РЕШЕНИЕ НА СЪДА (голям състав)

21 март 2024 година(*)

„Преюдициално запитване — Регламент (ЕС) 2019/1157 — Повишаване на сигурността на личните карти на гражданите на Европейския съюз — Валидност — Правно основание — Член 21, параграф 2 ДФЕС — Член 77, параграф 3 ДФЕС — Регламент (ЕС) 2019/1157 — Член 3, параграф 5 — Задължение за държавите членки да включат в носителя на информация на личните карти два пръстови отпечатъка в оперативно съвместими цифрови формати — Член 7 от Хартата на основните права на Европейския съюз — Зачитане на личния и семейния живот — Член 8 от Хартата на основните права — Защита на личните данни — Регламент (ЕС) 2016/679 — Член 35 — Задължение да се извърши оценка на въздействието върху защитата на данните — Запазване във времето на правните последици на регламент, който е обявен за невалиден“

По дело C‑61/22

с предмет преюдициално запитване, отправено на основание член 267 ДФЕС от Verwaltungsgericht Wiesbaden (Административен съд Висбаден, Германия) с акт от 13 януари 2022 г., постъпил в Съда на 1 февруари 2022 г., в рамките на производство по дело

RL

срещу

Landeshauptstadt Wiesbaden,

СЪДЪТ (голям състав),

състоящ се от: K. Lenaerts, председател, L. Bay Larsen, заместник-председател, Aл. Арабаджиев, A. Prechal, E. Regan (докладчик), T. von Danwitz, F. Biltgen и Z. Csehi, председатели на състави, J.‑C. Bonichot, S. Rodin, D. Gratsias, M. L. Arastey Sahún и M. Gavalec, съдии,

генерален адвокат: L. Medina,

секретар: D. Dittert, началник на отдел,

предвид изложеното в писмената фаза на производството и в съдебното заседание от 14 март 2023 г.,

като има предвид становищата, представени:

–        за RL, от W. Achelpöhler, Rechtsanwalt,

–        за германското правителство, от J. Möller и P.‑L. Krüger, в качеството на представители,

–        за белгийското правителство, от P. Cottin и A. Van Baelen, в качеството на представители, подпомагани от P. Wytinck, advocaat,

–        за испанското правителство, от L. Aguilera Ruiz, в качеството на представител,

–        за полското правителство, от B. Majczyna, в качеството на представител,

–        за Европейския парламент, от G. C. Bartram, P. López-Carceller и J. Rodrigues, в качеството на представители,

–        за Съвета на Европейския съюз, от M. França и Z. Šustr, в качеството на представители,

–        за Европейската комисия, от H. Kranenborg, E. Montaguti и Ив. Залогин, в качеството на представители,

след като изслуша заключението на генералния адвокат, представено в съдебното заседание на 29 юни 2023 г.,

постанови настоящото

Решение

1        Преюдициалното запитване се отнася до валидността на Регламент (ЕС) 2019/1157 на Европейския парламент и на Съвета от 20 юни 2019 година относно повишаване на сигурността на личните карти на гражданите на Съюза и на документите за пребиваване, издавани на гражданите на Съюза и на членовете на техните семейства, които упражняват правото си на свободно движение (ОВ L 188, 2019 г., стр. 67), и по-специално на член 3, параграф 5 от него.

2        Запитването е отправено в рамките на спор между RL и Landeshauptstadt Wiesbaden (град Висбаден, столица на провинция, Германия) (наричан по-нататък „град Висбаден“), тъй като градът отхвърля заявлението на RL за издаване на лична карта, която не включва пръстовите му отпечатъци.

I.      Правна уредба

А.      Правото на Съюза

1.      Регламент 2019/1157

3        Съображения 1, 2, 4, 5, 17—21, 23, 26—29, 32, 33, 36, 40—42 и 46 от Регламент 2019/1157 гласят следното:

„(1)      В Договора за [ЕС] бе решено да се улесни свободното движение на хора и същевременно да се гарантира безопасността и сигурността на народите, като се установи пространство на свобода, сигурност и правосъдие в съответствие с разпоредбите на ДЕС и на [ДФЕС].

(2)      Гражданството на [Европейския с]ъюз дава на всеки гражданин на Съюза правото на свободно движение при спазване на определени ограничения и условия. Директива 2004/38/ЕО на Европейския парламент и на Съвета [от 29 април 2004 година относно правото на граждани на Съюза и на членове на техните семейства да се движат и да пребивават свободно на територията на държавите членки, за изменение на Регламент (ЕИО) № 1612/68 и отменяща директиви 64/221/ЕИО, 68/360/ЕИО, 72/194/ЕИО, 73/148/ЕИО, 75/34/ЕИО, 75/35/ЕИО, 90/364/ЕИО, 90/365/ЕИО и 93/96/ЕИО (ОВ L 158, 2004 г., стр. 77; Специално издание на български език, 2007 г., глава 5, том 7, стр. 56] привежда в действие това право. Член 45 от Хартата на основните права на Европейския съюз (наричана по-нататък „Хартата“) също предвижда свобода на движение и пребиваване. Свободата на движение предполага правото на напускане и влизане на територията на държавите членки с валидна лична карта или паспорт.

[…]

(4)      В Директива [2004/38] се предвижда, че държавите членки могат да приемат необходимите мерки за отказване, прекратяване или отнемане на някое от правата, предоставени с посочената директива, в случаи на злоупотреба с права или измама. Подправянето на документи или лъжливото представяне на съществени факти, свързани с условията за правото на пребиваване, бяха определени като типични случаи на измами в контекста на посочената директива.

(5)      Съществуват значителни разлики между степента на защита на националните лични карти, издавани от държавите членки, и на разрешенията за пребиваване за граждани на Съюза, които пребивават в друга държава членка, и за членовете на техните семейства. Тези разлики увеличават риска от подправяне на документи и документни измами и водят до практически трудности за гражданите, когато те желаят да упражняват правото си на свободно движение. Статистическите данни на Мрежата на Европейския съюз за анализ на риска от документни измами сочат, че с течение на времето броят на инцидентите с подправени лични карти се е увеличил.

[…]

(17)      Защитните елементи са необходими, за да се провери дали документът е автентичен и да се установи самоличността на дадено лице. Установяването на минимални стандарти за сигурност и включването на биометрични данни в личните карти и в картите за пребиваване на членовете на семейството, които не са граждани на държава членка, са важни стъпки за по-сигурното им използване в Съюза. Включването на такива биометрични идентификатори следва да даде възможност на гражданите на Съюза да се възползват в пълна степен от своите права на свободно движение.

(18)      Запаметяването на портретна снимка и два пръстови отпечатъка (наричани по-нататък „биометрични данни“) върху личните карти и картите за пребиваване, както вече е предвидено за биометричните паспорти и разрешенията за пребиваване на граждани на трети държави, представлява подходяща комбинация от надеждно установяване на самоличността и удостоверяване на автентичността с намален риск от измами, с цел увеличаване на сигурността на личните карти и картите за пребиваване.

(19)      Като обща практика за проверка на автентичността на документа и самоличността на притежателя, държавите членки следва преди всичко да проверяват портретната снимка, а когато е необходимо, за потвърждаване без съмнение на автентичността на документа и на самоличността на притежателя, държавите членки следва да проверяват и пръстовите отпечатъци.

(20)      Държавите членки следва да гарантират, че в случаите, когато проверката на биометричните данни не потвърди автентичността на документа или самоличността на неговия притежател, се извършва задължителна ръчна проверка от квалифициран персонал.

(21)      Настоящият регламент не предоставя правно основание за създаването или поддържането на бази данни на национално равнище за съхраняването на биометрични данни в държавите членки - това е въпрос на националното право, което трябва да бъде в съответствие с правото на Съюза относно защитата на данните. Освен това настоящият регламент не предоставя правно основание и за създаването или поддържането на централизирана база данни на равнището на Съюза.

[…]

(23)      За целите на настоящия регламент следва да се вземат предвид спецификациите, установени в документ 9303 на [Международната организация за гражданска авиация] ICAO, които осигуряват оперативна съвместимост в световен план, включително във връзка с машинната четимост и използването на визуална проверка.

[…]

(26)      Държавите членки следва да гарантират, че имат въведени подходящи и ефективни процедури за събиране на биометрични идентификатори и тези процедури са в съответствие с правата и принципите, определени в Хартата, в Конвенцията за защита на правата на човека и основните свободи на Съвета на Европа[, подписана в Рим на 4 ноември 1950 г.] и в Конвенцията на Организацията на обединените нации за правата на детето[, приета от Общото събрание на Организацията на обединените нации на 20 ноември 1989 г. (Recueil des traités des Nations unies, том 1577, стр. 3) и влязла в сила на 2 септември 1990 г.]. Държавите членки следва да гарантират, че висшият интерес на детето е първостепенно съображение по време на процедурата по събиране. За тази цел квалифицираните служители следва да получават подходящо обучение относно съобразените с децата практики за събиране на биометрични идентификатори.

(27)      Ако възникнат трудности при събирането на биометрични идентификатори, държавите членки следва да гарантират наличието на подходящи процедури, за да се зачита запазването на достойнството на съответното лице. Поради това следва да бъдат вземани предвид специфични съображения, свързани с пола, както и специфичните нужди на децата и на уязвимите лица.

(28)      Въвеждането на минимални стандарти за сигурност и за формàта на личните карти следва да позволи на държавите членки да разчитат на автентичността на тези документи, когато гражданите на Съюза упражняват правото си на свободно движение. Въвеждането на по-строги стандарти за защита следва да предостави достатъчно гаранции на публичните органи и на частните субекти, за да им се даде възможност да разчитат на автентичността на личните карти, когато се използват от гражданите на Съюза с цел установяване на самоличността.

(29)      Отличителен знак под формата на двубуквен код на държавата членка, която издава документа, отпечатан в негатив в син правоъгълник и ограден от 12 жълти звезди, улеснява визуалната проверка на документа, особено когато притежателят упражнява правото си на свободно движение.

[…]

(32)      Държавите членки следва да предприемат всички необходими мерки, за да гарантират, че биометричните данни правилно идентифицират лицето, на което е издадена лична карта. За тази цел държавите членки могат да обмислят събирането на биометрични идентификатори, особено портретната снимка, посредством записване на живо от страна на националните органи, издаващи лични карти.

(33)      Държавите членки следва да обменят помежду си такава информация, каквато е необходима за достъп до, удостоверяване на автентичността и проверяване на информацията, съдържаща се в защитения носител на информация. Използваните формати за защитения носител на информация следва да са оперативно съвместими, включително по отношение на автоматизираните пунктове за преминаване на границите.

