DOMSTOLENS DOM (Første Afdeling)

18. december 2025 ( *1 )

»Præjudiciel forelæggelse – beskyttelse af personoplysninger – forordning (EU) 2016/679 – artikel 13 og 14 – anvendelsesområde – personoplysninger indsamlet ved hjælp af et kropsbåret kamera, der bæres af billetkontrollører i offentlig transport – retsgrundlag for den dataansvarliges oplysningspligt over for den registrerede«

I sag C-422/24,

angående en anmodning om præjudiciel afgørelse i henhold til artikel 267 TEUF, indgivet af Högsta förvaltningsdomstolen (øverste domstol i forvaltningsretlige sager, Sverige) ved afgørelse af 13. juni 2024, indgået til Domstolen den 17. juni 2024, i sagen

Integritetsskyddsmyndigheten

mod

AB Storstockholms Lokaltrafik,

har

DOMSTOLEN (Første Afdeling),

sammensat af afdelingsformanden, F. Biltgen, Domstolens vicepræsident, T. von Danwitz (refererende dommer), og dommerne I. Ziemele, A. Kumin og S. Gervasoni,

generaladvokat: L. Medina

justitssekretær: A. Calot Escobar,

på grundlag af den skriftlige forhandling,

efter at der er afgivet indlæg af:

–	Integritetsskyddsmyndigheten ved C. Agnehall, A. Persson og D. Törngren, som befuldmægtigede,

–	AB Storstockholms Lokaltrafik ved advokat J. Forzelius og biträdande jurist G. Tranvik,

–	den danske regering ved D. Elkan, C.A.-S. Maertens, J. Sandvik Loft og M. Jespersen, som befuldmægtigede,

–	den østrigske regering ved A. Posch, J. Schmoll og C. Gabauer, som befuldmægtigede,

–	Europa-Kommissionen ved A. Bouchagiar, C. Faroghi og H. Kranenborg, som befuldmægtigede,

og efter at generaladvokaten har fremsat forslag til afgørelse i retsmødet den 1. august 2025,

afsagt følgende

Dom

Anmodningen om præjudiciel afgørelse vedrører fortolkningen af artikel 13 og 14 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse) (EUT 2016, L 119, s. 1, herefter »databeskyttelsesforordningen«).

Anmodningen er blevet indgivet i forbindelse med en tvist mellem Integritetsskyddsmyndigheten (den svenske databeskyttelsesmyndighed, herefter »databeskyttelsesmyndigheden«) og AB Storstockholms Lokaltrafik (herefter »SL«), et svensk aktieselskab, der driver offentlig transport, vedrørende en administrativ bøde, som er blevet pålagt selskabet for overtrædelse af databeskyttelsesforordningens artikel 13 i forbindelse med indsamling af personoplysninger ved hjælp af et kropsbåret kamera, der bæres af billetkontrollører, som arbejder for selskabet.

Retsforskrifter

I 60. og 61. betragtning til databeskyttelsesforordningen hedder det:

»(60)

Principperne om rimelig og gennemsigtig behandling kræver, at den registrerede informeres om behandlingsaktiviteters eksistens og deres formål. Den dataansvarlige bør give den registrerede eventuelle yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling, under hensyntagen til de specifikke omstændigheder og forhold, som personoplysningerne behandles under. Den registrerede bør desuden informeres om tilstedeværelse af profilering og konsekvenserne heraf. Hvis personoplysninger indsamles fra den registrerede, bør den registrerede også informeres om, hvorvidt den pågældende er forpligtet til at meddele personoplysningerne, og om konsekvenserne, hvis vedkommende ikke meddeler sådanne oplysninger. Denne information kan gives sammen med standardiserede ikoner med henblik på at give et meningsfuldt overblik over den planlagte behandling på en klart synlig, letlæselig og letforståelig måde. Hvis ikonerne præsenteres elektronisk, bør de være maskinlæsbare.

