (5) a menos que los Tratados hayan previsto los poderes de acción al respecto. Pues bien, el artículo 77 TFUE, apartado 3, (6) prevé expresamente tales facultades de actuación en lo referente a la adopción de disposiciones relativas a los pasaportes, documentos de identidad, permisos de residencia o cualquier otro documento asimilado expedidos a los ciudadanos de la Unión con el fin de facilitar el ejercicio del derecho de libre circulación y residencia.
Es cierto que esta segunda disposición figura en el título del TFUE dedicado al espacio de libertad, seguridad y justicia, y en el capítulo titulado «Políticas sobre controles en las fronteras, asilo e inmigración». Sin embargo, del artículo 77 TFUE, apartado 1, resulta que la Unión desarrollará una política que tendrá por objetivo garantizar tanto la ausencia total de controles de las personas, sea cual sea su nacionalidad, cuando crucen las fronteras interiores, como los controles de las personas y la vigilancia eficaz en el cruce de las fronteras exteriores, así como instaurar progresivamente un sistema integrado de gestión de estas fronteras. Pues bien, las disposiciones (7) a las que se refiere el artículo 77 TFUE, apartado 3, forman parte integrante de tal política de la Unión. En efecto, por lo que respecta a los ciudadanos de la Unión, esos documentos les permiten, entre otras cosas, acreditar su condición de beneficiarios del derecho de libre circulación y residencia y, por lo tanto, ejercer ese derecho. Así pues, el artículo 77, apartado 3, puede fundamentar la adopción de medidas relativas a dichos documentos si tal acción resulta necesaria para facilitar el ejercicio del derecho de libre circulación y residencia.
Esta interpretación del alcance del artículo 77 TFUE, apartado 3, no queda desvirtuada ni por la evolución histórica de los Tratados en materia de competencia de la Unión para adoptar medidas relativas, entre otras cosas, a los pasaportes y documentos de identidad, ni por el hecho de que esta disposición establece que se aplica «a menos que los Tratados hayan previsto poderes de actuación a tal efecto».
A este respecto, el Tribunal de Justicia señala, por un lado, que es cierto que el Tratado de Lisboa suprimió la disposición (8) que excluía expresamente la posibilidad de que el legislador de la Unión recurriera al artículo 18 CE, apartado 2 (actualmente artículo 21 TFUE, apartado 2), como base jurídica para la adopción, entre otras cosas, de «disposiciones relativas a los pasaportes [y] documentos de identidad». Sin embargo, al mismo tiempo, este Tratado atribuyó expresamente a la Unión una facultad de actuación en ese ámbito, en el artículo 77 TFUE, apartado 3, sometiendo la adopción de medidas en dicho ámbito a un procedimiento legislativo especial y, en particular, a la unanimidad en el Consejo.
En estas circunstancias, dicha supresión no implica que en lo sucesivo sería posible adoptar disposiciones relativas a los pasaportes y documentos de identidad sobre la base del artículo 21 TFUE, apartado 2. Por el contrario, según el Tribunal de Justicia, de la evolución histórica se desprende que, frente a la competencia más general prevista en el artículo 21 TFUE, apartado 2, los autores de los Tratados pretendieron atribuir a la Unión, mediante el artículo 77 TFUE, apartado 3, una competencia más específica relativa a la adopción de tales disposiciones a fin de facilitar el ejercicio del derecho de libre circulación y residencia.
Por otro lado, el Tribunal de Justicia interpreta la indicación de que el artículo 77 TFUE, apartado 3, se aplica «a menos que los Tratados hayan previsto poderes de actuación a tal efecto» en el sentido de que las facultades de actuación a las que se refiere no son las conferidas por una disposición de alcance más general, como el artículo 21 TFUE, apartado 2, sino por una disposición aún más específica.
El Tribunal de Justicia deduce de lo anterior que el Reglamento 2019/1157 únicamente podía adoptarse sobre la base del artículo 21 TFUE, apartado 2, si el objetivo o el componente principal o preponderante de dicho Reglamento se situaba fuera del ámbito de aplicación específico del artículo 77 TFUE, apartado 3, que se refiere, con el fin de facilitar el ejercicio del derecho de libre circulación y residencia, a la expedición de pasaportes, documentos de identidad, permisos de residencia o cualquier otro documento asimilado.
Pues bien, del objetivo y de los componentes principales del Reglamento 2019/1157 se deriva que este Reglamento está comprendido en el ámbito de aplicación específico del artículo 77 TFUE, apartado 3. Por lo tanto, al adoptar ese Reglamento sobre la base del artículo 21 TFUE, apartado 2, y con arreglo al procedimiento legislativo ordinario, el legislador de la Unión eligió una base jurídica errónea, lo que puede implicar la invalidez de dicho Reglamento.