[…]

(36)      Документите за пребиваване, издавани на граждани на Съюза, следва да съдържат конкретни данни, за да се гарантира, че тези лица се идентифицират като граждани на Съюза във всички държави членки. Това следва да улесни признаването на упражняването от страна на гражданите на Съюза на правото им на свободно движение и правата, присъщи на това упражняване, но хармонизирането следва да не надхвърля необходимото за преодоляване на слабостите в настоящите документи. Държавите членки са свободни да изберат формат, в който се издават тези документи, и биха могли да ги издават във формат, отговарящ на спецификациите в документ 9303 на ICAO.

[…]

(40)      Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета [от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните) (ОВ L 2016, 119 г., стр. 1), наричан по-нататък „ОРЗД“] се прилага по отношение на личните данни, които трябва да се обработват при прилагането на настоящия регламент. Необходимо е допълнително да се уточнят гаранциите, приложими към обработените лични данни, и по-специално към чувствителни данни като биометричните идентификатори. Субектите на данни следва да бъдат осведомени за съществуването в техните документи на носителя на информация, съдържащ биометричните им данни, включително за достъпността по безконтактен начин на носителя, както и за всички случаи, при които се използват данните, съдържащи се в техните лични карти и документи за пребиваване. Във всички случаи субектите на данни следва да имат достъп до обработваните лични данни в личните им карти и в документите им за пребиваване и следва да имат право тези данни да бъдат коригирани чрез издаване на нов документ, когато тези данни са грешни или непълни. Носителят на информация следва да бъде с висока степен на защита и ефективно да защитава от неразрешен достъп съхраняваните върху него лични данни.

(41)      Държавите членки следва да отговарят за правилното обработване на биометричните данни в съответствие с [ОРЗД] от събирането до включването им на носител на информация с висока степен на защита.

(42)      Държавите членки следва да проявяват особена предпазливост, когато си сътрудничат с външен доставчик на услуги. Това сътрудничество не следва да изключва отговорността на държавите членки, произтичаща от правото на Съюза или от националното право, за нарушения на задълженията по отношение на личните данни.

[…]

(46)      Доколкото целите на настоящия регламент, а именно да повиши сигурността и да улесни упражняването на правата за свободно движение на гражданите на Съюза и членовете на техните семейства, не могат да бъдат постигнати в достатъчна степен от държавите членки, а поради обхвата и последиците на действието могат да бъдат по-добре постигнати на равнището на Съюза, Съюзът може да приеме мерки в съответствие с принципа на субсидиарност, уреден в член 5 от [ДЕС]. В съответствие с принципа на пропорционалност, уреден в същия член, настоящият регламент не надхвърля необходимото за постигането на тези цели“.

4        Член 1 от Регламент 2019/1157, озаглавен „Предмет“, гласи:

„Настоящият регламент укрепва стандартите за сигурност, приложими към личните карти, издавани от държавите членки на техните граждани, и на документите за пребиваване, издавани от държавите членки на гражданите на Съюза и на членовете на техните семейства при упражняване на правото им на свободно движение в рамките на Съюза“.

5        Член 2 от този регламент, озаглавен „Приложно поле“, гласи:

„Настоящият регламент се прилага по отношение на:

а)      личните карти, издавани от държавите членки на техните собствени граждани, съгласно посоченото в член 4, параграф 3 от Директива [2004/38];

Настоящият регламент не се прилага за идентификационни документи, издадени на временна основа със срок на валидност по-малко от шест месеца.

б)      удостоверенията за актуална регистрация, издавани в съответствие с член 8 от Директива [2004/38] на граждани на Съюза, които пребивават над три месеца в приемаща държава членка и документите, удостоверяващи постоянно пребиваване, издавани на граждани на Съюза при подаване на молба в съответствие с член 19 от Директива [2004/38];

в)      картите за пребиваване, издавани в съответствие с член 10 от Директива [2004/38] на членове на семейството на граждани на Съюза, които не са граждани на държава членка, и картите за постоянно пребиваване, издавани в съответствие с член 20 от Директива [2004/38] на членове на семейството на граждани на Съюза, които не са граждани на държава членка“.

6        Член 3 от посочения регламент, озаглавен „Стандарти за безопасност/формат/спецификации“, предвижда в параграфи 5—7 и 10:

„5.      Личните карти включват носител на информация с висока степен на защита, който съдържа биометрични данни, състоящи се от портретна снимка на притежателя на картата и два пръстови отпечатъка в оперативно съвместими цифрови формати. За снемане на биометричните идентификатори държавите членки прилагат техническите спецификации, установени с Решение за изпълнение C(2018)7767 на Комисията [от 30 ноември 2018 г. за определяне на техническите спецификации на единния формат на разрешенията за пребиваване за гражданите на трети държави и за отмяна на Решение C(2002)3069].

6.      Носителят на информация има достатъчен капацитет и способност, за да гарантира целостта, автентичността и поверителността на данните. Съхраняваните данни са достъпни по безконтактен и защитен начин, както е предвидено в Решение за изпълнение С(2018)7767. Държавите членки обменят информацията, необходима за удостоверяване на автентичността на носителя на информация и за достъп и проверка на биометричните данни, посочени в параграф 5.

7.      Деца на възраст под 12 години може да бъдат освобождавани от изискването за даване на пръстови отпечатъци.

Деца на възраст под 6 години се освобождават от изискването за даване на пръстови отпечатъци.

Лица, по отношение на които снемането на пръстови отпечатъци е физически невъзможно, се освобождават от изискването за даване на пръстови отпечатъци.

[…]

10.      Когато държавите членки съхраняват в личните карти данни за електронни услуги като електронно правителство и електронен бизнес, тези национални данни са физически или логически отделени от биометричните данни, посочени в параграф 5“.

7        Според член 5 от същия регламент, озаглавен „Постепенно изваждане от употреба“:

„1.      Личните карти, които не отговарят на изискванията, установени в член 3, престават да бъдат валидни при изтичане на срока им на валидност или в срок от 3 август 2031 г., ако тази дата е по-ранна.

2.      Чрез дерогация от параграф 1:

а)      личните карти, които […] не включват функционална MRZ, съгласно определението в параграф 3, престават да бъдат валидни при изтичане на срока им на валидност или в срок от 3 август 2026 г., ако тази дата е по-ранна;

[…]

3.      За целите на параграф 2 функционална MRZ означава:

а)      машинночитаема зона, която е в съответствие с част 3 от документ 9303 на ICAO; или

б)      всяка друга машинночитаема зона, по отношение на която издаващата държава членка изпрати уведомление за правилата, необходими за четене и показване на съдържащата се в нея информация, освен ако държава членка уведоми [Европейската к]омисия до 2 август 2021 г., че няма капацитет за четене и показване на тази информация.

[…]“.

8        Член 6 от Регламент 2019/1157, озаглавен „Минимална информация, която се посочва“, предвижда в първа алинея:

„В документите за пребиваване, когато се издават от държавите членки на граждани на Съюза, се посочва най-малко следното:

[…]

е)      информацията, която трябва да бъде включена в удостоверенията за регистрация и документите, удостоверяващи постоянно пребиваване, издадени в съответствие с членове 8 и 19 от Директива [2004/38];

[…]“.

9        Член 10 от този регламент, озаглавен „Събиране на биометрични идентификатори“, предвижда:

„1.      Биометричните идентификатори се събират единствено от квалифицирани и надлежно оправомощени служители, определени от националните органи, отговорни за издаването на лични карти или карти за пребиваване, с цел да бъдат включени в носителя на информация с висока степен на защита, предвиден в член 3, параграф 5 за личните карти и в член 7, параграф 1 за картите за пребиваване. Чрез дерогация от първото изречение, пръстовите отпечатъци се събират единствено от квалифициран и надлежно упълномощен персонал на такива органи, освен в случаи на заявления, подадени до дипломатическите и консулските органи на държавата членка.

С цел да се гарантира съответствието на биометричните идентификатори със самоличността на заявителя, за всяко заявление заявителят се явява лично поне веднъж по време на процеса на издаване.

2.      Държавите членки гарантират, че има въведени подходящи и ефективни процедури за събиране на биометрични идентификатори и че тези процедури са в съответствие с правата и принципите, установени в Хартата, в Конвенцията за защита на правата на човека и основните свободи и в Конвенцията на Организацията на обединените нации за правата на детето.

Ако възникнат трудности при събирането на биометрични идентификатори, държавите членки осигуряват наличието на подходящи процедури за запазването на достойнството на съответното лице.

3.      Освен когато това се изисква за целите на обработването в съответствие с правото на Съюза и националното право, биометричните идентификатори, съхранявани с цел персонализация на личните карти или документите за пребиваване, се съхраняват при високо ниво на сигурност само до датата на връчване на документа и в никакъв случай не се съхраняват повече от 90 дни след датата на издаване на документа. След изтичането на посочения период тези биометрични данни незабавно се изтриват или унищожават“.

10      Член 11 от посочения регламент, озаглавен „Защита на личните данни и отговорност“, предвижда в параграфи 4 и 6:

„4.      Сътрудничеството с външни доставчици на услуги не изключва отговорността от страна на държавите членки, която може да възникне от правото на Съюза или от националното право, по отношение на нарушения на задълженията във връзка с личните данни.

[…]

6.      Биометричните данни, които се съхраняват в носителя на запаметена информация на личните карти и документите за пребиваване, се използват само в съответствие с правото на Съюза и националното право от надлежно оправомощени служители на компетентните национални органи и агенциите на Съюза с цел проверка на:

а)      автентичността на личната карта или документа за пребиваване;

б)      самоличността на притежателя с помощта на пряко наличните сравними отличителни черти, когато представянето на лична карта или на документ за пътуване се изисква от закона“.

11      Член 14 от същия регламент, озаглавен „Допълнителни технически спецификации“, предвижда в параграфи 1 и 2:

„1.      С цел да се гарантира, когато е целесъобразно, че личните карти и документите за пребиваване, посочени в член 2, букви а) и в), отговарят на бъдещите минимални стандарти за сигурност, Комисията определя посредством актове за изпълнение допълнителни технически спецификации, свързани със следното:

а)      допълнителни защитни елементи и изисквания, включващи повишени стандарти срещу преправяне и изготвяне на неистински документи;

б)      технически спецификации, свързани с носителя на информация за биометричните данни по член 3, параграф 5 и тяхната сигурност, включително за предотвратяване на неразрешен достъп и улесняване на проверката на валидността;

в)      изисквания за качество и общи технически стандарти за портретната снимка и пръстовите отпечатъци.

Тези актове за изпълнение се приемат в съответствие с процедурата по разглеждане, посочена в член 15, параграф 2.

2.      В съответствие с процедурата, посочена в член 15, параграф 2, може да бъде решено, че спецификациите, посочени в настоящия член, трябва да бъдат секретни и да не се публикуват. […]“.

2.      ОРЗД

12      Съображение 51 от ОРЗД гласи:

„На личните данни, които по своето естество са особено чувствителни от гледна точка на основните права и свободи, се полага специална защита, тъй като контекстът на тяхното обработване би могъл да създаде значителни рискове за основните права и свободи. […] Обработването на снимки не следва систематично да се счита за обработване на специални категории лични данни, тъй като снимките се обхващат от определението за биометрични данни единствено когато се обработват чрез специални технически средства, позволяващи уникална идентификация или удостоверяване на автентичността на дадено физическо лице. Тези лични данни не следва да се обработват, освен ако обработването не е разрешено в определени случаи, предвидени в настоящия регламент, като се има предвид, че в правото на държавите членки могат да бъдат определени специфични разпоредби за защита на данните с цел да се адаптира прилагането на съдържащите се в настоящия регламент правила за спазване на правно задължение или за изпълнение на задача от обществен интерес или свързана с упражняването на официални правомощия, предоставени на администратора на лични данни. В допълнение към конкретните изисквания за такова обработване следва да се прилагат общите принципи и другите правила, залегнали в настоящия регламент, по-специално по отношение на условията за законосъобразно обработване. Дерогации от общата забрана за обработване на тези специални категории лични данни следва да бъдат изрично предвидени, inter alia, когато субектът на данните даде изричното си съгласие или във връзка с конкретни нужди […]“.

13      Член 4 от този регламент, озаглавен „Определения“, гласи:

„За целите на настоящия регламент:

[…]

2)      „обработване“ означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

[…]

7)      „администратор“ означава физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни; когато целите и средствата за това обработване се определят от правото на Съюза или правото на държава членка, администраторът или специалните критерии за неговото определяне могат да бъдат установени в правото на Съюза или в правото на държава членка;

[…]“.

14      Член 9 от посочения регламент, озаглавен „Обработване на специални категории лични данни“, предвижда в параграф 1:

„Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице“.

15      Член 35 от същия регламент, озаглавен „Оценка на въздействието върху защитата на данните“, предвижда в параграфи 1, 3 и 10:

„1.      Когато съществува вероятност определен вид обработване, по-специално при което се използват нови технологии, и предвид естеството, обхвата, контекста и целите на обработването, да породи висок риск за правата и свободите на физическите лица, преди да бъде извършено обработването, администраторът извършва оценка на въздействието на предвидените операции по обработването върху защитата на личните данни. В една оценка може да бъде разгледан набор от сходни операции по обработване, които представляват сходни високи рискове.

[…]

3.      Оценката на въздействието върху защитата на данните, посочена в параграф 1, се изисква по-специално в случай че:

а)      систематична и подробна оценка на личните аспекти по отношение на физически лица, която се базира на автоматично обработване, включително профилиране, и служи за основа на решения, които имат правни последици за физическото лице или по подобен начин сериозно засягат физическото лице;

б)      мащабно обработване на специални категории данни, посочени в член 9, параграф 1 или на лични данни за присъди и нарушения по член 10; или

в)      систематично мащабно наблюдение на публично достъпна зона.

[…]

10.      Когато обработването съгласно член 6, параграф 1, буква в) или д) има правно основание в правото на Съюза или в правото на държавата членка, под чиято юрисдикция е администраторът, и това право регулира конкретната операция по обработване или набор от такива операции, и вече е извършена оценка на въздействието върху защитата на личните данни като част от общата оценка на въздействието в контекста на приемането на това правно основание, параграфи 1—7 не се прилагат, освен ако държавите членки не сметнат за необходимо да направят такава оценка преди започването на дейностите за обработване“.

3.      Регламент (ЕС) 2016/399

16      Член 8 от Регламент (ЕС) 2016/399 на Европейския парламент и на Съвета от 9 март 2016 година относно Кодекс на Съюза за режима на движение на лица през границите (Кодекс на шенгенските граници) (ОВ L 77, 2016, стр. 1), изменен с Регламент (ЕС) 2017/458 на Европейския парламент и на Съвета от 15 март 2017 г. (ОВ L 74, 2017 г., стр. 1), предвижда в параграфи 1 и 2:

„1.      При преминаване на външни граници се извършват проверки от граничните служители. Проверките се извършват в съответствие с настоящата глава.

[…]

2.      При влизане и при излизане лицата, които съгласно правото на Съюза се ползват с право на свободно движение, подлежат на следните проверки:

а)      проверка на самоличността и гражданството на лицето и на автентичността и валидността на пътния документ за преминаване на границата, включително посредством справка в съответните бази данни, […].

б)      проверка дали лицето, което съгласно правото на Съюза се ползва с право на свободно движение, не се счита за заплаха за обществения ред, вътрешната сигурност, общественото здраве или международните отношения на някоя от държавите членки, […].

При наличие на съмнения относно автентичността на пътния документ или самоличността на неговия притежател се проверява поне един от биометричните идентификатори, които са интегрирани в паспортите и пътните документи, издадени в съответствие с Регламент (ЕО) № 2252/2004 [на Съвета от 13 декември 2004 година относно стандартите за отличителните знаци за сигурност и биометричните данни в паспортите и документите за пътуване, издавани от държавите членки (ОВ L 385, 2004 г., стр. 1; Специално издание на български език, 2007 г., глава 1, том 5, стр. 155)]. Когато е възможно, такава проверка се извършва и по отношение на пътните документи, които не са обхванати от посочения регламент.

[…]“.

4.      Директива 2004/38

17      Член 4 от Директива 2004/38, озаглавен „Право на излизане“, гласи в параграфи 1 и 3:

„1.      Без да се засягат разпоредбите относно документите за пътуване, приложими при контрола на държавните граници, всички граждани на Съюза с валидна карта за самоличност или паспорт и членовете на техните семейства, които не са граждани на държава членка и които притежават валиден паспорт, имат правото да напускат територията на държава членка, за да пътуват до друга държава членка.

[…]

3.      В съответствие със своето законодателство държавите членки издават и подновяват на своите граждани карта за самоличност или паспорт, удостоверяващ националността им“.

18      Член 5 от тази директива, озаглавен „Право на влизане“, посочва в параграф 1:

„Без да се засягат разпоредбите относно документите за пътуване, приложими при контрола на държавните граници, държавите членки дават на гражданите на Съюза разрешение да влизат на тяхна територия с валидна карта за самоличност или паспорт и дават на членовете на семейството, които не са граждани на държава членка, разрешение да влязат на тяхна територия с валиден паспорт.

От гражданите на Съюза не следва да се изискват входни визи или да се налага равностойно задължение“.

19      Член 6 от посочената директива, озаглавен „Право на пребиваване до три месеца“, гласи:

„1.      Гражданите на Съюза имат право на пребиваване на територията на друга държава членка за срок до три месеца без никакви условия или формалности, освен изискването да притежават валидна карта за самоличност или паспорт.

2.      Разпоредбите на параграф 1 важат също така за членове на семейството, притежаващи валиден паспорт, които не са граждани на държава членка и които придружават или се присъединяват към гражданина на Съюза“.

20      Член 8 от Директива 2004/38, озаглавен „Административни формалности за граждани на Съюза“, предвижда в параграфи 1 и 3:

„1.      Без да се засяга член 5, параграф 5, за срокове на пребиваване по-дълги от три месеца приемащата държава членка може да изиска от гражданина на Съюза да се регистрира при съответните власти.

[…]

3.      За да се издаде удостоверение за регистрация, държавите членки могат само да изискват:

–        гражданите на Съюза, за които се прилага член 7, параграф 1, буква а), да представят валидна карта за самоличност или паспорт, потвърждение за наемане на лицето от страна на работодателя или удостоверение за трудова заетост, или доказателство, че те са самостоятелно заети лица;

–        гражданите на Съюза, за които се прилага член 7, параграф 1, буква б), да представят валидна карта за самоличност или паспорт и да представят доказателства, че те отговарят на изискванията, постановени в съответната разпоредба;

–        гражданите на Съюза, за които се прилага член 7, параграф 1, буква в), да представят валидна карта за самоличност или паспорт, да представят доказателство за записване в акредитирано учебно заведение и за сключването на пълна здравна застраховка и декларацията или равностойно средство, посочени в член 7, параграф 1, буква в). Държавите членки не могат да изискват в тази декларация да се посочва конкретната сума на средствата“.

5.      Междуинституционалното споразумение

21      Точки 12—14 от Междуинституционалното споразумение между Европейския парламент, Съвета на Европейския съюз и Европейската комисия за по-добро законотворчество от 13 април 2016 г. (ОВ L 123, 2016 г., стр. 1, наричано по-нататък „Междуинституционалното споразумение“) гласят:

„12.      […]

Оценките на въздействието са инструмент, който помага на трите институции да вземат добре информирани решения, а не са заместител на политическите решения в рамките на демократичния процес на вземане на решения. […]

Оценките на въздействието следва да разглеждат наличието на даден проблем, неговия мащаб и последиците от него, както и въпроса дали са необходими или не действия от страна на Съюза. Те следва да посочват алтернативните решения, а когато е възможно — потенциалните краткосрочни и дългосрочни разходи и ползи, чрез интегрирана и балансирана оценка на икономическите, екологичните и социалните последствия и посредством използването на качествени и количествени анализи. Принципите на субсидиарност и пропорционалност следва да се спазват в пълна степен, както и основните права. […] Оценките на въздействието следва да се основават на точна, обективна и пълна информация и следва да са пропорционални по отношение на своя обхват и своята насоченост.

13.      Комисията ще извършва оценки на въздействието на своите законодателни […] инициативи, […] за които се очаква да окажат значително икономическо, екологично или социално въздействие. Инициативите, включени в работната програма на Комисията или в съвместната декларация, по правило ще се придружават от оценка на въздействието.

[…] Окончателните резултати от оценките на въздействието ще се предоставят на Европейския парламент, Съвета [на Европейския съюз] и националните парламенти и ще се оповестяват публично заедно със становището(ата) на Комитета за регулаторен контрол при приемането на инициативата на Комисията.

14.      При разглеждането на законодателните предложения на Комисията [Парламентът] и Съветът ще вземат изцяло предвид извършените от Комисията оценки на въздействието. Затова оценките на въздействието се представят по такъв начин, че да се улесни разглеждането от [Парламента] и Съвета на вариантите, избрани от Комисията“.

