62024CJ0422
ARRÊT DE LA COUR (première chambre)
18 décembre 2025 (
*1
)
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Articles 13 et 14 – Champ d’application – Données à caractère personnel collectées au moyen d’une caméra‑piéton portée par des contrôleurs dans les transports publics – Base juridique de l’obligation d’information de la personne concernée pesant sur le responsable du traitement »
Dans l’affaire C‑422/24,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Högsta förvaltningsdomstolen (Cour administrative suprême, Suède), par décision du 13 juin 2024, parvenue à la Cour le 17 juin 2024, dans la procédure
Integritetsskyddsmyndigheten
contre
AB Storstockholms Lokaltrafik,
LA COUR (première chambre),
composée de M. F. Biltgen, président de chambre, M. T. von Danwitz (rapporteur), vice‑président de la Cour, Mme I. Ziemele, MM. A. Kumin et S. Gervasoni, juges,
avocat général : Mme L. Medina,
greffier : M. A. Calot Escobar,
vu la procédure écrite,
considérant les observations présentées :
–
pour l’Integritetsskyddsmyndigheten, par Mme C. Agnehall, MM. A. Persson et D. Törngren, en qualité d’agents,
–
pour AB Storstockholms Lokaltrafik, par M. J. Forzelius, advokat, et M. G. Tranvik, biträdande jurist,
–
pour le gouvernement danois, par Mmes D. Elkan, C. A.-S. Maertens, J. Sandvik Loft et M. M. Jespersen, en qualité d’agents,
–
pour le gouvernement autrichien, par M. A. Posch, Mmes J. Schmoll et C. Gabauer, en qualité d’agents,
–
pour la Commission européenne, par MM. A. Bouchagiar, C. Faroghi et H. Kranenborg, en qualité d’agents,
ayant entendu l’avocate générale en ses conclusions à l’audience du 1er août 2025,
rend le présent
Arrêt
1
La demande de décision préjudicielle porte sur l’interprétation des articles 13 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2
Cette demande a été présentée dans le cadre d’un litige opposant l’Integritetsskyddsmyndigheten (Autorité chargée de la protection des données, Suède) (ci-après l’« Autorité ») à AB Storstockholms Lokaltrafik (ci-après « SL »), une société anonyme suédoise de transports publics, au sujet d’une sanction administrative pécuniaire infligée à celle-ci pour violation de l’article 13 du RGPD dans le cadre de la collecte de données à caractère personnel au moyen d’une caméra‑piéton portée par des contrôleurs travaillant pour cette société.
Le cadre juridique
3
Les considérants 60 et 61 du RGPD énoncent :
« (60)
Le principe de traitement loyal et transparent exige que la personne concernée soit informée de l’existence de l’opération de traitement et de ses finalités. Le responsable du traitement devrait fournir à la personne concernée toute autre information nécessaire pour garantir un traitement équitable et transparent, compte tenu des circonstances particulières et du contexte dans lesquels les données à caractère personnel sont traitées. En outre, la personne concernée devrait être informée de l’existence d’un profilage et des conséquences de celui-ci. Lorsque les données à caractère personnel sont collectées auprès de la personne concernée, il importe que celle-ci sache également si elle est obligée de fournir ces données à caractère personnel et soit informée des conséquences auxquelles elle s’expose si elle ne les fournit pas. Ces informations peuvent être fournies accompagnées d’icônes normalisées afin d’offrir une bonne vue d’ensemble, facilement visible, compréhensible et clairement lisible, du traitement prévu. Lorsque les icônes sont présentées par voie électronique, elles devraient être lisibles par machine.
