Domstolens dom (stora avdelningen) den 21 mars 2024
Hänvisat till av
I mål C‑61/22, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) genom beslut av den 13 januari 2022, som inkom till EU-domstolen den 1 februari 2022, i målet
DOMSTOLEN (stora avdelningen) sammansatt av ordföranden K. Lenaerts, vice-ordföranden L. Bay Larsen, avdelningsordförandena A. Arabadjiev, A. Prechal, E. Regan (referent), T. von Danwitz, F. Biltgen och Z. Csehi samt domarna J.-C. Bonichot, S. Rodin, D. Gratsias, M.L. Arastey Sahún och M. Gavalec, generaladvokat: L. Medina, justitiesekreterare: enhetschefen D. Dittert,
efter det skriftliga förfarandet och förhandlingen den 14 mars 2023,
med beaktande av de yttranden som avgetts av: RL, genom W. Achelpöhler, Rechtsanwalt, Tysklands regering, genom J. Möller och P.-L. Krüger, båda i egenskap av ombud, Belgiens regering, genom P. Cottin och A. Van Baelen, båda i egenskap av ombud, biträdda av P. Wytinck, advocaat, Spaniens regering, genom L. Aguilera Ruiz, i egenskap av ombud, Polens regering, genom B. Majczyna, i egenskap av ombud, Europaparlamentet, genom G.C. Bartram, P. López-Carceller och J. Rodrigues, samtliga i egenskap av ombud, Europeiska unionens råd, genom M. França och Z. Šustr, båda i egenskap av ombud, Europeiska kommissionen, genom H. Kranenborg, E. Montaguti och I. Zaloguin, samtliga i egenskap av ombud,
och efter att den 29 juni 2023 ha hört generaladvokatens förslag till yttrande,
följande
Dom
I. Tillämpliga bestämmelser
A. Unionsrätt
1. Förordning 2019/1157
2. Dataskyddsförordningen
3. Förordning (EU) 2016/399
4. Direktiv 2004/38
5. Det interinstitutionella avtalet
B. Tysk rätt
II. Målet vid den nationella domstolen och giltighetsfrågan
III. Prövning av giltighetsfrågan
A. Den första ogiltighetsgrunden: Förordning 2019/1157 har antagits på en felaktig rättslig grund
1. Inledande synpunkter
2. Tillämpningsområdena för artikel 21.2 FEUF respektive artikel 77.3 FEUF
3. Frågan om vad som utgör det huvudsakliga eller dominerande syftet med förordning 2019/1157 eller förordningens huvudsakliga eller dominerande beståndsdel
B. Den andra ogiltighetsgrunden: Åsidosättande av artikel 35.10 i dataskyddsförordningen
C. Den tredje ogiltighetsgrunden: Artikel 3.5 i förordning 2019/1157 är oförenlig med artiklarna 7 och 8 i stadgan
1. Huruvida det föreligger en begränsning
2. Huruvida begränsningen är motiverad
a) Huruvida legalitetsprincipen har iakttagits
b) Huruvida kravet på förenlighet med det väsentliga innehållet i de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna har iakttagits
c) Huruvida proportionalitetsprincipen har iakttagits
1) Huruvida den aktuella åtgärden eftersträvar ett eller flera av unionen erkända mål av allmänt samhällsintresse och huruvida åtgärden är ägnad att uppnå dessa mål
i) Huruvida de mål som eftersträvas med åtgärden är av allmänt samhällsintresse
ii) Huruvida åtgärden är ägnad att faktiskt svara mot de eftersträvade målen av allmänt samhällsintresse
2) Huruvida den aktuella åtgärden är nödvändig för att uppnå de eftersträvade målen av allmänt samhällsintresse
3) Huruvida det gjorts en avvägning mellan, å ena sidan, det aktuella rättighetsingreppets allvar och, å andra sidan, de mål som eftersträvas med den aktuella åtgärden
i) Allvaret i det ingrepp som begränsningen av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna medför
ii) Betydelsen av de mål som eftersträvas med den aktuella åtgärden
iii) Avvägning
IV. Huruvida verkningarna av förordning 2019/1157 ska bestå i tiden
V. Rättegångskostnader
1 Begäran om förhandsavgörande avser giltigheten av Europaparlamentets och rådets förordning (EU) 2019/1157 av den 20 juni 2019 om säkrare identitetskort för unionsmedborgare och uppehållshandlingar som utfärdas till unionsmedborgare och deras familjemedlemmar när de utövar sin rätt till fri rörlighet (EUT L 188, 2019, s. 67), särskilt av artikel 3.5 i förordningen.
2 Begäran har framställts i ett mål mellan RL och Landeshauptstadt Wiesbaden (delstatshuvudstaden Wiesbaden, Tyskland) (nedan kallad Wiesbadens stad eller staden). Målet rör stadens beslut att avslå RL:s ansökan om utfärdande av ett identitetskort som inte innehåller hans fingeravtryck.
3 Skälen 1, 2, 4, 5, 17–21, 23, 26–29, 32, 33, 36, 40–42 och 46 i förordning 2019/1157 har följande lydelse:
4 I artikel 1 (Syfte) i förordning 2019/1157 föreskrivs följande:
5 I förordningens artikel 2 (Tillämpningsområde) föreskrivs följande:
6 I artikel 3 (Säkerhetsstandarder/format/specifikationer) i förordning 2019/1157 föreskrivs följande i punkterna 5–7 och 10:
7 Artikel 5 (Utfasning) i förordning 2019/1157 har följande lydelse:
8 I förordningens artikel 6 (Minimiuppgifter som ska anges) föreskrivs följande i första stycket:
9 I förordningens artikel 10 (Insamling av biometriska kännetecken) föreskrivs följande:
10 I förordningens artikel 11 (Skydd av personuppgifter och ansvar) föreskrivs följande i punkterna 4 och 6:
11 I förordningens artikel 14 (Ytterligare tekniska specifikationer) föreskrivs följande i punkterna 1 och 2:
12 Skäl 51 i dataskyddsförordningen har följande lydelse:
13 Artikel 4 (Definitioner) i dataskyddsförordningen har följande lydelse:
14 I artikel 9 (Behandling av särskilda kategorier av personuppgifter) i dataskyddsförordningen föreskrivs följande i punkt 1:
15 I dataskyddsförordningens artikel 35 (Konsekvensbedömning avseende dataskydd) föreskrivs följande i punkterna 1, 3 och 10:
16 I artikel 8 i Europaparlamentets och rådets förordning (EU) 2016/399 av den 9 mars 2016 om en unionskodex om gränspassage för personer (kodex om Schengengränserna) (EUT L 77, 2016, s. 1), i dess lydelse enligt Europaparlamentets och rådets förordning (EU) 2017/458 av den 15 mars 2017 (EUT L 74, 2017, s. 1), föreskrivs följande i punkterna 1 och 2:
17 I punkterna 1 och 3 i artikel 4 (Rätt till utresa) i direktiv 2004/38 föreskrivs följande:
18 I direktivets artikel 5 (Rätt till inresa) föreskrivs följande i punkt 1:
19 Direktivets artikel 6 (Uppehållsrätt i högst tre månader) har följande lydelse:
20 I artikel 8 (Administrativa formaliteter för unionsmedborgare) i direktiv 2004/38 föreskrivs följande i punkterna 1 och 3:
21 Punkterna 12–14 i det interinstitutionella avtalet mellan Europaparlamentet, Europeiska unionens råd och Europeiska kommissionen av den 13 april 2016 om bättre lagstiftning (EUT L 123, 2016, s. 1) (nedan kallat det interinstitutionella avtalet) har följande lydelse:
22 I 5 § (Förlaga till identitetshandling; lagrade uppgifter) i Gesetz über Personalausweise und den elektronischen Identitätsnachweis (lagen om identitetskort och elektronisk identifiering) av den 18 juni 2009 (BGBl. I, s. 1346), i den lydelse som är tillämplig på omständigheterna i det nationella målet (nedan kallad PAuswG), föreskrivs följande i punkt 9:
23 I 6 § PAuswG föreskrivs följande i punkterna 1 och 2:
24 I 9 § (Utfärdande av identitetskort) PAuswG föreskrivs följande i punkt 1 första meningen:
25 I 28 § (Ogiltighet) PAuswG föreskrivs följande i punkt 3:
26 Den 30 november 2021 ansökte klaganden i det nationella målet, RL, hos Wiesbadens stad om ett nytt identitetskort av det skälet att det elektroniska chipet i hans gamla identitetskort var defekt. I ansökan begärde RL dock att det nya identitetskortet inte skulle innehålla hans fingeravtryck.
