RÈGLEMENT (UE) 2019/1157 DU PARLEMENT EUROPÉEN ET DU CONSEIL

du 20 juin 2019

relatif au renforcement de la sécurité des cartes d'identité des citoyens de l'Union et des documents de séjour délivrés aux citoyens de l'Union et aux membres de leur famille exerçant leur droit à la libre circulation

(Texte présentant de l'intérêt pour l'EEE)

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l'Union européenne, et notamment son article 21, paragraphe 2,

vu la proposition de la Commission européenne,

après transmission du projet d'acte législatif aux parlements nationaux,

vu l'avis du Comité économique et social européen (1),

après consultation du Comité des régions,

statuant conformément à la procédure législative ordinaire (2),

considérant ce qui suit:

(1) Le traité sur l'Union européenne souligne la détermination des États membres à faciliter la libre circulation des personnes, tout en assurant la sûreté et la sécurité de leurs peuples, en établissant un espace de liberté, de sécurité et de justice, conformément aux dispositions du traité sur l'Union européenne et du traité sur le fonctionnement de l'Union européenne.

(2) La citoyenneté de l'Union confère à tout citoyen de l'Union le droit à la libre circulation sous réserve de certaines limitations et conditions. La directive 2004/38/CE du Parlement européen et du Conseil (3) donne effet à ce droit. L'article 45 de la Charte des droits fondamentaux de l'Union européenne (ci-après dénommée «Charte») prévoit également la liberté de circulation et de séjour. La liberté de circulation implique le droit de sortir d'un État membre ou d'y entrer avec une carte d'identité ou un passeport en cours de validité.

(3) En vertu de la directive 2004/38/CE, les États membres doivent délivrer et renouveler les cartes d'identité ou les passeports de leurs ressortissants conformément à leur législation nationale. En outre, cette directive prévoit que les États membres peuvent exiger des citoyens de l'Union et des membres de leur famille qu'ils s'enregistrent auprès des autorités compétentes. Les États membres sont tenus de délivrer des attestations d'enregistrement aux citoyens de l'Union dans les conditions énoncées dans ladite directive. En vertu de ladite directive, les États membres sont également tenus de délivrer des cartes de séjour aux membres de la famille qui n'ont pas la nationalité d'un État membre et, sur demande, de délivrer des documents attestant de la permanence du séjour et de délivrer des cartes de séjour permanent.

(4) La directive 2004/38/CE prévoit que les États membres peuvent adopter les mesures nécessaires pour refuser, annuler ou retirer tout droit conféré par ladite directive en cas d'abus de droit ou de fraude. La falsification de documents ou la description fallacieuse d'un fait matériel concernant les conditions attachées au droit de séjour ont été identifiées comme des cas typiques de fraude dans le cadre de cette directive.

(5) Des différences considérables existent entre les niveaux de sécurité des cartes nationales d'identité délivrées par les États membres et des documents de séjour des ressortissants de l'Union résidant dans un autre État membre et des membres de leur famille. Ces différences augmentent le risque de falsification et de fraude documentaire et entraînent également des difficultés pratiques pour les citoyens lorsqu'ils cherchent à exercer leur droit à la libre circulation. Les statistiques du réseau d'analyse des risques de fraude documentaire dans l'Union indiquent que le nombre de cartes d'identité frauduleuses en circulation augmente avec le temps.

(6) Dans sa communication du 14 septembre 2016 intitulée «Accroître la sécurité dans un monde de mobilité: améliorer l'échange d'informations dans la lutte contre le terrorisme et renforcer les frontières extérieures», la Commission soulignait qu'il est primordial de disposer de documents de voyage et d'identité sûrs lorsqu'il est nécessaire d'établir l'identité d'une personne sans qu'il subsiste le moindre doute, et annonçait qu'elle présenterait un plan d'action visant à lutter contre les fraudes liées aux documents de voyage. Selon cette communication, toute approche améliorée doit reposer sur des systèmes solides pour prévenir les abus et les menaces pour la sécurité intérieure dus à des failles dans la sécurité des documents, en particulier pour ce qui est du terrorisme et de la criminalité transfrontière.

(7) Selon le plan d'action de la Commission du 8 décembre 2016 visant à renforcer la réponse de l'Union européenne aux fraudes liées aux documents de voyage (ci-après dénommé «plan d'action de 2016»), au moins trois quarts des documents frauduleux détectés aux frontières extérieures, mais également dans l'espace sans contrôle aux frontières intérieures, imitent certains documents délivrés par des États membres et des pays associés à l'espace Schengen. Les cartes nationales d'identité d'un moindre degré de sécurité délivrées par des États membres sont les faux documents les plus fréquemment détectés en ce qui concerne les déplacements à l'intérieur de l'espace Schengen.

(8) Afin de prévenir la fraude à l'identité, les États membres devraient veiller à ce que la falsification et la contrefaçon des documents d'identification ainsi que l'utilisation de ces documents falsifiés ou contrefaits soient pénalisées de manière adéquate par leur droit national.

(9) Le plan d'action de 2016 abordait les risques liés aux cartes d'identité et aux documents de séjour frauduleux. Dans le plan d'action de 2016 et dans son rapport sur la citoyenneté de l'Union de 2017, la Commission s'engageait à analyser les options stratégiques permettant d'améliorer la sécurité des cartes d'identité et des documents de séjour.

(10) Selon le plan d'action de 2016, la délivrance de cartes d'identité authentiques et sûres nécessite un processus fiable d'enregistrement de l'identité et des documents «sources» sûrs à l'appui du processus de la demande. La Commission, les États membres et les agences concernées de l'Union devraient continuer à coopérer pour rendre les documents sources moins vulnérables à la fraude, étant donné l'utilisation accrue de documents sources falsifiés.

