Concluziile avocatei generale L. Medina prezentate la 1 august 2025.###

Prezenta cauză privește obligația unui operator, astfel cum este definită la articolul 4 punctul 7 din Regulamentul (UE) 2016/679 (denumit în continuare „RGPD”) ( 2 ), de a furniza informații unei persoane vizate în cazul în care datele cu caracter personal sunt colectate prin intermediul unei camere video corporale purtate de controlorii de bilete pe mijloacele de transport în comun. Obligația operatorului de a furniza informații persoanelor vizate de prelucrarea datelor cu caracter personal reprezintă corolarul dreptului la informare care este conferit acestor persoane vizate de articolele 12-14 din RGPD ( 3 ). Ca piatră de temelie a principiului transparenței ( 4 ), dreptul la informare „garantează transparența tuturor prelucrărilor” în contextul RGPD ( 5 ).

Mai precis, Curtea este invitată să se pronunțe cu privire la întrebarea dacă, în situații care presupun colectarea de date prin intermediul unei camere video corporale, temeiul juridic adecvat este articolul 13 sau articolul 14 din RGPD. Delimitarea domeniului de aplicare al fiecăreia dintre aceste dispoziții are consecințe serioase asupra momentului furnizării de informații, precum și asupra eventualelor excepții.

Articolul 13 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată”, prevede: „(1) În cazul în care datele cu caracter personal referitoare la o persoană vizată sunt colectate de la aceasta, operatorul, în momentul obținerii acestor date cu caracter personal, furnizează persoanei vizate toate informațiile următoare: (a) identitatea și datele de contact ale operatorului și, după caz, ale reprezentantului acestuia; (b) datele de contact ale responsabilului cu protecția datelor, după caz; (c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării; (d) în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță; (e) destinatarii sau categoriile de destinatari ai datelor cu caracter personal, după caz; (f) dacă este cazul, intenția operatorului de a transfera date cu caracter personal către o țară terță sau o organizație internațională și existența sau absența unei decizii a Comisiei privind caracterul adecvat sau, în cazul transferurilor menționate la articolul 46 sau 47 sau la articolul 49 alineatul (1) al doilea paragraf, o trimitere la garanțiile adecvate sau corespunzătoare și la mijloacele de a obține o copie a acestora, în cazul în care acestea au fost puse la dispoziție. (2) În plus față de informațiile menționate la alineatul (1), în momentul în care datele cu caracter personal sunt obținute, operatorul furnizează persoanei vizate următoarele informații suplimentare necesare pentru a asigura o prelucrare echitabilă și transparentă: (a) perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă; (b) existența dreptului de a solicita operatorului, în ceea ce privește datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ștergerea acestora sau restricționarea prelucrării sau a dreptului de a se opune prelucrării, precum și a dreptului la portabilitatea datelor; (c) atunci când prelucrarea se bazează pe articolul 6 alineatul (1) litera (a) sau pe articolul 9 alineatul (2) litera (a), existența dreptului de a retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia; (d) dreptul de a depune o plângere în fața unei autorități de supraveghere; (e) dacă furnizarea de date cu caracter personal reprezintă o obligație legală sau contractuală sau o obligație necesară pentru încheierea unui contract, precum și dacă persoana vizată este obligată să furnizeze aceste date cu caracter personal și care sunt eventualele consecințe ale nerespectării acestei obligații; (f) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată. (3) În cazul în care operatorul intenționează să prelucreze ulterior datele cu caracter personal într‑un alt scop decât cel pentru care acestea au fost colectate, operatorul furnizează persoanei vizate, înainte de această prelucrare ulterioară, informații privind scopul secundar respectiv și orice informații suplimentare relevante, în conformitate cu alineatul (2). (4) Alineatele (1), (2) și (3) nu se aplică dacă și în măsura în care persoana vizată deține deja informațiile respective.”

