Règlement (UE) 2025/1208 du Conseil du 12 juin 2025 relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et des documents de séjour délivrés aux citoyens de l’Union et aux membres de leur famille exerçant leur droit à la libre circulation (Texte présentant de l’intérêt pour l’EEE)

Le présent règlement renforce les normes de sécurité applicables aux cartes d’identité délivrées par les États membres à leurs ressortissants et aux documents de séjour délivrés par les États membres aux citoyens de l’Union et aux membres de leur famille lorsqu’ils exercent leur droit à la libre circulation.

Le présent règlement s’applique: a) aux cartes d’identité délivrées par les États membres à leurs propres ressortissants, conformément à l’article 4, paragraphe 3, de la directive 2004/38/CE. b) aux attestations d’enregistrement délivrées conformément à l’article 8 de la directive 2004/38/CE aux citoyens de l’Union résidant depuis plus de trois mois dans un État membre d’accueil et aux documents attestant de la permanence du séjour délivrés conformément à l’article 19 de la directive 2004/38/CE aux citoyens de l’Union sur demande; c) aux cartes de séjour délivrées conformément à l’article 10 de la directive 2004/38/CE aux membres de la famille d’un citoyen de l’Union qui n’ont pas la nationalité d’un État membre et aux cartes de séjour permanent délivrées conformément à l’article 20 de la directive 2004/38/CE aux membres de la famille d’un citoyen de l’Union qui n’ont pas la nationalité d’un État membre. Le présent règlement ne s’applique pas aux documents d’identification délivrés à titre provisoire et dont la durée de validité est égale ou inférieure à six mois.

1 Les cartes d’identité délivrées par les États membres sont de format ID-1 et comportent une zone de lecture automatique (ZLA). Ces cartes d’identité sont établies suivant les spécifications et les normes minimales de sécurité définies dans le document 9303 de l’OACI et respectent les exigences énoncées aux points c), d), f) et g) de l’annexe du règlement (CE) no 1030/2002 tel que modifié par le règlement (UE) 2017/1954.

2 Les éléments de données figurant sur les cartes d’identité respectent les spécifications énoncées à la partie 5 du document 9303 de l’OACI. Par dérogation au premier alinéa, le numéro du document peut être inséré dans la zone I et la désignation du genre de la personne est facultative.

3 Le document porte le titre «Carte d’identité» ou un autre intitulé national reconnu dans la ou les langues officielles de l’État membre de délivrance, ainsi que les mots «Carte d’identité» dans au moins une autre langue officielle de l’Union.

4 La carte d’identité comporte, au recto, le code pays à deux lettres de l’État membre délivrant la carte, imprimé en négatif dans un rectangle bleu et entouré de douze étoiles jaunes.

5 Les cartes d’identité intègrent un support de stockage hautement sécurisé qui contient des données biométriques, à savoir une image faciale du titulaire de la carte et deux empreintes digitales, dans des formats numériques interopérables. Pour le recueil de ces deux types d’éléments d’identification biométriques, les États membres appliquent les spécifications techniques établies par la décision d’exécution C(2018) 7767 de la Commission , telle que modifiée par la décision d’exécution C(2021) 3726 de la Commission .

6 Le support de stockage a une capacité suffisante pour garantir l’intégrité, l’authenticité et la confidentialité des données. Les données stockées sont accessibles sans contact et sécurisées comme le prévoit la décision d’exécution C(2018) 7767, telle que modifiée par la décision d’exécution C(2021) 3726. Les États membres échangent les informations nécessaires pour authentifier le support de stockage ainsi que pour consulter et vérifier les données biométriques visées au paragraphe 5.

7 Les enfants de moins de douze ans peuvent être exemptés de l’obligation de donner leurs empreintes digitales. Les enfants de moins de six ans sont exemptés de l’obligation de donner leurs empreintes digitales. Les personnes dont il est physiquement impossible de relever les empreintes digitales sont exemptées de l’obligation de les donner.

