(1)

Le traité sur l'Union européenne souligne la détermination des États membres à faciliter la libre circulation des personnes, tout en assurant la sûreté et la sécurité de leurs peuples, en établissant un espace de liberté, de sécurité et de justice, conformément aux dispositions du traité sur l'Union européenne et du traité sur le fonctionnement de l'Union européenne.

(2)

La citoyenneté de l'Union confère à tout citoyen de l'Union le droit à la libre circulation sous réserve de certaines limitations et conditions. La directive 2004/38/CE du Parlement européen et du Conseil (3) donne effet à ce droit. L'article 45 de la Charte des droits fondamentaux de l'Union européenne (ci-après dénommée «Charte») prévoit également la liberté de circulation et de séjour. La liberté de circulation implique le droit de sortir d'un État membre ou d'y entrer avec une carte d'identité ou un passeport en cours de validité.

(3)

En vertu de la directive 2004/38/CE, les États membres doivent délivrer et renouveler les cartes d'identité ou les passeports de leurs ressortissants conformément à leur législation nationale. En outre, cette directive prévoit que les États membres peuvent exiger des citoyens de l'Union et des membres de leur famille qu'ils s'enregistrent auprès des autorités compétentes. Les États membres sont tenus de délivrer des attestations d'enregistrement aux citoyens de l'Union dans les conditions énoncées dans ladite directive. En vertu de ladite directive, les États membres sont également tenus de délivrer des cartes de séjour aux membres de la famille qui n'ont pas la nationalité d'un État membre et, sur demande, de délivrer des documents attestant de la permanence du séjour et de délivrer des cartes de séjour permanent.

(4)

La directive 2004/38/CE prévoit que les États membres peuvent adopter les mesures nécessaires pour refuser, annuler ou retirer tout droit conféré par ladite directive en cas d'abus de droit ou de fraude. La falsification de documents ou la description fallacieuse d'un fait matériel concernant les conditions attachées au droit de séjour ont été identifiées comme des cas typiques de fraude dans le cadre de cette directive.

(5)

Des différences considérables existent entre les niveaux de sécurité des cartes nationales d'identité délivrées par les États membres et des documents de séjour des ressortissants de l'Union résidant dans un autre État membre et des membres de leur famille. Ces différences augmentent le risque de falsification et de fraude documentaire et entraînent également des difficultés pratiques pour les citoyens lorsqu'ils cherchent à exercer leur droit à la libre circulation. Les statistiques du réseau d'analyse des risques de fraude documentaire dans l'Union indiquent que le nombre de cartes d'identité frauduleuses en circulation augmente avec le temps.

(6)

Dans sa communication du 14 septembre 2016 intitulée «Accroître la sécurité dans un monde de mobilité: améliorer l'échange d'informations dans la lutte contre le terrorisme et renforcer les frontières extérieures», la Commission soulignait qu'il est primordial de disposer de documents de voyage et d'identité sûrs lorsqu'il est nécessaire d'établir l'identité d'une personne sans qu'il subsiste le moindre doute, et annonçait qu'elle présenterait un plan d'action visant à lutter contre les fraudes liées aux documents de voyage. Selon cette communication, toute approche améliorée doit reposer sur des systèmes solides pour prévenir les abus et les menaces pour la sécurité intérieure dus à des failles dans la sécurité des documents, en particulier pour ce qui est du terrorisme et de la criminalité transfrontière.

(7)

Selon le plan d'action de la Commission du 8 décembre 2016 visant à renforcer la réponse de l'Union européenne aux fraudes liées aux documents de voyage (ci-après dénommé «plan d'action de 2016»), au moins trois quarts des documents frauduleux détectés aux frontières extérieures, mais également dans l'espace sans contrôle aux frontières intérieures, imitent certains documents délivrés par des États membres et des pays associés à l'espace Schengen. Les cartes nationales d'identité d'un moindre degré de sécurité délivrées par des États membres sont les faux documents les plus fréquemment détectés en ce qui concerne les déplacements à l'intérieur de l'espace Schengen.

