I 

Johdanto

1.

Käsiteltävä asia koskee rekisterinpitäjän, sellaisena kuin se määritellään asetuksen (EU) 2016/679 (jäljempänä yleinen tietosuoja-asetus) ( 2 ) 4 artiklan 7 alakohdassa, velvollisuutta antaa rekisteröidylle tietoja, jos henkilötietoja kerätään joukkoliikennettä harjoittavan yhtiön palveluksessa olevien lipuntarkastajien käyttämällä vartalokameralla. Rekisterinpitäjän velvollisuus antaa tietoa rekisteröidyille, joiden henkilötietoja käsitellään, on välitön seuraus tiedonsaantioikeudesta, joka näille henkilöille on tunnustettu tietosuoja-asetuksen 12–14 artiklassa. ( 3 ) Avoimuusperiaatteen kulmakivenä ( 4 ) oikeus saada tietoja ”takaa kaiken käsittelyn avoimuuden” yleisen tietosuoja-asetuksen yhteydessä. ( 5 )

2.

Unionin tuomioistuinta pyydetään tarkemmin ottaen lausumaan siitä, onko tilanteissa, joissa tietoja kerätään vartalokameralla, asianmukainen oikeusperusta yleisen tietosuoja-asetuksen 13 vai 14 artikla. Kummankin säännöksen soveltamisalan rajaamisella on merkittäviä seurauksia tietojen toimittamisen ajankohdalle ja myös mahdollisille poikkeuksille.

II 

Asiaa koskevat oikeussäännöt

3.

Yleisen tietosuoja-asetuksen 13 artiklassa, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja kerätään rekisteröidyltä”, säädetään seuraavaa:

4.

Yleisen tietosuoja-asetuksen 14 artiklassa, jonka otsikko on ”Toimitettavat tiedot, kun henkilötietoja ei ole saatu rekisteröidyltä”, säädetään seuraavaa:

III 

Asian tausta ja ennakkoratkaisukysymys

5.

AB Storstockholms Lokaltrafik (Suur-Tukholman joukkoliikenne, jäljempänä SL) harjoittaa julkista liikennettä. Yhtiö on varustanut lipuntarkastajansa vartalokameroilla. Kameroita käytetään kuvaamaan matkustajia, joilla ei lipuntarkastuksen yhteydessä ole voimassa olevaa matkalippua ja joille määrätään tarkastusmaksu. Kameroiden käytön tarkoituksena on ehkäistä ja dokumentoida tarkastajiin kohdistuvia uhkauksia ja väkivaltaa sekä varmistaa tarkastusmaksun maksavien matkustajien henkilöllisyys.

6.

Integritetsskyddsmyndigheten (Ruotsin tietosuojaviranomainen, jäljempänä tietosuojaviranomainen) on osana valvontatoimintaansa tarkistanut, oliko tapa, jolla SL on käsitellyt vartalokameroiden käytön avulla kerättyjä henkilötietoja, yleisen tietosuoja-asetuksen mukainen. Tietosuojaviranomainen teki kesäkuussa 2021 valvontapäätöksen, joka sisältää useita toteamuksia vartalokameroiden käytöstä ja toiminnasta. Kyseisestä päätöksestä ilmenee tarkemmin ottaen, että lipuntarkastajat kantavat kameroita yllään koko työvuoronsa ajan. Kamerat tallentavat jatkuvasti kuvaa ja ääntä sisältävää videota. Niissä on niin sanottu kiertomuisti, mikä tarkoittaa, että tietyn ajan kuluttua kaikki videomateriaali poistetaan automaattisesti. Sen jälkeen tallennettu materiaali poistetaan. Tallennettua aineistoa säilytettiin alun perin kaksi minuuttia, mutta valvontaan liittyvän tarkastuksen kuluessa tämä aika lyheni yhteen minuuttiin. Lipuntarkastajat voivat nappia painamalla peruuttaa automaattisen poiston ja siten varmistaa, että tallennettua aineistoa ei poisteta. Lipuntarkastajia on ohjeistettu keskeyttämään automaattinen poistaminen kaikissa tilanteissa, joissa tarkastusmaksu määrätään ja muutoinkin uhan ilmetessä.

7.

Tietosuojaviranomainen totesi valvontapäätöksessä, että SL oli vuoden 2018 joulukuusta ja siihen asti, kun viranomainen teki päätöksensä vuoden 2021 kesäkuussa, käsitellyt henkilötietoja useiden yleisen tietosuoja-asetuksen säännösten vastaisesti käyttämällä vartalokameroita lipuntarkastusten yhteydessä. SL oli muun muassa yleisen tietosuoja-asetuksen 13 artiklan vastaisesti laiminlyönyt riittävien tietojen toimittamisen rekisteröidyille. Tämän seurauksena SL määrättiin maksamaan yhteensä 16 miljoonan Ruotsin kruunun (SEK) (n. 1 422 000 euroa) suuruinen hallinnollinen seuraamusmaksu, josta 4 miljoonaa kruunua (n. 355 000 euroa) koski sitä, että rekisteröidyille oli annettu puutteellisia tietoja.

8.

SL valitti päätöksestä Förvaltningsrätten i Stockholmiin (Tukholman hallinto-oikeus, Ruotsi), joka hylkäsi valituksen siltä osin kuin se koski puutteellisten tietojen perusteella määrättyä seuraamusmaksua.

9.