27 Wiesbadens stad avslog denna ansökan av två skäl. För det första fann staden att RL inte hade rätt att få ett nytt identitetskort utfärdat, eftersom han redan innehade en giltig identitetshandling. Enligt 28 § punkt 3 PAuswG är nämligen ett identitetskort giltigt även om det elektroniska chipet är defekt. För det andra anförde staden att det under alla omständigheter sedan den 2 augusti 2021 är obligatoriskt att införa två fingeravtryck i lagringsmediet i identitetskort. Denna skyldighet följer av 5 § punkt 9 PAuswG, som genomför artikel 3.5 i förordning 2019/1157.
28 Den 21 december 2021 överklagade RL stadens avslagsbeslut till den hänskjutande domstolen, Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland), och yrkade att den skulle förelägga Wiesbadens stad att utfärda ett identitetskort utan fingeravtryck till honom.
29 Den hänskjutande domstolen har i sin begäran om förhandsavgörande gett uttryck för osäkerhet kring huruvida de i beslutet angivna avslagsskälen har stöd i lag. Vad särskilt gäller det andra skälet har den angett att det får anses vara tveksamt om förordning 2019/1157 – eller åtminstone dess artikel 3.5 – i sig är giltig.
30 Den hänskjutande domstolen har i det avseendet först anfört att fråga uppkommer om inte förordning 2019/1157 borde ha antagits med stöd av artikel 77.3 FEUF, och därmed med tillämpning av det i den bestämmelsen angivna särskilda lagstiftningsförfarandet, snarare än med stöd av artikel 21.2 FEUF och med tillämpning av det ordinarie lagstiftningsförfarandet. För det första hänvisas i artikel 77.3 FEUF nämligen specifikt till unionens befogenhet att anta bland annat bestämmelser om identitetskort och den får därmed anses utgöra en specialbestämmelse i förhållande till artikel 21.2 FEUF. För det andra framgår det av domen av den 17 oktober 2013, Schwarz ( C‑291/12, EU:C:2013:670), att EU-domstolen fann att det var korrekt att anta förordning nr 2252/2004 – i den del den fastställer standarder för biometriska kännetecken i pass – med stöd av artikel 62 led 2 a EG, som numera motsvaras av artikel 77.3 FEUF.
31 Vidare uppkommer enligt den hänskjutande domstolen fråga om förordning 2019/1157 kan ha antagits i strid med de bestämmelser som reglerar lagstiftningsförfarandet. Den har därvid hänvisat till vad Europeiska datatillsynsmannen (nedan kallad datatillsynsmannen) påpekade i sitt yttrande 7/2018 av den 10 augusti 2018 om förslaget till förordning om säkrare identitetskort för unionsmedborgare och andra handlingar (nedan kallat yttrande 7/2018), nämligen att upptagning och lagring av fingeravtryck utgör behandling av personuppgifter som omfattas av kravet på konsekvensbedömning enligt artikel 35.10 i dataskyddsförordningen. Den hänskjutande domstolen konstaterar dock att någon sådan konsekvensbedömning inte har gjorts i förevarande fall. Den anser i synnerhet att den handling som bifogats förslaget till förordning, med rubriken Impact assessment, inte kan anses utgöra en konsekvensbedömning i den mening som avses i denna bestämmelse.
32 Därutöver vill den hänskjutande domstolen mer specifikt få klarhet i huruvida artikel 3.5 i förordning 2019/1157 är förenlig med artiklarna 7 och 8 i stadgan, vilka rör respekt för privat- och familjelivet respektive skydd av personuppgifter. Den anser nämligen att medlemsstaternas skyldighet att utfärda identitetskort vars lagringsmedium innehåller två fingeravtryck utgör en begränsning av de rättigheter som slås fast i dessa båda bestämmelser i stadgan och att denna begränsning endast kan anses vara motiverad om den uppfyller villkoren i artikel 52.1 i stadgan.
33 Enligt den hänskjutande domstolen kan nämnda begränsning dock inte anses svara mot ett mål av allmänt samhällsintresse. Den har därvid anfört att EU-domstolen, i domen av den 17 oktober 2013, Schwarz ( C‑291/12, EU:C:2013:670), visserligen medgav att målet att hindra att tredjelandsmedborgare olagligen reser in i unionen är ett mål som erkänns i unionsrätten. Enligt den hänskjutande domstolen finns det dock en skillnad mellan pass och identitetskort på så sätt att identitetskort inte i första hand är en resehandling, utan endast syftar till att göra det möjligt att kontrollera en unionsmedborgares identitet vid kontakt med nationella myndigheter eller privata aktörer.
34 Även om förordning 2019/1157 syftar till att uppnå ett i unionsrätten fastslaget mål av allmänt samhällsintresse är det dock, enligt den hänskjutande domstolen, oklart huruvida den aktuella begränsningen är proportionerlig. Den anser att den lösning som EU-domstolen valde i domen av den 17 oktober 2013, Schwarz ( C‑291/12, EU:C:2013:670), inte kan överföras till att gälla förordning 2019/1157. I det målet var det nämligen fråga om pass, som i Tyskland – till skillnad från identitetskort – inte omfattas av något krav på innehav och har ett annat användningssyfte.
35 Den hänskjutande domstolen har påpekat att datatillsynsmannen i yttrande 7/2018 däremot anförde att införande och lagring av fingeravtryck skulle ha en omfattande inverkan på upp till 370 miljoner EU-medborgare, eftersom 85 procent av EU:s befolkning potentiellt skulle omfattas av kravet att fingeravtryck ska vara obligatoriskt. Denna omfattande inverkan i kombination med de mycket känsliga uppgifter som behandlas (en ansiktsbild i kombination med två fingeravtryck) innebär att den begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som följer av kravet på upptagning av fingeravtryck vid utfärdande av identitetskort är mer omfattande än vad som är fallet när det gäller pass. Detta kräver i gengäld en starkare motivering av den aktuella åtgärden och att det görs en noggrann och strikt nödvändighetsbedömning av den.
36 Enligt den hänskjutande domstolen följer kravet på en strikt proportionalitetsprövning under alla omständigheter även av artikel 9.1 i dataskyddsförordningen, enligt vilken behandling av sådana biometriska uppgifter i princip är förbjuden och endast tillåten i snävt definierade undantagsfall.
37 I detta avseende anser den hänskjutande domstolen visserligen att användningen av biometriska uppgifter minskar risken för att identitetshandlingar kan förfalskas. Den är dock osäker på om enbart denna omständighet kan motivera omfattningen av begränsningen av rätten till skydd av personuppgifter, särskilt mot bakgrund av följande skäl.
38 Till att börja med påpekade datatillsynsmannen i yttrande 7/2018 att andra metoder för att förse identitetshandlingar med säkerhetsdetaljer vid tryckningen, såsom hologram eller vattenmärken, utgör betydligt mindre ingripande åtgärder, samtidigt som de även gör det möjligt att förhindra förfalskning av identitetshandlingar och att kontrollera deras äkthet. Den omständigheten att identitetskort med defekt elektroniskt chip fortfarande är giltiga enligt tysk rätt visar för övrigt att de fysiska säkerhetsdetaljerna, särskilt mikrotext och UV-tryck, räcker för att garantera kortens säkerhet.