Б.      Германското право

22      Член 5 от Gesetz über Personalausweise und den elektronischen Identitätsnachweis (Закон за личните карти и електронната идентификация) от 18 юни 2009 г. (BGBl. I, стр. 1346) в редакцията му, приложима към фактите по главното производство (наричан по-нататък „PAuswG“), озаглавен „Образец на лична карта, съхранявани данни“, предвижда в параграф 9:

„Двата пръстови отпечатъка на заявителя [на лична карта], които трябва да се съхраняват на електронния носител на информация в приложение на Регламент [2019/1157], се записват върху носителя на информация и електронно обработване на личната карта под формата на плоски отпечатъци на левия и десния показалец. Ако няма показалец, качеството на пръстовия отпечатък не е задоволително или поради нараняване на възглавничката на пръста, следва да бъде взет плосък отпечатък от палеца, средния пръст или безименния пръст. Пръстовите отпечатъци не се записват, когато снемането им е невъзможно поради медицински причини, които не са само временни“.

23      Според член 6, параграфи 1 и 2 от PAuswG:

„(1)      Личните карти се издават за срок на валидност от 10 години.

(2)      Преди изтичането на срока на валидност на личната карта може да бъде поискана нова лична карта, ако е налице законен интерес от издаването на нова карта“.

24      Член 9 от PAuswG, озаглавен „Издаване на картата“, предвижда в параграф 1, първо изречение:

„Личните карти, както и временните лични карти се издават при поискване на германските граждани по смисъла на член 116, параграф 1 от Основния закон“.

25      Член 28 от PAuswG, озаглавен „Невалидност“, предвижда в параграф 3:

„Неизправностите във функционирането на електронния носител на информация и обработване не засягат валидността на личната карта“.

II.    Спорът в главното производство и преюдициалният въпрос

26      На 30 ноември 2021 г. жалбоподателят в главното производство иска от град Висбаден да му издаде нова лична карта с мотива, че електронният чип на старата му карта е дефектен. Той обаче иска новата карта да не съдържа пръстовите му отпечатъци.

27      Град Висбаден отхвърля това искане, като изтъква два мотива. От една страна, жалбоподателят в главното производство нямал право да му бъде издадена нова лична карта, тъй като вече притежавал валиден документ за самоличност. Всъщност в съответствие с член 28, параграф 3 от PAuswG личната карта продължавала да бъде валидна дори ако електронният ѝ чип е дефектен. От друга страна и във всеки случай, от 2 август 2021 г., включването на два пръстови отпечатъка в носителя на информация на личните карти било задължително по силата на член 5, параграф 9 от PAuswG, който транспонирал член 3, параграф 5 от Регламент 2019/1157.

28      На 21 декември 2021 г. жалбоподателят в главното производство подава жалба пред запитващата юрисдикция — Verwaltungsgericht Wiesbaden (Административен съд Висбаден, Германия), за да бъде разпоредено на град Висбаден да му издаде лична карта, без да бъдат събрани пръстовите му отпечатъци.

29      Запитващата юрисдикция се съмнява в законосъобразността на двата мотива, изтъкнати в разглежданото в главното производство решение. Що се отнася по-специално до втория мотив, тя е склонна да приеме, че валидността на Регламент 2019/1157 или поне на член 3, параграф 5 от него е спорна.

30      На първо място, запитващата юрисдикция иска да се установи дали този регламент не е трябвало да бъде приет на основание на член 77, параграф 3 ДФЕС и следователно след провеждане на специалната законодателна процедура, предвидена в тази разпоредба, а не на основание на член 21, параграф 2 ДФЕС, и по този начин чрез прилагане на обикновената законодателна процедура. Всъщност, от една страна, член 77, параграф 3 ДФЕС се позовавал конкретно на компетентността на Съюза да приема и разпоредби в областта на личната карта, поради което бил по-специална разпоредба от член 21, параграф 2 ДФЕС. От друга страна, в решение от 17 октомври 2013 г., Schwarz (C‑291/12, EU:C:2013:670), Съдът постановил, че Регламент № 2252/2004, доколкото установява стандарти за биометричните данни в паспортите, валидно се основава на член 62, точка 2, буква а) ЕО, който вече съответствал на член 77, параграф 3 ДФЕС.

31      На второ място, запитващата юрисдикция изтъква, че е възможно да е налице процесуално нарушение, което е опорочило приемането на Регламент 2019/1157. Всъщност, както подчертавал Европейският надзорен орган по защита на данните (наричан по-нататък „ЕНОЗД“) в своето становище 7/2018 от 10 август 2018 г. по предложението за регламент относно повишаване на сигурността на личните карти на гражданите на Съюза и на други документи (наричано по-нататък „Становище 7/2018“), снемането и съхраняването на пръстови отпечатъци представлявали обработване на лични данни, за което трябвало да се направи оценка на въздействието по силата на член 35, параграф 10 от ОРЗД. В случая обаче такава оценка не била направена. По-специално документът, който придружава посоченото предложение за регламент и е озаглавен „Impact assessment“, не можел да се разглежда като оценка на въздействието по смисъла на тази разпоредба.

32      На трето място, запитващата юрисдикция иска по-специално да се установи дали член 3, параграф 5 от Регламент 2019/1157 е съвместим с членове 7 и 8 от Хартата, отнасящи се съответно до зачитането на личния и семейния живот и до защитата на личните данни. Всъщност задължението на държавите членки да издават лични карти, чийто носител на информация съдържа два пръстови отпечатъка, представлявало ограничаване в упражняването на правата, признати от тези две разпоредби на Хартата — ограничаване, което можело да бъде обосновано само ако отговаря на условията, посочени в член 52, параграф 1 от Хартата.

33      От една страна обаче, посоченото ограничаване можело да не отговаря на цел от общ интерес. Действително в решение от 17 октомври 2013 г., Schwarz (C‑291/12, EU:C:2013:670), Съдът приема, че борбата с незаконното влизане на граждани на трети страни на територията на Съюза е цел, призната от правото на Съюза. Преди всичко обаче личната карта не била документ за пътуване като паспорта и целта ѝ била единствено да позволи проверката на самоличността на гражданин на Съюза в отношенията му както с административни органи, така и с частни трети лица.

34      От друга страна, дори да се приеме, че посоченият регламент преследва цел от общ интерес, призната от правото на Съюза, съществували съмнения относно пропорционалността на същото това ограничаване. Всъщност разрешението, възприето от Съда в решение от 17 октомври 2013 г., Schwarz (C‑291/12, EU:C:2013:670), не можело да се приложи към Регламент 2019/1157, тъй като той се отнася до паспортите, чието притежаване, за разлика от личните карти, е факултативно в Германия и чието използване преследва различна цел.

35      За разлика от това от Становище 7/2018 следвало, че включването и съхраняването на пръстови отпечатъци имало съществено влияние, което можело да засегне до 370 милиона граждани на Съюза и да е причината на 85 % от населението на Съюза задължителното да бъдат снети пръстови отпечатъци. Това съществено влияние, съчетано с много чувствителния характер на обработваните данни (портретна снимка заедно с два пръстови отпечатъци), обаче означавало, че ограничаването в упражняването на правата, гарантирани в членове 7 и 8 от Хартата, произтичащо от задължителното събиране на пръстовите отпечатъци за изготвяне на личните карти, е по-значимо, отколкото за паспортите, което в замяна на това изисквало по-силна обосновка, както и внимателен преглед на разглежданата мярка според критерий за строга необходимост.

36      Във всеки случай необходимостта от извършване на строга проверка за пропорционалност произтичала и от член 9, параграф 1 от ОРЗД, по силата на който обработването на такива биометрични данни по принцип е забранено и може да бъде разрешено само в изключителни и строго ограничени случаи.

37      В този смисъл, макар запитващата юрисдикция да смята, че използването на биометрични данни намалява риска даден документ да може да бъде подправен, тя има съмнения дали само това обстоятелство може да обоснове обхвата на ограничаването на правото на защита на личните данни, по-специално с оглед на следните причини.

38      Най-напред, в своето становище 7/2018 ЕНОЗД подчертал, че други техники за сигурно отпечатване на документите за самоличност, като холограми или водни знаци, били значително по-малко ограничителни, като същевременно позволявали да се възпрепятства подправянето на тези документи и да се провери тяхната автентичност. Освен това фактът, че в германското право се приема, че лична карта, чийто електронен чип е дефектен, продължава да бъде валидна, доказвал, че физическите елементи, и по-специално микро-печатите или отпечатването с ултравиолетови лъчи, са достатъчни, за да се гарантира сигурността на посочените карти.

39      По-нататък, член 3, параграф 7 от Регламент 2019/1157 разрешавал на държавите членки да освобождават децата на възраст под дванадесет години от задължението да дават пръстови отпечатъци и във всички случаи ги задължавал да освободят децата на възраст под шест години от това задължение, което показвало, че снемането на два пръстови отпечатъка не е строго необходимо.

40      От друга страна, член 3, параграф 5 от Регламент 2019/1157 не спазвал принципа на свеждане на данните до минимум, посочен в член 5 от ОРЗД, от който следва, че събирането и използването на лични данни трябва да бъдат подходящи, релевантни и ограничени до необходимото с оглед на целите, за които се обработват. Всъщност, макар да позволява да се насърчи оперативната съвместимост на различните видове системи, събирането на два пълни пръстови отпечатъка, а не само на характерните точки на тези отпечатъци (т.нар. детайли), би увеличило също така количеството съхранени лични данни и следователно опасността от кражба на самоличност в случай на изтичане на данни. Впрочем този риск не бил незначителен, тъй като използваните в личните карти електронни чипове можели да се разчетат от неразрешени скенери.

41      Накрая, по същество ограничаването в упражняването на правата, гарантирани в членове 7 и 8 от Хартата, можело да не е легитимно, тъй като в своето становище 7/2018 ЕНОЗД отбелязвал, че при приемането на Регламент 2019/1157 броят на подправените лични карти бил относително малък спрямо броя на издадените карти (38 870 подправени карти, установени в периода между 2013 г. и 2017 г.) и че този брой намалявал от няколко години.

42      При тези обстоятелства Verwaltungsgericht Wiesbaden (Административен съд Висбаден, Германия) решава да спре производството и да отправи следния преюдициален въпрос до Съда:

„Нарушава ли задължението за вземане и съхраняване на пръстови отпечатъци в лични карти съгласно член 3, параграф 5 от Регламент [2019/1157] норма на правото на Съюза от по-висок ранг, по-специално:

а)      член 77, параграф 3 ДФЕС,

б)      членове 7 и 8 от [Хартата],

в)      член 35, параграф 10 от ОРЗД

и невалидно ли е поради една от тези причини?“.

III. По преюдициалния въпрос

43      С въпроса си по същество запитващата юрисдикция иска да се установи дали Регламент 2019/1157 е невалиден в своята цялост или отчасти, тъй като, първо, бил приет въз основа на погрешно правно основание, второ, нарушавал член 35, параграф 10 от ОРЗД и трето, не съответствал на членове 7 и 8 от Хартата.

