Édition provisoire

CONCLUSIONS DE L’AVOCATE GÉNÉRALE

M^ME LAILA MEDINA

présentées le 1^er août 2025 (1)

Affaire C-422/24

Integritetsskydsmyndigheten

contre

AB Storstockholms Lokaltrafik

[demande de décision préjudicielle formée par le Högsta förvaltningsdomstolen (Cour suprême administrative, Suède)]

(Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données – Règlement (UE) 2016/679 – Données à caractère personnel collectées au moyen d’une caméra-piéton portée par des contrôleurs travaillant pour une société de transport public – Informations à fournir à la personne concernée – Articles 13 et 14)

I. Introduction

1. La présente affaire concerne l’obligation pour un responsable du traitement, au sens de l’article 4, point 7, du règlement (UE) 2016/679 (ci-après le « RGPD ») (2), de fournir les informations à une personne concernée lorsque des données à caractère personnel sont collectées au moyen d’une caméra-piéton portée par des contrôleurs dans le cadre du transport public. L’obligation d’information qui incombe au responsable du traitement à l’égard des personnes concernées par un traitement de données à caractère personnel constitue le corollaire du droit d’information qui est reconnu à ces personnes par les articles 12 à 14 du RGPD (3). En tant que pierre angulaire du principe de transparence (4), le droit à l’information « garantit la transparence de tout traitement » dans le contexte du RGPD (5).

2. La Cour est invitée, plus précisément, à se prononcer sur le point de savoir si, dans les situations de collecte de données au moyen d’une caméra-piéton, c’est l’article 13 ou l’article 14 du RGPD qui constitue la base juridique appropriée. La délimitation du champ d’application de chacune de ces dispositions a des conséquences importantes sur le délai pour fournir les informations, ainsi que sur les éventuelles exceptions.

II. Droit applicable

3. L’article 13 du RGPD, intitulé « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », prévoit :

« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :

a) l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

e) le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;

f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition.

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent :

a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

b) l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s’opposer au traitement et du droit à la portabilité des données ;

c) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;

d) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

e) des informations sur la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données ;

f) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

3. Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s’appliquent pas lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations. »

4. L’article 14 du RGPD, intitulé « Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée », dispose :

« 1. Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :

a) l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;

b) le cas échéant, les coordonnées du délégué à la protection des données ;

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

d) les catégories de données à caractère personnel concernées ;

e) le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;

f) le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission [européenne] […].

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée :

a) la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;

b) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

c) l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données ;

d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;

e) le droit d’introduire une réclamation auprès d’une autorité de contrôle ;

f) la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public ;

g) l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.

3. Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 :

a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ;

b) si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne ; ou

c) s’il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois.

4. Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.

5. Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où :

a) la personne concernée dispose déjà de ces informations ;

b) la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l’article 89, paragraphe 1, ou dans la mesure où l’obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles ;

[…] »

III. Les antécédents du litige au principal et la question préjudicielle

5. AB Storstockholms Lokaltrafik (Stockholm Transport public, ci-après « SL ») exploite des services de transport public. Cette société a équipé ses contrôleurs de caméras-piéton. Les caméras sont utilisées pour filmer les voyageurs qui n’ont pas de billet valide lors du contrôle des billets et qui se voient infliger une amende. L’utilisation des caméras-piéton a pour but de prévenir et de prouver les menaces et les violences subies par les contrôleurs et de garantir l’identité des voyageurs qui doivent payer une amende.

6. Dans le cadre de ses activités de contrôle, l’Integritetsskydsmyndigheten (autorité suédoise chargée de la protection des données, ci-après l’« autorité chargée de la protection de des données ») a examiné si le traitement par SL des données à caractère personnel collectées au moyen de caméras-piéton était conforme au RGPD. Cette autorité a rendu une décision de contrôle au mois de juin 2021 (ci-après la « décision de contrôle »), qui contient un certain nombre de constatations relatives à l’utilisation et au fonctionnement des caméras-piéton. Plus précisément, il ressort de cette décision que les contrôleurs portent les caméras pendant toute la durée de leur service. Les caméras enregistrent en continu des vidéos avec des images et du son. Elles ont une mémoire dite « circulaire », ce qui signifie qu’après un certain temps, tout le matériel vidéo est automatiquement nettoyé. Après le nettoyage, le matériel enregistré est effacé. Initialement, le matériel enregistré était stocké pendant deux minutes, mais au cours du contrôle, cette durée a été réduite à une minute. Les contrôleurs peuvent, en appuyant sur un bouton, interrompre le nettoyage automatique et s’assurer ainsi que ce qui est enregistré n’est pas effacé. Les contrôleurs ont pour instruction d’interrompre le nettoyage automatique dans toutes les situations où une amende est émise et, par ailleurs, en cas de menace.

7. Dans sa décision de contrôle, l’autorité chargée de la protection des données a constaté que, du mois de décembre 2018 jusqu’à la date de cette décision au mois de juin 2021, en utilisant des caméras-piéton dans le cadre du contrôle des billets, SL avait traité des données à caractère personnel d’une manière contraire à plusieurs dispositions du RGPD. SL n’avait notamment pas fourni suffisamment d’informations aux personnes concernées, comme l’exige l’article 13 du RGPD. En conséquence, SL s’est vue infliger une amende administrative d’un montant total de 16 millions de couronnes suédoises (SEK) (environ 1 422 000 euros), dont 4 millions de SEK (environ 355 000 euros) pour avoir fourni des informations insuffisantes aux personnes concernées.

