62024CJ0422
SENTENCIA DEL TRIBUNAL DE JUSTICIA (Sala Primera)
de 18 de diciembre de 2025 (
*1
)
«Procedimiento prejudicial — Protección de datos personales — Reglamento (UE) 2016/679 — Artículos 13 y 14 — Ámbito de aplicación — Datos personales obtenidos mediante las cámaras corporales que llevan los revisores del transporte público — Base jurídica de la obligación de información al interesado que recae en el responsable del tratamiento»
En el asunto C‑422/24,
que tiene por objeto una petición de decisión prejudicial planteada, con arreglo al artículo 267 TFUE, por el Högsta förvaltningsdomstolen (Tribunal Supremo de lo Contencioso-Administrativo, Suecia), mediante resolución de 13 de junio de 2024, recibida en el Tribunal de Justicia el 17 de junio de 2024, en el procedimiento entre
Integritetsskyddsmyndigheten
y
AB Storstockholms Lokaltrafik,
EL TRIBUNAL DE JUSTICIA (Sala Primera),
integrado por el Sr. F. Biltgen, Presidente de Sala, el Sr. T. von Danwitz (Ponente), Vicepresidente del Tribunal de Justicia, y la Sra. I. Ziemele y los Sres. A. Kumin y S. Gervasoni, Jueces;
Abogada General: Sra. L. Medina;
Secretario: Sr. A. Calot Escobar;
habiendo considerado los escritos obrantes en autos;
consideradas las observaciones presentadas:
–
en nombre de la Integritetsskyddsmyndigheten, por la Sra. C. Agnehall y los Sres. A. Persson y D. Törngren, en calidad de agentes;
–
en nombre de AB Storstockholms Lokaltrafik, por el Sr. J. Forzelius, advokat, y el Sr. G. Tranvik, biträdande jurist;
–
en nombre del Gobierno danés, por las Sras. D. Elkan, C. A.‑S. Maertens y J. Sandvik Loft y por el Sr. M. Jespersen, en calidad de agentes;
–
en nombre del Gobierno austriaco, por el Sr. A. Posch y las Sras. J. Schmoll y C. Gabauer, en calidad de agentes;
–
en nombre de la Comisión Europea, por los Sres. A. Bouchagiar, C. Faroghi y H. Kranenborg, en calidad de agentes;
oídas las conclusiones de la Abogada General, presentadas en audiencia pública el 1 de agosto de 2025;
dicta la siguiente
Sentencia
1
La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 13 y 14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).
2
Esta petición se ha presentado en el contexto de un litigio entre la Integritetsskyddsmyndigheten (Autoridad de Protección de la Privacidad, Suecia; en lo sucesivo, «Autoridad») y AB Storstockholms Lokaltrafik (en lo sucesivo, «SL»), una sociedad anónima sueca de transporte público, en relación con una sanción administrativa pecuniaria que se impuso a esta última por infringir el artículo 13 del RGPD en el marco de la obtención de datos personales mediante las cámaras corporales que llevan los revisores que trabajan para esta sociedad.
Marco jurídico
3
Los considerandos 60 y 61 del RGPD señalan:
«(60)
Los principios de tratamiento leal y transparente exigen que se informe al interesado de la existencia de la operación de tratamiento y sus fines. El responsable del tratamiento debe facilitar al interesado cuanta información complementaria sea necesaria para garantizar un tratamiento leal y transparente, habida cuenta de las circunstancias y del contexto específicos en que se traten los datos personales. Se debe además informar al interesado de la existencia de la elaboración de perfiles y de las consecuencias de dicha elaboración. Si los datos personales se obtienen de los interesados, también se les debe informar de si están obligados a facilitarlos y de las consecuencias en caso de que no lo hicieran. Dicha información puede transmitirse en combinación con unos iconos normalizados que ofrezcan, de forma fácilmente visible, inteligible y claramente legible, una adecuada visión de conjunto del tratamiento previsto. Los iconos que se presentan en formato electrónico deben ser legibles mecánicamente.
(61)
Se debe facilitar a los interesados la información sobre el tratamiento de sus datos personales en el momento en que se obtengan de ellos o, si se obtienen de otra fuente, en un plazo razonable, dependiendo de las circunstancias del caso. Si los datos personales pueden ser comunicados legítimamente a otro destinatario, se debe informar al interesado en el momento en que se comunican al destinatario por primera vez. El responsable del tratamiento que proyecte tratar los datos para un fin que no sea aquel para el que se recogieron debe proporcionar al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y otra información necesaria. Cuando el origen de los datos personales no pueda facilitarse al interesado por haberse utilizado varias fuentes, debe facilitarse información general.»
