(19)Le présent règlement ne fournit pas de base juridique pour la création ou la tenue à jour de bases de données au niveau national pour le stockage de données biométriques dans les États membres. En outre, le présent règlement ne fournit pas de base juridique pour la création ou la tenue à jour d’une base de données centralisée au niveau de l’Union. Comme l’a rappelé le Contrôleur européen de la protection des données dans son avis 21/2024, la création ou la gestion de bases de données au niveau national pour le stockage de données biométriques dans les États membres ou, de manière analogue, la création ou la gestion d’une base de données centralisée au niveau de l’Union, ainsi que l’utilisation potentielle de ces données à d’autres fins, devraient satisfaire à un test strict de nécessité et de proportionnalité au titre de la charte, tel qu’interprété par la jurisprudence pertinente de la Cour de justice.

(20)Les images faciales stockées sur le support de stockage des cartes d’identité et des documents de séjour ne devraient être consultées que par le personnel dûment autorisé des autorités nationales compétentes, des agences de l’Union et des entités privées aux fins de la vérification de l’authenticité du document et de l’identité du titulaire. Cette consultation devrait respecter le droit de l’Union en matière de protection des données. Les images faciales ne devraient pas être conservées plus longtemps que nécessaire à ces fins, devraient être supprimées dès que ces finalités sont atteintes et ne devraient pas être transférées à des pays tiers ni à des organisations internationales, sauf si le droit de l’Union en matière de protection des données le permet. Ces garanties sont destinées à assurer un niveau approprié de protection de l’image faciale, sans pour autant en interdire l’utilisation.

(23)Sans préjudice de la jurisprudence de la Cour de justice1 bis, les États membres devraient pouvoir décider d’inclure ou non le genre d’une personne dans un document relevant du présent règlement. Lorsqu’un État membre inclut le genre d’une personne dans un tel document, il convient d’utiliser les spécifications du document 9303 de l’OACI «F», «M» ou «X», ou l’initiale unique correspondante utilisée dans la langue ou dans les langues de cet État membre, selon le cas.

(26)Lorsque des difficultés se présentent pour recueillir les éléments d’identification biométriques, les États membres devraient veiller à ce que des procédures appropriées soient mises en place pour respecter la dignité de la personne concernée. Par conséquent, il y a lieu de tenir compte de considérations particulières relatives au genre et aux besoins spécifiques des enfants et des personnes vulnérables. Le personnel qualifié devrait recevoir une formation sur les bonnes pratiques aux fins du recueil des éléments d’identification biométriques des enfants et des personnes vulnérables, afin d’assurer la prise en compte des besoins spécifiques au genre et à l’âge ainsi que le respect de la dignité de chaque individu.

(32)Les États membres devraient échanger entre eux les informations nécessaires pour accéder aux informations contenues sur le support de stockage sécurisé, les authentifier et les vérifier. Les formats utilisés pour le support de stockage sécurisé devraient être interopérables, notamment pour ce qui est des points de passage frontaliers automatisés. La Commission devrait promouvoir la coopération des États membres à l’appui de ces objectifs.

(43)La Commission devrait faire rapport sur la mise en œuvre du présent règlement, deux ans puis onze ans après son entrée en vigueur, y compris sur la pertinence du niveau de sécurité prévu, en tenant compte de son incidence sur les droits fondamentaux et les principes en matière de protection des données. Conformément à l’accord interinstitutionnel du 13 avril 2016 «Mieux légiférer»9, la Commission devrait, six ans après la date d’entrée en vigueur du présent règlement, et tous les six ans par la suite, évaluer celui-ci, y compris sur la base des informations recueillies selon des modalités de suivi spécifiques, afin d’évaluer ses effets réels et la nécessité de toute nouvelle action. Aux fins du suivi, les États membres devraient collecter des statistiques sur le nombre de cartes d’identité et de documents de séjour qu’ils ont délivrés.

_________________

JO L 123 du 12.5.2016, p. 1, ELI: http://data.europa.eu/eli/agree_interinstit/2016/512/oj.

Par dérogation au premier alinéa, le numéro du document peut être inséré dans la zone I et la désignation du genre de la personne est facultative. Lorsqu’un État membre inclut le genre d’une personne dans un document relevant du présent règlement, les spécifications du document 9303 de l’OACI «F», «M» ou «X», ou l’initiale unique correspondante utilisée dans la ou les langues officielles de cet État membre, sont utilisées, selon le cas.

5.Les cartes d’identité intègrent un support de stockage hautement sécurisé qui contient une image faciale du titulaire de la carte et deux empreintes digitales dans des formats numériques interopérables. Pour le recueil de ces deux types d’éléments d’identification biométriques, les États membres appliquent les spécifications techniques établies par la décision d’exécution C(2018) 7767 de la Commission, telle que modifiée par la décision d’exécution C(2021) 3726 de la Commission.

_________________

12 Décision d’exécution C(2018) 7767 de la Commission du 30 novembre 2018 établissant les spécifications techniques du modèle uniforme de titre de séjour destiné aux ressortissants de pays tiers, et abrogeant la décision C(2002) 3069.

13 Décision d’exécution C(2021) 3726 de la Commission du 4 juin 2021 modifiant l’annexe III de la décision d’exécution C(2018) 7767 en ce qui concerne la liste des références normatives.

3.Les éléments d’identification biométriques stockés aux fins de la personnalisation des cartes d’identité ou des documents de séjour sont conservés de manière très sécurisée et uniquement jusqu’à la date de remise du document et, en tout état de cause, pas plus de 90 jours à compter de la date de délivrance du document. Après ce délai, ces éléments d’identification biométriques sont immédiatement effacés ou détruits. Le traitement de ces données à d’autres fins est soumis aux limitations et conditions prévues par le droit national ou le droit de l’Union en matière de protection des données.

4.La coopération avec les prestataires de services extérieurs n’exclut pas la responsabilité d’un État membre qui peut découler du droit de l’Union ou du droit national en cas de manquement aux obligations en matière de données à caractère personnel. Les États membres veillent à ce que tous les prestataires extérieurs respectent le droit de l’Union et le droit national en matière de protection des données, et des mesures appropriées sont adoptées pour éviter tout accès non autorisé à des données à caractère personnel et toute utilisation abusive de ces données au cours des processus externalisés.

L’image faciale du titulaire stockée sur le support de stockage des cartes d’identité et des titres de séjour n’est consultée, conformément au droit de l’Union en matière de protection des données, que par le personnel dûment autorisé des autorités nationales compétentes, des agences de l’Union et des entités privées pour vérifier:

Les deux empreintes digitales du titulaire stockées sur le support de stockage ne peuvent être consultées que par le personnel dûment autorisé des autorités nationales compétentes et des agences de l’Union, aux fins énoncées au premier alinéa, conformément au droit de l’Union et au droit national en matière de protection des données.

Rapports et évaluation

1.Au plus tard [six ans après l’entrée en vigueur du présent règlement], et tous les six ans par la suite, la Commission procède à une évaluation du présent règlement et présente un rapport sur ses principales conclusions au Parlement européen, au Conseil et au Comité économique et social européen. Le rapport porte en particulier sur les points suivants: