62024CJ0422
SENTENZA DELLA CORTE (Prima Sezione)
18 dicembre 2025 (
*1
)
«Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articoli 13 e 14 – Ambito di applicazione – Dati personali raccolti mediante una telecamera indossata da controllori nei trasporti pubblici – Fondamento giuridico dell’obbligo del titolare del trattamento di fornire informazioni all’interessato»
Nella causa C‑422/24,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dallo Högsta förvaltningsdomstolen (Corte suprema amministrativa, Svezia), con decisione del 13 giugno 2024, pervenuta in cancelleria il 17 giugno 2024, nel procedimento
Integritetsskyddsmyndigheten
contro
AB Storstockholms Lokaltrafik,
LA CORTE (Prima Sezione),
composta da F. Biltgen, presidente di sezione, T. von Danwitz (relatore), vicepresidente della Corte, I. Ziemele, A. Kumin e S. Gervasoni, giudici,
avvocato generale: L. Medina
cancelliere: A. Calot Escobar
vista la fase scritta del procedimento,
considerate le osservazioni presentate:
–
per l’Integritetsskyddsmyndigheten, da C. Agnehall, A. Persson e D. Törngren, in qualità di agenti;
–
per l’AB Storstockholms Lokaltrafik, da J. Forzelius, advokat, e G. Tranvik, biträdande jurist;
–
per il governo danese, da D. Elkan, C.A.-S. Maertens, J. Sandvik Loft e M. Jespersen, in qualità di agenti;
–
per il governo austriaco, da A. Posch, J. Schmoll e C. Gabauer, in qualità di agenti;
–
per la Commissione europea, da A. Bouchagiar, C. Faroghi e H. Kranenborg, in qualità di agenti,
sentite le conclusioni dell’avvocata generale, presentate all’udienza del 1o agosto 2025,
ha pronunciato la seguente
Sentenza
1
La domanda di pronuncia pregiudiziale verte sull’interpretazione degli articoli 13 e 14 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).
2
Tale domanda è stata presentata nell’ambito di una controversia tra l’Integritetsskyddsmyndigheten (Autorità per la protezione dei dati, Svezia) (in prosieguo: l’«Autorità») e la AB Storstockholms Lokaltrafik (in prosieguo: la «SL»), una società per azioni svedese di trasporti pubblici, in merito a una sanzione amministrativa pecuniaria inflitta a quest’ultima per violazione dell’articolo 13 del RGPD nell’ambito della raccolta di dati personali mediante una telecamera (cd. «bodycam») indossata da controllori che lavorano per tale società.
Contesto normativo
3
I considerando 60 e 61 del RGPD così recitano:
«(60)
I principi di trattamento corretto e trasparente implicano che l’interessato sia informato dell’esistenza del trattamento e delle sue finalità. Il titolare del trattamento dovrebbe fornire all’interessato eventuali ulteriori informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati. Inoltre l’interessato dovrebbe essere informato dell’esistenza di una profilazione e delle conseguenze della stessa. In caso di dati personali raccolti direttamente presso l’interessato, questi dovrebbe inoltre essere informato dell’eventuale obbligo di fornire i dati personali e delle conseguenze in cui incorre se si rifiuta di fornirli. Tali informazioni possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto. Se presentate elettronicamente, le icone dovrebbero essere leggibili da dispositivo automatico.
(61)
L’interessato dovrebbe ricevere le informazioni relative al trattamento di dati personali che lo riguardano al momento della raccolta presso l’interessato o, se i dati sono ottenuti da altra fonte, entro un termine ragionevole, in funzione delle circostanze del caso. Se i dati personali possono essere legittimamente comunicati a un altro destinatario, l’interessato dovrebbe esserne informato nel momento in cui il destinatario riceve la prima comunicazione dei dati personali. Il titolare del trattamento, qualora intenda trattare i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, dovrebbe fornire all’interessato, prima di tale ulteriore trattamento, informazioni in merito a tale finalità diversa e altre informazioni necessarie. Qualora non sia possibile comunicare all’interessato l’origine dei dati personali, perché sono state utilizzate varie fonti, dovrebbe essere fornita un’informazione di carattere generale».
4
L’articolo 5 del RGPD, intitolato «Principi applicabili al trattamento di dati personali», prevede quanto segue:
«1.   I dati personali sono:
a)
trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
(…)
c)
adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);
(…)».