А.      По първото основание за невалидност, изведено от погрешно правно основание

44      Първото основание за невалидност, изтъкнато от запитващата юрисдикция, се отнася до това дали с оглед по-специално на изричното посочване на личните карти в член 77, параграф 3 ДФЕС, както и на разрешението, възприето в решение от 17 октомври 2013 г., Schwarz (291/12, EU:C:2013:670), Регламент 2019/1157 трябвало да бъде приет въз основа на посочения член 77, параграф 3 и в приложение на специалната законодателна процедура, предвидена в него, а не, както в конкретния случай, въз основа на член 21, параграф 2 ДФЕС.

1.      Предварителни бележки

45      Според постоянната съдебна практика изборът на правното основание на даден акт на Съюза трябва да се основава на обективни критерии, които да могат да бъдат предмет на съдебен контрол, като например целта и съдържанието на акта (решения от 16 февруари 2022 г., Унгария/Парламент и Съвет, C‑156/21, EU:C:2022:97, т. 107, и от 16 февруари 2022 г., Полша/Парламент и Съвет, C‑157/21, EU:C:2022:98, EU:C:2022:98, т. 121).

46      Освен това е важно да се отбележи, че когато в Договорите съществува по-специална разпоредба, която може да бъде правно основание на съответния акт, той трябва да се основава на тази разпоредба (решения от 6 септември 2012 г., Парламент/Съвет, C‑490/10, EU:C:2012:525, т. 44, и от 8 декември 2020 г., Полша/Парламент и Съвет, C‑626/18, EU:C:2020:1000, т. 48 и цитираната съдебна практика).

47      Накрая, ако при преценката на даден акт на Съюза се установи, че същият има няколко цели или е съставен от няколко части, като едната от целите или едната от съставните части може да бъде определена като основна или водеща, докато другите са само акцесорни или имат изключително ограничен обхват, правното основание за приемането на акта трябва да бъде определено в съответствие с тази основна цел или основна съставна част (вж. в този смисъл решение от 20 ноември 2018 г., Комисия/Съвет (ЗМЗ Антарктика), C‑626/15 и C‑659/16, EU:C:2018:925, т. 77, и становище 1/19 (Истанбулска конвенция) от 6 октомври 2021 г., EU:C:2021:832, т. 286).

2.      По приложното поле съответно на член 21, параграф 2 ДФЕС и на член 77, параграф 3 ДФЕС

48      Член 21, параграф 2 ДФЕС гласи, че ако се окаже необходимо Съюзът да предприеме действия, за да гарантира на всеки гражданин на Съюза правото да се движи и пребивава свободно на територията на държавите членки, и Договорите не са предвидели необходимите правомощия, Парламентът и Съветът, като действат в съответствие с обикновената законодателна процедура, могат да приемат разпоредби с оглед на улесняване на упражняването на тези права.

49      От това следва, че тази разпоредба предоставя на Съюза обща компетентност да приема разпоредби, необходими за улесняване на упражняването на правото на гражданите на Съюза да се движат и пребивават свободно на територията на държавите членки, посочено в член 20, параграф 2, буква а) ДФЕС, при спазване на правомощията, предвидени за тази цел в Договорите.

50      За разлика от член 21, параграф 2 ДФЕС обаче член 77, параграф 3 ДФЕС изрично предвижда такива правомощия по отношение на приемането на мерки относно паспортите, личните карти, разрешенията за пребиваване или всички други подобни документи, издавани на гражданите на Съюза, за да се улесни упражняването на правото по член 20, параграф 2, буква а) ДФЕС на свободно движение и пребиваване на територията на държавите членки.

51      Действително член 77, параграф 3 ДФЕС се намира в дял V от този договор, посветен на пространството на свобода, сигурност и правосъдие, и по-точно в глава 2 от този дял, озаглавена „Политики относно контрола по границите, убежището и имиграцията“. Според член 77, параграф 1 ДФЕС обаче Съюзът развива политика, която има за цел както да се гарантира отсъствие на всякакъв контрол на лицата, без оглед на тяхното гражданство, при преминаване на вътрешните граници, така и да се осигурят контролът на лицата и ефективното наблюдение при преминаването на външните граници, а също и постепенното въвеждане на интегрирана система за управление на тези граници. Разпоредбите относно паспортите, личните карти, разрешенията за пребиваване или всички други подобни документи, посочени в компетентността по член 77, параграф 3, обаче са неразделна част от такава политика на Съюза. Всъщност, що се отнася до гражданите на Съюза, тези документи им позволяват по-специално да удостоверят качеството си на ползватели на правото на свободно движение и пребиваване на територията на държавите членки и следователно да упражняват това право. Следователно посоченият член 77, параграф 3 може да обоснове приемането на мерки относно посочените документи, ако такова действие изглежда необходимо, за да се улесни упражняването на посоченото право, предвидено в член 20, параграф 2, буква а) ДФЕС.

52      Това тълкуване на материалния обхват на член 77, параграф 3 ДФЕС не може да бъде опровергано нито от историческото развитие на Договорите, що се отнася до компетентността на Съюза да приема мерки относно паспортите, личните карти, разрешенията за пребиваване и всички други подобни документи, на което се позовават Парламентът, Съветът и Комисията, нито от изтъкнатото от германското правителство обстоятелство, че тази разпоредба предвижда, че се прилага, „освен ако Договорите не предвиждат правомощия за тази цел“.

53      Действително Договорът от Лисабон премахна разпоредбата, установена преди това в член 18, параграф 3 ЕО, която изрично изключва възможността законодателят на Съюза да използва член 18, параграф 2 ЕО (понастоящем член 21, параграф 2 ДФЕС) като правно основание за приемането както на „разпоредби относно паспортите, личните карти, разрешенията за пребиваване или всички други подобни документи“, така и на „разпоредби относно социалната сигурност или социалната закрила“. Същевременно обаче този договор изрично предоставя на Съюза правомощия в тези две области — а именно, от една страна, в член 21, параграф 3 ДФЕС, що се отнася до социалната сигурност и социалната закрила, а от друга страна, в член 77, параграф 3 ДФЕС, що се отнася до разпоредбите относно паспортите, личните карти, разрешенията за пребиваване или всички други подобни документи, като подчинява приемането на мерките в посочените области на специална законодателна процедура, и по-специално на единодушие в Съвета.

54      При тези условия от въпросното премахване на тогавашната разпоредба на член 18, параграф 3 ЕО не може да се направи извод, че занапред би било възможно да се приемат „разпоредби относно паспортите, личните карти, разрешенията за пребиваване или всички други подобни документи“ на основание на член 21, параграф 2 ДФЕС. Напротив, от историческото развитие следва, че с член 77, параграф 3 ДФЕС авторите на Договорите са искали да предоставят на Съюза по-специална компетентност за приемането на такива разпоредби, чиято цел е да улеснят упражняването на правото на свободно движение и пребиваване на територията на държавите членки, гарантирано в член 20, параграф 2, буква а) ДФЕС, от по-общата компетентност, предвидена във въпросния член 21, параграф 2.

55      Освен това указанието в член 77, параграф 3 ДФЕС, че тази разпоредба се прилага „освен ако Договорите не предвиждат правомощия за тази цел“, трябва да се разбира с оглед на общата структура на Договора за функционирането на ЕС в смисъл, че така посочените правомощия са тези, които са предоставени не с разпоредба с по-общо приложение като член 21, параграф 2 ДФЕС, а с разпоредба, която е още по-специална.

56      Следователно Регламент 2019/1157 може да бъде приет на основание на член 21, параграф 2 ДФЕС само при условие че основната или преобладаващата цел или съставна част на този регламент попада извън специалното приложно поле на член 77, параграф 3 ДФЕС, а именно издаването на паспортите, личните карти, разрешенията за пребиваване или всички други подобни документи, за да се улесни упражняването на правото по член 20, параграф 2, буква а) ДФЕС.

3.      По основната или преобладаващата цел или съставна част на Регламент 2019/1157

57      На първо място, що се отнася до целта на Регламент 2019/1157, член 1 от него гласи, че той има за предмет да укрепи стандартите за сигурност, приложими към личните карти, издавани от държавите членки на техните граждани, и на документите за пребиваване, издавани от държавите членки на гражданите на Съюза и на членовете на техните семейства при упражняване на правото им на свободно движение в рамките на Съюз.

58      В същия смисъл съображение 46 от този регламент гласи, че неговите цели са да се „повиши сигурността“ на тези документи за пътуване и самоличност, за „да [се] улесни упражняването на правата за свободно движение на гражданите на Съюза и членовете на техните семейства“, което се потвърждава и от съображения 1, 2, 5, 17, 28, 29 и 36 от посочения регламент.

59      На второ място, що се отнася до съдържанието на Регламент 2019/1157, следва да се отбележи, че той съдържа шестнадесет члена. Членове 1 и 2 от този регламент определят съответно предмета и приложното му поле. Членове 3 и 4, както и членове 6 и 7 от посочения регламент, които са негови основни съставни части, посочват, наред с другото, изискванията за сигурност, съдържание, формат или спецификации, които трябва да се спазват от личните карти и документите за пребиваване, издавани от държавите членки, докато членове 5 и 8 от същия регламент предвиждат постепенното изваждане от употреба на личните карти и на картите за пребиваване, които не отговарят на определените в него изисквания. Накрая, членове 9—16 от Регламент 2019/1157 уточняват начина, по който трябва да се изпълняват предвидените в него задължения, по-специално що се отнася до събирането на биометричните идентификатори и защитата на личните данни.

60      Действително в член 2 от Регламент 2019/1157 се посочва, че той се прилага по отношение не само на личните карти, издавани от държавите членки на собствените им граждани, но и на удостоверенията за актуална регистрация, издадени в съответствие с член 8 от Директива 2004/38 на гражданите на Съюза, които пребивават над три месеца в приемаща държава членка, и на документите, удостоверяващи постоянното пребиваване, издадени в съответствие с член 19 от тази директива, които удостоверения и документи не могат да се приравнят на личните карти, паспортите или разрешенията за пребиваване. Регламент 2019/1157 обаче не съдържа нито една разпоредба, уреждаща тези удостоверения, а в член 6, първа алинея, буква е) единствено се посочва, че документите за пребиваване, издавани от държавите членки на гражданите на Съюза, трябва да съдържат информацията, която трябва да бъде включена в удостоверенията за регистрация и документите, удостоверяващи постоянно пребиваване, издадени в съответствие с членове 8 и 19 от Директива 2004/38. Следователно целта и съставната част на този регламент, които се отнасят до удостоверенията, трябва да се смятат за имащи изключително ограничен обхват, така че правното основание на посочения регламент не може да се определи с оглед на тази цел или тази съставна част.

61      При това положение от основната цел и основните съставни части на Регламент 2019/1157 следва, че той е сред актовете, които попадат в специалното приложно поле на член 77, параграф 3 ДФЕС, както то е посочено в точки 48—51 от настоящото решение.