(11) Le présent règlement n'impose pas aux États membres d'introduire des cartes d'identité ou des documents de séjour lorsque ces documents ne sont pas prévus par le droit national, pas plus qu'il n'affecte la compétence des États membres de délivrer, en vertu du droit national, d'autres documents de séjour qui se situent en dehors du champ d'application du droit de l'Union, par exemple les cartes de séjour délivrées à tous les résidents sur le territoire, quelle que soit leur nationalité.

(12) Le présent règlement n'empêche pas les États membres d'accepter, de manière non discriminatoire, des documents autres que les documents de voyage, à des fins d'identification, tels les permis de conduire.

(13) Les documents d'identification délivrés aux citoyens dont les droits de libre circulation ont été restreints conformément au droit de l'Union ou au droit national, et qui indiquent expressément qu'ils ne peuvent pas être utilisés comme documents de voyage, ne devraient pas être considérés comme relevant du champ d'application du présent règlement.

(14) Les documents de voyage conformes à la cinquième partie du document 9303 de l'Organisation de l'aviation civile internationale (OACI) relative aux documents lisibles par machine (septième édition, 2015) (ci-après dénommé «document 9303 de l'OACI») qui ne servent pas à des fins d'identification dans les États membres de délivrance, telles que les cartes de passeport délivrées par l'Irlande, ne devraient pas être considérés comme relevant du champ d'application du présent règlement.

(15) Le présent règlement n'affecte pas l'utilisation à d'autres fins des cartes d'identité et des documents de séjour avec fonction eID par les États membres, ni les règles établies dans le règlement (UE) no 910/2014 du Parlement européen et du Conseil (4), qui prévoit la reconnaissance mutuelle à l'échelle de l'Union des identifications électroniques pour l'accès aux services publics et aide les citoyens se rendant dans un autre État membre en exigeant la reconnaissance des moyens d'identification électronique sous réserve de certaines conditions. L'amélioration des cartes d'identité devrait viser à faciliter l'identification et à contribuer à avoir un meilleur accès aux services.

(16) Une vérification adéquate des cartes d'identité et des documents de séjour exige que les États membres utilisent le titre correct pour chaque type de document couvert par le présent règlement. Afin de faciliter la vérification des documents couverts par le présent règlement dans d'autres États membres, le titre du document devrait également apparaître dans au moins une autre langue officielle supplémentaire des institutions de l'Union. Lorsque les États membres utilisent déjà, pour les cartes d'identité, des appellations bien établies autres que le titre «carte d'identité», ils devraient pouvoir continuer à le faire dans leur(s) langue(s) officielle(s). Toutefois, aucune nouvelle désignation ne devrait être introduite à l'avenir.

(17) Les éléments de sécurité sont nécessaires pour vérifier l'authenticité d'un document et pour établir l'identité d'une personne. L'établissement de normes minimales de sécurité et l'intégration de données biométriques dans les cartes d'identité et les cartes de séjour des membres de la famille qui n'ont pas la nationalité d'un État membre sont des étapes importantes pour rendre leur utilisation dans l'Union plus sûre. L'ajout de tels éléments d'identification biométriques devrait permettre aux citoyens de l'Union de profiter pleinement de leurs droits à la libre circulation.

(18) Le stockage d'une image faciale et de deux empreintes digitales (ci-après dénommées «données biométriques») sur les cartes d'identité et les cartes de séjour, comme cela est déjà prévu pour les passeports et titres de séjour biométriques des ressortissants de pays tiers, combine de manière appropriée une identification et une authentification fiables avec une réduction du risque de fraude, dans l'optique de renforcer la sécurité des cartes d'identité et des cartes de séjour.

(19) De manière générale, les États membres devraient, aux fins de la vérification de l'authenticité du document et de l'identité du titulaire, vérifier en priorité l'image faciale et, si nécessaire pour confirmer sans aucun doute l'authenticité du document et l'identité du titulaire, les États membres devraient également vérifier les empreintes digitales.

(20) Les États membres devraient veiller à ce qu'une vérification manuelle soit effectuée obligatoirement par du personnel qualifié lorsqu'une vérification des données biométriques ne confirme pas l'authenticité du document ou l'identité de son titulaire.

(21) Le présent règlement ne fournit pas de base juridique pour la création ou la tenue à jour de bases de données au niveau national pour le stockage de données biométriques dans les États membres, qui relève du droit national qui doit respecter le droit de l'Union en matière de protection des données. En outre, le présent règlement ne fournit pas de base juridique pour la création ou la tenue à jour d'une base de données centralisée au niveau de l'Union.

(22) Les éléments d'identification biométriques devraient être recueillis et stockés sur le support de stockage des cartes d'identité et des documents de séjour aux fins de la vérification de l'authenticité du document et de l'identité du titulaire. Une telle vérification ne devrait être effectuée que par du personnel dûment autorisé et uniquement lorsque la loi exige la présentation du document. En outre, les données biométriques stockées aux fins de la personnalisation des cartes d'identité ou des documents de séjour devraient être conservées de manière très sécurisée et uniquement jusqu'à la date de remise du document et, en tout état de cause, pas plus de 90 jours à compter de la date de délivrance du document. Après ce délai, ces données biométriques devraient être immédiatement effacées ou détruites. Cela devrait s'entendre sans préjudice de tout autre traitement de ces données conformément au droit de l'Union et au droit national en matière de protection des données.

(23) Les spécifications du document 9303 de l'OACI qui garantissent l'interopérabilité mondiale, y compris en ce qui concerne la lecture par machine et l'utilisation de l'inspection visuelle, devraient être prises en compte aux fins du présent règlement.

(24) Les États membres devraient pouvoir décider d'inclure ou non le genre d'une personne dans un document relevant du présent règlement. Lorsqu'un État membre inclut le genre d'une personne dans un tel document, il convient d'utiliser les spécifications du document 9303 de l'OACI «F», «M» ou «X», ou l'initiale unique correspondante utilisée dans la langue ou dans les langues de cet État membre, selon le cas.