4
El artículo 5 del RGPD, que lleva por título «Principios relativos al tratamiento», establece:
«1.   Los datos personales serán:
a)
tratados de manera lícita, leal y transparente en relación con el interesado (“licitud, lealtad y transparencia”);
[…]
c)
adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (“minimización de datos”);
[…]».
5
El artículo 12 del RGPD, titulado «Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado», tiene el siguiente tenor:
«1.   El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo […]. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. […]
[…]
5.   […] Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:
[…]
b)
negarse a actuar respecto de la solicitud.
El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.
[…]»
6
El artículo 13 del RGPD, que lleva por título «Información que deberá facilitarse cuando los datos personales se obtengan del interesado», dispone:
«1.   Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:
a)
la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)
los datos de contacto del delegado de protección de datos, en su caso;
c)
los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento;
d)
cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero;
e)
los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f)
en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión [Europea], o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
2.   Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:
a)
el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo;
b)
la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
c)
cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
d)
el derecho a presentar una reclamación ante una autoridad de control;
e)
si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos;
f)
la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
3.   Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.
4.   Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.»
7
A tenor del artículo 14 del RGPD, que lleva por título «Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado»:
«1.   Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:
a)
la identidad y los datos de contacto del responsable y, en su caso, de su representante;
b)
los datos de contacto del delegado de protección de datos, en su caso;
c)
los fines del tratamiento a que se destinan los datos personales, así como la base jurídica del tratamiento;
d)
las categorías de datos personales de que se trate;
e)
los destinatarios o las categorías de destinatarios de los datos personales, en su caso;
f)
en su caso, la intención del responsable de transferir datos personales a un destinatario en un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
2.   Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:
a)
el plazo durante el cual se conservarán los datos personales o, cuando eso no sea posible, los criterios utilizados para determinar este plazo;
b)
cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable del tratamiento o de un tercero;
c)
la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, y a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;
d)
cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basada en el consentimiento antes de su retirada;
e)
el derecho a presentar una reclamación ante una autoridad de control;
f)
la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;
g)
la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
3.   El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:
a)
dentro de un plazo razonable, una vez obtenidos los datos personales, y a más tardar dentro de un mes, habida cuenta de las circunstancias específicas en las que se traten dichos datos;
b)
si los datos personales han de utilizarse para comunicación con el interesado, a más tardar en el momento de la primera comunicación a dicho interesado, o
c)
si está previsto comunicarlos a otro destinatario, a más tardar en el momento en que los datos personales sean comunicados por primera vez.
4.   Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2.
5.   Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:
a)
el interesado ya disponga de la información;
b)
la comunicación de dicha información resulte imposible o suponga un esfuerzo desproporcionado, en particular para el tratamiento con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, a reserva de las condiciones y garantías indicadas en el artículo 89, apartado 1, o en la medida en que la obligación mencionada en el apartado 1 del presente artículo pueda imposibilitar u obstaculizar gravemente el logro de los objetivos de tal tratamiento. En tales casos, el responsable adoptará medidas adecuadas para proteger los derechos, libertades e intereses legítimos del interesado, inclusive haciendo pública la información;
c)
la obtención o la comunicación esté expresamente establecida por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca medidas adecuadas para proteger los intereses legítimos del interesado, o
d)
cuando los datos personales deban seguir teniendo carácter confidencial sobre la base de una obligación de secreto profesional regulada por el Derecho de la Unión o de los Estados miembros, incluida una obligación de secreto de naturaleza legal.»
Litigio principal y cuestión prejudicial
8
SL presta servicios de transporte público en Estocolmo (Suecia). Esta empresa ha equipado a sus revisores de billetes con cámaras corporales, que se utilizan para grabar a los pasajeros que, durante los controles de billetes, no disponen de un billete válido y a los que, en consecuencia, se les impone una multa. La utilización de estas cámaras tiene por objeto prevenir y documentar las amenazas y agresiones que sufren los revisores y verificar la identidad de los pasajeros a los que se ha impuesto tal multa.
9
En el marco de sus funciones de supervisión, la Autoridad examinó si el tratamiento de datos personales efectuado por SL mediante cámaras corporales se ajustaba a lo dispuesto en el RGPD. En junio de 2021, adoptó una decisión de la que se desprende que los revisores llevan las cámaras durante toda su jornada de trabajo y que estas graban ininterrumpidamente vídeos que incluyen imágenes y sonido.