8. SL a formé un recours contre la décision de contrôle devant le Förvaltningsrätten i Stockholm (tribunal administratif de Stockholm, Suède), qui a rejeté le recours dans la mesure où il concernait l’amende infligée pour défaut d’informations.

9. SL a alors interjeté appel devant le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm, Suède), qui a annulé le jugement de première instance ainsi que la décision de contrôle en ce qu’elle avait infligé à SL une amende pour défaut d’information des personnes concernées. Dans les motifs de son arrêt, le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm) s’est référé à l’arrêt de la Cour du 11 décembre 2014, Ryneš (C-212/13, EU:C:2014:2428, ci-après l’« arrêt Ryneš »), concernant l’exploitation d’un système de caméra installé par une personne physique dans sa maison familiale. Selon le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm), il découle de cet arrêt que, dans des situations de vidéosurveillance, l’obligation du responsable du traitement de fournir les informations suffisantes est fondée sur l’article 11 de la directive 95/46/CE (6), qui était l’ancien équivalent de l’article 14 du RGPD. En outre, de l’avis du Kammarrätten i Stockholm (cour d’appel administrative de Stockholm), le libellé de l’article 13 du RGPD indique qu’une certaine forme de comportement délibéré de la personne concernée est nécessaire pour que les données à caractère personnel soient considérées comme ayant été collectées auprès d’elle. Tel ne saurait être le cas lorsque les données à caractère personnel sont collectées au moyen d’une caméra-piéton. Le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm) a conclu que, l’article 13 du RGPD n’étant pas applicable, l’autorité chargée de la protection des données n’était pas fondée à infliger une amende à SL pour violation de cet article.

10. L’autorité chargée de la protection des données a formé un pourvoi contre l’arrêt du Kammarrätten i Stockholm (cour d’appel administrative de Stockholm) devant le Högsta förvaltningsdomstolen (Cour suprême administrative, Suède), à savoir la juridiction de renvoi, en demandant d’annuler cet arrêt en ce qui concerne l’amende pour défaut d’information des personnes concernées.

11. Devant la juridiction de renvoi, l’autorité chargée de la protection des données a soutenu que l’article 13 du RGPD s’appliquait même si la personne concernée ne participait pas activement à la collecte des données. Étant donné que, dans le cas de l’utilisation de la vidéosurveillance, les informations sont supposées être fournies avant le début du traitement des données à caractère personnel, c’est la personne concernée qui, en entrant sciemment dans la zone surveillée, rend possible la collecte des données à caractère personnel.

12. SL a conclu devant la juridiction de renvoi au rejet du pourvoi. Elle fait valoir que le libellé de l’article 13 du RGPD suggère que la personne concernée doit participer sciemment à la collecte de données à caractère personnel. En outre, la fourniture d’informations à plusieurs niveaux en cas d’utilisation de la surveillance par caméra est plus conforme à l’économie de l’article 14 du RGPD qu’à celle de l’article 13 de ce règlement. L’article 14, paragraphe 5, sous b), dudit règlement prévoit une exception à l’obligation d’information lorsque la fourniture des informations se révèle impossible ou exigerait des efforts disproportionnés. SL soutient que cette exception devrait s’appliquer dans les situations impliquant l’utilisation de caméras-piéton, car il serait difficile en pratique de fournir des informations individuellement à chaque passager avant que l’enregistrement des données ait lieu.

13. Afin de décider si l’autorité chargée de la protection des données était en droit d’infliger une amende à SL pour violation de l’article 13 du RGPD, la juridiction de renvoi cherche à savoir si c’est l’article 13 ou l’article 14 du RGPD qui s’applique lorsque des données à caractère personnel sont collectées au moyen d’une caméra-piéton. La détermination de la disposition applicable a également une incidence sur la question de savoir quelles informations doivent être fournies, quand naît l’obligation d’information, ainsi que sur le point de savoir si l’une ou l’autre des exceptions à cette obligation s’applique.

14. Dans ces circonstances, le Högsta förvaltningsdomstolen (Cour suprême administrative) a décidé de surseoir à statuer et de poser à la Cour la question préjudicielle suivante :

« Lequel des articles 13 et 14 du [RGPD] s’applique lorsque des données à caractère personnel sont collectées au moyen d’une caméra-piéton ? »

15. Les parties au principal, les gouvernements autrichien et danois ainsi que la Commission ont déposé des observations écrites.

IV. Appréciation

A. Observations préliminaires concernant la portée de la question

16. La question posée par la juridiction de renvoi porte sur les obligations en matière d’information de SL, société qui exploite des services de transport en commun, en ce qui concerne l’utilisation de caméras-piéton par ses contrôleurs. Les caméras en question sont des caméras-piéton qui enregistrent l’image et le son (7). L’objectif de l’utilisation de ces caméras est principalement de prévenir et de documenter les menaces et les violences à l’encontre des contrôleurs.

17. Il ressort clairement de l’ordonnance de renvoi que le traitement des données concerné relève du champ d’application du RGPD. Par conséquent, mon analyse ne couvre pas le traitement des données lié à l’utilisation de caméras-piéton par les autorités répressives, lequel relève du champ d’application de la directive (UE) 2016/680 (8).

