1.

Prejednávaná vec sa týka povinnosti prevádzkovateľa v zmysle článku 4 bodu 7 nariadenia (EÚ) 2016/679 (ďalej len „GDPR“) ( 2 ) poskytnúť informácie dotknutej osobe v prípade, že sa osobné údaje zhromažďujú prostredníctvom kamery umiestnenej na tele, ktorú nosia revízori cestovných lístkov vo verejnej doprave. Povinnosť prevádzkovateľa poskytovať dotknutým osobám informácie o spracúvaní osobných údajov je dôsledkom práva na informácie, ktoré dotknutým osobám priznávajú články 12 až 14 GDPR. ( 3 ) Právo na informácie ako základný kameň zásady transparentnosti ( 4 )„zaručuje transparentnosť akéhokoľvek spracovania“ v kontexte GDPR. ( 5 )

2.

Konkrétne sa žiada, aby Súdny dvor rozhodol, či v situáciách, ktoré zahŕňajú zhromažďovanie údajov prostredníctvom kamery umiestnenej na tele, je vhodným právnym základom článok 13 alebo článok 14 GDPR. Vymedzenie rozsahu pôsobnosti každého z týchto ustanovení má dôležité dôsledky pre načasovanie poskytovania informácií a takisto pre možné výnimky.

3.

V článku 13 GDPR s názvom „Informácie, ktoré sa majú poskytovať pri získavaní osobných údajov od dotknutej osoby“ sa stanovuje:

„1.   V prípadoch, keď sa od dotknutej osoby získavajú osobné údaje, ktoré sa jej týkajú, poskytne prevádzkovateľ pri získavaní osobných údajov dotknutej osobe všetky tieto informácie:

2.   Okrem informácií, ktoré sa uvádzajú v odseku 1, prevádzkovateľ poskytne dotknutej osobe pri získavaní osobných údajov tieto ďalšie informácie, ktoré sú potrebné na zabezpečenie spravodlivého a transparentného spracúvania:

3.   Ak má prevádzkovateľ v úmysle ďalej spracúvať osobné údaje na iný účel ako ten, na ktorý boli získané, poskytne dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele a ďalšie relevantné informácie uvedené v odseku 2.

4.   Odseky 1, 2 a 3 sa neuplatňujú v rozsahu, v akom dotknutá osoba už má dané informácie.“

4.

Článok 14 GDPR, nazvaný „Informácie, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby“, stanovuje:

„1.   Ak osobné údaje neboli získané od dotknutej osoby, prevádzkovateľ poskytne dotknutej osobe tieto informácie:

2.   Okrem informácií uvedených v odseku 1 prevádzkovateľ poskytne dotknutej osobe tieto ďalšie informácie potrebné na zabezpečenie spravodlivého a transparentného spracúvania so zreteľom na dotknutú osobu:

3.   Prevádzkovateľ poskytne informácie uvedené v odsekoch 1 a 2:

4.   Ak má prevádzkovateľ v úmysle ďalej spracúvať osobné údaje na iný účel ako ten, na ktorý boli osobné údaje získané, poskytne dotknutej osobe pred takýmto ďalším spracúvaním informácie o tomto inom účele a akékoľvek ďalšie relevantné informácie uvedené v odseku 2.

5.   Odseky 1 až 4 sa neuplatňujú v rozsahu, v akom:

…“

5.

AB Storstockholms Lokaltrafik (Štokholmská verejná doprava; ďalej len „SL“) prevádzkuje služby verejnej dopravy. Spoločnosť vybavila svojich revízorov cestovných lístkov kamerami umiestnenými na tele. Kamery sa používajú na natáčanie cestujúcich, ktorí pri kontrole cestovných lístkov nemajú platný cestovný lístok a ktorým sa ukladá pokuta. Cieľom používania kamier umiestnených na tele je predchádzať vyhrážkam a násiliu voči revízorom, dokumentovať tieto javy a overovať totožnosť cestujúcich, ktorí musia zaplatiť pokutu.

6.

Integritetsskyddsmyndigheten (švédsky úrad na ochranu osobných údajov; ďalej len „úrad na ochranu osobných údajov“) v rámci svojej dozornej činnosti skúmal, či je spracúvanie osobných údajov, ktoré SL zhromažďuje prostredníctvom kamier umiestnených na tele, v súlade s GDPR. Tento úrad vydal v júni 2021 dozorné rozhodnutie (ďalej len „dozorné rozhodnutie“), ktoré obsahuje niekoľko zistení o používaní a fungovaní kamier umiestnených na tele. Konkrétne z tohto rozhodnutia vyplýva, že revízori nosia kamery počas celej pracovnej zmeny. Kamery nepretržite snímajú obraz a zvuk. Majú tzv. cirkulárnu pamäť, čo znamená, že po určitom čase sa celý zvukovo‑obrazový záznam automaticky vymaže. Po vymazaní je zaznamenaný materiál odstránený. Pôvodne sa zaznamenaný materiál uchovával dve minúty, ale počas auditu dozorného orgánu sa tento čas skrátil na jednu minútu. Stlačením tlačidla môžu revízori cestovných lístkov odložiť automatické vymazávanie a tým zabezpečiť, aby sa záznam nevymazal. Revízori sú poučení, aby odložili automatické vymazanie vždy, keď vystavujú pokutu, a takisto aj v prípade ohrozenia.

