62024CJ0422
DOMSTOLENS DOM (första avdelningen)
den 18 december 2025 (
*1
)
”Begäran om förhandsavgörande – Skydd av personuppgifter – Förordning (EU) 2016/679 – Artiklarna 13 och 14 – Tillämpningsområde – Inhämtande av personuppgifter via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med – Den rättsliga grunden för den personuppgiftsansvariges skyldighet att lämna information till den registrerade”
I mål C‑422/24,
angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Högsta förvaltningsdomstolen (Sverige) genom beslut av den 13 juni 2024, som inkom till domstolen den 17 juni 2024, i målet
Integritetsskyddsmyndigheten
mot
AB Storstockholms Lokaltrafik,
meddelar
DOMSTOLEN (första avdelningen)
sammansatt av avdelningsordföranden F. Biltgen, domstolens vice ordförande T. von Danwitz (referent) samt domarna I. Ziemele, A. Kumin och S. Gervasoni,
generaladvokat: L. Medina,
justitiesekreterare: A. Calot Escobar,
efter det skriftliga förfarandet,
med beaktande av de yttranden som avgetts av:
–
Integritetsskyddsmyndigheten, genom C. Agnehall, A. Persson och D. Törngren, samtliga i egenskap av ombud,
–
AB Storstockholms Lokaltrafik, genom J. Forzelius, advokat, och G. Tranvik, biträdande jurist,
–
Danmarks regering, genom D. Elkan, C. A.-S. Maertens, J. Sandvik Loft och M. Jespersen, samtliga i egenskap av ombud,
–
Österrikes regering, genom A. Posch, J. Schmoll och C. Gabauer, samtliga i egenskap av ombud,
–
Europeiska kommissionen, genom A. Bouchagiar, C. Faroghi och H. Kranenborg, samtliga i egenskap av ombud,
och efter att den 1 augusti 2025 ha hört generaladvokatens förslag till avgörande,
följande
Dom
1
Begäran om förhandsavgörande avser tolkningen av artiklarna 13 och 14 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).
2
Begäran har framställts i ett mål mellan Integritetsskyddsmyndigheten (Sverige) och AB Storstockholms Lokaltrafik (nedan kallat SL), ett svenskt aktiebolag som bedriver kollektivtrafik. Det målet rör den administrativa sanktionsavgift som SL ålagts för åsidosättande av artikel 13 i dataskyddsförordningen i samband med inhämtandet av personuppgifter via kroppsburna kameror som de biljettkontrollanter som arbetar för SL är utrustade med.
Tillämpliga bestämmelser
3
I skälen 60 och 61 i dataskyddsförordningen anges följande:
”(60)
Principerna om rättvis och öppen behandling fordrar att den registrerade informeras om att behandling sker och syftet med den. Den personuppgiftsansvarige bör till den registrerade lämna all ytterligare information som krävs för att säkerställa en rättvis och öppen behandling, med beaktande av personuppgiftsbehandlingens specifika omständigheter och sammanhang. Dessutom bör den registrerade informeras om förekomsten av profilering samt om konsekvenserna av sådan profilering. Om personuppgifterna samlas in från den registrerade, bör denne även informeras om huruvida han eller hon är skyldig att tillhandahålla personuppgifterna och om konsekvenserna om han eller hon inte lämnar dem. Denna information får tillhandahållas kombinerad med standardiserade symboler för att ge en överskådlig, begriplig, lättläst och meningsfull överblick över den planerade behandlingen. Om sådana symboler visas elektroniskt bör de vara maskinläsbara.
(61)
Information om behandling av personuppgifter som rör den registrerade bör lämnas till honom eller henne vid den tidpunkt då personuppgifterna samlas in från den registrerade eller, om personuppgifterna erhålls direkt från en annan källa, inom en rimlig period, beroende på omständigheterna i fallet. Om personuppgifter legitimt kan lämnas ut till en annan mottagare, bör de registrerade informeras första gången personuppgifterna lämnas ut till denna mottagare. Om den personuppgiftsansvarige avser att behandla personuppgifter för ett annat ändamål än det för vilket uppgifterna insamlades, bör denne före ytterligare behandling informera den registrerade om detta andra syfte och lämna annan nödvändig information. Om personuppgifternas ursprung inte kan meddelas den registrerade på grund av att olika källor har använts, bör allmän information ges.”