5
L’articolo 12 del RGPD, intitolato «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato», così recita:
«1.   Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (…). Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. (…)
(…)
5.   (…) Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:
(…)
b)
rifiutare di soddisfare la richiesta.
Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.
(…)».
6
L’articolo 13 del RGPD, intitolato «Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato», prevede quanto segue:
«1.   In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
a)
l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
b)
i dati di contatto del responsabile della protezione dei dati, ove applicabile;
c)
le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
d)
qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
e)
gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali e
f)
ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione [europea] o, nel caso dei trasferimenti di cui all’articolo 46 o 47, o all’articolo 49, paragrafo 1, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali garanzie o il luogo dove sono stati rese disponibili.
2.   In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente:
a)
il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
b)
l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
c)
qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
d)
il diritto di proporre reclamo a un’autorità di controllo;
e)
se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l’interessato ha l’obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati;
f)
l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
3.   Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2.
4.   I paragrafi 1, 2 e 3 non si applicano se e nella misura in cui l’interessato dispone già delle informazioni».
7
L’articolo 14 del RGPD, intitolato «Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato», così dispone:
«1.   Qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento fornisce all’interessato le seguenti informazioni:
a)
l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
b)
i dati di contatto del responsabile della protezione dei dati, ove applicabile;
c)
le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
d)
le categorie di dati personali in questione;
e)
gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
f)
ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all’articolo 46 o 47, o all’articolo 49, paragrafo 1, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali garanzie o il luogo dove sono stati rese disponibili.
2.   Oltre alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all’interessato le seguenti informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell’interessato:
a)
il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
b)
qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
c)
l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
d)
qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
e)
il diritto di proporre reclamo a un’autorità di controllo;
f)
la fonte da cui hanno origine i dati personali e, se del caso, l’eventualità che i dati provengano da fonti accessibili al pubblico;
g)
l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
3.   Il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2:
a)
entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati;
b)
nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato, al più tardi al momento della prima comunicazione all’interessato;
c)
nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali.
4.   Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2.
5.   I paragrafi da 1 a 4 non si applicano se e nella misura in cui:
a)
l’interessato dispone già delle informazioni;
b)
comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; in particolare per il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatte salve le condizioni e le garanzie di cui all’articolo 89, paragrafo 1, o nella misura in cui l’obbligo di cui al paragrafo 1 del presente articolo rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni;
c)
l’ottenimento o la comunicazione sono espressamente previsti dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell’interessato; oppure
d)
qualora i dati personali debbano rimanere riservati conformemente a un obbligo di segreto professionale disciplinato dal diritto dell’Unione o degli Stati membri, compreso un obbligo di segretezza previsto per legge».
Procedimento principale e questione pregiudiziale
8
La SL gestisce servizi di trasporto pubblico a Stoccolma (Svezia). Tale società ha equipaggiato i suoi controllori con telecamere che vengono utilizzate per filmare i viaggiatori che non hanno un biglietto valido durante il controllo dei biglietti e ai quali viene inflitta un’ammenda. Lo scopo dell’utilizzo delle telecamere è quello di prevenire e documentare minacce e violenze nei confronti dei controllori e di garantire l’identità dei viaggiatori soggetti a tale ammenda.
9
Nell’ambito delle sue attività di controllo, l’Autorità ha esaminato se il trattamento dei dati personali da parte della SL con le telecamere indossate fosse conforme alle norme del RGPD. Nel giugno 2021, essa ha adottato una decisione da cui risulta che i controllori indossano le telecamere per tutta la durata del loro servizio e che queste ultime registrano in modo continuato video con immagini e suoni.
10
Tali telecamere hanno una memoria detta «circolare», il che significa che, dopo un certo tempo, interviene una cancellazione automatica dell’intero contenuto registrato. Dopo la cancellazione, il materiale registrato risulta eliminato. Inizialmente, il materiale registrato era conservato per una durata di due minuti, ma durante l’ispezione svolta dall’Autorità, tale durata è stata ridotta a un minuto. Tuttavia, servendosi di un pulsante, i controllori possono interrompere la cancellazione automatica, garantendo in tal modo che i dati registrati non siano eliminati. In tal caso, le informazioni memorizzate nella telecamera sono conservate anche mediante la tecnica di pre-registrazione che registra le informazioni durante il minuto che precede il momento in cui il controllore ha pigiato il pulsante. I controllori hanno l’istruzione di sospendere l’eliminazione automatica in tutte le situazioni in cui viene inflitta un’ammenda oppure in caso di minaccia nei loro confronti.