8 Lorsque cela est nécessaire et proportionné à l’objectif visé, les États membres peuvent ajouter des précisions et des observations à usage national requises conformément au droit national. L’efficacité des normes minimales de sécurité et la compatibilité transfrontière des cartes d’identité ne doivent pas en être diminuées.

9 Lorsque les États membres intègrent un composant avec une double interface ou un support de stockage séparé dans la carte d’identité, le support de stockage supplémentaire respecte les normes ISO pertinentes et ne peut interférer avec le support de stockage visé au paragraphe 5.

10 Lorsque les États membres stockent des données pour des services électroniques tels que des services d’administration en ligne ou de commerce électronique dans les cartes d’identité, ces données nationales doivent être physiquement ou logiquement séparées des données biométriques visées au paragraphe 5.

11 Lorsque les États membres ajoutent des éléments de sécurité supplémentaires aux cartes d’identité, la compatibilité transfrontière de ces cartes d’identité et l’efficacité des normes minimales de sécurité ne doivent pas en être diminuées.

1 Les cartes d’identité ont une durée de validité minimale de cinq ans et une durée de validité maximale de dix ans.

2 Par dérogation au paragraphe 1, les États membres peuvent prévoir une durée de validité: a) de moins de cinq ans, pour les cartes d’identité délivrées aux mineurs; b) dans des cas exceptionnels, de moins de cinq ans pour les cartes d’identité délivrées à des personnes dans des circonstances particulières et limitées, et dont la durée de validité est limitée conformément au droit de l’Union et au droit national; c) de plus de dix ans, pour les cartes d’identité délivrées aux personnes âgées de 70 ans et plus.

3 Lorsque aucun des doigts du demandeur ne peut temporairement faire physiquement l’objet d’un relevé d’empreintes digitales, les États membres délivrent une carte d’identité d’une durée de validité égale ou inférieure à douze mois.

1 Les cartes d’identité qui ne satisfont pas aux exigences énoncées à l’article 3 cessent d’être valables à leur expiration ou au plus tard le 3 août 2031, la date la plus proche étant retenue.

2 Par dérogation au paragraphe 1: a) les cartes d’identité qui ne satisfont pas aux normes minimales de sécurité énoncées à la partie 2 du document 9303 de l’OACI ou qui ne comportent pas de ZLA fonctionnelle, telle que définie au paragraphe 3, cessent d’être valables à leur expiration ou au plus tard le 3 août 2026, la date la plus proche étant retenue; b) les cartes d’identité des personnes âgées de 70 ans et plus au 2 août 2021, qui satisfont aux normes minimales de sécurité énoncées à la partie 2 du document 9303 de l’OACI et qui comportent une ZLA fonctionnelle, telle que définie au paragraphe 3, cessent d’être valables à leur expiration.

3 Aux fins du paragraphe 2, on entend par «ZLA fonctionnelle»: a) une zone de lecture automatique conforme au document 9303 de l’OACI; ou b) toute autre zone de lecture automatique pour laquelle l’État membre de délivrance notifie les règles requises pour la lecture et l’affichage des informations qui y sont contenues.

Les documents de séjour, lorsqu’ils sont délivrés par les États membres aux citoyens de l’Union, comportent au moins les informations suivantes: a) le titre du document dans la ou les langues officielles de l’État membre concerné et au moins une autre langue officielle de l’Union; b) une indication claire du fait que le document est délivré à un citoyen de l’Union conformément à la directive 2004/38/CE; c) le numéro du document; d) le nom [nom et prénom(s)] du titulaire; e) la date de naissance du titulaire; f) les informations devant figurer sur les attestations d’enregistrement et les documents attestant de la permanence du séjour, délivrés respectivement conformément aux articles 8 et 19 de la directive 2004/38/CE; g) l’autorité de délivrance; h) au recto, le code pays à deux lettres de l’État membre délivrant le document, imprimé en négatif dans un rectangle bleu entouré de douze étoiles jaunes. Si un État membre décide de relever les empreintes digitales, l’article 3, paragraphe 7, s’applique en conséquence.