SL valitti kyseisestä tuomiosta Kammarrätten i Stockholmiin (Tukholman kamarioikeus, Ruotsi), joka kumosi ensimmäisessä oikeusasteessa annetun tuomion ja valvontapäätöksen siltä osin kuin siinä määrättiin SL:lle seuraamusmaksu sen perusteella, että rekisteröidyille oli annettu puutteellisia tietoja. Kammarrätten i Stockholm viittasi tuomionsa perusteluissa unionin tuomioistuimen 11.12.2014 antamaan tuomioon Ryneš (C‑212/13, EU:C:2014:2428; jäljempänä tuomio Ryneš), joka koski yksityishenkilön kotiinsa asentaman kamerajärjestelmän toimintaa. Kammarrätten i Stockholmin näkemyksen mukaan kyseisestä tuomiosta ilmenee, että tilanteissa, joihin liittyy videovalvontaa, rekisterinpitäjän velvollisuus antaa rekisteröidyille riittävästi tietoja perustuu direktiivin 95/46/EY ( 6 ) 11 artiklaan, joka oli yleisen tietosuoja-asetuksen 14 artiklan aikaisempi vastine. Kammarrätten i Stockholm myös katsoi, että yleisen tietosuoja-asetuksen 13 artiklan sanamuoto osoittaa, että edellytetään jonkinlaista rekisteröidyn tietoista toimintaa, jotta voidaan katsoa, että henkilötiedot on kerätty häneltä. Asian ei voida katsoa olevan näin, kun henkilötiedot kerätään vartalokameran avulla. Kammarrätten i Stockholm päätteli tästä, että koska yleisen tietosuoja-asetuksen 13 artiklaa ei voida soveltaa, tietosuojaviranomaisella ei ollut perustetta määrätä SL:lle seuraamusmaksua kyseisen artiklan rikkomisesta.

10.

Tietosuojaviranomainen valitti Kammarrätten i Stockholmin tuomiosta Högsta förvaltningsdomstoleniin (korkein hallinto-oikeus, Ruotsi), joka on ennakkoratkaisua pyytänyt tuomioistuin, ja vaati, että kyseinen tuomio kumotaan siltä osin kuin se koskee seuraamusmaksua, joka on määrätty sillä perusteella, että rekisteröidyille on annettu puutteellisia tietoja.

11.

Tietosuojaviranomainen on toistanut ennakkoratkaisua pyytäneessä tuomioistuimessa väitteensä, jonka mukaan yleisen tietosuoja-asetuksen 13 artiklaa sovelletaan, vaikka rekisteröity ei osallistuisi aktiivisesti tietojen keräämiseen. Koska kameravalvonnassa tiedot on annettava ennen henkilötietojen käsittelyn aloittamista, rekisteröity on se, joka tietoisesti siirtymällä valvotulle alueelle mahdollistaa henkilötietojen keräämisen.

12.

SL on vaatinut ennakkoratkaisua pyytäneessä tuomioistuimessa valituksen hylkäämistä. Sen mukaan yleisen tietosuoja-asetuksen 13 artiklan sanamuodosta käy ilmi, että rekisteröidyn on tietoisesti osallistuttava henkilötietojen keräämiseen. Monitasoinen lähestymistapa tietojen toimittamiseen silloin, kun käytetään kameravalvontaa, on pikemminkin yleisen tietosuoja-asetuksen 14 artiklan kuin sen 13 artiklan systematiikan mukainen. Kyseisen asetuksen 14 artiklan 5 kohdan b alakohdassa säädetään poikkeuksesta tietojen toimittamista koskevaan velvollisuuteen, jos tietojen toimittaminen osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa. SL väittää, että kyseistä poikkeusta olisi sovellettava tilanteissa, joissa käytetään vartalokameroita, koska tietojen antaminen erikseen jokaiselle matkustajalle ennen tallentamista olisi epäkäytännöllistä.

13.

Voidakseen ratkaista, määräsikö tietosuojaviranomainen SL:lle oikeutetusti seuraamusmaksun yleisen tietosuoja-asetuksen 13 artiklan rikkomisesta, ennakkoratkaisua pyytänyt tuomioistuin pyrkii selvittämään, sovelletaanko yleisen tietosuoja-asetuksen 13 vai 14 artiklaa silloin, kun henkilötietoja otetaan talteen vartalokameran avulla. Sen määrittämisellä, kumpaa säännöstä sovelletaan, on myös seurauksia sille, mitä tietoja on toimitettava, kun tietojen toimittamista koskeva velvollisuus syntyy, ja sille, sovelletaanko jotain tähän velvollisuuteen säädetyistä poikkeuksista.

14.

Tässä tilanteessa Högsta förvaltningsdomstolen päätti lykätä asian käsittelyä ja esittää unionin tuomioistuimelle seuraavan ennakkoratkaisukysymyksen:

15.

Kirjallisia huomautuksia esittivät pääasian asianosaiset, Itävallan ja Tanskan hallitukset sekä Euroopan komissio.

IV 

Asian tarkastelu

A 

Alustavat huomautukset kysymyksen ulottuvuudesta

16.

Ennakkoratkaisua pyytäneen tuomioistuimen esittämä kysymys koskee SL:n, joka on julkista liikennettä harjoittava yhtiö, tietojen toimittamiseen liittyviä velvollisuuksia, kun kyse on sen tarkastajien käyttämistä vartalokameroista. Kyseiset vartalokamerat tallentavat kuvia ja ääntä. ( 7 ) Näiden kameroiden käytön tavoitteena on lähinnä ehkäistä ja dokumentoida lipuntarkastajiin kohdistuvia uhkauksia ja väkivaltaa.

