Opinion of Advocate General Medina delivered on 29 June 2023.

• Jurisdiction: European Union
• ECLI: ECLI:EU:C:2023:520
• Date: 29 June 2023
• Celex Number: 62022CC0061
• Court: Court of Justice (European Union)

Édition provisoire

CONCLUSIONS DE L’AVOCATE GENERALE

M^ME LAILA MEDINA

présentées le 29 juin 2023(1)

Affaire C‑61/22

RL

contre

Landeshauptstadt Wiesbaden

[demande de décision préjudicielle formée par le Verwaltungsgericht Wiesbaden (tribunal administratif de Wiesbaden, Allemagne)]

« Renvoi préjudiciel – Règlement (UE) 2019/1157 – Renforcement de la sécurité des cartes d’identité des citoyens de l’Union – Article 3, paragraphe 5 – Obligation de recueillir des empreintes digitales et de les stocker sur un support de stockage hautement sécurisé – Validité – Base juridique – Article 21, paragraphe 2, TFUE – Article 77, paragraphe 3, TFUE – Charte des droits fondamentaux de l’Union européenne – Articles 7 et 8 – Respect de la vie privée et familiale – Protection des données à caractère personnel – Article 52, paragraphe 1 – Principe de proportionnalité – Règlement général sur la protection des données – Article 35, paragraphe 10 – Analyse d’impact relative à la protection des données »

I. Introduction

1. La présente demande de décision préjudicielle porte sur la validité de l’article 3, paragraphe 5, du règlement 2019/1157 (2), qui prévoit l’obligation d’intégrer, sur un support de stockage hautement sécurisé, une image des empreintes digitales du titulaire dans toute carte d’identité nouvellement délivrée par les États membres (3). Cette demande a été présentée dans le cadre d’un litige opposant RL au Landeshauptstadt Wiesbaden (Wiesbaden, capitale du Land de Hesse, Allemagne) au sujet d’une décision administrative par laquelle cette dernière a refusé de délivrer une carte d’identité qui n’avait pas une empreinte digitale stockée dans sa puce.

2. Par sa demande, la juridiction de renvoi souhaite savoir, premièrement, si le fondement approprié pour l’adoption du règlement 2019/1157 était l’article 21, paragraphe 2, TFUE, deuxièmement, si l’article 3, paragraphe 5, de ce règlement est compatible avec les articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne (ci-après la « Charte »), lus en combinaison avec l’article 52, paragraphe 1, de celle-ci et, troisièmement, si ledit règlement est conforme à l’obligation de procéder à une analyse d’impact relative à la protection des données prévue par l’article 35, paragraphe 10, du RGPD (4).

3. Nonobstant les différences existantes entre les cartes d’identité et les passeports, la présente affaire constitue une extension thématique de l’arrêt Schwarz (5). Dans cet arrêt, la Cour a examiné la validité de l’article 1^er, paragraphe 2, du règlement nº 2252/2004 (6), qui prévoit le recueil et le stockage obligatoires d’empreintes digitales sur les passeports et autres documents de voyage délivrés par les États membres (7).

II. Le cadre juridique

A. Le droit de l’Union

1. Le règlement 2019/1157

4. Les considérants 1, 2, 3, 4, 5, 15, 17, 18, 21 et 28 du règlement 2019/1157 énoncent :

« (1). Le traité sur l’Union européenne souligne la détermination des États membres à faciliter la libre circulation des personnes, tout en assurant la sûreté et la sécurité de leurs peuples, en établissant un espace de liberté, de sécurité et de justice, conformément aux dispositions du traité sur l’Union européenne et du traité sur le fonctionnement de l’Union européenne.

(2). La citoyenneté de l’Union confère à tout citoyen de l’Union le droit à la libre circulation sous réserve de certaines limitations et conditions. La [directive 2004/38] (8) donne effet à ce droit. L’article 45 de la Charte […] prévoit également la liberté de circulation et de séjour. La liberté de circulation implique le droit de sortir d’un État membre ou d’y entrer avec une carte d’identité ou un passeport en cours de validité.

(3). En vertu de la [directive 2004/38], les États membres doivent délivrer et renouveler les cartes d’identité ou les passeports de leurs ressortissants conformément à leur législation nationale [...]

(4). La [directive 2004/38] prévoit que les États membres peuvent adopter les mesures nécessaires pour refuser, annuler ou retirer tout droit conféré par ladite directive en cas d’abus de droit ou de fraude. La falsification de documents ou la description fallacieuse d’un fait matériel concernant les conditions attachées au droit de séjour ont été identifiées comme des cas typiques de fraude dans le cadre de cette directive.

(5). Des différences considérables existent entre les niveaux de sécurité des cartes nationales d’identité délivrées par les États membres et des documents de séjour des ressortissants de l’Union résidant dans un autre État membre et des membres de leur famille. Ces différences augmentent le risque de falsification et de fraude documentaire et entraînent également des difficultés pratiques pour les citoyens lorsqu’ils cherchent à exercer leur droit à la libre circulation […]

[...]