(8)

Afin de prévenir la fraude à l'identité, les États membres devraient veiller à ce que la falsification et la contrefaçon des documents d'identification ainsi que l'utilisation de ces documents falsifiés ou contrefaits soient pénalisées de manière adéquate par leur droit national.

(9)

Le plan d'action de 2016 abordait les risques liés aux cartes d'identité et aux documents de séjour frauduleux. Dans le plan d'action de 2016 et dans son rapport sur la citoyenneté de l'Union de 2017, la Commission s'engageait à analyser les options stratégiques permettant d'améliorer la sécurité des cartes d'identité et des documents de séjour.

(10)

Selon le plan d'action de 2016, la délivrance de cartes d'identité authentiques et sûres nécessite un processus fiable d'enregistrement de l'identité et des documents «sources» sûrs à l'appui du processus de la demande. La Commission, les États membres et les agences concernées de l'Union devraient continuer à coopérer pour rendre les documents sources moins vulnérables à la fraude, étant donné l'utilisation accrue de documents sources falsifiés.

(11)

Le présent règlement n'impose pas aux États membres d'introduire des cartes d'identité ou des documents de séjour lorsque ces documents ne sont pas prévus par le droit national, pas plus qu'il n'affecte la compétence des États membres de délivrer, en vertu du droit national, d'autres documents de séjour qui se situent en dehors du champ d'application du droit de l'Union, par exemple les cartes de séjour délivrées à tous les résidents sur le territoire, quelle que soit leur nationalité.

(12)

Le présent règlement n'empêche pas les États membres d'accepter, de manière non discriminatoire, des documents autres que les documents de voyage, à des fins d'identification, tels les permis de conduire.

(13)

Les documents d'identification délivrés aux citoyens dont les droits de libre circulation ont été restreints conformément au droit de l'Union ou au droit national, et qui indiquent expressément qu'ils ne peuvent pas être utilisés comme documents de voyage, ne devraient pas être considérés comme relevant du champ d'application du présent règlement.

(14)

Les documents de voyage conformes à la cinquième partie du document 9303 de l'Organisation de l'aviation civile internationale (OACI) relative aux documents lisibles par machine (septième édition, 2015) (ci-après dénommé «document 9303 de l'OACI») qui ne servent pas à des fins d'identification dans les États membres de délivrance, telles que les cartes de passeport délivrées par l'Irlande, ne devraient pas être considérés comme relevant du champ d'application du présent règlement.

(15)

Le présent règlement n'affecte pas l'utilisation à d'autres fins des cartes d'identité et des documents de séjour avec fonction eID par les États membres, ni les règles établies dans le règlement (UE) no 910/2014 du Parlement européen et du Conseil (4), qui prévoit la reconnaissance mutuelle à l'échelle de l'Union des identifications électroniques pour l'accès aux services publics et aide les citoyens se rendant dans un autre État membre en exigeant la reconnaissance des moyens d'identification électronique sous réserve de certaines conditions. L'amélioration des cartes d'identité devrait viser à faciliter l'identification et à contribuer à avoir un meilleur accès aux services.

(16)

Une vérification adéquate des cartes d'identité et des documents de séjour exige que les États membres utilisent le titre correct pour chaque type de document couvert par le présent règlement. Afin de faciliter la vérification des documents couverts par le présent règlement dans d'autres États membres, le titre du document devrait également apparaître dans au moins une autre langue officielle supplémentaire des institutions de l'Union. Lorsque les États membres utilisent déjà, pour les cartes d'identité, des appellations bien établies autres que le titre «carte d'identité», ils devraient pouvoir continuer à le faire dans leur(s) langue(s) officielle(s). Toutefois, aucune nouvelle désignation ne devrait être introduite à l'avenir.