18. Il convient également de souligner que la question posée par la juridiction de renvoi porte uniquement sur l’obligation d’information incombant au responsable du traitement en vertu des articles 13 et 14 du RGPD. La Cour n’a pas été interrogée sur la licéité du traitement des données en cause au titre de l’article 6 du RGPD.

B. La collecte de données au moyen de caméras-piéton et l’obligation de fournir des informations à la personne concernée : délimitation du champ d’application des articles 13 et 14 du RGPD

19. Par sa question, la juridiction de renvoi demande, en substance, lequel des articles 13 ou 14 du RGPD s’applique dans une situation où des données à caractère personnel sont collectées au moyen de caméras-piéton portées par des contrôleurs travaillant pour une société exploitant des services de transport public.

20. Les articles 13 et 14 du RGPD définissent la portée de l’obligation d’information qui incombe au responsable du traitement à l’égard de la personne concernée. L’article 13 s’applique lorsque des données à caractère personnel sont collectées auprès de la personne concernée (collecte directe), tandis que l’article 14 s’applique lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée (collecte indirecte) (9).

21. La plupart des éléments d’information qui doivent être fournis en vertu des articles 13 et 14 du RGPD sont les mêmes, mais pas tous (10). La différence la plus importante entre les deux dispositions concerne le moment auquel les informations doivent être fournies et les éventuelles exceptions à l’obligation d’information.

22. En vertu de l’article 13, paragraphes 1 et 2, du RGPD, lorsque des données à caractère personnel sont collectées auprès de la personne concernée, les informations doivent être fournies « au moment où les données en question sont obtenues ». Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit fournir les informations visées à l’article 14, paragraphes 1 et 2, du RGPD dans les délais prévus à l’article 14, paragraphe 3, sous a), b) et c), de ce règlement. La règle générale est que le responsable du traitement fournit les informations dans un délai raisonnable après la collecte des données à caractère personnel, mais au plus tard dans un délai d’un mois, compte tenu des circonstances particulières dans lesquelles les données à caractère personnel sont traitées [article 14, paragraphe 3, sous a), du RGPD]. Le délai dans lequel le responsable du traitement doit fournir les informations est différent dans les situations prévues à l’article 14, paragraphe 3, sous b) et c), du RGPD (11).

23. En ce qui concerne les éventuelles exceptions à l’obligation d’information, en cas de collecte directe d’informations en vertu de l’article 13 du RGPD, la seule applicable est « lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations ». En cas de collecte indirecte, la liste des exceptions possibles prévue à l’article 14, paragraphe 5, du RGPD est plus longue. Parmi ces exceptions figurent les situations dans lesquelles la fourniture d’informations « se révèle impossible ou exigerait des efforts disproportionnés » [article 14, paragraphe 5, sous b), du RGPD]. En pareil cas, le responsable du traitement « prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles ».

24. Il ressort clairement de ce qui précède que la portée de l’obligation d’information incombant au responsable du traitement diffère selon que c’est l’article 13 ou l’article 14 du RGPD qui s’applique. Le résultat de cette détermination aura une incidence sur les questions sur lesquelles une autorité de contrôle doit enquêter afin de déterminer s’il y a eu violation de l’obligation d’information.

25. Ces observations générales étant faites, il convient ensuite d’examiner si le traitement de données au moyen d’une caméra-piéton telle que celle utilisée dans l’affaire au principal relève du champ d’application matériel de l’article 13 ou de celui de l’article 14 du RGPD. À cette fin, il y a lieu, en application d’une jurisprudence constante, de tenir compte non seulement des termes de ces dispositions, mais également du contexte desdites dispositions et des objectifs poursuivis par la réglementation dont elles font partie (12).

26. En premier lieu, s’agissant du libellé des articles 13 et 14 du RGPD, il convient de relever, ainsi que la Cour l’a précisé dans l’arrêt Másdi, que le champ d’application matériel de l’article 14 du RGPD est défini de manière négative par rapport à l’article 13 de ce règlement (13). Ainsi qu’il ressort des intitulés mêmes de ces dispositions, cet article 13 porte sur les informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée, tandis que cet article 14 concerne celles qui doivent l’être lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée (14). Ainsi que la Commission l’a indiqué dans ses observations écrites, ces deux dispositions s’excluent mutuellement. Compte tenu de cette dichotomie, tous les cas dans lesquels les données sont collectées auprès de la personne concernée relèvent du champ d’application matériel de l’article 13 du RGPD et tous les cas dans lesquels les données ne sont pas collectées auprès de la personne concernée relèvent du champ d’application matériel de l’article 14 de ce règlement (15).

27. Il ressort de l’ordonnance de renvoi que la difficulté de déterminer le champ d’application matériel de ces dispositions réside précisément dans la question de savoir si l’application de l’article 13 du RGPD est subordonnée à la condition que la personne concernée ait connaissance de la collecte de ses données ou à une quelconque action délibérée de sa part dans la fourniture des données (par exemple, en remplissant un formulaire) (16).

