1.

Den foreliggende sag vedrører en dataansvarligs forpligtelse som defineret i artikel 4, nr. 7), i forordning (EU) 2016/679 (herefter »databeskyttelsesforordningen«) ( 2 ) til at give oplysninger til en registreret, når personoplysninger indsamles ved hjælp af et kropsbåret kamera, der bæres af billetkontrollører i offentlig transport. Den oplysningspligt, der påhviler den dataansvarlige over for de registrerede, der er berørt af en behandling af personoplysninger, udgør en logisk følge af den ret til oplysninger, som de registrerede har i henhold til databeskyttelsesforordningens artikel 12-14 ( 3 ). Som hjørnestenen i princippet om gennemsigtighed ( 4 )»sikrer [retten til oplysninger] hele behandlingens gennemsigtighed« i forbindelse med databeskyttelsesforordningen ( 5 ).

2.

Domstolen anmodes nærmere bestemt om at tage stilling til, hvorvidt det relevante retsgrundlag for indhentningen af oplysninger ved hjælp af et kropsbåret kamera er databeskyttelsesforordningens artikel 13 eller artikel 14. Afgrænsningen af anvendelsesområdet for hver af disse bestemmelser har vigtige konsekvenser for tidspunktet for, hvornår oplysninger skal gives, samt for de mulige undtagelser.

3.

Databeskyttelsesforordningens artikel 13 med overskriften »Oplysningspligt ved indsamling af personoplysninger hos den registrerede« fastsætter:

»1.   Hvis personoplysninger om en registreret indsamles hos den registrerede, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede alle følgende oplysninger:

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige på det tidspunkt, hvor personoplysningerne indsamles, den registrerede følgende yderligere oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling:

3.   Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål og andre relevante yderligere oplysninger, jf. stk. 2.

4.   Stk. 1, 2 og 3 finder ikke anvendelse, hvis og i det omfang den registrerede allerede er bekendt med oplysningerne.«

4.

Databeskyttelsesforordningens artikel 14 med overskriften »Oplysningspligt, hvis personoplysninger ikke er indsamlet hos den registrerede«, bestemmer:

»1.   Hvis personoplysningerne ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede følgende oplysninger:

2.   Ud over de oplysninger, der er omhandlet i stk. 1, giver den dataansvarlige den registrerede følgende oplysninger, der er nødvendige for at sikre en rimelig og gennemsigtig behandling for så vidt angår den registrerede:

3.   Den dataansvarlige giver de oplysninger, der er omhandlet i stk. 1 og 2:

4.   Hvis den dataansvarlige agter at viderebehandle personoplysningerne til et andet formål end det, hvortil de er indsamlet, giver den dataansvarlige forud for denne viderebehandling den registrerede oplysninger om dette andet formål samt andre relevante yderligere oplysninger, jf. stk. 2.

5.   Stk. 1-4 finder ikke anvendelse, hvis og i det omfang:

[...]«

5.

AB Storstockholms Lokaltrafik (herefter »SL«) driver offentlige transporttjenester. Selskabet har udstyret sine billetkontrollører med kropsbårne kameraer. Kameraerne anvendes til at filme rejsende, der ikke er i besiddelse af en gyldig billet, når der udføres billetkontrol, og som får udstedt en kontrolafgift. Formålet med anvendelsen af de kropsbårne kameraer er at forebygge og dokumentere trusler og vold mod kontrollørerne og at kontrollere identiteten på rejsende, der skal betale en kontrolafgift.

6.

Integritetsskyddsmyndigheten (den svenske databeskyttelsesmyndighed, herefter »databeskyttelsesmyndigheden«) har i forbindelse med sin tilsynsvirksomhed undersøgt, om SL’s behandling af personoplysninger, der blev indsamlet ved brug af de kropsbårne kameraer, var i overensstemmelse med databeskyttelsesforordningen. I juni 2021 traf den pågældende myndighed en tilsynsafgørelse (herefter »tilsynsafgørelsen«), som indeholder en række konklusioner vedrørende anvendelsen og funktionen af de kropsbårne kameraer. Det fremgår nærmere bestemt af denne afgørelse, at billetkontrollørerne bærer kameraerne hele arbejdsdagen. Kameraerne optager kontinuerligt med billeder og lyd. De har en såkaldt cirkulær hukommelse, hvilket betyder, at alt videomateriale automatisk slettes efter en vis periode. Efter sletning er det registrerede materiale fjernet. Oprindeligt blev det optagne materiale lagret i to minutter, men i forbindelse med tilsynsinspektionen blev denne periode forkortet til et minut. Ved at trykke på en knap kan billetkontrollørerne suspendere den automatiske sletning og derved sikre, at optagelsen ikke slettes. Billetkontrollørerne er blevet instrueret i, at de skal suspendere den automatiske sletning i alle tilfælde, hvor der udstedes en kontrolafgift, samt i tilfælde af trusler.

7.