(61)
Les informations sur le traitement des données à caractère personnel relatives à la personne concernée devraient lui être fournies au moment où ces données sont collectées auprès d’elle ou, si les données à caractère personnel sont obtenues d’une autre source, dans un délai raisonnable en fonction des circonstances propres à chaque cas. Lorsque des données à caractère personnel peuvent être légitimement communiquées à un autre destinataire, il convient que la personne concernée soit informée du moment auquel ces données à caractère personnel sont communiquées pour la première fois audit destinataire. Lorsqu’il a l’intention de traiter les données à caractère personnel à des fins autres que celles pour lesquelles elles ont été collectées, le responsable du traitement devrait, avant de procéder à ce traitement ultérieur, fournir à la personne concernée des informations au sujet de cette autre finalité et toute autre information nécessaire. Lorsque l’origine des données à caractère personnel n’a pas pu être communiquée à la personne concernée parce que plusieurs sources ont été utilisées, des informations générales devraient être fournies. »
4
L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit :
« 1.   Les données à caractère personnel doivent être :
a)
traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;
[...]
c)
adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;
[...] »
5
L’article 12 du RGPD, intitulé « Transparence des informations et des communications et modalités de l’exercice des droits de la personne concernée », est libellé comme suit :
« 1.   Le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples [...]. Les informations sont fournies par écrit ou par d’autres moyens y compris, lorsque c’est approprié, par voie électronique. [...]
[...]
5.   [...] Lorsque les demandes d’une personne concernée sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif, le responsable du traitement peut :
[...]
b)
refuser de donner suite à ces demandes.
Il incombe au responsable du traitement de démontrer le caractère manifestement infondé ou excessif de la demande.
[...] »
6
L’article 13 du RGPD, intitulé « Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », dispose :
« 1.   Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :
a)
l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
b)
le cas échéant, les coordonnées du délégué à la protection des données ;
c)
les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
d)
lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
e)
les destinataires ou les catégories de destinataires des données à caractère personnel, s’ils existent ; et
f)
le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel vers un pays tiers ou à une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission [européenne] ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition.
2.   En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée, au moment où les données à caractère personnel sont obtenues, les informations complémentaires suivantes qui sont nécessaires pour garantir un traitement équitable et transparent :
a)
la durée de conservation des données à caractère personnel ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
b)
l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ou du droit de s’opposer au traitement et du droit à la portabilité des données ;
c)
lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer son consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
d)
le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
e)
des informations sur la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données ;
f)
l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous‑jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
3.   Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été collectées, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.
4.   Les paragraphes 1, 2 et 3 ne s’appliquent pas lorsque, et dans la mesure où, la personne concernée dispose déjà de ces informations. »
7
Aux termes de l’article 14 du RGPD, intitulé « Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée » :
« 1.   Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes :
a)
l’identité et les coordonnées du responsable du traitement et, le cas échéant, du représentant du responsable du traitement ;
b)
le cas échéant, les coordonnées du délégué à la protection des données ;
c)
les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;
d)
les catégories de données à caractère personnel concernées ;
e)
le cas échéant, les destinataires ou les catégories de destinataires des données à caractère personnel ;
f)
le cas échéant, le fait que le responsable du traitement a l’intention d’effectuer un transfert de données à caractère personnel à un destinataire dans un pays tiers ou une organisation internationale, et l’existence ou l’absence d’une décision d’adéquation rendue par la Commission ou, dans le cas des transferts visés à l’article 46 ou 47, ou à l’article 49, paragraphe 1, deuxième alinéa, la référence aux garanties appropriées ou adaptées et les moyens d’en obtenir une copie ou l’endroit où elles ont été mises à disposition.
2.   En plus des informations visées au paragraphe 1, le responsable du traitement fournit à la personne concernée les informations suivantes nécessaires pour garantir un traitement équitable et transparent à l’égard de la personne concernée :
a)
la durée pendant laquelle les données à caractère personnel seront conservées ou, lorsque ce n’est pas possible, les critères utilisés pour déterminer cette durée ;
b)
lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;
c)
l’existence du droit de demander au responsable du traitement l’accès aux données à caractère personnel, la rectification ou l’effacement de celles-ci, ou une limitation du traitement relatif à la personne concernée, ainsi que du droit de s’opposer au traitement et du droit à la portabilité des données ;
d)
lorsque le traitement est fondé sur l’article 6, paragraphe 1, point a), ou sur l’article 9, paragraphe 2, point a), l’existence du droit de retirer le consentement à tout moment, sans porter atteinte à la licéité du traitement fondé sur le consentement effectué avant le retrait de celui-ci ;
e)
le droit d’introduire une réclamation auprès d’une autorité de contrôle ;
f)
la source d’où proviennent les données à caractère personnel et, le cas échéant, une mention indiquant qu’elles sont issues ou non de sources accessibles au public ;
g)
l’existence d’une prise de décision automatisée, y compris un profilage, visée à l’article 22, paragraphes 1 et 4, et, au moins en pareils cas, des informations utiles concernant la logique sous‑jacente, ainsi que l’importance et les conséquences prévues de ce traitement pour la personne concernée.