10
Estas cámaras tienen una memoria denominada «circular», lo que significa que, tras un cierto tiempo, se produce un borrado automático de todo el contenido grabado. Tras dicho borrado, el material grabado se elimina. Inicialmente, el material grabado se almacenaba durante dos minutos, pero, en el transcurso del período de la inspección realizada por la Autoridad, ese tiempo se redujo a un minuto. No obstante, pulsando un botón, los revisores pueden impedir el borrado automático y garantizar de este modo que no se eliminen los datos grabados. En este caso, la información almacenada en la cámara se conserva también mediante la técnica de grabación previa, que almacena la información correspondiente al minuto anterior al momento en que el revisor pulsó el botón. Los revisores tienen instrucciones de impedir el borrado automático en todas las situaciones en las que se impone una multa y, por lo demás, en caso de amenaza contra ellos.
11
Aparte de estas constataciones relativas al uso y al funcionamiento de las cámaras corporales, la Autoridad consideró, en su decisión, que SL había tratado datos personales, desde diciembre de 2018 y hasta la fecha de adopción de dicha decisión en junio de 2021, mediante el uso de cámaras corporales en el marco de los controles de billetes, infringiendo con ello varias disposiciones del RGPD. Según dicha Autoridad, SL no había facilitado suficiente información a los interesados, violando así el artículo 13 del RGPD. En consecuencia, esta autoridad impuso a SL una sanción administrativa pecuniaria por un importe total de 16 millones de coronas suecas (SEK) (aproximadamente 1420670 euros), de los cuales 4 millones de SEK (aproximadamente 355188 euros) se impusieron por falta de información a los interesados.
12
El Förvaltningsrätten i Stockholm (Tribunal de Primera Instancia de lo Contencioso-Administrativo de Estocolmo, Suecia), ante el que SL interpuso un recurso contra la decisión de la Autoridad, desestimó dicho recurso en la medida en que se refería a la sanción impuesta a esta sociedad por falta de información a los interesados.
13
A continuación, SL interpuso un recurso de apelación ante el Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso-Administrativo de Estocolmo, Suecia), que anuló la sentencia del tribunal de primera instancia y la decisión de la Autoridad en la medida en que se refería a la imposición de dicha sanción. Este órgano jurisdiccional declaró, haciendo referencia a la sentencia de 11 de diciembre de 2014, Ryneš (C‑212/13, EU:C:2014:2428), que el artículo 13 del RGPD no era aplicable al litigio del que conocía y, por tanto, que la Autoridad no podía imponer a SL una sanción administrativa pecuniaria por la infracción de esta disposición.
14
La Autoridad interpuso un recurso de casación contra la sentencia del Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso-Administrativo de Estocolmo) ante el Högsta förvaltningsdomstolen (Tribunal Supremo de lo Contencioso-Administrativo, Suecia), que es el órgano jurisdiccional remitente, solicitándole que anulara esa sentencia por cuanto se refiere a la sanción impuesta a esta sociedad por falta de información de los interesados.
15
El órgano jurisdiccional remitente precisa, en primer lugar, que la cuestión que se plantea es si debe aplicarse el artículo 13 o el artículo 14 del RGPD en el supuesto de que se obtengan datos personales mediante una cámara corporal. Según dicho órgano jurisdiccional, la respuesta a esta cuestión es necesaria por dos motivos. Por una parte, debe determinarse qué información se ha de facilitar al interesado, en qué momento surge la obligación de informar a dicho interesado y cuáles son las excepciones a dicha obligación. Por otra parte, es preciso determinar si la Autoridad estaba legitimada para imponer a SL una sanción administrativa pecuniaria debido al incumplimiento por parte de esta sociedad de la obligación de información, según lo previsto en el artículo 13 del RGPD.
16
En segundo lugar, según el órgano jurisdiccional remitente, tampoco queda claro en qué medida deben tenerse en cuenta las diferencias entre los artículos 13 y 14 del RGPD, en lo tocante al alcance de la obligación de información que se deriva de estas disposiciones, para determinar cuál de ellas es aplicable a un tipo concreto de obtención de datos personales. A este respecto, precisa que las partes discrepan sobre la conclusión que debe extraerse de estas diferencias.
17
Por último, el órgano jurisdiccional remitente se pregunta sobre la importancia que debe concederse a las Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679, adoptadas el 29 de noviembre de 2017, en su versión revisada el 11 de abril de 2018, por el Grupo de Trabajo creado por el artículo 29 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31), que establecen, en el punto 26, que el artículo 13 del RGPD es aplicable a la videovigilancia.