39 Vidare innebär artikel 3.7 i förordning 2019/1157 att medlemsstaterna har rätt att undanta barn under tolv år från skyldigheten att lämna fingeravtryck och att medlemsstaterna under alla omständigheter är skyldiga att undanta barn under sex år från denna skyldighet. Detta visar att upptagning av två fingeravtryck inte är absolut nödvändig.
40 I övrigt strider artikel 3.5 i förordning 2019/1157 mot principen om uppgiftsminimering i artikel 5 i dataskyddsförordningen, av vilken framgår att insamling och användning av personuppgifter ska vara adekvat, relevant och inte för omfattande i förhållande till de ändamål för vilka uppgifterna behandlas. Den hänskjutande domstolen har därvid anfört att upptagning av två hela fingeravtryck, och inte bara vissa mätpunkter från fingeravtrycken, visserligen främjar interoperabilitet mellan olika typer av system, men att detta samtidigt ökar mängden lagrade personuppgifter och därmed risken för identitetsstöld vid ett eventuellt dataläckage. Denna risk är enligt den hänskjutande domstolen för övrigt inte försumbar, eftersom de elektroniska chip som används i identitetskort kan läsas av icke auktoriserade avläsare.
41 Slutligen har den hänskjutande domstolen i allt väsentligt anfört att begränsningen av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna inte kan anses vara legitim. Såsom datatillsynsmannen påpekade i yttrande 7/2018 var förhållandena vid tidpunkten för antagandet av förordning 2019/1157 sådana att antalet förfalskade identitetskort var relativt litet i förhållande till antalet utfärdade kort (38870 förfalskade kort ska ha konstaterats mellan år 2013 och år 2017) och detta antal hade då varit avtagande sedan flera år tillbaka.
42 Det är mot ovan angivna bakgrund som Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden) har beslutat att vilandeförklara målet och ställa följande fråga till EU-domstolen:
43 Den hänskjutande domstolen har ställt sin fråga för att få klarhet i huruvida förordning 2019/1157 är ogiltig i sin helhet eller i vissa delar på grund av att den har antagits på en felaktig rättslig grund samt att den strider mot artikel 35.10 i dataskyddsförordningen och artiklarna 7 och 8 i stadgan.
44 Den första ogiltighetsgrund som den hänskjutande domstolen har tagit upp avser frågan huruvida det var fel att anta förordning 2019/1157 med stöd av artikel 21.2 FEUF, samt huruvida förordningen i stället borde ha antagits med stöd av artikel 77.3 FEUF, och därmed med tillämpning av det i den bestämmelsen angivna särskilda lagstiftningsförfarandet, mot bakgrund av bland annat den uttryckliga hänvisningen till identitetskort som görs där och den lösning som EU-domstolen valde i domen av den 17 oktober 2013, Schwarz ( C‑291/12, EU:C:2013:670).
45 Enligt fast rättspraxis ska valet av rättslig grund för en unionsrättsakt grundas på objektiva omständigheter som kan bli föremål för domstolsprövning, däribland rättsaktens syfte och innehåll (dom av den 16 februari 2022, Ungern/parlamentet och rådet, C‑156/21, EU:C:2022:97, punkt 107, och dom av den 16 februari 2022, Polen/parlamentet och rådet, C‑157/21, EU:C:2022:98, punkt 121).
46 Det ska vidare påpekas att i fall där det finns en mer specifik bestämmelse i fördragen som kan användas som rättslig grund för den aktuella rättsakten, så är det denna som ska användas (dom av den 6 september 2012, parlamentet/rådet, C‑490/10, EU:C:2012:525, punkt 44, och dom av den 8 december 2020, Polen/parlamentet och rådet, C‑626/18, EU:C:2020:1000, punkt 48 och där angiven rättspraxis).
47 Därutöver gäller att om prövningen av en unionsrättsakt visar att den har flera syften eller flera beståndsdelar, och om ett av dessa syften eller en av dessa beståndsdelar kan identifieras som det – eller den – huvudsakliga eller dominerande, medan de övriga endast är av underordnad betydelse eller har en ytterst begränsad räckvidd, ska den rättsliga grunden för att anta den aktuella rättsakten fastställas utifrån dess huvudsakliga syfte eller beståndsdel (se, för ett liknande resonemang, dom av den 20 november 2018, kommissionen/rådet (Marina skyddsområden Antarktis), C‑626/15 och C‑659/16, EU:C:2018:925, punkt 77, och yttrande 1/19 (Istanbulkonventionen) av den 6 oktober 2021, EU:C:2021:832, punkt 286).
48 Av artikel 21.2 FEUF framgår att om en åtgärd från unionens sida är nödvändig för att säkerställa att alla unionsmedborgare har rätt att fritt röra sig och uppehålla sig inom medlemsstaternas territorier, och om inte befogenheter för detta ändamål föreskrivs i fördragen, får parlamentet och rådet i enlighet med det ordinarie lagstiftningsförfarandet anta bestämmelser för att underlätta utövandet av dessa rättigheter.
49 Denna bestämmelse ger således unionen en allmän befogenhet att anta de bestämmelser som behövs för att underlätta för unionsmedborgarna att utöva sin rätt enligt artikel 20.2 a FEUF att fritt röra sig och uppehålla sig inom medlemsstaternas territorier, om inte befogenheter för detta ändamål föreskrivs i fördragen.
50 Till skillnad från artikel 21.2 FEUF föreskrivs i artikel 77.3 FEUF uttryckligen sådana befogenheter när det gäller att anta bestämmelser om pass, identitetskort, uppehållstillstånd eller andra liknande handlingar som utfärdas till unionsmedborgare i syfte att underlätta för dem att utöva sin rätt enligt artikel 20.2 a FEUF att fritt röra sig och uppehålla sig inom medlemsstaternas territorier.
51 Artikel 77.3 FEUF ingår visserligen i EUF-fördragets avdelning V (Ett område med frihet, säkerhet och rättvisa), närmare bestämt i denna avdelnings kapitel 2 (Politik som gäller gränskontroll, asyl och invandring). Det ska dock påpekas att det av artikel 77.1 FEUF framgår att unionen ska utforma en politik med syftet att säkerställa både att det inte förekommer någon kontroll av personer, oavsett deras medborgarskap, när de passerar de inre gränserna, och att det sker en kontroll av personer och en effektiv övervakning i fråga om passage av de yttre gränserna samt att stegvis införa ett integrerat system för förvaltning av de yttre gränserna. De bestämmelser om pass, identitetskort, uppehållstillstånd eller andra liknande handlingar som omfattas av den befogenhetsgrund som föreskrivs i artikel 77.3 FEUF utgör en integrerad del av en sådan politik som unionen ska utforma. Vad gäller unionsmedborgare är det nämligen med hjälp av dessa handlingar som dessa kan styrka bland annat att de omfattas av rätten att fritt röra sig och uppehålla sig inom medlemsstaternas territorier och därmed utöva denna rätt. Det nu sagda innebär att artikel 77.3 FEUF kan utgöra rättslig grund för att anta bestämmelser om sådana handlingar av detta slag, om detta behövs för att underlätta utövandet av den rätt som föreskrivs i artikel 20.2 a FEUF.
52 Någon annan tolkning av det materiella tillämpningsområdet för artikel 77.3 FEUF föranleds inte av det som parlamentet, rådet och kommissionen har anfört om den historiska utvecklingen av fördragen i fråga om unionens befogenhet att anta bestämmelser om pass, identitetskort, uppehållstillstånd och andra liknande handlingar, eller av den av den tyska regeringen åberopade omständigheten att det i denna bestämmelse föreskrivs att den ska tillämpas om inte befogenheter för detta ändamål föreskrivs i fördragen.