11
Al di là di tali constatazioni relative all’utilizzo e al funzionamento delle telecamere, l’Autorità ha ritenuto, nella sua decisione, che la SL avesse trattato, dal dicembre 2018 e fino alla data di adozione di tale decisione nel giugno 2021, dati personali, utilizzando telecamere portatili nell’ambito del controllo dei biglietti, in violazione di diverse disposizioni del RGPD. A suo avviso, la SL aveva omesso di fornire informazioni adeguate agli interessati, violando così l’articolo 13 del RGPD. Di conseguenza, tale autorità ha inflitto alla SL una sanzione amministrativa pecuniaria per un totale di 16 milioni di corone svedesi (SEK) (circa EUR 1420670), di cui SEK 4 milioni (circa EUR 355188) riguardavano la comunicazione di informazioni inadeguate agli interessati.
12
Il Förvaltningsrätten i Stockholm (Tribunale amministrativo di Stoccolma, Svezia), investito dalla SL di un ricorso avverso la decisione dell’Autorità, ha respinto tale ricorso nella parte in cui riguardava la sanzione inflitta a tale società per mancata informazione degli interessati.
13
La SL ha quindi interposto appello dinanzi al Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma, Svezia) che ha annullato la sentenza di primo grado e la decisione dell’Autorità nella parte in cui imponeva tale sanzione. Tale giudice ha dichiarato, facendo riferimento alla sentenza dell’11 dicembre 2014, Ryneš (C‑212/13, EU:C:2014:2428), che l’articolo 13 del RGPD non era applicabile alla controversia dinanzi ad esso pendente e, pertanto, che l’Autorità non era legittimata ad infliggere alla SL una sanzione amministrativa pecuniaria per violazione di tale disposizione.
14
L’Autorità ha impugnato la sentenza del Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma) dinanzi allo Högsta förvaltningsdomstolen (Corte suprema amministrativa, Svezia), giudice del rinvio, chiedendogli di annullare tale sentenza per quanto riguarda la sanzione inflitta a tale società per mancata informazione degli interessati.
15
Il giudice del rinvio precisa, anzitutto, che la questione che si pone è quella di stabilire quale degli articoli 13 e 14 del RGPD si applichi quando i dati personali sono raccolti mediante una telecamera indossata. A suo avviso, la soluzione di tale questione è necessaria sotto due profili. Da un lato, occorrerebbe determinare quali siano le informazioni da fornire all’interessato, in quale momento sorga l’obbligo di informazione di tale interessato e quali siano le eccezioni a tale obbligo. Dall’altro lato, si tratterebbe di stabilire se l’Autorità avesse il diritto di infliggere alla SL una sanzione amministrativa pecuniaria per il motivo che tale società non aveva rispettato l’obbligo di informazione, quale previsto all’articolo 13 del RGPD.
16
Inoltre, secondo il giudice del rinvio, non risulterebbe neppure chiaramente in che misura le differenze tra gli articoli 13 e 14 del RGPD, per quanto riguarda la portata dell’obbligo di informazione che tali disposizioni comportano, debbano essere prese in considerazione per determinare quale di essi si applichi a un tipo particolare di raccolta di dati personali. A tal riguardo, esso precisa che le parti non concordano sulla conclusione da trarre da tali differenze.
17
Infine, il giudice del rinvio si interroga sull’importanza che occorre attribuire alle linee guida sulla trasparenza ai sensi del regolamento (UE) 2016/679, adottate il 29 novembre 2017, nella loro versione riveduta l’11 aprile 2018 dal gruppo di lavoro istituito dall’articolo 29 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), che prevedono, al punto 26, che l’articolo 13 del RGPD è applicabile alla videosorveglianza.
18
In tale contesto, lo Högsta förvaltningsdomstolen (Corte suprema amministrativa) ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:
«Quale degli articoli 13 e 14 del RGPD si applichi quando i dati personali vengono raccolti tramite una telecamera indossata».
Sulla domanda di riapertura della fase orale del procedimento
19
A seguito della presentazione delle conclusioni dell’avvocata generale, il 1o agosto 2025, la SL ha chiesto, con atto depositato presso la cancelleria della Corte il 23 settembre 2025, la riapertura della fase orale del procedimento, conformemente à l’articolo 83 del regolamento di procedura della Corte.
20
A sostegno di tale domanda, la SL fa valere che la Corte non è stata sufficientemente informata sui fatti di cui al procedimento principale e sull’importanza che una decisione pronunciata nella presente causa avrebbe per i titolari del trattamento che ricorrono a dispositivi di videosorveglianza. Essa ritiene altresì che le conclusioni presentate dall’avvocata generale non abbiano correttamente delimitato i rispettivi ambiti di applicazione degli articoli 13 e 14 del RGPD.
21
A tal riguardo, occorre ricordare che, ai sensi dell’articolo 252, secondo comma, TFUE, l’avvocato generale presenta pubblicamente, con assoluta imparzialità e in piena indipendenza, conclusioni motivate sulle cause che, conformemente allo statuto della Corte di giustizia dell’Unione europea, richiedono il suo intervento. La Corte non è vincolata né a tali conclusioni né alla motivazione attraverso la quale l’avvocato generale giunge a formularle (sentenza del 4 settembre 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, punto 30 e giurisprudenza citata).
22
Occorre altresì rilevare, in tale contesto, che né lo Statuto della Corte di giustizia dell’Unione europea né il regolamento di procedura prevedono la facoltà per le parti o gli interessati menzionati all’articolo 23 di tale Statuto di depositare osservazioni in risposta alle conclusioni presentate dall’avvocato generale. Di conseguenza, il disaccordo di una parte o di tale interessato con le conclusioni dell’avvocato generale, quali che siano le questioni da esso ivi esaminate, non può costituire, di per sé, un motivo che giustifichi la riapertura della fase orale (sentenza del 4 settembre 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, punto 31 e giurisprudenza citata).
23
Ne consegue che la domanda di riapertura della fase orale del procedimento presentata dalla SL, nella misura in cui mira a consentire a quest’ultima di rispondere alla posizione espressa dall’avvocata generale nelle sue conclusioni, non può essere accolta.
24
Ciò precisato, in virtù dell’articolo 83 del suo regolamento di procedura, la Corte, in qualsiasi momento, sentito l’avvocato generale, può disporre la riapertura della fase orale del procedimento, in particolare se essa non si ritiene sufficientemente edotta o quando, dopo la chiusura di tale fase, una parte ha prodotto un fatto nuovo, tale da influenzare in modo decisivo la decisione della Corte, oppure quando la causa dev’essere decisa in base a un argomento che non è stato oggetto di discussione tra le parti o gli interessati menzionati dall’articolo 23 dello Statuto della Corte di giustizia dell’Unione europea.
25
Nel caso di specie, la Corte, dopo aver sentito l’avvocata generale, ritiene di disporre di tutti gli elementi necessari per rispondere alle questioni sollevate dal giudice del rinvio e considera che la presente causa non debba essere decisa sulla base di un argomento che non sia stato oggetto di discussione tra gli interessati. Inoltre, la domanda di riapertura della fase orale del procedimento non rivela alcun fatto nuovo tale da influenzare in modo determinante la decisione che la Corte è chiamata ad adottare nella presente causa.
26
Ne consegue che non occorre disporre la riapertura della fase orale del procedimento.
Sulla questione pregiudiziale
27
Con la sua questione, il giudice del rinvio chiede, in sostanza, se gli articoli 13 e 14 del RGPD debbano essere interpretati nel senso che, in una situazione in cui sono raccolti dati personali mediante telecamere indossate da controllori nei trasporti pubblici, l’informazione degli interessati è disciplinata dall’articolo 13 del RGPD o dall’articolo 14 di quest’ultimo.
28
Per rispondere a tale questione, in applicazione di una giurisprudenza costante della Corte, si deve tener conto non soltanto del tenore letterale di tali disposizioni, ma anche del loro contesto e degli scopi perseguiti dalla normativa di cui esse fanno parte (sentenza del 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, punto 39).
29
In primo luogo, per quanto riguarda la formulazione degli articoli 13 e 14 del RGPD, occorre osservare che l’ambito di applicazione ratione materiae dell’articolo 14 è definito in negativo rispetto all’articolo 13 del RGPD. Come risulta dai titoli stessi di tali disposizioni, detto articolo 13 verte sulle informazioni da fornire quando i dati personali sono raccolti presso l’interessato, mentre tale articolo 14 riguarda quelle che devono esserlo quando i dati personali non sono stati ottenuti presso l’interessato (sentenza del 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, punto 48).