Databeskyttelsesmyndigheden fandt i sin tilsynsafgørelse, at SL fra december 2018 og frem til datoen for den pågældende afgørelse i juni 2021 ved at anvende kropsbårne kameraer i forbindelse med billetkontroller havde behandlet personoplysninger på en måde, der var i strid med adskillige bestemmelser i databeskyttelsesforordningen. SL havde bl.a. ikke givet de registrerede tilstrækkelige oplysninger som krævet i databeskyttelsesforordningens artikel 13. Som følge heraf blev SL pålagt at betale en administrativ bøde på i alt 16 mio. svenske kroner (SEK) (ca. 1422000 EUR), hvoraf 4 mio. SEK (355000 EUR) vedrørte utilstrækkelige oplysninger til de registrerede.

8.

SL anfægtede tilsynsafgørelsen ved Förvaltningsrätten i Stockholm (forvaltningsdomstolen i Stockholm), som forkastede søgsmålet, for så vidt som det vedrørte bøden for at give utilstrækkelige oplysninger.

9.

SL iværksatte herefter appel ved Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm, Sverige), som ophævede dommen i første instans og annullerede tilsynsafgørelsen, for så vidt angår den bøde, som SL blev pålagt for at give utilstrækkelige oplysninger til registrerede. Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm) henviste i dommens præmisser til Domstolens dom af 11. december 2014, Ryneš (C-212/13, EU:C:2014:2428, herefter »Ryneš-dommen«), vedrørende anvendelsen af et kamerasystem, som er installeret af en person i dennes familiebolig. Ifølge Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm) følger det af denne dom, at i situationer med videoovervågning er den registeransvarlige forpligtet til at give tilstrækkelige oplysninger baseret på artikel 11 i direktiv 95/46/EF, som svarer til den nu gældende artikel 14 i databeskyttelsesforordningen ( 6 ). Ifølge Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm) fremgår det desuden af ordlyden af databeskyttelsesforordningens artikel 13, at en eller anden form for bevidst handling fra den registreredes side er nødvendig, for at personoplysningerne kan anses for at være indsamlet hos denne person. Dette kan ikke anses for at være tilfældet, når personoplysningerne indsamles ved hjælp af et kropsbåret kamera. Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm) konkluderede, at eftersom databeskyttelsesforordningens artikel 13 ikke fandt anvendelse, havde databeskyttelsesmyndigheden ikke hjemmel til at pålægge SL en bøde for tilsidesættelse af denne artikel.

10.

Databeskyttelsesmyndigheden har iværksat appel til prøvelse af dommen fra Kammarrätten i Stockholm (appeldomstolen i forvaltningsretlige sager i Stockholm) ved Högsta förvaltningsdomstolen (øverste domstol i forvaltningsretlige sager, Sverige) med påstand om, at denne dom bør ophæves for så vidt angår den del, der vedrører bøden for ikke at give tilstrækkelige oplysninger til de registrerede.

11.

Databeskyttelsesmyndigheden har for den forelæggende ret fastholdt, at databeskyttelsesforordningens artikel 13 finder anvendelse, selv om den registrerede ikke deltager aktivt i indsamlingen af oplysninger. Eftersom anvendelsen af kameraovervågning kræver, at der gives oplysninger, inden behandlingen af personoplysninger påbegyndes, er det den registrerede, der ved bevidst at gå ind i det overvågede område muliggør indsamlingen af personoplysninger.

12.

SL har for den forelæggende ret nedlagt påstand om frifindelse. SL har gjort gældende, at ordlyden af databeskyttelsesforordningens artikel 13 indikerer, at den registrerede bevidst skal deltage i indsamlingen af personoplysninger. Endvidere er den lagdelte tilgang til at give oplysninger, når kameraovervågning anvendes, mere i overensstemmelse med ordningen i databeskyttelsesforordningens artikel 14 end med ordningen i databeskyttelsesforordningens artikel 13. Samme forordnings artikel 14, stk. 5, litra b), indeholder en undtagelse fra oplysningspligten, hvis meddelelse af sådanne oplysninger viser sig umulig eller vil kræve en uforholdsmæssig stor indsats. SL har gjort gældende, at denne undtagelse bør finde anvendelse i situationer, der omfatter brugen af kropsbårne kameraer, da det vil være upraktisk at give oplysninger til hver enkelt rejsende, inden registreringen af oplysninger finder sted.

13.

Med henblik på at afgøre, om databeskyttelsesmyndigheden var berettiget til at pålægge SL en bøde for tilsidesættelse af databeskyttelsesforordningens artikel 13, ønsker den forelæggende ret oplyst, om det er databeskyttelsesforordningens artikel 13 eller artikel 14, der finder anvendelse, når personoplysninger indhentes ved hjælp af et kropsbåret kamera. Fastlæggelsen af, hvilken bestemmelse der finder anvendelse, har også konsekvenser for, hvilke oplysninger der skal gives, når forpligtelsen til at give oplysninger opstår, og om nogen af undtagelserne til forpligtelsen til at give oplysninger finder anvendelse.

14.