(17)

Les éléments de sécurité sont nécessaires pour vérifier l'authenticité d'un document et pour établir l'identité d'une personne. L'établissement de normes minimales de sécurité et l'intégration de données biométriques dans les cartes d'identité et les cartes de séjour des membres de la famille qui n'ont pas la nationalité d'un État membre sont des étapes importantes pour rendre leur utilisation dans l'Union plus sûre. L'ajout de tels éléments d'identification biométriques devrait permettre aux citoyens de l'Union de profiter pleinement de leurs droits à la libre circulation.

(18)

Le stockage d'une image faciale et de deux empreintes digitales (ci-après dénommées «données biométriques») sur les cartes d'identité et les cartes de séjour, comme cela est déjà prévu pour les passeports et titres de séjour biométriques des ressortissants de pays tiers, combine de manière appropriée une identification et une authentification fiables avec une réduction du risque de fraude, dans l'optique de renforcer la sécurité des cartes d'identité et des cartes de séjour.

(19)

De manière générale, les États membres devraient, aux fins de la vérification de l'authenticité du document et de l'identité du titulaire, vérifier en priorité l'image faciale et, si nécessaire pour confirmer sans aucun doute l'authenticité du document et l'identité du titulaire, les États membres devraient également vérifier les empreintes digitales.

(20)

Les États membres devraient veiller à ce qu'une vérification manuelle soit effectuée obligatoirement par du personnel qualifié lorsqu'une vérification des données biométriques ne confirme pas l'authenticité du document ou l'identité de son titulaire.

(21)

Le présent règlement ne fournit pas de base juridique pour la création ou la tenue à jour de bases de données au niveau national pour le stockage de données biométriques dans les États membres, qui relève du droit national qui doit respecter le droit de l'Union en matière de protection des données. En outre, le présent règlement ne fournit pas de base juridique pour la création ou la tenue à jour d'une base de données centralisée au niveau de l'Union.

(22)

Les éléments d'identification biométriques devraient être recueillis et stockés sur le support de stockage des cartes d'identité et des documents de séjour aux fins de la vérification de l'authenticité du document et de l'identité du titulaire. Une telle vérification ne devrait être effectuée que par du personnel dûment autorisé et uniquement lorsque la loi exige la présentation du document. En outre, les données biométriques stockées aux fins de la personnalisation des cartes d'identité ou des documents de séjour devraient être conservées de manière très sécurisée et uniquement jusqu'à la date de remise du document et, en tout état de cause, pas plus de 90 jours à compter de la date de délivrance du document. Après ce délai, ces données biométriques devraient être immédiatement effacées ou détruites. Cela devrait s'entendre sans préjudice de tout autre traitement de ces données conformément au droit de l'Union et au droit national en matière de protection des données.

(23)

Les spécifications du document 9303 de l'OACI qui garantissent l'interopérabilité mondiale, y compris en ce qui concerne la lecture par machine et l'utilisation de l'inspection visuelle, devraient être prises en compte aux fins du présent règlement.

(24)

Les États membres devraient pouvoir décider d'inclure ou non le genre d'une personne dans un document relevant du présent règlement. Lorsqu'un État membre inclut le genre d'une personne dans un tel document, il convient d'utiliser les spécifications du document 9303 de l'OACI «F», «M» ou «X», ou l'initiale unique correspondante utilisée dans la langue ou dans les langues de cet État membre, selon le cas.

(25)

Il convient de conférer des compétences d'exécution à la Commission afin que les futures normes de sécurité et spécifications techniques adoptées en vertu du règlement (CE) no 1030/2002 du Conseil (5) soient dûment prises en compte, le cas échéant, pour les cartes d'identité et les cartes de séjour. Ces compétences devraient être exercées en conformité avec le règlement (UE) no 182/2011 du Parlement européen et du Conseil (6). À cet effet, la Commission devrait être assistée par le comité institué par l'article 6 du règlement (CE) no 1683/95 du Conseil (7). Si nécessaire, les actes d'exécution adoptés devraient pouvoir rester secrets afin de prévenir le risque de contrefaçon et de falsification.