17.

Ennakkoratkaisupyynnöstä käy ilmi, että asianomainen tietojenkäsittely kuuluu yleisen tietosuoja-asetuksen soveltamisalaan. Tarkasteluni ei näin ollen kata tietojenkäsittelyä, jota tehdään lainvalvontaviranomaisten vartalokameroiden käytön yhteydessä ja joka kuuluu direktiivin (EU) 2016/680 soveltamisalaan. ( 8 )

18.

On myös huomautettava, että ennakkoratkaisua pyytäneen tuomioistuimen esittämä kysymys koskee ainoastaan yleisen tietosuoja-asetuksen 13 ja 14 artiklan mukaista rekisterinpitäjän velvollisuutta toimittaa tietoja. Unionin tuomioistuimelta ei ole tiedusteltu kyseessä olevan tietojenkäsittelyn lainmukaisuudesta yleisen tietosuoja-asetuksen 6 artiklan nojalla.

B 

Tietojen kerääminen vartalokameroiden avulla ja velvollisuus toimittaa tietoja rekisteröidylle: yleisen tietosuoja-asetuksen 13 ja 14 artiklan soveltamisalan rajaaminen

19.

Ennakkoratkaisua pyytänyt tuomioistuin tiedustelee kysymyksellään lähinnä, sovelletaanko yleisen tietosuoja-asetuksen 13 vai 14 artiklaa tilanteessa, jossa henkilötietoja kerätään julkista liikennettä harjoittavan yhtiön palveluksessa olevien lipuntarkastajien käyttämien vartalokameroiden avulla.

20.

Yleisen tietosuoja-asetuksen 13 ja 14 artiklassa vahvistetaan tietojen toimittamista rekisteröidylle koskevan rekisterinpitäjän velvollisuuden laajuus. Yleisen tietosuoja-asetuksen 13 artiklaa sovelletaan, kun henkilötietoja kerätään rekisteröidyltä (suora kerääminen), kun taas 14 artiklaa sovelletaan, kun henkilötietoja ei ole saatu rekisteröidyltä (epäsuora kerääminen). ( 9 )

21.

Useimmat tiedot, jotka yleisen tietosuoja-asetuksen 13 ja 14 artiklan nojalla on toimitettava, ovat samoja, vaikka niissä onkin joitain eroja. ( 10 ) Tärkein ero näiden kahden säännöksen välillä koskee ajankohtaa, jona tiedot on toimitettava, ja mahdollisia poikkeuksia velvollisuudesta toimittaa tietoja.

22.

Yleisen tietosuoja-asetuksen 13 artiklan 1 ja 2 kohdassa säädetään, että kerättäessä rekisteröidyltä häntä koskevia henkilötietoja tiedot on toimitettava rekisteröidylle ”silloin, kun henkilötietoja saadaan”. Kun henkilötietoja ei ole saatu rekisteröidyltä, rekisterinpitäjän on toimitettava yleisen tietosuoja-asetuksen 14 artiklan 1 ja 2 kohdassa tarkoitetut tiedot saman artiklan 3 kohdan a, b ja c alakohdassa säädetyissä määräajoissa. Yleissääntönä on, että rekisterinpitäjän on toimitettava tiedot kohtuullisen ajan kuluttua mutta viimeistään kuukauden kuluessa henkilötietojen saamisesta ottaen huomioon tietojen käsittelyyn liittyvät erityiset olosuhteet (yleisen tietosuoja-asetuksen 14 artiklan 3 kohdan a alakohta). Määräaika, jonka kuluessa rekisterinpitäjän on toimitettava tiedot, on erilainen 14 artiklan 3 kohdan b ja c alakohdassa säädetyissä tilanteissa. ( 11 )

23.

Kun tarkastellaan mahdollisia poikkeuksia velvollisuuteen toimittaa tietoja, kerättäessä tietoja suoraan yleisen tietosuoja-asetuksen 13 artiklan nojalla ainoan sovellettavan poikkeuksen sanamuoto on ”jos ja siltä osin kuin rekisteröity on jo saanut tiedot”. Epäsuoran keräämisen tapauksessa yleisen tietosuoja-asetuksen 14 artiklan 5 kohdassa säädettyjen mahdollisten poikkeusten luettelo on pitempi. Näihin poikkeuksiin kuuluvat tilanteet, joissa tietojen toimittaminen ”osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa” (yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan b alakohta). Tällaisissa tapauksissa rekisterinpitäjän on ”toteutettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi, mukaan lukien kyseisten tietojen saattaminen julkisesti saataville”.

24.

Edellä esitetystä ilmenee, että tietojen toimittamista koskevan rekisterinpitäjän velvollisuuden laajuus vaihtelee sen mukaan, sovelletaanko yleisen tietosuoja-asetuksen 13 vai 14 artiklaa. Tämän määrityksen lopputulos vaikuttaa siihen, mitä seikkoja valvontaviranomaisen on tutkittava sen ratkaisemiseksi, onko velvollisuutta toimittaa tietoja rikottu.

25.

Näiden yleisten huomautusten esittämisen jälkeen on seuraavaksi tutkittava, kuuluuko pääasiassa käytetyn kaltaisella vartalokameralla saatujen henkilötietojen käsittely yleisen tietosuoja-asetuksen 13 vai 14 artiklan aineelliseen soveltamisalaan. Tätä tarkoitusta varten on vakiintuneen oikeuskäytännön mukaan otettava huomioon paitsi sen säännöksen sanamuoto, jossa poikkeuksesta säädetään, myös kyseisen säännöksen asiayhteys ja sillä säännöstöllä tavoitellut päämäärät, jonka osa säännös on. ( 12 )

26.