Articolul 14 din RGPD, intitulat „Informații care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată”, prevede: „(1) În cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, operatorul furnizează persoanei vizate următoarele informații: (a) identitatea și datele de contact ale operatorului și, după caz, ale reprezentantului acestuia; (b) datele de contact ale responsabilului cu protecția datelor, după caz; (c) scopurile în care sunt prelucrate datele cu caracter personal, precum și temeiul juridic al prelucrării; (d) categoriile de date cu caracter personal vizate; (e) destinatarii sau categoriile de destinatari ai datelor cu caracter personal, după caz; (f) dacă este cazul, intenția operatorului de a transfera date cu caracter personal către un destinatar dintr‑o țară terță sau o organizație internațională și existența sau absența unei decizii a Comisiei [Europene] privind caracterul adecvat […] (2) Pe lângă informațiile menționate la alineatul (1), operatorul furnizează persoanei vizate următoarele informații necesare pentru a asigura o prelucrare echitabilă și transparentă în ceea ce privește persoana vizată: (a) perioada pentru care vor fi stocate datele cu caracter personal sau, dacă acest lucru nu este posibil, criteriile utilizate pentru a stabili această perioadă; (b) în cazul în care prelucrarea se face în temeiul articolului 6 alineatul (1) litera (f), interesele legitime urmărite de operator sau de o parte terță; (c) existența dreptului de a solicita operatorului, în ceea ce privește datele cu caracter personal referitoare la persoana vizată, accesul la acestea, rectificarea sau ștergerea acestora sau restricționarea prelucrării și a dreptului de a se opune prelucrării, precum și a dreptului la portabilitatea datelor; (d) atunci când prelucrarea se bazează pe articolul 6 alineatul (1) litera (a) sau pe articolul 9 alineatul (2) litera (a), existența dreptului de a retrage consimțământul în orice moment, fără a afecta legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia; (e) dreptul de a depune o plângere în fața unei autorități de supraveghere; (f) sursa din care provin datele cu caracter personal și, dacă este cazul, dacă acestea provin din surse disponibile public; (g) existența unui proces decizional automatizat incluzând crearea de profiluri, menționat la articolul 22 alineatele (1) și (4), precum și, cel puțin în cazurile respective, informații pertinente privind logica utilizată și privind importanța și consecințele preconizate ale unei astfel de prelucrări pentru persoana vizată. (3) Operatorul furnizează informațiile menționate la alineatele (1) și (2): (a) într‑un termen rezonabil după obținerea datelor cu caracter personal, dar nu mai mare de o lună, ținându‑se seama de circumstanțele specifice în care sunt prelucrate datele cu caracter personal; (b) dacă datele cu caracter personal urmează să fie utilizate pentru comunicarea cu persoana vizată, cel târziu în momentul primei comunicări către persoana vizată respectivă, sau (c) dacă se intenționează divulgarea datelor cu caracter personal către un alt destinatar, cel mai târziu la data la care acestea sunt divulgate pentru prima oară. (4) În cazul în care operatorul intenționează să prelucreze ulterior datele cu caracter personal într‑un alt scop decât cel pentru care acestea au fost obținute, operatorul furnizează persoanei vizate, înainte de această prelucrare ulterioară, informații privind scopul secundar respectiv și orice informații suplimentare relevante, în conformitate cu alineatul (2). (5) Alineatele (1)-(4) nu se aplică dacă și în măsura în care: (a) persoana vizată deține deja informațiile; (b) furnizarea acestor informații se dovedește a fi imposibilă sau ar implica eforturi disproporționate, în special în cazul prelucrării în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, sub rezerva condițiilor și a garanțiilor prevăzute la articolul 89 alineatul (1), sau în măsura în care obligația menționată la alineatul (1) din prezentul articol este susceptibilă să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective. În astfel de cazuri, operatorul ia măsuri adecvate pentru a proteja drepturile, libertățile și interesele legitime ale persoanei vizate, inclusiv punerea informațiilor la dispoziția publicului; […]”

AB Storstockholms Lokaltrafik (Societatea de transport public din Stockholm, denumită în continuare „SL”) prestează servicii de transport în comun. Societatea și‑a echipat controlorii de bilete cu camere video corporale. Camerele video sunt utilizate pentru a filma pasagerii care nu dețin un bilet valabil atunci când se efectuează controlul biletelor și cărora li se aplică o amendă. Utilizarea camerelor video corporale este menită să prevină și să dovedească amenințările și violențele la adresa controlorilor și să asigure verificarea identității pasagerilor care trebuie să plătească o amendă.

În cursul activităților sale de supraveghere, Integritetsskyddsmyndigheten (Autoritatea suedeză pentru protecția datelor, denumită în continuare „Autoritatea pentru protecția datelor”) a examinat dacă prelucrarea de către SL a datelor cu caracter personal colectate prin utilizarea camerelor video corporale era conformă cu RGPD. Această autoritate a emis o decizie în materie de supraveghere în luna iunie 2021 (denumită în continuare „decizia în materie de supraveghere”), care conține o serie de constatări cu privire la utilizarea și la funcționarea camerelor video corporale. Mai precis, din această decizie reiese că controlorii de bilete poartă camerele video pe toată durata turei lor de lucru. Camerele video captează în continuu imagini și sunet. Acestea au o așa‑numită memorie circulară, ceea ce înseamnă că, după un anumit interval de timp, întreg materialul video este eliminat în mod automat. După eliminare, materialul înregistrat este șters. Inițial, materialul înregistrat era stocat timp de două minute, dar în timpul auditului în materie de supraveghere acest interval a fost redus la un minut. Prin apăsarea unui buton, controlorii de bilete pot suspenda eliminarea automată și se pot asigura astfel că înregistrarea nu este ștearsă. Controlorii de bilete sunt instruiți să suspende eliminarea automată în toate situațiile în care se aplică o amendă și, de asemenea, în cazul unei amenințări.

În decizia sa în materie de supraveghere, Autoritatea pentru protecția datelor a constatat că, din luna decembrie 2018 până la data deciziei respective din luna iunie 2021, prin utilizarea camerelor video corporale în cadrul procesului de control al biletelor, SL a prelucrat date cu caracter personal într‑un mod care este contrar mai multor dispoziții ale RGPD. SL nu furnizase, printre altele, informații adecvate persoanelor vizate, astfel cum impune articolul 13 din RGPD. În consecință, SL a fost obligată la plata unei amenzi administrative în valoare totală de 16 milioane de coroane suedeze (SEK) (aproximativ 1422000 de euro), dintre care 4 milioane SEK (aproximativ 355000 de euro) pentru furnizarea de informații inadecvate persoanelor vizate.

SL a contestat decizia în materie de supraveghere în fața Förvaltningsrätten i Stockholm (Tribunalul Administrativ cu sediul în Stockholm, Suedia), care a respins acțiunea în măsura în care aceasta privea amenda pentru furnizarea de informații inadecvate.