7.

Úrad na ochranu osobných údajov vo svojom dozornom rozhodnutí zistil, že od decembra 2018 až do dátumu vydania uvedeného rozhodnutia v júni 2021 SL používaním kamier umiestnených na tele v súvislosti s kontrolou cestovných lístkov spracúvala osobné údaje spôsobom, ktorý je v rozpore s viacerými ustanoveniami GDPR. SL okrem iného neposkytla dotknutým osobám primerané informácie, ako to vyžaduje článok 13 GDPR. V dôsledku toho bola SL uložená správna pokuta v celkovej výške 16 miliónov kronor (SEK) (približne 1422000 eur), z čoho 4 milióny SEK (približne 355000 eur) súviseli s poskytnutím nedostatočných informácií dotknutým osobám.

8.

SL napadla dozorné rozhodnutie na Förvaltningsrätten i Stockholm (Správny súd Štokholm, Švédsko), ktorý žalobu v časti týkajúcej sa pokuty za poskytovanie nedostatočných informácií zamietol.

9.

SL následne podala odvolanie na Kammarrätten i Stockholm (Odvolací správny súd Štokholm, Švédsko), ktorý zrušil prvostupňový rozsudok a zrušil dozorné rozhodnutie v časti, v ktorej bola SL uložená pokuta za poskytovanie nedostatočných informácií dotknutým osobám. Kammarrätten i Stockholm (Odvolací správny súd Štokholm) v odôvodnení svojho rozsudku odkázal na rozsudok Súdneho dvora z 11. decembra 2014, Ryneš (C‑212/13, EU:C:2014:2428; ďalej len „rozsudok Ryneš“), týkajúci sa prevádzky kamerového systému nainštalovaného fyzickou osobou v jej rodinnom dome. Podľa názoru Kammarrätten i Stockholm (Odvolací správny súd Štokholm) z tohto rozsudku vyplýva, že v situáciách týkajúcich sa monitorovania kamerou sa povinnosť prevádzkovateľa poskytnúť primerané informácie zakladá na článku 11 smernice 95/46/ES ( 6 ), ktorý bol predchádzajúcim ekvivalentom článku 14 GDPR. Okrem toho podľa Kammarrätten i Stockholm (Odvolací správny súd Štokholm) zo znenia článku 13 GDPR vyplýva, že na to, aby sa osobné údaje považovali za získané od dotknutej osoby, je potrebný určitý druh zámerného konania dotknutej osoby. Za takúto situáciu nemožno považovať to, keď sa osobné údaje získavajú prostredníctvom kamery umiestnenej na tele. Kammarrätten i Stockholm (Odvolací správny súd Štokholm) dospel k záveru, že keďže článok 13 GDPR sa neuplatňuje, úrad na ochranu osobných údajov nemal dôvod uložiť SL pokutu za porušenie tohto článku.

10.

Úrad na ochranu osobných údajov podal na Högsta förvaltningsdomstolen (Najvyšší správny súd, Švédsko) – vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania – odvolanie proti rozsudku Kammarrätten i Stockholm (Odvolací správny súd Štokholm) a navrhuje zrušiť tento rozsudok v časti týkajúcej sa pokuty za neposkytnutie primeraných informácií dotknutým osobám.

11.

Pred vnútroštátnym súdom úrad na ochranu osobných údajov tvrdí, že článok 13 GDPR sa uplatňuje aj vtedy, keď sa dotknutá osoba aktívne nepodieľa na zhromažďovaní údajov. Keďže existencia monitorovania kamerou si vyžaduje poskytnutie informácií pred začatím spracúvania osobných údajov, je to dotknutá osoba, ktorá vedomým vstupom do monitorovaného priestoru umožňuje získavanie osobných údajov.

12.

SL pred vnútroštátnym súdom tvrdí, že odvolanie by malo byť zamietnuté. Tvrdí, že zo znenia článku 13 GDPR vyplýva, že dotknutá osoba sa musí na zhromažďovaní osobných údajov podieľať vedome. Viacvrstvový prístup k poskytovaniu informácií v prípade, že sa využíva monitorovanie kamerou, je navyše viac v súlade s režimom článku 14 GDPR než s režimom článku 13 uvedeného nariadenia. V článku 14 ods. 5 písm. b) GDPR sa stanovuje výnimka z povinnosti poskytnúť informácie, ak sa poskytnutie informácií ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie. SL tvrdí, že táto výnimka by sa mala uplatňovať v situáciách, ktoré zahŕňajú používanie kamier umiestnených na tele, pretože by bolo nepraktické poskytovať informácie každému cestujúcemu osobitne pred uskutočnením záznamu údajov.

13.