3.   Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 :
a)
dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ;
b)
si les données à caractère personnel doivent être utilisées aux fins de la communication avec la personne concernée, au plus tard au moment de la première communication à ladite personne ; ou
c)
s’il est envisagé de communiquer les informations à un autre destinataire, au plus tard lorsque les données à caractère personnel sont communiquées pour la première fois.
4.   Lorsqu’il a l’intention d’effectuer un traitement ultérieur des données à caractère personnel pour une finalité autre que celle pour laquelle les données à caractère personnel ont été obtenues, le responsable du traitement fournit au préalable à la personne concernée des informations au sujet de cette autre finalité et toute autre information pertinente visée au paragraphe 2.
5.   Les paragraphes 1 à 4 ne s’appliquent pas lorsque et dans la mesure où :
a)
la personne concernée dispose déjà de ces informations ;
b)
la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques sous réserve des conditions et garanties visées à l’article 89, paragraphe 1, ou dans la mesure où l’obligation visée au paragraphe 1 du présent article est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement. En pareils cas, le responsable du traitement prend des mesures appropriées pour protéger les droits et libertés ainsi que les intérêts légitimes de la personne concernée, y compris en rendant les informations publiquement disponibles ;
c)
l’obtention ou la communication des informations sont expressément prévues par le droit de l’Union ou le droit de l’État membre auquel le responsable du traitement est soumis et qui prévoit des mesures appropriées visant à protéger les intérêts légitimes de la personne concernée ; ou
d)
les données à caractère personnel doivent rester confidentielles en vertu d’une obligation de secret professionnel réglementée par le droit de l’Union ou le droit des États membre[s], y compris une obligation légale de secret professionnel. »
Le litige au principal et la question préjudicielle
8
SL exploite des services de transport public à Stockholm (Suède). Cette société a équipé ses contrôleurs de caméras-piétons, utilisées pour filmer les passagers qui ne disposent pas d’un billet valide lors du contrôle des billets et qui se voient ainsi infliger une amende. L’utilisation de ces caméras a pour but de prévenir et de prouver les menaces ainsi que les violences exercées à l’égard des contrôleurs et de s’assurer de l’identité des passagers soumis à une telle amende.
9
Dans le cadre de ses activités de contrôle, l’Autorité a examiné si le traitement des données à caractère personnel effectué par SL au moyen des caméras-piétons était conforme aux règles du RGPD. Au cours du mois de juin 2021, elle a adopté une décision dont il ressort que les contrôleurs portent les caméras pendant toute la durée de leur service et que celles-ci enregistrent en continu des vidéos avec des images et du son.
10
Ces caméras ont une mémoire dite « circulaire », ce qui signifie que, après un certain temps, intervient un nettoyage automatique de l’ensemble du contenu enregistré. À l’issue de ce nettoyage, le matériel enregistré est effacé. Initialement, le matériel enregistré était stocké pendant deux minutes, mais lors de la période de contrôle effectué par l’Autorité, cette durée a été réduite à une minute. En appuyant sur un bouton, les contrôleurs peuvent cependant interrompre le nettoyage automatique et ainsi veiller à ce que les données enregistrées ne soient pas effacées. Dans ce cas, les informations stockées dans la caméra sont également conservées au moyen de la technique de préenregistrement qui enregistre les informations au cours de la minute qui précède le moment où le contrôleur a appuyé sur le bouton. Les contrôleurs ont pour instruction d’interrompre le nettoyage automatique dans toutes les situations où une amende est imposée et, par ailleurs, en cas de menace à leur égard.
11
Au-delà de ces constatations relatives à l’utilisation et au fonctionnement des caméras-piétons, l’Autorité a considéré, dans sa décision, que SL avait traité, depuis le mois de décembre 2018 et jusqu’à la date d’adoption de cette décision au cours du mois de juin 2021, des données à caractère personnel, en utilisant des caméras‑piétons dans le cadre du contrôle des billets, en violation de plusieurs dispositions du RGPD. Selon elle, SL n’avait pas fourni suffisamment d’informations aux personnes concernées, méconnaissant ainsi l’article 13 du RGPD. En conséquence, cette autorité a infligé à SL une sanction administrative pécuniaire d’un montant total de 16 millions de couronnes suédoises (SEK) (environ 1420670 euros), dont 4 millions de SEK (environ 355188 euros) pour défaut d’information des personnes concernées.
12
Le Förvaltningsrätten i Stockholm (tribunal administratif siégeant à Stockholm, Suède), saisi par SL d’un recours contre la décision de l’Autorité, a rejeté ce recours dans la mesure où il concernait la sanction infligée à cette société pour défaut d’information des personnes concernées.
13
SL a alors interjeté appel devant le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm, Suède), qui a annulé le jugement du tribunal de première instance ainsi que la décision de l’Autorité en ce qui concernait l’infliction de cette sanction. Cette juridiction a jugé, en se référant à l’arrêt du 11 décembre 2014, Ryneš (C‑212/13, EU:C:2014:2428), que l’article 13 du RGPD n’était pas applicable au litige porté devant elle et, partant, que l’Autorité n’était pas fondée à infliger à SL une sanction administrative pécuniaire pour violation de cette disposition.
14
L’Autorité a formé un pourvoi contre l’arrêt du Kammarrätten i Stockholm (cour d’appel administrative de Stockholm) devant le Högsta förvaltningsdomstolen (Cour administrative suprême, Suède), qui est la juridiction de renvoi, en lui demandant d’annuler cet arrêt en ce qui concerne la sanction infligée à cette société pour défaut d’information des personnes concernées.
15
La juridiction de renvoi précise, tout d’abord, que la question qui se pose est celle de savoir lequel des articles 13 et 14 du RGPD s’applique lorsque des données à caractère personnel sont collectées au moyen d’une caméra-piéton. Selon elle, la réponse à cette question est nécessaire à deux égards. D’une part, il importerait de déterminer quelles sont les informations à fournir à la personne concernée, à quel moment naît l’obligation d’information de cette personne et quelles sont les exceptions à cette obligation. D’autre part, il s’agirait d’établir si l’Autorité était en droit d’infliger à SL une sanction administrative pécuniaire au motif que cette société n’avait pas respecté l’obligation d’information, telle que prévue à l’article 13 du RGPD.
16
Ensuite, selon la juridiction de renvoi, il n’apparaîtrait pas non plus clairement dans quelle mesure les différences entre les articles 13 et 14 du RGPD, en ce qui concerne la portée de l’obligation d’information que ces dispositions comportent, doivent être prises en compte pour déterminer laquelle de celles-ci s’applique à un type particulier de collecte de données à caractère personnel. À cet égard, elle précise que les parties sont en désaccord sur la conclusion à tirer de ces différences.
17
Enfin, la juridiction de renvoi s’interroge sur l’importance qu’il convient d’accorder aux lignes directrices sur la transparence au sens du règlement (UE) 2016/679, adoptées le 29 novembre 2017, dans leur version révisée le 11 avril 2018, par le groupe de travail institué par l’article 29 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), qui prévoient, au point 26, que l’article 13 du RGPD est applicable à la vidéosurveillance.
18
C’est dans ce contexte que le Högsta förvaltningsdomstolen (Cour administrative suprême) a décidé de surseoir à statuer et de soumettre à la Cour la question préjudicielle suivante :
« Lequel des articles 13 et 14 du [RGPD] s’applique lorsque des données à caractère personnel sont collectées au moyen d’une caméra‑piéton ? »
Sur la demande de réouverture de la phase orale de la procédure
19
À la suite du prononcé des conclusions de Mme l’avocate générale le 1er août 2025, SL a demandé, par acte déposé au greffe de la Cour le 23 septembre 2025, la réouverture de la procédure orale, conformément à l’article 83 du règlement de procédure de la Cour.