SL a formulat ulterior apel în fața Kammarrätten i Stockholm (Curtea de Apel Administrativă din Stockholm, Suedia), care a anulat hotărârea primei instanțe, precum și decizia în materie de supraveghere în măsura în care aceasta a impus SL o amendă pentru furnizarea de informații inadecvate persoanelor vizate. În motivarea hotărârii sale, Kammarrätten i Stockholm (Curtea de Apel Administrativă din Stockholm, Suedia) a făcut trimitere la Hotărârea Curții din 11 decembrie 2014, Ryneš (C‑212/13, EU:C:2014:2428, denumită în continuare „Hotărârea Ryneš”), privind operarea unui sistem de supraveghere video instalat de un particular pe o locuință de familie. În opinia Kammarrätten i Stockholm (Curtea de Apel Administrativă din Stockholm), din această hotărâre rezultă că, în situațiile care implică supravegherea video, obligația operatorului de a furniza informații adecvate se întemeiază pe articolul 11 din Directiva 95/46/CE ( 6 ), care era dispoziția echivalentă care a precedat articolul 14 din RGPD. În plus, potrivit Kammarrätten i Stockholm (Curtea de Apel Administrativă din Stockholm), modul de redactare a articolului 13 din RGPD indică faptul că este necesar un anumit tip de acțiune deliberată din partea persoanei vizate pentru ca datele cu caracter personal să fie considerate ca fiind colectate de la persoana respectivă. Nu se poate considera că această situație se regăsește atunci când datele cu caracter personal sunt obținute prin intermediul unei camere video corporale. Kammarrätten i Stockholm (Curtea de Apel Administrativă din Stockholm) a concluzionat că, întrucât articolul 13 din RGPD nu este aplicabil, Autoritatea pentru protecția datelor nu avea niciun motiv să impună SL o amendă pentru încălcarea acestui articol.

Autoritatea pentru protecția datelor a formulat un recurs împotriva hotărârii Kammarrätten i Stockholm (Curtea de Apel Administrativă din Stockholm) în fața Högsta förvaltningsdomstolen (Curtea Administrativă Supremă, Suedia), care este instanța de trimitere, prin care solicită anularea acestei hotărâri în măsura în care privește o amendă pentru omisiunea de a furniza informații adecvate persoanelor vizate.

În fața instanței de trimitere, Autoritatea pentru protecția datelor a susținut că articolul 13 din RGPD se aplică chiar dacă persoana vizată nu participă în mod activ la colectarea datelor. Întrucât utilizarea camerelor de supraveghere necesită furnizarea de informații înainte de începerea prelucrării datelor cu caracter personal, persoana vizată este cea care, intrând cu bună știință în zona supravegheată, permite colectarea datelor cu caracter personal.

SL a declarat în fața instanței de trimitere că recursul ar trebui respins. Societatea susține că formularea articolului 13 din RGPD sugerează că persoana vizată trebuie să participe cu bună știință la colectarea datelor cu caracter personal. În plus, abordarea pe mai multe niveluri în ceea ce privește furnizarea de informații atunci când se utilizează camerele de supraveghere este conformă mai degrabă cu sistemul stabilit la articolul 14 din RGPD decât cu cel de la articolul 13 din RGPD. Articolul 14 alineatul (5) litera (b) din regulamentul menționat prevede o excepție de la obligația de a furniza informații în cazul în care furnizarea informațiilor se dovedește imposibilă sau ar implica un efort disproporționat. SL susține că această excepție ar trebui să se aplice în situațiile care implică utilizarea camerelor video corporale, deoarece ar fi nepractic ca fiecărui pasager să i se furnizeze informații individuale înainte ca înregistrarea să aibă loc.

Pentru a decide dacă Autoritatea pentru protecția datelor era îndreptățită să impună SL o amendă pentru încălcarea articolului 13 din RGPD, instanța de trimitere urmărește să stabilească dacă, în cazul în care datele cu caracter personal sunt obținute cu ajutorul unei camere video corporale, se aplică articolul 13 sau articolul 14 din RGPD. Stabilirea dispoziției aplicabile are, de asemenea, implicații asupra informațiilor care trebuie furnizate atunci când se naște obligația de a furniza informații și asupra aplicării oricăreia dintre excepțiile de la obligația de a furniza informații.

În aceste condiții, Högsta förvaltningsdomstolen (Curtea Administrativă Supremă) a hotărât să suspende judecarea cauzei și să adreseze Curții următoarea întrebare preliminară: „În cazul în care datele cu caracter personal sunt obținute prin intermediul unei camere video corporale, care dintre articolele 13 și 14 din RGPD se aplică?”

Părțile din litigiul principal, guvernul austriac, guvernul danez, precum și Comisia au prezentat observații scrise.

Întrebarea adresată de instanța de trimitere se referă la obligațiile de informare care revin SL, o societate care prestează servicii de transport în comun, în ceea ce privește utilizarea camerelor video corporale de către controlorii săi. Camerele video în cauză sunt camere corporale care înregistrează imagini și sunete ( 7 ). Obiectivul utilizării acestor camere video este, în principal, de a preveni și de a face dovada amenințărilor și a violențelor exercitate împotriva controlorilor de bilete.

