–

pour l’Integritetsskyddsmyndigheten, par Mme C. Agnehall, MM. A. Persson et D. Törngren , en qualité d’agents,

–

pour AB Storstockholms Lokaltrafik, par M. J. Forzelius, advokat, et M. G. Tranvik, biträdande jurist,

–

pour le gouvernement danois, par Mmes D. Elkan, C. A.-S. Maertens, J. Sandvik Loft et M. M. Jespersen, en qualité d’agents,

–

pour le gouvernement autrichien, par M. A. Posch, Mmes J. Schmoll et C. Gabauer, en qualité d’agents,

–

pour la Commission européenne, par MM. A. Bouchagiar, C. Faroghi et H. Kranenborg , en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation des articles 13 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2

Cette demande a été présentée dans le cadre d’un litige opposant l’Integritetsskyddsmyndigheten (Autorité chargée de la protection des données, Suède) (ci-après l’« Autorité ») à AB Storstockholms Lokaltrafik (ci-après « SL »), une société anonyme suédoise de transports publics, au sujet d’une sanction administrative pécuniaire infligée à celle-ci pour violation de l’article 13 du RGPD dans le cadre de la collecte de données à caractère personnel au moyen d’une caméra-piéton portée par des contrôleurs travaillant pour cette société.

3

Les considérants 60 et 61 du RGPD énoncent :

4

L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit :

« 1. Les données à caractère personnel doivent être :

[…]

[…] »

5

L’article 12 du RGPD, intitulé « Transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée », est libellé comme suit :

« 1. Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples […]. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. […]

[…]

5. […] Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :

[…]

Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.

[…] »

6

L’article 13 du RGPD, intitulé « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », dispose :

« 1. Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent :

3. Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.

4. Les paragraphes 1, 2 et 3 ne s’appliquent pas lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations. »

7

Aux termes de l’article 14 du RGPD, intitulé « Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée » :

« 1. Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :

2. En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée :

3. Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 :

4. Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.

5. Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où :

8

SL exploite des services de transport public à Stockholm (Suède). Cette société a équipé ses contrôleurs de caméras-piétons, utilisées pour filmer les passagers qui ne disposent pas d’un billet valide lors du contrôle des billets et qui se voient ainsi infliger une amende. L’utilisation de ces caméras a pour but de prévenir et de prouver les menaces ainsi que les violences exercées à l’égard des contrôleurs et de s’assurer de l’identité des passagers soumis à une telle amende.

9

Dans le cadre de ses activités de contrôle, l’Autorité a examiné si le traitement des données à caractère personnel effectué par SL au moyen des caméras-piétons était conforme aux règles du RGPD. Au cours du mois de juin 2021, elle a adopté une décision dont il ressort que les contrôleurs portent les caméras pendant toute la durée de leur service et que celles-ci enregistrent en continu des vidéos avec des images et du son.

10

Ces caméras ont une mémoire dite « circulaire », ce qui signifie que, après un certain temps, intervient un nettoyage automatique de l’ensemble du contenu enregistré. À l’issue de ce nettoyage, le matériel enregistré est effacé. Initialement, le matériel enregistré était stocké pendant deux minutes, mais lors de la période de contrôle effectué par l’Autorité, cette durée a été réduite à une minute. En appuyant sur un bouton, les contrôleurs peuvent cependant interrompre le nettoyage automatique et ainsi veiller à ce que les données enregistrées ne soient pas effacées. Dans ce cas, les informations stockées dans la caméra sont également conservées au moyen de la technique de préenregistrement qui enregistre les informations au cours de la minute qui précède le moment où le contrôleur a appuyé sur le bouton. Les contrôleurs ont pour instruction d’interrompre le nettoyage automatique dans toutes les situations où une amende est imposée et, par ailleurs, en cas de menace à leur égard.