28. À cet égard, il y a lieu de relever que la notion de données « collectées » auprès de la personne concernée au sens de l’article 13, paragraphe 1, du RGPD n’exige pas une action spécifique de la part de cette dernière. La « collecte » est une forme de « traitement » de données, telle que définie à l’article 4, point 2, du RGPD. Dès lors, la collecte de données nécessite une action de la part du responsable du traitement (17). Comme l’autorité chargée de la protection des données l’a fait valoir devant la juridiction de renvoi, c’est le responsable du traitement qui joue un rôle actif dans la collecte des données et non la personne concernée.

29. La Commission et l’autorité chargée de la protection des données ont fait observer, dans leurs observations écrites, que les versions en langues anglaise et suédoise des articles 13 et 14 du RGPD utilisent deux verbes différents. Alors que l’article 13 du RGPD se réfère aux données « collectées » auprès de la personne concernée (« collected » en anglais et « samlas » en suédois), l’article 14 de ce règlement fait référence aux données qui n’ont pas été « obtenues » auprès de la personne concernée (« obtained » en anglais et « erhållits » en suédois). Toutefois, ainsi que l’a relevé la Commission, dans d’autres versions linguistiques, c’est le même verbe qui est utilisé (18) et, en tout état de cause, l’emploi de deux verbes différents, à savoir « collecter » et « obtenir », ne semble pas avoir de signification quelconque. Cela peut également être déduit de l’arrêt Másdi, dans lequel la Cour explique que les données à caractère personnel qui ont fait l’objet d’une « obtention » par le responsable du traitement, au sens de l’article 14 du RGPD, sont toutes celles que ce dernier « collecte auprès d’une personne autre que la personne concernée […] » (19).

30. La dichotomie entre les articles 13 et 14 du RGPD, à laquelle j’ai fait référence au point 26 des présentes conclusions, démontre que la base permettant de déterminer leur champ d’application matériel est non pas la participation active de la personne concernée par la collecte, mais la source des données. Si la personne concernée est la source des données, l’article 13 du RGPD s’applique. Pour que cette disposition s’applique, il ne devrait pas y avoir d’intermédiaire entre la personne concernée et le responsable du traitement. Si la source des données est une source autre que la personne concernée, c’est l’article 14 du RGPD qui s’applique. Toute autre source pourrait être, par exemple, des responsables du traitement tiers, des sources en libre accès ou d’autres personnes concernées (20).

31. Le libellé de l’article 14, paragraphe 2, sous f), du RGPD confirme que la source des données est le critère de délimitation du champ d’application matériel entre les articles 13 et 14 de ce règlement. En effet, aux termes de cette disposition, lorsque les données n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit informer la personne concernée de « la source d’où proviennent les données à caractère personnel » (mis en exergue par mes soins).

32. Le libellé du considérant 61 du RGPD suggère également que la source des données est le critère distinguant le champ d’application matériel des articles 13 et 14 de ce règlement. Selon ce considérant, « [l]es informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d’elle ou, si les données à caractère personnel sont obtenues d’une autre source, dans un délai raisonnable en fonction des circonstances propres à chaque cas » (mis en exergue par mes soins). Ce considérant précise en outre que des informations générales devraient être fournies « [l]orsque l’origine des données à caractère personnel n’a pas pu être communiquée à la personne concernée parce que plusieurs sources ont été utilisées » (mis en exergue par mes soins).

33. Les données peuvent être directement collectées auprès de la personne concernée selon différentes méthodes. Une telle collecte n’exige pas la participation ou l’initiative de la personne concernée pour fournir les données ou avoir connaissance de la collecte. Cette approche est également confirmée par les lignes directrices du GT29 sur la transparence, qui prévoient que l’article 13 du RGPD s’applique soit lorsqu’une personne concernée fournit sciemment des données à caractère personnel au responsable du traitement des données soit lorsqu’un responsable du traitement collecte les données auprès d’une personne concernée par observation. Parmi les exemples de collecte de données par observation qui y sont donnés figurent l’utilisation d’appareils de saisie automatique de données ou de logiciels de saisie de données, tels que des caméras (21).

34. Lorsque les données sont collectées directement par observation, la connaissance de la collecte par la personne concernée est la conséquence de l’application de l’article 13 du RGPD et de l’obligation qu’il prévoit pour le responsable du traitement de fournir des informations à la personne concernée au moment de la collecte. En d’autres termes, la connaissance de la collecte des données n’est pas une condition préalable à l’application de l’article 13 du RGPD, mais plutôt la conséquence de l’obligation prévue dans cette disposition d’informer la personne concernée au moment de l’obtention des données à caractère personnel (au plus tard).

35. À partir du moment où les données sont collectées directement auprès de la personne concernée et précisément en raison d’une telle forme de collecte, le responsable du traitement doit fournir les informations, ce qui permet à la personne concernée de prendre connaissance de la collecte des données. Comme l’a fait valoir l’autorité chargée de la protection des données, une zone faisant l’objet d’une surveillance doit comporter un panneau d’avertissement pertinent afin que la personne concernée est informée de la collecte avant d’entrer dans la zone surveillée (22). En entrant sciemment dans la zone surveillée, la personne concernée consent à la collecte de données à caractère personnel.

36. S’agissant de la collecte de données par une caméra-piéton, telle que celle en cause au principal, ainsi que l’a relevé le gouvernement autrichien, la personne concernée devient la source des données collectées du fait de sa simple présence physique dans la zone concernée surveillée par une caméra.