Din decizia de trimitere rezultă în mod clar că prelucrarea în discuție intră în domeniul de aplicare al RGPD. Prin urmare, analiza noastră nu include prelucrarea datelor efectuată prin utilizarea camerelor video corporale de către autoritățile represive, care intră în domeniul de aplicare al Directivei (UE) 2016/680 ( 8 ).

Trebuie subliniat de asemenea că întrebarea adresată de instanța de trimitere privește numai obligația operatorului de a furniza informații în temeiul articolelor 13 și 14 din RGPD. Curții nu i s‑a solicitat să se pronunțe cu privire la legalitatea prelucrării datelor în discuție în temeiul articolului 6 din RGPD.

Prin intermediul întrebării formulate, instanța de trimitere solicită în esență să se stabilească dacă într‑o situație în care datele cu caracter personal sunt colectate prin intermediul camerelor video corporale purtate de controlorii de bilete care lucrează pentru o societate care prestează servicii de transport în comun se aplică articolul 13 sau articolul 14 din RGPD.

Articolele 13 și 14 din RGPD stabilesc întinderea obligației operatorului față de persoana vizată de a‑i furniza informații. Articolul 13 se aplică în cazul în care datele cu caracter personal sunt colectate de la persoana vizată (colectare directă), în timp ce articolul 14 se aplică în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată (colectare indirectă) ( 9 ).

Majoritatea informațiilor care trebuie furnizate în temeiul articolelor 13 și 14 din RGPD sunt aceleași, deși există unele diferențe ( 10 ). Cea mai importantă diferență între cele două dispoziții se referă la momentul la care trebuie furnizate informațiile și la posibilele excepții de la obligația de a furniza informații.

În temeiul articolului 13 alineatele (1) și (2) din RGPD, în cazul în care datele cu caracter personal sunt colectate de la persoana vizată, informațiile trebuie furnizate „în momentul în care datele cu caracter personal sunt obținute”. În cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, operatorul trebuie să furnizeze informațiile menționate la articolul 14 alineatele (1) și (2) din RGPD în termenele stabilite la articolul 14 alineatul (3) literele (a), (b) și (c) din regulament. Regula generală este că operatorul trebuie să furnizeze informațiile într‑un termen rezonabil după obținerea datelor cu caracter personal, dar nu mai mare de o lună, ținându‑se seama de circumstanțele specifice în care sunt prelucrate datele cu caracter personal [articolul 14 alineatul (3) litera (a) din RGPD]. Termenul în care operatorul trebuie să furnizeze informațiile este diferit în situațiile prevăzute la articolul 14 alineatul (3) literele (b) și (c) ( 11 ).

În ceea ce privește posibilele excepții de la obligația de a furniza informații, în cazurile de colectare directă de informații în temeiul articolului 13 din RGPD, singura aplicabilă este „dacă și în măsura în care persoana vizată deține deja informațiile respective”. În cazurile de colectare indirectă, catalogul excepțiilor posibile prevăzute la articolul 14 alineatul (5) din RGPD este mai lung. Aceste excepții includ situațiile în care furnizarea de informații „se dovedește a fi imposibilă sau ar implica eforturi disproporționate” [articolul 14 alineatul (5) litera (b) din RGPD]. În astfel de cazuri, operatorul trebuie să „ia măsuri adecvate pentru a proteja drepturile, libertățile și interesele legitime ale persoanei vizate, inclusiv punerea informațiilor la dispoziția publicului”.

Reiese în mod clar din cele de mai sus că domeniul de aplicare al obligației de informare care revine operatorului diferă, în funcție de faptul că se aplică articolul 13 sau articolul 14 din RGPD. Rezultatul acestei determinări va avea un impact asupra aspectelor pe care o autoritate de supraveghere trebuie să le investigheze pentru a stabili dacă a existat o încălcare a obligației de a furniza informații.

Odată făcute aceste observații generale, trebuie să se examineze în continuare dacă prelucrarea datelor prin intermediul unei camere video corporale precum cea utilizată în litigiul principal intră în domeniul de aplicare material al articolului 13 sau al articolului 14 din RGPD. În acest scop, este necesar, potrivit unei jurisprudențe constante, să se țină seama nu numai de termenii acelor dispoziții, ci și de contextul acestor dispoziții și de obiectivele urmărite de reglementarea din care fac parte acestea ( 12 ).

În primul rând, în ceea ce privește modul de redactare a articolelor 13 și 14 din RGPD, trebuie să se observe, astfel cum a precizat Curtea în Hotărârea Másdi, că domeniul de aplicare material al articolului 14 este definit în mod negativ în raport cu articolul 13 din RGPD ( 13 ). Astfel cum reiese chiar din titlurile acestor dispoziții, articolul 13 privește informațiile care se furnizează în cazul în care datele cu caracter personal sunt colectate de la persoana vizată, în timp ce articolul 14 privește informațiile care se furnizează în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată ( 14 ). Astfel cum a precizat Comisia în observațiile sale scrise, cele două dispoziții se exclud reciproc. Având în vedere această dihotomie, toate situațiile în care datele sunt obținute de la persoana vizată intră în domeniul de aplicare material al articolului 13, iar toate situațiile în care datele nu sunt obținute de la persoana vizată intră în domeniul de aplicare material al articolului 14 ( 15 ).

Din decizia de trimitere reiese că dificultatea în a stabili domeniul de aplicare material al acestor dispoziții rezidă în mod specific în aspectul dacă aplicarea articolului 13 din RGPD este subordonată condiției ca persoana vizată să fie conștientă că are loc colectarea datelor sale personale sau ca un anumit tip de acțiune deliberată să provină din partea sa în furnizarea datelor (de exemplu, prin completarea unui formular) ( 16 ).