Sobre el segundo motivo de invalidez, basado en la infracción del artículo 35, apartado 10, del RGPD
El Tribunal de Justicia declara que el Reglamento 2019/1157 no lleva a cabo ninguna operación aplicada a datos personales, sino que se limita a establecer que los Estados miembros realicen determinados tratamientos en caso de solicitud de un documento de identidad, y señala que el artículo 35, apartado 1, del RGPD (9) no era aplicable en el momento de la adopción del Reglamento 2019/1157. Por lo tanto, dado que el artículo 35, apartado 10, del RGPD introduce una excepción a esta última disposición, la adopción del Reglamento 2019/1157 no pudo infringir dicho artículo 35, apartado 10.
Sobre el tercer motivo de invalidez, basado en la infracción de los artículos 7 y 8 de la Carta
En primer lugar, el Tribunal de Justicia señala que la obligación de integrar dos impresiones dactilares completas en el medio de almacenamiento de los documentos de identidad expedidos por los Estados miembros, establecida en el artículo 3, apartado 5, del Reglamento 2019/1157, constituye una limitación tanto del derecho al respeto de la vida privada como del derecho a la protección de los datos de carácter personal, reconocidos en los artículos 7 y 8 de la Carta, respectivamente. (10) Además, dicha obligación implica la realización previa de dos operaciones de tratamiento de datos personales sucesivas, a saber, la recogida de dichas impresiones del interesado y su almacenamiento provisional a fines de personalización de los documentos de identidad, que constituyen también limitaciones de los derechos reconocidos en los artículos 7 y 8 de la Carta.
En segundo lugar, el Tribunal de Justicia examina si las limitaciones en cuestión están justificadas y son proporcionadas.
A este respecto, considera, por un lado, que las limitaciones en cuestión respetan el principio de legalidad y no menoscaban el contenido esencial de los derechos fundamentales recogidos en los artículos 7 y 8 de la Carta.
Por otro lado, en lo que atañe al principio de proporcionalidad, el Tribunal de Justicia precisa, en primer término, que la medida controvertida persigue varios objetivos de interés general reconocidos por la Unión, a saber, la lucha contra la producción de documentos de identidad falsos y contra la suplantación de identidad, así como la interoperabilidad de los sistemas de verificación, y que es idónea para alcanzar esos objetivos. En efecto, la integración de unas impresiones dactilares en los documentos de identidad dificulta la producción de documentos de identidad falsos. También permite verificar de manera fiable la autenticidad del documento de identidad y la identidad del titular del documento, reduciendo así el riesgo de fraude. En cuanto al objetivo de interoperabilidad de los sistemas de verificación de los documentos de identidad, el recurso a las impresiones dactilares completas permite garantizar una compatibilidad con todos los sistemas automatizados de identificación de las impresiones dactilares utilizados por los Estados miembros, aun cuando tales sistemas no recurran necesariamente al mismo mecanismo de identificación.
En segundo término, el Tribunal de Justicia considera que las limitaciones en cuestión respetan los límites de lo estrictamente necesario para alcanzar los objetivos perseguidos.
En efecto, por lo que respecta al principio mismo de la integración de impresiones dactilares en el medio de almacenamiento de los documentos de identidad, se trata de un medio fiable y eficaz para determinar con certeza la identidad de una persona. En particular, la inserción únicamente de una imagen facial constituiría un medio de identificación menos eficaz que la inserción, además de esa imagen, de dos impresiones dactilares, ya que diversos factores pueden alterar las características anatómicas del rostro. Además, el proceso utilizado para recoger esas impresiones es fácil de aplicar.
En cuanto a la integración de dos impresiones dactilares completas y no únicamente de determinados puntos característicos de dichas impresiones, además de que esta segunda opción no ofrece las mismas garantías que una impresión completa, la integración de una impresión dactilar completa también es necesaria para la interoperabilidad de los sistemas de verificación de los documentos de identificación. En efecto, los Estados miembros utilizan diferentes tecnologías de identificación de impresiones dactilares. Por lo tanto, el hecho de integrar en el medio de almacenamiento del documento de identidad únicamente algunas de las características de una impresión digital comprometería la consecución del objetivo de interoperabilidad.
En tercer término, el Tribunal de Justicia estima que, considerando la naturaleza de los datos de que se trata, la naturaleza y modalidades de las operaciones de tratamiento y los mecanismos de salvaguardia previstos, las limitaciones así establecidas a los derechos fundamentales recogidos en los artículos 7 y 8 de la Carta no son tan graves como para resultar desproporcionadas en relación con la importancia de los objetivos perseguidos, sino que, por el contrario, la medida controvertida se basa en una ponderación equilibrada entre, por un lado, los objetivos que persigue y, por otro, los derechos fundamentales en juego.