1 Lorsqu’ils délivrent des cartes de séjour aux membres de la famille d’un citoyen de l’Union qui n’ont pas la nationalité d’un État membre, les États membres utilisent le même modèle que celui établi par le règlement (CE) no 1030/2002 tel que modifié par le règlement (UE) 2017/1954 et tel que mis en œuvre par la décision d’exécution C(2018) 7767 telle que modifiée par la décision d’exécution C(2021) 3726.

2 Par dérogation au paragraphe 1, une carte porte le titre «Carte de séjour» ou «Carte de séjour permanent». Les États membres indiquent que ces documents sont délivrés à un membre de la famille d’un citoyen de l’Union conformément à la directive 2004/38/CE. À cette fin, les États membres utilisent le code normalisé «Membre famille UE Art 10 DIR 2004/38/CE» ou «Membre famille UE Art 20 DIR 2004/38/CE» dans le champ de données [10] visé à l’annexe du règlement (CE) no 1030/2002 tel que modifié par le règlement (UE) 2017/1954.

3 Les États membres peuvent saisir des données à des fins d’utilisation nationale conformément au droit national. Lorsqu’ils saisissent et conservent ces données, les États membres respectent les exigences énoncées à l’article 4, deuxième alinéa, du règlement (CE) no 1030/2002 tel que modifié par le règlement (UE) 2017/1954.

1 Les cartes de séjour délivrées aux membres de la famille d’un citoyen de l’Union qui n’ont pas la nationalité d’un État membre, qui ne satisfont pas aux exigences de l’article 7 cessent d’être valables à leur expiration ou au plus tard le 3 août 2026, la date la plus proche étant retenue.

2 Par dérogation au paragraphe 1: a) les cartes de séjour délivrées aux membres de la famille d’un citoyen de l’Union qui n’ont pas la nationalité d’un État membre, qui ne satisfont pas aux normes minimales de sécurité énoncées à la partie 2 du document 9303 de l’OACI ou qui ne comportent pas de ZLA fonctionnelle conforme au document 9303 de l’OACI cessent d’être valables; b) les cartes de séjour qui ne satisfont pas aux exigences de l’article 7 mais qui satisfont aux normes minimales de sécurité énoncées à la partie 2 du document 9303 de l’OACI et aux exigences énoncées aux points c) et g) de l’annexe du règlement (CE) no 1030/2002 tel que modifié par le règlement (UE) 2017/1954, cessent d’être valables à leur expiration ou au plus tard le 3 août 2031, la date la plus proche étant retenue.

1 Chaque État membre désigne au moins une autorité centrale comme point de contact pour la mise en œuvre du présent règlement. Lorsqu’un État membre a désigné plus d’une autorité centrale, il désigne parmi ces autorités le point de contact pour la mise en œuvre du présent règlement. Il communique le nom de cette autorité à la Commission et aux autres États membres. Si un État membre change d’autorité désignée, il en informe la Commission et les autres États membres en conséquence.

2 Les États membres veillent à ce que les points de contact connaissent les services d’information et d’assistance pertinents au niveau de l’Union qui figurent sur le portail numérique unique prévu par le règlement (UE) 2018/1724 du Parlement européen et du Conseil , et soient en mesure de coopérer avec ces services.

1 Les éléments d’identification biométriques sont recueillis exclusivement par du personnel qualifié et dûment habilité désigné par les autorités chargées de délivrer les cartes d’identité ou les cartes de séjour, dans le but d’être intégrés sur le support de stockage hautement sécurisé visé à l’article 3, paragraphe 5, pour les cartes d’identité et à l’article 7, paragraphe 1, pour les cartes de séjour. Par dérogation à la première phrase, les empreintes digitales sont recueillies uniquement par le personnel qualifié et dûment autorisé de ces autorités, sauf dans le cas des demandes présentées aux autorités diplomatiques et consulaires de l’État membre. Afin de garantir la cohérence des éléments d’identification biométriques avec l’identité du demandeur, ce dernier doit se présenter en personne au moins une fois au cours du processus de délivrance pour chaque demande.