În această privință, trebuie subliniat că noțiunea de date „colectate” de la persoana vizată menționată la articolul 13 alineatul (1) din RGPD nu necesită o acțiune specifică din partea persoanei vizate. „Colectarea” este o formă de „prelucrare” a datelor, astfel cum este definit acest din urmă termen la punctul 2 al articolului 4 din RGPD. Ca atare, colectarea datelor necesită o acțiune din partea operatorului de date ( 17 ). Astfel cum a susținut Autoritatea pentru protecția datelor în fața instanței de trimitere, operatorul de date este cel care joacă un rol activ în colectarea datelor, nu persoana vizată.

Comisia și Autoritatea pentru protecția datelor au arătat în observațiile lor scrise că versiunile în limbile engleză și suedeză ale articolelor 13 și 14 din RGPD utilizează două verbe diferite. În timp ce articolul 13 se referă la datele „colectate” de la persoana vizată („samlas” în limba suedeză), articolul 14 se referă la datele care nu au fost „obținute” de la persoana vizată („erhållits” în limba suedeză). Cu toate acestea, astfel cum a subliniat Comisia, în alte versiuni lingvistice este utilizat același verb ( 18 ) și, în orice caz, utilizarea a două verbe diferite, „a colecta” și „a obține”, nu pare să aibă vreo semnificație. Acest lucru poate fi dedus, de asemenea, din Hotărârea Másdi, în care Curtea explică faptul că datele cu caracter personal care au făcut obiectul unei „obțineri”, în sensul articolului 14 din RGPD, de către operator sunt cele pe care acesta din urmă le „colectează de la o altă persoană decât persoana vizată […]” ( 19 ).

Dihotomia dintre articolele 13 și 14 din RGPD, la care am făcut trimitere la punctul 26 de mai sus, demonstrează că fundamentul pentru determinarea domeniilor de aplicare materiale respective ale acestora nu îl reprezintă participarea activă a persoanei vizate la colectare, ci mai degrabă sursa din care provin datele. În cazul în care persoana vizată este sursa datelor, atunci se aplică articolul 13. Pentru ca această dispoziție să se aplice, nu ar trebui să existe niciunintermediar între persoana vizată și operator. În cazul în care sursa datelor este o altă sursă decât persoana vizată, atunci se aplică articolul 14. O altă sursă ar putea fi, de exemplu, operatori terți, surse aflate la dispoziția publicului sau alte persoane vizate ( 20 ).

Modul de redactare a articolului 14 alineatul (2) litera (f) din RGPD confirmă faptul că sursa datelor reprezintă criteriul pentru delimitarea domeniului de aplicare material între articolele 13 și 14. Astfel, potrivit acestei dispoziții, în cazul în care datele nu au fost obținute de la persoana vizată, operatorul trebuie să informeze persoana vizată cu privire la „sursa din care provin datele cu caracter personal” (sublinierea noastră).

Modul de redactare a considerentului (61) al RGPD sugerează, de asemenea, că sursa datelor reprezintă criteriul care face distincția între domeniul de aplicare material al articolelor 13 și 14. Acest considerent precizează că „informațiile în legătură cu prelucrarea datelor cu caracter personal referitoare la persoana vizată ar trebui furnizate acesteia la momentul colectării de la persoana vizată sau, în cazul în care datele cu caracter personal sunt obținute din altă sursă, într‑o perioadă rezonabilă, în funcție de circumstanțele cazului” (sublinierea noastră). Acest considerent afirmă în continuare că informațiile generale ar trebui furnizate „în cazul în care originea datelor cu caracter personal nu a putut fi comunicată persoanei vizate din cauză că au fost utilizate surse diverse” (sublinierea noastră).

Datele pot fi colectate direct de la persoana vizată prin utilizarea unor metode diferite. O asemenea colectare nu necesită participarea sau inițiativa persoanei vizate în furnizarea datelor sau în conștientizarea colectării. Această abordare este, de asemenea, confirmată de Orientările privind transparența, care prevăd că articolul 13 se aplică fie atunci când o persoană vizată furnizează în mod conștient date cu caracter personal operatorului de date, fie atunci când un operator de date colectează datele de la o persoană vizată prin observare. Exemplele de colectare a datelor prin observare oferite în cadrul acestei dispoziții includ utilizarea dispozitivelor automatizate de captare a datelor sau a software‑ului de captare a datelor, cum ar fi camerele de luat vederi ( 21 ).

În cazul colectării directe a datelor prin observare, conștientizarea colectării de către persoana vizată este consecința aplicării articolului 13 din RGPD și a obligației pe care o creează în sarcina operatorului de a furniza informații persoanei vizate la momentul colectării. Cu alte cuvinte, conștientizarea colectării datelor nu este o condiție prealabilă pentru aplicarea articolului 13, ci mai degrabă consecința obligației prevăzute la articolul 13 din RGPD de a informa persoana vizată (cel mai târziu) în momentul în care datele cu caracter personal sunt obținute.