(61)

Oplysninger om behandling af personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen fra den registrerede, eller hvis personoplysningerne indhentes fra en anden kilde, inden for en rimelig periode afhængigt af de konkrete omstændigheder. Hvis personoplysninger lovligt kan videregives til en anden modtager, bør den registrerede informeres, når personoplysningerne første gang videregives til modtageren. Hvis den dataansvarlige agter at behandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, bør den dataansvarlige forud for denne viderebehandling give den registrerede oplysninger om dette andet formål og andre nødvendige oplysninger. Hvis den registrerede ikke kan informeres om personoplysningernes oprindelse, fordi der er anvendt forskellige kilder, bør der gives generelle oplysninger.«

Databeskyttelsesforordningens artikel 5 med overskriften »Principper for behandling af personoplysninger« fastsætter:

»1. Personoplysninger skal:

a)	behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede (»lovlighed, rimelighed og gennemsigtighed«)

[...]

c)	være tilstrækkelige, relevante og begrænset til, hvad der er nødvendigt i forhold til de formål, hvortil de behandles (»dataminimering«)

[...]«

Databeskyttelsesforordningens artikel 12 med overskriften »Gennemsigtig oplysning, meddelelser og nærmere regler for udøvelsen af den registreredes rettigheder« har følgende ordlyd:

»1. Den dataansvarlige træffer passende foranstaltninger til at give enhver oplysning som omhandlet i artikel 13 og 14 og enhver meddelelse i henhold til artikel 15-22 og 34 om behandling til den registrerede i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog, [...]. Oplysningerne gives skriftligt eller med andre midler, herunder, hvis det er hensigtsmæssigt, elektronisk. [...]

[...]

5. [...] Hvis anmodninger fra en registreret er åbenbart grundløse eller overdrevne, især fordi de gentages, kan den dataansvarlige [...]

[...]

b)	afvise at efterkomme anmodningen.

Bevisbyrden for, at anmodningen er åbenbart grundløs eller overdreven, påhviler den dataansvarlige.

[...]«

Databeskyttelsesforordningens artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« bestemmer:

»1. Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

a)	identitet på og kontaktoplysninger for den dataansvarlige og dennes eventuelle repræsentant

b)	kontaktoplysninger for en eventuel databeskyttelsesrådgiver

c)	formålene med den behandling, som personoplysningerne skal bruges til, og retsgrundlaget for behandlingen

d)	de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f)

e)	eventuelle modtagere eller kategorier af modtagere af personoplysningerne

hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til et tredjeland eller en international organisation, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 46 eller 47 eller artikel 49, stk. 1, andet afsnit, henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige.

2. Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:

a)	det tidsrum, hvor personoplysningerne vil blive opbevaret, eller, hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum

b)	retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede eller til at gøre indsigelse mod behandling samt retten til dataportabilitet

c)	når behandling er baseret på artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf

d)	retten til at indgive en klage til en tilsynsmyndighed

e)	om meddelelse af personoplysninger er lovpligtigt eller et krav i henhold til en kontrakt eller et krav, der skal være opfyldt for at indgå en kontrakt, samt om den registrerede har pligt til at give personoplysningerne og de eventuelle konsekvenser af ikke at give sådanne oplysninger

f)	forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.

3. Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål og andre relevante yderligere oplysninger, jf. stk. 2.

4. Stk. 1, 2 og 3 finder ikke anvendelse, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.«

Databeskyttelsesforordningens artikel 14 med overskriften »Oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede« lyder således:

»1. Hvis personoplysningerne ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede følgende oplysninger:

a)	identitet på og kontaktoplysninger for den dataansvarlige og dennes eventuelle repræsentant

b)	kontaktoplysninger for en eventuel databeskyttelsesrådgiver

c)	formålene med den behandling, som personoplysningerne skal bruges til, samt retsgrundlaget for behandlingen

d)	de berørte kategorier af personoplysninger

e)	eventuelle modtagere eller kategorier af modtagere af personoplysningerne

hvor det er relevant, at den dataansvarlige agter at overføre personoplysninger til en modtager i et tredjeland eller en international organisation, og om hvorvidt Kommissionen har truffet afgørelse om tilstrækkeligheden af beskyttelsesniveauet, eller i tilfælde af overførsler i henhold til artikel 46 eller 47 eller artikel 49, stk. 1, andet afsnit, litra h), henvisning til de fornødne eller passende garantier, og hvordan der kan fås en kopi heraf, eller hvor de er blevet gjort tilgængelige.

2. Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige den registrerede følgende oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede:

a)	det tidsrum, hvor personoplysningerne vil blive opbevaret, eller hvis dette ikke er muligt, de kriterier, der anvendes til at fastlægge dette tidsrum

b)	de legitime interesser, som forfølges af den dataansvarlige eller en tredjemand, hvis behandlingen er baseret på artikel 6, stk. 1, litra f)

c)	retten til at anmode den dataansvarlige om indsigt i og berigtigelse eller sletning af personoplysninger eller begrænsning af behandling vedrørende den registrerede og til at gøre indsigelse mod behandling samt retten til dataportabilitet

d)	når behandling er baseret på artikel 6, stk. 1, litra a), eller artikel 9, stk. 2, litra a), retten til at trække samtykke tilbage på ethvert tidspunkt, uden at dette berører lovligheden af behandling, der er baseret på samtykke, inden tilbagetrækning heraf

e)	retten til at indgive en klage til en tilsynsmyndighed

f)	hvilken kilde personoplysningerne hidrører fra, og eventuelt hvorvidt de stammer fra offentligt tilgængelige kilder

g)	forekomsten af automatiske afgørelser, herunder profilering, som omhandlet i artikel 22, stk. 1 og 4, og i disse tilfælde som minimum meningsfulde oplysninger om logikken heri samt betydningen og de forventede konsekvenser af en sådan behandling for den registrerede.

3. Den dataansvarlige giver de oplysninger, der er omhandlet i stk. 1 og 2:

a)	inden for en rimelig frist efter indsamlingen af personoplysningerne, men senest inden for en måned under hensyn til de specifikke forhold, som personoplysningerne er behandlet under

b)	hvis personoplysningerne skal bruges til at kommunikere med den registrerede, senest på tidspunktet for den første kommunikation med den registrerede, eller

c)	hvis personoplysningerne er bestemt til videregivelse til en anden modtager, senest når personoplysningerne videregives første gang.

4. Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål samt andre relevante yderligere oplysninger, jf. stk. 2.

5. Stk. 1-4 finder ikke anvendelse, hvis og i det omfang:

a)	den registrerede allerede er bekendt med oplysningerne

meddelelse af sådanne oplysninger viser sig umulig eller vil kræve en uforholdsmæssigt stor indsats, navnlig i forbindelse med behandling til arkivformål i samfundets interesse, til videnskabelige eller historiske forskningsformål eller til statistiske formål underlagt de betingelser og garantier, der er omhandlet i artikel 89, stk. 1, eller i det omfang den forpligtelse, der er omhandlet i nærværende artikels stk. 1, sandsynligvis vil gøre det umuligt eller i alvorlig grad vil hindre opfyldelse af formålene med denne behandling. I sådanne tilfælde træffer den dataansvarlige passende foranstaltninger for at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige

c)	indsamling eller videregivelse udtrykkelig er fastsat i EU-ret eller medlemsstaternes nationale ret, som den dataansvarlige er underlagt, og som fastsætter passende foranstaltninger til beskyttelse af den registreredes legitime interesser, eller

d)	personoplysningerne skal forblive fortrolige som følge af tavshedspligt i henhold til EU-retten eller medlemsstaternes nationale ret, herunder lovbestemt tavshedspligt.«

Tvisten i hovedsagen og det præjudicielle spørgsmål

SL driver offentlige transporttjenester i Stockholm (Sverige). Selskabet har udstyret sine billetkontrollører med kropsbårne kameraer, der anvendes til at filme rejsende, der ikke er i besiddelse af en gyldig billet, når der udføres billetkontrol, og som får udstedt en kontrolafgift. Formålet med anvendelsen af kameraerne er at forebygge og dokumentere trusler og vold mod kontrollørerne og at kontrollere identiteten på rejsende, der skal betale en kontrolafgift.