Ensinnäkin yleisen tietosuoja-asetuksen 13 ja 14 artiklan sanamuodosta on huomautettava, että kuten unionin tuomioistuin selvensi tuomiossa Másdi, 14 artiklan aineellinen soveltamisala on määritelty negatiivisesti kyseisen asetuksen 13 artiklaan nähden. ( 13 ) Kuten näiden säännösten otsikoistakin ilmenee, kyseisessä 13 artiklassa säädetään toimitettavista tiedoista, kun henkilötietoja kerätään rekisteröidyltä, kun taas kyseisessä 14 artiklassa säädetään toimitettavista tiedoista, kun henkilötietoja ei ole saatu rekisteröidyltä. ( 14 ) Kuten komissio kirjallisissa huomautuksissaan totesi, nämä kaksi säännöstä ovat toisensa pois sulkevia. Tästä kahtiajaosta seuraa, että kaikki tapaukset, joissa henkilötietoja kerätään rekisteröidyltä, kuuluvat 13 artiklan aineelliseen soveltamisalaan, ja kaikki tapaukset, joissa henkilötietoja ei ole saatu rekisteröidyltä, kuuluvat 14 artiklan aineelliseen soveltamisalaan. ( 15 )

27.

Ennakkoratkaisupyynnöstä ilmenee, että vaikeus näiden säännösten aineellisen soveltamisalan määrittämisessä piilee erityisesti siinä, edellyttääkö yleisen tietosuoja-asetuksen 13 artiklan soveltaminen sitä, että rekisteröity on tietoinen henkilötietojensa keräämisestä, tai jonkinlaista rekisteröidyn tietoista toimea tietojen antamisessa (esimerkiksi täyttämällä lomakkeen). ( 16 )

28.

Tältä osin on huomautettava, että käsite ”kerättäessä” rekisteröidyltä häntä koskevia henkilötietoja, sellaisena kuin siihen viitataan yleisen tietosuoja-asetuksen 13 artiklan 1 kohdassa, ei edellytä rekisteröidyltä erityisiä toimia. ”Kerääminen” on yksi tietojen ”käsittelyn” muoto, sellaisena kuin viimeksi mainittu käsite määritellään yleisen tietosuoja-asetuksen 4 artiklan 2 alakohdassa. Tietojen kerääminen edellyttää siten rekisterinpitäjän toimintaa. ( 17 ) Kuten tietosuojaviranomainen on esittänyt ennakkoratkaisua pyytäneessä tuomioistuimessa, rekisterinpitäjällä eikä rekisteröidyllä on aktiivinen rooli tietojen keräämisessä.

29.

Komissio ja tietosuojaviranomainen ovat todenneet kirjallisissa huomautuksissaan, että yleisen tietosuoja-asetuksen 13 ja 14 artiklan englannin- ja ruotsinkielisissä versioissa käytetään kahta eri verbiä. Sen 13 artiklassa viitataan rekisteröidyltä ”kerättyihin” tietoihin (englanniksi ”collected”, ruotsiksi ”samlas”), kun taas 14 artiklassa viitataan tietoihin, joita ei ole ”saatu” rekisteröidyltä (englanniksi ”obtained”, ruotsiksi ”erhållits”). Kuten komissio huomautti, muissa kieliversioissa käytetään kuitenkin samaa verbiä, ( 18 ) ja joka tapauksessa kahden eri verbin, ”kerätä” ja ”saada”, käytöllä ei vaikuta olevan mitään merkitystä. Tämä voidaan myös johtaa tuomiosta Másdi, jossa unionin tuomioistuin selittää, että henkilötietoja, jotka rekisterinpitäjä on ”hankkinut” yleisen tietosuoja-asetuksen 14 artiklassa tarkoitetussa merkityksessä, ovat kaikki henkilötiedot, jotka rekisterinpitäjä ”kerää” muulta kuin rekisteröidyltä – –”. ( 19 )

30.

Edellä 26 kohdassa mainittu yleisen tietosuoja-asetuksen 13 ja 14 artiklan kahtiajako osoittaa, että perusta niiden aineellisen soveltamisalan määrittämiselle ei ole rekisteröidyn aktiivinen osallistuminen tietojen keräämiseen vaan pikemminkin tietojen lähde. Jos rekisteröity on tietojen lähde, sovelletaan 13 artiklaa. Jotta tätä säännöstä voidaan soveltaa, rekisteröidyn ja rekisterinpitäjän välillä ei pitäisi olla mitään välikättä. Jos tietojen lähde on mitä tahansa muu kuin rekisteröity, sovelletaan 14 artiklaa. Muita lähteitä voisivat olla esimerkiksi muut rekisterinpitäjät (kolmannet osapuolet), julkiset lähteet tai muut rekisteröidyt. ( 20 )

31.

Yleisen tietosuoja-asetuksen 14 artiklan 2 kohdan f alakohdan sanamuoto vahvistaa, että tietojen lähde on peruste 13 ja 14 artiklan aineellisen soveltamisalan rajaamiselle. Kyseisessä säännöksessä nimittäin säädetään, että kun tietoja ei ole saatu rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle tiedot siitä, ”mistä henkilötiedot on saatu” (kursivointi tässä).

32.