(26)

Les États membres devraient veiller à ce que des procédures appropriées et efficaces soient mises en place pour le recueil des éléments d'identification biométriques et que ces procédures respectent les droits et principes énoncés dans la Charte, la convention de sauvegarde des droits de l'homme et des libertés fondamentales du Conseil de l'Europe et la convention des Nations unies relative aux droits de l'enfant. Les États membres devraient veiller à ce que l'intérêt supérieur de l'enfant soit une considération primordiale tout au long de la procédure de recueil. À cette fin, le personnel qualifié devrait recevoir une formation appropriée sur les pratiques adaptées aux enfants pour le recueil des éléments d'identification biométriques.

(27)

Lorsque des difficultés se présentent pour recueillir les éléments d'identification biométriques, les États membres devraient veiller à ce que des procédures appropriées soient mises en place pour respecter la dignité de la personne concernée. Par conséquent, il y a lieu de tenir compte de considérations particulières relatives au genre et aux besoins spécifiques des enfants et des personnes vulnérables.

(28)

L'introduction de normes minimales en matière de sécurité et de format pour les cartes d'identité devrait permettre aux États membres de s'appuyer sur l'authenticité de ces documents lorsque les citoyens de l'Union exercent leur droit à la libre circulation. L'introduction de normes de sécurité renforcées devrait offrir des garanties suffisantes aux autorités publiques et aux entités privées pour leur permettre de se fier à l'authenticité des cartes d'identité lorsqu'elles sont utilisées par les citoyens de l'Union à des fins d'identification.

(29)

Un signe distinctif, se présentant sous la forme du code du pays à deux lettres de l'État membre délivrant le document, imprimé en négatif dans un rectangle bleu et entouré de douze étoiles jaunes, facilite l'inspection visuelle du document, notamment lorsque le titulaire exerce son droit à la libre circulation.

(30)

Bien qu'il reste possible d'intégrer des éléments nationaux supplémentaires, les États membres devraient veiller à ce que ces éléments ne diminuent pas l'efficacité des éléments de sécurité communs et n'aient pas d'incidence négative sur la compatibilité transfrontalière des cartes d'identité, comme la capacité de lire les cartes d'identité sur des machines utilisées par des États membres autres que l'État membre de délivrance des cartes d'identité.

(31)

L'établissement de normes de sécurité pour les cartes d'identité et les cartes de séjour des membres de la famille qui ne sont pas des ressortissants d'un État membre ne devrait pas générer d'augmentation disproportionnée des coûts pour les citoyens de l'Union ou les ressortissants de pays tiers. Les États membres devraient tenir compte de ce principe lors de la publication d'appels d'offres.

(32)

Les États membres devraient prendre toutes les mesures nécessaires pour que les données biométriques identifient correctement la personne à laquelle une carte d'identité est délivrée. À cette fin, les États membres pourraient envisager de recueillir les éléments d'identification biométriques, en particulier l'image faciale, au moyen d'un enregistrement en direct par les autorités nationales délivrant les cartes d'identité.

(33)

Les États membres devraient échanger entre eux les informations nécessaires pour accéder aux informations contenues sur le support de stockage sécurisé, les authentifier et les vérifier. Les formats utilisés pour le support de stockage sécurisé devraient être interopérables, notamment pour ce qui est des points de passage frontaliers automatisés.

(34)

La directive 2004/38/CE traite de la situation dans laquelle les citoyens de l'Union, ou les membres de la famille de citoyens de l'Union qui n'ont pas la nationalité d'un État membre, qui ne disposent pas des documents de voyage nécessaires doivent se voir offrir toutes les possibilités raisonnables de prouver par d'autres moyens leur qualité de bénéficiaires du droit à la libre circulation. Ces moyens peuvent comprendre les documents d'identification utilisés à titre provisoire et les cartes de séjour délivrées à ces membres de la famille.

