–

za Integritetsskyddsmyndigheten: C. Agnehall, A. Persson a D. Törngren, jako zmocněnci,

–

za AB Storstockholms Lokaltrafik: J. Forzelius, advokat a G. Tranvik, biträdande jurist,

–

za dánskou vládu: D. Elkan, C. A.-S. Maertens, J. Sandvik Loft a M. Jespersen, jako zmocněnci,

–

za rakouskou vládu: A. Posch, J. Schmoll a C. Gabauer, jako zmocněnci,

–

za Evropskou komisi: A. Bouchagiar, C. Faroghi a H. Kranenborg, jako zmocněnci,

1

Žádost o rozhodnutí o předběžné otázce se týká výkladu článků 13 a 14 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) (Úř. věst. 2016, L 119, s. 1, dále jen „GDPR“).

2

Tato žádost byla předložena v rámci sporu mezi Integritetsskyddsmyndigheten (Úřad pro ochranu osobních údajů, Švédsko) (dále jen „Úřad pro ochranu údajů“) a AB Storstockholms Lokaltrafik (dále jen „společnost SL“), švédskou akciovou společností působící v oblasti veřejné dopravy, ve věci peněžité správní sankce, která byla této společnosti uložena za porušení článku 13 GDPR při shromažďování osobních údajů prostřednictvím osobních kamer, jimiž jsou vybaveni revizoři pracující pro tuto společnost.

3

V bodech 60 a 61 odůvodnění GDPR je uvedeno:

4

V článku 5 GDPR, nadepsaném „Zásady zpracování osobních údajů“, je stanoveno:

„1.   Osobní údaje musí být:

[…]

[…]“

5

V článku 12 GDPR, nadepsaném „Transparentní informace, sdělení a postupy pro výkon práv subjektu údajů“, je stanoveno:

„1.   Správce přijme vhodná opatření, aby poskytl subjektu údajů stručným, transparentním, srozumitelným a snadno přístupným způsobem za použití jasných a jednoduchých jazykových prostředků veškeré informace uvedené v článcích 13 a 14 a učinil veškerá sdělení podle článků 15 až 22 a 34 o zpracování, […]. Informace poskytne písemně nebo jinými prostředky, včetně ve vhodných případech v elektronické formě. […]

[…]

5.   […] Jsou-li žádosti podané subjektem údajů zjevně nedůvodné nebo nepřiměřené, zejména protože se opakují, může správce buď:

[…]

Zjevnou nedůvodnost nebo nepřiměřenost žádosti dokládá správce.

[…]“

6

V článku 13 nařízení GDPR, nadepsaném „Informace poskytované v případě, že osobní údaje jsou získány od subjektu údajů“, je stanoveno:

„1.   Pokud se osobní údaje týkající se subjektu údajů získávají od subjektu údajů, poskytne správce v okamžiku získání osobních údajů subjektu údajů tyto informace:

2.   Vedle informací uvedených v odstavci 1 poskytne správce subjektu údajů v okamžiku získání osobních údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování:

3.   Pokud správce hodlá osobní údaje dále zpracovávat pro jiný účel, než je účel, pro který byly shromážděny, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

4.   Odstavce 1, 2 a 3 se nepoužijí, pokud subjekt údajů již uvedené informace má, a do té míry, v níž je má.“

7

V článku 14 nařízení GDPR, nadepsaném „Informace poskytované v případě, že osobní údaje nebyly získány od subjektu údajů“, je stanoveno:

„1.   Jestliže osobní údaje nebyly získány od subjektu údajů, poskytne správce subjektu údajů tyto informace:

2.   Kromě informací uvedených v odstavci 1 poskytne správce subjektu údajů tyto další informace, jsou-li nezbytné pro zajištění spravedlivého a transparentního zpracování ve vztahu k subjektu údajů:

3.   Správce poskytne informace uvedené v odstavcích 1 a 2:

4.   Pokud správce hodlá osobní údaje dále zpracovat pro jiný účel, než pro který byly získány, poskytne subjektu údajů ještě před uvedeným dalším zpracováním informace o tomto jiném účelu a příslušné další informace uvedené v odstavci 2.