37. Une conclusion différente, selon laquelle l’article 13 du RGPD ne s’appliquerait que lorsque la personne concernée fournit activement les données, ne saurait être tirée du libellé des articles 13 et 14 de ce règlement ou de ses considérants. Plus précisément, contrairement aux observations de SL et du gouvernement danois, une telle conclusion ne saurait être tirée de l’article 13, paragraphe 2, sous e), du RGPD, comme le reflète le considérant 60 de celui-ci. Selon cette disposition, lorsque les données sont collectées auprès de la personne concernée, le responsable du traitement doit fournir des informations sur la question de savoir « […] si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données ». Comme l’a indiqué l’autorité chargée de la protection des données devant la juridiction de renvoi, les informations relatives à une éventuelle obligation de fournir des données ne doivent être fournies que si elles sont requises dans un cas concret (23). L’article 13, paragraphe 2, sous e), du RGPD ne doit pas être interprété comme exigeant, en toutes circonstances, une action particulière de la personne concernée pour que l’article 13 de ce règlement s’applique.

38. De même, le libellé de l’article 14, paragraphe 1, sous d), du RGPD ne suggère pas non plus que la personne concernée doit jouer un rôle actif en fournissant les données ou qu’elle doit avoir connaissance de la collecte des données pour que l’article 13 de ce règlement s’applique. L’article 14, paragraphe 1, sous d), du RGPD exige que, lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement informe la personne concernée des catégories de données à caractère personnel concernées. Il n’existe aucune obligation de fournir de telles informations au titre de l’article 13 du RGPD, dont SL et le gouvernement danois déduisent qu’il s’applique lorsque la personne concernée a déjà connaissance de la collecte des données. Toutefois, l’exigence information en vertu de l’article 14, paragraphe 1, sous d), du RGPD peut être justifiée par le fait que le responsable du traitement traite des données provenant d’autres sources que la personne concernée et qu’il n’est pas en contact avec celle-ci au moment de la collecte des données.

39. Dès lors, le libellé respectif des articles 13 et 14 du RGPD permet de conclure que la collecte de données par une caméra-piéton, en tant que forme de collecte directe de données auprès de la personne concernée, relève du champ d’application du premier article.

40. En deuxième lieu, le contexte dans lequel s’inscrivent ces dispositions corrobore une telle interprétation. Les obligations d’information prévues aux articles 13 et 14 du RGPD sont des expressions spécifiques du principe de transparence, qui régit le traitement des données à caractère personnel, tel que prévu à l’article 5, paragraphe 1, sous a), de ce règlement. En vertu de cette dernière disposition, les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée. Il s’ensuit qu’un traitement de données à caractère personnel doit notamment satisfaire à des exigences concrètes en matière de transparence à l’égard de la personne concernée par un tel traitement (24).

41. La délimitation du champ d’application des articles 13 et 14 du RGPD en fonction de la source des données permet un traitement loyal et transparent. Lorsque les données sont collectées directement auprès de la personne concernée, cette dernière doit recevoir des informations au moment de la collecte. Lorsque les données ne sont pas collectées directement auprès de la personne concernée, le responsable du traitement dispose d’une certaine marge de manœuvre pour fournir les informations – dans un délai raisonnable – précisément parce qu’il n’y a pas de contact direct avec la personne concernée.

42. Dans le cas de la collecte de données au moyen d’une caméra-piéton, la fourniture immédiate d’informations à la personne concernée sur la collecte permet à celle-ci de prendre connaissance de la collecte afin d’exercer ses droits en tant que personne concernée dès la collecte, voire avant le début de la collecte. Ainsi que l’a relevé le gouvernement autrichien, en prenant connaissance le plus tôt possible de la collecte des données, la personne concernée peut, par exemple, décider de ne pas entrer dans la zone surveillée ou d’adapter son comportement.

43. S’agissant des modalités pratiques de fourniture des informations, il convient d’avoir à l’esprit que, en vertu de l’article 12, paragraphe 1, du RGPD, le responsable du traitement doit prendre des « mesures appropriées » pour fournir les informations requises « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ».

44. Les parties et intéressés ayant présenté des observations écrites se fondent sur la prémisse générale que, dans le cas de la surveillance par caméra, les informations doivent être fournies selon une « approche à plusieurs niveaux ». Les lignes directrices du CEPD sur la vidéosurveillance donnent un aperçu détaillé et pratique de l’approche à plusieurs niveaux. Les informations de premier niveau se rapportent à « la manière dont le responsable du traitement s’adresse à la personne concernée en premier lieu ». Dans le cas de la vidéosurveillance, il s’agira normalement d’un panneau d’avertissement permettant à la personne concernée de savoir qu’elle entre dans une zone sous surveillance. Les informations de premier niveau doivent ensuite être complétées par les informations de deuxième niveau, de préférence en faisant référence à une source numérique (par exemple, un code QR ou une adresse de site Internet), bien qu’il convienne également de rendre les informations facilement accessibles sous une forme non numérique (25).