11

Au-delà de ces constatations relatives à l’utilisation et au fonctionnement des caméras-piétons, l’Autorité a considéré, dans sa décision, que SL avait traité, depuis le mois de décembre 2018 et jusqu’à la date d’adoption de cette décision au cours du mois de juin 2021, des données à caractère personnel, en utilisant des caméras-piétons dans le cadre du contrôle des billets, en violation de plusieurs dispositions du RGPD. Selon elle, SL n’avait pas fourni suffisamment d’informations aux personnes concernées, méconnaissant ainsi l’article 13 du RGPD. En conséquence, cette autorité a infligé à SL une sanction administrative pécuniaire d’un montant total de 16 millions de couronnes suédoises (SEK) (environ 1420670 euros), dont 4 millions de SEK (environ 355188 euros) pour défaut d’information des personnes concernées.

12

Le Förvaltningsrätten i Stockholm (tribunal administratif siégeant à Stockholm, Suède), saisi par SL d’un recours contre la décision de l’Autorité, a rejeté ce recours dans la mesure où il concernait la sanction infligée à cette société pour défaut d’information des personnes concernées.

13

SL a alors interjeté appel devant le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm, Suède), qui a annulé le jugement du tribunal de première instance ainsi que la décision de l’Autorité en ce qui concernait l’infliction de cette sanction. Cette juridiction a jugé, en se référant à l’arrêt du 11 décembre 2014, Ryneš (C-212/13, EU:C:2014:2428), que l’article 13 du RGPD n’était pas applicable au litige porté devant elle et, partant, que l’Autorité n’était pas fondée à infliger à SL une sanction administrative pécuniaire pour violation de cette disposition.

14

L’Autorité a formé un pourvoi contre l’arrêt du Kammarrätten i Stockholm (cour d’appel administrative de Stockholm) devant le Högsta förvaltningsdomstolen (Cour administrative suprême, Suède), qui est la juridiction de renvoi, en lui demandant d’annuler cet arrêt en ce qui concerne la sanction infligée à cette société pour défaut d’information des personnes concernées.

15

La juridiction de renvoi précise, tout d’abord, que la question qui se pose est celle de savoir lequel des articles 13 et 14 du RGPD s’applique lorsque des données à caractère personnel sont collectées au moyen d’une caméra-piéton. Selon elle, la réponse à cette question est nécessaire à deux égards. D’une part, il importerait de déterminer quelles sont les informations à fournir à la personne concernée, à quel moment naît l’obligation d’information de cette personne et quelles sont les exceptions à cette obligation. D’autre part, il s’agirait d’établir si l’Autorité était en droit d’infliger à SL une sanction administrative pécuniaire au motif que cette société n’avait pas respecté l’obligation d’information, telle que prévue à l’article 13 du RGPD.

16

Ensuite, selon la juridiction de renvoi, il n’apparaîtrait pas non plus clairement dans quelle mesure les différences entre les articles 13 et 14 du RGPD, en ce qui concerne la portée de l’obligation d’information que ces dispositions comportent, doivent être prises en compte pour déterminer laquelle de celles-ci s’applique à un type particulier de collecte de données à caractère personnel. À cet égard, elle précise que les parties sont en désaccord sur la conclusion à tirer de ces différences.

17

Enfin, la juridiction de renvoi s’interroge sur l’importance qu’il convient d’accorder aux lignes directrices sur la transparence au sens du règlement (UE) 2016/679, adoptées le 29 novembre 2017, dans leur version révisée le 11 avril 2018, par le groupe de travail institué par l’article 29 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), qui prévoient, au point 26, que l’article 13 du RGPD est applicable à la vidéosurveillance.

18

C’est dans ce contexte que le Högsta förvaltningsdomstolen (Cour administrative suprême) a décidé de surseoir à statuer et de soumettre à la Cour la question préjudicielle suivante :

« Lequel des articles 13 et 14 du [RGPD] s’applique lorsque des données à caractère personnel sont collectées au moyen d’une caméra-piéton ? »

19

À la suite du prononcé des conclusions de Mme l’avocate générale le 1er août 2025, SL a demandé, par acte déposé au greffe de la Cour le 23 septembre 2025, la réouverture de la procédure orale, conformément à l’article 83 du règlement de procédure de la Cour.