På denne baggrund har Högsta förvaltningsdomstolen (øverste domstol i forvaltningsretlige sager) besluttet at udsætte sagen og forelægge Domstolen følgende præjudicielle spørgsmål:

»Er det artikel 13 eller artikel 14 i [databeskyttelsesforordningen], der finder anvendelse, når personoplysninger indhentes ved hjælp af et kropsbåret kamera?«

15.

Parterne i hovedsagen, den østrigske regering og den danske regering samt Kommissionen har indgivet skriftlige indlæg.

16.

Den forelæggende rets spørgsmål vedrører de oplysningsrelaterede forpligtelser for SL, som er et selskab, der driver offentlige transporttjenester, med hensyn til dets kontrollørers anvendelse af kropsbårne kameraer. De pågældende kameraer er kropsbårne kameraer, som optager billeder og lyd ( 7 ). Formålet med at anvende disse kameraer er primært at forebygge og dokumentere trusler og vold mod billetkontrollører.

17.

Det fremgår klart af forelæggelsesafgørelsen, at den relevante behandling af oplysninger er omfattet af anvendelsesområdet for databeskyttelsesforordningen. Min bedømmelse vil derfor ikke omfatte behandling af oplysninger i forbindelse med de retshåndhævende myndigheders anvendelse af kropsbårne kameraer, der er omfattet af direktiv (EU) 2016/680 ( 8 ).

18.

Det skal også påpeges, at den forelæggende rets spørgsmål alene vedrører den dataansvarliges forpligtelse til at give oplysninger i henhold til databeskyttelsesforordningens artikel 13 og 14. Domstolen er ikke blevet bedt om at tage stilling til lovligheden af den omhandlede behandling af oplysninger i henhold til databeskyttelsesforordningens artikel 6.

19.

Med sit spørgsmål ønsker den forelæggende ret nærmere bestemt oplyst, om det er databeskyttelsesforordningens artikel 13 eller 14, der finder anvendelse i en situation, hvor personoplysninger indhentes ved hjælp af kropsbårne kameraer, der bæres af billetkontrollører, der arbejder for et selskab, der driver offentlige transporttjenester.

20.

Databeskyttelsesforordningens artikel 13 og 14 fastsætter anvendelsesområdet for den forpligtelse til at give oplysninger, som den dataansvarlige har over for den registrerede. Artikel 13 finder anvendelse, når personoplysninger indsamles hos den registrerede (direkte indsamling), mens artikel 14 finder anvendelse, hvis personoplysninger ikke er indsamlet hos den registrerede (indirekte indsamling) ( 9 ).

21.

De fleste af de oplysninger, der skal gives i henhold til databeskyttelsesforordningens artikel 13 og 14, er de samme, selv om der er visse forskelle ( 10 ). Den største forskel mellem de to bestemmelser vedrører det tidspunkt, hvor oplysningerne skal gives, og de mulige undtagelser til forpligtelsen til at give oplysning.

22.

Det fremgår af databeskyttelsesforordningens artikel 13, stk. 1, og 2, at når personoplysninger indsamles hos den registrerede, skal oplysningerne gives »på det tidspunkt, hvor personoplysningerne indsamles«. Hvis personoplysningerne ikke er indsamlet hos den registrerede, skal den dataansvarlige give de oplysninger, der er omhandlet i databeskyttelsesforordningens artikel 14, stk. 1 og 2, inden for de frister, der er fastsat i forordningens artikel 14, stk. 3, litra a), b) og c). Den generelle regel er, at den dataansvarlige skal give oplysningerne inden for en rimelig frist efter indsamlingen af personoplysningerne, men senest inden for en måned under hensyn til de specifikke forhold, som personoplysningerne er behandlet under [databeskyttelsesforordningens artikel 14, stk. 3, litra a)]. Den frist, inden for hvilken den dataansvarlige skal give oplysningerne, er forskellig i de situationer, der er omhandlet i artikel 14, stk. 3, litra b) og c) ( 11 ).

23.

For så vidt angår de mulige undtagelser fra pligten til at give oplysninger er den eneste, der finder anvendelse i tilfælde af direkte indsamling af oplysninger i henhold til databeskyttelsesforordningens artikel 13, »hvis og i det omfang den registrerede allerede er bekendt med oplysningerne«. I tilfælde af indirekte indsamling er listen over mulige undtagelser i databeskyttelsesforordningens artikel 14, stk. 5, længere. Disse undtagelser omfatter situationer, hvor »meddelelse af sådanne oplysninger viser sig umulig eller vil kræve en uforholdsmæssigt stor indsats« [databeskyttelsesforordningens artikel 14, stk. 5, litra b)]. I sådanne tilfælde »træffer den dataansvarlige passende foranstaltninger for at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser, herunder ved at gøre oplysningerne offentligt tilgængelige«.

24.

Det fremgår tydeligt af det ovenstående, at anvendelsesområdet for den forpligtelse til at give oplysninger, der påhviler den dataansvarlige, varierer, alt efter om databeskyttelsesforordningens artikel 13 eller artikel 14 finder anvendelse. Resultatet af denne vurdering vil få indvirkning på, hvilke forhold en tilsynsmyndighed skal undersøge med henblik på at afgøre, om der er sket en tilsidesættelse af forpligtelsen til at give oplysninger.