18
En este contexto, el Högsta förvaltningsdomstolen (Tribunal Supremo de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia la siguiente cuestión prejudicial:
«Cuando se obtienen datos personales mediante una cámara corporal, ¿es aplicable el artículo 13 o el artículo 14 del [RGPD]?»
Sobre la solicitud de reapertura de la fase oral del procedimiento
19
Tras la lectura de las conclusiones de la Abogada General el 1 de agosto de 2025, SL solicitó, mediante escrito presentado en la Secretaría del Tribunal de Justicia el 23 de septiembre de 2025, la reapertura del procedimiento oral, con arreglo al artículo 83 del Reglamento de Procedimiento del Tribunal de Justicia.
20
En apoyo de esta solicitud, SL alega que el Tribunal de Justicia no dispone de información suficiente sobre los hechos de litigio principal y sobre la importancia que tendría una resolución dictada en este asunto para los responsables del tratamiento que emplean dispositivos de videovigilancia. Considera, en particular, que las conclusiones presentadas por la Abogada General no han delimitado correctamente los ámbitos de aplicación respectivos de los artículos 13 y 14 del RGPD.
21
A este respecto, es preciso recordar que, en virtud del artículo 252 TFUE, párrafo segundo, el Abogado General presenta públicamente, con toda imparcialidad e independencia, conclusiones motivadas sobre los asuntos que, de conformidad con el Estatuto del Tribunal de Justicia de la Unión Europea, requieran su intervención. El Tribunal de Justicia no está vinculado por estas conclusiones ni por la motivación que el Abogado General desarrolla para llegar a ellas (sentencia de 4 de septiembre de 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, apartado 30 y jurisprudencia citada).
22
Asimismo, procede señalar, en este contexto, que ni el Estatuto del Tribunal de Justicia de la Unión Europea ni el Reglamento de Procedimiento prevén la posibilidad de que las partes o los interesados mencionados en el artículo 23 de dicho Estatuto presenten observaciones en respuesta a las conclusiones presentadas por el Abogado General. Por consiguiente, el hecho de que una parte o un interesado no esté de acuerdo con las conclusiones del Abogado General no puede constituir en sí mismo un motivo que justifique la reapertura de la fase oral, sin importar cuáles sean las cuestiones examinadas en dichas conclusiones (sentencia de 4 de septiembre de 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, apartado 31 y jurisprudencia citada).
23
De ello se deduce que, en la medida en que la solicitud de reapertura de la fase oral del procedimiento presentada por SL tiene por objeto que se le permita responder a la posición expresada por la Abogada General en sus conclusiones, esta solicitud no puede ser estimada.
24
Dicho esto, en virtud del artículo 83 de su Reglamento de Procedimiento, el Tribunal de Justicia puede ordenar en cualquier momento, tras oír al Abogado General, la reapertura de la fase oral del procedimiento, en particular si estima que la información de que dispone es insuficiente o cuando una parte haya invocado ante él, tras el cierre de esta fase, un hecho nuevo que pueda influir decisivamente en su resolución, o también cuando el asunto deba resolverse sobre la base de un argumento que no haya sido debatido entre las partes o los interesados mencionados en el artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea.
25
En el presente caso, no obstante, el Tribunal de Justicia considera, tras oír a la Abogada General, que dispone de todos los elementos necesarios para responder a las cuestiones prejudiciales planteadas por el órgano jurisdiccional remitente y que el presente asunto no debe resolverse sobre la base de un argumento que no haya sido debatido entre los interesados. Además, la solicitud de reapertura de la fase oral del procedimiento no pone de manifiesto ningún hecho nuevo que pueda influir decisivamente en la resolución que el Tribunal de Justicia debe dictar en este asunto.
26
En estas condiciones, no procede ordenar la reapertura de la fase oral del procedimiento.
Sobre la cuestión prejudicial
27
Mediante su cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 13 y 14 del RGPD deben interpretarse en el sentido de que, en una situación en la que se obtienen datos personales mediante las cámaras corporales que llevan los revisores en los transportes públicos, la información a los interesados se rige por el artículo 13 del RGPD o por el artículo 14 de dicho Reglamento.
28
Para responder a esta cuestión, con arreglo a reiterada jurisprudencia del Tribunal de Justicia, ha de tenerse en cuenta no solo el tenor de estas disposiciones, sino también su contexto y los objetivos perseguidos por la normativa de la que forman parte (sentencia de 28 de noviembre de 2024, Másdi, C‑169/23, EU:C:2024:988, apartado 39).