20
À l’appui de cette demande, SL fait valoir que la Cour n’a pas été suffisamment éclairée sur les faits de l’affaire au principal et sur l’importance que revêtirait une décision rendue dans cette affaire à l’égard des responsables du traitement qui recourent à l’utilisation de dispositifs de vidéosurveillance. Elle estime notamment que les conclusions présentées par Mme l’avocate générale n’ont pas correctement délimité les champs d’application respectifs des articles 13 et 14 du RGPD.
21
À cet égard, il convient de rappeler que, en vertu de l’article 252, second alinéa, TFUE, l’avocat général présente publiquement, en toute impartialité et en toute indépendance, des conclusions motivées sur les affaires qui, conformément au statut de la Cour de justice de l’Union européenne, requièrent son intervention. La Cour n’est liée ni par ces conclusions ni par la motivation au terme de laquelle l’avocat général parvient à celles-ci (arrêt du 4 septembre 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, point 30 et jurisprudence citée).
22
Il convient également de relever, dans ce contexte, que le statut de la Cour de justice de l’Union européenne et le règlement de procédure ne prévoient pas la possibilité pour les parties ou les intéressés visés à l’article 23 de ce statut de présenter des observations en réponse aux conclusions présentées par l’avocat général. Le désaccord d’une partie ou d’un tel intéressé avec les conclusions de l’avocat général, quelles que soient les questions qu’il examine dans celles-ci, ne peut, par conséquent, constituer en lui-même un motif justifiant la réouverture de la procédure orale (arrêt du 4 septembre 2025, Nissan Iberia, C-21/24, EU:C:2025:659, point 31 et jurisprudence citée).
23
Il s’ensuit que, dans la mesure où la demande de réouverture de la phase orale de la procédure présentée par SL tend à permettre à celle-ci de répondre à la position exprimée par Mme l’avocate générale dans ses conclusions, cette demande ne saurait être accueillie.
24
Cela étant, en vertu de l’article 83 de son règlement de procédure, la Cour peut, à tout moment, l’avocat général entendu, ordonner la réouverture de la phase orale de la procédure, notamment si elle considère qu’elle est insuffisamment éclairée, ou lorsqu’une partie a soumis, après la clôture de cette phase, un fait nouveau de nature à exercer une influence décisive sur la décision de la Cour, ou encore lorsque l’affaire doit être tranchée sur la base d’un argument qui n’a pas été débattu entre les parties ou les intéressés visés à l’article 23 du statut de la Cour de justice de l’Union européenne.
25
En l’occurrence, la Cour considère toutefois, l’avocate générale entendue, qu’elle dispose de tous les éléments nécessaires afin de répondre aux questions posées par la juridiction de renvoi et que la présente affaire ne nécessite pas d’être tranchée sur la base d’un argument qui n’aurait pas été débattu entre les intéressés. En outre, la demande de réouverture de la phase orale de la procédure ne révèle aucun fait nouveau de nature à pouvoir exercer une influence décisive sur la décision que la Cour est appelée à rendre dans cette affaire.
26
Dans ces conditions, il n’y a pas lieu d’ordonner la réouverture de la phase orale de la procédure.
Sur la question préjudicielle
27
Par sa question, la juridiction de renvoi demande, en substance, si les articles 13 et 14 du RGPD doivent être interprétés en ce sens que, dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piétons portées par des contrôleurs dans les transports publics, l’information des personnes concernées est régie par l’article 13 du RGPD ou par l’article 14 de celui-ci.
28
Pour répondre à cette question, il y a lieu, en application d’une jurisprudence constante de la Cour, de tenir compte non seulement des termes de ces dispositions, mais également du contexte desdites dispositions et des objectifs poursuivis par la réglementation dont elles font partie (arrêt du 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, point 39).
29
S’agissant, en premier lieu, du libellé des articles 13 et 14 du RGPD, il convient de rappeler que le champ d’application matériel de l’article 14 du RGPD est défini de manière négative par rapport à celui de l’article 13 de ce règlement. Ainsi qu’il ressort des intitulés mêmes de ces dispositions, cet article 13 porte sur les informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée, tandis que cet article 14 concerne celles qui doivent l’être lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée (arrêt du 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, point 48).