(25) Il convient de conférer des compétences d'exécution à la Commission afin que les futures normes de sécurité et spécifications techniques adoptées en vertu du règlement (CE) no 1030/2002 du Conseil (5) soient dûment prises en compte, le cas échéant, pour les cartes d'identité et les cartes de séjour. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (6). À cet effet, la Commission devrait être assistée par le comité institué par l'article 6 du règlement (CE) no 1683/95 du Conseil (7). Si nécessaire, les actes d'exécution adoptés devraient pouvoir rester secrets afin de prévenir le risque de contrefaçon et de falsification.

(26) Les États membres devraient veiller à ce que des procédures appropriées et efficaces soient mises en place pour le recueil des éléments d'identification biométriques et que ces procédures respectent les droits et principes énoncés dans la Charte, la convention de sauvegarde des droits de l'homme et des libertés fondamentales du Conseil de l'Europe et la convention des Nations unies relative aux droits de l'enfant. Les États membres devraient veiller à ce que l'intérêt supérieur de l'enfant soit une considération primordiale tout au long de la procédure de recueil. À cette fin, le personnel qualifié devrait recevoir une formation appropriée sur les pratiques adaptées aux enfants pour le recueil des éléments d'identification biométriques.

(27) Lorsque des difficultés se présentent pour recueillir les éléments d'identification biométriques, les États membres devraient veiller à ce que des procédures appropriées soient mises en place pour respecter la dignité de la personne concernée. Par conséquent, il y a lieu de tenir compte de considérations particulières relatives au genre et aux besoins spécifiques des enfants et des personnes vulnérables.

(28) L'introduction de normes minimales en matière de sécurité et de format pour les cartes d'identité devrait permettre aux États membres de s'appuyer sur l'authenticité de ces documents lorsque les citoyens de l'Union exercent leur droit à la libre circulation. L'introduction de normes de sécurité renforcées devrait offrir des garanties suffisantes aux autorités publiques et aux entités privées pour leur permettre de se fier à l'authenticité des cartes d'identité lorsqu'elles sont utilisées par les citoyens de l'Union à des fins d'identification.

(29) Un signe distinctif, se présentant sous la forme du code du pays à deux lettres de l'État membre délivrant le document, imprimé en négatif dans un rectangle bleu et entouré de douze étoiles jaunes, facilite l'inspection visuelle du document, notamment lorsque le titulaire exerce son droit à la libre circulation.

(30) Bien qu'il reste possible d'intégrer des éléments nationaux supplémentaires, les États membres devraient veiller à ce que ces éléments ne diminuent pas l'efficacité des éléments de sécurité communs et n'aient pas d'incidence négative sur la compatibilité transfrontalière des cartes d'identité, comme la capacité de lire les cartes d'identité sur des machines utilisées par des États membres autres que l'État membre de délivrance des cartes d'identité.

(31) L'établissement de normes de sécurité pour les cartes d'identité et les cartes de séjour des membres de la famille qui ne sont pas des ressortissants d'un État membre ne devrait pas générer d'augmentation disproportionnée des coûts pour les citoyens de l'Union ou les ressortissants de pays tiers. Les États membres devraient tenir compte de ce principe lors de la publication d'appels d'offres.

(32) Les États membres devraient prendre toutes les mesures nécessaires pour que les données biométriques identifient correctement la personne à laquelle une carte d'identité est délivrée. À cette fin, les États membres pourraient envisager de recueillir les éléments d'identification biométriques, en particulier l'image faciale, au moyen d'un enregistrement en direct par les autorités nationales délivrant les cartes d'identité.

(33) Les États membres devraient échanger entre eux les informations nécessaires pour accéder aux informations contenues sur le support de stockage sécurisé, les authentifier et les vérifier. Les formats utilisés pour le support de stockage sécurisé devraient être interopérables, notamment pour ce qui est des points de passage frontaliers automatisés.

(34) La directive 2004/38/CE traite de la situation dans laquelle les citoyens de l'Union, ou les membres de la famille de citoyens de l'Union qui n'ont pas la nationalité d'un État membre, qui ne disposent pas des documents de voyage nécessaires doivent se voir offrir toutes les possibilités raisonnables de prouver par d'autres moyens leur qualité de bénéficiaires du droit à la libre circulation. Ces moyens peuvent comprendre les documents d'identification utilisés à titre provisoire et les cartes de séjour délivrées à ces membres de la famille.

(35) Le présent règlement respecte les obligations énoncées dans la Charte et dans la convention des Nations unies relative aux droits des personnes handicapées. Par conséquent, les États membres sont encouragés à coopérer avec la Commission pour intégrer des éléments supplémentaires qui rendent les cartes d'identité plus accessibles et plus conviviales pour les personnes handicapées, telles que les malvoyants. Les États membres doivent se pencher sur le recours à des solutions, telles que des dispositifs d'enregistrement mobiles, pour la délivrance de cartes d'identité aux personnes incapables de se rendre auprès des autorités chargées de la délivrance des cartes d'identité.

(36) Les documents de séjour délivrés aux citoyens de l'Union devraient inclure des informations spécifiques afin de garantir leur identification comme tels dans tous les États membres. Cette mesure devrait faciliter la reconnaissance de l'exercice par un citoyen de l'Union de son droit à la libre circulation et des droits inhérents à cet exercice, mais l'harmonisation ne devrait pas excéder ce qui est approprié pour remédier aux lacunes des documents actuels. Les États membres sont libres de choisir le format dans lequel ces documents sont délivrés et pourraient opter pour un format qui respecte les spécifications du document 9303 de l'OACI.