25.

Efter disse generelle bemærkninger skal det dernæst undersøges, om behandlingen af oplysninger ved hjælp af et kropsbåret kamera som det, der er anvendt i hovedsagen, er omfattet af det materielle anvendelsesområde for databeskyttelsesforordningens artikel 13 eller artikel 14. Med henblik herpå skal der i overensstemmelse med fast retspraksis ikke blot tages hensyn til ordlyden af disse bestemmelser, men også til den sammenhæng, hvori disse bestemmelser indgår, og til de mål, der forfølges med den ordning, som de er en del af ( 12 ).

26.

I første række skal det med hensyn til ordlyden af databeskyttelsesforordningens artikel 13 og 14 påpeges, således som Domstolen præciserede i Másdi-dommen, at det materielle anvendelsesområde for databeskyttelsesforordningens artikel 14 er defineret negativt i forhold til forordningens artikel 13 ( 13 ). Som det fremgår af selve overskrifterne til disse bestemmelser, vedrører artikel 13 de oplysninger, der skal gives ved indsamling af personoplysninger hos den registrerede, mens artikel 14 vedrører de oplysninger, der skal gives, hvis personoplysningerne ikke er indsamlet hos den registrerede ( 14 ). Som Kommissionen har anført i sit skriftlige indlæg, udelukker de to bestemmelser hinanden. Henset til denne modsætning er alle tilfælde, hvor oplysningerne indsamles hos den registrerede, omfattet af det materielle anvendelsesområde for artikel 13, og alle tilfælde, hvor oplysningerne ikke er indsamlet hos den registrerede, er omfattet af det materielle anvendelsesområde for artikel 14 ( 15 ).

27.

Det fremgår af forelæggelsesafgørelsen, at vanskeligheden ved at fastlægge det materielle anvendelsesområde for disse bestemmelser navnlig ligger i spørgsmålet om, hvorvidt anvendelsen af databeskyttelsesforordningens artikel 13 er betinget af, at den registrerede er bekendt med, at pågældendes oplysninger indsamles, eller af en eller anden form for bevidst handling fra vedkommendes side med henblik på at give oplysningerne (f.eks. ved at udfylde en formular) ( 16 ).

28.

I denne forbindelse skal det påpeges, at udtrykket oplysninger »indsamles« hos den registrerede som omhandlet i databeskyttelsesforordningens artikel 13, stk. 1, ikke kræver en specifik handling fra den registreredes side. »Indsamlingen« er en form for »behandling« af oplysninger i henhold til definitionen af sidstnævnte begreb i databeskyttelsesforordningens artikel 4, nr. 2). Indsamling af oplysninger kræver således en handling fra den dataansvarliges side ( 17 ). Som databeskyttelsesmyndigheden har gjort gældende for den forelæggende ret, er det den dataansvarlige, der spiller en aktiv rolle i indsamlingen af oplysningerne, og ikke den registrerede.

29.

Kommissionen og databeskyttelsesmyndigheden har i deres skriftlige indlæg anført, at den engelske og den svenske sprogversion af databeskyttelsesforordningens artikel 13 og 14 anvender to forskellige verber. Mens artikel 13 henviser til oplysninger, der »indsamles« hos den registrerede (»samlas« på svensk), henviser artikel 14 til oplysninger, der ikke er »obtained« [(»indhentet«)] hos den registrerede (»erhållits« på svensk). Som Kommissionen har påpeget, anvendes det samme verbum imidlertid i andre sprogversioner ( 18 ), og under alle omstændigheder synes anvendelsen af to forskellige verber, nemlig »indsamle« og »indhente«, ikke at have nogen betydning. Dette kan også udledes af Másdi-dommen, hvor Domstolen forklarer, at de personoplysninger, der har været genstand for den dataansvarliges »indsamling« som omhandlet i databeskyttelsesforordningens artikel 14, alle er personoplysninger, som den dataansvarlige »indsamler fra andre end den registrerede […]« ( 19 ).

30.

Den modsætning mellem databeskyttelsesforordningens artikel 13 og 14, der henvises til i punkt 26 ovenfor, viser, at grundlaget for fastlæggelsen af deres respektive materielle anvendelsesområde ikke er den registreredes aktive deltagelse i indsamlingen af oplysningerne, men snarere er kilden til oplysningerne. Hvis den registrerede er kilden til oplysningerne, finder artikel 13 anvendelse. For at denne bestemmelse kan finde anvendelse, bør der ikke være nogen mellemmand mellem den registrerede og den dataansvarlige. Hvis kilden til oplysningerne er en anden kilde end den registrerede, finder artikel 14 anvendelse. Andre kilder kan f.eks. være tredjepartsdataansvarlige, offentligt tilgængelige kilder eller andre registrerede ( 20 ).

31.