53 Genom Lissabonfördraget upphävdes visserligen den tidigare bestämmelsen i artikel 18.3 EG, som uttryckligen uteslöt möjligheten för unionslagstiftaren att använda artikel 18.2 EG (nu artikel 21.2 FEUF) som rättslig grund för att anta såväl bestämmelser om pass, identitetskort, uppehållstillstånd eller andra jämförbara dokument som bestämmelser om social trygghet eller socialt skydd. Samtidigt innebar Lissabonfördraget dock att unionen uttryckligen gavs en befogenhet att vidta åtgärder på dessa två områden (det vill säga dels genom artikel 21.3 FEUF vad gäller social trygghet och socialt skydd, dels genom artikel 77.3 FEUF vad gäller bestämmelser om pass, identitetskort, uppehållstillstånd eller andra liknande handlingar), och att det infördes ett särskilt lagstiftningsförfarande för att anta bestämmelser på nämnda områden, som bland annat innefattar krav på enhällighet i rådet.
54 Vid sådana förhållanden kan upphävandet av den tidigare bestämmelsen i artikel 18.3 EG inte anses ha medfört att det numera skulle vara möjligt att anta bestämmelser om pass, identitetskort, uppehållstillstånd eller andra jämförbara dokument med stöd av artikel 21.2 FEUF. Tvärtom framgår det av den historiska utvecklingen att fördragens upphovsmän genom artikel 77.3 FEUF har avsett att ge unionen en mer specifik befogenhet att anta sådana bestämmelser för att underlätta utövandet av den i artikel 20.2 a FEUF angivna rätten att fritt röra sig och uppehålla sig inom medlemsstaternas territorier än den allmännare befogenhet som föreskrivs i artikel 21.2 FEUF.
55 Härtill kommer att lokutionen om inte befogenheter för detta ändamål föreskrivs i fördragen i artikel 77.3 FEUF måste läsas mot bakgrund av EUF-fördragets allmänna systematik. Den ska således förstås på så sätt att de befogenheter att vidta åtgärder som det talas om i bestämmelsen inte är befogenheter som föreskrivs i en bestämmelse med allmännare räckvidd, såsom artikel 21.2 FEUF, utan i en ännu mer specifik bestämmelse.
56 EU-domstolen finner mot bakgrund av det nu anförda att artikel 21.2 FEUF endast kan anses ha utgjort korrekt rättslig grund för att anta förordning 2019/1157 under förutsättning att förordningens huvudsakliga eller dominerande syfte eller beståndsdel ligger utanför det specifika tillämpningsområdet för artikel 77.3 FEUF, det vill säga utfärdande av pass, identitetskort, uppehållstillstånd eller andra liknande handlingar i syfte att underlätta utövandet av den rätt som föreskrivs i artikel 20.2 a FEUF.
57 EU-domstolen ska först pröva frågan om vad som utgör syftet med förordning 2019/1157. Därvid framgår av artikel 1 i förordningen att syftet består i att skärpa säkerhetskraven i fråga om identitetskort som medlemsstaterna utfärdar till sina medborgare och uppehållshandlingar som medlemsstaterna utfärdar till unionsmedborgare och deras familjemedlemmar när de utövar sin rätt till fri rörlighet inom unionen.
58 I linje med detta anges i skäl 46 i förordningen att dess mål består i att öka säkerheten kring dessa resehandlingar och identitetshandlingar för att underlätta utövandet av rätten till fri rörlighet för unionsmedborgare och deras familjemedlemmar, vilket även framgår av skälen 1, 2, 5, 17, 28, 29 och 36 i förordningen.
59 Vad därefter gäller innehållet i förordning 2019/1157 ska det påpekas att förordningen består av sexton artiklar. I artiklarna 1 och 2 i förordningen definieras dess syfte respektive tillämpningsområde. Artiklarna 3 och 4 samt 6 och 7 i förordning 2019/1157 utgör förordningens huvudsakliga beståndsdelar. I dessa artiklar anges bland annat vilka krav som gäller i fråga om säkerhet, innehåll, format eller specifikationer för identitetskort och uppehållshandlingar som utfärdas av medlemsstaterna. Av artiklarna 5 och 8 i förordningen framgår att identitetskort och uppehållskort som inte uppfyller förordningens krav ska fasas ut. I artiklarna 9–16 i förordning 2019/1157 anges närmare hur de i förordningen angivna skyldigheterna ska genomföras, särskilt vad gäller insamling av biometriska kännetecken och skydd av personuppgifter.
60 I artikel 2 i förordning 2019/1157 anges visserligen att förordningen inte bara ska tillämpas på identitetskort som medlemsstaterna utfärdar till sina egna medborgare, utan även på bevis om registrering som utfärdas i enlighet med artikel 8 i direktiv 2004/38 till unionsmedborgare som uppehåller sig i en mottagande medlemsstat mer än tre månader samt på intyg om permanent uppehållsrätt som utfärdas i enlighet med artikel 19 i samma direktiv; sådana bevis och intyg kan inte likställas med identitetskort, pass eller uppehållstillstånd. Förordning 2019/1157 innehåller dock inte någon bestämmelse som reglerar sådana bevis om registrering. I artikel 6 första stycket f i förordningen anges endast att de uppehållshandlingar som medlemsstaterna utfärdar till unionsmedborgare ska innehålla den information som ska ingå i bevis om registrering och intyg om permanent uppehållsrätt som utfärdas i enlighet med artiklarna 8 respektive 19 i direktiv 2004/38. Förordningens syfte och beståndsdelar måste därför anses ha en ytterst begränsad räckvidd i fråga om bevis om registrering av nyss nämnt slag, vilket innebär att den rättsliga grunden för denna förordning inte kan fastställas utifrån detta syfte eller denna beståndsdel.
61 Vid sådana förhållanden finner EU-domstolen att det framgår av förordningens huvudsakliga syfte och beståndsdelar att den ingår bland de rättsakter som omfattas av det specifika tillämpningsområdet för artikel 77.3 FEUF, såsom detta fastställts i punkterna 48–51 ovan.
62 Unionslagstiftarens val att anta förordning 2019/1157 med stöd av artikel 21.2 FEUF strider således mot artikel 77.3 FEUF och innebär att lagstiftaren inte har tillämpat korrekt lagstiftningsförfarande.
63 Härav följer att den första ogiltighetsgrund som den hänskjutande domstolen har tagit upp – nämligen att det var fel att anta förordning 2019/1157 med stöd av artikel 21.2 FEUF och med tillämpning av det ordinarie lagstiftningsförfarandet – är ägnad att medföra att denna förordning är ogiltig.
64 Den andra ogiltighetsgrund som den hänskjutande domstolen har tagit upp avser att förordning 2019/1157 antogs utan att det hade gjorts någon konsekvensbedömning avseende dataskydd, i strid med artikel 35.10 i dataskyddsförordningen.
65 Av artikel 35.1 i dataskyddsförordningen framgår följande. Om en typ av behandling, särskilt med användning av ny teknik och med beaktande av dess art, omfattning, sammanhang och ändamål, sannolikt leder till en hög risk för fysiska personers rättigheter och friheter ska den personuppgiftsansvarige före behandlingen utföra en bedömning av den planerade behandlingens konsekvenser för skyddet av personuppgifter. I artikel 35.3 i dataskyddsförordningen anges att en sådan bedömning krävs vid behandling i stor omfattning av särskilda kategorier av uppgifter som avses i artikel 9.1 i förordningen, såsom biometriska uppgifter för att entydigt identifiera en fysisk person.
66 Vad gäller det nu aktuella fallet kan det konstateras att förordning 2019/1157 i sig inte innebär att det vidtas några åtgärder beträffande personuppgifter eller uppsättningar av personuppgifter, utan endast att medlemsstaterna åläggs att utföra vissa behandlingar av personuppgifter vid ansökan om identitetskort. EU-domstolen finner således att det inte var en förutsättning för att kunna anta förordningen att det först gjorts en konsekvensbedömning av den planerade behandlingen, i den mening som avses i artikel 35.1 i dataskyddsförordningen, innan förordningen antogs. Genom artikel 35.10 i dataskyddsförordningen införs dock ett undantag från dess artikel 35.1.
67 Det nu sagda innebär att artikel 35.1 i dataskyddsförordningen inte var tillämplig vid antagandet av förordning 2019/1157, vilket i sin tur innebär att det inte kunde strida mot artikel 35.10 i dataskyddsförordningen att anta förordning 2016/679.
68 Mot bakgrund av det ovan anförda finner EU-domstolen att den andra ogiltighetsgrunden, som avser åsidosättande av artikel 35.10 i dataskyddsförordningen, inte är ägnad att medföra att förordning 2019/1157 är ogiltig.
69 Den tredje ogiltighetsgrund som den hänskjutande domstolen har tagit upp avser frågan huruvida den i artikel 3.5 i förordning 2019/1157 angivna skyldigheten att införa två hela fingeravtryck i lagringsmediet i identitetskort som utfärdas av medlemsstaterna medför en omotiverad begränsning av de rättigheter som garanteras i artiklarna 7 och 8 i stadgan.
70 I artikel 7 i stadgan föreskrivs bland annat att var och en har rätt till respekt för sitt privatliv. Enligt artikel 8.1 i stadgan har var och en rätt till skydd av de personuppgifter som rör honom eller henne. Av dessa bestämmelser sammantagna framgår att all personuppgiftsbehandling som utförs av tredje part i princip kan anses utgöra ett ingrepp i dessa rättigheter (dom av den 17 oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, punkt 25).
71 Vad gäller det nu aktuella fallet kan följande konstateras. Av artikel 3.5 i förordning 2019/1157 framgår att identitetskort utfärdade av medlemsstaterna till sina egna medborgare ska innefatta ett mycket säkert lagringsmedium och att detta ska innehålla biometriska uppgifter, det vill säga en ansiktsbild och två fingeravtryck i interoperabla digitala format.
72 Denna typ av personuppgifter gör det möjligt att exakt identifiera de berörda fysiska personerna och är särskilt känsliga på grund av de betydande risker för grundläggande fri- och rättigheter som användningen av dem kan innebära. Detta framgår särskilt av skäl 51 i dataskyddsförordningen, som är tillämplig på de aktuella uppgifterna (se skäl 40 i förordning 2019/1157).
73 Det nu sagda innebär att den i artikel 3.5 i förordning 2019/1157 angivna skyldigheten att införa två fingeravtryck i lagringsmediet i identitetskort utgör en begränsning av såväl rätten till respekt för privatlivet som rätten till skydd av personuppgifter, vilka slås fast i artikel 7 respektive artikel 8 i stadgan.
74 Härtill kommer att denna skyldighet innebär att två på varandra följande åtgärder som utgör behandling av personuppgifter först måste vidtas. Den ena består i upptagning av den registrerades fingeravtryck och den andra består i att fingeravtrycken tillfälligt lagras för personalisering av identitetskortet. Båda åtgärderna regleras i artikel 10 i förordningen. Även dessa åtgärder utgör begränsningar av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna.
75 Av fast rättspraxis framgår att de i artiklarna 7 respektive 8 i stadgan garanterade rättigheterna avseende respekt för privatlivet och skydd av personuppgifter inte utgör några absoluta rättigheter, utan måste bedömas utifrån deras funktion i samhället (se, för ett liknande resonemang, dom av den 20 september 2022, SpaceNet och Telekom Deutschland, C‑793/19 och C‑794/19, EU:C:2022:702, punkt 63).
76 Dessa rättigheter får således begränsas, dock endast under de förutsättningar som anges i artikel 52.1 i stadgan. Av första meningen i den bestämmelsen framgår att begränsningarna ska vara föreskrivna i lag och förenliga med det väsentliga innehållet i dessa rättigheter. Av andra meningen i bestämmelsen framgår vidare att begränsningarna, med iakttagande av proportionalitetsprincipen, måste vara nödvändiga och faktiskt svara mot mål av allmänt samhällsintresse som erkänns av unionen eller mot behovet av skydd för andra människors fri- och rättigheter. I detta avseende anges i artikel 8.2 i stadgan ett krav på att behandling av personuppgifter bland annat ska ske för bestämda ändamål och på grundval av den berörda personens samtycke eller någon annan legitim och lagenlig grund.
77 Kravet i artikel 52.1 första meningen i stadgan på att samtliga begränsningar av i stadgan stadfästa rättigheter ska vara föreskrivna i lag innebär att det av själva lagstödet för rättighetsingreppet klart ska framgå vilken räckvidd begränsningen av den aktuella rättigheten har. Nämnda krav hindrar dock inte att en rättighetsbegränsning ges en tillräckligt öppen formulering för att den ska kunna anpassas till olika fall och till förändrade förhållanden. Vidare kan EU-domstolen i förekommande fall tolkningsvägen precisera den konkreta räckvidden av begränsningen med beaktande av såväl själva lydelsen i den aktuella unionslagstiftningen som dess allmänna systematik och eftersträvade mål, såsom dessa tolkats mot bakgrund av de i stadgan garanterade grundläggande rättigheterna (dom av den 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punkt 114 och där angiven rättspraxis).
78 Vad beträffar det nu aktuella fallet gör EU-domstolen följande bedömning. Av artiklarna 3.5 samt 10.1 och 10.3 i förordning 2019/1157 – vilka är bestämmelser som unionslagstiftaren antagit med tillämpning av det ordinarie lagstiftningsförfarandet och vars verkningar ska bestå i enlighet med vad som anges nedan – framgår klart och tydligt vilka begränsningar av de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna som följer av skyldigheten att införa två hela fingeravtryck i lagringsmediet i identitetskort utfärdade av medlemsstaterna samt vilka förutsättningar som gäller för tillämpningen av dessa begränsningar och vilken räckvidd de har.
79 Dessa begränsningar av de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna uppfyller således legalitetsprincipen, såsom den kommer till uttryck i artikel 52.1 första meningen i stadgan.
80 Det ska konstateras att den information som fingeravtrycken innehåller inte i sig gör det möjligt att få en bild av de berörda personernas privat- och familjeliv.
81 Vid sådana förhållanden finner EU-domstolen att den rättighetsbegränsning som följer av den i artikel 3.5 i förordning 2019/1157 angivna skyldigheten att införa två fingeravtryck i lagringsmediet i identitetskort utfärdade av medlemsstaterna inte strider mot det väsentliga innehållet i de grundläggande rättigheter som slås fast i artiklarna 7 och 8 i stadgan (se, analogt, dom av den 21 juni 2022, Ligue des droits humains, C‑817/19, EU:C:2022:491, punkt 120).
82 Av artikel 52.1 andra meningen i stadgan framgår att en förutsättning för att begränsningar av de i stadgan garanterade grundläggande rättigheterna ska kunna göras med iakttagande av proportionalitetsprincipen är att rättighetsbegränsningarna är nödvändiga och faktiskt svarar mot mål av allmänt samhällsintresse som erkänns av unionen eller mot behovet av skydd för andra människors fri- och rättigheter.
83 Närmare bestämt ska undantag från och begränsningar av skyddet för personuppgifter inskränkas till vad som är absolut nödvändigt. När det finns flera ändamålsenliga åtgärder att välja mellan för att uppnå de legitima mål som eftersträvas, ska den åtgärd väljas som är minst ingripande. När ett mål av allmänt samhällsintresse eftersträvas måste det dessutom beaktas att detta mål ska vara förenligt med de grundläggande rättigheter som berörs av den aktuella åtgärden. Här ska en balanserad avvägning göras mellan å ena sidan målet av allmänt samhällsintresse och å andra sidan de berörda rättigheterna, för att säkerställa att de olägenheter som åtgärden medför inte är orimliga i förhållande till de eftersträvade målen. Möjligheten att motivera en begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna ska således bedömas utifrån allvaret i det ingrepp som rättighetsbegränsningen medför och genom en prövning av huruvida betydelsen av det mål av allmänt samhällsintresse som eftersträvas med denna begränsning står i proportion till ingreppets allvar (dom av den 22 november 2022, Luxembourg Business Registers, C‑37/20 och C‑601/20, EU:C:2022:912, punkt 64 och där angiven rättspraxis).
84 Överfört på förevarande fall innebär det nyss anförda att de ingrepp i de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som följer av den i artikel 3.5 i förordning 2019/1157 angivna skyldigheten att införa två fingeravtryck i lagringsmediet i identitetskort ska prövas mot proportionalitetsprincipen, vilket i sig innefattar en prövning i tre led. Prövningen avser i det första ledet om denna åtgärd eftersträvar ett eller flera av unionen erkända mål av allmänt samhällsintresse och faktiskt är ägnad att uppnå dessa mål, i det andra ledet om rättighetsingreppen är begränsade till vad som är absolut nödvändigt, i den meningen att målen inte rimligen skulle kunna uppnås lika effektivt med andra medel som innebär ett mindre intrång i de berörda personernas grundläggande rättigheter, och i det tredje ledet om ingreppen står i rimlig proportion till de eftersträvade målen, vilket bland annat innefattar en avvägning mellan dessa mål och ingreppens allvar (se, för ett liknande resonemang, dom av den 22 november 2022, Luxembourg Business Registers, C‑37/20 och C‑601/20, EU:C:2022:912, punkt 66, och dom av den 8 december 2022, Orde van Vlaamse Balies m.fl., C‑694/20, EU:C:2022:963, punkt 42).
85 Av artikel 1 i förordning 2019/1157 framgår att syftet med förordningen är att skärpa säkerhetskraven för bland annat identitetskort som medlemsstaterna utfärdar till sina medborgare när de utövar sin rätt till fri rörlighet inom unionen.
86 Mer specifikt kan följande konstateras. Av skälen 4, 5, 17–20 och 32 i förordning 2019/1157 framgår att syftet med att införa biometriska uppgifter, däribland två hela fingeravtryck, i lagringsmediet i identitetskort är att garantera identitetskortens äkthet och att möjliggöra tillförlitlig identifiering av innehavaren. Av skälen 23 och 33 samt artikel 3.5 i förordningen framgår att denna åtgärd samtidigt bidrar till att uppnå interoperabilitet mellan olika system för kontroll av identitetshandlingar, i syfte att minska risken för förfalskning och dokumentbedrägeri.
87 EU-domstolen har dock i tidigare avgöranden, som rörde utfärdande av pass (se, för ett liknande resonemang, dom av den 17 oktober 2013, Schwarz, C‑291/12, EU:C:2013:670, punkterna 36–38) respektive upprättande av ett register för identifiering av tredjelandsmedborgare (se, för ett liknande resonemang, dom av den 3 oktober 2019, A m.fl., C‑70/18, EU:C:2019:823, punkt 46 och där angiven rättspraxis), redan slagit fast att målet att motverka dokumentbedrägeri, vilket bland annat innefattar att motverka tillverkning av falska identitetskort och identitetsstöld, utgör ett av unionen erkänt mål av allmänt samhällsintresse.
88 Även målet att uppnå interoperabilitet mellan olika system för kontroll av identitetshandlingar är ett mål av nyss nämnt slag. Såsom framgår av skäl 17 i förordning 2019/1157 bidrar detta nämligen till att underlätta för unionsmedborgarna att utöva sin rätt enligt artikel 20 FEUF att fritt röra sig och uppehålla sig inom medlemsstaternas territorier.
89 Vad gäller det nu aktuella fallet gör EU-domstolen bedömningen att åtgärden att införa två hela fingeravtryck i lagringsmediet i identitetskort är ägnad att uppnå de mål av allmänt samhällsintresse som unionslagstiftaren har anfört för att motivera denna åtgärd, det vill säga målen att motverka tillverkning av falska identitetskort och identitetsstöld samt att uppnå interoperabilitet mellan olika kontrollsystem.
90 Det ska först påpekas att införandet av biometriska uppgifter, såsom fingeravtryck, i identitetskort är en åtgärd som kan göra att det blir svårare att tillverka falska identitetskort. Av artikel 3.5 jämförd med artikel 14.1 och 14.2 i förordning 2019/1157 framgår nämligen bland annat att sådana uppgifter ska lagras i enlighet med exakta tekniska specifikationer som kan hållas hemliga.
91 Införandet av biometriska uppgifter möjliggör vidare tillförlitlig kontroll av identitetskortets äkthet och av kortinnehavarens identitet, vilket därmed minskar risken för bedrägeri. Detta framgår av artikel 11.6 samt skälen 18 och 19 i förordning 2019/1157.
92 Unionslagstiftarens val att föreskriva en skyldighet att införa hela fingeravtryck får även anses vara ägnat att uppnå målet att uppnå interoperabilitet mellan olika system för kontroll av identitetskort. Användningen av hela fingeravtryck gör det nämligen möjligt att säkerställa driftskompatibilitet mellan samtliga automatiserade system för identifiering av fingeravtryck som används av medlemsstaterna, trots att dessa system inte nödvändigtvis använder samma identifieringsmekanism.
93 Den hänskjutande domstolen har därutöver påpekat att det av artikel 3.7 första stycket i förordning 2019/1157 framgår att medlemsstaterna får undanta bland annat barn under tolv år från kravet på upptagning av fingeravtryck, samt att medlemsstaterna till och med, enligt bestämmelsens andra stycke, ska undanta barn under sex år från nämnda krav.
94 Som förutsättning för att en lagstiftning ska kunna anses vara ägnad att säkerställa att det åberopade målet uppnås gäller visserligen att de åtgärder som föreskrivs däri verkligen svarar mot en avsikt att uppnå målet och att åtgärderna genomförs på ett sammanhängande och systematiskt sätt (se, analogt, dom av den 5 december 2023, Nordic Info, C‑128/22, EU:C:2023:951, punkt 84 och där angiven rättspraxis).
95 EU-domstolen finner dock att förordning 2019/1157 uppfyller detta krav, trots att den föreskriver undantag från kravet på upptagning av fingeravtryck när det gäller barn. Av skäl 26 i förordningen framgår nämligen att dessa undantag syftar till att sätta barnets intressen i främsta rummet.
96 Detsamma gäller regeln i artikel 5 i förordning 2019/1157, av vilken framgår att identitetskort som inte uppfyller kraven i förordningens artikel 3 ska fortsätta att vara giltiga till dess att de löper ut, dock inte längre än till och med den 3 augusti 2031. Unionslagstiftaren hade nämligen rätt att anse att en sådan övergångsperiod var lämplig för att undvika att medlemsstaterna skulle behöva utfärda nya identitetskort till samtliga berörda personer under en mycket kort tidsperiod, utan att detta påverkade de långsiktiga verkningarna av de i förordningen föreskrivna åtgärderna.
97 När det gäller den omständigheten att vissa medlemsstater i sin lagstiftning föreskriver att identitetskort som de utfärdar fortsätter att vara giltiga trots att det elektroniska lagringsmediet är defekt, räcker det att påpeka att sådan lagstiftning endast är förenlig med förordning 2019/1157 så länge den i föregående punkt nämnda övergångsperioden inte har löpt ut.
98 Vad därvid först gäller själva principen att införa fingeravtryck i lagringsmediet i identitetskort, ska det påpekas att fingeravtryck utgör en tillförlitlig och effektiv metod för att med säkerhet fastställa en persons identitet och att förfarandet vid fingeravtrycksupptagning är lätt att genomföra.