(37) En ce qui concerne les documents de séjour délivrés aux membres de la famille qui n'ont pas la nationalité d'un État membre, il convient d'utiliser le même modèle et les mêmes éléments de sécurité que ceux prévus par le règlement (CE) no 1030/2002, tel qu'amendé par le règlement (UE) 2017/1954 du Parlement européen et du Conseil (8). En plus de prouver le droit de séjour, ces documents dispensent également leurs titulaires, qui sont autrement soumis à une obligation de visa, de satisfaire à l'obligation d'être en possession d'un visa lorsqu'ils accompagnent ou rejoignent le citoyen de l'Union sur le territoire de l'Union.

(38) La directive 2004/38/CE prévoit que les documents délivrés aux membres de la famille qui n'ont pas la nationalité d'un État membre sont dénommés «Carte de séjour de membre de la famille d'un citoyen de l'Union». Afin de faciliter leur identification, les cartes de séjour d'un membre de la famille d'un citoyen de l'Union devraient comporter un titre et un code normalisés.

(39) En tenant compte à la fois du risque pour la sécurité et des coûts supportés par les États membres, les cartes d'identité ainsi que les cartes de séjour de membres de la famille d'un citoyen de l'Union dont les normes de sécurité sont insuffisantes devraient être progressivement éliminées. En règle générale, une période de suppression progressive de dix ans pour les cartes d'identité et de cinq ans pour les cartes de séjour devrait suffire pour trouver un équilibre entre la fréquence à laquelle les documents sont habituellement remplacés et la nécessité de combler le vide sécuritaire existant au sein de l'Union. Toutefois, pour les cartes qui n'intègrent pas d'éléments de sécurité importants, ou qui ne sont pas lisibles à la machine, une période de suppression progressive plus courte est nécessaire pour des raisons de sécurité.

(40) Le règlement (UE) 2016/679 du Parlement européen et du Conseil (9) s'applique en ce qui concerne les données à caractère personnel à traiter dans le cadre de l'application du présent règlement. Il est nécessaire de préciser davantage les garanties applicables aux données à caractère personnel traitées, et en particulier aux données sensibles, telles que les éléments d'identification biométriques. Les personnes concernées devraient être informées de l'existence, dans leurs documents, du support de stockage contenant leurs données biométriques, y compris de son accessibilité sous une forme sans contact, ainsi que de tous les cas où les données contenues dans leurs cartes d'identité et documents de séjour sont utilisées. En tout état de cause, les personnes concernées devraient avoir accès aux données à caractère personnel traitées dans leurs cartes d'identité et documents de séjour et devraient avoir le droit de les faire rectifier au moyen de la délivrance d'un nouveau document dans lequel ces données erronées ou incomplètes sont corrigées ou complétées. Le support de stockage devrait être hautement sécurisé et les données à caractère personnel qu'il contient devraient être protégées efficacement contre l'accès non autorisé.

(41) Il convient que les États membres soient responsables du traitement correct des données biométriques, du recueil à l'intégration des données sur le support de stockage hautement sécurisé, conformément au règlement (UE) 2016/679.

(42) Les États membres devraient être particulièrement vigilants lorsqu'ils coopèrent avec un prestataire de services extérieur. Une telle coopération ne devrait pas exclure la responsabilité des États membres découlant du droit de l'Union ou du droit national en cas de manquement aux obligations relatives aux données à caractère personnel.

(43) Il est nécessaire de préciser dans le présent règlement la base applicable au recueil et au stockage des données sur le support de stockage des cartes d'identité et des documents de séjour. Conformément au droit de l'Union ou au droit national, et dans le respect des principes de nécessité et de proportionnalité, les États membres devraient pouvoir stocker d'autres données sur un support de stockage pour des services électroniques ou à d'autres fins liées à la carte d'identité ou au document de séjour. Le traitement de ces autres données, y compris leur recueil et les fins auxquelles elles peuvent être utilisées, devrait être autorisé par le droit de l'Union ou le droit national. Toutes les données nationales devraient être physiquement ou logiquement séparées des données biométriques visées dans le présent règlement et être traitées conformément au règlement (UE) 2016/679.

(44) Les États membres devraient appliquer le présent règlement au plus tard 24 mois après la date d'entrée en vigueur. À compter de la date d'application du présent règlement, les États membres ne devraient délivrer que des documents qui respectent les exigences énoncées dans le présent règlement.

(45) La Commission devrait faire rapport sur la mise en œuvre du présent règlement deux ans, et onze ans, respectivement, après sa date d'application, y compris sur la pertinence du niveau de sécurité prévu, en tenant compte de son incidence sur les droits fondamentaux et les principes en matière de protection des données. Conformément à l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer» (10), la Commission devrait, six ans après la date d'application du présent règlement, et tous les six ans par la suite, évaluer le présent règlement sur la base des informations recueillies selon des modalités de suivi spécifiques, afin d'évaluer les effets réels du présent règlement et la nécessité de toute nouvelle action. Aux fins du suivi, les États membres devraient collecter des statistiques sur le nombre de cartes d'identité et de documents de séjour qu'ils ont délivrés.

(46) Étant donné que les objectifs du présent règlement, à savoir renforcer la sécurité pour faciliter l'exercice des droits à la libre circulation par les citoyens de l'Union et les membres de leur famille, ne peuvent pas être atteints de manière suffisante par les États membres mais peuvent, en raison des dimensions et des effets de l'action, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre ces objectifs.

(47) Le présent règlement respecte les droits fondamentaux et observe les principes énoncés dans la Charte, notamment la dignité humaine, le droit à l'intégrité de la personne, l'interdiction des traitements inhumains ou dégradants, le droit à l'égalité en droit, le droit à la non-discrimination, les droits de l'enfant, les droits des personnes âgées, le droit au respect de la vie privée et familiale, le droit à la protection des données à caractère personnel, le droit à la libre circulation et le droit à un recours effectif. Lorsqu'ils mettent en œuvre le présent règlement, les États membres devraient respecter la Charte.