2 Les États membres veillent à ce que des procédures appropriées et efficaces soient en place pour le recueil des éléments d’identification biométriques et que ces procédures respectent les droits et les principes énoncés dans la Charte, la convention de sauvegarde des droits de l’homme et des libertés fondamentales et la convention des Nations unies relative aux droits de l’enfant. Lorsque des difficultés se présentent pour recueillir les éléments d’identification biométriques, les États membres veillent à ce que des procédures appropriées soient mises en place pour garantir le respect de la dignité de la personne concernée.

3 Les éléments d’identification biométriques stockés aux fins de la personnalisation des cartes d’identité ou des documents de séjour sont conservés de manière très sécurisée et pas plus de 90 jours à compter de la date de délivrance du document. Après ce délai, ces éléments d’identification biométriques sont immédiatement effacés ou détruits. Cette disposition s’entend sans préjudice de la conservation desdits éléments lorsque celle-ci est exigée par le droit de l’Union ou le droit national, dans le respect du droit de l’Union en matière de protection des données.

1 Sans préjudice du règlement (UE) 2016/679, les États membres veillent à la sécurité, à l’intégrité, à l’authenticité et à la confidentialité des données recueillies, consultées et stockées aux fins du présent règlement.

2 Aux fins du présent règlement, les autorités chargées de la délivrance des cartes d’identité et des documents de séjour sont considérées comme le responsable du traitement visé à l’article 4, paragraphe 7, du règlement (UE) 2016/679 et sont responsables du traitement des données à caractère personnel.

3 Les États membres veillent à ce que les autorités de contrôle puissent exercer pleinement leurs missions visées dans le règlement (UE) 2016/679, y compris l’accès à toutes les données à caractère personnel et à toutes les informations nécessaires ainsi que l’accès à tout local ou matériel de traitement des données des autorités compétentes.

4 La coopération avec les prestataires de services extérieurs n’exclut pas la responsabilité d’un État membre qui peut découler du droit de l’Union ou du droit national en cas de manquement aux obligations en matière de données à caractère personnel.

5 Les informations lisibles par machine ne peuvent figurer sur une carte d’identité ou un document de séjour que conformément au présent règlement et au droit national de l’État membre de délivrance.

6 L’image faciale du titulaire stockée sur le support de stockage des cartes d’identité et des documents de séjour n’est consultée que par le personnel dûment autorisé des autorités nationales compétentes, des agences de l’Union et des entités privées et dans le respect du droit de l’Union en matière de protection des données, pour vérifier: a) l’authenticité de la carte d’identité ou du document de séjour; b) l’identité du titulaire grâce à des éléments comparables directement disponibles lorsque la loi exige la présentation de la carte d’identité ou du document de séjour. La consultation de l’image faciale par des entités privées requiert également le consentement du titulaire, à moins que la consultation indépendamment du consentement ne soit strictement nécessaire aux fins énoncées au premier alinéa et prévue par le droit de l’Union ou le droit national dans le respect du droit de l’Union en matière de protection des données. L’image faciale consultée en vertu du premier alinéa n’est conservée que si son traitement ultérieur est nécessaire aux fins énoncées au premier alinéa et prévu par le droit de l’Union ou le droit national, dans le respect du droit de l’Union en matière de protection des données. L’image faciale n’est pas conservée plus longtemps que nécessaire à ces fins, ou alors elle est supprimée dès que la vérification visée au premier alinéa est achevée, et elle n’est pas transférée à des pays tiers ou à des organisations internationales, sauf si le droit de l’Union en matière de protection des données le permet.

7 Les deux empreintes digitales du titulaire stockées sur le support de stockage des cartes d’identité et des documents de séjour sont consultées uniquement: a) aux fins énoncées au paragraphe 6, premier alinéa; b) dans le respect du droit de l’Union en matière de protection des données; c) par le personnel dûment autorisé des autorités nationales compétentes et des agences de l’Union; et d) lorsque le droit de l’Union ou le droit national exige la présentation du document. Les deux empreintes digitales consultées en vertu du présent paragraphe ne sont pas conservées.

