I.

Uvod

1.

Obravnavana zadeva se nanaša na obveznost upravljavca, kot je opredeljen v členu 4, točka 7, Uredbe (EU) 2016/679 (v nadaljevanju: SUVP), ( 2 ) da posamezniku, na katerega se nanašajo osebni podatki, zagotovi informacije, kadar se osebni podatki zbirajo s telesno kamero, ki jo nosi kontrolor vozovnic v javnem prevozu. Obveznost upravljavca, da posameznikom, na katere se nanašajo osebni podatki, zagotovi informacije, izhaja iz pravice do obveščenosti, ki je tem posameznikom priznana s členi od 12 do 14 SUVP. ( 3 ) Pravica do obveščenosti kot temeljno načelo preglednosti ( 4 ) „zagotavlja preglednost kakršne koli obdelave“ v okviru SUVP. ( 5 )

2.

Natančneje, Sodišče je pozvano, naj odloči o tem, ali je v primerih zbiranja podatkov s telesno kamero ustrezna pravna podlaga člen 13 ali člen 14 SUVP. Razmejitev področja uporabe vsake od teh določb pomembno vpliva na rok za zagotovitev informacij in na morebitne izjeme.

II.

Pravni okvir

3.

Člen 13 SUVP, naslovljen „Informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki“, določa:

4.

Člen 14 SUVP, naslovljen „Informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se ti nanašajo“, določa:

III.

Dejansko stanje v glavni stvari in vprašanje za predhodno odločanje

5.

AB Storstockholms Lokaltrafik (Stockholmski javni prevoz, v nadaljevanju: SL) opravlja storitve javnega prevoza. Družba je svoje kontrolorje vozovnic opremila s telesnimi kamerami. Kamere se uporabljajo za snemanje potnikov, ki med preverjanjem vozovnic nimajo veljavne vozovnice in katerim se naloži globa. Namen uporabe telesnih kamer je preprečevanje in dokumentiranje groženj in nasilja nad kontrolorji ter preverjanje istovetnosti potnikov, ki morajo plačati globo.

6.

Integritetsskydsmyndigheten (švedski organ za varstvo zasebnosti, v nadaljevanju: organ za varstvo zasebnosti) je v okviru svoje dejavnosti nadzora preučil, ali je to, družba SL obdeluje osebne podatke, pridobljene s telesnimi kamerami, v skladu s SUVP. Ta organ je junija 2021 izdal odločbo o nadzoru (v nadaljevanju: odločba o nadzoru), ki vsebuje več ugotovitev v zvezi z uporabo in delovanjem telesnih kamer. Natančneje, iz te odločbe je razvidno, da kontrolorji vozovnic nosijo kamere med celotno izmeno. Kamere neprestano snemajo sliko in zvok. Imajo tako imenovani krožni spomin, kar pomeni, da se po nekem času vsi videoposnetki samodejno brišejo. Po brisanju je posneto gradivo popolnoma izbrisano. Sprva je bilo posneto gradivo shranjeno dve minuti, med nadzorom pa se je to obdobje skrajšalo na eno minuto. Kontrolorji vozovnic lahko s pritiskom na gumb zaustavijo samodejno brisanje in s tem preprečijo, da bi se posnetek izbrisal. Kontrolorji vozovnic imajo navodilo, da zaustavijo samodejno brisanje v vseh primerih, v katerih se naloži plačilo globe, pa tudi v primeru grožnje.

7.

Organ za varstvo zasebnosti je v odločbi o nadzoru ugotovil, da je družba SL od decembra 2018 do datuma te odločbe junija 2021 s tem, da je uporabljala telesne kamere v zvezi s pregledovanjem vozovnic, obdelovala osebne podatke na način, ki je v nasprotju z več določbami SUVP. Družba SL posameznikom, na katere se nanašajo osebni podatki, med drugim ni zagotovila ustreznih informacij, kot je zahtevano s členom 13 SUVP. Zato je bilo družbi SL naloženo plačilo upravne globe v skupnem znesku 16 milijonov kron (SEK) (približno 1.422.000 EUR), od tega 4 milijone SEK (približno 355.000 EUR), ker posameznikom, na katere se nanašajo osebni podatki, ni zagotovila ustreznih informacij.

8.

Družba SL je odločbo o nadzoru izpodbijala pred Förvaltningsrätten i Stockholm (upravno sodišče v Stockholmu, Švedska), ki je tožbo zavrnilo v delu, v katerem se je nanašala na globo zaradi nezagotavljanja ustreznih informacij.

9.