45. SL et le gouvernement danois ont fait valoir que l’approche à plusieurs niveaux est plus conforme à l’économie générale de l’article 14 du RGPD qu’à celle de l’article 13 de ce règlement. Ils estiment que la difficulté de fournir les informations au moment de la collecte des données lors de l’utilisation de caméras-piéton devrait appeler l’application de l’exception prévue à l’article 14, paragraphe 5, sous b), du RGPD. Cette exception s’applique lorsque la fourniture des informations « se révèle impossible ou exigerait des efforts disproportionnés ». En pareil cas, le responsable du traitement « prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée ».

46. Je ne suis pas convaincue par ces arguments. Premièrement, il découle de l’article 12 du RGPD que les « mesures appropriées » que le responsable du traitement doit prendre pour fournir des informations se rapportent aux informations visées autant à l’article 13 qu’à l’article 14 du RGPD. Cela signifie que le responsable du traitement doit prendre les mesures appropriées pour fournir des informations dans les situations de collecte directe et indirecte des données.

47. Deuxièmement, ainsi que l’a relevé, en substance, l’autorité chargée de la protection des données, le caractère approprié des mesures dépend du contexte dans lequel les données sont collectées et porte, notamment, sur l’intérêt des personnes concernées. La collecte de données par une caméra-piéton est aussi intrusive que la vidéosurveillance et comporte des risques importants pour la vie privée des personnes concernées (26). Lorsque les responsables du traitement cherchent à déterminer les mesures les plus appropriées pour fournir des informations aux personnes concernées, ils doivent tenir dûment compte du principe de transparence et du degré d’intrusivité des moyens utilisés pour collecter les données. S’il est généralement admis que l’approche à plusieurs niveaux est appropriée pour la vidéosurveillance, qui comporte des risques importants pour la vie privée, il devrait en aller de même pour la collecte de données par caméras-piéton.

48. Troisièmement, il existe des arguments convaincants démontrant que l’approche à plusieurs niveaux n’est ni « difficile en pratique » ni « impossible » dans le cas d’une caméra-piéton. L’autorité chargée de la protection des données, le gouvernement autrichien et la Commission ont fait valoir que l’approche à plusieurs niveaux pour la vidéosurveillance s’applique de la même manière dans le cas des caméras-piéton, en faisant référence aux lignes directrices du CEPD sur la vidéosurveillance. Le caractère non contraignant de ces lignes directrices ne change rien au fait qu’elles démontrent concrètement que l’approche à plusieurs niveaux est possible et réalisable en pratique (27).

49. En troisième lieu, l’interprétation selon laquelle l’article 13 du RGPD s’applique dans le cas de données collectées au moyen d’une caméra-piéton est conforme aux objectifs poursuivis par la réglementation dont font partie les articles 13 et 14 de ce règlement. L’objectif poursuivi par le RGPD, tel qu’il ressort de l’article 1^er ainsi que des considérants 1 et 10 de celui-ci, vise, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la vie privée à l’égard du traitement des données à caractère personnel, consacré à l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et à l’article 16, paragraphe 1, TFUE (28). Conformément à cet objectif, tout traitement de données à caractère personnel doit, notamment, respecter les principes relatifs au traitement de telles données énoncés à l’article 5 du RGPD, y compris le principe de transparence.

50. L’obligation d’information du responsable du traitement prévue aux articles 13 et 14 du RGPD est une expression du principe de transparence. Ainsi qu’il a déjà été relevé ci-dessus (29), le délai inhérent à l’obligation de fournir les informations diffère en fonction de l’une ou l’autre de ces dispositions. La collecte directe nécessite la fourniture immédiate d’informations. Lorsque la collecte n’est pas directe parce que les données sont collectées à partir d’autres sources, les informations peuvent être fournies à un stade ultérieur. Le RGPD permet des délais différents dans la fourniture des informations précisément parce que la collecte est indirecte.

51. Si l’on admettait que l’article 14 du RGPD s’applique dans le cas de la collecte de données au moyen d’une caméra-piéton, les personnes concernées ne recevraient pas d’informations au moment de la collecte des données, bien qu’elles soient la source des données. Ainsi que l’ont relevé, en substance, le gouvernement autrichien et la Commission, cela pourrait porter atteinte à l’effet utile de l’article 13 du RGPD. En effet, cela permettrait aux responsables du traitement de ne pas fournir immédiatement d’informations aux personnes concernées, malgré le fait que les données ont été collectées directement auprès de ces personnes (30). Cela crée le risque de faire échapper la collecte des données à la connaissance des personnes concernées et de donner lieu à des pratiques de surveillance cachées (31). Un tel contournement de l’article 13 du RGPD constituerait une violation grave du droit à l’information de la personne concernée.

52. Enfin, si la distinction des champs d’application matériels respectifs des articles 13 et 14 du RGPD devait dépendre du fait que la personne concernée ait ou non effectivement connaissance de la collecte de ses données au moment de cette collecte, cela brouillerait les limites entre les deux dispositions et ferait dépendre leur application de circonstances aléatoires.

53. Il découle donc d’une interprétation littérale, contextuelle et téléologique des articles 13 et 14 du RGPD que, dans le cas de la collecte de données au moyen d’une caméra-piéton, qui constitue une forme directe de collecte des données auprès de la personne concernée, l’obligation d’information incombant au responsable du traitement relève du champ d’application de la première disposition.