29
En lo tocante, en primer lugar, a la redacción de los artículos 13 y 14 del RGPD, debe recordarse que el ámbito de aplicación material del artículo 14 del RGPD se define de manera negativa en relación con el del artículo 13 de este mismo Reglamento. Como se desprende de los propios títulos de estas disposiciones, el citado artículo 13 versa sobre la información que deberá facilitarse cuando los datos personales se obtengan del interesado, mientras que el mencionado artículo 14 se refiere a la que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado (sentencia de 28 de noviembre de 2024, Másdi, C‑169/23, EU:C:2024:988, apartado 48).
30
A los efectos de la distinción entre los ámbitos de aplicación respectivos de dichas disposiciones, el hecho de que, en determinadas versiones lingüísticas del artículo 14 del RGPD, en particular en la versión sueca, no se utilicen los términos «se obtengan» («samlas in»), que figuran en el artículo 13 del mismo Reglamento, no es determinante.
31
En efecto, de reiterada jurisprudencia se desprende que las disposiciones del Derecho de la Unión deben interpretarse y aplicarse de manera uniforme a la luz de las versiones establecidas en todas las lenguas de la Unión Europea y, en caso de divergencia entre estas distintas versiones, la disposición de que se trate debe interpretarse en función de la estructura general y de la finalidad de la normativa en la que se integra [sentencia de 13 de febrero de 2025, Verbraucherzentrale Berlin (Concepto de vigencia inicial), C‑612/23, EU:C:2025:82, apartado 31 y jurisprudencia citada].
32
A este respecto, el Tribunal de Justicia ya ha precisado, en lo referente al uso del término «obtención» («erhållande») en el artículo 14, apartado 5, letra c), del RGPD, que en la versión sueca también se utiliza en el título de dicho artículo 14 y en su apartado 1 («erhållits»), que este término se refiere efectivamente a los datos «obtenidos» de una persona distinta del interesado y a los que el propio responsable del tratamiento haya generado, en el ejercicio de su función, a partir de tales datos (véase, en este sentido, la sentencia de 28 de noviembre de 2024, Másdi, C‑169/23, EU:C:2024:988, apartado 47).
33
Asimismo, como señaló la Abogada General en el punto 28 de sus conclusiones, el concepto de datos «obtenidos» del interesado, en el sentido del artículo 13, apartado 1, del RGPD, no exige ninguna acción específica por parte de este, sino únicamente por parte del responsable del tratamiento, de manera que el grado de actividad del interesado es irrelevante para delimitar el ámbito de aplicación de esta disposición en relación con el del artículo 14 de dicho Reglamento.
34
Esta consideración también se pone de relieve en las Directrices sobre la transparencia, mencionadas en el apartado 17 de la presente sentencia, de las que se desprende que el artículo 13 del RGPD se aplica cuando el interesado facilita conscientemente datos personales al responsable del tratamiento o cuando este último obtiene los datos del interesado mediante observación, entre otros, a través de cámaras.
35
Habida cuenta del tenor del artículo 14, apartado 2, letra f), del RGPD, entendido a la luz del considerando 61 de dicho Reglamento, se ha de considerar que únicamente la fuente de los datos personales obtenidos constituye el criterio pertinente a los efectos de la delimitación de los ámbitos de aplicación respectivos de los artículos 13 y 14 del RGPD. En efecto, según lo dispuesto en dicho artículo 14, apartado 2, letra f), cuando los datos no se hayan obtenido del interesado, el responsable del tratamiento debe informarle de la fuente de la que proceden los datos personales.
36
De lo anterior resulta que la interpretación literal de los artículos 13 y 14 del RGPD, entendidos a la luz del considerando 61 de este Reglamento, inclina la balanza en favor de la aplicación del mencionado artículo 13 a la obtención de datos personales mediante una cámara corporal, ya que, en este supuesto, dichos datos no se obtienen de una fuente distinta del interesado, sino que se obtienen directamente de este último.
37
En segundo lugar, tal interpretación se ve corroborada por el contexto en el que se inscriben estas disposiciones.
38
A este respecto, del artículo 5 del RGPD se desprende que un tratamiento de datos personales debe cumplir, en particular, exigencias concretas en materia de transparencia respecto del interesado afectado por tal tratamiento [sentencia de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación), C‑757/22, EU:C:2024:598, apartado 53].