Družba SL je nato vložila pritožbo pri Kammarrätten i Stockholm (višje upravno sodišče v Stockholmu, Švedska), ki je razveljavilo prvostopenjsko sodbo in odločbo o nadzoru v delu, v katerem je bila z njo družbi SL naložena globa zaradi nezagotavljanja ustreznih informacij posameznikom, na katere se nanašajo osebni podatki. Kammarrätten i Stockholm (višje upravno sodišče v Stockholmu) se je v obrazložitvi sodbe sklicevalo na sodbo Sodišča z dne 11. decembra 2014, Ryneš (C‑212/13, EU:C:2014:2428; v nadaljevanju: sodba Ryneš), ki se je nanašala na uporabo videonadzornega sistema, ki ga je oseba namestila na družinsko hišo. Kammarrätten i Stockholm (višje upravno sodišče v Stockholmu) meni, da iz te sodbe izhaja, da v primerih videonadzora obveznost upravljavca, da zagotovi ustrezne informacije, temelji na členu 11 Direktive 95/46/ES ( 6 ), ki je bil prejšnji ekvivalent člena 14 SUVP. Poleg tega Kammarrätten i Stockholm (višje upravno sodišče v Stockholmu) meni, da besedilo člena 13 SUVP kaže, da je za to, da se za osebne podatke šteje, da so bili pridobljeni od tega posameznika, potrebno določeno zavestno dejanje posameznika, na katerega se nanašajo osebni podatki. Če se osebni podatki pridobijo s telesno kamero, ni mogoče šteti, da je tako. Kammarrätten i Stockholm (višje upravno sodišče v Stockholmu) je ugotovilo, da ker se ne uporablja člen 13 SUVP, organ za varstvo zasebnosti nima podlage, da bi družbi SL naložil globo zaradi kršitve tega člena.

10.

Organ za varstvo zasebnosti je zoper sodbo Kammarrätten i Stockholm (višje upravno sodišče v Stockholmu) vložil pritožbo pri Högsta förvaltningsdomstolen (vrhovno upravno sodišče, Švedska), ki je predložitveno sodišče, in predlagal razveljavitev te sodbe v delu, v katerem se nanaša na globo zaradi nezagotavljanja ustreznih informacij posameznikom, na katere se nanašajo osebni podatki.

11.

Organ za varstvo zasebnosti je pred predložitvenim sodiščem trdil, da se člen 13 SUVP uporablja, čeprav posameznik, na katerega se nanašajo osebni podatki, ne sodeluje aktivno pri zbiranju podatkov. Ker se za videonadzor zahteva, da se informacije zagotovijo pred začetkom obdelave osebnih podatkov, naj bi bil posameznik, na katerega se nanašajo osebni podatki, tisti, ki z zavestnim vstopom na nadzorovano območje omogoča zbiranje osebnih podatkov.

12.

Družba SL je pred predložitvenim sodiščem predlagala, naj se pritožba zavrne. Trdi, da besedilo člena 13 SUVP kaže na to, da mora posameznik, na katerega se nanašajo osebni podatki, zavestno sodelovati pri zbiranju osebnih podatkov. Poleg tega naj bi bil večslojni pristop k zagotavljanju informacij pri videonadzoru bolj v skladu s sistematiko člena 14 SUVP kot s členom 13 SUVP. Člen 14(5)(b) te uredbe naj bi določal izjemo od obveznosti zagotavljanja informacij, kadar se izkaže, da je zagotavljanje informacij nemogoče ali bi vključevalo nesorazmeren napor. Družba SL trdi, da bi se ta izjema morala uporabljati v primerih, ki vključujejo uporabo telesnih kamer, saj naj bi bilo nemogoče vsakemu potniku posebej zagotoviti informacije pred beleženjem podatkov.

13.

Da bi lahko odločilo, ali je organ za varstvo zasebnosti družbi SL upravičeno naložil globo zaradi kršitve člena 13 SUVP, želi predložitveno sodišče izvedeti, ali se, kadar se osebni podatki pridobivajo s telesno kamero, uporablja člen 13 ali člen 14 SUVP. Odločitev o tem, katera določba se uporablja, vpliva tudi na to, katere informacije je treba zagotoviti, ko nastane obveznost zagotavljanja informacij, in ali velja katera od izjem od obveznosti zagotavljanja informacij.

14.

V teh okoliščinah je Högsta förvaltningsdomstolen (vrhovno upravno sodišče) prekinilo odločanje in Sodišču v predhodno odločanje predložilo to vprašanje:

15.

Pisna stališča so predložile stranki v postopku v glavni stvari, avstrijska in danska vlada ter Komisija.

IV.

Presoja

A.

Uvodne ugotovitve o obsegu vprašanja

16.