5.   Odstavce 1 až 4 se nepoužijí, pokud a do té míry, v níž:

8

Společnost SL provozuje služby veřejné dopravy ve Stockholmu (Švédsko). Tato společnost vybavila své revizory osobními kamerami, jež se používají k natáčení cestujících, kteří se při kontrole jízdenek neprokážou platnou jízdenkou, a kterým je z tohoto důvodu uložena pokuta. Účelem používání těchto kamer je předcházet a dokumentovat výhrůžky a násilí namířené proti revizorům a ověřovat totožnost cestujících, kteří jsou povinni zaplatit takovou pokutu.

9

V rámci své činnosti orgánu dozoru Úřad pro ochranu údajů prověřoval, zda je zpracování osobních údajů prováděné společností SL prostřednictvím osobních kamer v souladu s pravidly GDPR. V červnu 2021 uvedený úřad přijal rozhodnutí, z něhož vyplývá, že revizoři mají na sobě kamery po celou pracovní směnu a že tyto kamery nepřetržitě pořizují audiovizuální záznamy.

10

Tyto kamery jsou vybaveny tzv. „paměťovou smyčkou“, což znamená, že po určité době je veškerý zaznamenaný obsah automaticky odstraněn. Po tomto odstranění je tedy nahrávka smazána. Ze začátku byly nahrávky uchovávány po dobu dvou minut, nicméně v době, kdy Úřad pro ochranu údajů prováděl kontrolu, byla tato doba zkrácena na jednu minutu. Revizoři však mohou stisknutím příslušného tlačítka přerušit automatické odstranění záznamu, a zajistit tak, aby nahrané údaje nebyly vymazány. V takovém případě se uchovávají prostřednictvím použití technologie předběžného nahrávání rovněž informace uložené v kameře, které byly nahrány během minuty předcházející okamžiku, v němž revizor stiskl příslušné tlačítko. Podle udělených pokynů mají revizoři pozastavit automatické odstraňování záznamu ve všech situacích, kdy je ukládána pokuta, a dále v případě, kdy jsou ohroženi.

11

Vedle těchto zjištění týkajících se používání a fungování osobních kamer Úřad pro ochranu údajů ve svém rozhodnutí konstatoval, že společnost SL zpracovávala od prosince 2018 do data přijetí tohoto rozhodnutí v červnu 2021 osobní údaje za použití osobních kamer v souvislosti s kontrolou jízdenek v rozporu s několika ustanoveními GDPR. Podle Úřadu pro ochranu údajů neposkytla společnost SL odpovídající informace subjektům údajů, čímž porušila článek 13 nařízení GDPR. Tento úřad tedy uložil společnosti SL povinnost zaplatit peněžitou správní sankci v celkové výši 16 milionů SEK (přibližně 1420670 eur), přičemž 4 miliony SEK (přibližně 355188 eur) z důvodu neposkytnutí informací subjektům údajů.

12

Förvaltningsrätten i Stockholm (Správní soud se sídlem ve Stockholmu, Švédsko), k němuž podala společnost SL žalobu proti rozhodnutí Úřadu pro ochranu údajů, tuto žalobu zamítl v rozsahu, v němž se týkala sankce uložené této společnosti z důvodu neposkytnutí informací subjektům údajů.

13

Společnost SL tedy podala odvolání ke Kammarrätten i Stockholm (Správní odvolací soud ve Stockholmu, Švédsko), který zrušil rozsudek soudu prvního stupně, jakož i rozhodnutí Úřadu pro ochranu údajů, pokud jde o uložení této sankce. Posledně uvedený soud s odkazem na rozsudek ze dne 11. prosince 2014, Ryneš (C‑212/13, EU:C:2014:2428), rozhodl, že se článek 13 GDPR na spor, který mu byl předložen, nepoužije, a že Úřad pro ochranu údajů tudíž nebyl oprávněn uložit společnosti SL peněžitou správní sankci za porušení tohoto ustanovení.