Aby vnútroštátny súd, ktorý podal návrh na začatie prejudiciálneho konania, mohol rozhodnúť, či úrad na ochranu osobných údajov uložil SL pokutu za porušenie článku 13 GDPR oprávnene, snaží sa zistiť, či sa v prípade získavania osobných údajov prostredníctvom kamery umiestnenej na tele uplatňuje článok 13 alebo článok 14 GDPR. Určenie toho, ktoré ustanovenie sa uplatňuje, má vplyv aj na to, ktoré informácie sa majú poskytnúť, keď povinnosť poskytnúť informácie skutočne vznikne, a na to, či sa uplatňuje niektorá z výnimiek z povinnosti poskytnúť informácie.

14.

Za týchto okolností Högsta förvaltningsdomstolen (Najvyšší správny súd) rozhodol prerušiť konanie a položiť Súdnemu dvoru túto prejudiciálnu otázku:

„Ktorý z článkov 13 a 14 [GDPR] sa uplatní v prípade, ak sa osobné údaje získavajú prostredníctvom kamery na tele?“

15.

Účastníci konania vo veci samej, rakúska vláda, dánska vláda, ako aj Európska komisia predložili písomné pripomienky.

16.

Otázka vnútroštátneho súdu, ktorý podal návrh na začatie prejudiciálneho konania, sa týka informačných povinností SL, teda obchodnej spoločnosti, ktorá prevádzkuje služby verejnej dopravy, v súvislosti s používaním kamier umiestnených na tele jej revízorov. Ide o kamery umiestnené na tele, ktoré zaznamenávajú obraz a zvuk. ( 7 ) Cieľom používania týchto kamier je najmä predchádzať hrozbám a násiliu voči revízorom a dokumentovať ich.

17.

Z uznesenia o návrhu na začatie prejudiciálneho konania jasne vyplýva, že príslušné spracúvanie patrí do pôsobnosti GDPR. Moja analýza sa preto nevzťahuje na spracúvanie údajov, ktoré v súvislosti s používaním kamier umiestnených na tele vykonávajú orgány zodpovedné za presadzovanie práva, čo patrí do pôsobnosti smernice (EÚ) 2016/680 ( 8 ).

18.

Treba takisto zdôrazniť, že otázka vnútroštátneho súdu sa týka len povinnosti prevádzkovateľa poskytnúť informácie podľa článkov 13 a 14 GDPR. Súdnemu dvoru nebola položená otázka týkajúca sa zákonnosti predmetného spracúvania údajov podľa článku 6 GDPR.

19.

Svojou otázkou sa vnútroštátny súd v podstate pýta, či sa v situácii, keď sa osobné údaje zhromažďujú prostredníctvom kamier umiestnených na tele, ktoré nosia revízori pracujúci pre obchodnú spoločnosť prevádzkujúcu služby verejnej dopravy, uplatňuje článok 13 alebo článok 14 GDPR.

20.

V článkoch 13 a 14 GDPR sa stanovuje rozsah povinnosti poskytovať informácie, ktorú má prevádzkovateľ voči dotknutej osobe. Článok 13 sa uplatňuje pri získavaní osobných údajov od dotknutej osoby (priame získavanie), zatiaľ čo článok 14 sa uplatňuje, ak osobné údaje neboli získané od dotknutej osoby (nepriame získavanie). ( 9 )

21.

Väčšina zložiek informácií, ktoré sa musia poskytnúť podľa článkov 13 a 14 GDPR, je rovnaká, hoci niektoré sa líšia. ( 10 ) Najdôležitejší rozdiel medzi týmito dvoma ustanoveniami sa týka času, v ktorom sa informácie musia poskytnúť, a možných výnimiek z povinnosti poskytovať informácie.

22.

Podľa článku 13 ods. 1 a 2 GDPR ak sa osobné údaje získavajú od dotknutej osoby, informácie sa musia poskytnúť „pri získavaní osobných údajov“. Ak osobné údaje neboli získané od dotknutej osoby, prevádzkovateľ musí poskytnúť informácie uvedené v článku 14 ods. 1 a 2 GDPR v lehotách stanovených v jeho článku 14 ods. 3 písm. a), b) a c). Všeobecným pravidlom je, že prevádzkovateľ musí informácie poskytnúť v primeranej lehote po získaní osobných údajov, najneskôr však do jedného mesiaca, pričom sa zohľadnia konkrétne okolnosti, za ktorých sa osobné údaje spracúvajú [článok 14 ods. 3 písm. a) GDPR]. Časový rámec, v ktorom musí prevádzkovateľ informácie poskytnúť, je v situáciách stanovených v článku 14 ods. 3 písm. b) a c) iný. ( 11 )

23.

Pokiaľ ide o možné výnimky z povinnosti poskytovať informácie, v prípadoch priameho získavania informácií podľa článku 13 GDPR je uplatniteľná len výnimka „v rozsahu, v akom dotknutá osoba už má dané informácie“. V prípadoch nepriameho získavania je katalóg možných výnimiek stanovený v článku 14 ods. 5 GDPR dlhší. Tieto výnimky zahŕňajú situácie, keď sa poskytnutie informácií „ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie“ [článok 14 ods. 5 písm. b) GDPR]. V takých prípadoch musí prevádzkovateľ prijať „vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby vrátane sprístupnenia daných informácií verejnosti“.