Yleisen tietosuoja-asetuksen johdanto-osan 61 perustelukappaleen sanamuoto viittaa myös siihen, että tietojen lähde on peruste 13 ja 14 artiklan aineellisen soveltamisalan rajaamiselle. Kyseisessä perustelukappaleessa todetaan, että ”rekisteröidylle olisi ilmoitettava häntä koskevien henkilötietojen käsittelystä tietojen keruun yhteydessä tai, jos henkilötiedot on saatu jostain muusta lähteestä, kohtuullisen ajan kuluessa tietojen keruusta, tapaukseen liittyvät olosuhteet huomioon ottaen” (kursivointi tässä). Siinä myös lisätään, että ”jos rekisteröidylle ei ole voitu ilmoittaa henkilötietojen alkuperää johtuen siitä, että on käytetty useita lähteitä”, olisi annettava yleiset tiedot (kursivointi tässä).

33.

Tietoja voidaan kerätä suoraan rekisteröidyltä käyttäen eri menetelmiä. Tällainen kerääminen ei edellytä rekisteröidyn osallistumista tai aloitteellisuutta tietojen antamisessa tai tietoisuutta niiden keräämisestä. Tämän lähestymistavan vahvistavat myös 29 artiklan mukaisen tietosuojatyöryhmän läpinäkyvyyttä koskevat suuntaviivat, joiden mukaan 13 artiklaa sovelletaan, kun rekisteröity antaa henkilötietoja rekisterinpitäjälle tietoisesti tai kun rekisterinpitäjä kerää tiedot rekisteröidystä havainnoimalla. Suuntaviivoissa mainittuihin esimerkkeihin tietojen keräämisestä havainnoimalla kuuluu automaattisten tiedonkeruun välineiden tai tiedonkeruuohjelmiston, kuten kameroiden, käyttö. ( 21 )

34.

Kun tietoja kerätään suoraan havainnoimalla, rekisteröidyn tietoisuus keräämisestä on seurausta yleisen tietosuoja-asetuksen 13 artiklan soveltamisesta ja velvollisuudesta, joka siinä asetetaan rekisterinpitäjälle toimittaa tietoja rekisteröidylle silloin, kun henkilötietoja kerätään. Toisin sanoen tietoisuus tietojen keräämisestä ei ole edellytys 13 artiklan soveltamiselle, vaan pikemminkin seuraus yleisen tietosuoja-asetuksen 13 artiklassa säädetystä velvollisuudesta toimittaa tietoja rekisteröidylle (viimeistään) silloin, kun henkilötietoja saadaan.

35.

Siitä hetkestä alkaen, jona henkilötietoja kerätään suoraan rekisteröidyltä, ja juuri tämän keräämisen vuoksi rekisterinpitäjän on toimitettava rekisteröidylle tietoja ja tehtävä näin rekisteröity tietoiseksi henkilötietojen keräämisestä. Kuten tietosuojaviranomainen väitti, jos kyseessä on valvottu alue, siellä on oltava asianmukainen varoitusmerkki, jotta rekisteröity on tietoinen tietojen keräämisestä ennen tuloaan valvotulle alueelle. ( 22 ) Tulemalla tietoisesti valvotulle alueelle rekisteröity sallii henkilötietojensa keräämisen.

36.

Kun tietoja kerätään käsiteltävässä asiassa kyseessä olevan kaltaisella vartalokameralla, rekisteröidystä tulee kerättyjen tietojen lähde pelkällä fyysisellä läsnäolollaan alueella, jota kamera kuvaa, kuten Itävallan hallitus huomautti.

37.

Yleisen tietosuoja-asetuksen 13 ja 14 artiklan tai sen johdanto-osan perustelukappaleiden sanamuodosta ei voida tehdä toisenlaista päätelmää, jonka mukaan 13 artiklaa sovellettaisiin vain, kun rekisteröity antaa tiedot aktiivisesti. Tarkemmin ottaen, toisin kuin SL ja Tanskan hallitus väittivät, tällaista päätelmää ei voida tehdä yleisen tietosuoja-asetuksen 13 artiklan 2 kohdan e alakohdasta, kuten johdanto-osan 60 perustelukappaleesta ilmenee. Kyseisen säännöksen mukaan rekisterinpitäjän on silloin, kun henkilötietoja kerätään rekisteröidyltä, toimitettava rekisteröidylle tiedot siitä, ”– – onko rekisteröidyn pakko toimittaa henkilötiedot[,] ja tällaisten tietojen antamatta jättämisen mahdolliset seuraukset”. Kuten tietosuojaviranomainen totesi ennakkoratkaisua pyytäneessä tuomioistuimessa, tiedot mahdollisesta velvollisuudesta toimittaa tietoja on annettava vain, jos sitä edellytetään yksittäistapauksessa. ( 23 ) Yleisen tietosuoja-asetuksen 13 artiklan 2 kohdan e alakohtaa ei pidä tulkita siten, että siinä edellytetään kaikissa tilanteissa rekisteröidyltä erityisiä toimia, jotta 13 artiklaa voidaan soveltaa.

38.