Databeskyttelsesmyndigheden har inden for rammerne for sin tilsynsvirksomhed undersøgt, om SL’s behandling af personoplysninger, der blev indsamlet ved brug af de kropsbårne kameraer, var i overensstemmelse med databeskyttelsesforordningens regler. I juni 2021 traf databeskyttelsesmyndigheden en afgørelse, hvoraf det fremgår, at billetkontrollørerne bærer kameraerne hele arbejdsdagen, og at kameraerne optager kontinuerligt med billeder og lyd.

Kameraerne har en såkaldt cirkulær hukommelse, hvilket indebærer, at der efter en vis periode sker en automatisk tømning af al videomateriale. Efter tømningen er det optagne materiale slettet. Indledningsvis blev det optagne materiale gemt i to minutter, men i forbindelse med databeskyttelsesmyndighedens tilsyn blev tiden sat ned til et minut. Billetkontrollørerne kan afbryde den automatiske tømning ved at trykke på en knap og derved sikre, at det, som optages, ikke bliver slettet. Når dette sker, bevares selv den information, som blev gemt på kameraet via teknikken med forudgående optagelse, dvs. det, der blev optaget, i minuttet inden kontrolløren trykkede på knappen. Billetkontrollørerne er blevet instrueret til at afbryde den automatiske tømning i alle situationer, hvor der udstedes en kontrolafgift, og i øvrigt når der opstår trusler.

Ud over disse konklusioner vedrørende anvendelsen og funktionen af de kropsbårne kameraer konstaterede databeskyttelsesmyndigheden i sin afgørelse, at SL fra december 2018 og frem til datoen for den pågældende afgørelse i juni 2021 ved at anvende kropsbårne kameraer i forbindelse med billetkontrol havde behandlet personoplysninger i strid med flere bestemmelser i databeskyttelsesforordningen. SL havde ifølge databeskyttelsesmyndigheden bl.a. i strid med databeskyttelsesforordningens artikel 13 undladt at give tilstrækkelige oplysninger til de registrerede. Som følge heraf blev SL pålagt at betale en administrativ bøde på i alt 16 mio. svenske kroner (SEK) (ca. 1420670 EUR), hvoraf 4 mio. SEK (ca. 355188 EUR) vedrørte de manglende oplysninger til de registrerede.

12	Förvaltningsrätten i Stockholm (forvaltningsdomstolen i Stockholm, Sverige), som SL anlagde sag ved til prøvelse af databeskyttelsesmyndighedens afgørelse, forkastede søgsmålet, for så vidt som det vedrørte den sanktion, der blev pålagt selskabet for de manglende oplysninger til de registrerede.

SL iværksatte herefter appel til Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm, Sverige), som ophævede dommen i første instans og annullerede databeskyttelsesmyndighedens afgørelse for så vidt angår sanktionen. Appeldomstolen fastslog under henvisning til dom af 11. december 2014, Ryneš (C-212/13, EU:C:2014:2428), at databeskyttelsesforordningens artikel 13 ikke fandt anvendelse på den tvist, der var indbragt for den, og at databeskyttelsesmyndigheden derfor ikke havde hjemmel til at pålægge SL en administrativ bøde for overtrædelse af denne bestemmelse.

Databeskyttelsesmyndigheden har iværksat appel til prøvelse af dommen fra Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm) ved Högsta förvaltningsdomstolen (øverste domstol i forvaltningsretlige sager, Sverige), som er den forelæggende ret, med påstand om ophævelse af dommen for så vidt angår den sanktion, der blev pålagt selskabet for de manglende oplysninger til de registrerede.

Den forelæggende ret har indledningsvis præciseret, at spørgsmålet er, om det er databeskyttelsesforordningens artikel 13 eller 14, der finder anvendelse, når personoplysninger indhentes ved hjælp af et kropsbåret kamera. Besvarelsen af dette spørgsmål er efter rettens opfattelse nødvendig i to henseender. For det første skal det fastlægges, hvilke oplysninger der skal gives til den registrerede, på hvilket tidspunkt oplysningspligten over for den registrerede opstår, og hvilke undtagelser der findes fra denne pligt. For det andet skal det fastslås, om databeskyttelsesmyndigheden var berettiget til at pålægge SL en administrativ bøde med den begrundelse, at selskabet ikke havde overholdt oplysningspligten som fastsat i databeskyttelsesforordningens artikel 13.

Endvidere er det ifølge den forelæggende ret heller ikke klart, i hvilken udstrækning forskellene mellem databeskyttelsesforordningens artikel 13 og 14 med hensyn til den heri fastsatte oplysningspligts indhold skal tages i betragtning ved vurderingen af, hvilken artikel der finder anvendelse på en bestemt type indsamling af personoplysninger. Den forelæggende ret har i denne forbindelse præciseret, at parterne er uenige om, hvilken konklusion der skal drages af disse forskelle.

Endelig er den forelæggende ret i tvivl om, hvilken betydning der skal tillægges de retningslinjer for gennemsigtighed i henhold til forordning (EU) 2016/679, som blev vedtaget den 29. november 2017 og revideret den 11. april 2018 af den arbejdsgruppe, der er nedsat ved artikel 29 i Europa-Parlamentets og Rådets direktiv 95/46/EF af 24. oktober 1995 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (EUT 1995, L 281, s. 31), og som i punkt 26 fastsætter, at databeskyttelsesforordningens artikel 13 finder anvendelse på videoovervågning.

På denne baggrund har Högsta förvaltningsdomstolen (øverste domstol i forvaltningsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Er det artikel 13 eller artikel 14 i [databeskyttelsesforordningen], der finder anvendelse, når personoplysninger indhentes ved hjælp af et kropsbåret kamera?«

Om anmodningen om genåbning af retsforhandlingernes mundtlige del

19	Efter fremsættelsen af generaladvokatens forslag til afgørelse den 1. august 2025 har SL ved dokument indleveret til Domstolens Justitskontor den 23. september 2025 anmodet om genåbning af retsforhandlingernes mundtlige del i henhold til artikel 83 i Domstolens procesreglement.

SL har til støtte for anmodningen gjort gældende, at sagen ikke er tilstrækkeligt oplyst med hensyn til de faktiske omstændigheder i hovedsagen og spørgsmålet om, hvilken betydning en afgørelse i denne sag vil have for de dataansvarlige, der benytter sig af videoovervågning. Selskabet mener navnlig, at de respektive anvendelsesområder for databeskyttelsesforordningens artikel 13 og 14 ikke er blevet afgrænset korrekt i generaladvokatens forslag til afgørelse.

Det bemærkes i denne henseende, at generaladvokaten i medfør af artikel 252, stk. 2, TEUF fuldstændig upartisk og uafhængigt offentligt skal fremsætte begrundede forslag til afgørelse af de sager, som i henhold til statutten for Den Europæiske Unions Domstol kræver generaladvokatens medvirken. Domstolen er hverken bundet af forslaget til afgørelse eller af den begrundelse, som generaladvokaten er fremkommet med (dom af 4.9.2025, Nissan Iberia, C-21/24, EU:C:2025:659, præmis 30 og den deri nævnte retspraksis).

I denne forbindelse bemærkes ligeledes, at der i statutten for Den Europæiske Unions Domstol og i procesreglementet ikke er fastsat bestemmelser om, at parterne eller de berørte, der er omfattet af statuttens artikel 23, kan indgive indlæg til generaladvokatens forslag til afgørelse. En parts eller en sådan berørts uenighed med generaladvokatens forslag til afgørelse, uanset hvilke spørgsmål der undersøges heri, kan derfor ikke i sig selv udgøre et forhold, som kan begrunde genåbning af den mundtlige forhandling (dom af 4.9.2025, Nissan Iberia, C-21/24, EU:C:2025:659, præmis 31 og den deri nævnte retspraksis).

Det følger heraf, at den af SL indgivne anmodning om genåbning af retsforhandlingernes mundtlige del, i det omfang den har til formål at give selskabet lejlighed til at afgive bemærkninger til det synspunkt, som generaladvokaten har givet udtryk for i sit forslag til afgørelse, ikke kan imødekommes.

Domstolen kan dog ifølge procesreglementets artikel 83 til enhver tid, efter at have hørt generaladvokaten, ved kendelse bestemme, at retsforhandlingernes mundtlige del skal genåbnes, navnlig hvis den finder, at sagen er utilstrækkeligt oplyst, eller såfremt en part, efter at denne del af retsforhandlingerne er afsluttet, er fremkommet med nye oplysninger vedrørende sagens faktiske omstændigheder, som er af afgørende betydning for Domstolens afgørelse, eller såfremt sagen bør afgøres på grundlag af et argument, som ikke har været drøftet af parterne eller de berørte, som er omfattet af artikel 23 i statutten for Den Europæiske Unions Domstol.

I det foreliggende tilfælde er Domstolen imidlertid efter at have hørt generaladvokaten af den opfattelse, at den råder over alle de oplysninger, der er nødvendige for at besvare den forelæggende rets spørgsmål, og at det ikke er nødvendigt at træffe afgørelse i den foreliggende sag på grundlag af et argument, som ikke har været drøftet af de berørte. Desuden fremgår det ikke af anmodningen om genåbning af retsforhandlingernes mundtlige del, at der foreligger nye oplysninger vedrørende sagens faktiske omstændigheder, som kan være af afgørende betydning for den afgørelse, som Domstolen skal træffe i denne sag.

26	Under disse omstændigheder er det ufornødent at genåbne retsforhandlingernes mundtlige del.

Om det præjudicielle spørgsmål

Med sit spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om databeskyttelsesforordningens artikel 13 og 14 skal fortolkes således, at oplysningerne til de registrerede i en situation, hvor personoplysninger indsamles ved hjælp af kropsbårne kameraer, der bæres af billetkontrollører i offentlig transport, er reguleret ved databeskyttelsesforordningens artikel 13 eller ved dens artikel 14.

Ved besvarelsen af dette spørgsmål skal der i henhold til Domstolens faste praksis ikke blot tages hensyn til ordlyden af disse bestemmelser, men også til den sammenhæng, hvori disse bestemmelser indgår, og til de mål, der forfølges med den ordning, som de er en del af (dom af 28.11.2024, Másdi, C-169/23, EU:C:2024:988, præmis 39).

Hvad for det første angår ordlyden af databeskyttelsesforordningens artikel 13 og 14 skal det bemærkes, at det materielle anvendelsesområde for databeskyttelsesforordningens artikel 14 er defineret negativt i forhold til det materielle anvendelsesområde for forordningens artikel 13. Som det fremgår af selve overskrifterne til disse bestemmelser, vedrører artikel 13 de oplysninger, der skal gives ved indsamling af personoplysninger hos den registrerede, mens artikel 14 vedrører de oplysninger, der skal gives, hvis personoplysningerne ikke er indsamlet hos den registrerede (dom af 28.11.2024, Másdi, C-169/23, EU:C:2024:988, præmis 48).

30	Det er med henblik på sondringen mellem de nævnte bestemmelsers respektive anvendelsesområder ikke afgørende, at udtrykket »indsamling« (»samlas in«) i databeskyttelsesforordningens artikel 13 ikke er benyttet igen i visse sprogversioner af forordningens artikel 14, bl.a. den svenske.

Det fremgår nemlig af fast retspraksis, at EU-bestemmelserne skal fortolkes og anvendes ensartet i lyset af de versioner, der er udfærdiget på alle EU-sprog, og i tilfælde af uoverensstemmelse mellem disse versioner skal den pågældende bestemmelse fortolkes på baggrund af den almindelige opbygning af og formålet med den ordning, som den er led i (dom af 13.2.2025, Verbraucherzentrale Berlin (Begrebet binding i den første periode),C-612/23, EU:C:2025:82, præmis 31 og den deri nævnte retspraksis).

Domstolen har i denne henseende for så vidt angår anvendelsen af udtrykket »indsamling« (»erhållande«) i databeskyttelsesforordningens artikel 14, stk. 5, litra c), som i den svenske sprogversion også anvendes i overskriften til samme artikel 14 og dens stk. 1 (»erhållits«), allerede præciseret, at dette udtryk faktisk omfatter oplysninger, der er »indsamlet« fra andre end den registrerede, og oplysninger, som den dataansvarlige selv har genereret ud fra sådanne oplysninger i forbindelse med udførelsen af sine opgaver (jf. i denne retning dom af 28.11.2024, Másdi, C-169/23, EU:C:2024:988, præmis 47).

Som generaladvokaten har anført i punkt 28 i forslaget til afgørelse, kræver begrebet oplysninger »indsamlet« hos den registrerede som omhandlet i databeskyttelsesforordningens artikel 13, stk. 1, i øvrigt ikke en specifik handling fra den registreredes side, men udelukkende fra den dataansvarliges side, hvorfor spørgsmålet om, i hvor høj grad den registrerede har deltaget aktivt, er uden betydning for afgrænsningen af anvendelsesområdet for denne bestemmelse i forhold til anvendelsesområdet for forordningens artikel 14.

Denne betragtning bliver også fremhævet i de i denne doms præmis 17 nævnte retningslinjer for gennemsigtighed, hvoraf det fremgår, at databeskyttelsesforordningens artikel 13 finder anvendelse, når den registrerede bevidst afgiver personoplysninger til den dataansvarlige, eller når den dataansvarlige indsamler oplysningerne fra den registrerede ved observation, f.eks. ved hjælp af kameraer.

Henset til ordlyden af databeskyttelsesforordningens artikel 14, stk. 2, litra f), sammenholdt med 61. betragtning til forordningen, må kilden til de indsamlede personoplysninger anses for at være det eneste relevante kriterium med henblik på afgrænsningen af de respektive anvendelsesområder for databeskyttelsesforordningens artikel 13 og 14. Det fremgår nemlig af artikel 14, stk. 2, litra f), at hvis oplysningerne ikke er indsamlet hos den registrerede, skal den dataansvarlige oplyse den registrerede om, hvilken kilde personoplysningerne hidrører fra.

Det følger heraf, at en ordlydsfortolkning af databeskyttelsesforordningens artikel 13 og 14, sammenholdt med 61. betragtning til forordningen, taler for, at det er artikel 13, der finder anvendelse på indsamling af personoplysninger ved hjælp af et kropsbåret kamera, eftersom oplysningerne i dette tilfælde ikke er indsamlet fra en anden kilde end den registrerede, men direkte fra denne.

37	For det andet understøttes en sådan fortolkning af den sammenhæng, hvori de pågældende bestemmelser indgår.

Det følger i denne henseende af databeskyttelsesforordningens artikel 5, at en behandling af personoplysninger bl.a. skal opfylde konkrete krav om gennemsigtighed i forhold til registrerede, der er berørt af en sådan behandling (dom af 11.7.2024, Meta Platforms Ireland (Gruppesøgsmål),C-757/22, EU:C:2024:598, præmis 53).

Som Kommissionen i det væsentlige har anført i sit skriftlige indlæg, giver databeskyttelsesforordningens artikel 13 specifikt udtryk for den registreredes ret til at blive informeret ved at foreskrive, at de i bestemmelsen omhandlede oplysninger skal gives til den registrerede på det tidspunkt, hvor de indsamles. Forordningens artikel 14 blev derimod vedtaget for at håndtere situationer, hvor den dataansvarlige ikke er i direkte kontakt med den registrerede, men indsamler personoplysningerne fra en anden kilde, hvilket i praksis gør det vanskeligt eller endog umuligt at give de i denne bestemmelse omhandlede oplysninger på det tidspunkt, hvor de indsamles. Den indirekte karakter af en sådan indsamling begrunder således, at artikel 14 giver mulighed for at udskyde opfyldelsen af den dataansvarliges oplysningspligt.