20

À l’appui de cette demande, SL fait valoir que la Cour n’a pas été suffisamment éclairée sur les faits de l’affaire au principal et sur l’importance que revêtirait une décision rendue dans cette affaire à l’égard des responsables du traitement qui recourent à l’utilisation de dispositifs de vidéosurveillance. Elle estime notamment que les conclusions présentées par Mme l’avocate générale n’ont pas correctement délimité les champs d’application respectifs des articles 13 et 14 du RGPD.

21

À cet égard, il convient de rappeler que, en vertu de l’article 252, second alinéa, TFUE, l’avocat général présente publiquement, en toute impartialité et en toute indépendance, des conclusions motivées sur les affaires qui, conformément au statut de la Cour de justice de l’Union européenne, requièrent son intervention. La Cour n’est liée ni par ces conclusions ni par la motivation au terme de laquelle l’avocat général parvient à celles-ci (arrêt du 4 septembre 2025, Nissan Iberia, C-21/24, EU:C:2025:659, point 30 et jurisprudence citée).

22

Il convient également de relever, dans ce contexte, que le statut de la Cour de justice de l’Union européenne et le règlement de procédure ne prévoient pas la possibilité pour les parties ou les intéressés visés à l’article 23 de ce statut de présenter des observations en réponse aux conclusions présentées par l’avocat général. Le désaccord d’une partie ou d’un tel intéressé avec les conclusions de l’avocat général, quelles que soient les questions qu’il examine dans celles-ci, ne peut, par conséquent, constituer en lui-même un motif justifiant la réouverture de la procédure orale (arrêt du 4 septembre 2025, Nissan Iberia, C-21/24, EU:C:2025:659, point 31 et jurisprudence citée).

23

Il s’ensuit que, dans la mesure où la demande de réouverture de la phase orale de la procédure présentée par SL tend à permettre à celle-ci de répondre à la position exprimée par Mme l’avocate générale dans ses conclusions, cette demande ne saurait être accueillie.

24

Cela étant, en vertu de l’article 83 de son règlement de procédure, la Cour peut, à tout moment, l’avocat général entendu, ordonner la réouverture de la phase orale de la procédure, notamment si elle considère qu’elle est insuffisamment éclairée, ou lorsqu’une partie a soumis, après la clôture de cette phase, un fait nouveau de nature à exercer une influence décisive sur la décision de la Cour, ou encore lorsque l’affaire doit être tranchée sur la base d’un argument qui n’a pas été débattu entre les parties ou les intéressés visés à l’article 23 du statut de la Cour de justice de l’Union européenne.

25

En l’occurrence, la Cour considère toutefois, l’avocate générale entendue, qu’elle dispose de tous les éléments nécessaires afin de répondre aux questions posées par la juridiction de renvoi et que la présente affaire ne nécessite pas d’être tranchée sur la base d’un argument qui n’aurait pas été débattu entre les intéressés. En outre, la demande de réouverture de la phase orale de la procédure ne révèle aucun fait nouveau de nature à pouvoir exercer une influence décisive sur la décision que la Cour est appelée à rendre dans cette affaire.

26

Dans ces conditions, il n’y a pas lieu d’ordonner la réouverture de la phase orale de la procédure.

27

Par sa question, la juridiction de renvoi demande, en substance, si les articles 13 et 14 du RGPD doivent être interprétés en ce sens que, dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piétons portées par des contrôleurs dans les transports publics, l’information des personnes concernées est régie par l’article 13 du RGPD ou par l’article 14 de celui-ci.

28

Pour répondre à cette question, il y a lieu, en application d’une jurisprudence constante de la Cour, de tenir compte non seulement des termes de ces dispositions, mais également du contexte desdites dispositions et des objectifs poursuivis par la réglementation dont elles font partie (arrêt du 28 novembre 2024, Másdi, C-169/23, EU:C:2024:988, point 39).

29

S’agissant, en premier lieu, du libellé des articles 13 et 14 du RGPD, il convient de rappeler que le champ d’application matériel de l’article 14 du RGPD est défini de manière négative par rapport à celui de l’article 13 de ce règlement. Ainsi qu’il ressort des intitulés mêmes de ces dispositions, cet article 13 porte sur les informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée, tandis que cet article 14 concerne celles qui doivent l’être lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée (arrêt du 28 novembre 2024, Másdi, C-169/23, EU:C:2024:988, point 48).

