K otiskům prstů v průkazech totožnosti

Nařízení 2019/1157[1] stanoví povinnost, podle níž musí ode dne 2. srpna 2021 každý průkaz totožnosti[2] nově vydaný členskými státy zahrnovat zobrazení otisků prstů jeho držitele na vysoce zabezpečeném paměťovém médiu.

V listopadu 2021 požádal německý občan město Wiesbaden (Německo) o vydání nového průkazu totožnosti. Ve své žádosti výslovně požádal o vydání tohoto dokladu bez zaznamenání zobrazení otisků prstů do jeho čipu.

Město Wiesbaden zamítlo žádost mimo jiné z důvodu, že průkaz totožnosti nelze vydat bez zobrazení otisků prstů jeho držitele, jelikož ode dne 2. srpna 2021 začala platit povinnost uchovávat zobrazení otisků prstů v čipu nových průkazů totožnosti.

Správní soud ve Wiesbadenu, kterému byla věc v této souvislosti předložena, má pochybnosti o platnosti nařízení 2019/1157, a tudíž o kogentní povaze shromažďování a uchovávání otisků prstů v německých průkazech totožnosti. Tento soud chce zejména zjistit, zda zaprvé náležitým základem pro přijetí nařízení 2019/1157 byl čl. 21 odst. 2 SFEU spíše než čl. 77 odst. 3 SFEU; zadruhé, zda nařízení 2019/1157 je slučitelné s články 7 a 8 Listiny ve spojení s jejím čl. 52 odst. 1; a zatřetí, zda je uvedené nařízení v souladu s povinností provést posouzení vlivu na ochranu osobních údajů podle čl. 35 odst. 10 obecného nařízení o ochraně osobních údajů[3].

Generální advokátka Laila Medina dospěla v dnešním stanovisku nejprve k závěru o správném přijetí nařízení 2019/1157 na základě čl. 21 odst. 2 SFEU, s cílem usnadnit výkon práva občanů EU svobodně se pohybovat a pobývat na území členských států.

V tomto ohledu zdůraznila, že toto právo umožňuje občanům EU zapojit se do každodenního života ostatních obyvatel hostitelského členského státu. Vnitrostátní průkazy totožnosti tak mají stejné funkce jako v případě těchto obyvatelů, což znamená, že pouze spolehlivý a pravý doklad totožnosti umožňuje plné uplatnění volného pohybu.

Sjednocení formátu vnitrostátních průkazů totožnosti a zvýšení jejich spolehlivosti prostřednictvím bezpečnostních norem, včetně digitálních otisků prstů, má přímý dopad na výkon tohoto práva tím, že učiní tyto průkazy důvěryhodnějšími a jako takové snadněji přijímané orgány členských států a subjekty poskytujícími služby. V konečném důsledku to znamená snížení nepohodlí, nákladů a administrativních překážek pro mobilní občany EU.

Nakonec měla za to, že pravomoc svěřená Radě čl. 77 odst. 3 musí být chápána tak, že odkazuje pouze na kontext politiky týkající se hraničních kontrol. Unijní opatření jdoucí nad rámec tohoto specifického obsahu, jako je tomu v případě nařízení 2019/1157, by nespadala do působnosti tohoto ustanovení.

Generální advokátka poté zkoumala, zda povinnost shromažďovat a uchovávat zobrazení dvou otisků prstů v průkazech totožnosti představuje neodůvodněné omezení základního práva na soukromý život v souvislosti se zpracováním osobních údajů.

Podle jejího názoru nařízení 2019/1157, které zavádí opatření podobná opatřením, jež Soudní dvůr zkoumal v rozsudku ve věci Schwarz ve vztahu k cestovním pasům, představuje omezení práv zaručených články 7 a 8 Listiny. Proto je třeba ověřit, zda může být toto zpracování odůvodněno na základě uvedeného čl. 52 odst. 1 Listiny.

Pokud jde o otázku, zda omezení vyplývající z nařízení 2019/1157 odpovídají cíli obecného zájmu, měla generální advokátka za to, že vzhledem k tomu, že nejednotnost, pokud jde o formáty a bezpečnostní prvky vnitrostátních průkazů totožnosti, zvyšuje riziko padělání a podvodů s doklady, omezení zavedená nařízením 2019/1157, jejichž cílem je předcházet tomuto riziku a podpořit tak přijímání těchto dokladů, takový cíl sledují.

Dále měla za to, že taková omezení jsou přiměřená, nezbytná a nepřekračují rámec toho, co je nezbytné k dosažení hlavního cíle tohoto nařízení. Zejména ve srovnání s odebíráním a uchováváním otisků prstů patrně neexistuje stejně vhodná, avšak méně obtěžující metoda, jak podobně účinným způsobem dosáhnout cíle nařízení. Také nařízení 2019/1157 nabízí dostatečná a vhodná opatření, která zajistí, aby shromažďování, uchovávání a používání biometrických identifikátorů bylo účinně chráněno před zneužitím a zneužíváním. Tato opatření zaručují, že biometrické identifikátory uchovávané v nově vystavených dokladech zůstanou po vydání tohoto dokladu ve výlučné dispozici držitele dokladu a nejsou veřejně přístupné. Navíc nařízení 2019/1157 neposkytuje právní základ pro zřízení či provoz vnitrostátních databází nebo centralizované databáze na úrovni EU.

Nakonec, co se týče otázky, zda je nařízení 2019/1157 v souladu s povinností provést posouzení dopadu na ochranu osobních údajů podle čl. 35 odst. 10 GDPR, generální advokátka poukázala na to, že GDPR a nařízení 2019/1157 jsou akty sekundárního práva, které jsou v hierarchii pramenů unijního práva rovnocenné. Mimoto z GDPR nijak nevyplývá, že by povinnost provést posouzení vlivu, jak je stanovena v jeho čl. 35 odst. 1, byla pro unijního normotvůrce závazná, a toto ustanovení ani nezavádí žádné kritérium, podle něhož by měla být posuzována platnost jiné normy sekundárního práva Evropské unie. Generální advokátka proto zastává názor, že Evropský parlament a Rada nebyly povinny provést posouzení vlivu v průběhu legislativního procesu vedoucího k přijetí nařízení 2019/1157.

---

Převzato z tiskové zprávy Evropského soudního dvora

Úplné znění stanoviska ve věci C-61/22

[1] Článek 3 odst. 5 nařízení Evropského parlamentu a Rady (EU) 2019/1157 ze dne 20. června 2019 o posílení zabezpečení průkazů totožnosti občanů Unie a povolení k pobytu vydávaných občanům Unie a jejich rodinným příslušníkům, kteří vykonávají své právo volného pohybu (Úř. věst. 2019, L 188, s. 67).

[2] Co se týče stejné povinnosti ve vztahu k cestovním pasům, viz rozsudek ze dne 17. října 2013, Schwarz, C-291/12 (viz tisková zpráva č. 135/13).

[3] Článek 35 odst. 10 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (dále jen „GDPR“) (Úř. věst. 2016, L 119, s. 1).