Yleisen tietosuoja-asetuksen 14 artiklan 1 kohdan d alakohdan sanamuotokaan ei viittaa siihen, että rekisteröidyllä on oltava aktiivinen rooli tietojen toimittamisessa tai että hänen on oltava tietoinen tietojen keräämisestä, jotta 13 artiklaa voidaan soveltaa. Yleisen tietosuoja-asetuksen 14 artiklan 1 kohdan d alakohdassa edellytetään, että kun tietoja ei ole saatu rekisteröidyltä, rekisterinpitäjän on toimitettava rekisteröidylle kyseessä olevat henkilötietoryhmät. Koska yleisen tietosuoja-asetuksen 13 artiklassa ei edellytetä tällaisten tietojen toimittamista, SL ja Tanskan hallitus päättelevät tästä, että 13 artiklaa sovelletaan, kun rekisteröity on jo tietoinen tietojen keräämisestä. Kyseisen 14 artiklan 1 kohdan d alakohdan mukainen tietojen toimittamista koskeva edellytys voidaan kuitenkin oikeuttaa sillä, että rekisterinpitäjä käsittelee tietoja, jotka on saatu muista lähteistä kuin rekisteröidyltä, eikä ole yhteydessä rekisteröityyn tietojen keräämisajankohtana.

39.

Yleisen tietosuoja-asetuksen 13 ja 14 artiklan sanamuoto tukee siten päätelmää, jonka mukaan tietojen kerääminen vartalokameralla, tietojen suoraan rekisteröidyltä keräämisen muotona, kuuluu 13 artiklan soveltamisalaan.

40.

Toiseksi näiden säännösten asiayhteys tukee tällaista tulkintaa. Yleisen tietosuoja-asetuksen 13 ja 14 artiklan mukaiset tietojen toimittamista koskevat velvollisuudet ovat läpinäkyvyysperiaatteen, jota sovelletaan henkilötietojen käsittelyyn yleisen tietosuoja-asetuksen 5 artiklan 1 kohdan a alakohdan nojalla, erityisiä ilmentymiä. Viimeksi mainitun säännöksen mukaan henkilötietoja on käsiteltävä lainmukaisesti, asianmukaisesti ja rekisteröidyn kannalta läpinäkyvästi. Tästä seuraa, että henkilötietojen käsittelyn on muun muassa täytettävä läpinäkyvyyttä koskevat konkreettiset vaatimukset sen rekisteröidyn kannalta, jota tällainen käsittely koskee. ( 24 )

41.

Yleisen tietosuoja-asetuksen 13 ja 14 artiklan soveltamisalan rajaaminen tietojen lähteen avulla mahdollistaa asianmukaisen ja läpinäkyvän käsittelyn. Kun tietoja kerätään suoraan rekisteröidyltä, tiedot on toimitettava rekisteröidylle keräämisajankohtana. Kun tietoja ei kerätä suoraan rekisteröidyltä, rekisterinpitäjällä on jonkinlaista liikkumavaraa tietojen – jotka on toimitettava kohtuullisen ajan kuluttua – toimittamisessa juuri siksi, ettei suoraa yhteyttä rekisteröityyn ole.

42.

Kun tietoja kerätään vartalokameralla, tietojen toimittaminen rekisteröidylle välittömästi keräämisestä mahdollistaa sen, että rekisteröity on tietoinen keräämisestä, jotta hän voi käyttää oikeuksiaan rekisteröitynä keräämisajankohdasta alkaen tai jopa ennen keräämisen alkamista. Kuten Itävallan hallitus huomautti, kun rekisteröity tulee mahdollisimman aikaisin tietoiseksi tietojen keräämisestä, hän voi esimerkiksi päättää jättää tulematta valvotulle alueelle tai mukauttaa käyttäytymistään.

43.

Kun tarkastellaan käytännön keinoja tietojen toimittamiseen, on muistettava, että yleisen tietosuoja-asetuksen 12 artiklan 1 kohdan mukaan rekisterinpitäjän on toteutettava ”asianmukaiset toimenpiteet” toimittaakseen vaaditut tiedot ”tiiviisti esitetyssä, läpinäkyvässä, helposti ymmärrettävässä ja saatavilla olevassa muodossa selkeällä ja yksinkertaisella kielellä”.

44.

Kirjallisia huomautuksia esittäneet asianosaiset ja muut osapuolet hyväksyvät yleisenä olettamana sen, että kameravalvonnan tapauksessa tiedot olisi annettava ”kerroksittaisen lähestymistavan” mukaisesti. EDPB:n ohjeissa videovalvonnasta esitetään yksityiskohtainen ja käytännönlähteinen katsaus monitasoiseen esitystapaan. Ensimmäinen taso koskee ”ensisijaista tapaa, jolla rekisterinpitäjä on ensimmäiseksi tekemisissä rekisteröidyn kanssa”. Kameravalvonnan tapauksessa tämä on yleensä varoitusmerkki, jotta rekisteröity on tietoinen siitä, että hän on tulossa valvotulle alueelle. Ensimmäisen tason informaatiota on täydennettävä toisen tason informaatiolla, mieluiten viittaamalla toisen tason digitaaliseen lähteeseen (esim. QR-koodiin tai verkkosivustoon), vaikka informaation pitäisi olla helposti saatavilla myös muuten kuin digitaalisesti. ( 25 )

45.

SL ja Tanskan hallitus väittivät, että monitasoinen esitystapa vastaa paremmin yleisen tietosuoja-asetuksen 14 artiklan kuin sen 13 artiklan yleistä systematiikkaa. Niiden mukaan vaikeuksien tietojen toimittamisessa niitä kerättäessä silloin, kun käytetään vartalokameroita, olisi johdettava yleisen tietosuoja-asetuksen 14 artiklan 5 kohdan b alakohdan mukaisen poikkeuksen soveltamiseen. Kyseistä poikkeusta sovelletaan, kun tietojen toimittaminen ”osoittautuu mahdottomaksi tai vaatisi kohtuutonta vaivaa”. Tällaisissa tapauksissa rekisterinpitäjän on ”toteutettava asianmukaiset toimenpiteet rekisteröidyn oikeuksien ja vapauksien sekä oikeutettujen etujen suojaamiseksi”.