39
Como ha señalado la Comisión, en esencia, en sus observaciones escritas, al exigir la comunicación al interesado de la información a la que se refiere en el momento en que esta se obtenga, el artículo 13 del RGPD constituye una expresión específica del derecho de esta persona a ser informada. En cambio, el artículo 14 de este Reglamento, por su parte, se adoptó para responder a las situaciones en las que el responsable del tratamiento no mantiene un contacto directo con el interesado, sino que obtiene los datos personales a partir de otra fuente, de manera que la comunicación de información a la que se refiere esta disposición en el momento en que se obtenga tal información, en la práctica, resulta difícil o incluso imposible. El carácter indirecto de dicha obtención justifica, por tanto, que esta última disposición prevea la posibilidad de aplazar el cumplimiento de la obligación de información que recae en dicho responsable.
40
En tercer lugar, procede interpretar los artículos 13 y 14 del RGPD a la luz del objetivo perseguido por dicho Reglamento, que consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la protección de los datos personales, consagrado en el artículo 16 TFUE y garantizado como derecho fundamental en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, que completa el derecho a la vida privada garantizado en el artículo 7 de esta (sentencia de 27 de febrero de 2025, Dun & Bradstreet Austria y otros, C‑203/22, EU:C:2025:117, apartado 51 y jurisprudencia citada).
41
Pues bien, si se admitiera que el artículo 14 del RGPD es aplicable en el supuesto de la obtención de datos personales mediante una cámara corporal, el interesado no recibiría ninguna información en la fase de dicha obtención, a pesar de que es la fuente de dichos datos, lo que permitiría al responsable del tratamiento no facilitar información inmediatamente a dicho interesado. Por consiguiente, con esta interpretación, existiría el riesgo de que el interesado no tuviera conocimiento de la obtención de datos personales y de que se produjeran prácticas de vigilancia encubierta. Tal consecuencia sería incompatible con el objetivo, mencionado en el apartado anterior, de garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas.
42
Dicho esto, es importante señalar que este objetivo no se opone a que, como contemplan las Directrices 3/2019 del Comité Europeo de Protección de Datos (CEPD) sobre el tratamiento de datos personales mediante dispositivos de vídeo, adoptadas el 29 de enero de 2020, se cumplan las obligaciones de información con arreglo al artículo 13 del RGPD en el marco de un enfoque a varios niveles. Según estas Directrices, la información más importante que debe recibir el interesado puede indicarse, en un primer nivel, en una señal de advertencia, y la restante información obligatoria puede facilitarse al interesado, en un segundo nivel, de manera adecuada y completa, en un lugar fácilmente accesible.
43
Por último, debe precisarse asimismo, en respuesta a la duda expresada por el Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso-Administrativo de Estocolmo) sobre el alcance del apartado 34 de la sentencia de 11 de diciembre de 2014, Ryneš (C‑212/13, EU:C:2014:2428), mencionada en el apartado 13 de la presente sentencia, que en dicho apartado 34 el Tribunal de Justicia no se pronunció sobre el ámbito de aplicación del artículo 11 de la Directiva 95/46, el cual se corresponde con el artículo 14 del RGPD, en relación con el artículo 10 de esta Directiva, el cual se corresponde con el artículo 13 de este Reglamento, sino que se limitó a ilustrar que, debido a las diferentes limitaciones y excepciones que establece la mencionada Directiva, su aplicación permite tener en cuenta intereses legítimos del responsable del tratamiento.
44
Por lo tanto, no cabe inferir del apartado 34 de dicha sentencia que el Tribunal de Justicia ya se haya pronunciado sobre la distinción entre el ámbito de aplicación del artículo 13 del RGPD, por una parte, y el del artículo 14 de este Reglamento, por otra.
45
Habida cuenta de las consideraciones anteriores, procede responder a la cuestión prejudicial planteada que los artículos 13 y 14 del RGPD deben interpretarse en el sentido de que, en una situación en la que se obtienen datos personales mediante las cámaras corporales que llevan los revisores en los transportes públicos, la información a los interesados se rige por el artículo 13 del RGPD y no por su artículo 14.
Costas
46
Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.
En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Primera) declara:
Los artículos 13 y 14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE,
deben interpretarse en el sentido de que,
en una situación en la que se obtienen datos personales mediante las cámaras corporales que llevan los revisores en los transportes públicos, la información a los interesados se rige por el artículo 13 de este Reglamento y no por su artículo 14.
Firmas
(
*1
)	Lengua de procedimiento: sueco.