(48) Le Contrôleur européen de la protection des données et l'Agence des droits fondamentaux de l'Union européenne ont rendu un avis, respectivement le 10 août 2018 (11) et le 5 septembre 2018 (12),

ONT ARRÊTÉ LE PRÉSENT RÈGLEMENT:

CHAPITRE I

OBJET, CHAMP D'APPLICATION ET DÉFINITIONS

Article premier Objet Le présent règlement renforce les normes de sécurité applicables aux cartes d'identité délivrées par les États membres à leurs ressortissants et aux documents de séjour délivrés par les États membres aux citoyens de l'Union et aux membres de leur famille lorsqu'ils exercent leur droit à la libre circulation.

Article 2 Champ d'application Le présent règlement s'applique: a) aux cartes d'identité délivrées par les États membres à leurs propres ressortissants, conformément à l'article 4, paragraphe 3, de la directive 2004/38/CE. Le présent règlement ne s'applique pas aux documents d'identification délivrés à titre provisoire et dont la durée de validité est inférieure à six mois. b) aux attestations d'enregistrement délivrées conformément à l'article 8 de la directive 2004/38/CE aux citoyens de l'Union résidant depuis plus de trois mois dans un État membre d'accueil et aux documents attestant de la permanence du séjour délivrés conformément à l'article 19 de la directive 2004/38/CE aux citoyens de l'Union sur demande; c) aux cartes de séjour délivrées conformément à l'article 10 de la directive 2004/38/CE aux membres de la famille d'un citoyen de l'Union qui n'ont pas la nationalité d'un État membre et aux cartes de séjour permanent délivrées conformément à l'article 20 de la directive 2004/38/CE aux membres de la famille d'un citoyen de l'Union qui n'ont pas la nationalité d'un État membre.

CHAPITRE II

CARTES NATIONALES D'IDENTITÉ

Article 3 Normes de sécurité/format/spécifications 1. Les cartes d'identité délivrées par les États membres sont de format ID-1 et comportent une zone de lecture automatique (ZLA). Ces cartes d'identité sont établies suivant les spécifications et les normes minimales de sécurité définies dans le document 9303 de l'OACI et respectent les exigences énoncées aux points c), d), f) et g) de l'annexe du règlement (CE) no 1030/2002 tel qu'amendé par le règlement (UE) 2017/1954. 2. Les éléments de données figurant sur les cartes d'identité respectent les spécifications énoncées à la partie 5 du document 9303 de l'OACI. Par dérogation au premier alinéa, le numéro du document peut être inséré dans la zone I et la désignation du genre de la personne est facultative. 3. Le document porte le titre «Carte d'identité» ou un autre intitulé national reconnu dans la ou les langues officielles de l'État membre de délivrance, ainsi que les mots «Carte d'identité» dans au moins une autre langue officielle des institutions de l'Union. 4. La carte d'identité comporte, au recto, le code pays à deux lettres de l'État membre délivrant la carte, imprimé en négatif dans un rectangle bleu et entouré de douze étoiles jaunes. 5. Les cartes d'identité intègrent un support de stockage hautement sécurisé qui contient une image faciale du titulaire de la carte et deux empreintes digitales dans des formats numériques interopérables. Pour le recueil des éléments d'identification biométriques, les États membres appliquent les spécifications techniques établies par la décision d'exécution C(2018)7767 de la Commission (13). 6. Le support de stockage a une capacité suffisante pour garantir l'intégrité, l'authenticité et la confidentialité des données. Les données stockées sont accessibles sans contact et sécurisées comme le prévoit la décision d'exécution C(2018)7767. Les États membres échangent les informations nécessaires pour authentifier le support de stockage ainsi que pour consulter et vérifier les données biométriques visées au paragraphe 5. 7. Les enfants de moins de douze ans peuvent être exemptés de l'obligation de donner leurs empreintes digitales. Les enfants de moins de six ans sont exemptés de l'obligation de donner leurs empreintes digitales. Les personnes dont il est physiquement impossible de relever les empreintes digitales sont exemptées de l'obligation de les donner. 8. Lorsque cela est nécessaire et proportionné à l'objectif visé, les États membres peuvent ajouter des précisions et des observations à usage national requises conformément au droit national. L'efficacité des normes minimales de sécurité et la compatibilité transfrontalière des cartes d'identité ne doivent pas en être diminuées. 9. Lorsque les États membres intègrent un composant avec une double interface ou un support de stockage séparé dans la carte d'identité, le support de stockage supplémentaire respecte les normes ISO pertinentes et ne peut interférer avec le support de stockage visé au paragraphe 5. 10. Lorsque les États membres stockent des données pour des services électroniques tels que des services d'administration en ligne ou de commerce électronique dans les cartes d'identité, ces données nationales doivent être physiquement ou logiquement séparées des données biométriques visées au paragraphe 5. 11. Lorsque les États membres ajoutent des éléments de sécurité supplémentaires aux cartes d'identité, la compatibilité transfrontalière de ces cartes d'identité et l'efficacité des normes minimales de sécurité ne doivent pas être diminuées.

Article 4 Durée de validité 1. Les cartes d'identité ont une durée de validité minimale de cinq ans et une durée de validité maximale de dix ans. 2. Par dérogation au paragraphe 1, les États membres peuvent prévoir une durée de validité: a) de moins de cinq ans, pour les cartes d'identité délivrées aux mineurs; b) dans des cas exceptionnels, de moins de cinq ans pour les cartes d'identité délivrées à des personnes dans des circonstances particulières et limitées, et dont la durée de validité est limitée conformément au droit de l'Union et au droit national; c) de plus de dix ans, pour les cartes d'identité délivrées aux personnes âgées de 70 ans et plus. 3. Lorsqu'aucun des doigts du demandeur ne peut temporairement faire physiquement l'objet d'un relevé d'empreintes digitales, les États membres délivrent une carte d'identité d'une durée de validité égale ou inférieure à douze mois.