99 I synnerhet ska konstateras – i likhet med vad generaladvokaten har anfört i punkt 90 i sitt förslag till avgörande – att det ur identifieringssynpunkt skulle vara mindre effektivt om lagringsmediet enbart innehöll en ansiktsbild i stället för både en ansiktsbild och två fingeravtryck, eftersom faktorer som åldrande, livsstil, sjukdom och kirurgiska ingrepp av estetisk eller rekonstruktiv art även kan förändra ett ansiktes anatomiska egenskaper.
100 I kommissionens konsekvensbedömning som åtföljde förslaget till förordning 2019/1157 angavs visserligen att det alternativ som bör föredras är att inte göra det obligatoriskt att föra in två fingeravtryck i lagringsmediet i identitetskort.
101 Här ska dock påpekas att kommissionen själv valde att inte föreslå detta alternativ i sitt lagstiftningsförslag. Härtill kommer att även om det av punkt 14 i det interinstitutionella avtalet framgår att parlamentet och rådet är skyldiga att vid behandlingen av kommissionens lagstiftningsförslag fullt ut beakta kommissionens konsekvensbedömningar, så anges i punkt 12 i avtalet att konsekvensbedömningar är ett verktyg som ska hjälpa de tre institutionerna att fatta välinformerade beslut men de kan inte ersätta politiska beslut i den demokratiska beslutsprocessen. Parlamentet och rådet är således skyldiga att beakta kommissionens konsekvensbedömningar, men de är inte bundna av deras innehåll, särskilt när det gäller de slutsatser som dras i dem (se, för ett liknande resonemang, dom av den 21 juni 2018, Polen/parlamentet och rådet, C‑5/16, EU:C:2018:483, punkt 159 och där angiven rättspraxis).
102 Det nu sagda innebär att enbart den omständigheten att unionslagstiftaren har valt en annan och, i förekommande fall, mer betungande åtgärd än den som rekommenderades i konsekvensbedömningen inte räcker för att visa att lagstiftaren har överskridit gränserna för vad som är nödvändigt för att uppnå det eftersträvade målet (se, för ett liknande resonemang, dom av den 4 maj 2016, Pillbox 38, C‑477/14, EU:C:2016:324, punkt 65).
103 Vad gäller det nu aktuella fallet ska följande påpekas. Kommissionen konstaterade i sin konsekvensbedömning att det effektivaste alternativet för att uppnå det särskilda målet att motverka tillverkningen av falska identitetskort och förbättra äkthetskontrollen av handlingar var att göra det obligatoriskt att införa fingeravtryck i lagringsmediet i identitetskort. Vid sådana förhållanden kan alternativet att inte göra detta obligatoriskt ändå inte medföra att den åtgärd som unionslagstiftaren valt att införa inte anses uppfylla kravet på nödvändighet, i den mening som avses i den rättspraxis som anges i punkt 84 ovan.
104 Vad därefter gäller införandet av två hela fingeravtryck, och inte bara vissa mätpunkter från fingeravtrycket med dess karakteristiska egenskaper, ska det för det första konstateras – i likhet med vad generaladvokaten har anfört i punkt 93 i sitt förslag till avgörande – att ett sådant urval av vissa mätpunkter inte ger samma garantier som ett helt fingeravtryck. För det andra är det nödvändigt att införa hela fingeravtryck för att säkerställa interoperabilitet mellan olika system för kontroll av identitetshandlingar, vilket utgör ett av de centrala målen med förordning 2019/1157. Såsom framgår av punkt 47 i yttrande 7/2018 använder medlemsstaterna nämligen olika tekniker för fingeravtrycksigenkänning. Detta har även den hänskjutande domstolen påpekat. Alternativet att i identitetskortets lagringsmedium endast införa vissa karakteristiska egenskaper hos fingeravtrycket skulle därmed äventyra uppnåendet av det med förordningen eftersträvade målet att säkerställa interoperabilitet mellan olika system för kontroll av identitetshandlingar.
105 Av det ovan anförda följer att de begränsningar av de i artiklarna 7 och 8 i stadgan garanterade grundläggande rättigheterna som följer av skyldigheten att införa två hela fingeravtryck i lagringsmediet inte kan anses gå utöver vad som är absolut nödvändigt.
106 Vid bedömningen av allvaret i det ingrepp som en begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna medför ska det tas hänsyn till vilken typ av personuppgifter det är fråga om, i synnerhet till att det kan vara fråga om känsliga uppgifter. Vidare ska det tas hänsyn till vilken typ av personuppgiftsbehandling det är fråga om och hur denna konkret går till, varvid det särskilt ska beaktas hur många personer som har tillgång till uppgifterna och formerna för åtkomst till dessa. I förekommande fall ska det därutöver tas hänsyn till huruvida det finns åtgärder för att förebygga risken för otillåten personuppgiftsbehandling.
107 Den nu aktuella rättighetsbegränsningen, det vill säga den begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som följer av förordning 2019/1157, kan visserligen komma att beröra ett stort antal personer. Kommissionen uppskattade i sin konsekvensbedömning detta antal till 370 miljoner av de 440 miljoner invånare som unionen då hade. Biometriska uppgifter som fingeravtryck är till sin natur särskilt känsliga och åtnjuter ett särskilt skydd i unionsrätten, såsom bland annat framgår av skäl 51 i dataskyddsförordningen.
108 Det ska dock påpekas att förordning 2019/1157 endast tillåter upptagning och lagring av två hela fingeravtryck i syfte att införa fingeravtrycken i lagringsmedium i identitetskort.
109 Det framgår dessutom av artikel 3.5 jämförd med artikel 10.3 i förordningen att när fingeravtrycken väl har införts och identitetskortet har överlämnats till den berörda personen, kommer de upptagna fingeravtrycken endast att finnas sparade på lagringsmediet i den berörda personens identitetskort, vilket i regel fysiskt innehas av den personen.
110 I förordning 2019/1157 föreskrivs även ett antal skyddsregler med syftet att begränsa riskerna för att det i samband med genomförandet av förordningen sker insamling eller användning av personuppgifter för andra ändamål än att uppnå de mål som eftersträvas med den, inte bara när det gäller de enligt förordningen obligatoriska åtgärderna som utgör personuppgiftsbehandling, utan även med avseende på de huvudsakliga typerna av behandling som kan komma att ske av fingeravtryck som är införda i lagringsmediet i identitetskort.
111 För det första ska följande konstateras vad gäller insamlingen av uppgifter. Av artikel 10.1 och 10.2 i förordning 2019/1157 framgår att biometriska kännetecken ska samlas in endast av kvalificerad och vederbörligen bemyndigad personal och att denna personal ska följa lämpliga och effektiva förfaranden för insamling av biometriska kännetecken, varvid dessa förfaranden ska vara förenliga med de rättigheter och principer som slås fast i stadgan, Europeiska konventionen om skydd för de mänskliga rättigheterna och de grundläggande friheterna och Förenta nationernas konvention om barnets rättigheter. Såsom anförts ovan i punkt 93 innehåller dessutom artikel 3.7 i förordningen särskilda regler för barn under tolv år (första och andra stycket) och för personer som det är fysiskt omöjligt att ta fingeravtryck av (tredje stycket), vilka ska undantas från kravet att lämna fingeravtryck.
112 För det andra ska följande konstateras vad gäller lagringen av uppgifter. Enligt förordning 2019/1157 är medlemsstaterna skyldiga att lagra en ansiktsbild och två fingeravtryck som biometriska uppgifter. I detta avseende anges uttryckligen i skäl 21 i förordningen att denna inte utgör någon rättslig grund för att upprätta eller underhålla databaser på nationell nivå för lagring av biometriska uppgifter i medlemsstaterna, vilket är en fråga för nationell rätt som måste vara förenlig med unionsrätten avseende dataskydd och inte heller utgör någon rättslig grund för att upprätta eller underhålla en centraliserad databas på unionsnivå. Vidare föreskrivs i artikel 10.3 i förordningen att dessa biometriska kännetecken [ska] förvaras … endast fram till den dag då handlingen hämtas ut, dock aldrig längre än 90 dagar från den dag då handlingen utfärdats och att [e]fter denna tidsperiod ska de biometriska kännetecknen omedelbart raderas eller förstöras.