Din momentul în care există o colectare directă de date de la persoana vizată și tocmai din cauza acestei colectări, operatorul de date trebuie să furnizeze informațiile, aducând astfel la cunoștința persoanei vizate colectarea de date. După cum a susținut Autoritatea pentru protecția datelor, în cazul în care există o zonă care face obiectul supravegherii, trebuie să existe un semn de avertizare relevant, astfel încât persoana vizată este conștientă de colectarea datelor înainte de a intra în zona supusă monitorizării ( 22 ). Prin intrarea cu bună știință în zona supusă monitorizării, persoana vizată permite colectarea de date cu caracter personal.

În cazul colectării datelor cu ajutorul unei camere video corporale, precum cea în discuție în litigiul principal, astfel cum a observat guvernul austriac, persoana vizată devine sursa datelor colectate prin simpla sa prezență fizică în zona vizată care face obiectul capturii prin intermediul camerei video.

Modul de redactare a articolelor 13 și 14 din RGPD sau a considerentelor regulamentului nu poate să conducă la deducerea unei concluzii diferite, potrivit căreia articolul 13 s‑ar aplica numai atunci când persoana vizată furnizează în mod activ datele. Mai precis, contrar celor susținute de SL și de guvernul danez, o asemenea concluzie nu poate fi dedusă din articolul 13 alineatul (2) litera (e) din RGPD, astfel cum reiese din considerentul (60) al acestuia. Potrivit acestei dispoziții, în cazul în care datele sunt colectate de la persoana vizată, operatorul trebuie să indice „dacă persoana vizată este obligată să furnizeze aceste date cu caracter personal și care sunt eventualele consecințe ale nerespectării acestei obligații”. Astfel cum a arătat Autoritatea pentru protecția datelor în fața instanței de trimitere, informațiile referitoare la o eventuală obligație de a furniza date trebuie furnizate numai dacă acest lucru este necesar într‑un caz concret ( 23 ). Articolul 13 alineatul (2) litera (e) din RGPD nu trebuie interpretat în sensul că impune, în orice situație, o anumită acțiune din partea persoanei vizate pentru ca articolul 13 să se aplice.

De asemenea, nici modul de redactare a articolului 14 alineatul (1) litera (d) din RGPD nu sugerează că persoana vizată trebuie să joace un rol activ în comunicarea datelor sau că aceasta trebuie să aibă cunoștință de colectarea datelor pentru ca articolul 13 să se aplice. Articolul 14 alineatul (1) litera (d) din RGPD prevede că, în cazul în care datele cu caracter personal nu au fost obținute de la persoana vizată, operatorul furnizează persoanei vizate categoriile de date cu caracter personal vizate. Întrucât nu există nicio obligație de a furniza astfel de informații în temeiul articolului 13 din RGPD, SL și guvernul danez deduc că articolul 13 se aplică atunci când persoana vizată are deja cunoștință de colectarea datelor. Cu toate acestea, obligația de informare în temeiul articolului 14 alineatul (1) litera (d) poate fi justificată prin faptul că operatorul prelucrează date obținute din alte surse decât persoana vizată și că nu este în contact cu persoana vizată la momentul colectării datelor.

Prin urmare, modul de redactare a articolului 13 și, respectiv, a articolului 14 din RGPD susține concluzia potrivit căreia colectarea de date de către o cameră video corporală, ca formă de colectare directă de date de la persoana vizată, intră în domeniul de aplicare al articolului 13.

În al doilea rând, contextul în care se încadrează aceste dispoziții confirmă o asemenea interpretare. Obligațiile de informare prevăzute la articolele 13 și 14 din RGPD sunt expresii specifice ale principiului transparenței, care guvernează prelucrarea datelor cu caracter personal, astfel cum se prevede la articolul 5 alineatul (1) litera (a) din RGPD. În temeiul acestei din urmă dispoziții, datele cu caracter personal sunt prelucrate în mod legal, echitabil și transparent față de persoana vizată. Rezultă că prelucrarea datelor cu caracter personal trebuie printre altele să îndeplinească cerințe concrete în materie de transparență față de persoana vizată de o astfel de prelucrare ( 24 ).

Delimitarea domeniului de aplicare al articolelor 13 și 14 din RGPD în funcție de sursa datelor permite o prelucrare echitabilă și transparentă. În cazul în care datele sunt colectate direct de la persoana vizată, aceasta trebuie să primească informațiile la momentul colectării. În cazul în care datele nu sunt colectate direct de la persoana vizată, operatorul dispune de o anumită marjă pentru furnizarea informațiilor – într‑un termen rezonabil – tocmai pentru că nu există un contact direct cu persoana vizată.

În cazul colectării de date cu ajutorul unei camere video corporale, informarea imediată a persoanei vizate cu privire la colectare permite acesteia să ia cunoștință de colectare, astfel încât aceasta să își poată exercita drepturile de persoană vizată încă de la momentul colectării sau chiar înainte de începerea acesteia. Astfel cum a arătat guvernul austriac, dacă ia cunoștință cât mai curând posibil de colectarea datelor, persoana vizată poate, de exemplu, să decidă să nu intre în zona supravegheată sau să își adapteze comportamentul.

În ceea ce privește modalitățile practice de furnizare a informațiilor, trebuie amintit că, în temeiul articolului 12 alineatul (1) din RGPD, operatorul ia „măsuri adecvate” pentru a furniza informațiile solicitate „într‑o formă concisă, transparentă, inteligibilă și ușor accesibilă, utilizând un limbaj clar și simplu”.