46.

En pidä näitä väitteitä vakuuttavina. Ensinnäkin yleisen tietosuoja-asetuksen 12 artiklasta ilmenee, että ”asianmukaiset toimenpiteet”, joita rekisterinpitäjän on toteutettava tietojen toimittamiseksi, liittyvät sekä 13 että 14 artiklan mukaisiin tietoihin. Tämä tarkoittaa, että rekisterinpitäjän on toteutettava asianmukaiset toimenpiteet tietojen toimittamiseksi tilanteissa, joissa tietoja kerätään sekä suoraan että epäsuorasti.

47.

Toiseksi, kuten tietosuojaviranomainen lähinnä huomautti, toimenpiteiden asianmukaisuus riippuu asiayhteydestä, jossa tietoja kerätään, ja liittyy muun muassa rekisteröityjen intresseihin. Tietojen kerääminen vartalokameralla on yhtä tunkeilevaa kuin videovalvonta, ja siihen liittyy merkittäviä riskejä rekisteröityjen yksityisyydelle. ( 26 ) Kun rekisterinpitäjät pyrkivät määrittämään asianmukaisimmat toimenpiteet tietojen toimittamiseksi rekisteröidyille, niiden on otettava asianmukaisesti huomioon läpinäkyvyysperiaate ja tietojen keräämiseksi käytettyjen keinojen tunkeilevuus. Jos hyväksytään yleisesti, että monitasoinen esitystapa on asianmukainen videovalvonnassa, johon liittyy merkittäviä riskejä yksityisyydelle, saman olisi pädettävä tietojen keräämiseen vartalokameroilla.

48.

Kolmanneksi on vakuuttavia argumentteja, jotka osoittavat, ettei monitasoinen esitystapa ole ”epäkäytännöllinen” tai ”mahdoton” käytettäessä vartalokameraa. Tietosuojaviranomainen, Itävallan hallitus ja komissio väittivät, että videovalvontaa koskevaa monitasoista esitystapaa voidaan soveltaa samalla tavalla vartalokameroihin, ja viittasivat EDPB:n ohjeisiin videovalvonnasta. Näiden ohjeiden ei-sitova luonne ei muuta sitä tosiseikkaa, että ne osoittavat konkreettisesti, että monitasoinen esitystapa on mahdollinen ja käytännöllinen. ( 27 )

49.

Kolmanneksi tulkinta, jonka mukaan 13 artiklaa sovelletaan kerättäessä tietoja vartalokameralla, on säännöstöllä, jonka osa yleisen tietosuoja-asetuksen 13 ja 14 artikla ovat, tavoiteltujen päämäärien mukainen. Yleisen tietosuoja-asetuksen tavoitteena, sellaisena kuin se ilmenee sen 1 artiklasta ja sen johdanto-osan ensimmäisestä ja kymmenennestä perustelukappaleesta, on etenkin se, että henkilötietojen käsittelyssä turvataan luonnollisten henkilöiden perusoikeuksien ja ‑vapauksien ja erityisesti heidän yksityisyyttä koskevan oikeutensa, joka on vahvistettu Euroopan unionin perusoikeuskirjan 8 artiklan 1 kohdassa ja SEUT 16 artiklan 1 kohdassa, korkeatasoinen suoja. ( 28 ) Tämän tavoitteen mukaisesti kaikessa henkilötietojen käsittelyssä on muun muassa noudatettava yleisen tietosuoja-asetuksen 5 artiklassa säädettyjä henkilötietojen käsittelyä koskevia periaatteita, läpinäkyvyysperiaate mukaan luettuna.

50.

Yleisen tietosuoja-asetuksen 13 ja 14 artiklassa säädetty rekisterinpitäjän velvollisuus toimittaa tietoja on läpinäkyvyysperiaatteen ilmentymä. Kuten edellä jo huomautettiin, ( 29 ) tietojen toimittamista koskevan velvollisuuden ajankohta vaihtelee sen mukaan, kumpaa näistä säännöksistä sovelletaan. Suora kerääminen edellyttää tietojen välitöntä toimittamista. Kun tietoja ei kerätä suoraan sen vuoksi, että niitä kerätään muista lähteistä, tiedot on annettava myöhemmässä vaiheessa. Yleinen tietosuoja-asetus mahdollistaa tietojen toimittamisen eri ajankohtina juuri siksi, että kerääminen on epäsuoraa.

51.

Jos olisi katsottava, että yleisen tietosuoja-asetuksen 14 artiklaa sovelletaan kerättäessä tietoja vartalokameralla, tämä tarkoittaisi, että rekisteröidyille ei toimitettaisi tietoja niiden keräämisajankohtana, vaikka he ovat tietojen lähde. Kuten Itävallan hallitus ja komissio lähinnä huomauttivat, tämä voisi heikentää yleisen tietosuoja-asetuksen 13 artiklan tehokasta vaikutusta (effet utile). Se nimittäin antaisi rekisterinpitäjille mahdollisuuden olla toimittamatta tietoja rekisteröidyille välittömästi huolimatta siitä, että tiedot kerättiin suoraan näiltä rekisteröidyiltä. ( 30 ) Tästä aiheutuu riski siitä, että tietojen tallentaminen jää rekisteröidyiltä huomaamatta ja että käytetään piilovalvontaa. ( 31 ) Tällainen yleisen tietosuoja-asetuksen 13 artiklan kiertäminen merkitsisi rekisteröidyn tiedonsaantioikeuden vakavaa loukkaamista.