62      Следователно, като е приел Регламент 2019/1157 въз основа на член 21, параграф 2 ДФЕС, законодателят на Съюза е нарушил член 77, параграф 3 ДФЕС и е използвал неподходяща законодателна процедура.

63      От това следва, че първото основание за невалидност, изтъкнато от запитващата юрисдикция, а именно че Регламент 2019/1157 е приет погрешно въз основа на член 21, параграф 2 ДФЕС и в съответствие с обикновената законодателна процедура, може да доведе до невалидността на този регламент.

Б.      По второто основание за невалидност, изведено от неспазването на член 35, параграф 10 от ОРЗД

64      Второто основание за невалидност, изтъкнато от запитващата юрисдикция, е изведено от това, че Регламент 2019/1157 бил приет, без да е извършена оценка на въздействието върху защитата на данните, в нарушение на член 35, параграф 10 от ОРЗД.

65      В това отношение е важно да се отбележи, че член 35, параграф 1 от ОРЗД гласи, че когато съществува вероятност определен вид обработване, по-специално при което се използват нови технологии, и предвид естеството, обхвата, контекста и целите на обработването, да породи висок риск за правата и свободите на физическите лица, преди да бъде извършено обработването, администраторът трябва да извърши оценка на въздействието на предвидените операции по обработването върху защитата на личните данни. В член 35, параграф 3 от този регламент се уточнява, че такава оценка се изисква в случай на мащабно обработване на специални категории данни, посочени в член 9, параграф 1 от посочения регламент, като биометричните данни с цел уникално установяване на самоличността на физическо лице.

66      Тъй като в случая самият Регламент 2019/1157 не извършва никаква операция, прилагана по отношение на лични данни или на набор от лични данни, а само предвижда извършването на определен вид обработване от страна на държавите членки при подаване на заявление за лична карта, се налага констатацията, че приемането на този регламент не е обусловено от предварителното извършване на оценка на въздействието на предвидените операции по обработване по смисъла на член 35, параграф 1 от ОРЗД. Член 35, параграф 10 от този Регламент обаче въвежда дерогация от член 35, параграф 1 от въпросния регламент.

67      От това следва, че след като, както става ясно от гореизложеното, член 35, параграф 1 от ОРЗД не се прилага при приемането на Регламент 2019/1157, това приемане не е могло да наруши член 35, параграф 10 от Регламент 2016/679.

68      С оглед на гореизложеното второто основание, изведено от нарушение на член 35, параграф 10 от ОРЗД, не може да доведе до невалидността на Регламент 2019/1157.

В.      По третото основание за невалидност, изведено от несъвместимостта на член 3, параграф 5 от Регламент 2019/1157 с членове 7 и 8 от Хартата

69      Третото основание за невалидност на Регламент 2019/1157, изтъкнато от запитващата юрисдикция, се отнася до това дали предвиденото в член 3, параграф 5 от този регламент задължение за включване на два пълни пръстови отпечатъка в носителя на информация на личните карти, издавани от държавите членки, води до необосновано ограничаване на правата, гарантирани в членове 7 и 8 от Хартата.

1.      По наличието на ограничаване

70      Член 7 от Хартата предвижда по-специално, че всеки има право на зачитане на неговия личен живот. Съгласно член 8, параграф 1 от нея всеки има право на защита на неговите лични данни. От тези разпоредби, разгледани във връзка една с друга, произтича, че всяко обработване на лични данни от трето лице по принцип може да съставлява засягане на тези права (решение от 17 октомври 2013 г., Schwarz, C‑291/12, EU:C:2013:670, т. 25).

71      В случая член 3, параграф 5 от Регламент 2019/1157 гласи, че носителят на информация с висока степен на защита, който трябва да включват личните карти, издавани от държавите членки на собствените им граждани, трябва да съдържа биометрични данни, а именно портретна снимка и два пръстови отпечатъка в оперативно съвместими цифрови формати.

72      Такива лични данни обаче позволяват точното установяване на самоличността на съответните физически лица и са особено чувствителни поради значителните рискове за основните права и свободи, които тяхното използване може да породи, както следва по-специално от съображение 51 от ОРЗД — регламент, който се прилага по отношение на разглежданите данни, както се припомня в съображение 40 от Регламент 2019/1157.

73      Следователно задължението за включване на два пръстови отпечатъка в носителя на информация на личните карти, предвидено в член 3, параграф 5 от Регламент 2019/1157, представлява ограничаване както на правото на зачитане на личния живот, така и на правото на защита на личните данни, закрепени съответно в членове 7 и 8 от Хартата.

74      Освен това въпросното задължение предполага предварителното извършване на две последователни операции по обработване на лични данни, а именно събирането на посочените отпечатъци от субекта на данните, а впоследствие и временното им съхраняване с цел персонализиране на личните карти, като тези операции са уредени в член 10 от посочения регламент. Въпросните операции също представляват ограничения на правата, закрепени в членове 7 и 8 от Хартата.

2.      По обосновката на ограничаването

75      Както следва от постоянната съдебна практика, правото на зачитане на личния живот и правото на защита на личните данни, гарантирани съответно в членове 7 и 8 от Хартата, не са безусловни прерогативи, а трябва да се вземат предвид във връзка с тяхната социална функция (вж. в този смисъл решение от 20 септември 2022 г., SpaceNet и Telekom Deutschland, C‑793/19 и C‑794/19, EU:C:2022:702, т. 63).

76      Следователно на тези права могат да бъдат налагани ограничения, стига в съответствие с член 52, параграф 1, първо изречение от Хартата те да са предвидени в закон и да зачитат основното съдържание на посочените права. Освен това според второто изречение от този параграф при спазване на принципа на пропорционалност такива ограничения могат да бъдат налагани само ако са необходими и ако действително отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора. В това отношение в член 8, параграф 2 от Хартата се уточнява, че личните данни трябва по-специално да бъдат обработвани „за точно определени цели и въз основа на съгласието на заинтересованото лице или по силата на друго предвидено от закона легитимно основание“.

а)      По спазването на принципа на законност

77      По отношение на изискването, посочено в член 52, параграф 1, първо изречение от Хартата, че всяко ограничаване на упражняването на основните права, признати в нея, трябва да бъде предвидено в закон, е важно да се припомни, че самият правен акт, който допуска намеса в тези права, трябва да определи обхвата на ограничаването на упражняването на съответното право, като се има предвид, от една страна, че това изискване не изключва възможността предвиждащата ограничаването правна уредба да бъде формулирана достатъчно широко, за да може да се адаптира към различни хипотези и променящи се обстоятелства, и от друга страна, че Съдът би могъл при необходимост да уточни чрез тълкуване конкретния обхват на ограничаването, като вземе предвид както текста на въпросната уредба на Съюза, така и общата ѝ структура и преследваните с нея цели, тълкувани с оглед на гарантираните с Хартата основни права (решение от 21 юни 2022 г., Ligue des droits humains, C‑817/19, EU:C:2022:491, т. 114).

78      В случая ограниченията за упражняването на основните права, гарантирани в членове 7 и 8 от Хартата, произтичащи от задължението за включване на два пълни пръстови отпечатъка в носителя на информация на личните карти, издавани от държавите членки, както и условията за прилагане и обхвата на тези ограничения, са определени ясно и точно в член 3, параграф 5 и член 10, параграфи 1 и 3 от Регламент 2019/1157, които са приети от законодателя на Съюза в съответствие с обикновената законодателна процедура и чиито правни последици ще бъдат запазени с настоящото решение.

79      Следователно посочените ограничения на упражняването на основните права, гарантирани в членове 7 и 8 от Хартата, отговарят на принципа на законност, посочен в член 52, параграф 1, първо изречение от Хартата.

б)      По спазването на основното съдържание на основните права, закрепени в членове 7 и 8 от Хартата

80      Налага се констатацията, че информацията, предоставена от пръстовите отпечатъци, сама по себе си не позволява да се създаде представа за личния и семейния живот на субектите на данни.

81      При тези условия предвиденото в член 3, параграф 5 от Регламент 2019/1157 ограничаване, до което води задължението за включване на два пръстови отпечатъка в носителя на информация на личните карти, издавани от държавите членки, не засяга основното съдържание на основните права, закрепени в членове 7 и 8 от Хартата (вж. по аналогия решение от 21 юни 2022 г., Ligue des droits humains, C‑817/19, EU:C:2022:491, т. 120).

в)      По спазването на принципа на пропорционалност

82      Както следва от член 52, параграф 1, второ изречение от Хартата, за да могат да бъдат налагани ограничения на упражняването на основните права, гарантирани от нея, при спазване на принципа на пропорционалност, тези ограничения трябва да са необходими и действително да отговарят на признати от Съюза цели от общ интерес или на необходимостта да се защитят правата и свободите на други хора.

83      По-конкретно, дерогациите и ограниченията на защитата на личните данни се въвеждат в границите на строго необходимото, като се има предвид, че когато съществува избор между няколко подходящи мерки, трябва да се прибегне до мярката, която създава най-малко ограничения. Освен това целта от общ интерес не може да се преследва легитимно, без да се отчете фактът, че тя трябва да бъде съвместена с основните права, които се засягат от разглежданата мярка, като се постигне баланс между, от една страна, целта от общ интерес и от друга страна, засегнатите права, за да се гарантира, че причинените от мярката неблагоприятни последици не са непропорционални на преследваните цели. Следователно възможността за оправдаване на ограничаване на гарантираните с членове 7 и 8 от Хартата права трябва да се прецени, като се измери тежестта на намесата, до която води подобно ограничаване, и като се провери дали значението на преследваната с това ограничаване цел от общ интерес е свързано с тази тежест (решение от 22 ноември 2022 г., Luxembourg Business Registers, C‑37/20 и C‑601/20, EU:C:2022:912, т. 64 и цитираната съдебна практика).

84      Следователно, за да се провери дали в случая намесата в гарантираните в членове 7 и 8 от Хартата права, произтичаща от предвиденото в член 3, параграф 5 от Регламент 2019/1157 задължение за включване на два пръстови отпечатъка в носителя на информация на личните карти, е съобразена с принципа на пропорционалност, следва да се разгледа, първо, дали тази мярка преследва една или повече признати от Съюза цели от общ интерес и дали действително е подходяща за постигането на тези цели, второ, дали произтичащата от това намеса е ограничена до строго необходимото, в смисъл че посочените цели не биха могли разумно да бъдат постигнати също толкова ефикасно с други средства, които засягат в по-малка степен тези основни права на субектите на данни, и трето, дали посочената намеса не е непропорционална на целите, което налага по-конкретно да се съпоставят тези цели и тежестта на посочената намеса (вж. в този смисъл решения от 22 ноември 2022 г., Luxembourg Business Registers, C‑37/20 и C‑601/20, EU:C:2022:912, т. 66, и от 8 декември 2022 г., Orde van Vlaamse Balies и др., C‑694/20, EU:C:2022:963, т. 42).

