–

en nombre de la Integritetsskyddsmyndigheten, por la Sra. C. Agnehall y los Sres. A. Persson y D. Törngren, en calidad de agentes;

–

en nombre de AB Storstockholms Lokaltrafik, por el Sr. J. Forzelius, advokat, y el Sr. G. Tranvik, biträdande jurist;

–

en nombre del Gobierno danés, por las Sras. D. Elkan, C. A.‑S. Maertens y J. Sandvik Loft y por el Sr. M. Jespersen, en calidad de agentes;

–

en nombre del Gobierno austriaco, por el Sr. A. Posch y las Sras. J. Schmoll y C. Gabauer, en calidad de agentes;

–

en nombre de la Comisión Europea, por los Sres. A. Bouchagiar, C. Faroghi y H. Kranenborg, en calidad de agentes;

1

La petición de decisión prejudicial tiene por objeto la interpretación de los artículos 13 y 14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos) (DO 2016, L 119, p. 1; corrección de errores en DO 2021, L 74, p. 35; en lo sucesivo, «RGPD»).

2

Esta petición se ha presentado en el contexto de un litigio entre la Integritetsskyddsmyndigheten (Autoridad de Protección de la Privacidad, Suecia; en lo sucesivo, «Autoridad») y AB Storstockholms Lokaltrafik (en lo sucesivo, «SL»), una sociedad anónima sueca de transporte público, en relación con una sanción administrativa pecuniaria que se impuso a esta última por infringir el artículo 13 del RGPD en el marco de la obtención de datos personales mediante las cámaras corporales que llevan los revisores que trabajan para esta sociedad.

3

Los considerandos 60 y 61 del RGPD señalan:

4

El artículo 5 del RGPD, que lleva por título «Principios relativos al tratamiento», establece:

«1.   Los datos personales serán:

[…]

[…]».

5

El artículo 12 del RGPD, titulado «Transparencia de la información, comunicación y modalidades de ejercicio de los derechos del interesado», tiene el siguiente tenor:

«1.   El responsable del tratamiento tomará las medidas oportunas para facilitar al interesado toda información indicada en los artículos 13 y 14, así como cualquier comunicación con arreglo a los artículos 15 a 22 y 34 relativa al tratamiento, en forma concisa, transparente, inteligible y de fácil acceso, con un lenguaje claro y sencillo […]. La información será facilitada por escrito o por otros medios, inclusive, si procede, por medios electrónicos. […]

[…]

5.   […] Cuando las solicitudes sean manifiestamente infundadas o excesivas, especialmente debido a su carácter repetitivo, el responsable del tratamiento podrá:

[…]

El responsable del tratamiento soportará la carga de demostrar el carácter manifiestamente infundado o excesivo de la solicitud.

[…]»

6

El artículo 13 del RGPD, que lleva por título «Información que deberá facilitarse cuando los datos personales se obtengan del interesado», dispone:

«1.   Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación:

2.   Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente:

3.   Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado 2.

4.   Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.»

7

A tenor del artículo 14 del RGPD, que lleva por título «Información que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado»:

«1.   Cuando los datos personales no se hayan obtenido del interesado, el responsable del tratamiento le facilitará la siguiente información:

2.   Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente respecto del interesado:

3.   El responsable del tratamiento facilitará la información indicada en los apartados 1 y 2:

4.   Cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin y cualquier otra información pertinente indicada en el apartado 2.

5.   Las disposiciones de los apartados 1 a 4 no serán aplicables cuando y en la medida en que:

8

SL presta servicios de transporte público en Estocolmo (Suecia). Esta empresa ha equipado a sus revisores de billetes con cámaras corporales, que se utilizan para grabar a los pasajeros que, durante los controles de billetes, no disponen de un billete válido y a los que, en consecuencia, se les impone una multa. La utilización de estas cámaras tiene por objeto prevenir y documentar las amenazas y agresiones que sufren los revisores y verificar la identidad de los pasajeros a los que se ha impuesto tal multa.

9

En el marco de sus funciones de supervisión, la Autoridad examinó si el tratamiento de datos personales efectuado por SL mediante cámaras corporales se ajustaba a lo dispuesto en el RGPD. En junio de 2021, adoptó una decisión de la que se desprende que los revisores llevan las cámaras durante toda su jornada de trabajo y que estas graban ininterrumpidamente vídeos que incluyen imágenes y sonido.