113 Av detta följer bland annat att artikel 10.3 i förordning 2019/1157 utgör hinder för att medlemsstaterna behandlar biometriska uppgifter för andra ändamål än de som föreskrivs i förordningen. Denna bestämmelse utgör även hinder för en centraliserad lagring av fingeravtryck som går utöver den tillfälliga lagringen av fingeravtryck för personalisering av identitetskort.
114 Slutligen framgår av artikel 11.6 i förordning 2019/1157 att biometriska uppgifter som finns lagrade i det säkra lagringsmediet kan komma att användas, i enlighet med unionsrätten och nationell rätt, av vederbörligen bemyndigad personal vid behöriga nationella myndigheter och unionsbyråer.
115 Enligt artikel 11.6 a i förordningen får biometriska uppgifter som finns lagrade i lagringsmediet i identitetskort och uppehållshandlingar endast användas i syfte att kontrollera identitetskortets eller uppehållshandlingens äkthet.
116 Enligt artikel 11.6 b i förordningen får biometriska uppgifter som finns lagrade i lagringsmediet i identitetskort och uppehållshandlingar användas för att kontrollera innehavarens identitet genom direkt tillgängliga jämförbara detaljer, när uppvisande av identitetskort eller uppehållshandling krävs enligt lag eller annan författning. En sådan uppgiftsbehandling är dock av sådant slag att den kan ge ytterligare information om de berörda personernas privatliv och den får således endast ske för ändamål som är strikt begränsade till att identifiera den berörda personen och under vissa klart avgränsade förutsättningar i den lag som innehåller kravet på uppvisande av identitetskort eller uppehållshandling.
117 För det tredje ska följande konstateras vad gäller sökning på biometriska uppgifter som finns lagrade på lagringsmedium i identitetskort. I skäl 19 i förordning 2019/1157 fastställs en prioritetsordning för sätten att kontrollera handlingens äkthet och innehavarens identitet. Där anges nämligen att medlemsstaterna i första hand [ska] kontrollera ansiktsbilden och att de ska kontrollera fingeravtrycken endast om detta behövs för att med säkerhet bekräfta handlingens äkthet och innehavarens identitet.
118 För det fjärde ska följande konstateras vad gäller risken för otillåten åtkomst till lagrade uppgifter. Av artikel 3.5 och 3.6 i förordning 2019/1157 framgår att denna risk ska minimeras genom att fingeravtryck ska lagras på ett mycket säkert lagringsmedium med tillräcklig kapacitet och möjlighet att garantera uppgifternas integritet, äkthet och sekretess. Härtill kommer att det i artikel 3.10 i förordning 2019/1157 anges att om medlemsstaterna lagrar uppgifter avsedda för elektroniska tjänster, såsom e-förvaltning och e-handel, i identitetskorten ska sådana nationella uppgifter fysiskt eller logiskt separeras bland annat från fingeravtryck som samlats in och lagrats med stöd av förordningen. Slutligen framgår det av skälen 41 och 42 samt artikel 11.4 i förordningen att det även fortsättningsvis är medlemsstaterna som är ansvariga för korrekt behandling av biometriska uppgifter, även när de samarbetar med externa tjänsteleverantörer.
119 Såsom anförts ovan i punkt 86 syftar åtgärden att införa två fingeravtryck i lagringsmediet i identitetskort till att motverka tillverkning av falska identitetskort och identitetsstöld samt till att säkerställa interoperabilitet mellan olika system för kontroll av identitetshandlingar. Åtgärden är i så måtto ägnad att bidra till att skydda de berörda personernas privatliv och, i ett större perspektiv, till att motverka brottslighet och terrorism.
120 Den gör det dessutom möjligt att tillgodose alla unionsmedborgares behov av att kunna identifiera sig på ett tillförlitligt sätt och medlemsstaternas behov av att förvissa sig om att personer som gör gällande unionsrättsliga rättigheter verkligen har dessa rättigheter. Åtgärden bidrar därmed i synnerhet till att underlätta för unionsmedborgarna att utöva sin rätt att fritt röra sig och uppehålla sig inom unionen, vilken även slås fast som en grundläggande rättighet i artikel 45 i stadgan. Det nu sagda innebär att de mål som eftersträvas med förordning 2019/1157, bland annat genom åtgärden att införa två fingeravtryck i lagringsmediet i identitetskort, är av särskild betydelse inte bara för unionen och medlemsstaterna, utan även för unionsmedborgarna.
121 Någon annan bedömning av de eftersträvade målens legitimitet och betydelse föranleds inte av den av den hänskjutande domstolen angivna omständigheten att datatillsynsmannen i punkterna 24–26 i yttrande 7/2018 påpekade att endast 38870 fall av förfalskade identitetskort ska ha konstaterats mellan år 2013 och år 2017 och att detta antal hade varit avtagande sedan flera år tillbaka.
122 Även om man skulle anse att antalet förfalskade identitetskort vid den aktuella tiden var lågt, var unionslagstiftaren nämligen inte skyldig att vänta på att detta antal skulle öka för att vidta åtgärder för att förebygga risken för användning av förfalskade identitetskort. Tvärtom hade lagstiftaren, bland annat av riskhanteringsskäl, rätt att förekomma en sådan utveckling, under förutsättning att de övriga kraven enligt proportionalitetsprincipen var uppfyllda.
123 Mot bakgrund av det ovan anförda finner EU-domstolen att den begränsning av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna som följer av åtgärden att införa två fingeravtryck i lagringsmediet i identitetskort – bedömd utifrån vilken typ av uppgifter som berörs, vilka typer av uppgiftsbehandling som kan bli aktuella och hur de går till samt vilka skyddsregler som föreskrivs – inte kan anses vara oproportionerligt allvarlig i förhållande till betydelsen av de olika mål som eftersträvas med denna åtgärd. Den aktuella åtgärden får därmed anses vara grundad på en balanserad avvägning mellan å ena sidan de eftersträvade målen och å andra sidan de grundläggande rättigheter som berörs.
124 Begränsningen av de i artiklarna 7 och 8 i stadgan garanterade rättigheterna strider följaktligen inte mot proportionalitetsprincipen, vilket innebär att den ovan nämnda tredje ogiltighetsgrunden inte är ägnad att medföra att förordning 2019/1157 är ogiltig.
125 Med beaktande av allt det ovan anförda finner EU-domstolen att förordning 2019/1157 är ogiltig i det att den har antagits med stöd av artikel 21.2 FEUF.
126 Av rättssäkerhetsskäl kan det beslutas att verkningarna av en rättsakt som förklarats sakna giltighet ska bestå. Detta gäller särskilt i fall där de som berörs skulle drabbas av allvarliga negativa konsekvenser om domen om ogiltigförklaring hade omedelbara verkningar (se, för ett liknande resonemang, dom av den 17 mars 2016, parlamentet/kommissionen, C‑286/14, EU:C:2016:183, punkt 67).
127 Vad gäller det nu aktuella fallet kan följande konstateras. Om förordning 2019/1157 förklarades sakna giltighet med omedelbar verkan skulle detta kunna medföra allvarliga negativa konsekvenser för ett stort antal unionsmedborgare och för deras säkerhet inom området med frihet, säkerhet och rättvisa.
128 Vid sådana förhållanden beslutar EU-domstolen att verkningarna av förordning 2019/1157 ska bestå till dess att en ny – med stöd av artikel 77.3 FEUF antagen – förordning som ersätter den träder i kraft, vilket ska ske inom skälig tid, dock senast inom två år räknat från den 1 januari året efter det att denna dom meddelas.
129 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
1 Rättegångsspråk: tyska.