30
Aux fins de la distinction des champs d’application respectifs desdites dispositions, la circonstance que, dans certaines versions linguistiques de l’article 14 du RGPD, notamment celle en langue suédoise, le terme « collectées » (« samlas in ») figurant à l’article 13 du même règlement n’est pas repris n’est pas déterminante.
31
En effet, il ressort d’une jurisprudence constante que les dispositions du droit de l’Union doivent être interprétées et appliquées de manière uniforme à la lumière des versions établies dans toutes les langues de l’Union européenne et, en cas de divergence entre ces diverses versions, la disposition en cause doit être interprétée en fonction de l’économie générale et de la finalité de la réglementation dont elle constitue un élément [arrêt du 13 février 2025, Verbraucherzentrale Berlin (Notion de durée d’engagement initiale), C‑612/23, EU:C:2025:82, point 31 et jurisprudence citée].
32
À cet égard, la Cour a déjà précisé, en ce qui concerne l’emploi du terme « obtention » (« erhållande ») à l’article 14, paragraphe 5, sous c), du RGPD, qui, dans la version en langue suédoise, est également utilisé dans l’intitulé de cet article 14 ainsi qu’à son paragraphe 1 (« erhållits »), que ce terme vise effectivement les données « collectées » auprès d’une personne autre que la personne concernée ainsi que celles que le responsable du traitement a lui-même générées, dans le cadre de l’exercice de sa mission, à partir de telles données (voir, en ce sens, arrêt du 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, point 47).
33
Par ailleurs, comme l’a relevé Mme l’avocate générale au point 28 de ses conclusions, la notion de données « collectées » auprès de la personne concernée au sens de l’article 13, paragraphe 1, du RGPD exige une action spécifique non pas de la part de cette dernière, mais uniquement de la part du responsable du traitement, si bien que le degré d’activité de la personne concernée est indifférent pour délimiter le champ d’application de cette disposition par rapport à celui de l’article 14 de ce règlement.
34
Cette considération est également mise en exergue dans les lignes directrices sur la transparence, mentionnées au point 17 du présent arrêt, dont il ressort que l’article 13 du RGPD s’applique soit lorsque la personne concernée fournit sciemment des données à caractère personnel au responsable du traitement, soit lorsque celui-ci collecte les données auprès de cette personne par observation, notamment au moyen de caméras.
35
Compte tenu du libellé de l’article 14, paragraphe 2, sous f), du RGPD, lu à la lumière du considérant 61 de ce règlement, il convient de considérer que seule la source des données à caractère personnel collectées constitue le critère pertinent aux fins de la délimitation des champs d’application respectifs des articles 13 et 14 du RGPD. En effet, aux termes dudit article 14, paragraphe 2, sous f), lorsque les données n’ont pas été collectées auprès de la personne concernée, le responsable du traitement doit informer celle-ci de la source d’où proviennent les données à caractère personnel.
36
Il s’ensuit que l’interprétation littérale des articles 13 et 14 du RGPD, lus à la lumière du considérant 61 de ce règlement, milite en faveur de l’application de cet article 13 à la collecte de données à caractère personnel au moyen d’une caméra-piéton, dès lors que, dans ce cas de figure, ces données ne sont pas obtenues auprès d’une autre source que la personne concernée, mais le sont directement auprès de celle-ci.
37
En deuxième lieu, une telle interprétation se trouve corroborée par le contexte dans lequel s’inscrivent ces dispositions.
38
À cet égard, il résulte de l’article 5 du RGPD qu’un traitement de données à caractère personnel doit notamment satisfaire à des exigences concrètes en matière de transparence à l’égard de la personne concernée par un tel traitement [arrêt du 11 juillet 2024, Meta Platforms Ireland (Action représentative), C‑757/22, EU:C:2024:598, point 53].