Ordlyden af databeskyttelsesforordningens artikel 14, stk. 2, litra f), bekræfter, at kilden til oplysningerne er kriteriet for afgrænsningen af det materielle anvendelsesområde mellem artikel 13 og 14. Det følger nemlig af denne bestemmelse, at når oplysningerne ikke er indsamlet hos den registrerede, giver den dataansvarlige den registrerede meddelelse om, »hvilken kilde personoplysningerne hidrører fra« (min fremhævelse).

32.

Ordlyden af 61. betragtning til databeskyttelsesforordningen antyder ligeledes, at datakilden er det kriterium, der adskiller det materielle anvendelsesområde for artikel 13 og 14. Det fremgår af denne betragtning, at »[o]plysninger om behandling af personoplysninger bør gives til den registrerede på tidspunktet for indsamlingen hos den registrerede, eller hvis personoplysningerne indhentes fra en anden kilde, inden for en rimelig periode afhængigt af de konkrete omstændigheder« (min fremhævelse). I denne betragtning hedder det endvidere, at der bør gives generelle oplysninger, »[h]vis den registrerede ikke kan informeres om personoplysningernes oprindelse, fordi der er anvendt forskellige kilder« (min fremhævelse).

33.

Oplysninger kan indsamles direkte hos den registrerede ved hjælp af forskellige metoder. En sådan indsamling kræver ikke den registreredes deltagelse eller initiativ til at give oplysningerne eller kendskab til indsamlingen. Denne tilgang bekræftes også af Artikel 29-Gruppens retningslinjer vedrørende gennemsigtighed, hvori det anføres, at artikel 13 finder anvendelse, enten når en registreret bevidst afgiver personoplysninger til den dataansvarlige, eller når en dataansvarlig indsamler oplysningerne fra en registreret ved observation. De eksempler på dataindsamling ved observation, der gives deri, omfatter brugen af elektroniske dataregistreringsenheder eller datafangstsoftware såsom kameraer ( 21 ).

34.

Når der er tale om direkte indsamling af oplysninger ved observation, er den registreredes kendskab til indsamlingen konsekvensen af anvendelsen af databeskyttelsesforordningens artikel 13 og den forpligtelse, som dette kendskab medfører for den dataansvarlige til at give den registrerede oplysninger på indsamlingstidspunktet. Med andre ord er kendskabet til indsamlingen af oplysninger ikke en forudsætning for, at artikel 13 finder anvendelse, men snarere en konsekvens af forpligtelsen i databeskyttelsesforordningens artikel 13 til at underrette den registrerede (senest) på det tidspunkt, hvor personoplysningerne indsamles.

35.

Fra det øjeblik, hvor der sker en direkte indsamling af oplysninger hos den registrerede, og netop på grund af en sådan indsamling, skal den dataansvarlige give oplysningerne og således gøre den registrerede opmærksom på indsamlingen af oplysninger. Som anført af databeskyttelsesmyndigheden skal der, når et område overvåges, forefindes et passende advarselsskilt, således at den registrerede er bekendt om indsamlingen, før vedkommende går ind i det overvågede område ( 22 ). Ved bevidst at gå ind i det overvågede område, tillader den registrerede indsamlingen af personoplysninger.

36.

I tilfælde af indsamling af oplysninger ved hjælp af et kropsbåret kamera som det i hovedsagen omhandlede, bliver den registrerede, som den østrigske regering har anført, kilden til de indsamlede oplysninger alene i kraft af sin fysiske tilstedeværelse i det område, der er optages af kameraet.

37.

En anden konklusion, hvorefter artikel 13 alene finder anvendelse, når den registrerede aktivt giver oplysningerne, kan ikke udledes af ordlyden af databeskyttelsesforordningens artikel 13 og 14 eller af betragtningerne hertil. Nærmere bestemt kan en sådan konklusion, i modsætning til SL’s og den danske regerings anbringender, ikke udledes af databeskyttelsesforordningens artikel 13, stk. 2, litra e), som afspejlet i 60. betragtning hertil. I henhold til denne bestemmelse skal den dataansvarlige, når oplysningerne indsamles hos den registrerede, give oplysninger om, hvorvidt »[…] den registrerede har pligt til at give personoplysningerne og de eventuelle konsekvenser af ikke at give sådanne oplysninger«. Som databeskyttelsesmyndigheden har anført for den forelæggende ret, skal oplysninger om en eventuel forpligtelse til at give oplysninger kun meddeles, hvis det er påkrævet i en konkret sag ( 23 ). Databeskyttelsesforordningens artikel 13, stk. 2, litra e), skal ikke fortolkes således, at der under alle omstændigheder kræves en bestemt handling fra den registreredes side, for at artikel 13 finder anvendelse.

38.