(15). [...] L’amélioration des cartes d’identité devrait viser à faciliter l’identification et à contribuer à avoir un meilleur accès aux services.

[...]

(17). Les éléments de sécurité sont nécessaires pour vérifier l’authenticité d’un document et pour établir l’identité d’une personne. L’établissement de normes minimales de sécurité et l’intégration des données biométriques dans les cartes d’identité […] constituent des étapes importantes pour rendre leur utilisation dans l’Union plus sécurisée. L’ajout de tels éléments d’identification biométriques devrait permettre aux citoyens de l’Union de profiter pleinement de leurs droits à la libre circulation.

(18) Le stockage d’une image faciale et de deux empreintes digitales (ci-après dénommées “données biométriques”) sur les cartes d’identité et les cartes de séjour, comme cela est déjà prévu pour les passeports et titres de séjour biométriques des ressortissants de pays tiers, combine de manière appropriée une identification et une authentification fiables avec une réduction du risque de fraude, dans l’optique de renforcer la sécurité des cartes d’identité et des cartes de séjour.

[…]

(21) Le présent règlement ne fournit pas de base juridique pour la création ou la tenue à jour de bases de données au niveau national pour le stockage de données biométriques dans les États membres, qui relève du droit national qui doit respecter le droit de l’Union en matière de protection des données. En outre, le présent règlement ne fournit pas de base juridique pour la création ou la tenue à jour d’une base de données centralisée au niveau de l’Union.

[…]

(28) L’introduction de normes minimales en matière de sécurité et de format pour les cartes d’identité devrait permettre aux États membres de s’appuyer sur l’authenticité de ces documents lorsque les citoyens de l’Union exercent leur droit à la libre circulation. L’introduction de normes de sécurité renforcées devrait offrir des garanties suffisantes aux autorités publiques et aux entités privées pour leur permettre de se fier à l’authenticité des cartes d’identité lorsqu’elles sont utilisées par les citoyens de l’Union à des fins d’identification. »

5. L’article 1^er du règlement 2019/1157, intitulé « Objet », dispose :

« Le présent règlement renforce les normes de sécurité applicables aux cartes d’identité délivrées par les États membres à leurs ressortissants […] lorsqu’ils exercent leur droit à la libre circulation. »

6. L’article 3 du règlement 2019/1157, intitulé « Normes de sécurité/format/spécifications », dispose :

« 1. Les cartes d’identité délivrées par les États membres sont de format ID-1 et comportent une zone de lecture automatique (ZLA). Ces cartes d’identité sont établies suivant les spécifications et les normes minimales de sécurité définies dans le document 9303 de l’OACI et respectent les exigences énoncées aux points c), d), f) et g) de l’annexe du règlement (CE) nº 1030/2002 tel qu’amendé par le règlement (UE) 2017/1954.

[...]

5. Les cartes d’identité intègrent un support de stockage hautement sécurisé qui contient une image faciale du titulaire de la carte et deux empreintes digitales dans des formats numériques interopérables. Pour le recueil des éléments d’identification biométriques, les États membres appliquent les spécifications techniques établies par la décision d’exécution C(2018)7767 de la Commission. [(9)]

6. Le support de stockage a une capacité suffisante pour garantir l’intégrité, l’authenticité et la confidentialité des données. Les données stockées sont accessibles sous forme sans contact et sécurisées conformément à la décision d’exécution C(2018)7767. Les États membres échangent les informations nécessaires pour authentifier le support de stockage ainsi que pour consulter et vérifier les données biométriques visées au paragraphe 5.

7. Les enfants de moins de douze ans peuvent être exemptés de l’obligation de donner leurs empreintes digitales.

Les enfants de moins de six ans sont exemptés de l’obligation de donner leurs empreintes digitales.

Les personnes dont il est physiquement impossible de relever les empreintes digitales sont exemptées de l’obligation de les donner.

[...] »

7. L’article 10 du règlement 2019/1157, intitulé « Recueil d’éléments d’identification biométriques », dispose :

« 1. Les éléments d’identification biométriques sont recueillis exclusivement par du personnel qualifié et dûment habilité désigné par les autorités chargées de délivrer les cartes d’identité ou les cartes de séjour, dans le but d’être intégrés sur le support de stockage hautement sécurisé visé à l’article 3, paragraphe 5, pour les cartes d’identité [...]

Afin de garantir la cohérence des éléments d’identification biométriques avec l’identité du demandeur, ce dernier doit se présenter en personne au moins une fois au cours du processus de délivrance pour chaque demande.

2. Les États membres veillent à ce que des procédures appropriées et efficaces soient en place pour le recueil des éléments d’identification biométriques et que ces procédures respectent les droits et les principes énoncés dans la Charte, la convention de sauvegarde des droits...