Vprašanje, ki ga je postavilo predložitveno sodišče, se nanaša na obveznosti družbe SL, ki opravlja storitve javnega prevoza, glede zagotavljanja informacij v zvezi s telesnimi kamerami, ki jih uporabljajo njeni kontrolorji. Zadevne kamere so telesne kamere, ki snemajo sliko in zvok. ( 7 ) Cilj uporabe teh kamer je predvsem preprečevanje in dokumentiranje groženj in nasilja nad kontrolorji vozovnic.

17.

Iz predložitvene odločbe je jasno razvidno, da zadevna obdelava spada na področje uporabe SUVP. Moja analiza torej ne zajema obdelave podatkov, povezane z uporabo telesnih kamer s strani organov preprečevanja, odkrivanja in preiskovanja kaznivih dejanj, ki spada na področje uporabe Direktive (EU) 2016/680. ( 8 )

18.

Poudariti je treba tudi, da se vprašanje predložitvenega sodišča nanaša le na obveznost zagotavljanja informacij, ki jo ima upravljavec na podlagi členov 13 in 14 SUVP. Sodišče ni bilo povprašano o zakonitosti zadevne obdelave podatkov na podlagi člena 6 SUVP.

B.

Zbiranje podatkov s telesnimi kamerami in obveznost zagotavljanja informacij posamezniku, na katerega se nanašajo osebni podatki: razmejitev področja uporabe členov 13 in 14 SUVP

19.

Predložitveno sodišče z vprašanjem v bistvu sprašuje, ali se v položaju, v katerem se osebni podatki zbirajo s telesnimi kamerami, ki jih nosijo kontrolorji vozovnic, ki delajo za družbo, ki opravlja storitve javnega prevoza, uporablja člen 13 ali člen 14 SUVP.

20.

V členih 13 in 14 SUVP je opredeljen obseg obveznosti upravljavca, da posamezniku, na katerega se nanašajo osebni podatki, zagotovi informacije. Člen 13 se uporablja, kadar se osebni podatki zbirajo pri posamezniku, na katerega se nanašajo osebni podatki (neposredno zbiranje), člen 14 pa se uporablja, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se nanašajo osebni podatki (posredno zbiranje). ( 9 )

21.

Večina informacij, ki jih je treba zagotoviti v skladu s členoma 13 in 14 SUVP, je enaka, čeprav obstajajo nekatere razlike. ( 10 ) Najpomembnejši razliki med določbama se nanašata na trenutek, ko je treba zagotoviti informacije, in na morebitne izjeme od obveznosti zagotavljanja informacij.

22.

V skladu s členom 13(1) in (2) SUVP je treba, kadar se osebni podatki zbirajo pri posamezniku, na katerega se nanašajo osebni podatki, informacije zagotoviti „takrat, ko [se] pridobi osebne podatke“. Če osebni podatki niso bili pridobljeni od posameznika, na katerega se nanašajo osebni podatki, mora upravljavec zagotoviti informacije iz člena 14(1) in (2) SUVP v rokih iz točk (a), (b) in (c) člena 14(3) te uredbe. Splošno pravilo je, da upravljavec zagotovi informacije v razumnem roku po pridobitvi osebnih podatkov, vendar najpozneje v enem mesecu, pri čemer se upoštevajo posebne okoliščine, v katerih se obdelujejo osebni podatki (člen 14(3)(a) SUVP). Rok, v katerem mora upravljavec zagotoviti informacije, se v primerih iz točk (b) in (c) člena 14(3) razlikuje. ( 11 )

23.

Od morebitnih izjem od obveznosti zagotavljanja informacij se v primeru neposrednega zbiranja informacij v skladu s členom 13 SUVP uporablja le tista, „kadar in kolikor […] posameznik, na katerega se nanašajo osebni podatki, že ima informacije“. V primeru posrednega zbiranja je nabor možnih izjem iz člena 14(5) SUVP daljši. Med temi izjemami so primeri, v katerih se zagotavljanje informacij „izkaže […] [za] nemogoče ali bi vključevalo nesorazmeren napor“ (člen 14(5)(b) SUVP). V takih primerih mora upravljavec „sprej[eti] ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki, tudi tako, da informacije objavi“.

24.

Iz navedenega je jasno razvidno, da se bo obseg upravljavčeve obveznosti zagotavljanja informacij razlikoval glede na to, ali se uporablja člen 13 ali člen 14 SUVP. Rezultat te ugotovitve bo vplival na vprašanja, ki jih bo moral nadzorni organ preiskati, da bi ugotovil, ali je prišlo do kršitve obveznosti zagotavljanja informacij.

25.

Po teh splošnih ugotovitvah je treba nato preučiti, ali obdelava podatkov s telesno kamero, kakršna se uporablja v postopku v glavni stvari, spada na stvarno področje uporabe člena 13 ali člena 14 SUVP. Zato je treba v skladu z ustaljeno sodno prakso upoštevati ne le besedilo teh določb, ampak tudi sobesedilo in cilje, ki se uresničujejo z ureditvijo, katere del sta. ( 12 )

26.

