Affaire C-61/22

M. Detlev Sieber

contre

Landeshauptstadt Wiesbaden

(demande de décision préjudicielle, introduite par le Verwaltungsgericht Wiesbaden)

Arrêt de la Cour (grande chambre) du 21 mars 2024

« Renvoi préjudiciel – Règlement (UE) 2019/1157 – Renforcement de la sécurité des cartes d’identité des citoyens de l’Union européenne – Validité – Base juridique – Article 21, paragraphe 2, TFUE – Article 77, paragraphe 3, TFUE – Règlement (UE) 2019/1157 – Article 3, paragraphe 5 – Obligation pour les États membres d’intégrer dans le support de stockage des cartes d’identité deux empreintes digitales dans des formats numériques interopérables – Article 7 de la charte des droits fondamentaux de l’Union européenne – Respect de la vie privée et familiale – Article 8 de la charte des droits fondamentaux – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 35 – Obligation de procéder à une analyse d’impact relative à la protection des données – Maintien des effets d’un règlement déclaré invalide dans le temps  »

1. Actes des institutions – Choix de la base juridique – Critères – Existence d’une base juridique spécifique – Règlement relatif au renforcement de la sécurité des documents d’identité des citoyens de l’Union et de séjour délivrés auxdits citoyens et aux membres de leur famille exerçant leur droit à la libre circulation – Adoption sur le fondement des dispositions spécifiques de l’article 77, paragraphe 3, TFUE et non de l’article 21, paragraphe 2, TFUE

   (Art. 21, § 2, et 77, § 3, TFUE ; règlement du Parlement européen et du Conseil 2019/1157)

   (voir points 46, 49-56, 61)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Obligation, pour le responsable d’un traitement de données à caractère personnel pouvant engendrer un risque élevé pour les droits et libertés des personnes physiques, d’effectuer une analyse d’impact préalable – Obligation n’ayant pas vocation à s’appliquer pour l’adoption d’un règlement ne procédant lui-même à aucun traitement de données à caractère personnel – Violation – Absence

   (Règlements du Parlement européen et du Conseil 2016/679, art. 35, § 1 et 10, et 2019/1157)

   (voir points 66, 67)

3. Droits fondamentaux – Charte des droits fondamentaux – Respect de la vie privée – Protection des données à caractère personnel – Prélèvement et stockage des empreintes digitales dans les cartes d’identité des citoyens de l’Union – Inclusion – Atteintes aux droits reconnus par les articles 7 et 8 de la charte

   (Charte des droits fondamentaux de l’Union européenne, art. 7 et 8 ; règlement du Parlement européen et du Conseil 2019/1157, art. 3, § 5)

   (voir points 70, 72, 73)

4. Droits fondamentaux – Charte des droits fondamentaux – Respect de la vie privée – Protection des données à caractère personnel – Règlement relatif au renforcement de la sécurité des documents d’identité des citoyens de l’Union et de séjour délivrés auxdits citoyens et aux membres de leur famille exerçant leur droit à la libre circulation – Prélèvement et stockage des empreintes digitales dans les cartes d’identité des citoyens de l’Union – Ingérence dans ces droits fondamentaux – Limitations à l’exercice de ces droits – Admissibilité – Conditions

   (Charte des droits fondamentaux de l’Union européenne, art. 7, 8 et 52, § 1 ; règlement du Parlement européen et du Conseil 2019/1157, art. 3, § 5)

   (voir points 75, 76, 79, 81, 84, 90-92, 98-101, 104, 108-110, 119, 120, 123, 124)

5. Questions préjudicielles – Appréciation de validité – Déclaration d’invalidité d’un règlement – Déclaration d’invalidité du règlement relatif au renforcement de la sécurité des documents d’identité des citoyens de l’Union et de séjour délivrés auxdits citoyens et aux membres de leur famille exerçant leur droit à la libre circulation – Effets – Limitation dans le temps

   (Règlement du Parlement européen et du Conseil 2019/1157)

   (voir points 126-128, disp. 1 et 2)

Résumé

Saisie d’un renvoi préjudiciel par le Verwaltungsgericht Wiesbaden (tribunal administratif de Wiesbaden, Allemagne), la Cour, réunie en grande chambre, déclare invalide le règlement 2019/1157 ( 1 ), relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union, en ce qu’il a été adopté sur une base juridique erronée. Elle constate toutefois que l’insertion obligatoire dans les cartes d’identité de deux empreintes digitales, prévue par ce règlement, est compatible notamment avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel. La Cour en maintient donc les effets jusqu’à l’entrée en vigueur d’un nouveau règlement, fondé sur la base juridique spécifique appropriée, appelé à le remplacer.