39
Ainsi que la Commission l’a relevé, en substance, dans ses observations écrites, en prescrivant la communication à la personne concernée des informations qu’il vise au moment où celles-ci sont obtenues, l’article 13 du RGPD confère une expression spécifique au droit de cette personne d’être informée. En revanche, l’article 14 de ce règlement a, quant à lui, été adopté pour répondre aux situations dans lesquelles le responsable du traitement n’est pas en contact direct avec la personne concernée, mais collecte les données à caractère personnel à partir d’une autre source, de sorte que la communication des informations que vise cette disposition au moment où celles-ci sont obtenues est, en pratique, rendue difficile, voire impossible. Le caractère indirect d’une telle collecte justifie ainsi que cette dernière disposition prévoit la possibilité de différer la réalisation de l’obligation d’information qui incombe à ce responsable.
40
En troisième lieu, il convient d’interpréter les articles 13 et 14 du RGPD à la lumière de l’objectif poursuivi par ce règlement, lequel consiste, notamment, à garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques, en particulier de leur droit à la protection des données personnelles, consacré à l’article 16 TFUE et garanti en tant que droit fondamental à l’article 8 de la charte des droits fondamentaux de l’Union européenne, qui complète le droit à la vie privée garanti à l’article 7 de celle-ci (arrêt du 27 février 2025, Dun & Bradstreet Austria e.a., C‑203/22, EU:C:2025:117, point 51 et jurisprudence citée).
41
Or, s’il était admis que l’article 14 du RGPD s’applique dans le cas de la collecte de données à caractère personnel au moyen d’une caméra‑piéton, la personne concernée ne recevrait aucune information au stade de cette collecte, alors même qu’elle se trouve être la source de ces données, ce qui permettrait au responsable du traitement de ne pas fournir immédiatement d’informations à ladite personne. Partant, une telle interprétation comporterait le risque de faire échapper la collecte des données à caractère personnel à la connaissance de la personne concernée et de donner lieu à des pratiques de surveillance cachées. Une telle conséquence serait incompatible avec l’objectif, mentionné au point précédent, de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques.
42
Cela étant, il importe de relever que cet objectif ne s’oppose pas à ce que, comme l’envisagent les lignes directrices 3/2019 du Comité européen de la protection des données (CEPD) sur le traitement des données à caractère personnel par des dispositifs vidéo, adoptées le 29 janvier 2020, les obligations d’information au titre de l’article 13 du RGPD soient mises en œuvre dans le cadre d’une approche à plusieurs niveaux. Selon ces lignes directrices, les informations les plus importantes à destination de la personne concernée peuvent être indiquées, dans le cadre d’un premier niveau, sur un panneau d’avertissement, et les autres informations obligatoires peuvent être fournies à celle-ci, au titre d’un second niveau, de manière appropriée et complète, dans un lieu facilement accessible.
43
Enfin, il convient encore de préciser, en réponse au doute exprimé par le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm, Suède) quant à la portée du point 34 de l’arrêt du 11 décembre 2014, Ryneš (C‑212/13, EU:C:2014:2428), mentionné au point 13 du présent arrêt, que la Cour ne s’est pas prononcée, audit point 34, sur le champ d’application de l’article 11 de la directive 95/46, auquel correspond l’article 14 du RGPD, par rapport à l’article 10 de cette directive, auquel correspond l’article 13 de ce règlement, mais elle s’est bornée à illustrer que, en raison des différentes limitations et exceptions que ladite directive prévoit, son application permet de tenir compte des intérêts légitimes du responsable du traitement.
44
Partant, il ne saurait être inféré du point 34 dudit arrêt que la Cour se serait déjà prononcée sur la distinction entre le champ d’application de l’article 13 du RGPD, d’une part, et celui de l’article 14 de ce règlement, d’autre part.
45
Eu égard aux considérations qui précèdent, il y a lieu de répondre à la question posée que les articles 13 et 14 du RGPD doivent être interprétés en ce sens que, dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piétons portées par des contrôleurs dans les transports publics, l’information des personnes concernées est régie par l’article 13 du RGPD et non par l’article 14 de celui-ci.
Sur les dépens
46
La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (première chambre) dit pour droit :
Les articles 13 et 14 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE,
doivent être interprétés en ce sens que :
dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piétons portées par des contrôleurs dans les transports publics, l’information des personnes concernées est régie par l’article 13 de ce règlement et non par l’article 14 de celui-ci.
Signatures
(
*1
)	Langue de procédure : le suédois.