30

Aux fins de la distinction des champs d’application respectifs desdites dispositions, la circonstance que, dans certaines versions linguistiques de l’article 14 du RGPD, notamment celle en langue suédoise, le terme « collectées » (« samlas in ») figurant à l’article 13 du même règlement n’est pas repris n’est pas déterminante.

31

En effet, il ressort d’une jurisprudence constante que les dispositions du droit de l’Union doivent être interprétées et appliquées de manière uniforme à la lumière des versions établies dans toutes les langues de l’Union européenne et, en cas de divergence entre ces diverses versions, la disposition en cause doit être interprétée en fonction de l’économie générale et de la finalité de la réglementation dont elle constitue un élément [arrêt du 13 février 2025, Verbraucherzentrale Berlin (Notion de durée d’engagement initiale), C-612/23, EU:C:2025:82, point 31 et jurisprudence citée].

32

À cet égard, la Cour a déjà précisé, en ce qui concerne l’emploi du terme « obtention » (« erhållande ») à l’article 14, paragraphe 5, sous c), du RGPD, qui, dans la version en langue suédoise, est également utilisé dans l’intitulé de cet article 14 ainsi qu’à son paragraphe 1 (« erhållits »), que ce terme vise effectivement les données « collectées » auprès d’une personne autre que la personne concernée ainsi que celles que le responsable du traitement a lui-même générées, dans le cadre de l’exercice de sa mission, à partir de telles données (voir, en ce sens, arrêt du 28 novembre 2024, Másdi, C-169/23, EU:C:2024:988, point 47).

33

Par ailleurs, comme l’a relevé Mme l’avocate générale au point 28 de ses conclusions, la notion de données « collectées » auprès de la personne concernée au sens de l’article 13, paragraphe 1, du RGPD exige une action spécifique non pas de la part de cette dernière, mais uniquement de la part du responsable du traitement, si bien que le degré d’activité de la personne concernée est indifférent pour délimiter le champ d’application de cette disposition par rapport à celui de l’article 14 de ce règlement.

34

Cette considération est également mise en exergue dans les lignes directrices sur la transparence, mentionnées au point 17 du présent arrêt, dont il ressort que l’article 13 du RGPD s’applique soit lorsque la personne concernée fournit sciemment des données à caractère personnel au responsable du traitement, soit lorsque celui-ci collecte les données auprès de cette personne par observation, notamment au moyen de caméras.

35

Compte tenu du libellé de l’article 14, paragraphe 2, sous f), du RGPD, lu à la lumière du considérant 61 de ce règlement, il convient de considérer que seule la source des données à caractère personnel collectées constitue le critère pertinent aux fins de la délimitation des champs d’application respectifs des articles 13 et 14 du RGPD. En effet, aux termes dudit article 14, paragraphe 2, sous f), lorsque les données n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit informer celle-ci de la source d’où proviennent les données à caractère personnel.

36

Il s’ensuit que l’interprétation littérale des articles 13 et 14 du RGPD, lus à la lumière du considérant 61 de ce règlement, milite en faveur de l’application de cet article 13 à la collecte de données à caractère personnel au moyen d’une caméra-piéton, dès lors que, dans ce cas de figure, ces données ne sont pas obtenues auprès d’une autre source que la personne concernée, mais le sont directement auprès de celle-ci.

37

En deuxième lieu, une telle interprétation se trouve corroborée par le contexte dans lequel s’inscrivent ces dispositions.

38

À cet égard, il résulte de l’article 5 du RGPD qu’un traitement de données à caractère personnel doit notamment satisfaire à des exigences concrètes en matière de transparence à l’égard de la personne concernée par un tel traitement [arrêt du 11 juillet 2024, Meta Platforms Ireland (Action représentative), C-757/22, EU:C:2024:598, point 53].