Părțile și părțile interesate care au prezentat observații scrise acceptă ca premisă generală faptul că, în cazul supravegherii prin camere de luat vederi, informațiile trebuie furnizate printr‑o „abordare pe mai multe niveluri”. Ghidul CEPD privind monitorizarea prin mijloace video oferă o descriere detaliată și practică a abordării pe mai multe niveluri. Primul nivel de informații se referă la „principalul mod în care operatorul comunică pentru prima dată cu persoana vizată”. În cazul supravegherii prin mijloace video, acesta va fi în mod normal un semn de avertizare, astfel încât persoana vizată să fie conștientă că intră într‑o zonă de supraveghere. Informațiile din primul nivel trebuie completate apoi cu informațiile din cel de‑al doilea nivel, de preferință făcând referire la o sursă digitală (de exemplu, un cod QR sau o adresă a unui site de internet), însă informațiile trebuie să fie ușor accesibile și în format non‑digital ( 25 ).

SL și guvernul danez au susținut că abordarea pe mai multe niveluri este mai conformă cu economia articolului 14 din RGPD decât cu cea a articolului 13 din RGPD. Acestea consideră că dificultatea de a furniza informațiile la momentul colectării datelor atunci când sunt utilizate camere video corporale ar trebui să conducă la aplicarea excepției prevăzute la articolul 14 alineatul (5) litera (b) din RGPD. Această excepție se aplică atunci când furnizarea informațiilor „se dovedește a fi imposibilă sau ar implica eforturi disproporționate”. În astfel de cazuri, operatorul „ia măsuri adecvate pentru a proteja drepturile, libertățile și interesele legitime ale persoanei vizate”.

Considerăm că argumentele în cauză nu sunt convingătoare. Primo, din articolul 12 din RGPD rezultă că „măsurile adecvate” pe care trebuie să le ia operatorul pentru a furniza informații se referă la informațiile menționate atât la articolul 13, cât și la articolul 14. Aceasta înseamnă că operatorul de date trebuie să ia măsurile adecvate pentru a furniza informații atât în situațiile de colectare directă, cât și în cele de colectare indirectă a datelor.

Secundo, astfel cum a subliniat în esență Autoritatea pentru protecția datelor, caracterul adecvat al măsurilor depinde de contextul în care sunt colectate datele și privește în special interesul persoanelor vizate. Colectarea datelor de către o cameră video corporală este la fel de intruzivă ca supravegherea prin mijloace video și implică riscuri semnificative pentru viața privată a persoanelor vizate ( 26 ). Atunci când operatorii încearcă să identifice măsurile cele mai adecvate pentru a furniza informații persoanelor vizate, trebuie să se țină seama în mod corespunzător de principiul transparenței și de gradul de intruziune al mijloacelor utilizate pentru a colecta datele. Dacă este general acceptat faptul că abordarea pe mai multe niveluri este adecvată pentru supravegherea prin mijloace video, care implică riscuri semnificative pentru viața privată, același lucru ar trebui să fie valabil și pentru colectarea datelor de către camere video corporale.

Tertio, există argumente convingătoare care demonstrează că abordarea pe mai multe niveluri nu este „nepractică” sau „imposibilă” în cazul unei camere video corporale. Autoritatea pentru protecția datelor, guvernul austriac și Comisia au susținut că abordarea pe mai multe niveluri pentru supravegherea prin mijloace video este aplicabilă în mod similar în cazul camerelor video corporale, făcând trimitere la Ghidul CEPD privind monitorizarea prin mijloace video. Caracterul neobligatoriu al acestui ghid nu schimbă faptul că demonstrează în mod concret că abordarea pe mai multe niveluri este posibilă și realizabilă ( 27 ).

În al treilea rând, interpretarea potrivit căreia articolul 13 se aplică în cazul datelor colectate prin intermediul unei camere video corporale este conformă cu obiectivele urmărite de legislația din care fac parte articolele 13 și 14 din RGPD. Obiectivul urmărit de RGPD, astfel cum reiese din articolul 1, precum și din considerentele (1) și (10) ale acestuia, urmărește printre altele asigurarea unui nivel ridicat de protecție a drepturilor și libertăților fundamentale ale persoanelor fizice, în special a dreptului lor la viață privată în ceea ce privește prelucrarea datelor cu caracter personal, consacrat la articolul 8 alineatul (1) din cartă și la articolul 16 alineatul (1) TFUE ( 28 ). În conformitate cu acest obiectiv, orice prelucrare a datelor cu caracter personal trebuie printre altele să fie conformă cu principiile referitoare la prelucrarea unor astfel de date prevăzute la articolul 5 din RGPD, inclusiv principiul transparenței.

Obligația operatorului de a furniza informații, astfel cum este prevăzută la articolele 13 și 14 din RGPD, este o expresie a principiului transparenței. Cu toate acestea, după cum s‑a arătat mai sus ( 29 ), momentul obligației de a furniza informații diferă în funcție de dispoziția care se aplică. Colectarea directă impune furnizarea imediată a informațiilor. Atunci când colectarea nu este directă, deoarece datele sunt colectate din alte surse, informațiile pot fi furnizate într‑o etapă ulterioară. RGPD permite termene diferite pentru furnizarea informațiilor tocmai pentru că colectarea este indirectă.