24.

Z uvedeného je zrejmé, že rozsah povinnosti prevádzkovateľa poskytovať informácie sa bude líšiť v závislosti od toho, či sa uplatňuje článok 13 alebo článok 14 GDPR. Výsledok tohto určenia bude mať vplyv na to, ktoré záležitosti musí dozorný orgán prešetriť, aby určil, či došlo k porušeniu povinnosti poskytovať informácie.

25.

Po týchto všeobecných pripomienkach je potrebné preskúmať, či spracovanie údajov prostredníctvom kamery umiestnenej na tele, ako to bolo aj vo veci samej, patrí do vecnej pôsobnosti článku 13 alebo článku 14 GDPR. Na tento účel je potrebné v súlade s ustálenou judikatúrou zohľadniť nielen znenie týchto ustanovení, ale aj ich kontext a ciele sledované právnou úpravou, ktorej sú súčasťou. ( 12 )

26.

Pokiaľ ide v prvom rade o znenie článkov 13 a 14 GDPR, treba konštatovať, ako Súdny dvor objasnil v rozsudku Másdi, že vecná pôsobnosť článku 14 je vymedzená negatívne odkazom na článok 13 GDPR. ( 13 ) Ako vyplýva zo samotného názvu týchto ustanovení, článok 13 sa týka informácií, ktoré sa majú poskytnúť pri získavaní osobných údajov od dotknutej osoby, zatiaľ čo článok 14 sa týka informácií, ktoré sa majú poskytnúť, ak osobné údaje neboli získané od dotknutej osoby. ( 14 ) Ako uviedla Komisia vo svojich písomných podaniach, tieto dve ustanovenia sa navzájom vylučujú. Vzhľadom na túto dichotómiu všetky situácie, v ktorých sa údaje získavajú od dotknutej osoby, patria do vecnej pôsobnosti článku 13 a všetky situácie, v ktorých sa údaje nezískavajú od dotknutej osoby, patria do vecnej pôsobnosti článku 14. ( 15 )

27.

Z uznesenia o návrhu na začatie prejudiciálneho konania jednoznačne vyplýva, že ťažkosti s určením vecnej pôsobnosti týchto ustanovení spočívajú konkrétne v otázke, či je uplatnenie článku 13 GDPR podmienené tým, že dotknutá osoba si je vedomá zhromažďovania svojich údajov, alebo nejakým zámerným konaním z jej strany pri poskytovaní údajov (napríklad vyplnením formulára). ( 16 )

28.

V tejto súvislosti treba zdôrazniť, že pojem údaje, ktoré sa „získavajú“ od dotknutej osoby, uvedený v článku 13 ods. 1 GDPR si nevyžaduje osobitný úkon zo strany dotknutej osoby. „Získavanie“ je formou „spracúvania“ údajov, ako je tento pojem vymedzený v článku 4 bode 2 GDPR. Získavanie údajov ako také si vyžaduje konanie zo strany prevádzkovateľa údajov. ( 17 ) Ako uviedol úrad na ochranu osobných údajov pred vnútroštátnym súdom, aktívnu úlohu pri získavaní údajov zohráva prevádzkovateľ údajov, a nie dotknutá osoba.

29.

Komisia a úrad na ochranu osobných údajov vo svojich písomných podaniach poznamenali, že v anglickej a vo švédskej jazykovej verzii článkov 13 a 14 GDPR sa používajú dve rôzne slovesá. Zatiaľ čo článok 13 sa vzťahuje na údaje „collected“ (ktoré „sa získavajú“) od dotknutej osoby (vo švédčine samlas), článok 14 sa vzťahuje na údaje, ktoré neboli „obtained“ („získané“) od dotknutej osoby (vo švédčine erhållits). Ako však zdôraznila Komisia, v iných jazykových verziách sa používa rovnaké sloveso ( 18 ) a v každom prípade sa zdá, že použitie dvoch rôznych slovies („collecting“ a „obtaining“) nemá žiadny význam. To možno vyvodiť aj z rozsudku Másdi, v ktorom Súdny dvor vysvetľuje, že osobnými údajmi, ktoré boli predmetom získania („obtained“) prevádzkovateľom v zmysle článku 14 GDPR, sú všetky údaje, ktoré tento prevádzkovateľ získal („collects“) „od inej osoby, než je dotknutá osoba…“. ( 19 )

30.

Dichotómia medzi článkom 13 a článkom 14 GDPR, na ktorú sa odkazuje v bode 26 vyššie, preukazuje, že základom pre určenie ich príslušnej vecnej pôsobnosti nie je aktívna účasť dotknutej osoby na zhromažďovaní údajov, ale skôr zdroj údajov. Ak je zdrojom údajov dotknutá osoba, uplatňuje sa článok 13. Aby sa toto ustanovenie mohlo uplatniť, medzi dotknutou osobou a prevádzkovateľom by nemal byť žiaden sprostredkovateľ. Ak je zdrojom údajov akýkoľvek iný zdroj než dotknutá osoba, uplatňuje sa článok 14. Akýmkoľvek iným zdrojom by mohli byť napríklad prevádzkovatelia z tretej strany, verejne dostupné zdroje alebo iné dotknuté osoby. ( 20 )

31.