39

Ainsi que la Commission l’a relevé, en substance, dans ses observations écrites, en prescrivant la communication à la personne concernée des informations qu’il vise au moment où celles-ci sont obtenues, l’article 13 du RGPD confère une expression spécifique au droit de cette personne d’être informée. En revanche, l’article 14 de ce règlement a, quant à lui, été adopté pour répondre aux situations dans lesquelles le responsable du traitement n’est pas en contact direct avec la personne concernée, mais collecte les données à caractère personnel à partir d’une autre source, de sorte que la communication des informations que vise cette disposition au moment où celles-ci sont obtenues est, en pratique, rendue difficile, voire impossible. Le caractère indirect d’une telle collecte justifie ainsi que cette dernière disposition prévoit la possibilité de différer la réalisation de l’obligation d’information qui incombe à ce responsable.

40

En troisième lieu, il convient d’interpréter les articles 13 et 14 du RGPD à la lumière de l’objectif poursuivi par ce règlement, lequel consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la protection des données personnelles, consacré à l’article 16 TFUE et garanti en tant que droit fondamental à l’article 8 de la charte des droits fondamentaux de l’Union européenne, qui complète le droit à la vie privée garanti à l’article 7 de celle-ci (arrêt du 27 février 2025, Dun & Bradstreet Austria e.a., C-203/22, EU:C:2025:117, point 51 et jurisprudence citée).

41

Or, s’il était admis que l’article 14 du RGPD s’applique dans le cas de la collecte de données à caractère personnel au moyen d’une caméra-piéton, la personne concernée ne recevrait aucune information au stade de cette collecte, alors même qu’elle se trouve être la source de ces données, ce qui permettrait au responsable du traitement de ne pas fournir immédiatement d’informations à ladite personne. Partant, une telle interprétation comporterait le risque de faire échapper la collecte des données à caractère personnel à la connaissance de la personne concernée et de donner lieu à des pratiques de surveillance cachées. Une telle conséquence serait incompatible avec l’objectif, mentionné au point précédent, de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques.

42

Cela étant, il importe de relever que cet objectif ne s’oppose pas à ce que, comme l’envisagent les lignes directrices 3/2019 du Comité européen de la protection des données (CEPD) sur le traitement des données à caractère personnel par des dispositifs vidéo, adoptées le 29 janvier 2020, les obligations d’information au titre de l’article 13 du RGPD soient mises en œuvre dans le cadre d’une approche à plusieurs niveaux. Selon ces lignes directrices, les informations les plus importantes à destination de la personne concernée peuvent être indiquées, dans le cadre d’un premier niveau, sur un panneau d’avertissement, et les autres informations obligatoires peuvent être fournies à celle-ci, au titre d’un second niveau, de manière appropriée et complète, dans un lieu facilement accessible.

43

Enfin, il convient encore de préciser, en réponse au doute exprimé par le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm, Suède) quant à la portée du point 34 de l’arrêt du 11 décembre 2014, Ryneš (C-212/13, EU:C:2014:2428), mentionné au point 13 du présent arrêt, que la Cour ne s’est pas prononcée, audit point 34, sur le champ d’application de l’article 11 de la directive 95/46, auquel correspond l’article 14 du RGPD, par rapport à l’article 10 de cette directive, auquel correspond l’article 13 de ce règlement, mais elle s’est bornée à illustrer que, en raison des différentes limitations et exceptions que ladite directive prévoit, son application permet de tenir compte des intérêts légitimes du responsable du traitement.

44

Partant, il ne saurait être inféré du point 34 dudit arrêt que la Cour se serait déjà prononcée sur la distinction entre le champ d’application de l’article 13 du RGPD, d’une part, et celui de l’article 14 de ce règlement, d’autre part.

45

Eu égard aux considérations qui précèdent, il y a lieu de répondre à la question posée que les articles 13 et 14 du RGPD doivent être interprétés en ce sens que, dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piétons portées par des contrôleurs dans les transports publics, l’information des personnes concernées est régie par l’article 13 du RGPD et non par l’article 14 de celui-ci.

46

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (première chambre) dit pour droit :

Les articles 13 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE,

doivent être interprétés en ce sens que :

dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piétons portées par des contrôleurs dans les transports publics, l’information des personnes concernées est régie par l’article 13 de ce règlement et non par l’article 14 de celui-ci.

Signatures