Article 5 Suppression progressive 1. Les cartes d'identité qui ne satisfont pas aux exigences énoncées à l'article 3 cessent d'être valides à leur expiration ou au plus tard le 3 août 2031, la date retenue étant la date la plus proche. 2. Par dérogation au paragraphe 1: a) les cartes d'identité qui ne satisfont pas aux normes minimales de sécurité énoncées à la partie 2 du document 9303 de l'OACI ou qui ne comportent pas de ZLA fonctionnelle, telle que définie au paragraphe 3, cessent d'être valides à leur expiration ou au plus tard le 3 août 2026, la date retenue étant la date la plus proche; b) les cartes d'identité des personnes âgées de 70 ans et plus au 2 août 2021, qui satisfont aux normes minimales de sécurité énoncées à la partie 2 du document 9303 de l'OACI et qui comportent une ZLA, telle que définie au paragraphe 3, cessent d'être valables à leur expiration. 3. Aux fins du paragraphe 2, on entend par ZLA fonctionnelle: a) une zone de lecture automatique, conforme à la partie 3 du document 9303 de l'OACI; ou b) toute autre zone de lecture automatique pour laquelle l'État membre de délivrance notifie les règles requises pour la lecture et l'affichage des informations qui y sont contenues, sauf si un État membre notifie à la Commission, au plus tard le 2 août 2021, qu'il est dans l'incapacité de lire et d'afficher ces informations. Dès réception d'une notification visée au premier alinéa, point b), la Commission informe l'État membre concerné et le Conseil en conséquence.

CHAPITRE III

DOCUMENTS DE SÉJOUR POUR LES CITOYENS DE L'UNION

Article 6 Informations minimales à fournir Les documents de séjour, lorsqu'ils sont délivrés par les États membres aux citoyens de l'Union, comportent au moins les informations suivantes: a) le titre du document dans la ou les langues officielles de l'État membre concerné et au moins une autre langue officielle des institutions de l'Union; b) une indication claire du fait que le document est délivré à un citoyen de l'Union conformément à la directive 2004/38/CE; c) le numéro du document; d) le nom (nom et prénom(s)) du titulaire; e) la date de naissance du titulaire; f) les informations devant figurer sur les attestations d'enregistrement et les documents attestant de la permanence du séjour, délivrés respectivement conformément aux articles 8 et 19 de la directive 2004/38/CE; g) l'autorité de délivrance; h) au recto, le code du pays à deux lettres de l'État membre délivrant le document, imprimé en négatif dans un rectangle bleu entouré de douze étoiles jaunes. Si un État membre décide de relever les empreintes digitales, l'article 3, paragraphe 7, s'applique en conséquence. Les personnes dont il est physiquement impossible de relever les empreintes digitales sont exemptées de l'obligation de les donner.

CHAPITRE IV

CARTES DE SÉJOUR POUR LES MEMBRES DE LA FAMILLE QUI N'ONT PAS LA NATIONALITÉ D'UN ÉTAT MEMBRE

Article 7 Modèle uniforme 1. Lorsqu'ils délivrent des cartes de séjour aux membres de la famille d'un citoyen de l'Union qui n'ont pas la nationalité d'un État membre, les États membres utilisent le même modèle que celui établi par le règlement (CE) no 1030/2002 tel que modifié par le règlement (UE) 2017/1954 et tel que mis en œuvre par la décision d'exécution C(2018)7767. 2. Par dérogation au paragraphe 1, une carte porte le titre «Carte de séjour» ou «Carte de séjour permanent». Les États membres indiquent que ces documents sont délivrés à un membre de la famille d'un citoyen de l'Union conformément à la directive 2004/38/CE. À cette fin, les États membres utilisent le code normalisé «Membre famille UE Art 10 DIR 2004/38/CE» ou «Membre famille UE Art 20 DIR 2004/38/CE» dans le champ de données [10] visé à l'annexe du règlement (CE) no 1030/2002. 3. Les États membres peuvent saisir des données à des fins d'utilisation nationale conformément au droit national. Lorsqu'ils saisissent et conservent ces données, les États membres respectent les exigences énoncées à l'article 4, deuxième alinéa, du règlement (CE) no 1030/2002 tel qu'amendé par le règlement (UE) 2017/1954.

Article 8 Suppression progressive des cartes de séjour existantes 1. Les cartes de séjour délivrées aux membres de la famille d'un citoyen de l'Union qui n'ont pas la nationalité d'un État membre, qui ne satisfont pas aux exigences de l'article 7 cessent d'être valables à leur expiration ou le 3 août 2026, la date retenue étant la date la plus proche. 2. Par dérogation au paragraphe 1, les cartes de séjour délivrées aux membres de la famille d'un citoyen de l'Union qui n'ont pas la nationalité d'un État membre, qui ne satisfont pas aux normes minimales de sécurité énoncées à la partie 2 du document 9303 de l'OACI ou qui ne comportent pas de ZLA fonctionnelle conforme à la partie 3 du document 9303 de l'OACI cessent d'être valables à leur expiration ou le 3 août 2023, la date retenue étant la date la plus proche.