52.

Lisäksi, jos yleisen tietosuoja-asetuksen 13 ja 14 artiklan aineellisen soveltamisalan erottaminen riippuisi siitä, oliko rekisteröity tosiasiassa tietoinen henkilötietojensa keräämisestä niitä kerättäessä, tämä hämärtäisi näiden kahden säännöksen välistä rajaa ja tekisi niiden soveltamisen riippuvaiseksi sattumanvaraisista olosuhteista.

53.

Yleisen tietosuoja-asetuksen 13 ja 14 artiklan sanamuodon mukaisesta, asiayhteyteen perustuvasta ja teleologisesta tulkinnasta seuraa näin ollen, että kun tietoja kerätään vartalokameralla, mikä on tietojen suoraan rekisteröidyltä keräämisen yksi muoto, rekisterinpitäjän velvollisuus toimittaa tietoja rekisteröidylle kuuluu ensiksi mainitun säännöksen soveltamisalaan.

54.

Täydellisyyden vuoksi esitän muutamia loppuhuomautuksia tuomion Ryneš merkityksellisyydestä käsiteltävässä asiassa. ( 32 ) Kyseisessä tuomiossa unionin tuomioistuin tulkitsi direktiivin 95/46 soveltamista koskevaa poikkeusta, josta säädettiin kyseisen direktiivin 3 artiklan 2 kohdan toisessa luetelmakohdassa ja joka koski henkilötietojen käsittelyä, jonka luonnollinen henkilö suorittaa yksinomaan ”henkilökohtaisessa tai kotitalouttaan koskevassa toiminnassa”. Se katsoi lähinnä, että sellaisen kamerajärjestelmän käyttäminen, jonka luonnollinen henkilö on asentanut kotitaloonsa suojatakseen talon omistajien omaisuutta, terveyttä ja henkeä, kun tällä järjestelmällä valvotaan myös julkista tilaa, ei ole tietojenkäsittelyä, joka suoritetaan yksinomaan henkilökohtaisessa tai kotitaloutta koskevassa toiminnassa kyseisessä säännöksessä tarkoitetuin tavoin. Tällainen käsittely ei siten voinut jäädä direktiivin 95/46 soveltamisalan ulkopuolelle.

55.

Mainitun tuomion 34 kohdassa unionin tuomioistuin totesi, että ”samalla kyseisen direktiivin säännösten soveltaminen mahdollistaa tarvittaessa sen, että otetaan huomioon erityisesti kyseisen direktiivin 7 artiklan f alakohdan, 11 artiklan 2 kohdan sekä 13 artiklan 1 kohdan d ja g alakohdan nojalla rekisterinpitäjän oikeutetut intressit – –”.

56.

Viittaus direktiivin 95/46 11 artiklan 2 kohtaan kyseisessä tuomion kohdassa ei muodosta unionin tuomioistuimen tulkintaa asianmukaisesta oikeusperustasta rekisterinpitäjän tekemälle tietojen toimittamiselle silloin, kun käytetään videovalvontaa. Kyseisessä tuomiossa esille tullut kysymys erosi täysin käsiteltävässä asiassa tarkasteltavasta, koska se koski ”kotitaloutta koskevan poikkeuksen” soveltamista eikä velvollisuutta toimittaa tietoja. Kyseisessä tuomion kohdassa unionin tuomioistuin pelkästään havainnollistaa, että on mahdollista ottaa huomioon rekisterinpitäjän oikeutetut intressit direktiivissä 95/46 säädettyjen rajoitusten ja poikkeusten valossa. Komissio myös huomauttaa perustellusti tuomioon Ryneš johtaneessa asiassa esitetystä ennakkoratkaisupyynnöstä ilmenevän, että kansallinen valvontaviranomainen oli kansallisen menettelyn yhteydessä katsonut, että direktiivin 95/46 11 artiklan täytäntöön panevaa kansallista lainsäädäntöä oli rikottu.

57.

Joka tapauksessa yleisen tietosuoja-asetuksen 14 artiklan mukainen määräaika tietojen toimittamiselle ei vastaa direktiivin 95/46 11 artiklassa säädettyä määräaikaa. ( 33 ) Lisäksi unionin lainsäätäjä selvensi yleisen tietosuoja-asetuksen 13 ja 14 artiklan soveltamisalojen erottelua viitaten sen johdanto-osan 61 perustelukappaleeseen sisältyvään tietojen lähteeseen. ( 34 )

58.

Näin syistä katson, ettei tuomio Ryneš ole merkityksellinen käsiteltävän asian kannalta ja ettei sen perusteella voida tehdä toisenlaista päätelmää kuin se, jota tässä ratkaisuehdotuksessa ehdotetaan.

59.

Edellä esitetyn perusteella katson, että yleisen tietosuoja-asetuksen 13 ja 14 artiklaa on tulkittava siten, että tilanteessa, jossa henkilötietoja kerätään joukkoliikennettä harjoittavan yhtiön palveluksessa olevien lipuntarkastajien käyttämällä vartalokameralla, sovelletaan 13 eikä 14 artiklaa.

V 

Ratkaisuehdotus

60.

Edellä esitetyn perusteella ehdotan, että unionin tuomioistuin vastaa Högsta förvaltningsdomstolenin esittämään ennakkoratkaisukysymykseen seuraavasti: