1.

Projednávaná věc se týká povinnosti správce, jak je definován v nařízení (EU) 2016/679 (dále jen „nařízení GDPR“) ( 2 ), poskytnout subjektu údajů informace v případech, kdy jsou osobní údaje získávány prostřednictvím osobní kamery umístěné na těle revizorů jízdenek v hromadné dopravě. Informační povinnost, kterou má správce ve vztahu k subjektům dotčeným zpracováním osobních údajů, je logickým důsledkem práva na informace, jež těmto subjektům přiznávají články 12 až 14 GDPR ( 3 ). Právo na informace představuje základní pilíř zásady transparentnosti ( 4 ) a jako takové „zaručuje transparentnost veškerého zpracování“ v rámci nařízení GDPR ( 5 ).

2.

Soudní dvůr je konkrétně žádán, aby rozhodl, zda je v situacích, kdy dochází k získávání údajů prostřednictvím osobní kamery, náležitým právním základem článek 13, nebo článek 14 nařízení GDPR. Vymezení působnosti každého z těchto ustanovení má významné důsledky pro určení okamžiku, kdy mají být informace poskytnuty, jakož i pro případné výjimky.

3.

Článek 13 nařízení GDPR, nadepsaný „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, stanoví:

„1.   Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

2.   Vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování:

3.   Pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

4.   Odstavce 1, 2 a 3 se nepoužijí, pokud subjekt údajů již uvedené informace má, a do té míry, v níž je má.“

4.

Článek 14 nařízení GDPR, nadepsaný „Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů“, stanoví:

„1.   Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:

2.   Kromě informací uvedených v odstavci 1 poskytne správce subjektu údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování ve vztahu k subjektu údajů:

3.   Správce poskytne informace uvedené v odstavcích 1 a 2:

4.   Pokud správce hodlá osobní údaje dále zpracovat pro jiný účel, než pro který byly získány, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

5.   Odstavce 1 až 4 se nepoužijí, pokud a do té míry, v níž:

[…]“

5.

AB Storstockholms Lokaltrafik (stockholmská hromadná doprava, dále jen „SL“) je společnost poskytující služby hromadné dopravy. Tato společnost vybavila své revizory osobními kamerami. Tyto kamery se používají k natáčení cestujících, kteří se při kontrole jízdenek neprokážou platnou jízdenkou a je jim vystavena pokuta. Účelem používání kamer je předcházet a dokumentovat výhrůžky a násilí proti revizorům a ověřovat totožnost cestujících, kteří jsou povinni zaplatit pokutu.

6.

V rámci své činnosti orgánu dozoru Integritetsskyddsmyndigheten (švédský Úřad pro ochranu osobních údajů, dále jen „Úřad pro ochranu osobních údajů“) prověřoval, zda společnost SL zpracovává osobní údaje shromážděné používáním osobních kamer v souladu s nařízením GDPR. Uvedený úřad vydal v červnu 2021 rozhodnutí o výkonu dozoru (dále jen „rozhodnutí o výkonu dozoru“), které obsahuje řadu zjištění týkajících se používání a fungování osobních kamer. Z uvedeného rozhodnutí konkrétně vyplývá, že revizoři mají na sobě dotčené kamery po celou svou pracovní směnu. Tyto kamery nepřetržitě pořizují audiovizuální záznamy. Jsou vybaveny tzv. paměťovou smyčkou, což znamená, že po určité době je veškerý obrazový materiál automaticky smazán. Po smazání je nahrávka odstraněna. Ze začátku byly nahrávky uchovávány po dobu dvou minut, nicméně během kontroly prováděné v rámci dozoru byla tato doba zkrácena na jednu minutu. Stisknutím tlačítka může revizor automatické mazání pozastavit, a tím zajistit, aby nebyla nahrávka smazána. V souladu s pokyny, které jim byly dány, mají revizoři pozastavit automatické mazání ve všech situacích, kdy je ukládána pokuta, a dále v případě ohrožení.

7.

Úřad pro ochranu osobních údajů ve svém rozhodnutí o výkonu dozoru konstatoval, že od prosince 2018 do data vydání uvedeného rozhodnutí v červnu 2021 společnost SL tím, že používala osobní kamery v souvislosti s kontrolou jízdenek, zpracovávala osobní údaje v rozporu s několika ustanoveními nařízení GDPR. Společnost SL mimo jiné neposkytla subjektům údajů odpovídající informace v rozporu s článkem 13 nařízení GDPR. Společnosti SL byla v důsledku výše uvedeného uložena povinnost zaplatit správní pokutu v celkové výši 16 milionů SEK, přičemž 4 miliony SEK z této částky činila pokuta za to, že subjektům údajů nebyly poskytnuty odpovídající informace.

8.

Společnost SL podala proti rozhodnutí o výkonu dozoru opravný žalobu k Förvaltningsrätten i Stockholm (Správní soud ve Stockholmu, Švédsko), který jej v rozsahu, v němž se tento opravný prostředek týkal pokuty za nesplnění povinnosti poskytnout odpovídající informace, zamítl.

9.

Společnost SL poté podala odvolání ke Kammarrätten i Stockholm (Odvolací správní soud ve Stockholmu, Švédsko), který zrušil rozsudek soudu prvního stupně a zrušil i rozhodnutí o výkonu dozoru v rozsahu, v němž se týkalo pokuty uložené společnosti SL za nesplnění povinnosti poskytnout odpovídající informace subjektům údajů. V odůvodnění svého rozsudku odkázal Kammarrätten i Stockholm (Odvolací správní soud ve Stockholmu) na rozsudek Soudního dvora ze dne 11. prosince 2014, Ryneš (C‑212/13, EU:C:2014:2428; dále jen „rozsudek Ryneš“), týkající se provozování kamerového systému umístěného osobou na jejím rodinném domě. Podle Kammarrätten i Stockholm (Odvolací správní soud ve Stockholmu) z uvedeného rozsudku vyplývá, že v situacích, kdy je prováděno sledování pomocí kamerového systému, je povinností správce poskytnout odpovídající informace založena na článku 11 směrnice 95/46, který představuje předchozí právní úpravu odpovídající dnešnímu článku 14 nařízení GDPR ( 6 ). Kromě toho podle Kammarrätten i Stockholm (Odvolací správní soud ve Stockholmu) znění článku 13 nařízení GDPR naznačuje, že k tomu, aby bylo možno osobní údaje považovat za získané od subjektu údajů, je zapotřebí určitého druhu záměrného jednání ze strany této osoby. Nelze mít za to, že taková situace nastává v případě, kdy jsou osobní údaje získávány prostřednictvím osobní kamery. Kammarrätten i Stockholm (Odvolací správní soud ve Stockholmu) dospěl k závěru, že vzhledem k tomu, že článek 13 nařízení GDPR se nepoužije, nebyl Úřad pro ochranu osobních údajů oprávněn uložit společnosti SL pokutu za porušení uvedeného článku.

10.

Úřad pro ochranu osobních údajů podal proti rozsudku Kammarrätten i Stockholm (Odvolací správní soud ve Stockholmu) kasační opravný prostředek k předkládajícímu soudu a navrhuje zrušení uvedeného rozsudku v rozsahu, v němž se týká pokuty za nesplnění povinnosti poskytnout subjektům údajů odpovídající informace.

11.

Úřad pro ochranu osobních údajů před předkládajícím soudem tvrdil, že článek 13 nařízení GDPR se použije i v případech, kdy se subjekt údajů shromažďování údajů aktivně neúčastní. Vzhledem k tomu, že sledování pomocí kamerového systému vyžaduje poskytnutí informací před zahájením zpracování osobních údajů, je to právě subjekt údajů, kdo vědomým vstupem do takto monitorovaného prostoru získávání osobních údajů umožňuje.

12.

Společnost SL u předkládajícího soudu navrhovala zamítnutí kasačního opravného prostředku. Tvrdí, že ze znění článku 13 nařízení GDPR vyplývá, že se subjekt údajů musí na shromažďování osobních údajů podílet vědomě. Strukturovaný přístup k poskytování informací v případě sledování pomocí kamerového systému je navíc spíše v souladu se systematikou článku 14 nařízení GDPR, než se systematikou článku 13 uvedeného nařízení. Článek 14 odst. 5 písm. b) nařízení GDPR stanoví výjimku z informační povinnosti, pokud se ukáže, že poskytnutí takových informací není možné nebo by vyžadovalo nepřiměřené úsilí. Společnost SL tvrdí, že uvedená výjimka by se měla uplatnit v situacích zahrnujících používání osobních kamer, neboť by bylo nepraktické poskytovat informace individuálně každému cestujícímu před pořízením nahrávky.

13.

Rozhodnutí předkládajícího soudu o tom, zda byl Úřad pro ochranu osobních údajů oprávněn uložit společnosti SL pokutu za porušení článku 13 nařízení GDPR, bude možné učinit až na základě určení, zda se v případě, kdy jsou osobní údaje získávány prostřednictvím osobní kamery, použije článek 13, nebo článek 14 nařízení GDPR. Zodpovězení otázky, které ustanovení je použitelné, má rovněž vliv na to, jaké informace musí být poskytnuty, když informační povinnost skutečně vznikne, jakož i na to, zda se uplatní některá z výjimek z informační povinnosti.

14.

Za těchto okolností se Högsta förvaltningsdomstolen (Nejvyšší správní soud, Švédsko) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:

„Použije se v případě, kdy jsou osobní údaje získány prostřednictvím osobní kamery, článek 13, nebo článek 14 GDPR?“

15.

Písemná vyjádření předložili účastníci původního řízení, rakouská a dánská vláda, jakož i Evropská komise.

16.

Otázka předkládajícího soudu se týká informačních povinností společnosti SL, která poskytuje služby hromadné dopravy, ve vztahu k používání osobních kamer jejími revizory. Dotčené kamery jsou osobními kamerami, které pořizují audiovizuální záznamy ( 7 ). Hlavním cílem používání uvedených kamer je předcházet a dokumentovat výhrůžky a násilí proti revizorům.

17.

Z předkládacího rozhodnutí jasně vyplývá, že dotčené zpracování spadá do působnosti nařízení GDPR. Můj rozbor se tedy netýká zpracování dat ve spojitosti s používáním osobních kamer donucovacími orgány, které spadá do působnosti směrnice 2016/680 ( 8 ).

18.

Je rovněž nutné zdůraznit, že otázka předkládajícího soudu se týká pouze informační povinnosti správce podle článků 13 a 14 nařízení GDPR. Soudní dvůr nebyl tázán na zákonnost dotčeného zpracování osobních údajů podle článku 6 nařízení GDPR.

19.

Podstatou otázky předkládajícího soudu je, zda se v situaci, kdy jsou osobní údaje získávány prostřednictvím osobních kamer umístěných na těle revizorů jízdenek, kteří pracují pro společnost poskytující služby veřejné dopravy, uplatní článek 13 nařízení GDPR, nebo článek 14 uvedeného nařízení.

20.

Články 13 a 14 nařízení GDPR vymezují rozsah informační povinnosti, kterou má správce ve vztahu k subjektu údajů. Článek 13 se použije v případě, že jsou osobní údaje získány od subjektu údajů (přímé shromažďování), zatímco článek 14 se použije v případě, že osobní údaje nebyly získány od subjektu údajů (nepřímé shromažďování) ( 9 ).

21.

Většina aspektů týkajících se informací, které musí být poskytnuty podle článků 13 a 14 nařízení GDPR, je stejná, přestože existují určité rozdíly ( 10 ). Nejvýznamnější rozdíl mezi oběma ustanoveními se týká okamžiku, kdy musí být informace poskytnuty, a případných výjimek z povinnosti poskytnout informace.

22.

Podle čl. 13 odst. 1 a 2 nařízení GDPR platí, že pokud se osobní údaje získávají od subjektu údajů, musí být příslušné informace poskytnuty „v okamžiku získání osobních údajů“. Pokud osobní údaje nebyly získány od subjektu údajů, musí být informace uvedené v čl. 14 odst. 1 a 2 nařízení GDPR správcem poskytnuty ve lhůtách stanovených v čl. 14 odst. 3 písm. a), b) a c) uvedeného nařízení. Obecné pravidlo stanoví, že správce musí informace poskytnout v přiměřené lhůtě po získání osobních údajů, ale nejpozději do jednoho měsíce, s ohledem na konkrétní okolnosti, za nichž jsou osobní údaje zpracovávány [čl. 14 odst. 3 písm. a) nařízení GDPR]. Lhůta, ve které musí správce informace poskytnout, je odlišná v situacích uvedených v čl. 14 odst. 3 písm. b) a c) ( 11 ).

23.

Pokud jde o možné výjimky z informační povinnosti, pak v případě přímého shromažďování údajů podle článku 13 nařízení GDPR je jedinou použitelnou výjimkou situace, „pokud subjekt údajů již uvedené informace má, a do té míry, v níž je má“. V případě nepřímého shromažďování je katalog možných výjimek uvedený v čl. 14 odst. 5 nařízení GDPR delší. Mezi vyjmenované výjimky patří i situace, kdy „se ukáže, že poskytnutí takových informací není možné nebo by vyžadovalo nepřiměřené úsilí“ [čl. 14 odst. 5 písm. b) nařízení GDPR]. V takových případech „přijme správce vhodná opatření na ochranu práv, svobod a oprávněných zájmů subjektu údajů, včetně zpřístupnění daných informací veřejnosti“.

24.

Z výše uvedeného jasně vyplývá, že rozsah informační povinnosti správce se liší podle toho, zda se uplatní článek 13 nařízení GDPR, nebo článek 14 uvedeného nařízení. Výsledek takového určení bude mít dopad na záležitosti, které musí dozorový úřad prošetřit, aby zjistil, zda došlo k porušení informační povinnosti.

25.

Po uvedení těchto obecných poznámek je následně nutno posoudit, zda zpracování údajů prostřednictvím takové osobní kamery, jaká byla použita ve věci v původním řízení, spadá do věcné působnosti článku 13 nařízení GDPR, nebo článku 14 uvedeného nařízení. Za tímto účelem je třeba v souladu s ustálenou judikaturou vzít v úvahu nejen znění uvedených ustanovení, ale i kontext těchto ustanovení a cíle sledované právní úpravou, jejíž jsou součástí ( 12 ).

26.

Na prvním místě je třeba s ohledem na znění článků 13 a 14 nařízení GDPR uvést, jak Soudní dvůr upřesnil v rozsudku Másdi, že věcná působnost článku 14 GDPR je vymezena negativně ve vztahu k článku 13 tohoto nařízení ( 13 ). Jak vyplývá ze samotného nadpisu těchto ustanovení, článek 13 se týká informací poskytovaných v případě, že osobní údaje jsou získány od subjektu údajů, zatímco článek 14 se týká informací, které musí být poskytnuty, pokud osobní údaje nebyly získány od subjektu údajů ( 14 ). Jak uvedla Komise ve svém písemném vyjádření, obě ustanovení se vzájemně vylučují. S ohledem na tuto dichotomii spadají všechny případy, kdy jsou údaje získány od subjektů údajů, do věcné působnosti článku 13 a všechny případy, kdy údaje nejsou získány od subjektu údajů, do věcné působnosti článku 14 ( 15 ).

27.

Z předkládacího rozhodnutí vyplývá, že obtížnost určení věcné působnosti zmíněných ustanovení vyplývá právě z toho, zda je použití článku 13 nařízení GDPR podmíněno tím, že si je subjekt údajů vědom shromažďování svých údajů, popřípadě zda je použití uvedeného ustanovení podmíněno nějakou formou úmyslného jednání ze strany subjektu údajů při poskytování údajů (například vyplnění formuláře) ( 16 ).

28.

V tomto ohledu je nutno uvést, že „získání“ údajů od subjektu údajů ve smyslu čl. 13 odst. 1 nevyžaduje žádný zvláštní úkon ze strany subjektu údajů. „Shromáždění“ je formou „zpracování“ údajů ve smyslu čl. 4 bodu 2 nařízení GDPR. Shromáždění údajů tak vyžaduje nějaký úkon ze strany správce ( 17 ). Jak uvedl Úřad pro ochranu osobních údajů před předkládajícím soudem, aktivní roli při shromažďování údajů hraje správce, nikoli subjekt údajů.

29.

Komise a Úřad pro ochranu osobních údajů v písemných vyjádřeních uvedly, že anglické a švédské jazykové znění článků 13 a 14 nařízení GDPR používají dvě různá slovesa. Zatímco článek 13 zmiňuje údaje „získané [shromážděné]“ od subjektu údajů (samlas ve švédštině), článek 14 odkazuje na údaje, které nebyly „získány“ od subjektu údajů (erhållits ve švédštině). Jak však podotkla Komise, v jiných jazykových zněních je použito stejné sloveso ( 18 ), přičemž v každém případě platí, že použití dvou různých sloves, a sice „získat [shromáždit]“ a „získat“, podle všeho nemá žádný význam. To lze dovodit i z rozsudku ve věci Másdi, v němž Soudní dvůr vysvětluje, že osobními údaji, které správce získával ve smyslu článku 14 GDPR, jsou všechny ty, které správce „shromáždil od jiné osoby než od subjektu údajů […]“ ( 19 ).

30.

Dichotomie mezi články 13 a 14 nařízení GDPR, která je zmíněna v bodě 26 výše, ukazuje, že základem pro určení působnosti každého z těchto článků není aktivní účast subjektu údajů na shromažďování údajů, ale spíše zdroj údajů. Je-li zdrojem subjekt údajů, použije se článek 13. Podmínkou použití uvedeného ustanovení je neexistence jakéhokoli prostředníka mezi subjektem údajů a správcem. Jsou-li údaje získány z jiného zdroje, než je subjekt údajů, použije se článek 14. Jiným zdrojem by mohli být například nezávislí správci údajů, veřejně dostupné zdroje nebo jiné subjekty údajů ( 20 ).

31.

Znění čl. 14 odst. 2 písm. f) nařízení GDPR potvrzuje, že zdroj údajů je kritériem pro odlišení věcné působnosti článku 13 od věcné působnosti článku 14. Podle uvedeného ustanovení totiž platí, že jestliže údaje nebyly získány od subjektu údajů, musí správce subjekt údajů informovat o „zdroj[i], ze kterého osobní údaje pocházejí“ (kurzivou zvýraznila autorka tohoto stanoviska).

32.

Ze znění bodu 61 odůvodnění rovněž vyplývá, že zdroj údajů je určujícím kritériem pro rozlišení věcné působnosti článků 13 a 14. Zmíněný bod odůvodnění uvádí, že „[i]nformování subjektu údajů o tom, že jsou zpracovávány jeho osobní údaje, by mělo proběhnout v okamžiku jejich shromáždění od subjektu údajů, nebo pokud jsou [osobní údaje] získávány z jiného zdroje, v přiměřené lhůtě v závislosti na okolnostech případu“ (kurzivou zvýraznila autorka tohoto stanoviska). Uvedený bod odůvodnění dále uvádí, že obecné informace by měly být poskytnuty, „[p]okud z důvodu využití různých zdrojů nemůže být subjektu údajů sdělen původ osobních údajů“ (kurzivou zvýraznila autorka tohoto stanoviska).

33.

Přímé shromažďování údajů od subjektu údajů lze provádět různými způsoby. Takové shromažďování nevyžaduje, aby se subjekt údajů poskytování údajů účastnil či při poskytování údajů vyvíjel nějakou iniciativu, ani aby o shromažďování věděl. Tento přístup potvrzují i pokyny WP 29 k transparentnosti, které stanoví, že článek 13 se použije buď v případě, že subjekt údajů vědomě poskytne osobní údaje správci údajů, nebo v případě, že správce údajů získá údaje od subjektu údajů sledováním. Mezi příklady získání údajů sledováním, které jsou v uvedených pokynech zmíněny, patří použití zařízení na automatizovaný sběr dat nebo softwaru na zachycování dat, jako jsou kamery ( 21 ).

34.

V případě přímého shromažďování údajů sledováním je vědomost subjektu údajů o shromažďování údajů důsledkem použití článku 13 nařízení GDPR a povinnosti poskytnout informace subjektu údajů v okamžiku získání, kterou toto ustanovení správci údajů ukládá. Jinými slovy, povědomí o získávání údajů není podmínkou pro použití článku 13, ale spíše důsledkem povinnosti informovat subjekt údajů (nejpozději) v okamžiku získání osobních údajů, která je zakotvena v článku 13 nařízení GDPR.

35.

Počínaje okamžikem, kdy je zahájeno přímé shromažďování údajů od subjektu údajů, a právě z důvodu tohoto shromažďování, musí správce plnit svou informační povinnost, což subjektu údajů umožní se o shromažďování údajů dozvědět. Jak uvedl Úřad pro ochranu osobních údajů, prostory, které jsou monitorovány, musí být označeny příslušným upozorněním, takže subjekt údajů si je před vstupem do monitorovaného prostoru vědom shromažďování osobních údajů ( 22 ). Tento subjekt tím, že do těchto prostor vědomě vstoupí, dovolí takové shromažďování.

36.

V případě získávání údajů prostřednictvím osobní kamery, jako je získávání dotčené ve věci v původním řízení, se subjekt údajů stává, jak uvedla rakouská vláda, zdrojem získaných údajů na základě samotné fyzické přítomnosti v příslušném prostoru, který zabírá kamera.

37.

Jiný závěr v tom smyslu, že článek 13 se použije pouze v případě, že subjekt údajů údaje aktivně poskytuje, nelze ze znění článků 13 a 14 nařízení GDPR ani z bodů odůvodnění uvedeného nařízení dovodit. Konkrétně na rozdíl od toho, co uvádí společnost SL a dánská vláda, nelze takový závěr vyvodit z čl. 13 odst. 2 písm. e) nařízení GDPR, tak jak se odráží v bodě 60 odůvodnění uvedeného nařízení. Podle zmíněného ustanovení platí, že pokud údaje jsou získány od subjektu údajů, musí správce poskytnout informaci o tom, „[…] zda má subjekt údajů povinnost osobní údaje poskytnout, a ohledně možných důsledků neposkytnutí těchto údajů“. Jak uvedl Úřad pro ochranu osobních údajů před předkládajícím soudem, informace o případné povinnosti poskytnout údaje má být dána pouze tehdy, je-li to v konkrétním případě vyžadováno ( 23 ). Ustanovení čl. 13 odst. 2 písm. e) nařízení GDPR nelze vykládat tak, že je použití článku 13 za všech okolností podmíněno určitým jednáním subjektu údajů.

38.

Podobně ze znění čl. 14 odst. 1 písm. d) nařízení GDPR nevyplývá, že by použití článku 13 vyžadovalo, aby subjekt údajů hrál aktivní roli při poskytování údajů nebo aby o shromažďování údajů věděl. Článek 14 odst. 1 písm. d) nařízení GDPR vyžaduje, aby v případě, že osobní údaje nebyly získány od subjektu údajů, poskytl správce subjektu údajů informaci o kategoriích dotčených osobních údajů. Článek 13 nařízení GDPR žádný požadavek na poskytnutí takové informace nestanoví, z čehož společnost SL a dánská vláda vyvozují, že se článek 13 použije, pokud již subjekt údajů o shromažďování údajů ví. Informační požadavek podle čl. 14 odst. 1 písm. d) však může být odůvodněn skutečností, že správce zpracovává údaje z jiných zdrojů, než je subjekt údajů, a není v okamžiku získání údajů se subjektem údajů v kontaktu.

39.

Znění článku 13 i článku 14 nařízení GDPR tudíž vede k závěru, že získávání údajů prostřednictvím osobní kamery jakožto forma přímého shromažďování údajů od subjektu údajů spadá do působnosti článku 13.

40.

Na druhém místě je nutné konstatovat, že takový výklad má oporu i v kontextu, do něhož jsou uvedená ustanovení zasazena. Informační povinnosti stanovené v článcích 13 a 14 nařízení GDPR jsou konkrétním vyjádřením zásady transparentnosti, kterou se zpracování osobních údajů řídí, jak je stanoveno v čl. 5 odst. 1 písm. a) nařízení GDPR. Podle posledně zmíněného ustanovení musí být osobní údaje ve vztahu k subjektu údajů zpracovávány korektně a zákonným a transparentním způsobem. Z toho vyplývá, že zpracování osobních údajů musí splňovat zejména konkrétní požadavky v oblasti transparentnosti ve vztahu k subjektu údajů, jehož se takové zpracování týká ( 24 ).

41.

Vymezení působnosti článků 13 a 14 nařízení GDPR na základě zdroje údajů umožňuje spravedlivé a transparentní zpracování. Pokud jsou údaje získávány přímo od subjektu údajů, musí být subjekt údajů informován ihned v okamžiku získání údajů (nejpozději). Pokud nejsou údaje získávány přímo od subjektu údajů, má správce určitý prostor pro poskytnutí informací – v přiměřené lhůtě – právě z toho důvodu, že nemá žádný přímý kontakt se subjektem údajů.

42.

V případě získávání údajů prostřednictvím osobní kamery dává subjektu údajů skutečnost, že jsou mu informace o shromažďování poskytnuty ihned, možnost dozvědět se o shromažďování údajů, aby mohl uplatnit svá práva, která mu náleží jakožto subjektu údajů, již od okamžiku získání údajů, nebo dokonce i předtím, než je shromažďování započato. Jak uvedla rakouská vláda, tím, že se dozví o shromažďování údajů co nejdříve, může se subjekt údajů například rozhodnout, že nevstoupí do prostor, které jsou monitorovány, popřípadě přizpůsobí své chování.

43.

Pokud jde o praktické prostředky poskytování informací, je nutno mít na paměti, že podle čl. 12 odst. 1 nařízení GDPR správce přijme „vhodná opatření“, aby poskytl požadované informace „stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků“.

44.

Účastníci řízení a zúčastnění, kteří předložili písemná vyjádření, se ztotožňují s obecným předpokladem, že v případě sledování pomocí kamerového systému by měly být informace poskytovány prostřednictvím „strukturovaného přístupu“. Pokyny EDPB ke sledování pomocí kamerového systému nabízejí podrobný a praktický přehled strukturovaného přístupu. Informace uvedené v první vrstvě se týkají „primárního způsobu, kterým správce poprvé seznamuje subjekt údajů s informacemi“. V případě sledování pomocí kamerového systému se bude obvykle jednat o upozornění, které subjektu údajů umožní dozvědět se o tom, že vstupuje do monitorované oblasti. Informace první vrstvy musí být následně doplněny informacemi uvedenými ve druhé vrstvě, nejlépe odkazem na digitální zdroj (např. kód QR nebo adresy internetových stránek), ačkoli by tyto informace měly být rovněž snadno dostupné i nedigitálně ( 25 ).

45.

Společnost SL a dánská vláda tvrdí, že strukturovaný přístup je více v souladu s obecnou systematikou článku 14 nařízení GDPR, na rozdíl od článku 13 nařízení GDPR. Domnívají se, že obtíže při poskytování informací v okamžiku získání údajů v případech, kdy jsou používány osobní kamery, by měly vést k uplatnění výjimky stanovené v čl. 14 odst. 5 písm. b) nařízení GDPR. Uvedená výjimka se uplatní, pokud „se ukáže, že poskytnutí takových informací není možné nebo by vyžadovalo nepřiměřené úsilí“. V takovém případě „přijme správce vhodná opatření na ochranu práv, svobod a oprávněných zájmů subjektu údajů“.

46.

Tyto argumenty mne nepřesvědčily. Zaprvé z článku 12 nařízení GDPR vyplývá, že „vhodná opatření“, která musí správce přijmout k poskytnutí informací, se týkají informací zmíněných v článku 13 i v článku 14. To znamená, že správce musí přijmout vhodná opatření k poskytnutí informací v situacích přímého i nepřímého shromažďování údajů.

47.

Zadruhé, jak v podstatě uvedl Úřad pro ochranu osobních údajů, vhodnost opatření závisí na kontextu, v němž jsou údaje shromažďovány, a týká se mimo jiné zájmu subjektů údajů. Získávání údajů osobní kamerou je stejně invazivní jako sledování pomocí kamerového systému a představuje významná rizika pro soukromí subjektů údajů ( 26 ). Pokud se správci snaží určit nejvhodnější opatření k poskytnutí informací subjektům údajů, musí být náležitě zohledněna zásada transparentnosti, a to do jaké míry jsou prostředky použité k získávání údajů invazivní. Pokud se obecně připouští, že strukturovaný přístup je vhodný pro sledování pomocí kamerového systému, který s sebou nese významná rizika pro soukromí, mělo by totéž platit i pro získávání údajů prostřednictvím osobních kamer.

48.

Zatřetí existují přesvědčivé argumenty, které dokládají, že strukturovaný přístup není v případě osobní kamery „nepraktický“ ani „nemožný“. Úřad pro ochranu osobních údajů, rakouská vláda a Komise tvrdí, že strukturovaný přístup v případě sledování pomocí kamerového systému se uplatní podobně i v případě osobních kamer, přičemž odkazují na pokyny EDPB ke sledování pomocí kamerového systému. Nezávazná povaha uvedených pokynů nic nemění na skutečnosti, že zmíněné pokyny konkrétně prokazují, že strukturovaný přístup je možný a praktický ( 27 ).

49.

Na třetím místě výklad v tom smyslu, že se v případě údajů získaných prostřednictvím osobní kamery použije článek 13, je v souladu s cíli sledovanými právní úpravou, jejíž součástí jsou články 13 a 14 nařízení GDPR. Cíl sledovaný nařízením GDPR, jak vyplývá z jeho článku 1, jakož i z bodů 1 a 10 jeho odůvodnění, spočívá mimo jiné v zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob, především jejich práva na soukromí v souvislosti se zpracováním osobních údajů zakotveného v čl. 8 odst. 1 Listiny základních práv Evropské unie a v čl. 16 odst. 1 SFEU ( 28 ). Uvedený cíl vyžaduje, aby bylo jakékoli zpracování osobních údajů, mimo jiné, v souladu se zásadami zpracování takových údajů stanovenými v článku 5 nařízení GDPR, včetně zásady transparentnosti.

50.

Informační povinnost správce zakotvená v článcích 13 a 14 nařízení GDPR je vyjádřením zásady transparentnosti. Jak je uvedeno výše ( 29 ), načasování informační povinnosti se liší v závislosti na tom, které z uvedených dvou ustanovení se použije. Přímé shromažďování vyžaduje okamžité poskytnutí informací. Pokud shromažďování není přímé, neboť jsou údaje získávány z jiných zdrojů, mohou být informace poskytnuty v pozdější fázi. Nařízení GDPR umožňuje odlišné načasování poskytnutí informací právě z toho důvodu, že je shromažďování nepřímé.

51.

Pokud by měl být přijat závěr, že se v případě získávání údajů prostřednictvím osobní kamery použije článek 14 GDPR, znamenalo by to, že subjektům údajů by v okamžiku shromáždění údajů nebyly poskytnuty informace, přestože by subjekty údajů byly zdrojem těchto údajů. Jak v podstatě uvedly rakouská vláda a Komise, to by mohlo ohrozit užitečný účinek článku 13 nařízení GDPR. Umožnilo by to totiž správcům neposkytovat informace subjektům údajů ihned, bez ohledu na skutečnost, že byly údaje shromážděny přímo od nich ( 30 ). Vzniká tak riziko toho, že bude shromažďování údajů probíhat, aniž by si toho subjekty údajů všimly, a že budou používány praktiky skrytého sledování ( 31 ). Takové obcházení článku 13 nařízení GDPR by představovalo závažné porušení práva subjektu údajů na informace.

52.

Konečně, pokud by mělo rozlišení věcné působnosti článku 13 a věcné působnosti článku 14 nařízení GDPR záviset na tom, zda subjekt údajů v okamžiku získání jeho osobních údajů o tomto shromažďování údajů skutečně věděl, došlo by k rozostření hranic mezi oběma ustanoveními a jejich použití by se stalo závislým na náhodných okolnostech.

53.

Z doslovného, kontextuálního i teleologického výkladu článků 13 a 14 nařízení GDPR tedy vyplývá, že v případě získávání údajů prostřednictvím osobní kamery, které představuje formu přímého shromažďování údajů od subjektu údajů, spadá informační povinnost správce do působnosti článku 13 nařízení GDPR.

54.

Pro úplnost nabídnu několik závěrečných poznámek k relevanci rozsudku Ryneš pro projednávanou věc ( 32 ). V uvedeném rozsudku vyložil Soudní dvůr výjimku z použití směrnice 95/46 v případě výkonu výlučně „osobních či domácích“ činností, jak je stanoveno v čl. 3 odst. 2 druhé odrážce uvedené směrnice. V podstatě rozhodl, že provozování kamerového systému umístěného osobou na jejím rodinném domě za účelem ochrany majetku, zdraví a života majitelů domu, přičemž takový systém zabírá též veřejné prostranství, nelze považovat za zpracování údajů pro výkon výlučně „osobních či domácích“ činností ve smyslu uvedeného ustanovení. Takové zpracování tedy nemůže být vyloučeno z působnosti směrnice 95/46.

55.

V bodě 34 uvedeného rozsudku Soudní dvůr konstatoval, že „[z]ároveň lze při uplatňování ustanovení [směrnice 95/24] případně zohlednit, zejména v souladu s čl. 7 písm. f), čl. 11 odst. 2 a čl. 13 odst. 1 písm. d) a g) uvedené směrnice, oprávněné zájmy správce […]“.

56.

Odkaz na čl. 11 odst. 2 směrnice 95/46 v tomto konkrétním bodě nepředstavuje Soudním dvorem podaný výklad vhodného právního základu pro poskytování informací správcem v případě sledování pomocí kamerového systému. Otázka vznesená v uvedeném rozsudku byla zcela odlišná od otázky v projednávané věci, neboť se týkala uplatnění „výjimky pro domácí činnosti“, nikoli informační povinnosti. V uvedeném bodě Soudní dvůr pouze uvádí, že je možné zohlednit oprávněné zájmy správce s ohledem na omezení a výjimky stanovené ve směrnici 95/46. Komise rovněž správně uvádí, že ze žádosti o rozhodnutí o předběžné otázce předložené ve věci Ryneš podle všeho vyplývá, že vnitrostátní orgán dozoru měl v rámci vnitrostátního řízení za to, že došlo k porušení vnitrostátních právních předpisů provádějících článek 11 směrnice 95/46.

57.

V každém případě časový rámec pro poskytnutí informací podle článku 14 nařízení GDPR neodpovídá časovému rámci, který byl stanoven článkem 11 směrnice 95/46 ( 33 ). Kromě toho unijní normotvůrce objasnil rozdíl mezi příslušnými oblastmi působnosti článku 13 a článku 14 nařízení GDPR, a to odkazem na zdroj údajů v bodě 61 odůvodnění tohoto nařízení ( 34 ).

58.

Z uvedených důvodů mám za to, že rozsudek Ryneš není v projednávané věci relevantní a nemůže vést k jinému závěru, než je závěr navržený v tomto stanovisku.

59.

S ohledem na vše výše uvedené se domnívám, že články 13 a 14 nařízení GDPR musí být vykládány v tom smyslu, že v situaci, kdy jsou osobní údaje získávány prostřednictvím osobních kamer umístěných na těle revizorů jízdenek pracujících pro společnost provozující hromadnou dopravu, se použije článek 13, a nikoliv článek 14.

60.

S ohledem na výše uvedené úvahy navrhuji Soudnímu dvoru, aby na předběžnou otázku položenou Högsta förvaltningsdomstolen (Nejvyšší správní soud, Švédsko) odpověděl následovně:

„Články 13 a 14 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů)

musí být vykládány v tom smyslu, že v situaci, kdy jsou osobní údaje získávány prostřednictvím osobních kamer umístěných na těle revizorů jízdenek pracujících pro společnost provozující hromadnou dopravu, se použije článek 13, a nikoliv článek 14.“