1 Au plus tard le 11 juillet 2026, la Commission établit un programme détaillé pour le suivi des réalisations, résultats et incidences du présent règlement, notamment son incidence sur les droits fondamentaux.

2 Le programme de suivi définit les moyens à utiliser et la fréquence à respecter pour la collecte des données et des autres éléments de preuves nécessaires. Il précise les actions à prendre par la Commission et celles à prendre par les États membres dans la collecte et l’analyse des données et des autres éléments de preuve.

3 Les États membres fournissent à la Commission les données et autres éléments de preuve nécessaires à ce suivi.

1 Au plus tard le 11 juillet 2031, la Commission procède à une évaluation du présent règlement et présente un rapport exposant ses principales conclusions au Parlement européen, au Conseil et au Comité économique et social européen. Le rapport porte en particulier sur les points suivants: a) l’incidence du présent règlement sur les droits fondamentaux; b) la mobilité des citoyens de l’Union; c) l’efficacité de la vérification biométrique pour assurer la sécurité des documents de voyage; d) la possibilité d’une harmonisation visuelle plus poussée des cartes d’identité; e) la nécessité d’harmoniser davantage les éléments de sécurité des documents de séjour.

2 Les États membres et les agences concernées de l’Union fournissent à la Commission les informations nécessaires à l’élaboration dudit rapport.

1 Afin de garantir, le cas échéant, que les cartes d’identité et les documents de séjour visés à l’article 2, points a) et c), respectent les futures normes de sécurité minimales, la Commission établit, au moyen d’actes d’exécution, des spécifications techniques complémentaires sur: a) les éléments et les exigences de sécurité complémentaires, y compris les normes renforcées de lutte contre la contrefaçon et la falsification; b) les spécifications techniques relatives au support de stockage des éléments biométriques visés à l’article 3, paragraphe 5, et à leur sécurisation, y compris la prévention de l’accès non autorisé et la facilitation de la validation; c) les exigences en matière de qualité et les normes techniques communes en ce qui concerne l’image faciale et les empreintes digitales. Ces actes d’exécution sont adoptés en conformité avec la procédure d’examen visée à l’article 15, paragraphe 2.

2 Conformément à la procédure visée à l’article 15, paragraphe 2, il peut être décidé que les spécifications visées au présent article sont secrètes et ne sont pas publiées. Dans ce cas, elles ne sont communiquées qu’aux organismes chargés par les États membres de l’impression et aux personnes dûment autorisées par un État membre ou par la Commission.

3 Chaque État membre désigne un organisme chargé de l’impression des cartes d’identité ainsi qu’un organisme chargé de l’impression des cartes de séjour des membres de la famille des citoyens de l’Union, et communique le nom de ces organismes à la Commission et aux autres États membres. Les États membres ont le droit de changer d’organisme désigné. Ils en informent la Commission et les autres États membres. Les États membres peuvent également décider de désigner un organisme unique chargé de l’impression des cartes d’identité et des cartes de séjour des membres de la famille des citoyens de l’Union, et ils communiquent le nom de cet organisme à la Commission et aux autres États membres. Deux ou plusieurs États membres peuvent également décider de désigner un organisme unique à ces fins. Ils en informent la Commission et les autres États membres.

1 La Commission est assistée par le comité institué par l’article 6 du règlement (CE) no 1683/95. Ledit comité est un comité au sens du règlement (UE) no 182/2011.

2 Lorsqu’il est fait référence au présent paragraphe, l’article 5 du règlement (UE) no 182/2011 s’applique. Lorsque le comité n’émet aucun avis, la Commission n’adopte pas le projet d’acte d’exécution, et l’article 5, paragraphe 4, troisième alinéa, du règlement (UE) no 182/2011 s’applique.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.