30
Ai fini della distinzione dei rispettivi ambiti di applicazione di tali disposizioni, la circostanza che, in talune versioni linguistiche dell’articolo 14 del RGPD, in particolare quella in lingua svedese, il termine «raccolti» («samlas in») di cui all’articolo 13 del medesimo regolamento non sia ripreso, non è determinante.
31
Infatti, da una giurisprudenza costante risulta che le disposizioni del diritto dell’Unione europea devono essere interpretate e applicate in modo uniforme alla luce delle versioni vigenti in tutte le lingue dell’Unione e, in caso di divergenza tra queste diverse versioni, la disposizione di cui trattasi deve essere interpretata in funzione dell’economia generale e della finalità della normativa di cui essa fa parte [sentenza del 13 febbraio 2025, Verbraucherzentrale Berlin (Nozione di durata dell’assunzione iniziale), C‑612/23, EU:C:2025:82, punto 31 e giurisprudenza citata].
32
A tal riguardo, la Corte ha già precisato, per quanto riguarda l’impiego del termine «ottenimento» («erhållande») all’articolo 14, paragrafo 5, lettera c), del RGPD, che, nella versione in lingua svedese, è utilizzato anche nel titolo di tale articolo 14 nonché al suo paragrafo 1 («erhållits»), che tale termine riguarda effettivamente i dati «ottenuti» presso una persona diversa dall’interessato nonché quelli che il titolare del trattamento stesso ha generato, nell’esercizio delle sue funzioni, a partire da tali dati (v., in tal senso, sentenza del 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, punto 47).
33
Inoltre, come rilevato dall’avvocata generale al paragrafo 28 delle sue conclusioni, la nozione di dati «raccolti» presso l’interessato ai sensi dell’articolo 13, paragrafo 1, del RGPD richiede un’azione specifica non da parte di quest’ultimo, ma unicamente da parte del titolare del trattamento, cosicché il grado di attività dell’interessato è irrilevante per delimitare l’ambito di applicazione di tale disposizione rispetto a quello dell’articolo 14 di tale regolamento.
34
Tale considerazione è altresì evidenziata nelle linee guida sulla trasparenza, menzionate al punto 17 della presente sentenza, da cui risulta che l’articolo 13 del RGPD si applica o quando l’interessato fornisce consapevolmente dati personali al titolare del trattamento o quando quest’ultimo raccoglie i dati presso tale persona mediante osservazione, in particolare mediante videocamere.
35
Tenuto conto della formulazione dell’articolo 14, paragrafo 2, lettera f), del RGPD, letto alla luce del considerando 61 di tale regolamento, si deve ritenere che solo la fonte dei dati personali raccolti costituisca il criterio pertinente ai fini della delimitazione dei rispettivi ambiti di applicazione degli articoli 13 e 14 del RGPD. Infatti, secondo il suddetto articolo 14, paragrafo 2, lettera f), qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento deve informare quest’ultimo della fonte da cui hanno origine i dati personali.
36
Ne consegue che l’interpretazione letterale degli articoli 13 e 14 del RGPD, letti alla luce del considerando 61 di tale regolamento, depone a favore dell’applicazione di tale articolo 13 alla raccolta di dati personali mediante una telecamera indossata, dal momento che, in tale ipotesi, tali dati non sono ottenuti da una fonte diversa dall’interessato, ma lo sono direttamente presso quest’ultimo.
37
In secondo luogo, una siffatta interpretazione è corroborata dal contesto in cui si inseriscono tali disposizioni.
38
A tal riguardo, dall’articolo 5 del RGPD risulta che un trattamento di dati personali deve soddisfare, in particolare, requisiti concreti in materia di trasparenza nei confronti dell’interessato da un siffatto trattamento [sentenza dell’11 luglio 2024, Meta Platforms Ireland (Azione rappresentativa), C‑757/22, EU:C:2024:598, punto 53].
39
Come rilevato, in sostanza, dalla Commissione nelle sue osservazioni scritte, prescrivendo la comunicazione all’interessato delle informazioni oggetto dell’articolo 13 del RGPD nel momento in cui esse sono ottenute, lo stesso articolo conferisce un’espressione specifica al diritto di tale interessato di essere informata. Per contro, l’articolo 14 di tale regolamento è stato adottato, dal canto suo, per rispondere alle situazioni in cui il titolare del trattamento non è in contatto diretto con l’interessato, ma raccoglie i dati personali da un’altra fonte, cosicché la comunicazione delle informazioni oggetto di tale disposizione nel momento in cui esse sono ottenute è, in pratica, resa difficile se non impossibile. Il carattere indiretto di una siffatta raccolta giustifica quindi che quest’ultima disposizione preveda la possibilità di differire nel tempo l’adempimento dell’obbligo di informazione che incombe a tale titolare.