14

Proti rozsudku Kammarrätten i Stockholm (Správní odvolací soud ve Stockholmu, Švédsko) podal Úřad pro ochranu údajů kasační opravný prostředek k Högsta förvaltningsdomstolen (Nejvyšší správní soud, Švédsko), který je předkládajícím soudem, směřující ke zrušení odvolacího rozsudku v rozsahu, v němž se týká sankce uložené této společnosti za neposkytnutí informací subjektům údajů.

15

Předkládající soud nejprve upřesňuje, že otázkou, která vyvstává, je, který z článků 13 a 14 GDPR se použije, pokud jsou osobní údaje shromažďovány pomocí osobní kamery. Podle předkládajícího soudu je odpověď na tuto otázku nezbytná ze dvou důvodů. Zaprvé je třeba určit, jaké informace mají být subjektu údajů poskytnuty, od jakého okamžiku vzniká povinnost informovat tento subjekt a jaké jsou výjimky z této povinnosti. Zadruhé je třeba určit, zda byl Úřad pro ochranu údajů oprávněn uložit společnosti SL peněžitou správní sankci z důvodu, že tato společnost nedodržela informační povinnost stanovenou v článku 13 GDPR.

16

Podle předkládajícího soudu rovněž není jasné, do jaké míry je nutno při určování, který z článků 13 a 14 GDPR se použije na určitý konkrétní druh shromažďování osobních údajů, zohledňovat rozdíly mezi těmito články, pokud jde o rozsah povinnosti poskytnout informace, jenž je v těchto ustanoveních stanoven. V tomto ohledu předkládající soud upřesňuje, že se účastníci původního řízení neshodují na závěru, který je třeba z těchto rozdílů vyvodit.

17

Konečně si předkládající soud klade otázku ohledně významu, který je třeba přikládat Pokynům k transparentnosti podle nařízení (EU) 2016/679, které byly přijaty dne 29. listopadu 2017, v revidovaném znění ze dne 11. dubna 2018, pracovní skupinou zřízenou článkem 29 směrnice Evropského parlamentu a Rady 95/46/ES ze dne 24. října 1995 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů (Úř. věst. 1995, L 281, s. 31; Zvl. vyd. 13/15, s. 355), v jejichž bodě 26 je uvedeno, že na sledování pomocí kamerového systému se použije článek 13 GDPR.

18

Za těchto okolností se Högsta förvaltningsdomstolen (Nejvyšší správní soud) rozhodl přerušit řízení a položit Soudnímu dvoru následující předběžnou otázku:

„Použije se v případě, kdy jsou osobní údaje získány prostřednictvím osobní kamery, článek 13, nebo článek 14 GDPR?“

19

Po přednesení stanoviska generální advokátky dne 1. srpna 2025 požádala společnost SL podáním došlým soudní kanceláři Soudního dvora dne 23. září 2025 o znovuotevření ústní části řízení podle článku 83 jednacího řádu Soudního dvora.

20

Na podporu tohoto návrhu společnost SL tvrdí, že Soudní dvůr nemá dostatek informací o skutkových otázkách věci v původním řízení a o významu, který má rozhodnutí, jež má být vydáno v uvedené věci, pro správce, kteří využívají prostředky sledování pomocí kamerového systému. Společnost SL má zejména za to, že ve stanovisku předneseném generální advokátkou nebyly správně vymezeny příslušné oblasti působnosti článků 13 a 14 GDPR.

21

V tomto ohledu je třeba připomenout, že podle čl. 252 druhého pododstavce SFEU generální advokát předkládá veřejně, zcela nestranně a nezávisle odůvodněná stanoviska ve věcech, které podle statutu Soudního dvora Evropské unie vyžadují jeho účast. Soudní dvůr není tímto stanoviskem ani důvody, na základě kterých k němu generální advokát dospěl, vázán (rozsudek ze dne 4. září 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, bod 30 a citovaná judikatura).

22

V této souvislosti je třeba rovněž uvést, že statut Soudního dvora Evropské unie ani jednací řád nedávají účastníkům řízení nebo zúčastněným uvedeným v článku 23 tohoto statutu možnost podat vyjádření v reakci na stanovisko přednesené generálním advokátem. Nesouhlas účastníka řízení nebo zúčastněného se stanoviskem generálního advokáta tedy nemůže sám o sobě představovat důvod ke znovuotevření ústní části řízení, a to bez ohledu na otázky, kterými se generální advokát ve stanovisku zabýval (rozsudek ze dne 4. září 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, bod 31 a citovaná judikatura).

23

Z toho plyne, že tomuto návrhu nelze vyhovět vzhledem k tomu, že žádost společnosti SL o znovuotevření ústní části řízení jí má umožnit odpovědět na postoj, který generální advokátka zaujala ve svém stanovisku.

24

Je pravda, že podle článku 83 jednacího řádu může Soudní dvůr kdykoli po vyslechnutí generálního advokáta nařídit znovuotevření ústní části řízení, zejména má-li za to, že věc není dostatečně objasněna, nebo předložil-li některý z účastníků řízení po ukončení této části řízení novou skutečnost, která může mít rozhodující vliv na rozhodnutí Soudního dvora, anebo má-li být věc rozhodnuta na základě argumentu, který nebyl mezi účastníky řízení nebo zúčastněnými uvedenými v článku 23 statutu Soudního dvora Evropské unie projednán.

25

V projednávané věci má Soudní dvůr po vyslechnutí generální advokátky za to, že disponuje všemi poznatky nezbytnými pro zodpovězení otázek položených předkládajícím soudem a projednávaná věc nevyžaduje, aby byla rozhodnuta na základě argumentu, který nebyl mezi zúčastněnými projednán. Návrh na znovuotevření ústní části řízení kromě toho nepoukazuje na žádnou novou skutečnost, jež by mohla mít rozhodující vliv na rozhodnutí, které má Soudní dvůr v této věci vydat.

26

Za těchto podmínek není důvodné nařídit znovuotevření ústní části řízení.

27

Podstatou otázky předkládajícího soudu je, zda články 13 a 14 GDPR musí být vykládány v tom smyslu, že v situaci, kdy jsou osobní údaje získávány prostřednictvím osobních kamer, jimiž jsou vybaveni revizoři veřejné dopravy, se na informování subjektů údajů vztahuje článek 13, nebo článek 14 GDPR.

28

Za účelem odpovědi na tuto otázku je třeba v souladu s ustálenou judikaturou vzít v úvahu nejen znění těchto ustanovení, ale i jejich kontext a cíle sledované právní úpravou, jejíž jsou součástí (rozsudek ze dne 28. listopadu 2024, Másdi, C‑169/23, EU:C:2024:988, bod 39).

29

Pokud jde v první řadě o znění článků 13 a 14 nařízení GDPR, je třeba uvést, že věcná působnost článku 14 GDPR je vymezena negativně ve vztahu k článku 13 tohoto nařízení. Jak vyplývá ze samotného nadpisu těchto ustanovení, uvedený článek 13 se týká informací poskytovaných v případě, že osobní údaje jsou získány od subjektu údajů, zatímco tento článek 14 se týká informací, které musí být poskytnuty, pokud osobní údaje nebyly získány od subjektu údajů (rozsudek ze dne 28. listopadu 2024, Másdi, C‑169/23, EU:C:2024:988, bod 48).

30

Pro účely rozlišení příslušných oblastí působnosti těchto ustanovení není rozhodující okolnost, že v některých jazykových verzích článku 14 GDPR, zejména ve švédském jazyce, není výraz „získány“ („samlas in“), jenž je uveden v článku 13 téhož nařízení, převzat do článku 14.

31

Z ustálené judikatury přitom vyplývá, že ustanovení unijního práva musí být vykládána a používána jednotně na základě znění vypracovaných ve všech unijních jazycích a v případě rozdílů mezi různými jazykovými zněními musí být dotčené ustanovení vykládáno podle celkové systematiky a účelu právní úpravy, jejíž je součástí [rozsudek ze dne 13. února 2025, Verbraucherzentrale Berlin (Pojem počáteční smluvní období),C‑612/23, EU:C:2025:82, bod 31 a citovaná judikatura].