Znenie článku 14 ods. 2 písm. f) GDPR potvrdzuje, že zdroj údajov je kritériom na rozdelenie vecnej pôsobnosti medzi články 13 a 14. Podľa tohto ustanovenia totiž v prípade, že údaje neboli získané od dotknutej osoby, prevádzkovateľ musí dotknutú osobu informovať o tom, „z akého zdroja pochádzajú osobné údaje“ (zvýraznila generálna advokátka).

32.

Zo znenia odôvodnenia 61 GDPR takisto vyplýva, že kritériom rozlišujúcim vecnú pôsobnosť článkov 13 a 14 je zdroj údajov. V uvedenom odôvodnení sa uvádza, že „informácie súvisiace so spracúvaním osobných údajov týkajúcich sa dotknutej osoby by sa mali dotknutej osobe poskytnúť v čase získavania osobných údajov od dotknutej osoby, alebo ak sa osobné údaje získali z iného zdroja, v primeranej lehote v závislosti od okolností prípadu“ (zvýraznila generálna advokátka). V tomto odôvodnení sa ďalej uvádza, že všeobecná informácia by sa mala poskytnúť, „ak sa z dôvodu použitia viacerých zdrojov nemohol dotknutej osobe poskytnúť pôvod osobných údajov“ (zvýraznila generálna advokátka).

33.

Údaje môžu byť získané priamo od dotknutej osoby prostredníctvom rôznych metód. Nevyžaduje sa zapojenie alebo iniciatíva dotknutej osoby pri poskytovaní údajov ani jej vedomosť o tomto získavaní. Tento prístup potvrdzujú aj usmernenia pracovnej skupiny zriadenej podľa článku 29 k transparentnosti, v ktorých sa uvádza, že článok 13 sa uplatňuje buď vtedy, keď dotknutá osoba vedome poskytne osobné údaje prevádzkovateľovi, alebo keď prevádzkovateľ získa údaje od dotknutej osoby sledovaním. Príklady získavania údajov sledovaním uvedené v tomto dokumente zahŕňajú použitie automatických zariadení na zaznamenávanie údajov alebo softvéru na zaznamenávanie údajov, napríklad kamier. ( 21 )

34.

V prípade priameho získavania údajov sledovaním je informovanosť dotknutej osoby o získavaní údajov dôsledkom uplatnenia článku 13 GDPR a povinnosti, ktorá z neho vyplýva pre prevádzkovateľa, a to poskytnúť dotknutej osobe informácie pri získavaní údajov. Inými slovami, vedomosť o získavaní údajov nie je nutným predpokladom uplatnenia článku 13, ale skôr dôsledkom povinnosti stanovenej v článku 13 GDPR informovať dotknutú osobu (najneskôr) pri získavaní osobných údajov.

35.

Od okamihu, keď dochádza k priamemu získavaniu údajov od dotknutej osoby, a práve z dôvodu takéhoto získavania, musí prevádzkovateľ údajov poskytovať informácie, a tým dotknutú osobu informovať o získavaní údajov. Ako uviedol úrad na ochranu osobných údajov, v prípade monitorovaného priestoru musí existovať príslušné varovné označenie, aby dotknutá osoba vedela o získavaní informácií pred vstupom do sledovaného priestoru. ( 22 ) Vstupom do monitorovaného priestoru dotknutá osoba vedome súhlasí so získavaním osobných údajov.

36.

Ako poznamenala rakúska vláda, v prípade získavania údajov pomocou kamery umiestnenej na tele, o akú ide vo veci samej, sa subjekt údajov stáva zdrojom získaných údajov už len na základe svojej fyzickej prítomnosti v príslušnej oblasti snímanej kamerou.

37.

Zo znenia článkov 13 a 14 GDPR ani z odôvodnení tohto nariadenia nemožno vyvodiť iný záver, podľa ktorého by sa článok 13 uplatňoval len vtedy, keď dotknutá osoba údaje aktívne poskytuje. Konkrétnejšie povedané, na rozdiel od tvrdení SL a dánskej vlády takýto záver nemožno vyvodiť z článku 13 ods. 2 písm. e) GDPR, ako sa odráža v jeho odôvodnení 60. Podľa tohto ustanovenia ak sa údaje získavajú od dotknutej osoby, prevádzkovateľ musí poskytnúť informácie o tom, „… či je dotknutá osoba povinná poskytnúť osobné údaje, ako aj možné následky neposkytnutia takýchto údajov“. Ako uviedol úrad na ochranu osobných údajov pred vnútroštátnym súdom, informácie o prípadnej povinnosti poskytnúť údaje sa majú poskytnúť len vtedy, ak sa to vyžaduje v konkrétnom prípade. ( 23 ) Článok 13 ods. 2 písm. e) GDPR sa nemá vykladať tak, že sa za každých okolností vyžaduje konkrétny úkon dotknutej osoby, aby sa článok 13 mohol uplatniť.