(35)

Le présent règlement respecte les obligations énoncées dans la Charte et dans la convention des Nations unies relative aux droits des personnes handicapées. Par conséquent, les États membres sont encouragés à coopérer avec la Commission pour intégrer des éléments supplémentaires qui rendent les cartes d'identité plus accessibles et plus conviviales pour les personnes handicapées, telles que les malvoyants. Les États membres doivent se pencher sur le recours à des solutions, telles que des dispositifs d'enregistrement mobiles, pour la délivrance de cartes d'identité aux personnes incapables de se rendre auprès des autorités chargées de la délivrance des cartes d'identité.

(36)

Les documents de séjour délivrés aux citoyens de l'Union devraient inclure des informations spécifiques afin de garantir leur identification comme tels dans tous les États membres. Cette mesure devrait faciliter la reconnaissance de l'exercice par un citoyen de l'Union de son droit à la libre circulation et des droits inhérents à cet exercice, mais l'harmonisation ne devrait pas excéder ce qui est approprié pour remédier aux lacunes des documents actuels. Les États membres sont libres de choisir le format dans lequel ces documents sont délivrés et pourraient opter pour un format qui respecte les spécifications du document 9303 de l'OACI.

(37)

En ce qui concerne les documents de séjour délivrés aux membres de la famille qui n'ont pas la nationalité d'un État membre, il convient d'utiliser le même modèle et les mêmes éléments de sécurité que ceux prévus par le règlement (CE) no 1030/2002, tel qu'amendé par le règlement (UE) 2017/1954 du Parlement européen et du Conseil (8). En plus de prouver le droit de séjour, ces documents dispensent également leurs titulaires, qui sont autrement soumis à une obligation de visa, de satisfaire à l'obligation d'être en possession d'un visa lorsqu'ils accompagnent ou rejoignent le citoyen de l'Union sur le territoire de l'Union.

(38)

La directive 2004/38/CE prévoit que les documents délivrés aux membres de la famille qui n'ont pas la nationalité d'un État membre sont dénommés «Carte de séjour de membre de la famille d'un citoyen de l'Union». Afin de faciliter leur identification, les cartes de séjour d'un membre de la famille d'un citoyen de l'Union devraient comporter un titre et un code normalisés.

(39)

En tenant compte à la fois du risque pour la sécurité et des coûts supportés par les États membres, les cartes d'identité ainsi que les cartes de séjour de membres de la famille d'un citoyen de l'Union dont les normes de sécurité sont insuffisantes devraient être progressivement éliminées. En règle générale, une période de suppression progressive de dix ans pour les cartes d'identité et de cinq ans pour les cartes de séjour devrait suffire pour trouver un équilibre entre la fréquence à laquelle les documents sont habituellement remplacés et la nécessité de combler le vide sécuritaire existant au sein de l'Union. Toutefois, pour les cartes qui n'intègrent pas d'éléments de sécurité importants, ou qui ne sont pas lisibles à la machine, une période de suppression progressive plus courte est nécessaire pour des raisons de sécurité.

(40)

Le règlement (UE) 2016/679 du Parlement européen et du Conseil (9) s'applique en ce qui concerne les données à caractère personnel à traiter dans le cadre de l'application du présent règlement. Il est nécessaire de préciser davantage les garanties applicables aux données à caractère personnel traitées, et en particulier aux données sensibles, telles que les éléments d'identification biométriques. Les personnes concernées devraient être informées de l'existence, dans leurs documents, du support de stockage contenant leurs données biométriques, y compris de son accessibilité sous une forme sans contact, ainsi que de tous les cas où les données contenues dans leurs cartes d'identité et documents de séjour sont utilisées. En tout état de cause, les personnes concernées devraient avoir accès aux données à caractère personnel traitées dans leurs cartes d'identité et documents de séjour et devraient avoir le droit de les faire rectifier au moyen de la délivrance d'un nouveau document dans lequel ces données erronées ou incomplètes sont corrigées ou complétées. Le support de stockage devrait être hautement sécurisé et les données à caractère personnel qu'il contient devraient être protégées efficacement contre l'accès non autorisé.