4
I artikel 5 i dataskyddsförordningen, med rubriken ”Principer för behandling av personuppgifter”, föreskrivs följande:
”1.   Vid behandling av personuppgifter ska följande gälla:
a)
Uppgifterna ska behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade (laglighet, korrekthet och öppenhet).
…
c)
De ska vara adekvata, relevanta och inte för omfattande i förhållande till de ändamål för vilka de behandlas (uppgiftsminimering).
…”
5
Artikel 12 i dataskyddsförordningen har rubriken ”Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter”. Den artikeln har följande lydelse:
”1.   Den personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information som avses i artiklarna 13 och 14 och all kommunikation enligt artiklarna 15–22 och 34 vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk, …. Informationen ska tillhandahållas skriftligt, eller i någon annan form, inbegripet, när så är lämpligt, i elektronisk form. …
…
5.   … Om begäranden från en registrerad är uppenbart ogrundade eller orimliga, särskilt på grund av deras repetitiva art, får den personuppgiftsansvarige …
…
b)
vägra att tillmötesgå begäran.
Det åligger den personuppgiftsansvarige att visa att begäran är uppenbart ogrundad eller orimlig.
…”
6
Artikel 13 i dataskyddsförordningen har rubriken ”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”. I den artikeln föreskrivs följande:
”1.   Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:
a)
Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.
b)
Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.
c)
Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.
d)
Om behandlingen är baserad på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.
e)
Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.
f)
I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till ett tredjeland eller en internationell organisation och huruvida ett beslut av [Europeiska] kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artikel 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga.
2.   Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige vid insamlingen av personuppgifterna lämna den registrerade följande ytterligare information, vilken krävs för att säkerställa rättvis och öppen behandling:
a)
Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
b)
Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling samt rätten till dataportabilitet.
c)
Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, att det föreligger en rätt att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.
d)
Rätten att inge klagomål till en tillsynsmyndighet.
e)
Huruvida tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav eller ett krav som är nödvändigt för att ingå ett avtal samt huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och de möjliga följderna av att sådana uppgifter inte lämnas.
f)
Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.
3.   Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.
4.   Punkterna 1, 2 och 3 ska inte tillämpas om och i den mån den registrerade redan förfogar över informationen.”
7
Artikel 14 i dataskyddsförordningen har rubriken ”Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade”. I den artikeln föreskrivs följande:
”1.   Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande information:
a)
Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.
b)
Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.
c)
Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.
d)
De kategorier av personuppgifter som behandlingen gäller.
e)
Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.
f)
I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till en mottagare i ett tredjeland eller en internationell organisation och huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artikel 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga.
2.   Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige lämna den registrerade följande information, vilken krävs för att säkerställa rättvis och öppen behandling när det gäller den registrerade:
a)
Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.
b)
Om behandlingen grundar sig på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.
c)
Förekomsten av rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade och att invända mot behandling samt rätten till dataportabilitet.
d)
Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, rätten att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.
e)
Rätten att inge klagomål till en tillsynsmyndighet.
f)
Varifrån personuppgifterna kommer och i förekommande fall huruvida de har sitt ursprung i allmänt tillgängliga källor.
g)
Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.
3.   Den personuppgiftsansvarige ska lämna den information som anges i punkterna 1 och 2
a)
inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas,
b)
om personuppgifterna ska användas för kommunikation med den registrerade, senast vid tidpunkten för den första kommunikationen med den registrerade, eller
c)
om ett utlämnande till en annan mottagare förutses, senast när personuppgifterna lämnas ut för första gången.
4.   Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.
5.   Punkterna 1–4 ska inte tillämpas i följande fall och i den mån
a)
den registrerade redan förfogar över informationen,
b)
tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, eller i den mån den skyldighet som avses i punkt 1 i den här artikeln sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med den behandlingen; i sådana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten,
c)
erhållande eller utlämnande av uppgifter uttryckligen föreskrivs genom unionsrätten eller genom en medlemsstats nationella rätt som den registrerade omfattas av och som fastställer lämpliga åtgärder för att skydda den registrerades berättigade intressen, eller
d)
personuppgifterna måste förbli konfidentiella till följd av tystnadsplikt enligt unionsrätten eller medlemsstaternas nationella rätt, inbegripet andra lagstadgade sekretessförpliktelser.”
Målet vid den nationella domstolen och tolkningsfrågan
8
SL bedriver kollektivtrafik i Stockholm (Sverige). SL har utrustat sina biljettkontrollanter med kroppsburna kameror, vilka används för att, i samband med biljettkontroller, filma de resenärer som saknar giltig biljett och som får en tilläggsavgift utställd. Syftet med att använda kamerorna är att förebygga och dokumentera hot och våld som drabbar kontrollanterna samt att säkerställa identiteten på de resenärer som ska betala tilläggsavgift.
9
Integritetsskyddsmyndigheten har inom ramen för sin tillsynsverksamhet granskat huruvida SL:s personuppgiftsbehandling med de kroppsburna kamerorna har skett i enlighet med reglerna i dataskyddsförordningen. Integritetsskyddsmyndigheten antog i juni 2021 ett tillsynsbeslut av vilket det framgår att biljettkontrollanterna bär kamerorna på sig under hela sitt arbetspass och att kamerorna kontinuerligt spelar in film med bild och ljud.
10
Kamerorna har ett så kallat cirkulärt minne, vilket innebär att det efter en viss tid sker en automatisk rensning av allt videomaterial. Efter rensningen är det inspelade materialet raderat. Inledningsvis lagrades det inspelade materialet i två minuter men under den tid som Integritetsskyddsmyndighetens tillsyn pågick kortades den tiden till en minut. Biljettkontrollanterna kan genom att trycka på en knapp avbryta den automatiska rensningen och alltså se till att det som spelas in inte raderas. När så sker bevaras även den information som finns lagrad i kameran genom förinspelningsteknik, det vill säga det som spelats in under minuten innan kontrollanten tryckte på knappen. Biljettkontrollanterna är instruerade att avbryta den automatiska rensningen i alla situationer då tilläggsavgift utfärdas samt i övrigt när hot uppstår.
11
Utöver denna utredning av hur de kroppsburna kamerorna används och fungerar, konstaterade Integritetsskyddsmyndigheten att SL, sedan december 2018 och fram till tiden för myndighetens beslut i juni 2021, genom att använda kroppsburna kameror i samband med biljettkontroll hade behandlat personuppgifter i strid med flera bestämmelser i dataskyddsförordningen. Enligt myndigheten hade SL i strid med artikel 13 i dataskyddsförordningen underlåtit att tillhandahålla tillräcklig information till de registrerade. Till följd av detta beslutade myndigheten att SL skulle betala en administrativ sanktionsavgift på sammanlagt 16 miljoner kronor (SEK) (cirka 1420670 euro), varav 4 miljoner kronor (cirka 355188 euro) avsåg bristande information till de registrerade.
12
SL överklagade Integritetsskyddsmyndighetens beslut till Förvaltningsrätten i Stockholm (Sverige), som avslog överklagandet i den del som gällde sanktionsavgiften för bristande information till de registrerade.
13
SL överklagade vidare till Kammarrätten i Stockholm (Sverige) som undanröjde förvaltningsrättens dom och Integritetsskyddsmyndighetens beslut i den del som avsåg nämnda sanktionsavgift. Kammarrätten fann med hänvisning till domen av den 11 december 2014, Ryneš (C‑212/13, EU:C:2014:2428), att artikel 13 i dataskyddsförordningen inte var tillämplig i målet och att myndigheten följaktligen inte hade haft grund för att påföra SL en administrativ sanktionsavgift för överträdelse av den bestämmelsen.
14
Integritetsskyddsmyndigheten överklagade kammarrättens dom till Högsta förvaltningsdomstolen (Sverige), som är hänskjutande domstol. Myndigheten yrkade att Högsta förvaltningsdomstolen skulle undanröja domen i den del som avser sanktionsavgift för bristande information till de registrerade.
15
Den hänskjutande domstolen har inledningsvis angett att den fråga som uppkommer är vilken av artiklarna 13 och 14 i dataskyddsförordningen som är tillämplig när personuppgifter hämtas in via en kroppsburen kamera. Enligt den hänskjutande domstolen är ett svar på denna fråga nödvändigt i två hänseenden. För det första behöver det avgöras vilken information som ska lämnas till den registrerade, vid vilken tidpunkt detta ska ske och vilka undantag från informationsskyldigheten som finns. För det andra behöver det avgöras huruvida Integritetsskyddsmyndigheten hade fog för att besluta om en sanktionsavgift på grund av att SL inte hade uppfyllt informationskravet i dataskyddsförordningens artikel 13.
16
Enligt den hänskjutande domstolen är det inte heller klart i vilken utsträckning skillnaderna mellan artiklarna 13 och 14 i dataskyddsförordningen när det gäller informationsskyldighetens innebörd ska beaktas vid bedömningen av vilken artikel som är tillämplig på ett visst slags inhämtande av personuppgifter. Den hänskjutande domstolen har förklarat att parterna har olika uppfattningar om vilken slutsats som ska dras av dessa skillnader.
17
Den hänskjutande domstolen frågar sig vilken vikt som ska läggas vid riktlinjerna om öppenhet enligt förordning (EU) 2016/679, i deras ändrade lydelse av den 11 april 2018, vilka antogs den 29 november 2017 av den arbetsgrupp som inrättades genom artikel 29 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). I punkt 26 i dessa riktlinjer anges att det är artikel 13 i dataskyddsförordningen som är tillämplig på kamerabevakning.
18
Mot denna bakgrund beslutade Högsta förvaltningsdomstolen att vilandeförklara målet och ställa följande fråga till EU-domstolen:
”Vilken av artiklarna 13 och 14 i [dataskyddsförordningen] är tillämplig när personuppgifter hämtas in via en kroppsburen kamera?”
Prövning av begäran om återupptagande av den muntliga delen av förfarandet
19
SL har, efter det att generaladvokaten föredragit sitt förslag till avgörande den 1 augusti 2025, genom handling som ingavs till domstolens kansli den 23 september 2025 begärt att det muntliga förfarandet ska återupptas i enlighet med artikel 83 i domstolens rättegångsregler.
20
SL har till stöd för sin begäran gjort gällande att domstolen inte har erhållit tillräcklig kännedom om omständigheterna i det nationella målet och den betydelse som ett avgörande i målet får för personuppgiftsansvariga som använder sig av kamerabevakningsutrustning. SL anser bland annat att generaladvokaten i sitt förslag till avgörande inte har gjort en riktig avgränsning av tillämpningsområdena för artikel 13 respektive artikel 14 i dataskyddsförordningen.
21
Enligt artikel 252 andra stycket FEUF ska generaladvokaterna vid offentliga domstolssessioner, fullständigt opartiskt och oavhängigt, lägga fram motiverade förslag till avgörande i mål som enligt stadgan för Europeiska unionens domstol kräver att ett sådant förslag läggs fram. Domstolen är inte bunden av vare sig generaladvokatens förslag till avgörande eller av den motivering som han eller hon lagt till grund för sitt förslag (dom av den 4 september 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, punkt 30 och där angiven rättspraxis).
22
Det ska i detta sammanhang också påpekas att det vare sig enligt stadgan för Europeiska unionens domstol eller rättegångsreglerna finns någon möjlighet för de parter eller berörda som avses i artikel 23 i stadgan att inkomma med yttranden över generaladvokatens förslag till avgörande. Att någon av parterna eller någon av de berörda inte delar generaladvokatens synsätt i förslaget till avgörande, oavsett vilka frågor generaladvokaten prövat däri, kan därför inte i sig utgöra ett tillräckligt skäl för att återuppta det muntliga förfarandet (dom av den 4 september 2025, Nissan IberiaC‑21/24, EU:C:2025:659, punkt 31 och där angiven rättspraxis).
23
Av detta följer att SL:s begäran om återupptagande av den muntliga delen av förfarandet ska avslås, såvitt den syftar till att göra det möjligt för SL att bemöta den ståndpunkt som generaladvokaten gett uttryck för i sitt förslag till avgörande.
24
Domstolen får emellertid, i enlighet med artikel 83 i sina rättegångsregler, när som helst, efter att ha hört generaladvokaten, genom särskilt uppsatt beslut, besluta att den muntliga delen av förfarandet ska återupptas, bland annat om domstolen anser att den inte har tillräcklig kännedom om omständigheterna i målet, eller om en part, efter det att den muntliga delen har förklarats avslutad, har lagt fram en ny omständighet som kan ha ett avgörande inflytande på målets utgång, eller om målet ska avgöras på grundval av ett argument som inte har avhandlats mellan parterna eller de berörda som avses i artikel 23 i stadgan för Europeiska unionens domstol.
25
I förevarande fall anser domstolen dock, efter att ha hört generaladvokaten, att den har tillgång till alla uppgifter som behövs för att kunna besvara den hänskjutande domstolens fråga och att målet inte behöver avgöras på grundval av ett argument som inte har avhandlats mellan rättegångsdeltagarna. Begäran om återupptagande av den muntliga delen av förfarandet innehåller inte heller någon ny omständighet som kan ha ett avgörande inflytande på målets utgång.
26
Det finns således inte skäl att återuppta den muntliga delen av förfarandet.
Prövning av tolkningsfrågan
27
Den hänskjutande domstolens fråga rör tolkningen av artiklarna 13 och 14 i dataskyddsförordningen, och den domstolen har ställt denna fråga för att få klarhet i huruvida det, i en situation där personuppgifter inhämtas via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med, är artikel 13 i dataskyddsförordningen eller artikel 14 i samma förordning som reglerar tillhandahållandet av information till registrerade.
28
För att besvara denna fråga påpekar EU-domstolen att det enligt EU-domstolens fasta rättspraxis inte bara är lydelsen av dessa bestämmelser som ska beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelserna ingår i (dom av den 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punkt 39).
29
För det första, beträffande lydelsen av artiklarna 13 och 14 i dataskyddsförordningen, ska det påpekas att det materiella tillämpningsområdet för artikel 14 i dataskyddsförordningen är negativt definierat i förhållande till tillämpningsområdet för artikel 13 i samma förordning. Såsom framgår av rubrikerna till dessa bestämmelser reglerar artikel 13 i dataskyddsförordningen vilken information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, medan artikel 14 i förordningen reglerar vilken information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade (dom av den 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punkt 48).
30
Vid avgränsningen av dessa bestämmelsers respektive tillämpningsområden är det inte av avgörande betydelse att uttrycket ”samlas in”, som förekommer i artikel 13 i dataskyddsförordningen, inte återfinns i vissa språkversioner av artikel 14, däribland den svenska språkversionen.
31
Det framgår nämligen av fast rättspraxis att unionsbestämmelser ska tolkas och tillämpas på ett enhetligt sätt mot bakgrund av versionerna på samtliga av Europeiska unionens språk. För det fall dessa olika språkversioner skiljer sig åt ska den aktuella bestämmelsen tolkas med hänsyn till systematiken i och ändamålet med de föreskrifter i vilka den ingår (dom av den 13 februari 2025, Verbraucherzentrale Berlin (Begreppet inledande avtalsperiod), C‑612/23, EU:C:2025:82, punkt 31 och där angiven rättspraxis).
32
EU-domstolen har redan slagit fast, med avseende på användningen av uttrycket ”erhållande” i artikel 14.5 c i dataskyddsförordningen, vilket i den svenska språkversionen även används i den artikelns rubrik liksom i artikel 14.1, att detta uttryck omfattar de uppgifter som ”samlats in” från en annan person än den registrerade samt de uppgifter som den personuppgiftsansvarige, utifrån sådana uppgifter, själv har genererat, i samband med att denne utövat sitt uppdrag (se, för ett liknande resonemang, dom av den 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punkt 47).
33
Såsom generaladvokaten har funnit i punkt 28 i sitt förslag till avgörande, förutsätter begreppet personuppgifter som ”samlas in” från den registrerade, i den mening som avses i artikel 13.1 i dataskyddsförordningen, inte att den registrerade vidtar någon specifik åtgärd, utan endast att den personuppgiftsansvarige vidtar en sådan åtgärd. Hur aktiv den registrerade är saknar således betydelse för avgränsningen av denna bestämmelses tillämpningsområde i förhållande till tillämpningsområdet för artikel 14 i dataskyddsförordningen.
34
Detta övervägande lyfts även fram i riktlinjerna om öppenhet, vilka nämns i punkt 17 ovan. Av dessa riktlinjer framgår att artikel 13 i dataskyddsförordningen är tillämplig antingen när den registrerade medvetet ger personuppgifter till en personuppgiftsansvarig eller när den personuppgiftsansvarige inhämtar personuppgifterna från den registrerade genom observation, bland annat med användning av kameror.
35
Med hänsyn till lydelsen i artikel 14.2 f i dataskyddsförordningen, jämförd med skäl 61 i samma förordning, ska det anses att det endast är de insamlade personuppgifternas källa som utgör det relevanta kriteriet för att avgränsa tillämpningsområdena för artikel 13 respektive artikel 14 i dataskyddsförordningen. Enligt artikel 14.2 f ska nämligen den personuppgiftsansvarige, om personuppgifterna inte har erhållits från den registrerade, lämna den registrerade information om varifrån personuppgifterna kommer.
36
Av detta följer att en bokstavstolkning av artiklarna 13 och 14 i dataskyddsförordningen, jämförda med skäl 61 i samma förordning, talar för att det är artikel 13 som är tillämplig på insamlandet av personuppgifter via en kroppsburen kamera, då uppgifterna i detta scenario erhålls direkt från den registrerade, och inte från någon annan källa.
37
För det andra finner en sådan tolkning stöd i det sammanhang i vilket dessa bestämmelser ingår.
38
Det följer av artikel 5 i dataskyddsförordningen att en behandling av personuppgifter bland annat måste uppfylla konkreta krav på öppenhet i förhållande till den person som berörs av behandlingen (dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan), C‑757/22, EU:C:2024:598, punkt 53).
39
Kommissionen har i sitt skriftliga yttrande i huvudsak anfört att eftersom det i artikel 13 i dataskyddsförordningen föreskrivs att den information som avses i den bestämmelsen ska lämnas till den registrerade när personuppgifterna erhålls, så är den bestämmelsen ett specifikt uttryck för den registrerades rätt att bli informerad. EU-domstolen delar denna uppfattning. Artikel 14 i dataskyddförordningen däremot har antagits med tanke på de situationer där den personuppgiftsansvarige inte står i direkt kontakt med den registrerade, utan samlar in personuppgifter från en annan källa – något som innebär att det i praktiken blir svårt, eller till och med omöjligt, att lämna den information som avses i den bestämmelsen när personuppgifterna erhålls. Det faktum att personuppgifterna samlas in på ett indirekt sätt motiverar att det i artikel 14 föreskrivs en möjlighet att senarelägga fullgörandet av den personuppgiftsansvariges informationsskyldighet.
40
För det tredje ska artikel 13 och artikel 14 i dataskyddsförordningen tolkas mot bakgrund av det mål som eftersträvas med den förordningen. Detta är bland annat att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter, i synnerhet för deras rätt till skydd av personuppgifter, vilken stadfästs i artikel 16 FEUF och utgör en grundläggande rättighet som skyddas enligt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, som ett komplement till den i artikel 7 i stadgan garanterade rätten till privatliv (dom av den 27 februari 2025, Dun & Bradstreet Austria m.fl., C‑203/22, EU:C:2025:117, punkt 51 och där angiven rättspraxis).
41
Om det godtogs att artikel 14 i dataskyddsförordningen är tillämplig vid insamling av personuppgifter via en kroppsburen kamera, skulle den registrerade inte erhålla någon information i samband med insamlingen, trots att det är denne som är källan till uppgifterna, och det skulle vara möjligt för den personuppgiftsansvarige att inte omedelbart lämna information till den registrerade. En sådan tolkning skulle följaktligen medföra en risk för att insamlingen av personuppgifter sker utan den registrerades kännedom och för att dolda övervakningsmetoder används. En sådan konsekvens skulle vara oförenlig med det mål som nämns i föregående punkt, nämligen att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter.
42
Detta mål utgör dock inte hinder för att informationsskyldigheterna enligt artikel 13 i dataskyddsförordningen fullgörs genom en skiktad metod, i enlighet med vad som anges i Europeiska dataskyddsstyrelsens (EDPB) riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter, vilka antogs den 29 januari 2020. Enligt dessa riktlinjer får den viktigaste informationen till den registrerade, i ett första skikt, anges på en varningsskylt, och övrig obligatorisk information får, i ett andra skikt, lämnas till den registrerade på ett lämpligt och fullständigt sätt som innebär att informationen görs åtkomlig på en lättillgänglig plats.
43
Avslutningsvis preciserar EU-domstolen, som svar på det ovan i punkt 13 nämnda spörsmålet som Kammarrätten i Stockholm (Sverige) har aktualiserat beträffande räckvidden av punkt 34 i domen av den 11 december 2014, Ryneš (C‑212/13, EU:C:2014:2428), att EU-domstolen i denna punkt 34 inte uttalade sig om tillämpningsområdet för artikel 11 i direktiv 95/46 (som motsvaras av artikel 14 i dataskyddsförordningen) i förhållande till artikel 10 i det direktivet (som motsvaras av artikel 13 i dataskyddsförordningen), utan EU-domstolen åskådliggjorde därvid endast att det – på grund av de olika begränsningar och undantag som föreskrivs i direktivet – vid tillämpningen av direktivet är möjligt att beakta den personuppgiftsansvariges berättigade intressen.
44
Det går således inte att av punkt 34 i den domen sluta sig till att EU-domstolen redan har uttalat sig om avgränsningen mellan tillämpningsområdet för artikel 13 i dataskyddsförordningen och tillämpningsområdet för artikel 14 i samma förordning.
45
Mot bakgrund av det anförda ska den hänskjutna frågan besvaras enligt följande. Artiklarna 13 och 14 i dataskyddsförordningen ska tolkas så, att i en situation där personuppgifter inhämtas via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med, så är det artikel 13 i dataskyddsförordningen som reglerar tillhandahållandet av information till registrerade och inte artikel 14 i samma förordning.
Rättegångskostnader
46
Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.
Mot denna bakgrund beslutar domstolen (första avdelningen) följande:
Artiklarna 13 och 14 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG
ska tolkas på följande sätt:
I en situation där personuppgifter inhämtas via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med, så är det artikel 13 i förordning 2016/679 som reglerar tillhandahållandet av information till registrerade och inte artikel 14 i samma förordning.
Biltgen
von Danwitz
Ziemele
Kumin
Gervasoni
Avkunnad vid offentligt sammanträde i Luxemburg den 18 december 2025.
A. Calot Escobar
Justitiesekreterare
F. Biltgen
Avdelningsordförande
(
*1
)	Rättegångsspråk: svenska.