38.

Podobne ani zo znenia článku 14 ods. 1 písm. d) GDPR nevyplýva, že na uplatnenie článku 13 je potrebná aktívna úloha dotknutej osoby pri poskytovaní údajov alebo že by táto osoba musela mať vedomosť o získavaní údajov. V článku 14 ods. 1 písm. d) GDPR sa vyžaduje, aby prevádzkovateľ v prípade, že osobné údaje neboli získané od dotknutej osoby, informoval dotknutú osobu o kategóriách dotknutých osobných údajov. Keďže podľa článku 13 GDPR sa poskytnutie takýchto informácií nevyžaduje, SL a dánska vláda usudzujú, že článok 13 sa uplatňuje vtedy, keď dotknutá osoba už o získavaní údajov vie. Informácie, ktoré sa majú poskytnúť podľa článku 14 ods. 1 písm. d), však možno odôvodniť tým, že prevádzkovateľ spracúva údaje získané z iných zdrojov než od dotknutej osoby a v čase získavania údajov nie je v kontakte s dotknutou osobou.

39.

Znenie článkov 13, resp. 14 GDPR preto podporuje záver, že získavanie údajov pomocou kamery umiestnenej na tele, ako forma priameho získavania údajov od dotknutej osoby, patrí do rozsahu pôsobnosti článku 13.

40.

V druhom rade kontext týchto ustanovení takýto výklad podporuje. Povinnosti poskytovať informácie podľa článkov 13 a 14 GDPR sú osobitným vyjadrením zásady transparentnosti, ktorou sa riadi spracúvanie osobných údajov, ako je stanovené v článku 5 ods. 1 písm. a) GDPR. Podľa uvedeného ustanovenia sa osobné údaje musia spracúvať zákonným spôsobom, spravodlivo a transparentne vo vzťahu k dotknutej osobe. Z toho vyplýva, že spracúvanie osobných údajov musí najmä spĺňať konkrétne požiadavky v oblasti transparentnosti vo vzťahu k osobe, ktorej sa takéto spracúvanie týka. ( 24 )

41.

Vymedzenie pôsobnosti článkov 13 a 14 GDPR na základe zdroja údajov umožňuje spravodlivé a transparentné spracúvanie. Ak sa údaje získavajú priamo od dotknutej osoby, tá musí byť informovaná pri získavaní údajov. Ak sa údaje nezískavajú priamo od dotknutej osoby, existuje určitý priestor na to, aby prevádzkovateľ údajov poskytol informácie – v primeranej lehote – práve preto, že nedochádza k priamemu kontaktu s dotknutou osobou.

42.

V prípade získavania údajov prostredníctvom kamery umiestnenej na tele okamžité poskytnutie informácií dotknutej osobe o získavaní údajov umožňuje dotknutej osobe dozvedieť sa o získavaní údajov, aby mohla uplatniť svoje práva ako dotknutá osoba od začiatku získavania alebo ešte pred jeho začatím. Ako uviedla rakúska vláda, ak sa dotknutá osoba dozvie o získavaní údajov čo najskôr, môže sa napríklad rozhodnúť, že do monitorovanej oblasti nevstúpi alebo že prispôsobí svoje správanie.

43.

Pokiaľ ide o praktické spôsoby poskytovania informácií, treba mať na pamäti, že podľa článku 12 ods. 1 GDPR musí prevádzkovateľ prijať „vhodné opatrenia“ s cieľom poskytnúť požadované informácie „v stručnej, transparentnej, zrozumiteľnej a ľahko dostupnej forme, formulované jasne a jednoducho“.

44.

Účastníci a vedľajší účastníci konania, ktorí predložili písomné pripomienky, súhlasia so všeobecnou premisou, že v prípade monitorovania kamerou by sa informácie mali poskytovať prostredníctvom „viacúrovňového prístupu“. Usmernenia EDPB k monitorovaniu kamerou poskytujú podrobný a praktický prehľad viacvrstvového prístupu. Informácie prvej vrstvy sa týkajú „[primárneho spôsobu], akým sa prevádzkovateľ prvýkrát spojí s dotknutou osobou“. V prípade monitorovania kamerou to zvyčajne bude varovné označenie, aby si dotknutá osoba uvedomila, že vstupuje do monitorovaného priestoru. Informácie prvej vrstvy musia byť doplnené informáciami druhej vrstvy, najlepšie odkazom na digitálny zdroj (napr. QR kód alebo adresa webového sídla), hoci informácie by mali byť ľahko dostupné aj v nedigitálnej podobe. ( 25 )

45.

SL a dánska vláda tvrdia, že viacvrstvový prístup je viac v súlade so všeobecným režimom článku 14 GDPR než s článkom 13 GDPR. Zastávajú názor, že ťažkosti s poskytovaním informácií v čase získavania údajov pri používaní kamier umiestnených na tele by mali viesť k uplatneniu výnimky podľa článku 14 ods. 5 písm. b) GDPR. Táto výnimka sa uplatňuje, ak sa poskytnutie informácií „ukáže ako nemožné alebo by si vyžadovalo neprimerané úsilie“. V takom prípade musí prevádzkovateľ prijať „vhodné opatrenia na ochranu práv a slobôd a oprávnených záujmov dotknutej osoby vrátane sprístupnenia daných informácií verejnosti“.

46.

Tieto tvrdenia ma nepresvedčili. Po prvé z článku 12 GDPR vyplýva, že „vhodné opatrenia“, ktoré musí prevádzkovateľ prijať s cieľom poskytnúť informácie, sa týkajú informácií uvedených v článkoch 13 aj 14. To znamená, že prevádzkovateľ údajov musí prijať vhodné opatrenia s cieľom poskytnúť informácie v situáciách priameho aj nepriameho získavania údajov.

47.

Po druhé, ako v podstate zdôraznil úrad na ochranu osobných údajov, vhodnosť opatrení závisí od kontextu, v ktorom sa údaje získavajú, a súvisí okrem iného so záujmom dotknutých osôb. Získavanie údajov prostredníctvom kamier umiestnených na tele je rovnako rušivé ako monitorovanie kamerou a zahŕňa značné riziko pre súkromie dotknutých osôb. ( 26 ) Keď sa prevádzkovatelia snažia určiť najvhodnejšie opatrenia na poskytovanie informácií dotknutým osobám, musia náležite zohľadniť zásadu transparentnosti a mieru zásahu do súkromia prostriedkami použitými na zber údajov. Ak sa všeobecne uznáva, že pre monitorovanie kamerou, ktoré zahŕňa značné riziko pre súkromie, je vhodný viacvrstvový prístup, to isté by malo platiť aj pre získavanie údajov prostredníctvom kamier umiestnených na tele.

48.

Po tretie existujú presvedčivé argumenty, ktoré dokazujú, že viacvrstvový prístup nie je v prípade kamery umiestnenej na tele „nepraktický“ alebo „nemožný“. Úrad na ochranu osobných údajov, rakúska vláda a Komisia uviedli, že viacvrstvový prístup k monitorovaniu kamerou je obdobne uplatniteľný aj v prípade kamier umiestnených na tele, pričom odkazujú na usmernenia EDPB k monitorovaniu kamerou. Nezáväzná povaha týchto usmernení nemení nič na skutočnosti, že konkrétne dokazujú, že viacvrstvový prístup je možný a uskutočniteľný. ( 27 )

49.

V treťom rade výklad v tom zmysle, že článok 13 sa uplatňuje v prípade údajov získavaných prostredníctvom kamery umiestnenej na tele, je v súlade s cieľmi sledovanými právnou úpravou, ktorej súčasťou sú články 13 a 14 GDPR. Cieľ sledovaný GDPR, ktorý vyplýva z jeho článku 1, ako aj z odôvodnení 1 a 10, spočíva najmä v zabezpečení vysokej úrovne ochrany základných práv a slobôd fyzických osôb, najmä ich práva na súkromie v súvislosti so spracúvaním osobných údajov zakotveného v článku 8 ods. 1 Charty základných práv Európskej únie a v článku 16 ods. 1 ZFEÚ. ( 28 ) V súlade s týmto cieľom musí každé spracúvanie osobných údajov spĺňať okrem iného zásady týkajúce sa spracúvania takýchto údajov stanovené v článku 5 GDPR vrátane zásady transparentnosti.

50.

Povinnosť prevádzkovateľa poskytovať informácie stanovená v článkoch 13 a 14 GDPR je vyjadrením zásady transparentnosti. Ako už bolo uvedené vyššie ( 29 ), časový rámec povinnosti poskytovať informácie sa líši v závislosti od toho, ktoré z týchto ustanovení sa uplatňuje. Priame získavanie si vyžaduje okamžité poskytnutie informácií. Ak získavanie nie je priame, pretože údaje sa získavajú z iných zdrojov, informácie možno poskytnúť neskôr. GDPR umožňuje rôzne načasovanie poskytovania informácií práve preto, že ide o nepriame získavanie.

51.

Ak by sa prijal názor, že v prípade získavania údajov prostredníctvom kamery umiestnenej na tele sa uplatňuje článok 14 GDPR, znamenalo by to, že dotknutým osobám by sa neposkytli informácie pri získavaní údajov napriek tomu, že sú zdrojom údajov. Ako v podstate konštatovali rakúska vláda a Komisia, mohlo by to narušiť potrebný účinok článku 13 GDPR. Prevádzkovateľom by to vlastne umožnilo zdržať sa okamžitého poskytnutia informácií dotknutým osobám bez ohľadu na skutočnosť, že údaje boli získané priamo od týchto dotknutých osôb. ( 30 ) Vzniká tak riziko, že si dotknuté osoby zachytávanie údajov nevšimnú a dôjde k skrytému monitorovaniu. ( 31 ) Takéto obchádzanie článku 13 GDPR by predstavovalo závažné porušenie práva dotknutej osoby na informácie.

52.

Ak by napokon rozlíšenie príslušných vecných oblastí pôsobnosti článkov 13 a 14 GDPR malo byť podmienené tým, či si dotknutá osoba v čase získavania údajov bola alebo nebola skutočne vedomá získavania svojich údajov, rozmazali by sa hranice medzi týmito dvoma ustanoveniami a ich uplatňovanie by záviselo od náhodných okolností.

53.

Z doslovného, kontextového a teleologického výkladu článkov 13 a 14 GDPR preto vyplýva, že v prípade získavania údajov prostredníctvom kamery umiestnenej na tele, ktoré predstavuje formu priameho získavania údajov od dotknutej osoby, patrí povinnosť prevádzkovateľa poskytnúť informácie do pôsobnosti prvého uvedeného ustanovenia.

54.

Pre úplnosť uvediem niekoľko záverečných poznámok k relevantnosti rozsudku Ryneš pre prejednávanú vec. ( 32 ) V uvedenom rozsudku Súdny dvor podal výklad výnimky z uplatňovania smernice 95/46 v prípade čisto „osobnej činnosti, alebo činnosti týkajúcej sa domácnosti“, ako je stanovená v článku 3 ods. 2 druhej zarážke uvedenej smernice. V podstate rozhodol, že prevádzkovanie kamerového systému umiestneného fyzickou osobou na jej rodinnom dome na účely ochrany majetku, zdravia a života majiteľov domu, pričom tento systém sníma aj verejné priestranstvo, nemožno považovať za činnosť, ktorá je výlučne „osobn[ou] činnos[ťou], alebo činnos[ťou] týkajúc[ou] sa domácnosti“ na účely uvedeného ustanovenia. Preto sa takéto spracúvanie nemohlo vyhnúť uplatňovaniu smernice 95/46.

55.

V bode 34 uvedeného rozsudku Súdny dvor rozhodol, že „možno pri uplatňovaní tejto smernice prípadne zohľadniť, najmä v súlade s článkom 7 písm. f), článkom 11 ods. 2, ako aj článkom 13 ods. 1 písm. d) a g) uvedenej smernice, oprávnené záujmy [prevádzkovateľa]…“.

56.

Odkaz na článok 11 ods. 2 smernice 95/46 v tomto konkrétnom odseku nepredstavuje výklad Súdneho dvora, pokiaľ ide o primeraný právny základ, na základe ktorého má prevádzkovateľ údajov poskytovať informácie v prípade monitorovania kamerou. Otázka nastolená v uvedenom rozsudku bola úplne iná než v prejednávanej veci, keďže sa týkala uplatnenia „výnimky pre domácnosti“ a nie povinnosti poskytovať informácie. Súdny dvor v uvedenom bode len ilustruje, že vo svetle obmedzení a výnimiek stanovených v smernici 95/46 je možné zohľadniť oprávnené záujmy prevádzkovateľa. Komisia takisto správne poznamenáva, že z návrhu na začatie prejudiciálneho konania, ktorý viedol k rozsudku Ryneš, vyplýva, že vnútroštátny orgán dohľadu v rámci vnútroštátneho konania usúdil, že došlo k porušeniu vnútroštátnych právnych predpisov, ktorými sa vykonával článok 11 smernice 95/46.

57.

V každom prípade časový rámec na poskytnutie informácií podľa článku 14 GDPR nezodpovedá časovému rámcu, ktorý bol stanovený podľa článku 11 smernice 95/46. ( 33 ) Okrem toho normotvorca Únie v odôvodnení 61 objasnil rozlišovanie medzi príslušnými pôsobnosťami článkov 13 a 14 GDPR odkazom na zdroj údajov. ( 34 )

58.

Z týchto dôvodov sa domnievam, že rozsudok Ryneš nie je pre prejednávanú vec relevantný a nemôže viesť k inému záveru, než je záver navrhovaný v týchto návrhoch.

59.

Vzhľadom na všetky uvedené skutočnosti sa domnievam, že články 13 a 14 GDPR sa majú vykladať v tom zmysle, že v situácii, keď sa osobné údaje získavajú prostredníctvom kamier umiestnených na tele, ktoré nosia revízori pracujúci pre spoločnosť, ktorá prevádzkuje verejnú dopravu, sa uplatňuje článok 13, zatiaľ čo článok 14 sa neuplatňuje.

60.

Vzhľadom na vyššie uvedené úvahy navrhujem, aby Súdny dvor na prejudiciálnu otázku, ktorú položil Högsta förvaltningsdomstolen (Najvyšší správny súd, Švédsko), odpovedal takto:

Články 13 a 14 nariadenia Európskeho parlamentu a Rady (EÚ) 2016/679 z 27. apríla 2016 o ochrane fyzických osôb pri spracúvaní osobných údajov a o voľnom pohybe takýchto údajov, ktorým sa zrušuje smernica 95/46/ES (všeobecné nariadenie o ochrane údajov),

sa majú vykladať v tom zmysle, že v situácii, keď sa osobné údaje získavajú prostredníctvom kamier umiestnených na tele, ktoré nosia revízori pracujúci pre spoločnosť, ktorá prevádzkuje verejnú dopravu, sa uplatňuje článok 13, zatiaľ čo článok 14 sa neuplatňuje.