En novembre 2021, le requérant au principal a sollicité de la ville de Wiesbaden ( 2 ) la délivrance d’une nouvelle carte d’identité en demandant que celle-ci ne contienne pas ses empreintes digitales. La ville de Wiesbaden a rejeté ladite demande au motif, notamment, que, depuis le 2 août 2021, l’intégration de deux empreintes digitales dans le support de stockage des cartes d’identité est obligatoire en vertu de la disposition de droit national qui transpose, en substance, l’article 3, paragraphe 5, du règlement 2019/1157.

Le 21 décembre 2021, le requérant au principal a introduit devant la juridiction de renvoi un recours contre la décision de la ville de Wiesbaden afin qu’il soit fait injonction à cette dernière de lui délivrer une carte d’identité sans que ses empreintes digitales ne soient collectées.

Doutant de la légalité des motifs de la décision attaquée, car notamment se demandant si la validité du règlement 2019/1157 ne serait pas elle-même contestable, la juridiction de renvoi a sursis à statuer pour demander à la Cour si ce règlement est invalide aux motifs que, premièrement, il aurait été adopté à tort sur le fondement de l’article 21, paragraphe 2, TFUE au lieu de l’article 77, paragraphe 3, TFUE, deuxièmement, il violerait le règlement général sur la protection des données ( 3 ), et, troisièmement, il méconnaîtrait les articles 7 et 8 de la charte des droits fondamentaux de l’Union européenne ( 4 ).

Appréciation de la Cour

Sur le premier motif d’invalidité, tiré du recours à une base juridique erronée

En ce qui concerne les champs d’application respectifs de l’article 21, paragraphe 2, TFUE et de l’article 77, paragraphe 3, TFUE, la Cour relève que la compétence conférée à l’Union par la première de ces deux dispositions pour adopter les dispositions nécessaires aux fins de faciliter l’exercice du droit des citoyens de l’Union de circuler et de séjourner librement sur le territoire des États membres ( 5 ), l’est sous réserve des pouvoirs d’action prévus à cet effet par les traités. Or, l’article 77, paragraphe 3, TFUE ( 6 ) prévoit explicitement de tels pouvoirs d’action en ce qui concerne l’adoption de dispositions concernant les passeports, les cartes d’identité, les titres de séjour ou tout autre document assimilé délivrés aux citoyens de l’Union aux fins de faciliter l’exercice du droit de libre circulation et de séjour.

Certes, cette seconde disposition relève du titre du TFUE consacré à l’espace de liberté, de sécurité et de justice, et du chapitre intitulé « Politiques relatives aux contrôles aux frontières, à l’asile et à l’immigration ». Toutefois, il résulte de l’article 77, paragraphe 1, TFUE que l’Union développe une politique visant à assurer tant l’absence de tout contrôle des personnes, quelle que soit leur nationalité, lorsqu’elles franchissent les frontières intérieures, que le contrôle des personnes et la surveillance efficace du franchissement des frontières extérieures, ainsi qu’à mettre en place progressivement un système intégré de gestion de ces frontières. Or, les dispositions ( 7 ) visées à l’article 77, paragraphe 3, TFUE font partie intégrante d’une telle politique de l’Union. En effet, s’agissant des citoyens de l’Union, ces documents leur permettent notamment d’attester de leur qualité de bénéficiaires du droit de libre circulation et de séjour, et donc d’exercer ce droit. Partant, l’article 77, paragraphe 3, est susceptible de fonder l’adoption de mesures relatives auxdits documents si une telle action apparaît nécessaire pour faciliter l’exercice du droit de libre circulation et de séjour.

Cette interprétation de la portée de l’article 77, paragraphe 3, TFUE n’est infirmée ni par l’évolution historique des traités en matière de compétence de l’Union pour adopter des mesures relatives, notamment, aux passeports et aux cartes d’identité, ni par le fait que cette disposition prévoit qu’elle s’applique « sauf si les traités ont prévu des pouvoirs d’action à cet effet ».

À cet égard, la Cour relève, d’une part, que, certes, le traité de Lisbonne a supprimé la disposition ( 8 ) qui excluait expressément la possibilité pour le législateur de l’Union de recourir à l’article 18, paragraphe 2, CE (devenu l’article 21, paragraphe 2, TFUE) comme base juridique pour l’adoption, notamment, des « dispositions concernant les passeports [et] les cartes d’identité ». Toutefois, dans le même temps, ce traité a conféré expressément à l’Union un pouvoir d’action dans ce domaine, à l’article 77, paragraphe 3, TFUE, soumettant l’adoption des mesures dans ledit domaine à une procédure législative spéciale et notamment à l’unanimité au Conseil.

Dans ces conditions, ladite suppression ne saurait impliquer qu’il serait dorénavant possible d’adopter des dispositions concernant les passeports et les cartes d’identité sur le fondement de l’article 21, paragraphe 2, TFUE. Au contraire, selon la Cour, il résulte de l’évolution historique que, par l’article 77, paragraphe 3, TFUE, les auteurs des traités ont entendu conférer à l’Union, pour l’adoption de telles dispositions visant à faciliter l’exercice du droit de libre circulation et de séjour, une compétence plus spécifique que la compétence plus générale prévue à l’article 21, paragraphe 2, TFUE.

D’autre part, la Cour interprète l’indication selon laquelle l’article 77, paragraphe 3, TFUE s’applique « sauf si les traités ont prévu des pouvoirs d’action à cet effet », en ce sens que les pouvoirs d’action visés sont ceux conférés non pas par une disposition de portée plus générale, telle que l’article 21, paragraphe 2, TFUE, mais par une disposition encore plus spécifique.

La Cour en déduit que le règlement 2019/1157 ne pouvait être adopté sur le fondement de l’article 21, paragraphe 2, TFUE qu’à la condition que la finalité ou la composante principale ou prépondérante de ce règlement se situe en dehors du champ d’application spécifique de l’article 77, paragraphe 3, TFUE, qui concerne, aux fins de faciliter l’exercice du droit de libre circulation et de séjour, la délivrance des passeports, des cartes d’identité, des titres de séjour ou de tout autre document assimilé.

Or, il découle de la finalité et des composantes principales du règlement 2019/1157 que celui-ci relève du champ d’application spécifique de l’article 77, paragraphe 3, TFUE. Partant, en adoptant ce règlement sur la base de l’article 21, paragraphe 2, TFUE, et en application de la procédure législative ordinaire, le législateur de l’Union a eu recours à une base juridique erronée, ce qui est de nature à entraîner l’invalidité dudit règlement.

Sur le deuxième motif d’invalidité, tiré de la méconnaissance de l’article 35, paragraphe 10, du RGPD

Relevant que le règlement 2019/1157 ne procède à aucune opération appliquée à des données à caractère personnel, mais se borne à prévoir l’accomplissement par les États membres de certains traitements en cas de demande de carte d’identité, la Cour constate que l’article 35, paragraphe 1, du RGPD ( 9 ) n’avait pas vocation à s’appliquer lors de l’adoption du règlement 2019/1157. L’article 35, paragraphe 10, du RGPD instituant une dérogation à cette dernière disposition, l’adoption du règlement 2019/1157 n’a donc pu méconnaître ledit article 35, paragraphe 10.

Sur le troisième motif d’invalidité, tiré de la méconnaissance des articles 7 et 8 de la Charte

En premier lieu, la Cour relève que l’obligation d’intégrer deux empreintes digitales complètes dans le support de stockage des cartes d’identité délivrées par les États membres, prévue à l’article 3, paragraphe 5, du règlement 2019/1157, constitue une limitation tant du droit au respect de la vie privée que du droit à la protection des données à caractère personnel, consacrés respectivement aux articles 7 et 8 de la Charte ( 10 ). En outre, cette obligation implique la réalisation préalable de deux opérations de traitement de données à caractère personnel successives, à savoir la collecte desdites empreintes auprès de la personne concernée ainsi que leur stockage provisoire aux fins de la personnalisation des cartes d’identité qui constituent également des limitations des droits consacrés aux articles 7 et 8 de la Charte.

En second lieu, la Cour examine si les limitations en cause sont justifiées et proportionnées.

À cet égard, elle considère, d’une part, que les limitations en cause satisfont au principe de légalité et ne portent pas atteinte au contenu essentiel des droits fondamentaux consacrés aux articles 7 et 8 de la Charte.

D’autre part, en ce qui concerne le principe de proportionnalité, la Cour précise, premièrement, que la mesure en cause poursuit plusieurs objectifs d’intérêt général reconnus par l’Union, à savoir la lutte contre la fabrication de fausses cartes d’identité et l’usurpation d’identité, ainsi que l’interopérabilité des systèmes de vérification, et qu’elle est apte à réaliser ces objectifs. En effet, l’intégration des empreintes digitales dans les cartes d’identité rend plus difficile la fabrication de fausses cartes d’identité. Elle permet également de vérifier, de manière fiable, l’authenticité de la carte d’identité et l’identité du titulaire de la carte, réduisant ainsi le risque de fraude. Quant à l’objectif d’interopérabilité des systèmes de vérification des cartes d’identité, le recours aux empreintes digitales complètes permet d’assurer une compatibilité avec l’ensemble des systèmes automatisés d’identification des empreintes digitales utilisés par les États membres, alors même que de tels systèmes n’ont pas nécessairement recours au même mécanisme d’identification.

Deuxièmement, la Cour considère que les limitations en cause respectent les limites du strict nécessaire afin de réaliser les objectifs poursuivis.

En effet, s’agissant du principe même d’intégrer des empreintes digitales dans le support de stockage des cartes d’identité, il s’agit d’un moyen fiable et efficace pour établir avec certitude l’identité d’une personne. En particulier, la seule insertion d’une image faciale constituerait un moyen d’identification moins efficace que l’insertion, en sus de cette image, de deux empreintes digitales, puisque différents facteurs peuvent altérer les caractéristiques anatomiques du visage. Le procédé utilisé pour collecter ces empreintes est, en outre, simple à mettre en œuvre.

Quant à l’intégration de deux empreintes digitales complètes plutôt que de certains des points caractéristiques de ces empreintes, outre que cette seconde option ne présenterait pas les mêmes garanties qu’une empreinte complète, l’intégration d’une empreinte complète est également nécessaire à l’interopérabilité des systèmes de vérification des documents d’identification. En effet, les États membres utilisent différentes technologies d’identification des empreintes digitales. Le fait de n’intégrer dans le support de stockage de la carte d’identité que certaines des caractéristiques d’une empreinte digitale compromettrait donc la réalisation de l’objectif d’interopérabilité.

Troisièmement, la Cour estime que, compte tenu de la nature des données en cause, de la nature et des modalités des opérations de traitement ainsi que des mécanismes de sauvegarde prévus, les limitations ainsi portées aux droits fondamentaux consacrés aux articles 7 et 8 de la Charte ne sont pas d’une gravité qui serait disproportionnée par rapport à l’importance des objectifs poursuivis, mais que, au contraire, la mesure en cause est fondée sur une pondération équilibrée entre, d’une part, les objectifs qu’elle poursuit et, d’autre part, les droits fondamentaux en présence.

( 1 ) Règlement (UE) 2019/1157 du Parlement européen et du Conseil, du 20 juin 2019, relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et des documents de séjour délivrés aux citoyens de l’Union et aux membres de leur famille exerçant leur droit à la libre circulation (JO 2019, L 188, p. 67).

( 2 ) Landeshauptstadt Wiesbaden (ville de Wiesbaden, capitale de Land, Allemagne).

( 3 ) Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

( 4 ) Ci-après la « Charte ». Ces dispositions sont relatives, respectivement, au respect de la vie privée et familiale et à la protection des données à caractère personnel.

( 5 ) Droit visé à l’article 20, paragraphe 2, sous a), TFUE. Ci-après le « droit de libre circulation et de séjour ».

( 6 ) Aux termes de cette disposition, « [s]i une action de l’Union apparaît nécessaire pour faciliter l’exercice du droit, visé à l’article 20, paragraphe 2, point a), et sauf si les traités ont prévu des pouvoirs d’action à cet effet, le Conseil, statuant conformément à une procédure législative spéciale, peut arrêter des dispositions concernant les passeports, les cartes d’identité, les titres de séjour ou tout autre document assimilé. Le Conseil statue à l’unanimité, après consultation du Parlement européen ».

( 7 ) À savoir, les dispositions concernant les passeports et les cartes d’identité, les titres de séjour ou tout autre document assimilé (ci-après les « dispositions concernant les passeports et les cartes d’identité »).

( 8 ) Auparavant énoncée à l’article 18, paragraphe 3, CE.

( 9 ) Cette disposition prévoit l’obligation, pour le responsable d’un traitement de données à caractère personnel susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques, d’effectuer, avant le traitement, une analyse de l’impact des opérations de traitement envisagées sur la protection des données à caractère personnel.

( 10 ) Ces limitations de l’exercice des droits fondamentaux garantis aux articles 7 et 8 de la Charte, d’une part, et l’obligation d’intégrer deux empreintes digitales complètes dans le support de stockage des cartes d’identité, d’autre part, seront désignées ci-après, respectivement, par « les limitations en cause » et « la mesure en cause ».