54. Par souci d’exhaustivité, je formulerai quelques remarques finales sur la pertinence de l’arrêt Ryneš pour la présente affaire (32). Dans cet arrêt, la Cour a interprété l’exception à l’application de la directive 95/46 dans le cas d’activités exclusivement « personnelles ou domestiques », telle que prévue à l’article 3, paragraphe 2, second tiret, de cette directive. Elle a jugé, en substance, que l’exploitation d’un système de caméra, installé par une personne physique dans sa maison familiale afin de protéger les biens, la santé et la vie des propriétaires de la maison, ce système surveillant également l’espace public, ne pouvait pas être considérée comme une activité exclusivement « personnelle ou domestique », au sens de cette disposition. Dès lors, un tel traitement ne saurait échapper à l’application de la directive 95/46.

55. Au point 34 de cet arrêt, la Cour a jugé que, « [d]ans le même temps, l’application des dispositions de [la directive 95/24] permet, le cas échéant, de tenir compte, conformément en particulier [à l’article 7, sous f), à l’article 11, paragraphe 2, ainsi qu’à l’article 13, paragraphe 1, sous d) et g)], de ladite directive, des intérêts légitimes du responsable du traitement […] ».

56. La référence à l’article 11, paragraphe 2, de la directive 95/46 dans ce point spécifique n’équivaut pas à une interprétation par la Cour de la base juridique appropriée permettant au responsable du traitement de fournir des informations en cas de vidéosurveillance. La question soulevée dans cet arrêt était totalement différente de celle de la présente affaire, en ce qu’elle concernait l’application de l’« exception relative aux activités domestiques » et non l’obligation d’information. Dans ce point, la Cour ne fait qu’illustrer la possibilité de prendre en compte les intérêts légitimes poursuivis par le responsable du traitement au regard des limitations et des exceptions prévues par la directive 95/46. La Commission observe également à juste titre qu’il ressort de la demande de décision préjudicielle dans l’affaire ayant donné lieu à l’arrêt Ryneš que, dans le cadre de la procédure nationale, l’autorité nationale de contrôle avait considéré qu’il y avait violation de la législation nationale transposant l’article 11 de la directive 95/46.

57. En tout état de cause, le délai pour fournir les informations au titre de l’article 14 du RGPD ne correspond pas au délai prévu à l’article 11 de la directive 95/46 (33). En outre, le législateur de l’Union a clarifié la distinction entre les champs d’application respectifs des articles 13 et 14 du RGPD en faisant référence à la source des données dans son considérant 61 de ce règlement (34).

58. Pour ces raisons, j’estime que l’arrêt Ryneš n’est pas pertinent en l’espèce et qu’il n’est pas susceptible de conduire à une conclusion différente de celle proposée dans les présentes conclusions.

59. Compte tenu de tout ce qui précède, je considère que les articles 13 et 14 du RGPD doivent être interprétés en ce sens que, dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piéton portées par des contrôleurs travaillant pour une société de transport public, l’article 13 de ce règlement s’applique alors que l’article 14 dudit règlement ne s’applique pas.

V. Conclusion

60. Au regard de l’ensemble des considérations qui précèdent, je propose à la Cour de répondre comme suit aux questions préjudicielles posées par le Högsta förvaltningsdomstolen (Cour suprême administrative) :

Les articles 13 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doivent être interprétés en ce sens que, dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piéton portées par des contrôleurs travaillant pour une société de transport public, l’article 13 de ce règlement s’applique alors que l’article 14 dudit règlement ne s’applique pas.

1 Langue originale : l’anglais.

2 Règlement du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1).

3 Voir, à cet égard, arrêt du 11 juillet 2024, Meta Platforms Ireland (Action représentative) (C-757/22, EU:C:2024:598, point 58).

4 Vrabec, H.-U., Data Subject Rights under the GDPR, Oxford University Press, Oxford, 2021, p. 64.

5 Conclusions de l’avocat général Cruz Villalón dans l’affaire Bara e.a. (C-201/14, EU:C:2015:461, point 74).

6 Directive du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31).

7 Voir point 6 des présentes conclusions.

8 Directive du Parlement européen et du Conseil, du 27 avril 2016, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO 2016, L 119, p. 89). En ce qui concerne la distinction du champ d’application entre le RGPD et la directive 2016/680, voir arrêt du 21 juin 2022, Ligue des droits humains (C-817/19, EU:C:2022:491, points 67 et suivants).

9 Voir mes conclusions dans l’affaire Másdi (C-169/23, EU:C:2024:474, points 23 à 25). En ce qui concerne la distinction entre la collection directe et indirecte des données dans le cadre de la directive 95/46, voir arrêt du 7 novembre 2013, IPI (C-473/12, EU:C:2013:715, point 24).

10 Plus précisément, en vertu de l’article 13, paragraphe 2, sous e), du RGPD, le responsable du traitement doit informer la personne concernée de la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données. Aux termes de l’article 14, paragraphe 1, sous d), du RGPD, le responsable du traitement doit fournir les informations sur les catégories de données à caractère personnel concernées. En outre, en vertu de l’article 14, paragraphe 2, sous f), du RGPD, le responsable du traitement doit informer la personne concernée de la source d’où proviennent les données à caractère personnel.