1)      По преследването на една или повече признати от Съюза цели от общ интерес и подходяща ли е мярката за постигне на тези цели

i)      По общия интерес на целите, преследвани от разглежданата мярка

85      В съответствие с член 1 от Регламент 2019/1157 той има за предмет да укрепи стандартите за сигурност, приложими по-специално към личните карти, издавани от държавите членки на техните граждани при упражняване на правото им на свободно движение.

86      По-конкретно и както следва от съображения 4, 5, 17—20 и 32 от Регламент 2019/1157, включването на биометричните данни, сред които фигурират два пълни пръстови отпечатъка, в носителя на информация на личните карти има за цел да гарантира автентичността на посочените карти, както и да позволи надеждното установяване на самоличността на техния притежател, като същевременно допринася — в съответствие със съображения 23 и 33, както и с член 3, параграф 5 от този Регламент — за оперативната съвместимост на системите за проверка на документите за самоличност, за да се намали рискът от подправяне на документи и документни измами.

87      Съдът обаче вече е имал повод да се произнесе във връзка с издаването на паспортите (вж. в този смисъл решение от 17 октомври 2013 г., Schwarz, C‑291/12, EU:C:2013:670, т. 36—38) и с изготвянето на база данни за установяване самоличността на гражданите на трети страни (вж. в този смисъл решение от 3 октомври 2019 г., A и др., C‑70/18, EU:C:2019:823, т. 46 и цитираната съдебна практика), че борбата с документните измами, която включва по-специално борбата с производството на подправени лични карти и с кражбата на самоличност, представлява призната от Съюза цел от общ интерес.

88      Що се отнася до целта за оперативна съвместимост на системите за проверка на документите за самоличност, тя също има такъв характер, тъй като, както става ясно от съображение 17 от Регламент 2019/1157, допринася за улесняване на гражданите на Съюза да упражняват признатото им с член 20 ДФЕС право свободно да се движат и пребивават на територията на държавите членки.

ii)    По това подходяща ли е разглежданата мярка да отговори действително на преследваните цели от общ интерес

89      В случая включването на два пълни пръстови отпечатъка в носителя на информация на личните карти е подходящо да постигне целите от общ интерес за борба с производството на подправени лични карти и кражбата на самоличност, както и за оперативната съвместимост на системите за проверка, изтъкнати от законодателя на Съюза, за да обоснове тази мярка.

90      Всъщност, най-напред, включването на биометрични данни, каквито са пръстовите отпечатъци, в личните карти може да затрудни производството на подправени лични карти, доколкото по-специално в съответствие с член 3, параграф 5 от Регламент 2019/1157 във връзка с член 14, параграфи 1 и 2 от този регламент такива данни трябва да се съхраняват съгласно точни технически спецификации, които могат да бъдат секретни.

91      По-нататък, включването на такива биометрични данни представлява средство, което позволява в съответствие с член 11, параграф 6 и съображения 18 и 19 от Регламент 2019/1157 да се провери по надежден начин автентичността на личната карта и самоличността на притежателя на картата и по този начин да се намали рискът от измама.

92      Накрая, изборът на законодателя на Съюза да предвиди включването на целите пръстови отпечатъци също изглежда подходящо за постигне на целта за оперативна съвместимост на системите за проверка на личните карти, тъй като използването на пълни пръстови отпечатъци позволява да се осигури съвместимост с всички автоматизирани системи за идентифициране на пръстовите отпечатъци, използвани от държавите членки, въпреки че такива системи не използват непременно същия механизъм за установяване на самоличността.

93      Запитващата юрисдикция отбелязва още, че член 3, параграф 7, първа алинея от Регламент 2019/1157 позволява на държавите членки да освободят от събирането на пръстови отпечатъци по-специално децата на възраст под дванадесет години и дори, във втора алинея, им налага да освобождават децата на възраст под шест години от събирането на тези отпечатъци.

94      Безспорно дадено законодателство е в състояние да гарантира осъществяването на изтъкнатата цел само ако мерките, които предвижда, действително са израз на грижата за постигането ѝ и ако се прилагат съгласувано и систематично (вж. по аналогия решение от 5 декември 2023 г., Nordic Info, C‑128/22, EU:C:2023:951, т. 84 и цитираната съдебна практика).

95      Регламент 2019/1157 обаче отговаря на това изискване, макар да предвижда освобождаване от задължението за събиране на пръстови отпечатъци на децата, тъй като, както става ясно от съображение 26 от него, целта на това освобождаване е да се вземе предвид висшият интерес на детето.

96      Същото важи и за правилото по член 5 от Регламент 2019/1157, че личните карти, които не отговарят на изискванията по член 3 от този регламент, губят валидността си едва след изтичането им или най-късно на 3 август 2031 г. Всъщност законодателят на Съюза е могъл да приеме, че подобен преходен период е подходящ, за да се избегне задължението за държавите членки да издават нови лични карти за всички субекти на данни в рамките на много кратък период от време, без обаче да се застрашава ефективността в дългосрочен план на предвидените в този регламент мерки.

97      Що се отнася до обстоятелството, че някои държави членки предвиждат в законодателството си възможността личните карти, които те издават, да остават валидни, независимо че електронният носител на информация е дефектен, достатъчно е да се отбележи, че такива законодателства са съвместими с Регламент 2019/1157 само доколкото посоченият в предходната точка преходен период не е изтекъл.

2)      По необходимостта от прибягване до разглежданата мярка за постигане на преследваните цели от общ интерес

98      Що се отнася, на първо място, до самия принцип на включване на пръстовите отпечатъци в носителя на информация на личните карти, трябва да се отбележи, че пръстовите отпечатъци представляват надеждни и ефективни средства за установяване на самоличността на дадено лице със сигурност и че използваният за събирането на тези отпечатъци процес е лесен за прилагане.

99      По-специално, както отбелязва генералният адвокат в точка 90 от заключението си, самото въвеждане на портретна снимка би представлявало по-малко ефективно средство за установяване на самоличността от включването, като допълнение към тази снимка, на два пръстови отпечатъка, тъй като остаряването, начинът на живот, появата на заболяване или естетическа или реконструктивна хирургическа намеса могат да променят анатомичните характеристики на човешкото лице.

100    Действително в оценката на въздействието, извършена от Комисията, придружаваща предложението за регламент, което е в основата на Регламент 2019/1157, е посочено, че трябва да се предпочете възможността да не се направи задължително включването на два пръстови отпечатъка в носителя на информация на личните карти.

101    Въпреки това, освен че самата Комисия е избрала да не възприеме тази възможност в законодателното си предложение, следва да се отбележи, че макар в точка 14 от Междуинституционалното споразумение да се предвижда, че при разглеждането на законодателните предложения на Комисията Парламентът и Съветът трябва да вземат изцяло предвид извършените от Комисията оценки на въздействието, в точка 12 от същото споразумение се посочва, че такива оценки „са инструмент, който помага на трите институции да вземат добре информирани решения, а не са заместител на политическите решения в рамките на демократичния процес на вземане на решения“. Следователно, макар да са длъжни да вземат предвид оценките на въздействие на Комисията, Парламентът и Съветът все пак не са обвързани от съдържанието им, по-специално що се отнася до съдържащите се в тях преценки (вж. в този смисъл решение от 21 юни 2018 г., Полша/Парламент и Съвет, C‑5/16, EU:C:2018:483, т. 159 и цитираната съдебна практика).

102    Следователно сам по себе си фактът, че законодателят на Съюза е въвел мярка, евентуално по-ограничителна от препоръчаната в резултат на оценката на въздействието, не може да докаже, че е превишил границите на необходимото за постигането на търсената цел (вж. в този смисъл решение от 4 май 2016 г., Pillbox 38, C‑477/14, EU:C:2016:324, т. 65).

103    В случая в направената от Комисията оценка на въздействието се констатира, че възможността, състояща се в задължително включване на пръстови отпечатъци в носителя на информация на личните карти, е най-ефективна за постигане на специфичната цел за борба с производството на подправени лични карти и за подобряване на документната автентичност. При тези условия възможността да не се направи задължително такова включване в никакъв случай не би могла да постави под въпрос необходимостта по смисъла на съдебната практика, припомнена в точка 84 от настоящото решение, от възприетата от законодателя на Съюза мярка.

104    На второ място, що се отнася до включването на двата пълни пръстови отпечатъка, отколкото на някои от характерните точки на тези отпечатъци (т.нар. детайли), от една страна, както отбелязва генералният адвокат в точка 93 от заключението си, детайлите не предоставят същите гаранции като пълния отпечатък. От друга страна, включването на пълен отпечатък е необходимо за оперативната съвместимост на системите за проверка на документите за самоличност, което е една от основните преследвани цели. Всъщност, както следва от точка 47 от Становище 7/2018 и както подчертава и запитващата юрисдикция, държавите членки използват различни технологии за идентифициране на пръстовите отпечатъци, така че включването в носителя на информация на личната карта само на някои от характеристиките на пръстов отпечатък би застрашило постигането на целта за оперативна съвместимост на системите за проверка на документите за самоличност, преследвана с Регламент 2019/1157.

105    От изложените по-горе съображения става ясно, че ограниченията на основните права, гарантирани в членове 7 и 8 от Хартата, произтичащи от задължението за включване на два пълни пръстови отпечатъка в носителя на информация, изглежда, спазват границите на строго необходимото.

3)      По съпоставянето между, от една страна, тежестта на намесата в наличните основни права, и преследваните с тази мярка цели, от друга страна

i)      По тежестта на намесата, причинена от ограничаването на упражняването на правата, гарантирани в членове 7 и 8 от Хартата

106    Преценката за тежестта на намесата, която причинява ограничаване на правата, гарантирани в членове 7 и 8 от Хартата, означава да се вземе предвид естеството на съответните лични данни, и по-специално евентуално чувствителният характер на тези данни, както и естеството и конкретните начини на обработване на данните, по-специално броят на лицата, които имат достъп до тези данни, и условията за достъп до тях. При необходимост трябва да се вземе предвид и наличието на мерки за предотвратяване на риска от неправомерно обработване на тези данни.

107    В случая ограничаването на упражняването на правата, гарантирани в членове 7 и 8 от Хартата, произтичащо от Регламент 2019/1157, несъмнено може да засегне голям брой лица, като този брой е изчислен от Комисията в оценката ѝ на въздействието на 370 милиона жители от 440 милиона, които към онзи момент е наброявал Съюзът. Пръстовите отпечатъци, като биометрични данни, по естеството си имат особена чувствителност, ползвайки се по този начин, както следва по-специално от съображение 51 от ОРЗД, със специална защита в правото на Съюза.