32

V tomto ohledu Soudní dvůr již upřesnil, pokud jde o použití výrazu „získávání“ („erhållande“) v čl. 14 odst. 5 písm. c) GDPR, který je ve švédském znění rovněž použit v nadpisu tohoto článku 14, jakož i v jeho odstavci 1 („erhållits“), že se tento výraz skutečně vztahuje na údaje „shromážděné“ od jiné osoby než od subjektu údajů, jakož i na údaje, které vytvořil z takových údajů sám správce v rámci plnění svého úkolu (v tomto smyslu viz rozsudek ze dne 28. listopadu 2024, Másdi, C‑169/23, EU:C:2024:988, bod 47).

33

Jak uvedla generální advokátka v bodě 28 svého stanoviska, pojem „získání“ údajů od subjektu údajů ve smyslu čl. 13 odst. 1 GDPR nevyžaduje zvláštní úkon ze strany subjektu údajů, ale pouze ze strany správce, takže míra aktivity subjektu údajů je pro vymezení působnosti tohoto ustanovení ve vztahu k působnosti článku 14 tohoto nařízení irelevantní.

34

Tato úvaha je rovněž zdůrazněna v pokynech k transparentnosti zmíněných v bodě 17 tohoto rozsudku, z nichž vyplývá, že článek 13 GDPR se použije buď v případě, že subjekt údajů vědomě poskytne osobní údaje správci, nebo pokud tento správce shromažďuje údaje od tohoto subjektu v důsledku jeho sledování, zejména s pomocí kamerového systému.

35

S ohledem na znění čl. 14 odst. 2 písm. f) GDPR ve spojení s bodem 61 odůvodnění tohoto nařízení je třeba mít za to, že relevantním kritériem pro účely vymezení příslušných oblastí působnosti článků 13 a 14 GDPR je pouze zdroj získaných osobních údajů. Podle uvedeného ustanovení totiž platí, že jestliže údaje nebyly získány od subjektu údajů, musí správce poskytnout subjektu údajů informace o zdroji, ze kterého osobní údaje pocházejí.

36

Z toho vyplývá, že doslovný výklad článků 13 a 14 GDPR ve spojení s bodem 61 odůvodnění tohoto nařízení svědčí ve prospěch použití tohoto článku 13 na získávání osobních údajů prostřednictvím osobních kamer, jelikož v tomto případě nejsou tyto údaje získávány z jiného zdroje, než je subjekt údajů, nýbrž právě přímo od něj.

37

Ve druhé řadě je takový výklad podpořen kontextem, do něhož jsou tato ustanovení zasazena.

38

V tomto ohledu z článku 5 GDPR vyplývá, že zpracování osobních údajů musí splňovat zejména konkrétní požadavky v oblasti transparentnosti ve vztahu k subjektu údajů, jehož se takové zpracování týká [rozsudek ze dne 11. července 2024, Meta Platforms Ireland (Zástupná žaloba),C‑757/22, EU:C:2024:598, bod 53].

39

Jak Komise v podstatě uvedla ve svém písemném vyjádření, článek 13 GDPR tím, že vyžaduje, aby byly subjektu údajů poskytnuty informace, na které se uvedený článek vztahuje, v okamžiku, v němž jsou tyto informace získány, zakotvuje konkrétní vyjádření práva tohoto subjektu údajů být informován. Naproti tomu článek 14 tohoto nařízení byl přijat s cílem řešit situace, kdy správce není v přímém kontaktu se subjektem údajů, ale shromažďuje osobní údaje z jiného zdroje, takže poskytnutí informací, na které se vztahuje toto ustanovení, v okamžiku, kdy jsou získány, je v praxi ztíženo, či dokonce nemožné. Nepřímá povaha takového získávání tedy odůvodňuje, aby posledně uvedené ustanovení stanovilo možnost odkladu splnění informační povinnosti, která přísluší tomuto správci.

40

Ve třetí řadě je třeba vykládat články 13 a 14 GDPR ve světle cíle sledovaného tímto nařízení, kterým je zejména zajistit vysokou úroveň ochrany základních práv a svobod fyzických osob, především jejich práva na ochranu osobních údajů, které je zakotveno v článku 16 SFEU a zaručeno jakožto základní právo v článku 8 Listiny základních práv Evropské unie, který doplňuje právo na soukromí zaručené v jejím článku 7 (rozsudek ze dne 27. února 2025, Dun & Bradstreet Austria a další, C‑203/22, EU:C:2025:117, bod 51 a citovaná judikatura).

41

Kdyby se přitom připustilo, že se článek 14 GDPR použije v případě získávání osobních údajů prostřednictvím osobní kamery, subjekt údajů by ve fázi tohoto získávání neobdržel žádnou informaci, přestože se nachází v postavení zdroje těchto údajů, což by správci umožnilo, aby uvedenému subjektu údajů informace neposkytl okamžitě. Takový výklad by tudíž mohl vést k tomu, že by shromažďování osobních údajů probíhalo, aniž by si toho subjekt údajů všiml, a že by byly používány praktiky skrytého sledování. Takový důsledek by byl neslučitelný s cílem uvedeným v předchozím bodě, kterým je zajištění vysoké úrovně ochrany základních práv a svobod fyzických osob.

42

Je však třeba uvést, že tento cíl nebrání tomu, aby, jak předpokládají pokyny Evropského sboru pro ochranu osobních údajů (EDPB) č. 3/2019 ze dne 29. ledna 2020, byly informační povinnosti podle článku 13 GDPR plněny v rámci víceúrovňového přístupu. Podle těchto pokynů mohou být nejdůležitější informace pro subjekt údajů v rámci první úrovně uvedeny na výstražné značce a ostatní povinné informace subjektu údajů poskytnuty v rámci druhé úrovně vhodným a úplným způsobem na snadno přístupném místě.

43

Konečně je třeba v reakci na pochybnosti, které vyjádřil Kammarrätten i Stockholm (Správní odvolací soud ve Stockholmu, Švédsko) ohledně dosahu bodu 34 rozsudku ze dne 11. prosince 2014, Ryneš (C‑212/13, EU:C:2014:2428), zmíněného v bodě 13 tohoto rozsudku, dále upřesnit, že se Soudní dvůr v uvedeném bodě 34 zmíněného rozsudku nevyjádřil k působnosti článku 11 směrnice 95/46, kterému odpovídá článek 14 GDPR, ve vztahu k článku 10 této směrnice, kterému odpovídá článek 13 tohoto nařízení, ale pouze pro úplnost uvedl, že z důvodu různých omezení a výjimek, které uvedená směrnice stanovila, lze při jejím uplatňování zohlednit oprávněné zájmy správce.

44

Z bodu 34 uvedeného rozsudku tudíž nelze dovozovat, že se Soudní dvůr již vyjádřil k odlišení oblasti působnosti článku 13 GDPR od oblasti působnosti článku 14 tohoto nařízení.

45

S ohledem na výše uvedené úvahy je třeba na položenou otázku odpovědět tak, že články 13 a 14 GDPR musí být vykládány v tom smyslu, že v situaci, kdy jsou osobní údaje získány prostřednictvím osobních kamer, kterými jsou vybaveni revizoři ve veřejné dopravě, se na informování subjektů údajů použije článek 13 GDPR, a nikoli jeho článek 14.

46

Vzhledem k tomu, že řízení má, pokud jde o účastníky původního řízení, povahu incidenčního řízení ve vztahu ke sporu probíhajícímu před předkládajícím soudem, je k rozhodnutí o nákladech řízení příslušný uvedený soud. Výdaje vzniklé předložením jiných vyjádření Soudnímu dvoru než vyjádření uvedených účastníků řízení se nenahrazují.

Z těchto důvodů Soudní dvůr (první senát) rozhodl takto:

Články 13 a 14 nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES

musí být vykládány v tom smyslu, že

v situaci, kdy jsou osobní údaje získány prostřednictvím osobních kamer, kterými jsou vybaveni revizoři ve veřejné dopravě, se na informování subjektů údajů použije článek 13 tohoto nařízení, a nikoli jeho článek 14.