11 Selon le groupe de travail « article 29 », Lignes directrices sur la transparence au titre du règlement 2016/679, 29 novembre 2017, WP260 rev. 01, point 28, approuvées par le comité européen de la protection des données (ci-après le « CEPD ») le 25 mai 2018 (ci-après les « lignes directrices du GT29 sur la transparence »), en tout état de cause, le délai maximal pendant lequel les informations prévues à l’article 14 du RGPD doivent être fournies à une personne concernée est d’un mois.

12 Arrêt du 28 novembre 2024, Másdi (C-169/23, EU:C:2024:988, point 39).

13 Arrêt du 28 novembre 2024, Másdi (C-169/23, EU:C:2024:988, point 48).

14 Arrêt du 28 novembre 2024, Másdi (C-169/23, EU:C:2024:988, point 48).

15 Voir, en ce sens, arrêt du 28 novembre 2024, Másdi (C-169/23, EU:C:2024:988, point 48).

16 Voir points 9, 11 et 12 des présentes conclusions.

17 Voir Roßnagel, A., « Kapitel I Allgemeine Bestimmungen, Artikel 4 Nr. 2 Begriffsbestimmung „Verarbeitung“ », dans Simitis, S., Hornung, G. e.a., Datenschutzrecht, Datenschutzgrundrechtverordnung, Bundesdatenschutzgesetz, Nomos, Baden-Baden, 2^e éd., 2025, point 15.

18 C’est le cas, par exemple, des versions en langues française, allemande et grecque du RGPD.

19 Arrêt du 28 novembre 2024, Másdi (C-169/23, EU:C:2024:988, point 47) (mis en exergue par mes soins).

20 Lignes directrices du GT29 sur la transparence, point 26.

21 Lignes directrices du GT29 sur la transparence, point 26.

22 Voir CEPD, lignes directrices 3/2019 sur le traitement des données à caractère personnel par des dispositifs vidéo, 29 janvier 2020, point 113 (ci-après les « lignes directrices du CEPD sur la vidéosurveillance »). Le point de savoir si la personne concernée a effectivement compris les informations est une autre question et dépend du point de savoir si les informations ont été fournies « d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples », conformément à l’article 12 du RGPD.

23 Les lignes directrices du GT29 sur la transparence donnent des exemples d’informations qui pourraient devoir être fournies à un employeur actuel ou éventuel dans un contexte professionnel.

24 Arrêt du 11 juillet 2024, Meta Platforms Ireland (Action représentative) (C-757/22, EU:C:2024:598, point 53).

25 Voir, plus en détail, lignes directrices du CEPD sur la vidéosurveillance, points 112 à 119.

26 Voir, de manière générale, lignes directrices du CEPD sur la vidéosurveillance, points 1 et suivants.

27 Sur la mise en œuvre pratique des exigences en matière de fourniture d’informations dans le cas des caméras-piéton, voir Data Protection Commission (Commission chargée de la protection des données, Irlande), « Guidance on the use of body worn cameras or action cameras », 10 janvier 2020, p. 3, indiquant que « [l]es mesures appropriées pour transmettre ces informations à la personne concernée dépendent du contexte spécifique et de l’environnement dans lesquels les données sont collectées et traitées et, dans le cas de caméras-piéton, peuvent comporter des indications visibles contenant les informations, des badges à côté de l’équipement contenant des informations ou des liens, une signalisation publique, ou bien déclarer ou porter à la connaissance des personnes concernées les informations pertinentes » (traduction libre). Voir également Datenschutzkonferenz (DSK) (Conférence de protection des données, Allemagne) « Orientierungshilfe der Datenschutzaufsichtsbehörden zu dem Einsatz von Bodycams durch private Sicherheitsunternehmen », 22 février 2019 (ci-après « DSK Orientierungshilfe »), p. 4. Il découle de ces lignes directrices qu’il existe des moyens pratiques pour avertir la personne concernée du traitement pertinent. Par exemple, lorsque la caméra-piéton est activée, un signal optique doit être activé [« voyant lumineux rouge » (« rote Lampe »)] et les personnes portant les caméras-piéton doivent comporter des signes visibles, tels que des vestes d’avertissement avec des symboles de la caméra (« beschriftete Warnwesten mit Kamerasymbolen »).

28 Arrêt du 3 avril 2025, Ministerstvo zdravotnictví (Données relatives au représentant d’une personne morale) (C-710/23, EU:C:2025:231, point 29).

29 Voir point 41 des présentes conclusions.

30 Cela est sans préjudice de l’application de toute limitation au droit de la personne concernée de recevoir des informations dans les conditions prévues à l’article 23 du RGPD.

31 Voir, à cet égard, DSK Orientierungshilfe, citées en note en bas de page 28 des présentes conclusions, p. 1.

32 Le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm) s’est fondée sur cet arrêt dans son raisonnement. Dans leurs observations écrites, SL et le gouvernement danois font également valoir que cet arrêt est pertinent pour la présente affaire.

33 Aux termes de l’article 11 de la directive 95/46, le responsable du traitement était tenu de fournir les informations à la personne concernée « dès l’enregistrement des données ou, si une communication de données à un tiers [était] envisagée, au plus tard lors de la première communication de données ».

34 Ainsi que l’a relevé la Commission dans ses observations écrites, l’expression « si les données à caractère personnel sont obtenues d’une autre source » au considérant 61 du RGPD est nouvelle par rapport à la directive 95/46. Voir point 32 des présentes conclusions.