108    Важно е обаче да се подчертае, че Регламент 2019/1157 разрешава събирането и съхраняването на два пълни пръстови отпечатъка само с оглед на включването на тези пръстови отпечатъци в носителя на информация на личните карти.

109    Освен това от член 3, параграф 5 от този регламент във връзка с член 10, параграф 3 от него следва, че след като включването е направено и личната карта е връчена на субекта на данни, събраните пръстови отпечатъци се съхраняват само в носителя на информация на въпросната карта, която по принцип се притежава физически от този субект.

110    Накрая, Регламент 2019/1157 предвижда съвкупност от гаранции, насочени към ограничаване на рисковете при въвеждането му лични данни да се събират или използват за цели, различни от постигането на преследваните от него цели, при това не само що се отнася до операциите по обработване на лични данни, които този регламент прави задължителни, но и с оглед на основните операции по обработване, на които могат да бъдат подложени пръстовите отпечатъци, включени в носителя на информация на личните карти.

111    Така, що се отнася, първо, до събирането на данните, член 10, параграфи 1 и 2 от Регламент 2019/1157 гласи, че биометричните идентификатори се събират „единствено от квалифицирани и надлежно оправомощени служители“ и че тези служители трябва да спазват „подходящи и ефективни процедури за събиране на биометрични идентификатори“, като тези процедури трябва да зачитат правата и принципите, установени в Хартата, Конвенцията за защита на правата на човека и основните свободи и Конвенцията на Организацията на обединените нации за правата на детето. Освен това, както бе посочено в точка 93 от настоящото решение, член 3, параграф 7 от този регламент съдържа специални правила за децата на възраст под дванадесет години (първа и втора алинея), както и за лицата, по отношение на които снемането на пръстови отпечатъци е физически невъзможно (трета алинея), като последните „се освобождават от изискването за даване на пръстови отпечатъци“.

112    Второ, що се отнася до съхраняването на данните, от една страна, Регламент 2019/1157 задължава държавите членки да съхраняват портретна снимка и два пръстови отпечатъка като биометрични данни. В това отношение в съображение 21 от този Регламент изрично се уточнява, че той не предоставя „правно основание за създаването или поддържането на бази данни на национално равнище за съхраняването на биометрични данни в държавите членки — това е въпрос на националното право, което трябва да бъде в съответствие с правото на Съюза относно защитата на данните“, нито предоставя „правно основание и за създаването или поддържането на централизирана база данни на равнището на Съюза“. От друга страна, член 10, параграф 3 от посочения Регламент предвижда, че тези „биометричните идентификатори, […], се съхраняват при високо ниво на сигурност само до датата на връчване на документа и в никакъв случай не се съхраняват повече от 90 дни след датата на издаване на документа“, с уточнението, че „[с]лед изтичането на посочения период тези биометрични данни незабавно се изтриват или унищожават“.

113    От това следва по-специално, че член 10, параграф 3 от Регламент 2019/1157 не позволява на държавите членки да обработват биометрични данни за цели, различни от предвидените в този регламент. Освен това същата разпоредба не допуска централизирано съхраняване на пръстови отпечатъци, което надхвърля временното съхраняване на тези отпечатъци с цел персонализацията на личните карти.

114    Накрая, в член 11, параграф 6 от Регламент 2019/1157 се посочва възможността биометричните данни, съдържащи се в защитения носител на информация, да могат да бъдат използвани в съответствие с правото на Съюза и националното право от надлежно оправомощени служители на компетентните национални органи и агенциите на Съюза.

115    По отношение на буква а) от тази разпоредба, тя позволява използването на биометричните данни, които се съхраняват в носителя на информация на личните карти и документите за пребиваване, единствено с цел проверка на автентичността на личната карта или на документа за пребиваване.

116    По отношение на буква б) от посочената разпоредба, тя предвижда, че биометричните данни, които се съхраняват в носителя на информация на личните карти и документите за пребиваване, могат да се използват с цел проверка на самоличността на притежателя „с помощта на пряко наличните сравними отличителни черти, когато представянето на лична карта или на документ за пътуване се изисква от закона“. Тъй като такова обработване обаче може да предостави допълнителна информация за личния живот на субектите на данни, то може да се осъществи само за цели, строго ограничени до установяване на самоличността на съответното лице, и при точно определени от закона условия, които изискват представянето на лична карта или на документ за пребиваване.

117    Трето, що се отнася до използването на биометричните данни, записани в носителя на информация на личните карти, е важно да се подчертае, че съображение 19 от Регламент 2019/1157 въвежда йерархия в употребата на средствата за проверка на автентичността на документа и на самоличността на притежателя, като предвижда, че държавите членки трябва „преди всичко да проверяват портретната снимка“ и ако е необходимо, за да потвърдят по несъмнен начин автентичността на документа и самоличността на притежателя, „да проверяват и пръстовите отпечатъци“.

118    Що се отнася, четвърто, до риска от неразрешен достъп до съхраняваните данни, член 3, параграфи 5 и 6 от Регламент 2019/1157 предвижда, за да се сведе до минимум този риск, че пръстовите отпечатъци се съхраняват върху „носител на информация с висока степен на защита“, който „има достатъчен капацитет и способност, за да гарантира целостта, автентичността и поверителността на данните“. Освен това от член 3, параграф 10 от този регламент следва, че „когато държавите членки съхраняват в личните карти данни за електронни услуги като електронно правителство и електронен бизнес, тези национални данни са физически или логически отделени“ по-специално от пръстовите отпечатъци, събирани и съхранявани въз основа на посочения регламент. Накрая, от съображения 41 и 42, както и от член 11, параграф 4 от същия регламент следва, че държавите членки продължават да носят отговорност за правилното обработване на биометричните данни, включително когато си сътрудничат с външни доставчици на услуги.

ii)    По значението на преследваните цели

119    Както бе припомнено в точка 86 от настоящото решение, включването на два пръстови отпечатъка в носителя на информация на личните карти, има за цел да противодейства срещу производството на подправени лични карти и срещу кражбата на самоличност, както и да осигури оперативната съвместимост на системите за проверка на документите за самоличност. В това отношение обаче то може да допринесе за защитата на личния живот на субектите на данни, както и по-общо за борбата с престъпността и тероризма.

120    Освен това подобна мярка позволява да се отговори на необходимостта, що се отнася до всеки гражданин на Съюза, да разполага със средства за надеждно установяване на самоличността си, а що се отнася до държавите членки, да се уверят, че лицата, които се позовават на признати от правото на Съюза права, действително са носители на тези права. По този начин тя допринася по-специално за улесняване на гражданите на Съюза да упражняват правото си на свободно движение и пребиваване, което също е основно право, гарантирано в член 45 от Хартата. Така целите, преследвани с Регламент 2019/1157, по-специално чрез включването на два пръстови отпечатъка в носителя на информация на личните карти, имат особено значение не само за Съюза и за държавите членки, но и за гражданите на Съюза.

121    От друга страна, легитимността и значението на тези цели по никакъв начин не се поставят под въпрос от изтъкнатото от запитващата юрисдикция обстоятелство, че в точки 24—26 от Становище 7/2018 се посочва, че в периода между 2013 г. и 2017 г. са открити само 38 870 случая на подправени лични карти и че от няколко години този брой намалява.

122    Всъщност, дори да се приеме, че броят на подправените лични карти е малък, законодателят на Съюза не е бил длъжен да изчака този брой да се увеличи, за да предприеме мерки за предотвратяване на риска от използване на такива карти, а може, по-специално воден от грижата да постави рисковете под контрол, да изпревари подобно развитие, стига да са спазени останалите условия, свързани със спазването на принципа на пропорционалност.

iii) Претегляне

123    С оглед на гореизложеното се налага констатацията, че ограничаването на упражняването на правата, гарантирани в членове 7 и 8 от Хартата, произтичащо от включването на два пръстови отпечатъка в носителя на информация на личните карти, не изглежда — предвид естеството на разглежданите данни, естеството и начините на обработване, както и предвидените предпазни механизми — да е с тежест, която би била непропорционална на значението на различните цели, които тази мярка преследвани. Така подобна мярка трябва да се приеме за основана на постигнат баланс между, от една страна, тези цели и от друга страна, наличните основни права.

124    Следователно ограничаването на упражняването на правата, гарантирани в членове 7 и 8 от Хартата, не нарушава принципа на пропорционалност, така че третото основание не може да доведе до невалидността на Регламент 2019/1157.

125    От всички изложени по-горе съображения следва, че Регламент 2019/1157 е невалиден, тъй като е приет на основание на член 21, параграф 2 ДФЕС.

IV.    По запазването във времето на правните последици на Регламент 2019/1157

126    От съображения за правна сигурност правните последици на обявен за невалиден акт могат да бъдат запазени по-специално когато непосредствените последици от съдебното решение, което установява неговата невалидност, биха довели до сериозни отрицателни последици за засегнатите лица (вж. в този смисъл решение от 17 март 2016 г., Парламент/Комисия, C‑286/14, EU:C:2016:183, т. 67).

127    В случая обявяването на Регламент 2019/1157 за невалиден с незабавно действие би могло да доведе до сериозни отрицателни последици за значителен брой граждани на Съюза, в частност за тяхната сигурност в пространството на свобода, сигурност и правосъдие.

128    При тези условия Съдът решава, че правните последици от този регламент следва да се запазят до влизането в сила в разумен срок, който не може да надхвърля две години, считано от 1 януари от годината, следваща произнасянето на настоящото решение, на нов регламент, приет на основание на член 77, параграф 3 ДФЕС, който да го замести.

 V.      По съдебните разноски

129    С оглед на обстоятелството, че за страните по главното производство настоящото дело представлява отклонение от обичайния ход на производството пред запитващата юрисдикция, последната следва да се произнесе по съдебните разноски. Разходите, направени за представяне на становища пред Съда, различни от тези на посочените страни, не подлежат на възстановяване.

По изложените съображения Съдът (голям състав) реши:

1)      Регламент (ЕС) 2019/1157 на Европейския парламент и на Съвета от 20 юни 2019 година относно повишаване на сигурността на личните карти на гражданите на Съюза и на документите за пребиваване, издавани на гражданите на Съюза и на членовете на техните семейства, които упражняват правото си на свободно движение, е невалиден.

2)      Запазва правните последици от Регламент 2019/1157 до влизането в сила в разумен срок, който не може да надхвърля две години, считано от 1 януари от годината, следваща произнасянето на настоящото решение, на нов регламент, приет на основание на член 77, параграф 3 ДФЕС, който да го замести.

Подписи

*      Език на производството: немски.