L’insertion obligatoire dans les cartes d’identité de deux empreintes digitales est compatible avec les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel

Cependant, la Cour de justice invalide le règlement prévoyant cette mesure, ce dernier ayant été adopté sur la mauvaise base juridique. Le règlement maintiendra néanmoins ses effets jusqu’au 31 décembre 2026 au plus tard, permettant ainsi au législateur européen d’adopter un règlement sur la bonne base juridique.
‍

Le contexte

Le 30 novembre 2021, un citoyen allemand sollicitait de la ville de Wiesbaden la délivrance d’une nouvelle carte d’identité, au motif que la puce électronique de son ancienne carte était défectueuse. Il demandait que la nouvelle carte ne contienne pas ses empreintes digitales.

La ville a rejeté cette demande en se fondant notamment sur l’obligation posée depuis le 2 août 2021 par l’article 3, paragraphe 5, du règlement 2019/1157, transposée en droit allemand.

Le 21 décembre 2021, le citoyen a introduit un recours devant le tribunal administratif de Wiesbaden, en Allemagne (Verwaltungsgericht Wiesbaden), afin de contester le refus opposé par la ville de lui délivrer une nouvelle carte d’identité sans que ses empreintes digitales ne soient collectées et pour qu’il soit fait injonction à la ville de lui délivrer sa carte.

Par décision du 13 janvier 2022, la justice allemande a posé une question préjudicielle à la Cour de justice de l’Union européenne, au titre de l’article 267 du Traité sur le fonctionnement de l’Union européenne (TFUE). Il était demandé à la Cour de vérifier la validité du règlement (UE) 2019/1157 du Parlement européen et du Conseil du 20 juin 2019, relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et des documents de séjour délivrés aux citoyens de l’Union et aux membres de leur famille exerçant leur droit à la libre circulation. En particulier, l’article intéressant le litige était l’article 3, paragraphe 5, qui prévoyait l’obligation d’insérer deux empreintes digitales dans le support de stockage des cartes d’identité :

Les cartes d’identité intègrent un support de stockage hautement sécurisé qui contient une image faciale du titulaire de la carte et deux empreintes digitales dans des formats numériques interopérables. Pour le recueil des éléments d’identification biométriques, les États membres appliquent les spécifications techniques établies par la décision d’exécution C(2018)7767 de la Commission[, du 30 novembre 2018, établissant les spécifications techniques du modèle uniforme de titre de séjour pour les ressortissants de pays tiers, et abrogeant la décision C(2002)3069].‍

Une mise en balance des atteintes aux droits fondamentaux, et de leur protection

Dans un premier temps, la Cour reconnaît que l’obligation d’insérer deux empreintes digitales complètes dans le support de stockage des cartes d’identité constitue une limitation des droits fondamentaux garantis par la Charte des droits fondamentaux de l’Union européenne et le RGPD. Les droits affectés sont le droit au respect de la vie privée, et la protection des données à caractère personnel. En effet, les données biométriques requises, à savoir une image faciale et deux empreintes digitales, sont des données à caractère personnel qui permettent l’identification précise des personnes physiques concernées et revêtent une sensibilité particulière.

Néanmoins, dans un second temps, les juges européens précisent que cette insertion est justifiée par les objectifs d’intérêt général reconnu par l’Union de réduire le risque de falsification et de fraude documentaire, un tel dispositif permettrait d’assurer l’interopérabilité des systèmes de vérification.

La Cour opère également un contrôle de proportionnalité, prévu par l’article 52 paragraphe 1 de la Charte des droits fondamentaux de l’Union, et juge que la mesure est apte, nécessaire et non proportionnée à la réalisation des objectifs de lutter contre la fabrication de fausses cartes d’identité et l’usurpation d’identité. En outre, les données sont traitées à des fins déterminées et sur la base du consentement de la personne concernée, tel que le requiert l’article 8 de la Charte. De plus, le règlement prévoit un ensemble de garanties visant à limiter les risques que des données personnelles soient collectées ou utilisées à d’autres fins que la réalisation des objectifs poursuivis. A ce titre, une fois l’intégration des empreintes réalisée et la carte d’identité remise au citoyen, les données biométriques collectées sont conservées uniquement dans le support de stockage de ladite carte, laquelle est en principe, physiquement détenue par cette personne.

Les juges admettent même que cette obligation serait de nature à contribuer à la protection de la vie privée des personnes et plus largement, à la lutte contre la criminalité et le terrorisme. Une identification plus fiable des citoyens de l’Union permettrait également de leur faciliter l’exercice de leurs droits à la liberté de circulation et de séjour dans l’Union européenne, consacrés à l’article 45 de la Charte.

La Cour conclut ainsi que :

il doit être constaté que la limitation de l’exercice des droits garantis aux articles 7 et 8 de la Charte résultant de l’intégration de deux empreintes digitales dans le support de stockage des cartes d’identité n’apparaît pas être, compte tenu de la nature des données en cause, de la nature et des modalités des opérations de traitement ainsi que des mécanismes de sauvegarde prévus, d’une gravité qui serait disproportionnée par rapport à l’importance des différents objectifs que cette mesure poursuit. Ainsi, une telle mesure doit être considérée comme étant fondée sur une pondération équilibrée entre, d’une part, ces objectifs et, d’autre part, les droits fondamentaux en présence. [1]