Dacă s‑ar accepta că articolul 14 din RGPD se aplică în cazul colectării datelor prin intermediul unei camere video corporale, aceasta ar însemna că persoanele vizate nu ar primi informații la momentul colectării datelor, deși sunt sursa lor. Astfel cum au arătat în esență guvernul austriac și Comisia, acest lucru ar putea submina efectul util al articolului 13 din RGPD. Prin urmare, le‑ar permite operatorilor să se abțină de la furnizarea imediată de informații persoanelor vizate, în pofida faptului că datele au fost colectate direct de la aceste persoane ( 30 ). Aceasta creează riscul ca respectiva captare a datelor să treacă neobservată de persoanele vizate și ca practicile de supraveghere să fie ascunse ( 31 ). O astfel de eludare a articolului 13 din RGPD ar constitui o încălcare gravă a dreptului la informare al persoanei vizate.

În sfârșit, dacă distincția dintre domeniile de aplicare materiale ale articolelor 13 și 14 din RGPD ar depinde de aspectul dacă persoana vizată are efectiv cunoștință despre colectarea datelor sale la momentul acestei colectări, granițele dintre cele două dispoziții s‑ar estompa și aplicarea lor ar depinde de împrejurări aleatorii.

Rezultă, așadar, dintr‑o interpretare literală, contextuală și teleologică a articolelor 13 și 14 din RGPD că, în cazul colectării de date prin intermediul unei camere video corporale, care constituie o formă de colectare directă de date de la persoana vizată, obligația de informare care revine operatorului intră în domeniul de aplicare al primei dispoziții.

Din motive de exhaustivitate, vom formula câteva observații finale cu privire la relevanța Hotărârii Ryneš pentru prezenta cauză ( 32 ). În hotărârea menționată, Curtea a interpretat excepția de la aplicarea Directivei 95/46 în cazul unei activități exclusiv „personale sau domestice”, astfel cum este prevăzută la articolul 3 alineatul (2) a doua liniuță din directiva menționată. Curtea a statuat în esență că exploatarea unui sistem de supraveghere video, instalat de o persoană fizică pe locuința sa de familie în scopul protejării proprietății, sănătății și vieții proprietarilor locuinței, dar care supraveghează, de asemenea, un spațiu public, nu poate fi considerată ca o activitate exclusiv „personală sau domestică” în sensul acestei dispoziții. Prin urmare, o astfel de prelucrare nu ar putea fi exclusă de la aplicarea Directivei 95/46.

La punctul 34 din această hotărâre, Curtea a statuat că, „în același timp, aplicarea dispozițiilor [Directivei 95/46] permite, dacă este cazul, să fie luate în considerare, în conformitate în special cu [articolul 7 litera (f), cu articolul 11 alineatul (2) și cu articolul 13 alineatul (1) literele (d) și (g)] din directiva menționată, interesele legitime ale operatorului […]”.

Trimiterea la articolul 11 alineatul (2) din Directiva 95/46 din cuprinsul acestui punct specific nu echivalează cu o interpretare de către Curte a temeiului juridic adecvat care permite operatorului să furnizeze informații în cazul supravegherii prin mijloace video. Problema ridicată în hotărârea menționată era complet diferită de cea din prezenta cauză, întrucât se referea la aplicarea „excepției privind activități domestice” și nu la obligația de a furniza informații. La acest punct, Curtea nu face decât să ilustreze posibilitatea de a lua în considerare interesele legitime urmărite de operator în lumina limitărilor și a excepțiilor prevăzute de Directiva 95/46. De asemenea, Comisia observă în mod întemeiat că din cererea de decizie preliminară formulată în cauza în care s‑a pronunțat Hotărârea Ryneš rezultă că, în cadrul procedurii naționale, autoritatea națională de supraveghere a considerat că a existat o încălcare a legislației naționale de transpunere a articolului 11 din Directiva 95/46.

În orice caz, termenul de furnizare a informațiilor în temeiul articolului 14 din RGPD nu corespunde termenului prevăzut la articolul 11 din Directiva 95/46 ( 33 ). În plus, legiuitorul Uniunii a clarificat distincția dintre domeniul de aplicare al articolului 13 și, respectiv, cel al articolului 14 din RGPD făcând referire la sursa datelor în considerentul (61) al acestui regulament ( 34 ).

Pentru aceste motive, considerăm că Hotărârea Ryneš nu este relevantă în speță și că nu poate conduce la o concluzie diferită de cea propusă în prezentele concluzii.

Având în vedere toate cele menționate anterior, considerăm că articolele 13 și 14 din RGPD trebuie interpretate în sensul că, într‑o situație în care datele cu caracter personal sunt colectate prin intermediul camerelor video corporale purtate de controlori de bilete care lucrează pentru o societate de transport în comun, se aplică dispozițiile articolului 13, iar dispozițiile articolului 14 nu sunt aplicabile.

Având în vedere considerațiile care precedă, propunem Curții să răspundă la întrebarea preliminară adresată de Högsta förvaltningsdomstolen (Curtea Administrativă Supremă, Suedia) după cum urmează: Articolele 13 și 14 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) trebuie interpretate în sensul că, într‑o situație în care datele cu caracter personal sunt colectate prin intermediul camerelor video corporale purtate de controlori de bilete care lucrează pentru o societate de transport în comun, se aplică dispozițiile articolului 13, iar dispozițiile articolului 14 nu sunt aplicabile.

CONCLUZIILE AVOCATEI GENERALE

DOAMNA LAILA MEDINA

prezentate la 1 august 2025 ( 1 )