40
In terzo luogo, occorre interpretare gli articoli 13 e 14 del RGPD alla luce dell’obiettivo perseguito da tale regolamento, il quale consiste segnatamente nel garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla protezione dei dati personali, sancito dall’articolo 16 TFUE e garantito in quanto diritto fondamentale all’articolo 8 della Carta dei diritti fondamentali dell’Unione europea, che completa il diritto alla vita privata garantito dall’articolo 7 di quest’ultima (sentenza del 27 febbraio 2025, Dúdstreet Austria e a., C‑203/22, EU:C:2025:117, punto 51 e giurisprudenza citata).
41
Orbene, se si ammettesse che l’articolo 14 del RGPD si applichi nel caso della raccolta di dati personali mediante una telecamera indossata, l’interessato non riceverebbe alcuna informazione nella fase di tale raccolta, pur essendo la fonte di tali dati, il che consentirebbe al titolare del trattamento di non fornire immediatamente informazioni a detto interessato. Pertanto, una siffatta interpretazione comporterebbe il rischio che la raccolta di dati passi inosservata all’interessato nonché il rischio di pratiche di sorveglianza occulte. Una siffatta conseguenza sarebbe incompatibile con l’obiettivo, menzionato al punto precedente, di garantire un elevato livello di tutela dei diritti libertà e delle libertà fondamentali delle persone fisiche.
42
Infine, occorre precisare, in risposta a un dubbio espresso dal giudice del rinvio quanto alla portata del punto che tale obiettivo non osta a che, come prevedono le linee guida 3/2019 del Comitato europeo per la protezione dei dati (GEPD) sul trattamento dei dati personali mediante dispositivi video, adottate il 29 gennaio 2020, gli obblighi di informazione ai sensi dell’articolo 13 del RGPD siano attuati nell’ambito di un approccio a più livelli. Secondo tali orientamenti, le informazioni più importanti destinate alla persona interessata possono essere indicate, nell’ambito di un primo livello, su un cartello di avvertimento, e le altre informazioni obbligatorie possono essere fornite a quest’ultimo, a titolo di secondo livello, in modo adeguato e completo, in un luogo facilmente accessibile.
43
Infine, occorre ancora precisare, in risposta al dubbio espresso dal Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma) quanto alla portata del punto 34 della sentenza dell’11 dicembre 2014, Ryneš (C‑212/13, EU:C:2014:2428), menzionato al punto 13 della presente sentenza, che la Corte non si è pronunciata, al suddetto punto 34, sull’ambito di applicazione dell’articolo 11 della direttiva 95/46, al quale corrisponde l’articolo 14 del RGPD, rispetto all’articolo 10 di tale direttiva, al quale corrisponde l’articolo 13 di tale regolamento, ma si è limitata ad illustrare che, a causa delle diverse limitazioni e eccezioni previste dalla suddetta direttiva, la sua applicazione consente di tener conto dei legittimi interessi del titolare del trattamento.
44
Pertanto, dal punto 34 di detta sentenza non si può dedurre che la Corte si sia già pronunciata sulla distinzione tra l’ambito di applicazione dell’articolo 13 del RGPD, da un lato, e quello dell’articolo 14 di tale regolamento, dall’altro.
45
Alla luce delle considerazioni che precedono, occorre rispondere alla questione sollevata dichiarando che gli articoli 13 e 14 del RGPD devono essere interpretati nel senso che, in una situazione in cui sono raccolti dati personali mediante telecamere indossate da controllori nei trasporti pubblici, l’informazione degli interessati è disciplinata dall’articolo 13 del RGPD e non dall’articolo 14 di quest’ultimo.
Sulle spese
46
Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Prima Sezione) dichiara:
Gli articoli 13 e 14 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE,
devono essere interpretati nel senso che:
in una situazione in cui sono raccolti dati personali mediante telecamere (cd. «bodycam») indossate da controllori nei trasporti pubblici, l’informazione degli interessati è disciplinata dall’articolo 13 di tale regolamento e non dall’articolo 14 di quest’ultimo.
Firme
(
*1
)	Lingua processuale: lo svedese.