CHAPITRE V

DISPOSITIONS COMMUNES

Article 9 Point de contact 1. Chaque État membre désigne au moins une autorité centrale comme point de contact pour la mise en œuvre du présent règlement. Lorsqu'un État membre a désigné plus d'une autorité centrale, il désigne parmi ces autorités le point de contact pour la mise en œuvre du présent règlement. Il communique le nom de cette autorité à la Commission et aux autres États membres. Si un État membre change d'autorité désignée, il en informe la Commission et les autres États membres en conséquence. 2. Les États membres veillent à ce que les points de contact connaissent les services d'information et d'assistance pertinents au niveau de l'Union qui figurent sur le portail numérique unique prévu par le règlement (UE) 2018/1724 du Parlement européen et du Conseil (14), et soient en mesure de coopérer avec ces services.

Article 10 Recueil d'éléments d'identification biométriques 1. Les éléments d'identification biométriques sont recueillis exclusivement par du personnel qualifié et dûment habilité désigné par les autorités chargées de délivrer les cartes d'identité ou les cartes de séjour, dans le but d'être intégrés sur le support de stockage hautement sécurisé visé à l'article 3, paragraphe 5, pour les cartes d'identité et à l'article 7, paragraphe 1, pour les cartes de séjour. Par dérogation à la première phrase, les empreintes digitales sont recueillies uniquement par le personnel qualifié et dûment autorisé de ces autorités, sauf dans le cas des demandes présentées aux autorités diplomatiques et consulaires de l'État membre. Afin de garantir la cohérence des éléments d'identification biométriques avec l'identité du demandeur, ce dernier doit se présenter en personne au moins une fois au cours du processus de délivrance pour chaque demande. 2. Les États membres veillent à ce que des procédures appropriées et efficaces soient en place pour le recueil des éléments d'identification biométriques et que ces procédures respectent les droits et les principes énoncés dans la Charte, la convention de sauvegarde des droits de l'homme et des libertés fondamentales et la convention des Nations unies relative aux droits de l'enfant. Lorsque des difficultés se présentent pour recueillir les éléments d'identification biométriques, les États membres veillent à ce que des procédures appropriées soient mises en place pour garantir le respect de la dignité de la personne concernée. 3. Sauf s'ils sont nécessaires aux finalités du traitement dans le respect du droit de l'Union et du droit national, les éléments d'identification biométriques stockés aux fins de la personnalisation des cartes d'identité ou des documents de séjour sont conservés de manière très sécurisée et uniquement jusqu'à la date de remise du document et, en tout état de cause, pas plus de 90 jours à compter de la date de délivrance du document. Après ce délai, ces éléments d'identification biométriques sont immédiatement effacés ou détruits.

Article 11 Protection des données à caractère personnel et responsabilité 1. Sans préjudice du règlement (UE) 2016/679, les États membres veillent à la sécurité, à l'intégrité, à l'authenticité et à la confidentialité des données recueillies et stockées aux fins du présent règlement. 2. Aux fins du présent règlement, les autorités chargées de la délivrance des cartes d'identité et des documents de séjour sont considérées comme le responsable du traitement visé à l'article 4, paragraphe 7, du règlement (UE) 2016/679 et sont responsables du traitement des données à caractère personnel. 3. Les États membres veillent à ce que les autorités de contrôle puissent exercer pleinement leurs missions visées dans le règlement (UE) 2016/679, y compris l'accès à toutes les données à caractère personnel et à toutes les informations nécessaires ainsi que l'accès à tout local ou matériel de traitement des données des autorités compétentes. 4. La coopération avec les prestataires de services extérieurs n'exclut pas la responsabilité d'un État membre qui peut découler du droit de l'Union ou du droit national en cas de manquement aux obligations en matière de données à caractère personnel. 5. Les informations lisibles par machine ne peuvent figurer sur une carte d'identité ou un document de séjour que conformément au présent règlement et au droit national de l'État membre de délivrance. 6. Les données biométriques stockées sur le support de stockage des cartes d'identité et des documents de séjour ne sont utilisées, conformément au droit de l'Union et au droit national, que par le personnel dûment autorisé des autorités nationales compétentes et des agences de l'Union pour vérifier: a) l'authenticité de la carte d'identité ou du document de séjour; b) l'identité du titulaire grâce à des éléments comparables directement disponibles lorsque la loi exige la présentation de la carte d'identité ou du document de séjour. 7. Les États membres tiennent à jour et communiquent chaque année à la Commission la liste des autorités compétentes ayant accès aux données biométriques stockées sur le support de stockage visé à l'article 3, paragraphe 5, du présent règlement. La Commission publie en ligne une compilation de ces listes nationales.

Article 12 Suivi Au plus tard le 2 août 2020, la Commission établit un programme détaillé pour le suivi des réalisations, résultats et incidences dudit règlement, notamment son incidence sur les droits fondamentaux. Le programme de suivi définit les moyens à utiliser et la fréquence à respecter pour la collecte des données et des autres éléments de preuves nécessaires. Il précise les actions à prendre par la Commission et celles à prendre par les États membres dans la collecte et l'analyse des données et des autres éléments de preuves. Les États membres fournissent à la Commission les données et autres éléments de preuve nécessaires à ce suivi.

Article 13 Rapports et évaluation 1. Deux ans, et onze ans, respectivement, après la date d'application du présent règlement, la Commission présente au Parlement européen, au Conseil et au Comité économique et social européen un rapport sur sa mise en œuvre, en particulier sur la protection des droits fondamentaux et des données à caractère personnel. 2. Six ans après la date d'application du présent règlement, et tous les six ans par la suite, la Commission procède à une évaluation de celui-ci et présente un rapport exposant ses principales conclusions au Parlement européen, au Conseil et au Comité économique et social européen. Le rapport porte en particulier sur les points suivants: a) l'incidence du présent règlement sur les droits fondamentaux; b) la mobilité des citoyens de l'Union; c) l'efficacité de la vérification biométrique pour assurer la sécurité des documents de voyage; d) la possibilité d'utiliser les cartes de séjour comme documents de voyage; e) la possibilité d'une harmonisation visuelle plus poussée des cartes d'identité; f) la nécessité d'introduire des éléments de sécurité communs pour les documents d'identification utilisés à titre provisoire pour en faciliter la reconnaissance. 3. Les États membres et les agences concernées de l'Union fournissent à la Commission les informations nécessaires à l'élaboration de ces rapports.

