ΑΠΟΦΑΣΗ ΤΟΥ ΔΙΚΑΣΤΗΡΙΟΥ (Πρώτο Τμήμα)
18 Δεκεμβρίου 2025 ( * )
«Προδικαστική απόφαση – Προστασία δεδομένων προσωπικού χαρακτήρα – Κανονισμός (ΕΕ) 2016/679 – Άρθρα 13 και 14 – Πεδίο εφαρμογής – Προσωπικά δεδομένα που συλλέγονται με τη χρήση φωτογραφικών μηχανών που φέρονται στο σώμα από ελεγκτές στις δημόσιες συγκοινωνίες – Νομική βάση για την υποχρέωση του υπευθύνου επεξεργασίας να ενημερώνει το υποκείμενο των δεδομένων»
Στην υπόθεση C-422/24,
σχετικά με αίτηση προδικαστικής αποφάσεως βάσει του άρθρου 267 ΣΛΕΕ, την οποία υπέβαλε το Högsta förvaltningsdomstolen (Ανώτατο Διοικητικό Δικαστήριο, Σουηδία), με απόφαση της 13ης Ιουνίου 2024, η οποία περιήλθε στο Δικαστήριο στις 17 Ιουνίου 2024, στο πλαίσιο της διαδικασίας
Ακεραιότητα
κατά
AB Storstockholms Lokaltrafik,
ΤΟ ΔΙΚΑΣΤΗΡΙΟ (Πρώτο Τμήμα),
συγκείμενο από τους κ. F. Biltgen, Πρόεδρο του Τμήματος, κ. T. von Danwitz (Εισηγητή), Αντιπρόεδρο του Δικαστηρίου, κα I. Ziemele, MM. A. Kumin και S. Gervasoni, δικαστές,
Γενική Εισαγγελέας: κα. L. Medina,
Γραμματέας: Κος Α. Καλότ Εσκομπάρ,
δεδομένης της γραπτής διαδικασίας,
λαμβάνοντας υπόψη τις παρατηρήσεις που παρουσιάστηκαν:
– για Integritetsskyddsmyndigheten, από την κα C. Agnehall, MM. A. Persson και D. Törngren, ως πράκτορες,
– για την AB Storstockholms Lokaltrafik, από τον κ. J. Forzelius, δικηγόρο, και τον κ. G. Tranvik, νομικό biträdande,
– εκ μέρους της Δανικής Κυβέρνησης, εκπροσωπούμενες από την κα D. Elkan, την κα C. A.-S. Maertens, την κα J. Sandvik Loft και τον κ. M. Jespersen,
– για την Αυστριακή Κυβέρνηση, από τους κ. A. Posch, J. Schmoll και C. Gabauer, ενεργούντες ως εκπρόσωποι,
– για την Ευρωπαϊκή Επιτροπή, από τους κ.κ. A. Bouchagiar, C. Faroghi και H. Kranenborg,
Αφού άκουσε τις παρατηρήσεις του Γενικού Εισαγγελέα κατά την ακροαματική διαδικασία της 1ης Αυγούστου 2025 ,
κάνει το παρόν
Στάση
1 Η αίτηση προδικαστικής αποφάσεως αφορά την ερμηνεία των άρθρων 13 και 14 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ (Γενικός Κανονισμός για την Προστασία Δεδομένων) (ΕΕ 2016, L 119, σ. 1, στο εξής: «ΓΚΠΔ»).
2 Το παρόν αίτημα υποβλήθηκε στο πλαίσιο διαφοράς μεταξύ της Integritetsskyddsmyndigheten (Αρχής Προστασίας Δεδομένων, Σουηδία) (εφεξής η «Αρχή») και της AB Storstockholms Lokaltrafik (εφεξής «SL»), μιας σουηδικής εταιρείας δημόσιων μεταφορών, σχετικά με διοικητικό χρηματικό πρόστιμο που επιβλήθηκε στην τελευταία για παραβίαση του άρθρου 13 του ΓΚΠΔ στο πλαίσιο της συλλογής δεδομένων προσωπικού χαρακτήρα μέσω κάμερας σώματος που φορούν οι υπεύθυνοι επεξεργασίας που εργάζονται για την εν λόγω εταιρεία.
Το νομικό πλαίσιο
Οι 3 αιτιολογικές σκέψεις 60 και 61 του ΓΚΠΔ αναφέρουν:
«(60) Η αρχή της δίκαιης και διαφανούς επεξεργασίας απαιτεί να ενημερώνεται το υποκείμενο των δεδομένων για την ύπαρξη της πράξης επεξεργασίας και τους σκοπούς της. Ο υπεύθυνος επεξεργασίας θα πρέπει να παρέχει στο υποκείμενο των δεδομένων κάθε άλλη πληροφορία που είναι απαραίτητη για να διασφαλιστεί η δίκαιη και διαφανής επεξεργασία, λαμβάνοντας υπόψη τις συγκεκριμένες περιστάσεις και το πλαίσιο στο οποίο υποβάλλονται σε επεξεργασία τα δεδομένα προσωπικού χαρακτήρα. Επιπλέον, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται για την ύπαρξη κατάρτισης προφίλ και τις συνέπειές της. Όταν συλλέγονται δεδομένα προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων, είναι σημαντικό να ενημερώνεται επίσης το υποκείμενο των δεδομένων για το εάν υποχρεούται να παράσχει τα εν λόγω δεδομένα προσωπικού χαρακτήρα και για τις συνέπειες της μη παροχής τους. Οι πληροφορίες αυτές μπορούν να παρέχονται σε συνδυασμό με τυποποιημένα εικονίδια, ώστε να παρέχεται μια σαφής, εύκολα ορατή, κατανοητή και ευανάγνωστη επισκόπηση της προβλεπόμενης επεξεργασίας. Όταν τα εικονίδια παρουσιάζονται ηλεκτρονικά, θα πρέπει να είναι αναγνώσιμα από μηχανήματα.»
(61) Οι πληροφορίες σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα που αφορούν το υποκείμενο των δεδομένων θα πρέπει να παρέχονται σε αυτό κατά τη στιγμή της συλλογής των εν λόγω δεδομένων από αυτό ή, εάν τα δεδομένα προσωπικού χαρακτήρα λαμβάνονται από άλλη πηγή, εντός εύλογου χρονικού διαστήματος, ανάλογα με τις περιστάσεις κάθε περίπτωσης. Όταν τα δεδομένα προσωπικού χαρακτήρα μπορούν νόμιμα να κοινοποιηθούν σε άλλον αποδέκτη, το υποκείμενο των δεδομένων θα πρέπει να ενημερώνεται για το πότε τα εν λόγω δεδομένα προσωπικού χαρακτήρα κοινοποιούνται για πρώτη φορά στον εν λόγω αποδέκτη. Όταν ο υπεύθυνος επεξεργασίας προτίθεται να επεξεργαστεί δεδομένα προσωπικού χαρακτήρα για σκοπούς διαφορετικούς από εκείνους για τους οποίους συλλέχθηκαν, ο υπεύθυνος επεξεργασίας θα πρέπει, πριν από την εκτέλεση της εν λόγω περαιτέρω επεξεργασίας, να παρέχει στο υποκείμενο των δεδομένων πληροφορίες σχετικά με τον άλλο αυτό σκοπό και τυχόν άλλες απαραίτητες πληροφορίες. Όταν δεν κατέστη δυνατή η κοινοποίηση της πηγής των δεδομένων προσωπικού χαρακτήρα στο υποκείμενο των δεδομένων επειδή έχουν χρησιμοποιηθεί περισσότερες από μία πηγές, θα πρέπει να παρέχονται γενικές πληροφορίες.
4 Το άρθρο 5 του ΓΚΠΔ, με τίτλο «Αρχές σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα», ορίζει τα εξής:
«1. Τα προσωπικά δεδομένα πρέπει να είναι:
α) υποβάλλονται σε επεξεργασία νόμιμα, δίκαια και διαφανώς σε σχέση με το υποκείμενο των δεδομένων (νομιμότητα, αντικειμενικότητα, διαφάνεια)·
[…]
γ) επαρκή, συναφή και περιορισμένα σε ό,τι είναι απαραίτητο σε σχέση με τους σκοπούς για τους οποίους υποβάλλονται σε επεξεργασία (ελαχιστοποίηση δεδομένων)·
[…] »
5 Το άρθρο 12 του ΓΚΠΔ, με τίτλο «Διαφάνεια των πληροφοριών και των επικοινωνιών και λεπτομέρειες άσκησης των δικαιωμάτων του υποκειμένου των δεδομένων», έχει ως εξής:
«1. Ο υπεύθυνος επεξεργασίας λαμβάνει τα κατάλληλα μέτρα για να παρέχει στο υποκείμενο των δεδομένων κάθε πληροφορία που αναφέρεται στα άρθρα 13 και 14 και να προβαίνει σε κάθε ανακοίνωση σύμφωνα με τα άρθρα 15 έως 22 και το άρθρο 34 σχετικά με την επεξεργασία με συνοπτικό, διαφανή, κατανοητό και εύκολα προσβάσιμο τρόπο, χρησιμοποιώντας σαφή και απλή διατύπωση […]. Οι πληροφορίες παρέχονται γραπτώς ή με άλλα μέσα, συμπεριλαμβανομένων, όπου ενδείκνυται, ηλεκτρονικών μέσων. […]
[…]
5. […] Όταν τα αιτήματα ενός υποκειμένου των δεδομένων είναι προδήλως αβάσιμα ή υπερβολικά, ιδίως λόγω του επαναλαμβανόμενου χαρακτήρα τους, ο υπεύθυνος επεξεργασίας δύναται:
[…]
β) αρνούνται να συμμορφωθούν με τα αιτήματα αυτά.
Είναι ευθύνη του υπεύθυνου επεξεργασίας δεδομένων να αποδείξει ότι το αίτημα είναι προδήλως αβάσιμο ή υπερβολικό.
[…] »
6 Το άρθρο 13 του ΓΚΠΔ, με τίτλο «Πληροφορίες που πρέπει να παρέχονται όταν συλλέγονται δεδομένα προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων», ορίζει τα εξής:
«1. Όταν συλλέγονται δεδομένα προσωπικού χαρακτήρα που αφορούν ένα υποκείμενο των δεδομένων από το εν λόγω υποκείμενο, ο υπεύθυνος επεξεργασίας, κατά τον χρόνο λήψης των δεδομένων προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας δεδομένων και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας δεδομένων·
β) όπου εφαρμόζεται, τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων·
γ) τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα προσωπικού χαρακτήρα και τη νομική βάση της επεξεργασίας·
(δ) όταν η επεξεργασία βασίζεται στο άρθρο 6 παράγραφος 1 στοιχείο στ), τα έννομα συμφέροντα που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος·
(ε) τους αποδέκτες ή τις κατηγορίες αποδεκτών των προσωπικών δεδομένων, εάν υπάρχουν· και
(στ) όπου εφαρμόζεται, το γεγονός ότι ο υπεύθυνος επεξεργασίας προτίθεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε τρίτη χώρα ή σε διεθνή οργανισμό, και η ύπαρξη ή η απουσία απόφασης επάρκειας που έχει εκδοθεί από την [Ευρωπαϊκή] Επιτροπή ή, στην περίπτωση διαβιβάσεων που αναφέρονται στο άρθρο 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις κατάλληλες ή κατάλληλες εγγυήσεις και τα μέσα απόκτησης αντιγράφου αυτών ή στο πού έχουν διατεθεί.
2. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων, κατά τον χρόνο λήψης των δεδομένων προσωπικού χαρακτήρα, τις ακόλουθες πρόσθετες πληροφορίες που είναι απαραίτητες για τη διασφάλιση δίκαιης και διαφανούς επεξεργασίας:
α) την περίοδο για την οποία αποθηκεύονται τα δεδομένα προσωπικού χαρακτήρα ή, όταν αυτό δεν είναι δυνατό, τα κριτήρια που χρησιμοποιούνται για τον καθορισμό της περιόδου αυτής·
β) την ύπαρξη δικαιώματος υποβολής αιτήματος από τον υπεύθυνο επεξεργασίας για πρόσβαση σε δεδομένα προσωπικού χαρακτήρα και διόρθωση ή διαγραφή των εν λόγω δεδομένων ή περιορισμό της επεξεργασίας που αφορούν το υποκείμενο των δεδομένων ή για αντίρρηση στην επεξεργασία και το δικαίωμα φορητότητας των δεδομένων·
(γ) όταν η επεξεργασία βασίζεται στο άρθρο 6(1)(α) ή στο άρθρο 9(2)(α), την ύπαρξη του δικαιώματος ανάκλησης της συγκατάθεσης ανά πάσα στιγμή, χωρίς να επηρεάζεται η νομιμότητα της επεξεργασίας που βασίζεται στη συγκατάθεση πριν από την ανάκλησή της·
δ) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή·
(ε) πληροφορίες σχετικά με το εάν η απαίτηση παροχής δεδομένων προσωπικού χαρακτήρα είναι νομοθετικά ή συμβατική ή αποτελεί προϋπόθεση για τη σύναψη σύμβασης και εάν το υποκείμενο των δεδομένων υποχρεούται να παράσχει τα δεδομένα προσωπικού χαρακτήρα, καθώς και τις πιθανές συνέπειες της μη παροχής των εν λόγω δεδομένων·
(στ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4, και, τουλάχιστον σε αυτές τις περιπτώσεις, ουσιαστικές πληροφορίες σχετικά με τη λογική που εμπλέκεται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες αυτής της επεξεργασίας για το υποκείμενο των δεδομένων.
3. Όταν ο υπεύθυνος επεξεργασίας προτίθεται να διενεργήσει περαιτέρω επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπό διαφορετικό από αυτόν για τον οποίο συλλέχθηκαν τα δεδομένα προσωπικού χαρακτήρα, παρέχει στο υποκείμενο των δεδομένων προηγούμενη ενημέρωση σχετικά με τον άλλο αυτό σκοπό και οποιεσδήποτε άλλες σχετικές πληροφορίες που αναφέρονται στην παράγραφο 2.
4. Οι παράγραφοι 1, 2 και 3 δεν εφαρμόζονται όταν και στο βαθμό που το ενδιαφερόμενο πρόσωπο κατέχει ήδη αυτές τις πληροφορίες.
7. Σύμφωνα με το άρθρο 14 του ΓΚΠΔ, με τίτλο «Πληροφορίες που πρέπει να παρέχονται σε περίπτωση που δεν έχουν συλλεχθεί προσωπικά δεδομένα από το υποκείμενο των δεδομένων»:
«1. Όταν δεν έχουν συλλεχθεί δεδομένα προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων όλες τις ακόλουθες πληροφορίες:
α) την ταυτότητα και τα στοιχεία επικοινωνίας του υπευθύνου επεξεργασίας δεδομένων και, κατά περίπτωση, του εκπροσώπου του υπευθύνου επεξεργασίας δεδομένων·
β) όπου εφαρμόζεται, τα στοιχεία επικοινωνίας του υπευθύνου προστασίας δεδομένων·
γ) τους σκοπούς της επεξεργασίας για την οποία προορίζονται τα δεδομένα προσωπικού χαρακτήρα και τη νομική βάση της επεξεργασίας·
δ) τις κατηγορίες των σχετικών δεδομένων προσωπικού χαρακτήρα·
(ε) κατά περίπτωση, τους αποδέκτες ή τις κατηγορίες αποδεκτών των δεδομένων προσωπικού χαρακτήρα·
(στ) κατά περίπτωση, το γεγονός ότι ο υπεύθυνος επεξεργασίας προτίθεται να διαβιβάσει δεδομένα προσωπικού χαρακτήρα σε αποδέκτη σε τρίτη χώρα ή σε διεθνή οργανισμό, και την ύπαρξη ή απουσία απόφασης επάρκειας που έχει εκδοθεί από την Επιτροπή ή, στην περίπτωση διαβιβάσεων που αναφέρονται στο άρθρο 46 ή 47 ή στο άρθρο 49 παράγραφος 1 δεύτερο εδάφιο, αναφορά στις κατάλληλες ή κατάλληλες εγγυήσεις και τα μέσα απόκτησης αντιγράφου αυτών ή στο πού έχουν διατεθεί.
2. Εκτός από τις πληροφορίες που αναφέρονται στην παράγραφο 1, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων τις ακόλουθες πληροφορίες που είναι απαραίτητες για να διασφαλιστεί η δίκαιη και διαφανής επεξεργασία σε σχέση με το υποκείμενο των δεδομένων:
α) την περίοδο για την οποία θα αποθηκεύονται τα προσωπικά δεδομένα ή, όταν αυτό δεν είναι δυνατό, τα κριτήρια που χρησιμοποιούνται για τον καθορισμό της εν λόγω περιόδου·
β) όταν η επεξεργασία βασίζεται στο άρθρο 6(1)(στ), τα έννομα συμφέροντα που επιδιώκει ο υπεύθυνος επεξεργασίας ή τρίτος·
(γ) την ύπαρξη του δικαιώματος υποβολής αιτήματος από τον υπεύθυνο επεξεργασίας για πρόσβαση σε δεδομένα προσωπικού χαρακτήρα, διόρθωση ή διαγραφή των εν λόγω δεδομένων ή περιορισμό της επεξεργασίας που αφορά το υποκείμενο των δεδομένων, καθώς και του δικαιώματος αντίταξης στην επεξεργασία και του δικαιώματος στη φορητότητα των δεδομένων·
(δ) όταν η επεξεργασία βασίζεται στο άρθρο 6(1)(α) ή στο άρθρο 9(2)(α), την ύπαρξη του δικαιώματος ανάκλησης της συγκατάθεσης ανά πάσα στιγμή, χωρίς να επηρεάζεται η νομιμότητα της επεξεργασίας που βασίζεται στη συγκατάθεση πριν από την ανάκλησή της·
ε) το δικαίωμα υποβολής καταγγελίας σε εποπτική αρχή·
(στ) την πηγή από την οποία προέρχονται τα δεδομένα προσωπικού χαρακτήρα και, κατά περίπτωση, ένδειξη για το εάν προέρχονται ή όχι από δημόσια προσβάσιμες πηγές·
(ζ) την ύπαρξη αυτοματοποιημένης λήψης αποφάσεων, συμπεριλαμβανομένης της κατάρτισης προφίλ, που αναφέρεται στο άρθρο 22 παράγραφοι 1 και 4, και, τουλάχιστον σε αυτές τις περιπτώσεις, ουσιαστικές πληροφορίες σχετικά με τη λογική που εμπλέκεται, καθώς και τη σημασία και τις προβλεπόμενες συνέπειες αυτής της επεξεργασίας για το υποκείμενο των δεδομένων.
3. Ο υπεύθυνος επεξεργασίας δεδομένων παρέχει τις πληροφορίες που αναφέρονται στις παραγράφους 1 και 2:
α) εντός εύλογου χρονικού διαστήματος από τη λήψη των προσωπικών δεδομένων, το οποίο δεν υπερβαίνει τον ένα μήνα, λαμβάνοντας υπόψη τις ιδιαίτερες συνθήκες υπό τις οποίες τα προσωπικά δεδομένα υποβάλλονται σε επεξεργασία·
(β) εάν τα δεδομένα προσωπικού χαρακτήρα πρόκειται να χρησιμοποιηθούν για τον σκοπό της επικοινωνίας με το υποκείμενο των δεδομένων, το αργότερο κατά τον χρόνο της πρώτης επικοινωνίας με το εν λόγω πρόσωπο· ή
(γ) εάν προβλέπεται η κοινοποίηση των πληροφοριών σε άλλον αποδέκτη, το αργότερο κατά την πρώτη κοινοποίηση των δεδομένων προσωπικού χαρακτήρα.
4. Όταν ο υπεύθυνος επεξεργασίας προτίθεται να διενεργήσει περαιτέρω επεξεργασία δεδομένων προσωπικού χαρακτήρα για σκοπό διαφορετικό από αυτόν για τον οποίο ελήφθησαν τα δεδομένα προσωπικού χαρακτήρα, ο υπεύθυνος επεξεργασίας παρέχει στο υποκείμενο των δεδομένων προηγούμενη ενημέρωση σχετικά με τον άλλο αυτό σκοπό και οποιεσδήποτε άλλες σχετικές πληροφορίες που αναφέρονται στην παράγραφο 2.
5. Οι παράγραφοι 1 έως 4 δεν εφαρμόζονται όταν και στο βαθμό που:
α) το ενδιαφερόμενο πρόσωπο έχει ήδη αυτές τις πληροφορίες·
β) η παροχή τέτοιων πληροφοριών αποδεικνύεται αδύνατη ή θα συνεπαγόταν δυσανάλογη προσπάθεια, ιδίως για επεξεργασία για σκοπούς αρχειοθέτησης προς το δημόσιο συμφέρον, για σκοπούς επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, με την επιφύλαξη των όρων και των εγγυήσεων που αναφέρονται στο άρθρο 89 παράγραφος 1, ή στο βαθμό που η υποχρέωση που αναφέρεται στην παράγραφο 1 του παρόντος άρθρου είναι πιθανό να καταστήσει αδύνατη ή να θίξει σοβαρά την επίτευξη των στόχων της εν λόγω επεξεργασίας. Σε τέτοιες περιπτώσεις, ο υπεύθυνος επεξεργασίας λαμβάνει κατάλληλα μέτρα για την προστασία των δικαιωμάτων, των ελευθεριών και των έννομων συμφερόντων του υποκειμένου των δεδομένων, μεταξύ άλλων δημοσιοποιώντας τις πληροφορίες·
(γ) η απόκτηση ή η κοινοποίηση των πληροφοριών προβλέπεται ρητά από το δίκαιο της Ένωσης ή του κράτους μέλους στο οποίο υπόκειται ο υπεύθυνος επεξεργασίας και το οποίο ορίζει κατάλληλα μέτρα για την προστασία των έννομων συμφερόντων του υποκειμένου των δεδομένων· ή
(δ) Τα προσωπικά δεδομένα πρέπει να παραμένουν εμπιστευτικά βάσει υποχρέωσης επαγγελματικού απορρήτου που ρυθμίζεται από το δίκαιο της Ένωσης ή του κράτους μέλους, συμπεριλαμβανομένης της νομοθετικής υποχρέωσης επαγγελματικού απορρήτου.
Η κύρια διαφορά και το προδικαστικό ερώτημα
Η 8 SL λειτουργεί υπηρεσίες δημόσιων συγκοινωνιών στη Στοκχόλμη της Σουηδίας. Η εταιρεία έχει εξοπλίσει τους ελεγκτές εισιτηρίων με κάμερες σώματος, οι οποίες χρησιμοποιούνται για την βιντεοσκόπηση επιβατών που δεν έχουν έγκυρο εισιτήριο κατά τη διάρκεια των ελέγχων και στη συνέχεια τους επιβάλλονται πρόστιμα. Σκοπός της χρήσης αυτών των καμερών είναι η πρόληψη και η απόδειξη απειλών και βίας κατά των ελεγκτών εισιτηρίων και η επαλήθευση της ταυτότητας των επιβατών που υπόκεινται σε τέτοια πρόστιμα.
9. Στο πλαίσιο των εποπτικών της δραστηριοτήτων, η Αρχή εξέτασε κατά πόσον η επεξεργασία δεδομένων προσωπικού χαρακτήρα που πραγματοποιήθηκε από την SL με χρήση καμερών σώματος ήταν σύμφωνη με τον ΓΚΠΔ. Τον Ιούνιο του 2021, εξέδωσε απόφαση που ορίζει ότι οι επιθεωρητές φορούν τις κάμερες καθ’ όλη τη διάρκεια της βάρδιάς τους και ότι αυτές οι κάμερες καταγράφουν συνεχώς βίντεο με εικόνες και ήχο.
10 Αυτές οι κάμερες διαθέτουν αυτό που ονομάζεται «κυκλική» μνήμη, που σημαίνει ότι μετά από ένα ορισμένο χρονικό διάστημα, όλο το καταγεγραμμένο περιεχόμενο διαγράφεται αυτόματα. Μετά από αυτήν τη διαγραφή, το καταγεγραμμένο υλικό διαγράφεται. Αρχικά, το καταγεγραμμένο υλικό αποθηκεύτηκε για δύο λεπτά, αλλά κατά τη διάρκεια του ελέγχου που διενεργεί η Αρχή, η διάρκεια αυτή μειώθηκε σε ένα λεπτό. Πατώντας ένα κουμπί, ωστόσο, οι επιθεωρητές μπορούν να διακόψουν την αυτόματη διαγραφή και έτσι να διασφαλίσουν ότι τα καταγεγραμμένα δεδομένα δεν θα διαγραφούν. Σε αυτήν την περίπτωση, οι πληροφορίες που είναι αποθηκευμένες στην κάμερα διατηρούνται επίσης χρησιμοποιώντας τεχνολογία προεγγραφής, η οποία καταγράφει πληροφορίες κατά το λεπτό που προηγείται της στιγμής που ο επιθεωρητής πάτησε το κουμπί. Οι επιθεωρητές έχουν την εντολή να διακόπτουν την αυτόματη διαγραφή σε όλες τις περιπτώσεις όπου επιβάλλεται πρόστιμο και, επιπλέον, σε περίπτωση απειλής εναντίον τους.
11. Πέρα από αυτά τα ευρήματα σχετικά με τη χρήση και τη λειτουργία καμερών που φοριούνται στο σώμα, η Αρχή έκρινε στην απόφασή της ότι η SL είχε επεξεργαστεί προσωπικά δεδομένα, χρησιμοποιώντας κάμερες που φοριούνται στο σώμα για τον έλεγχο εισιτηρίων, από τον Δεκέμβριο του 2018 έως την ημερομηνία έκδοσης της παρούσας απόφασης τον Ιούνιο του 2021, κατά παράβαση αρκετών διατάξεων του ΓΚΠΔ. Σύμφωνα με την Αρχή, η SL δεν είχε παράσχει επαρκείς πληροφορίες στα υποκείμενα των δεδομένων, παραβιάζοντας έτσι το άρθρο 13 του ΓΚΠΔ. Κατά συνέπεια, η Αρχή επέβαλε διοικητικό πρόστιμο στην SL συνολικού ύψους 16 εκατομμυρίων σουηδικών κορωνών (SEK) (περίπου 1.420.670 €), εκ των οποίων 4 εκατομμύρια SEK (περίπου 355.188 €) ήταν για μη ενημέρωση των υποκειμένων των δεδομένων.
12 Το Förvaltningsrätten i Stockholm (διοικητικό δικαστήριο που εδρεύει στη Στοκχόλμη, Σουηδία), το οποίο επιλήφθηκε από την SL έφεσης κατά της απόφασης της Αρχής, απέρριψε την έφεση αυτή στο μέτρο που αφορούσε την κύρωση που επιβλήθηκε στην εν λόγω εταιρεία για μη ενημέρωση των εμπλεκομένων προσώπων.
Στη συνέχεια, η SL άσκησε έφεση στο Διοικητικό Εφετείο της Στοκχόλμης (Kammarrätten i Stockholm, Σουηδία), το οποίο ανέτρεψε την απόφαση του κατώτερου δικαστηρίου και την απόφαση της Αρχής σχετικά με την επιβολή του προστίμου. Αναφερόμενο στην απόφαση της 11ης Δεκεμβρίου 2014, Ryneš (C-212/13, EU:C:2014:2428), το δικαστήριο έκρινε ότι το άρθρο 13 του ΓΚΠΔ δεν εφαρμόζεται στη διαφορά που εκκρεμεί ενώπιόν του και, κατά συνέπεια, ότι η Αρχή δεν δικαιούται να επιβάλει διοικητικό πρόστιμο στην SL για παραβίαση της εν λόγω διάταξης.
14 Η Αρχή άσκησε έφεση κατά της αποφάσεως του Kammarrätten i Stockholm (Διοικητικού Δικαστηρίου της Στοκχόλμης) ενώπιον του Högsta förvaltningsdomstolen (Ανωτάτου Διοικητικού Δικαστηρίου, Σουηδία), το οποίο είναι το αιτούν δικαστήριο, ζητώντας την αναίρεσή της ως προς την ποινή που επιβλήθηκε στην εν λόγω εταιρεία λόγω μη ενημέρωσης των εμπλεκομένων προσώπων.
15 Το αιτούν δικαστήριο διευκρινίζει, πρώτον, ότι το ερώτημα είναι ποιο από τα άρθρα 13 και 14 του ΓΚΠΔ εφαρμόζεται όταν τα δεδομένα προσωπικού χαρακτήρα συλλέγονται μέσω κάμερας που φοριέται στο σώμα. Σύμφωνα με το δικαστήριο, η απάντηση στο ερώτημα αυτό είναι απαραίτητη από δύο απόψεις. Πρώτον, είναι σημαντικό να προσδιοριστεί ποιες πληροφορίες πρέπει να παρέχονται στο υποκείμενο των δεδομένων, σε ποιο σημείο προκύπτει η υποχρέωση ενημέρωσης του εν λόγω προσώπου και ποιες είναι οι εξαιρέσεις από την υποχρέωση αυτή. Δεύτερον, είναι απαραίτητο να διαπιστωθεί εάν η Αρχή είχε το δικαίωμα να επιβάλει διοικητικό πρόστιμο στην SL με το σκεπτικό ότι η εταιρεία δεν είχε συμμορφωθεί με την υποχρέωση παροχής πληροφοριών, όπως προβλέπεται στο άρθρο 13 του ΓΚΠΔ.
16. Επιπλέον, σύμφωνα με το αιτούν δικαστήριο, δεν είναι σαφές σε ποιο βαθμό οι διαφορές μεταξύ των άρθρων 13 και 14 του ΓΚΠΔ, σχετικά με το πεδίο εφαρμογής της υποχρέωσης ενημέρωσης που περιέχεται στις εν λόγω διατάξεις, θα πρέπει να λαμβάνονται υπόψη κατά τον προσδιορισμό του ποια από αυτές εφαρμόζεται σε συγκεκριμένο τύπο συλλογής δεδομένων προσωπικού χαρακτήρα. Συναφώς, διευκρινίζει ότι τα μέρη διαφωνούν ως προς το συμπέρασμα που πρέπει να εξαχθεί από αυτές τις διαφορές.
17 Τέλος, το αιτούν δικαστήριο αμφισβητεί τη σημασία που πρέπει να δοθεί στις κατευθυντήριες γραμμές περί διαφάνειας κατά την έννοια του κανονισμού (ΕΕ) 2016/679, οι οποίες εκδόθηκαν στις 29 Νοεμβρίου 2017, στην αναθεωρημένη έκδοσή τους της 11ης Απριλίου 2018, από την ομάδα εργασίας που συστάθηκε δυνάμει του άρθρου 29 της οδηγίας 95/46/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 24ης Οκτωβρίου 1995, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών (ΕΕ 1995, L 281, σ. 31), οι οποίες ορίζουν, στο σημείο 26, ότι το άρθρο 13 του ΓΚΠΔ εφαρμόζεται στην βιντεοεπιτήρηση.
18 Στο πλαίσιο αυτό, το Högsta förvaltningsdomstolen (Ανώτατο Διοικητικό Δικαστήριο) αποφάσισε να αναστείλει την εκδίκαση και να υποβάλει στο Δικαστήριο το ακόλουθο προδικαστικό ερώτημα:
«Ποιο από τα Άρθρα 13 και 14 του [ΓΚΠΔ] εφαρμόζεται όταν τα προσωπικά δεδομένα συλλέγονται με χρήση κάμερας σώματος;»
Σχετικά με το αίτημα επανάληψης της προφορικής φάσης της διαδικασίας
19 Μετά την έκδοση των προτάσεων του Γενικού Εισαγγελέα την 1η Αυγούστου 2025, ο SL ζήτησε, με δικόγραφο που κατέθεσε στη Γραμματεία του Δικαστηρίου στις 23 Σεπτεμβρίου 2025, την επανάληψη της προφορικής διαδικασίας, σύμφωνα με το άρθρο 83 του Κανονισμού Διαδικασίας του Δικαστηρίου.
20 Προς υποστήριξη του αιτήματος αυτού, η SL υποστηρίζει ότι το Δικαστήριο δεν ήταν επαρκώς ενημερωμένο σχετικά με τα πραγματικά περιστατικά της κύριας δίκης και τη σημασία που θα είχε μια απόφαση στις εν λόγω υποθέσεις για τους υπεύθυνους επεξεργασίας δεδομένων που χρησιμοποιούν συστήματα βιντεοεπιτήρησης. Συγκεκριμένα, θεωρεί ότι οι προτάσεις που παρουσίασε ο Γενικός Εισαγγελέας δεν όρισαν σωστά τα αντίστοιχα πεδία εφαρμογής των άρθρων 13 και 14 του ΓΚΠΔ.
21 Συναφώς, υπενθυμίζεται ότι, σύμφωνα με το άρθρο 252, δεύτερο εδάφιο, ΣΛΕΕ, ο Γενικός Εισαγγελέας διατυπώνει αιτιολογημένες γνώμες δημόσια, αμερόληπτα και ανεξάρτητα, σε υποθέσεις οι οποίες, σύμφωνα με τον Οργανισμό του Δικαστηρίου της Ευρωπαϊκής Ένωσης, απαιτούν την παρέμβασή του. Το Δικαστήριο δεν δεσμεύεται από τις εν λόγω γνώμες ούτε από τη συλλογιστική βάσει της οποίας ο Γενικός Εισαγγελέας κατέληξε σε αυτές (απόφαση της 4ης Σεπτεμβρίου 2025, Nissan Iberia, C-21/24, EU:C:2025:659, σκέψη 30 και η εκεί παρατιθέμενη νομολογία).
22 Στο πλαίσιο αυτό, θα πρέπει επίσης να σημειωθεί ότι ο Οργανισμός του Δικαστηρίου της Ευρωπαϊκής Ένωσης και ο Κανονισμός Διαδικασίας δεν προβλέπουν τη δυνατότητα των διαδίκων ή των ενδιαφερομένων που αναφέρονται στο άρθρο 23 του εν λόγω Οργανισμού να υποβάλουν παρατηρήσεις σε απάντηση στις προτάσεις του Γενικού Εισαγγελέα. Η διαφωνία ενός διαδίκου ή ενός τέτοιου ενδιαφερόμενου μέρους με τις προτάσεις του Γενικού Εισαγγελέα, ανεξάρτητα από τα ζητήματα που εξετάζονται σε αυτές, δεν μπορεί, επομένως, αυτή καθαυτή να αποτελέσει λόγο επανάληψης της προφορικής διαδικασίας (απόφαση της 4ης Σεπτεμβρίου 2025, Nissan Iberia, C-21/24, EU:C:2025:659, σκέψη 31 και η εκεί παρατιθέμενη νομολογία).
23 Συνεπώς, στο μέτρο που το αίτημα επανάληψης της προφορικής φάσης της διαδικασίας που υπέβαλε η SL τείνει να επιτρέψει στην τελευταία να απαντήσει στη θέση που εξέφρασε η Γενική Εισαγγελέας στις παρατηρήσεις της, το αίτημα αυτό δεν μπορεί να γίνει δεκτό.
24 Τούτου λεχθέντος, δυνάμει του άρθρου 83 του Κανονισμού Διαδικασίας του, το Δικαστήριο μπορεί, ανά πάσα στιγμή, αφού ακούσει τον γενικό εισαγγελέα, να διατάξει την επανάληψη της προφορικής φάσης της διαδικασίας, ιδίως εάν κρίνει ότι δεν είναι επαρκώς ενημερωμένο ή όταν ένας διάδικος έχει υποβάλει, μετά την ολοκλήρωση της φάσης αυτής, νέο πραγματικό περιστατικό που είναι πιθανό να επηρεάσει αποφασιστικά την απόφαση του Δικαστηρίου ή όταν η υπόθεση πρέπει να κριθεί βάσει επιχειρήματος που δεν έχει συζητηθεί μεταξύ των διαδίκων ή των ενδιαφερομένων που αναφέρονται στο άρθρο 23 του Οργανισμού του Δικαστηρίου της Ευρωπαϊκής Ένωσης.
25 Στην υπό κρίση υπόθεση, ωστόσο, το Δικαστήριο, αφού άκουσε τον Γενικό Εισαγγελέα, κρίνει ότι διαθέτει όλα τα απαραίτητα στοιχεία για να απαντήσει στα ερωτήματα που υπέβαλε το δικαστήριο και ότι η υπό κρίση υπόθεση δεν χρειάζεται να κριθεί βάσει επιχειρήματος που δεν έχει συζητηθεί μεταξύ των εμπλεκόμενων διαδίκων. Επιπλέον, το αίτημα επανάληψης της προφορικής διαδικασίας δεν αποκαλύπτει νέα πραγματικά περιστατικά που να είναι ικανά να ασκήσουν καθοριστική επιρροή στην απόφαση που καλείται να εκδώσει το Δικαστήριο στην υπό κρίση υπόθεση.
26 Υπό αυτές τις συνθήκες, δεν υπάρχει λόγος να διαταχθεί η επανάληψη της προφορικής φάσης της διαδικασίας.
Επί του προκαταρκτικού ερωτήματος
27 Με το ερώτημά του, το αιτούν δικαστήριο ερωτά, κατ’ ουσίαν, αν τα άρθρα 13 και 14 του ΓΚΠΔ πρέπει να ερμηνευθούν υπό την έννοια ότι, σε περίπτωση συλλογής δεδομένων προσωπικού χαρακτήρα μέσω καμερών σώματος που φέρουν οι υπεύθυνοι επεξεργασίας στις δημόσιες συγκοινωνίες, η ενημέρωση των ενδιαφερομένων διέπεται από το άρθρο 13 του ΓΚΠΔ ή από το άρθρο 14 αυτού.
28 Για να δοθεί απάντηση στο ερώτημα αυτό, είναι απαραίτητο, σύμφωνα με πάγια νομολογία του Δικαστηρίου, να ληφθεί υπόψη όχι μόνο το γράμμα των εν λόγω διατάξεων, αλλά και το πλαίσιο στο οποίο εντάσσονται και οι σκοποί που επιδιώκονται από τους κανονισμούς στους οποίους αυτές αποτελούν μέρος (απόφαση της 28ης Νοεμβρίου 2024, Másdi , C-169/23, EU:C:2024:988, σκέψη 39).
29 Όσον αφορά, πρώτον, τη διατύπωση των άρθρων 13 και 14 του ΓΚΠΔ, υπενθυμίζεται ότι το καθ’ ύλην πεδίο εφαρμογής του άρθρου 14 του ΓΚΠΔ ορίζεται αρνητικά σε σχέση με εκείνο του άρθρου 13 του εν λόγω κανονισμού. Όπως προκύπτει σαφώς από τους τίτλους των ίδιων των διατάξεων, το άρθρο 13 αφορά τις πληροφορίες που πρέπει να παρέχονται όταν συλλέγονται δεδομένα προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων, ενώ το άρθρο 14 αφορά τις πληροφορίες που πρέπει να παρέχονται όταν δεν έχουν συλλεχθεί δεδομένα προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων (απόφαση της 28ης Νοεμβρίου 2024, Másdi , C-169/23, EU:C:2024:988, σκέψη 48).
30 Για τους σκοπούς της διάκρισης των αντίστοιχων πεδίων εφαρμογής των εν λόγω διατάξεων, το γεγονός ότι, σε ορισμένες γλωσσικές αποδόσεις του άρθρου 14 του ΓΚΠΔ, ιδίως στη σουηδική έκδοση, δεν περιλαμβάνεται ο όρος «συλλεγμένο» («samlas in») που εμφανίζεται στο άρθρο 13 του ίδιου κανονισμού δεν είναι καθοριστικό.
31 Πράγματι, από πάγια νομολογία προκύπτει σαφώς ότι οι διατάξεις του δικαίου της Ένωσης πρέπει να ερμηνεύονται και να εφαρμόζονται ομοιόμορφα υπό το πρίσμα των αποδόσεων που έχουν καθιερωθεί σε όλες τις γλώσσες της Ευρωπαϊκής Ένωσης και, σε περίπτωση απόκλισης μεταξύ αυτών των διαφόρων αποδόσεων, η εν λόγω διάταξη πρέπει να ερμηνεύεται υπό το πρίσμα της γενικής οικονομίας και του σκοπού του κανονισμού στον οποίο αποτελεί μέρος [απόφαση της 13ης Φεβρουαρίου 2025, Verbraucherzentrale Berlin (Έννοια της αρχικής περιόδου δέσμευσης) , C-612/23, EU:C:2025:82, σκέψη 31 και εκεί παρατιθέμενη νομολογία].
32 Συναφώς, το Δικαστήριο έχει ήδη διευκρινίσει, όσον αφορά τη χρήση του όρου «απόκτηση» («erhållande») στο άρθρο 14(5)(γ) του ΓΚΠΔ, ο οποίος, στη σουηδική έκδοση, χρησιμοποιείται επίσης στον τίτλο του εν λόγω άρθρου 14 και στην παράγραφο 1 αυτού («erhållits»), ότι ο όρος αυτός πράγματι αναφέρεται σε δεδομένα που «συλλέγονται» από πρόσωπο διαφορετικό από το υποκείμενο των δεδομένων, καθώς και σε δεδομένα που ο ίδιος ο υπεύθυνος επεξεργασίας έχει δημιουργήσει, κατά την εκτέλεση της αποστολής του, από τέτοια δεδομένα (βλ., συναφώς, απόφαση της 28ης Νοεμβρίου 2024, Másdi , C-169/23, EU:C:2024:988, σκέψη 47).
33 Επιπλέον, όπως επισήμανε η Γενική Εισαγγελέας στο σημείο 28 των προτάσεών της, η έννοια των δεδομένων που «συλλέγονται» από το υποκείμενο των δεδομένων κατά την έννοια του άρθρου 13 παράγραφος 1 του ΓΚΠΔ απαιτεί συγκεκριμένη ενέργεια όχι εκ μέρους του υποκειμένου των δεδομένων, αλλά αποκλειστικά εκ μέρους του υπευθύνου επεξεργασίας, επομένως ο βαθμός δραστηριότητας του υποκειμένου των δεδομένων είναι άνευ σημασίας για τον ορισμό του πεδίου εφαρμογής της παρούσας διάταξης σε σχέση με εκείνο του άρθρου 14 του παρόντος κανονισμού.
34 Η σκέψη αυτή επισημαίνεται επίσης στις κατευθυντήριες γραμμές για τη διαφάνεια, που αναφέρονται στην παράγραφο 17 της παρούσας απόφασης, από τις οποίες προκύπτει ότι το άρθρο 13 του ΓΚΠΔ εφαρμόζεται είτε όταν το υποκείμενο των δεδομένων παρέχει εν γνώσει του δεδομένα προσωπικού χαρακτήρα στον υπεύθυνο επεξεργασίας είτε όταν ο υπεύθυνος επεξεργασίας συλλέγει τα δεδομένα από το εν λόγω πρόσωπο μέσω παρατήρησης, ιδίως μέσω καμερών.
35 Λαμβανομένης υπόψη της διατύπωσης του άρθρου 14(2)(στ) του ΓΚΠΔ, ερμηνευόμενης υπό το πρίσμα της αιτιολογικής σκέψης 61 του εν λόγω κανονισμού, θα πρέπει να θεωρηθεί ότι μόνο η πηγή των συλλεγόμενων δεδομένων προσωπικού χαρακτήρα αποτελεί το σχετικό κριτήριο για τους σκοπούς της οριοθέτησης των αντίστοιχων πεδίων εφαρμογής των άρθρων 13 και 14 του ΓΚΠΔ. Πράγματι, σύμφωνα με το άρθρο 14(2)(στ), όταν τα δεδομένα δεν έχουν συλλεχθεί από το υποκείμενο των δεδομένων, ο υπεύθυνος επεξεργασίας πρέπει να ενημερώσει το υποκείμενο των δεδομένων για την πηγή από την οποία προέρχονται τα δεδομένα προσωπικού χαρακτήρα.
36 Συνεπώς, η γραμματική ερμηνεία των άρθρων 13 και 14 του ΓΚΠΔ, ερμηνευόμενη υπό το πρίσμα της αιτιολογικής σκέψης 61 του εν λόγω κανονισμού, υποστηρίζει την εφαρμογή του άρθρου 13 στη συλλογή δεδομένων προσωπικού χαρακτήρα μέσω κάμερας που φοριέται στο σώμα, δεδομένου ότι, στην περίπτωση αυτή, τα δεδομένα δεν λαμβάνονται από πηγή διαφορετική από το υποκείμενο των δεδομένων, αλλά λαμβάνονται απευθείας από το υποκείμενο των δεδομένων.
37 Δεύτερον, η ερμηνεία αυτή επιβεβαιώνεται από το πλαίσιο στο οποίο εντάσσονται οι εν λόγω διατάξεις.
38 Συναφώς, από το άρθρο 5 του ΓΚΠΔ προκύπτει ότι η επεξεργασία δεδομένων προσωπικού χαρακτήρα πρέπει, ειδικότερα, να πληροί συγκεκριμένες απαιτήσεις σχετικά με τη διαφάνεια έναντι του υποκειμένου των δεδομένων [απόφαση της 11ης Ιουλίου 2024, Meta Platforms Ireland (Αγωγή Εκπροσώπου) , C-757/22, EU:C:2024:598, σκέψη 53].
39 Όπως επισήμανε, κατ’ ουσίαν, η Επιτροπή στις γραπτές παρατηρήσεις της, απαιτώντας οι πληροφορίες που αναφέρονται στο άρθρο 13 του ΓΚΠΔ να κοινοποιούνται στο υποκείμενο των δεδομένων κατά τον χρόνο λήψης τους, το άρθρο 13 δίνει συγκεκριμένη έκφραση στο δικαίωμα ενημέρωσης του εν λόγω υποκειμένου των δεδομένων. Το άρθρο 14 του κανονισμού, από την άλλη πλευρά, θεσπίστηκε για την αντιμετώπιση καταστάσεων στις οποίες ο υπεύθυνος επεξεργασίας δεν βρίσκεται σε άμεση επαφή με το υποκείμενο των δεδομένων, αλλά συλλέγει δεδομένα προσωπικού χαρακτήρα από άλλη πηγή, με αποτέλεσμα η κοινοποίηση των πληροφοριών που αναφέρονται στην εν λόγω διάταξη κατά τον χρόνο λήψης τους να είναι, στην πράξη, δύσκολη ή και αδύνατη. Ο έμμεσος χαρακτήρας της εν λόγω συλλογής δικαιολογεί επομένως το γεγονός ότι η τελευταία αυτή διάταξη επιτρέπει τη δυνατότητα αναβολής της εκπλήρωσης της υποχρέωσης του υπευθύνου επεξεργασίας να παρέχει πληροφορίες.
40 Τρίτον, τα άρθρα 13 και 14 του ΓΚΠΔ θα πρέπει να ερμηνεύονται υπό το πρίσμα του σκοπού που επιδιώκει ο εν λόγω κανονισμός, ο οποίος είναι, μεταξύ άλλων, η διασφάλιση υψηλού επιπέδου προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων, ιδίως του δικαιώματός τους στην προστασία των δεδομένων προσωπικού χαρακτήρα, το οποίο κατοχυρώνεται στο άρθρο 16 ΣΛΕΕ και κατοχυρώνεται ως θεμελιώδες δικαίωμα στο άρθρο 8 του Χάρτη των Θεμελιωδών Δικαιωμάτων της Ευρωπαϊκής Ένωσης, το οποίο συμπληρώνει το δικαίωμα στην ιδιωτικότητα που κατοχυρώνεται στο άρθρο 7 αυτού (απόφαση της 27ης Φεβρουαρίου 2025, Dun & Bradstreet Austria κ.λπ. , C-203/22, EU:C:2025:117, σκέψη 51 και η εκεί παρατιθέμενη νομολογία).
41. Ωστόσο, εάν γινόταν δεκτό ότι το Άρθρο 14 του ΓΚΠΔ εφαρμόζεται στη συλλογή δεδομένων προσωπικού χαρακτήρα μέσω κάμερας που φοριέται στο σώμα, το υποκείμενο των δεδομένων δεν θα λάμβανε καμία πληροφορία στο στάδιο της συλλογής, παρόλο που αποτελεί την πηγή των εν λόγω δεδομένων. Αυτό θα επέτρεπε στον υπεύθυνο επεξεργασίας να αποφύγει την άμεση παροχή πληροφοριών στο εν λόγω πρόσωπο. Κατά συνέπεια, μια τέτοια ερμηνεία θα ενείχε τον κίνδυνο να περάσει απαρατήρητη η συλλογή δεδομένων προσωπικού χαρακτήρα από το υποκείμενο των δεδομένων και να οδηγήσει σε πρακτικές μυστικής παρακολούθησης. Μια τέτοια συνέπεια θα ήταν ασυμβίβαστη με τον στόχο, που αναφέρεται στην προηγούμενη παράγραφο, της διασφάλισης υψηλού επιπέδου προστασίας των θεμελιωδών δικαιωμάτων και ελευθεριών των φυσικών προσώπων.
42 Με αυτά τα δεδομένα, είναι σημαντικό να σημειωθεί ότι αυτός ο στόχος δεν αποκλείει την εφαρμογή των υποχρεώσεων ενημέρωσης βάσει του άρθρου 13 του ΓΚΠΔ μέσω μιας πολυεπίπεδης προσέγγισης, όπως προβλέπεται στις κατευθυντήριες γραμμές 3/2019 του Ευρωπαϊκού Συμβουλίου Προστασίας Δεδομένων (ΕΣΠΔ) σχετικά με την επεξεργασία δεδομένων προσωπικού χαρακτήρα από συσκευές βίντεο, οι οποίες εγκρίθηκαν στις 29 Ιανουαρίου 2020. Σύμφωνα με αυτές τις κατευθυντήριες γραμμές, οι πιο σημαντικές πληροφορίες για το υποκείμενο των δεδομένων μπορούν να εμφανίζονται, σε πρώτο επίπεδο, σε μια προειδοποιητική πινακίδα, και οι άλλες υποχρεωτικές πληροφορίες μπορούν να παρέχονται στο υποκείμενο των δεδομένων, σε δεύτερο επίπεδο, με κατάλληλο και ολοκληρωμένο τρόπο, σε εύκολα προσβάσιμο σημείο.
43 Τέλος, είναι επίσης απαραίτητο να διευκρινιστεί, σε απάντηση στην αμφιβολία που εξέφρασε το Kammarrätten i Stockholm (Διοικητικό Δικαστήριο Στοκχόλμης, Σουηδία) σχετικά με το πεδίο εφαρμογής της παραγράφου 34 της απόφασης της 11ης Δεκεμβρίου 2014, Ryneš (C-212/13, EU:C:2014:2428), η οποία αναφέρεται στη σκέψη 13 της παρούσας απόφασης, ότι το Δικαστήριο δεν αποφάνθηκε, στη σκέψη 34, σχετικά με το πεδίο εφαρμογής του άρθρου 11 της οδηγίας 95/46, το οποίο αντιστοιχεί στο άρθρο 14 του ΓΚΠΔ, σε σχέση με το άρθρο 10 της εν λόγω οδηγίας, το οποίο αντιστοιχεί στο άρθρο 13 του παρόντος κανονισμού, αλλά απλώς κατέδειξε ότι, λόγω των διαφόρων περιορισμών και εξαιρέσεων που προβλέπονται από την εν λόγω οδηγία, η εφαρμογή της επιτρέπει να λαμβάνονται υπόψη τα έννομα συμφέροντα του υπευθύνου της επεξεργασίας.
44 Συνεπώς, από τη σκέψη 34 της εν λόγω αποφάσεως δεν μπορεί να συναχθεί ότι το Δικαστήριο έχει ήδη αποφανθεί επί της διακρίσεως μεταξύ του πεδίου εφαρμογής του άρθρου 13 του ΓΚΠΔ, αφενός, και του άρθρου 14 του εν λόγω κανονισμού, αφετέρου.
45 Λαμβανομένων υπόψη των προεκτεθέντων, η απάντηση στο υποβληθέν ερώτημα είναι ότι τα άρθρα 13 και 14 του ΓΚΠΔ πρέπει να ερμηνευθούν υπό την έννοια ότι, σε περίπτωση συλλογής δεδομένων προσωπικού χαρακτήρα μέσω καμερών σώματος που φέρουν οι υπεύθυνοι επεξεργασίας στις δημόσιες συγκοινωνίες, η ενημέρωση των ενδιαφερομένων διέπεται από το άρθρο 13 του ΓΚΠΔ και όχι από το άρθρο 14 αυτού.
Σχετικά με τα έξοδα
46 Δεδομένου ότι η διαδικασία αποτελεί, έναντι των διαδίκων της κύριας δίκης, παρεμπίπτον ζήτημα που τέθηκε ενώπιον του αιτούντος δικαστηρίου, στο εν λόγω δικαστήριο εναπόκειται να αποφανθεί επί των δικαστικών εξόδων. Τα έξοδα που πραγματοποιήθηκαν για την υποβολή παρατηρήσεων στο Δικαστήριο, πλην εκείνων των ίδιων των διαδίκων, δεν αποδίδονται.
Για τους λόγους αυτούς, το Δικαστήριο (Πρώτο Τμήμα) αποφαίνεται ως εξής:
Άρθρα 13 και 14 του κανονισμού (ΕΕ) 2016/679 του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 27ης Απριλίου 2016, για την προστασία των φυσικών προσώπων έναντι της επεξεργασίας δεδομένων προσωπικού χαρακτήρα και για την ελεύθερη κυκλοφορία των δεδομένων αυτών και την κατάργηση της οδηγίας 95/46/ΕΚ,
πρέπει να ερμηνευθεί ως εξής:
Σε περίπτωση που τα προσωπικά δεδομένα συλλέγονται μέσω καμερών σώματος που φορούν οι ελεγκτές στις δημόσιες συγκοινωνίες, η ενημέρωση των ενδιαφερομένων διέπεται από το άρθρο 13 του παρόντος κανονισμού και όχι από το άρθρο 14 αυτού.
Υπογραφές