10

Estas cámaras tienen una memoria denominada «circular», lo que significa que, tras un cierto tiempo, se produce un borrado automático de todo el contenido grabado. Tras dicho borrado, el material grabado se elimina. Inicialmente, el material grabado se almacenaba durante dos minutos, pero, en el transcurso del período de la inspección realizada por la Autoridad, ese tiempo se redujo a un minuto. No obstante, pulsando un botón, los revisores pueden impedir el borrado automático y garantizar de este modo que no se eliminen los datos grabados. En este caso, la información almacenada en la cámara se conserva también mediante la técnica de grabación previa, que almacena la información correspondiente al minuto anterior al momento en que el revisor pulsó el botón. Los revisores tienen instrucciones de impedir el borrado automático en todas las situaciones en las que se impone una multa y, por lo demás, en caso de amenaza contra ellos.

11

Aparte de estas constataciones relativas al uso y al funcionamiento de las cámaras corporales, la Autoridad consideró, en su decisión, que SL había tratado datos personales, desde diciembre de 2018 y hasta la fecha de adopción de dicha decisión en junio de 2021, mediante el uso de cámaras corporales en el marco de los controles de billetes, infringiendo con ello varias disposiciones del RGPD. Según dicha Autoridad, SL no había facilitado suficiente información a los interesados, violando así el artículo 13 del RGPD. En consecuencia, esta autoridad impuso a SL una sanción administrativa pecuniaria por un importe total de 16 millones de coronas suecas (SEK) (aproximadamente 1420670 euros), de los cuales 4 millones de SEK (aproximadamente 355188 euros) se impusieron por falta de información a los interesados.

12

El Förvaltningsrätten i Stockholm (Tribunal de Primera Instancia de lo Contencioso-Administrativo de Estocolmo, Suecia), ante el que SL interpuso un recurso contra la decisión de la Autoridad, desestimó dicho recurso en la medida en que se refería a la sanción impuesta a esta sociedad por falta de información a los interesados.

13

A continuación, SL interpuso un recurso de apelación ante el Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso-Administrativo de Estocolmo, Suecia), que anuló la sentencia del tribunal de primera instancia y la decisión de la Autoridad en la medida en que se refería a la imposición de dicha sanción. Este órgano jurisdiccional declaró, haciendo referencia a la sentencia de 11 de diciembre de 2014, Ryneš (C‑212/13, EU:C:2014:2428), que el artículo 13 del RGPD no era aplicable al litigio del que conocía y, por tanto, que la Autoridad no podía imponer a SL una sanción administrativa pecuniaria por la infracción de esta disposición.

14

La Autoridad interpuso un recurso de casación contra la sentencia del Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso-Administrativo de Estocolmo) ante el Högsta förvaltningsdomstolen (Tribunal Supremo de lo Contencioso-Administrativo, Suecia), que es el órgano jurisdiccional remitente, solicitándole que anulara esa sentencia por cuanto se refiere a la sanción impuesta a esta sociedad por falta de información de los interesados.

15

El órgano jurisdiccional remitente precisa, en primer lugar, que la cuestión que se plantea es si debe aplicarse el artículo 13 o el artículo 14 del RGPD en el supuesto de que se obtengan datos personales mediante una cámara corporal. Según dicho órgano jurisdiccional, la respuesta a esta cuestión es necesaria por dos motivos. Por una parte, debe determinarse qué información se ha de facilitar al interesado, en qué momento surge la obligación de informar a dicho interesado y cuáles son las excepciones a dicha obligación. Por otra parte, es preciso determinar si la Autoridad estaba legitimada para imponer a SL una sanción administrativa pecuniaria debido al incumplimiento por parte de esta sociedad de la obligación de información, según lo previsto en el artículo 13 del RGPD.

16

En segundo lugar, según el órgano jurisdiccional remitente, tampoco queda claro en qué medida deben tenerse en cuenta las diferencias entre los artículos 13 y 14 del RGPD, en lo tocante al alcance de la obligación de información que se deriva de estas disposiciones, para determinar cuál de ellas es aplicable a un tipo concreto de obtención de datos personales. A este respecto, precisa que las partes discrepan sobre la conclusión que debe extraerse de estas diferencias.

17

Por último, el órgano jurisdiccional remitente se pregunta sobre la importancia que debe concederse a las Directrices sobre la transparencia en virtud del Reglamento (UE) 2016/679, adoptadas el 29 de noviembre de 2017, en su versión revisada el 11 de abril de 2018, por el Grupo de Trabajo creado por el artículo 29 de la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (DO 1995, L 281, p. 31), que establecen, en el punto 26, que el artículo 13 del RGPD es aplicable a la videovigilancia.

18

En este contexto, el Högsta förvaltningsdomstolen (Tribunal Supremo de lo Contencioso-Administrativo) decidió suspender el procedimiento y plantear al Tribunal de Justicia la siguiente cuestión prejudicial:

«Cuando se obtienen datos personales mediante una cámara corporal, ¿es aplicable el artículo 13 o el artículo 14 del [RGPD]?»

19

Tras la lectura de las conclusiones de la Abogada General el 1 de agosto de 2025, SL solicitó, mediante escrito presentado en la Secretaría del Tribunal de Justicia el 23 de septiembre de 2025, la reapertura del procedimiento oral, con arreglo al artículo 83 del Reglamento de Procedimiento del Tribunal de Justicia.

20

En apoyo de esta solicitud, SL alega que el Tribunal de Justicia no dispone de información suficiente sobre los hechos de litigio principal y sobre la importancia que tendría una resolución dictada en este asunto para los responsables del tratamiento que emplean dispositivos de videovigilancia. Considera, en particular, que las conclusiones presentadas por la Abogada General no han delimitado correctamente los ámbitos de aplicación respectivos de los artículos 13 y 14 del RGPD.

21

A este respecto, es preciso recordar que, en virtud del artículo 252 TFUE, párrafo segundo, el Abogado General presenta públicamente, con toda imparcialidad e independencia, conclusiones motivadas sobre los asuntos que, de conformidad con el Estatuto del Tribunal de Justicia de la Unión Europea, requieran su intervención. El Tribunal de Justicia no está vinculado por estas conclusiones ni por la motivación que el Abogado General desarrolla para llegar a ellas (sentencia de 4 de septiembre de 2025, Nissan Iberia,C‑21/24, EU:C:2025:659, apartado 30 y jurisprudencia citada).

22

Asimismo, procede señalar, en este contexto, que ni el Estatuto del Tribunal de Justicia de la Unión Europea ni el Reglamento de Procedimiento prevén la posibilidad de que las partes o los interesados mencionados en el artículo 23 de dicho Estatuto presenten observaciones en respuesta a las conclusiones presentadas por el Abogado General. Por consiguiente, el hecho de que una parte o un interesado no esté de acuerdo con las conclusiones del Abogado General no puede constituir en sí mismo un motivo que justifique la reapertura de la fase oral, sin importar cuáles sean las cuestiones examinadas en dichas conclusiones (sentencia de 4 de septiembre de 2025, Nissan Iberia,C‑21/24, EU:C:2025:659, apartado 31 y jurisprudencia citada).

23

De ello se deduce que, en la medida en que la solicitud de reapertura de la fase oral del procedimiento presentada por SL tiene por objeto que se le permita responder a la posición expresada por la Abogada General en sus conclusiones, esta solicitud no puede ser estimada.

24

Dicho esto, en virtud del artículo 83 de su Reglamento de Procedimiento, el Tribunal de Justicia puede ordenar en cualquier momento, tras oír al Abogado General, la reapertura de la fase oral del procedimiento, en particular si estima que la información de que dispone es insuficiente o cuando una parte haya invocado ante él, tras el cierre de esta fase, un hecho nuevo que pueda influir decisivamente en su resolución, o también cuando el asunto deba resolverse sobre la base de un argumento que no haya sido debatido entre las partes o los interesados mencionados en el artículo 23 del Estatuto del Tribunal de Justicia de la Unión Europea.

25

En el presente caso, no obstante, el Tribunal de Justicia considera, tras oír a la Abogada General, que dispone de todos los elementos necesarios para responder a las cuestiones prejudiciales planteadas por el órgano jurisdiccional remitente y que el presente asunto no debe resolverse sobre la base de un argumento que no haya sido debatido entre los interesados. Además, la solicitud de reapertura de la fase oral del procedimiento no pone de manifiesto ningún hecho nuevo que pueda influir decisivamente en la resolución que el Tribunal de Justicia debe dictar en este asunto.

26

En estas condiciones, no procede ordenar la reapertura de la fase oral del procedimiento.

27

Mediante su cuestión prejudicial, el órgano jurisdiccional remitente pregunta, en esencia, si los artículos 13 y 14 del RGPD deben interpretarse en el sentido de que, en una situación en la que se obtienen datos personales mediante las cámaras corporales que llevan los revisores en los transportes públicos, la información a los interesados se rige por el artículo 13 del RGPD o por el artículo 14 de dicho Reglamento.

28

Para responder a esta cuestión, con arreglo a reiterada jurisprudencia del Tribunal de Justicia, ha de tenerse en cuenta no solo el tenor de estas disposiciones, sino también su contexto y los objetivos perseguidos por la normativa de la que forman parte (sentencia de 28 de noviembre de 2024, Másdi,C‑169/23, EU:C:2024:988, apartado 39).

29

En lo tocante, en primer lugar, a la redacción de los artículos 13 y 14 del RGPD, debe recordarse que el ámbito de aplicación material del artículo 14 del RGPD se define de manera negativa en relación con el del artículo 13 de este mismo Reglamento. Como se desprende de los propios títulos de estas disposiciones, el citado artículo 13 versa sobre la información que deberá facilitarse cuando los datos personales se obtengan del interesado, mientras que el mencionado artículo 14 se refiere a la que deberá facilitarse cuando los datos personales no se hayan obtenido del interesado (sentencia de 28 de noviembre de 2024, Másdi,C‑169/23, EU:C:2024:988, apartado 48).

30

A los efectos de la distinción entre los ámbitos de aplicación respectivos de dichas disposiciones, el hecho de que, en determinadas versiones lingüísticas del artículo 14 del RGPD, en particular en la versión sueca, no se utilicen los términos «se obtengan» («samlas in»), que figuran en el artículo 13 del mismo Reglamento, no es determinante.

31

En efecto, de reiterada jurisprudencia se desprende que las disposiciones del Derecho de la Unión deben interpretarse y aplicarse de manera uniforme a la luz de las versiones establecidas en todas las lenguas de la Unión Europea y, en caso de divergencia entre estas distintas versiones, la disposición de que se trate debe interpretarse en función de la estructura general y de la finalidad de la normativa en la que se integra [sentencia de 13 de febrero de 2025, Verbraucherzentrale Berlin (Concepto de vigencia inicial),C‑612/23, EU:C:2025:82, apartado 31 y jurisprudencia citada].

32

A este respecto, el Tribunal de Justicia ya ha precisado, en lo referente al uso del término «obtención» («erhållande») en el artículo 14, apartado 5, letra c), del RGPD, que en la versión sueca también se utiliza en el título de dicho artículo 14 y en su apartado 1 («erhållits»), que este término se refiere efectivamente a los datos «obtenidos» de una persona distinta del interesado y a los que el propio responsable del tratamiento haya generado, en el ejercicio de su función, a partir de tales datos (véase, en este sentido, la sentencia de 28 de noviembre de 2024, Másdi,C‑169/23, EU:C:2024:988, apartado 47).

33

Asimismo, como señaló la Abogada General en el punto 28 de sus conclusiones, el concepto de datos «obtenidos» del interesado, en el sentido del artículo 13, apartado 1, del RGPD, no exige ninguna acción específica por parte de este, sino únicamente por parte del responsable del tratamiento, de manera que el grado de actividad del interesado es irrelevante para delimitar el ámbito de aplicación de esta disposición en relación con el del artículo 14 de dicho Reglamento.

34

Esta consideración también se pone de relieve en las Directrices sobre la transparencia, mencionadas en el apartado 17 de la presente sentencia, de las que se desprende que el artículo 13 del RGPD se aplica cuando el interesado facilita conscientemente datos personales al responsable del tratamiento o cuando este último obtiene los datos del interesado mediante observación, entre otros, a través de cámaras.

35

Habida cuenta del tenor del artículo 14, apartado 2, letra f), del RGPD, entendido a la luz del considerando 61 de dicho Reglamento, se ha de considerar que únicamente la fuente de los datos personales obtenidos constituye el criterio pertinente a los efectos de la delimitación de los ámbitos de aplicación respectivos de los artículos 13 y 14 del RGPD. En efecto, según lo dispuesto en dicho artículo 14, apartado 2, letra f), cuando los datos no se hayan obtenido del interesado, el responsable del tratamiento debe informarle de la fuente de la que proceden los datos personales.

36

De lo anterior resulta que la interpretación literal de los artículos 13 y 14 del RGPD, entendidos a la luz del considerando 61 de este Reglamento, inclina la balanza en favor de la aplicación del mencionado artículo 13 a la obtención de datos personales mediante una cámara corporal, ya que, en este supuesto, dichos datos no se obtienen de una fuente distinta del interesado, sino que se obtienen directamente de este último.

37

En segundo lugar, tal interpretación se ve corroborada por el contexto en el que se inscriben estas disposiciones.

38

A este respecto, del artículo 5 del RGPD se desprende que un tratamiento de datos personales debe cumplir, en particular, exigencias concretas en materia de transparencia respecto del interesado afectado por tal tratamiento [sentencia de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación), C‑757/22, EU:C:2024:598, apartado 53].

39

Como ha señalado la Comisión, en esencia, en sus observaciones escritas, al exigir la comunicación al interesado de la información a la que se refiere en el momento en que esta se obtenga, el artículo 13 del RGPD constituye una expresión específica del derecho de esta persona a ser informada. En cambio, el artículo 14 de este Reglamento, por su parte, se adoptó para responder a las situaciones en las que el responsable del tratamiento no mantiene un contacto directo con el interesado, sino que obtiene los datos personales a partir de otra fuente, de manera que la comunicación de información a la que se refiere esta disposición en el momento en que se obtenga tal información, en la práctica, resulta difícil o incluso imposible. El carácter indirecto de dicha obtención justifica, por tanto, que esta última disposición prevea la posibilidad de aplazar el cumplimiento de la obligación de información que recae en dicho responsable.

40

En tercer lugar, procede interpretar los artículos 13 y 14 del RGPD a la luz del objetivo perseguido por dicho Reglamento, que consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la protección de los datos personales, consagrado en el artículo 16 TFUE y garantizado como derecho fundamental en el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea, que completa el derecho a la vida privada garantizado en el artículo 7 de esta (sentencia de 27 de febrero de 2025, Dun & Bradstreet Austria y otros, C‑203/22, EU:C:2025:117, apartado 51 y jurisprudencia citada).

41

Pues bien, si se admitiera que el artículo 14 del RGPD es aplicable en el supuesto de la obtención de datos personales mediante una cámara corporal, el interesado no recibiría ninguna información en la fase de dicha obtención, a pesar de que es la fuente de dichos datos, lo que permitiría al responsable del tratamiento no facilitar información inmediatamente a dicho interesado. Por consiguiente, con esta interpretación, existiría el riesgo de que el interesado no tuviera conocimiento de la obtención de datos personales y de que se produjeran prácticas de vigilancia encubierta. Tal consecuencia sería incompatible con el objetivo, mencionado en el apartado anterior, de garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas.

42

Dicho esto, es importante señalar que este objetivo no se opone a que, como contemplan las Directrices 3/2019 del Comité Europeo de Protección de Datos (CEPD) sobre el tratamiento de datos personales mediante dispositivos de vídeo, adoptadas el 29 de enero de 2020, se cumplan las obligaciones de información con arreglo al artículo 13 del RGPD en el marco de un enfoque a varios niveles. Según estas Directrices, la información más importante que debe recibir el interesado puede indicarse, en un primer nivel, en una señal de advertencia, y la restante información obligatoria puede facilitarse al interesado, en un segundo nivel, de manera adecuada y completa, en un lugar fácilmente accesible.

43

Por último, debe precisarse asimismo, en respuesta a la duda expresada por el Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso-Administrativo de Estocolmo) sobre el alcance del apartado 34 de la sentencia de 11 de diciembre de 2014, Ryneš (C‑212/13, EU:C:2014:2428), mencionada en el apartado 13 de la presente sentencia, que en dicho apartado 34 el Tribunal de Justicia no se pronunció sobre el ámbito de aplicación del artículo 11 de la Directiva 95/46, el cual se corresponde con el artículo 14 del RGPD, en relación con el artículo 10 de esta Directiva, el cual se corresponde con el artículo 13 de este Reglamento, sino que se limitó a ilustrar que, debido a las diferentes limitaciones y excepciones que establece la mencionada Directiva, su aplicación permite tener en cuenta intereses legítimos del responsable del tratamiento.

44

Por lo tanto, no cabe inferir del apartado 34 de dicha sentencia que el Tribunal de Justicia ya se haya pronunciado sobre la distinción entre el ámbito de aplicación del artículo 13 del RGPD, por una parte, y el del artículo 14 de este Reglamento, por otra.

45

Habida cuenta de las consideraciones anteriores, procede responder a la cuestión prejudicial planteada que los artículos 13 y 14 del RGPD deben interpretarse en el sentido de que, en una situación en la que se obtienen datos personales mediante las cámaras corporales que llevan los revisores en los transportes públicos, la información a los interesados se rige por el artículo 13 del RGPD y no por su artículo 14.

46

Dado que el procedimiento tiene, para las partes del litigio principal, el carácter de un incidente promovido ante el órgano jurisdiccional remitente, corresponde a este resolver sobre las costas. Los gastos efectuados por quienes, no siendo partes del litigio principal, han presentado observaciones ante el Tribunal de Justicia no pueden ser objeto de reembolso.

En virtud de todo lo expuesto, el Tribunal de Justicia (Sala Primera) declara:

Los artículos 13 y 14 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE,

deben interpretarse en el sentido de que,

en una situación en la que se obtienen datos personales mediante las cámaras corporales que llevan los revisores en los transportes públicos, la información a los interesados se rige por el artículo 13 de este Reglamento y no por su artículo 14.