Dans un arrêt du 21 mars 2024 (C-61/22), la Cour de justice de l’Union européenne a retenu que l’insertion obligatoire de deux empreintes digitales dans les cartes d’identité nationales est justifiée par la lutte contre la fraude et l’usurpation d’identité.
Cependant, la Cour de justice invalide le règlement prévoyant cette mesure, ce dernier ayant été adopté sur la mauvaise base juridique. Le règlement maintiendra néanmoins ses effets jusqu’au 31 décembre 2026 au plus tard, permettant ainsi au législateur européen d’adopter un règlement sur la bonne base juridique.
Le 30 novembre 2021, un citoyen allemand sollicitait de la ville de Wiesbaden la délivrance d’une nouvelle carte d’identité, au motif que la puce électronique de son ancienne carte était défectueuse. Il demandait que la nouvelle carte ne contienne pas ses empreintes digitales.
La ville a rejeté cette demande en se fondant notamment sur l’obligation posée depuis le 2 août 2021 par l’article 3, paragraphe 5, du règlement 2019/1157, transposée en droit allemand.
Le 21 décembre 2021, le citoyen a introduit un recours devant le tribunal administratif de Wiesbaden, en Allemagne (Verwaltungsgericht Wiesbaden), afin de contester le refus opposé par la ville de lui délivrer une nouvelle carte d’identité sans que ses empreintes digitales ne soient collectées et pour qu’il soit fait injonction à la ville de lui délivrer sa carte.
Par décision du 13 janvier 2022, la justice allemande a posé une question préjudicielle à la Cour de justice de l’Union européenne, au titre de l’article 267 du Traité sur le fonctionnement de l’Union européenne (TFUE). Il était demandé à la Cour de vérifier la validité du règlement (UE) 2019/1157 du Parlement européen et du Conseil du 20 juin 2019, relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et des documents de séjour délivrés aux citoyens de l’Union et aux membres de leur famille exerçant leur droit à la libre circulation. En particulier, l’article intéressant le litige était l’article 3, paragraphe 5, qui prévoyait l’obligation d’insérer deux empreintes digitales dans le support de stockage des cartes d’identité :
Les cartes d’identité intègrent un support de stockage hautement sécurisé qui contient une image faciale du titulaire de la carte et deux empreintes digitales dans des formats numériques interopérables. Pour le recueil des éléments d’identification biométriques, les États membres appliquent les spécifications techniques établies par la décision d’exécution C(2018)7767 de la Commission[, du 30 novembre 2018, établissant les spécifications techniques du modèle uniforme de titre de séjour pour les ressortissants de pays tiers, et abrogeant la décision C(2002)3069].
Dans un premier temps, la Cour reconnaît que l’obligation d’insérer deux empreintes digitales complètes dans le support de stockage des cartes d’identité constitue une limitation des droits fondamentaux garantis par la Charte des droits fondamentaux de l’Union européenne et le RGPD. Les droits affectés sont le droit au respect de la vie privée, et la protection des données à caractère personnel. En effet, les données biométriques requises, à savoir une image faciale et deux empreintes digitales, sont des données à caractère personnel qui permettent l’identification précise des personnes physiques concernées et revêtent une sensibilité particulière.
Néanmoins, dans un second temps, les juges européens précisent que cette insertion est justifiée par les objectifs d’intérêt général reconnu par l’Union de réduire le risque de falsification et de fraude documentaire, un tel dispositif permettrait d’assurer l’interopérabilité des systèmes de vérification.
La Cour opère également un contrôle de proportionnalité, prévu par l’article 52 paragraphe 1 de la Charte des droits fondamentaux de l’Union, et juge que la mesure est apte, nécessaire et non proportionnée à la réalisation des objectifs de lutter contre la fabrication de fausses cartes d’identité et l’usurpation d’identité. En outre, les données sont traitées à des fins déterminées et sur la base du consentement de la personne concernée, tel que le requiert l’article 8 de la Charte. De plus, le règlement prévoit un ensemble de garanties visant à limiter les risques que des données personnelles soient collectées ou utilisées à d’autres fins que la réalisation des objectifs poursuivis. A ce titre, une fois l’intégration des empreintes réalisée et la carte d’identité remise au citoyen, les données biométriques collectées sont conservées uniquement dans le support de stockage de ladite carte, laquelle est en principe, physiquement détenue par cette personne.
Les juges admettent même que cette obligation serait de nature à contribuer à la protection de la vie privée des personnes et plus largement, à la lutte contre la criminalité et le terrorisme. Une identification plus fiable des citoyens de l’Union permettrait également de leur faciliter l’exercice de leurs droits à la liberté de circulation et de séjour dans l’Union européenne, consacrés à l’article 45 de la Charte.
La Cour conclut ainsi que :
il doit être constaté que la limitation de l’exercice des droits garantis aux articles 7 et 8 de la Charte résultant de l’intégration de deux empreintes digitales dans le support de stockage des cartes d’identité n’apparaît pas être, compte tenu de la nature des données en cause, de la nature et des modalités des opérations de traitement ainsi que des mécanismes de sauvegarde prévus, d’une gravité qui serait disproportionnée par rapport à l’importance des différents objectifs que cette mesure poursuit. Ainsi, une telle mesure doit être considérée comme étant fondée sur une pondération équilibrée entre, d’une part, ces objectifs et, d’autre part, les droits fondamentaux en présence. [1]
La Cour précise dans son arrêt que la seule insertion d’une image faciale constituerait un moyen d’identification moins efficace que celle de deux empreintes digitales, en sus de cette image. En effet, plusieurs éléments peuvent altérer les caractéristiques anatomiques du visage, telles que le vieillissement, le mode de vie, la maladie ou bien même, une intervention chirurgicale.
Cependant, l’arrêt rappelle l’ordre de priorité posé par le règlement 2019/1157 en son considérant 19 : les Etats membres doivent vérifier en priorité l’image faciale et, seulement dans le cas où cela s’avèrerait nécessaire afin de confirmer sans aucun doute l’authenticité du document et l’identité du titulaire, ils pourront vérifier les empreintes digitales.
Le règlement de l’Union européenne 2019/1157 du 20 juin 2019 instaurant cette obligation avait toutefois été adopté sur la mauvaise base juridique et de fait, selon la mauvaise procédure législative. En effet, le règlement avait été adopté selon la procédure ordinaire, basée sur l’article 21 paragraphe 2 du TFUE, au lieu d’une procédure législative spéciale exigeant l’unanimité au Conseil, fondée sur l’article 77 paragraphe 3 du TFUE.
Afin de limiter les conséquences négatives graves sur les citoyens de l’Union que pourrait avoir l’invalidation du règlement avec effet immédiat, ainsi que pour préserver la sûreté des citoyens dans l’espace de liberté, de sécurité et de justice, la Cour a décidé de maintenir les effets du règlement jusqu’à l’entrée en vigueur d’un nouveau règlement. Ce nouveau règlement, qui serait cette fois adopté selon la procédure adéquate, devra être adopté au plus tard le 31 décembre 2026.
[1] Point 123 de la décision C-61/22
Vous souhaitez bénéficier d'une démonstration de la plateforme Livv.eu ?
Dans vos bureaux ou en visio, nos équipes s'adaptent à vos besoins.
Accédez à toute l'intelligence du droit des affaires
Inscrivez-vous gratuitement sur Livv et bénéficiez de notre expertise en droit des affaires.
Inscrivez-vous à la newsletter Livv
et recevez chaque semaine des informations exclusives en droit des affaires