På samme måde antyder ordlyden af databeskyttelsesforordningens artikel 14, stk. 1, litra d), heller ikke, at den registrerede skal spille en aktiv rolle i forbindelse med at give oplysningerne eller skal have kendskab til indsamlingen af oplysninger, for at artikel 13 finder anvendelse. I henhold til databeskyttelsesforordningens artikel 14, stk. 1, litra d), skal den dataansvarlige, hvis personoplysningerne ikke er indsamlet hos den registrerede, give den registrerede oplysninger om de berørte kategorier af personoplysninger. Da der ikke er noget krav om at give sådanne oplysninger i henhold til databeskyttelsesforordningens artikel 13, har SL og den danske regering udledt, at artikel 13 finder anvendelse, når den registrerede allerede er bekendt med indsamlingen af oplysningerne. Oplysningskravet i henhold til artikel 14, stk. 1, litra d), kan dog være begrundet i det forhold, at den dataansvarlige behandler oplysninger, der er indsamlet hos andre kilder end den registrerede, og ikke er i kontakt med den registrerede på det tidspunkt, hvor oplysningerne indsamles.

39.

Ordlyden af henholdsvis databeskyttelsesforordningens artikel 13 og 14 støtter konklusionen om, at indsamlingen af oplysninger ved hjælp af et kropsbåret kamera som en direkte indsamling af oplysninger hos den registrerede er omfattet af anvendelsesområdet for artikel 13.

40.

I anden række understøtter den sammenhæng, hvori disse bestemmelser indgår, en sådan fortolkning. Forpligtelserne til at give oplysninger i henhold til databeskyttelsesforordningens artikel 13 og 14 er specifikke udtryk for princippet om gennemsigtighed, der regulerer behandlingen af personoplysninger, som er fastsat i databeskyttelsesforordningens artikel 5, stk. 1, litra a). I henhold til sidstnævnte bestemmelse skal personoplysninger behandles lovligt, rimeligt og på en gennemsigtig måde i forhold til den registrerede. Det følger heraf, at en behandling af personoplysninger bl.a. skal opfylde konkrete krav om gennemsigtighed i forhold til registrerede, der er berørt af en sådan behandling ( 24 ).

41.

Afgrænsningen af anvendelsesområdet for databeskyttelsesforordningens artikel 13 og 14 på grundlag af kilden til oplysningerne muliggør en rimelig og gennemsigtig behandling. Når oplysningerne indsamles direkte hos den registrerede, skal den registrerede gives oplysninger på tidspunktet for indsamlingen. Når oplysningerne ikke indsamles direkte hos den registrerede, er der en vis margen for den dataansvarlige til at give oplysningerne – inden for en rimelig periode – netop fordi der ikke er nogen direkte kontakt med den registrerede.

42.

I tilfælde af indsamling af oplysninger ved hjælp af et kropsbåret kamera giver den øjeblikkelige meddelelse af oplysninger til den registrerede om indsamlingen den registrerede mulighed for at få kendskab til indsamlingen, således at vedkommende kan udøve sine rettigheder som registreret fra indsamlingstidspunktet eller endda inden, indsamlingen påbegyndes. Som den østrigske regering har anført, kan den registrerede ved hurtigst muligt at få kendskab til indsamlingen af oplysninger f.eks. beslutte sig for at afholde sig fra at gå ind på det overvågede område eller tilpasse sin adfærd.

43.

Hvad angår de praktiske metoder til at give oplysningerne, skal det erindres, at den dataansvarlige i henhold til databeskyttelsesforordningens artikel 12, stk. 1, skal træffe »passende foranstaltninger« til at give de krævede oplysninger »i en kortfattet, gennemsigtig, letforståelig og lettilgængelig form og i et klart og enkelt sprog«.

44.

De parter og interesserede parter, der har indgivet skriftlige indlæg, accepterer som en generel forudsætning, at oplysningerne i forbindelse med kameraovervågning bør gives efter en »lagdelt tilgang«. Databeskyttelsesrådets retningslinjer om brug af videoudstyr giver et detaljeret og praktisk overblik over den lagdelte tilgang. Det første lag af informationen vedrører »den primære måde, den dataansvarlige først involverer sig med den registrerede på«. I tilfælde af videoovervågning vil dette normalt være et advarselsskilt, der gør den registrerede opmærksom på, at vedkommende går ind i en overvågningszone. Det første lag af informationen skal derefter suppleres med oplysninger fra det andet lag, helst ved at henvise til en digital kilde (f.eks. QR-kode eller webstedsadresse), selv om informationen også bør være lettilgængelig i ikke-digital form ( 25 ).

45.

SL og den danske regering har gjort gældende, at den lagdelte tilgang er mere i overensstemmelse med den generelle ordning i databeskyttelsesforordningens artikel 14 i modsætning til forordningens artikel 13. De er af den opfattelse, at vanskeligheden ved at give oplysningerne på det tidspunkt, hvor oplysningerne indsamles, når der anvendes kropsbårne kameraer, bør give anledning til anvendelse af undtagelsen i databeskyttelsesforordningens artikel 14, stk. 5, litra b). Denne undtagelse finder anvendelse, når meddelelse af oplysningerne »viser sig umulig eller vil kræve en uforholdsmæssigt stor indsats«. I sådant et tilfælde skal den dataansvarlige træffe »passende foranstaltninger for at beskytte den registreredes rettigheder og frihedsrettigheder samt legitime interesser«.