Article 14 Spécifications techniques supplémentaires 1. Afin de garantir, le cas échéant, que les cartes d'identité et les documents de séjour visés à l'article 2, points a) et c), respectent les futures normes de sécurité minimales, la Commission établit, au moyen d'actes d'exécution, des spécifications techniques complémentaires sur: a) les éléments et les exigences de sécurité complémentaires, y compris les normes renforcées de lutte contre la contrefaçon et la falsification; b) les spécifications techniques relatives au support de stockage des éléments biométriques visés à l'article 3, paragraphe 5, et à leur sécurisation, y compris la prévention de l'accès non autorisé et la facilitation de la validation; c) les exigences en matière de qualité et les normes techniques communes en ce qui concerne l'image faciale et les empreintes digitales. Ces actes d'exécution sont adoptés en conformité avec la procédure d'examen visée à l'article 15, paragraphe 2. 2. Conformément à la procédure mentionnée à l'article 15, paragraphe 2, il peut être décidé que les spécifications visées au présent article sont secrètes et ne sont pas publiées. Dans ce cas, elles ne sont communiquées qu'aux organismes chargés par les États membres de l'impression et aux personnes dûment autorisées par un État membre ou par la Commission. 3. Chaque État membre désigne un organisme chargé de l'impression des cartes d'identité ainsi qu'un organisme chargé de l'impression des cartes de séjour des membres de la famille des citoyens de l'Union, et communique le nom de ces organismes à la Commission et aux autres États membres. Les États membres ont le droit de changer d'organisme désigné. Ils en informent la Commission et les autres États membres. Les États membres peuvent également décider de désigner un organisme unique chargé de l'impression des cartes d'identité et des cartes de séjour des membres de la famille des citoyens de l'Union, et ils communiquent le nom de cet organisme à la Commission et aux autres États membres. Deux ou plusieurs États membres peuvent également décider de désigner un organisme unique à ces fins. Ils en informent la Commission et les autres États membres.

Article 15 Comité 1. La Commission est assistée du comité institué par l'article 6 du règlement (CE) no 1683/95 du Conseil. Ce comité est un comité au sens du règlement (UE) no 182/2011. 2. Dans le cas où il est fait référence au présent paragraphe, l'article 5 du règlement (UE) no 182/2011 s'applique. Si le comité n'émet pas d'avis, la Commission n'adopte pas le projet d'acte d'exécution et l'article 5, paragraphe 4, troisième alinéa, du règlement (UE) no 182/2011 est applicable.

Article 16 Entrée en vigueur Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l'Union européenne. Il est applicable à partir du 2 août 2021.

Le présent règlement est obligatoire dans tous ses éléments et directement applicable dans tout État membre. Fait à Bruxelles, le 20 juin 2019. Par le Parlement européen Le président A. TAJANI Par le Conseil Le président G. CIAMBA

(1) JO C 367 du 10.10.2018, p. 78.

(2) Position du Parlement européen du 4 avril 2019 (non encore parue au Journal officiel) et décision du Conseil du 6 juin 2019.

(3) Directive 2004/38/CE du Parlement européen et du Conseil du 29 avril 2004 relative au droit des citoyens de l'Union et des membres de leurs familles de circuler et de séjourner librement sur le territoire des États membres, modifiant le règlement (CEE) n o 1612/68 et abrogeant les directives 64/221/CEE, 68/360/CEE, 72/194/CEE, 73/148/CEE, 75/34/CEE, 75/35/CEE, 90/364/CEE, 90/365/CEE et 93/96/CEE (JO L 158 du 30.4.2004, p. 77).

(4) Règlement (UE) no 910/2014 du Parlement européen et du Conseil du 23 juillet 2014 sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur et abrogeant la directive 1999/93/CE (JO L 257 du 28.8.2014, p. 73).

(5) Règlement (CE) no 1030/2002 du Conseil du 13 juin 2002 établissant un modèle uniforme de titre de séjour pour les ressortissants de pays tiers (JO L 157 du 15.6.2002, p. 1).

(6) Règlement (UE) no 182/2011 du Parlement européen et du Conseil du 16 février 2011 établissant les règles et principes généraux relatifs aux modalités de contrôle par les États membres de l'exercice des compétences d'exécution par la Commission (JO L 55 du 28.2.2011, p. 13).

(7) Règlement (CE) no 1683/95 du Conseil du 29 mai 1995 établissant un modèle type de visa (JO L 164 du 14.7.1995, p. 1).

(8) Règlement (UE) 2017/1954 du Parlement européen et du Conseil du 25 octobre 2017 modifiant le règlement (CE) no 1030/2002 du Conseil établissant un modèle uniforme de titre de séjour pour les ressortissants de pays tiers (JO L 286 du 1.11.2017, p. 9).

(9) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(10) JO L 123 du 12.5.2016, p. 1.

(11) JO C 338 du 21.9.2018, p. 22.

(12) Non encore paru au Journal officiel.

(13) Décision d'exécution C(2018)7767 de la Commission du 30 novembre 2018 établissant les spécifications techniques du modèle uniforme de titre de séjour pour les ressortissants de pays tiers, et abrogeant la décision C(2002)3069.

(14) Règlement (UE) 2018/1724 du Parlement européen et du Conseil du 2 octobre 2018 établissant un portail numérique unique pour donner accès à des informations, à des procédures et à des services d'assistance et de résolution de problèmes, et modifiant le règlement (UE) no 1024/2012 (JO L 295 du 21.11.2018, p. 1).