(41)

Il convient que les États membres soient responsables du traitement correct des données biométriques, du recueil à l'intégration des données sur le support de stockage hautement sécurisé, conformément au règlement (UE) 2016/679.

(42)

Les États membres devraient être particulièrement vigilants lorsqu'ils coopèrent avec un prestataire de services extérieur. Une telle coopération ne devrait pas exclure la responsabilité des États membres découlant du droit de l'Union ou du droit national en cas de manquement aux obligations relatives aux données à caractère personnel.

(43)

Il est nécessaire de préciser dans le présent règlement la base applicable au recueil et au stockage des données sur le support de stockage des cartes d'identité et des documents de séjour. Conformément au droit de l'Union ou au droit national, et dans le respect des principes de nécessité et de proportionnalité, les États membres devraient pouvoir stocker d'autres données sur un support de stockage pour des services électroniques ou à d'autres fins liées à la carte d'identité ou au document de séjour. Le traitement de ces autres données, y compris leur recueil et les fins auxquelles elles peuvent être utilisées, devrait être autorisé par le droit de l'Union ou le droit national. Toutes les données nationales devraient être physiquement ou logiquement séparées des données biométriques visées dans le présent règlement et être traitées conformément au règlement (UE) 2016/679.

(44)

Les États membres devraient appliquer le présent règlement au plus tard 24 mois après la date d'entrée en vigueur. À compter de la date d'application du présent règlement, les États membres ne devraient délivrer que des documents qui respectent les exigences énoncées dans le présent règlement.

(45)

La Commission devrait faire rapport sur la mise en œuvre du présent règlement deux ans, et onze ans, respectivement, après sa date d'application, y compris sur la pertinence du niveau de sécurité prévu, en tenant compte de son incidence sur les droits fondamentaux et les principes en matière de protection des données. Conformément à l'accord interinstitutionnel du 13 avril 2016«Mieux légiférer» (10), la Commission devrait, six ans après la date d'application du présent règlement, et tous les six ans par la suite, évaluer le présent règlement sur la base des informations recueillies selon des modalités de suivi spécifiques, afin d'évaluer les effets réels du présent règlement et la nécessité de toute nouvelle action. Aux fins du suivi, les États membres devraient collecter des statistiques sur le nombre de cartes d'identité et de documents de séjour qu'ils ont délivrés.

(46)

Étant donné que les objectifs du présent règlement, à savoir renforcer la sécurité pour faciliter l'exercice des droits à la libre circulation par les citoyens de l'Union et les membres de leur famille, ne peuvent pas être atteints de manière suffisante par les États membres mais peuvent, en raison des dimensions et des effets de l'action, l'être mieux au niveau de l'Union, celle-ci peut prendre des mesures, conformément au principe de subsidiarité consacré à l'article 5 du traité sur l'Union européenne. Conformément au principe de proportionnalité tel qu'énoncé audit article, le présent règlement n'excède pas ce qui est nécessaire pour atteindre ces objectifs.

(47)

Le présent règlement respecte les droits fondamentaux et observe les principes énoncés dans la Charte, notamment la dignité humaine, le droit à l'intégrité de la personne, l'interdiction des traitements inhumains ou dégradants, le droit à l'égalité en droit, le droit à la non-discrimination, les droits de l'enfant, les droits des personnes âgées, le droit au respect de la vie privée et familiale, le droit à la protection des données à caractère personnel, le droit à la libre circulation et le droit à un recours effectif. Lorsqu'ils mettent en œuvre le présent règlement, les États membres devraient respecter la Charte.

(48)

Le Contrôleur européen de la protection des données et l'Agence des droits fondamentaux de l'Union européenne ont rendu un avis, respectivement le 10 août 2018 (11) et le 5 septembre 2018 (12),