46.

Jeg finder ikke disse argumenter overbevisende. For det første følger det af databeskyttelsesforordningens artikel 12, at de »passende foranstaltninger«, som den dataansvarlige skal træffe til at give oplysninger, vedrører de oplysninger, der er omhandlet i både artikel 13 og 14. Dette betyder, at den dataansvarlige skal træffe passende foranstaltninger til at give oplysninger i situationer med både direkte og indirekte indsamling af oplysninger.

47.

For det andet afhænger foranstaltningernes hensigtsmæssighed, som påpeget i det væsentlige af databeskyttelsesmyndigheden, af den sammenhæng, hvori oplysningerne indsamles, og vedrører bl.a. de registreredes interesser. Indsamlingen af oplysninger ved hjælp af et kropsbåret kamera er lige så indgribende som videoovervågning og omfatter betydelige risici for de registreredes privatliv ( 26 ). Når de dataansvarlige stræber efter at fastsætte de mest hensigtsmæssige foranstaltninger til at give oplysninger til de registrerede, skal der tages behørigt hensyn til princippet om gennemsigtighed og graden af indgriben for de midler, der anvendes til at indsamle oplysningerne. Hvis det er almindeligt accepteret, at den lagdelte tilgang er hensigtsmæssig for videoovervågning, som omfatter betydelige risici for privatlivets fred, bør det samme gælde for indsamlingen af oplysninger ved hjælp af kropsbårne kameraer.

48.

For det tredje er der overbevisende argumenter for, at den lagdelte tilgang ikke er »upraktisk« eller »umulig«, når der anvendes et kropsbåret kamera. Databeskyttelsesmyndigheden, den østrigske regering og Kommissionen har gjort gældende, at den lagdelte tilgang for videoovervågning finder anvendelse på kropsbårne kameraer på tilsvarende måde, idet de henviser til Databeskyttelsesrådets retningslinjer om brug af videoudstyr. Disse retningslinjers ikkebindende karakter ændrer ikke ved, at de konkret viser, at den lagdelte tilgang er mulig og praktisk ( 27 ).

49.

I tredje række er den fortolkning, hvorefter nævnte artikel 13 finder anvendelse på oplysninger, der indsamles ved hjælp af et kropsbåret kamera, i overensstemmelse med de formål, der forfølges med den lovgivning, som databeskyttelsesforordningens artikel 13 og 14 er en del af. Det formål, der forfølges med databeskyttelsesforordningen, som det fremgår af forordningens artikel 1 samt første og tiende betragtning hertil, består bl.a. i at sikre et højt beskyttelsesniveau for fysiske personers grundlæggende rettigheder og frihedsrettigheder, navnlig deres ret til privatliv i forbindelse med behandlingen af personoplysninger, som er fastsat i chartrets artikel 8, stk. 1, og i artikel 16, stk. 1, TEUF ( 28 ). I overensstemmelse med dette formål skal enhver behandling af personoplysninger bl.a. overholde de principper vedrørende behandling af sådanne oplysninger, der er fastsat i denne forordnings artikel 5, herunder princippet om gennemsigtighed.

50.

Den dataansvarliges pligt til at give oplysninger som fastsat i databeskyttelsesforordningens artikel 13 og 14 er et udtryk for princippet om gennemsigtighed. Som allerede anført ovenfor ( 29 ) er tidsrammen for denne forpligtelse til at give oplysninger forskellig, alt efter hvilken af disse bestemmelser der finder anvendelse. Direkte indsamling kræver øjeblikkelig meddelelse af oplysninger. Hvis indsamlingen ikke er direkte, fordi oplysningerne indsamles hos andre kilder, kan oplysningerne gives på et senere tidspunkt. Databeskyttelsesforordningen giver mulighed for at give oplysninger på forskellige tidspunkter, netop fordi indsamlingen er indirekte.

51.

Hvis det blev accepteret, at databeskyttelsesforordningens artikel 14 finder anvendelse i tilfælde af indsamling af oplysninger ved hjælp af et kropsbåret kamera, ville dette betyde, at de registrerede ikke fik oplysningerne på det tidspunkt, hvor oplysningerne blev indsamlet, selv om de er kilden til oplysningerne. Som den østrigske regering og Kommissionen i det væsentlige har anført, kan dette undergrave den effektive virkning af databeskyttelsesforordningens artikel 13. Det ville nemlig give de dataansvarlige mulighed for at undlade straks at give oplysninger til de registrerede, uanset at oplysningerne blev indsamlet direkte hos de registrerede ( 30 ). Det medfører en risiko for, at indsamlingen af oplysninger går ubemærket hen for de registrerede og for skjult overvågningspraksis ( 31 ). En sådan omgåelse af databeskyttelsesforordningens artikel 13 ville udgøre en alvorlig tilsidesættelse af den registreredes ret til oplysninger.

52.