For det tredje skal databeskyttelsesforordningens artikel 13 og 14 fortolkes i lyset af formålet med forordningen, som bl.a. består i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til beskyttelse af personoplysninger, som er fastsat i artikel 16 TEUF og sikret som en grundlæggende rettighed i artikel 8 i Den Europæiske Unions charter om grundlæggende rettigheder, som supplerer retten til privatliv, der er sikret ved chartrets artikel 7 (dom af 27.2.2025, Dun & Bradstreet Austria m.fl., C-203/22, EU:C:2025:117, præmis 51 og den deri nævnte retspraksis).

Hvis det blev anerkendt, at databeskyttelsesforordningens artikel 14 finder anvendelse i tilfælde af indsamling af personoplysninger ved hjælp af et kropsbåret kamera, ville den registrerede ikke modtage nogen oplysninger på tidspunktet for indsamlingen, selv om vedkommende er kilden til personoplysningerne, hvilket ville gøre det muligt for den dataansvarlige ikke at give den registrerede oplysninger omgående. En sådan fortolkning ville derfor indebære en risiko for, at indsamlingen af personoplysninger går ubemærket hen for den registrerede, og for skjult overvågningspraksis. En sådan konsekvens ville være uforenelig med det i den foregående præmis nævnte formål om at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder.

Det skal imidlertid bemærkes, at dette formål ikke er til hinder for, at oplysningsforpligtelserne i henhold til databeskyttelsesforordningens artikel 13 gennemføres inden for rammerne af en lagdelt tilgang som imødeset i Det Europæiske Databeskyttelsesråds retningslinjer 3/2019 om brug af videoudstyr til behandling af personoplysninger, vedtaget den 29. januar 2020. Ifølge disse retningslinjer kan de vigtigste oplysninger til den registrerede i et første lag gives på et advarselsskilt, og de øvrige obligatoriske oplysninger kan gives til den registrerede i et andet lag på en hensigtsmæssig og fuldstændig måde på et lettilgængeligt sted.

Endelig skal det som svar på den tvivl, som Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm, Sverige) har givet udtryk for med hensyn til rækkevidden af præmis 34 i dom af 11. december 2014, Ryneš (C-212/13, EU:C:2014:2428), der er nævnt i nærværende doms præmis 13, præciseres, at Domstolen i den nævnte præmis 34 ikke tog stilling til anvendelsesområdet for artikel 11 i direktiv 95/46, som databeskyttelsesforordningens artikel 14 svarer til, i forhold til direktivets artikel 10, som forordningens artikel 13 svarer til, men blot illustrerede, at det ved anvendelsen af det nævnte direktiv på grund af de forskellige begrænsninger og undtagelser, som det fastsætter, er muligt at tage hensyn til den registeransvarliges legitime interesser.

44	Det kan derfor ikke udledes af den nævnte doms præmis 34, at Domstolen allerede har udtalt sig om sondringen mellem anvendelsesområdet for databeskyttelsesforordningens artikel 13 på den ene side og anvendelsesområdet for forordningens artikel 14 på den anden side.

Henset til ovenstående betragtninger skal det forelagte spørgsmål besvares med, at databeskyttelsesforordningens artikel 13 og 14 skal fortolkes således, at oplysningerne til de registrerede i en situation, hvor personoplysninger indsamles ved hjælp af kropsbårne kameraer, der bæres af billetkontrollører i offentlig transport, er reguleret ved databeskyttelsesforordningens artikel 13 og ikke ved dens artikel 14.

Sagsomkostninger

Da sagens behandling i forhold til hovedsagens parter udgør et led i den sag, der verserer for den forelæggende ret, tilkommer det denne at træffe afgørelse om sagsomkostningerne. Bortset fra nævnte parters udgifter kan de udgifter, som er afholdt i forbindelse med afgivelse af indlæg for Domstolen, ikke erstattes.

På grundlag af disse præmisser kender Domstolen (Første Afdeling) for ret:

Artikel 13 og 14 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF

skal fortolkes således, at

oplysningerne til de registrerede i en situation, hvor personoplysninger indsamles ved hjælp af kropsbårne kameraer, der bæres af billetkontrollører i offentlig transport, er reguleret ved forordningens artikel 13 og ikke ved dens artikel 14.

Underskrifter

( *1 ) – Processprog: svensk.