Endelig ville det udviske grænserne mellem de to bestemmelser og gøre deres anvendelse afhængig af tilfældige omstændigheder, hvis sondringen mellem de materielle anvendelsesområder for henholdsvis databeskyttelsesforordningens artikel 13 og 14 skulle bero på, om den registrerede faktisk havde kendskab til indsamlingen af sine oplysninger på indsamlingstidspunktet.

53.

Det følger derfor af en ordlyds-, sammenhængs- og formålsfortolkning af databeskyttelsesforordningens artikel 13 og 14, at når indsamling af oplysninger sker ved hjælp af et kropsbåret kamera, som er en form for direkte indsamling af oplysninger hos den registrerede, er den dataansvarliges forpligtelse til at give oplysninger omfattet af førstnævnte bestemmelses anvendelsesområde.

54.

For fuldstændighedens skyld vil jeg komme med et par afsluttende bemærkninger om betydningen af Ryneš-dommen for den foreliggende sag ( 32 ). I denne dom fortolkede Domstolen undtagelsen til anvendelsen af direktiv 95/46 i tilfælde af en rent »personlig eller familiemæssig« aktivitet som omhandlet i dette direktivs artikel 3, stk. 2, andet led. Domstolen fastslog i det væsentlige, at anvendelsen af et kamerasystem, som er blevet installeret af en fysisk person på dennes familiebolig med henblik på at beskytte boligens ejeres ejendom, sundhed og liv, idet dette system også overvåger et offentligt rum, ikke kan anses for at være en rent »personlig eller familiemæssig« aktivitet i denne bestemmelses forstand. En sådan behandling kan derfor ikke falde uden for anvendelsesområdet for direktiv 95/46.

55.

I den nævnte doms præmis 34 fastslog Domstolen, at »det [samtidig] ved anvendelsen af bestemmelserne i dette direktiv, navnlig i henhold til direktivets artikel 7, litra f), artikel 11, stk. 2, og artikel 13, stk. 1, litra d) og g), i givet fald [er] muligt at tage hensyn til den registeransvarliges legitime interesser […]«.

56.

Henvisningen til artikel 11, stk. 2, i direktiv 95/46 i denne specifikke præmis udgør ikke en fortolkning fra Domstolens side af det relevante retsgrundlag for den registeransvarliges meddelelse af oplysninger i tilfælde af videoovervågning. Det spørgsmål, der blev rejst i den dom, var helt anderledes end i den foreliggende sag, da det drejede sig om anvendelsen af »undtagelsen ved udøvelse af familiemæssige aktiviteter« og ikke om forpligtelsen til at give oplysninger. I denne præmis illustrerer Domstolen blot muligheden for at tage hensyn til de legitime interesser, som den registeransvarlige forfølger, henset til de begrænsninger og undtagelser, der er fastsat i direktiv 95/46. Kommissionen har ligeledes med rette anført, at det fremgår af anmodningen om præjudiciel afgørelse i den sag, der gav anledning til Ryneš-dommen, at den nationale tilsynsmyndighed inden for rammerne af den nationale procedure havde vurderet, at der forelå en tilsidesættelse af den nationale lovgivning til gennemførelse af artikel 11 i direktiv 95/46.

57.

Under alle omstændigheder svarer den tidsramme for meddelelse af oplysninger, der er fastsat i databeskyttelsesforordningens artikel 14, ikke til den tidsramme, der er fastsat i artikel 11 i direktiv 95/46 ( 33 ). Endvidere har EU-lovgiver præciseret sondringen mellem de respektive anvendelsesområder for databeskyttelsesforordningens artikel 13 og 14 ved at henvise til kilden til oplysningerne i 61. betragtning hertil ( 34 ).

58.

Af disse grunde anser jeg ikke Ryneš-dommen for relevant for den foreliggende sag, og den ikke kan føre til en anden konklusion end den, der foreslås i dette forslag til afgørelse.

59.

På baggrund af det ovenstående er jeg af den opfattelse, at databeskyttelsesforordningens artikel 13 og 14 skal fortolkes således, at i en situation, hvor personoplysninger indhentes ved hjælp af kropsbårne kameraer, der bæres af billetkontrollører, der arbejder for et offentligt transportselskab, finder artikel 13 anvendelse, mens artikel 14 ikke finder anvendelse.

60.

På baggrund af ovenstående betragtninger foreslår jeg Domstolen at besvare det af Högsta förvaltningsdomstolen (øverste domstol i forvaltningsretlige sager, Sverige) forelagte præjudicielle spørgsmål således:

»Artikel 13 og 14 i Europa-Parlamentets og Rådets forordning (EU) 2016/679 af 27. april 2016 om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger og om ophævelse af direktiv 95/46/EF (generel forordning om databeskyttelse)

skal fortolkes således, at i en situation, hvor personoplysninger indhentes ved hjælp af kropsbårne kameraer, der bæres af billetkontrollører, der arbejder for et offentligt transportselskab, finder artikel 13 anvendelse, mens artikel 14 ikke finder anvendelse.«