Na prvem mestu, v zvezi z besedilom členov 13 in 14 SUVP je treba poudariti, kot je Sodišče pojasnilo v sodbi Másdi, da je stvarno področje uporabe člena 14 opredeljeno negativno glede na člen 13 SUVP. ( 13 ) Kot je razvidno iz naslovov teh določb, se člen 13 nanaša na informacije, ki se zagotovijo, kadar se osebni podatki pridobijo od posameznika, na katerega se nanašajo osebni podatki, člen 14 pa na informacije, ki jih je treba zagotoviti, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se nanašajo. ( 14 ) Kot je Komisija navedla v pisnih stališčih, se določbi medsebojno izključujeta. Glede na to dihotomijo vsi primeri, v katerih se podatki zbirajo pri posamezniku, na katerega se nanašajo osebni podatki, spadajo na stvarno področje uporabe člena 13 in vsi primeri, v katerih se podatki ne zbirajo pri posamezniku, na katerega se nanašajo osebni podatki, na stvarno področje uporabe člena 14. ( 15 )

27.

Iz predložitvene odločbe je razvidno, da je težava pri določitvi stvarnega področja uporabe teh določb prav v vprašanju, ali za uporabo člena 13 SUVP velja pogoj, da se posameznik, na katerega se nanašajo osebni podatki, zaveda tega, da se zbirajo njegovi podatki, ali da opravi kakršno koli zavestno dejanje pri zagotavljanju podatkov (na primer izpolni obrazec). ( 16 )

28.

V zvezi s tem je treba poudariti, da pojem podatkov, „pridobljenih“ od posameznika, na katerega se nanašajo osebni podatki, v smislu člena 13(1) SUVP ne zahteva posebnega dejanja tega posameznika. „Zbiranje“ je oblika „obdelave“ podatkov, pri čemer je zadnjenavedeni pojem opredeljen v členu 4, točka 2, SUVP. Tako je za zbiranje podatkov potrebno dejanje upravljavca. ( 17 ) Kot je pred predložitvenim sodiščem trdil organ za varstvo zasebnosti, ima aktivno vlogo pri zbiranju podatkov upravljavec, ne pa posameznik, na katerega se nanašajo osebni podatki.

29.

Komisija in organ za varstvo zasebnosti sta v pisnih stališčih navedla, da sta v angleški in švedski različici členov 13 in 14 SUVP uporabljena različna glagola. Člen 13 se nanaša na podatke, „zbrane“ pri posamezniku, na katerega se nanašajo osebni podatki („samlas“ v švedščini), člen 14 pa na podatke, ki niso bili „pridobljeni“ pri posamezniku, na katerega se nanašajo osebni podatki („erhållits“ v švedščini). Vendar, kot je poudarila Komisija, je v drugih jezikovnih različicah uporabljen isti glagol, ( 18 ) v vsakem primeru pa se zdi, da uporaba dveh različnih glagolov, in sicer „zbrati“ in „pridobiti“, ni pomembna. To je mogoče sklepati tudi iz sodbe Másdi, v kateri je Sodišče pojasnilo, da so osebni podatki, ki jih je upravljavec „pridobil“ v smislu člena 14 SUVP, vsi tisti podatki, ki jih ta upravljavec „pridobi od druge osebe kot od posameznika, na katerega se nanašajo osebni podatki […]“. ( 19 )

30.

Iz dihotomije med členoma 13 in 14 SUVP, navedene v točki 26 teh sklepnih predlogov, je razvidno, da podlaga za določitev stvarnega področja uporabe teh členov ni aktivno sodelovanje posameznika, na katerega se nanašajo osebni podatki, pri zbiranju, temveč vir podatkov. Če je vir podatkov posameznik, na katerega se nanašajo osebni podatki, se uporabi člen 13. Da bi se uporabila ta določba, med posameznikom, na katerega se nanašajo osebni podatki, in upravljavcem ne bi smelo biti posrednika. Če je vir podatkov kateri koli drug vir kot posameznik, na katerega se nanašajo osebni podatki, se uporabi člen 14. Kateri koli drug vir bi lahko bili na primer drugi upravljavci, javno dostopni viri ali drugi posamezniki, na katere se nanašajo osebni podatki. ( 20 )

31.

Z besedilom člena 14(2)(f) SUVP je potrjeno, da je merilo za razmejitev stvarnega področja uporabe med členoma 13 in 14 vir podatkov. V skladu s to določbo mora namreč upravljavec, kadar podatki niso bili pridobljeni od posameznika, na katerega se nanašajo, posameznika, na katerega se nanašajo osebni podatki, obvestiti, „od kje izvirajo osebni podatki“ (moj poudarek).

32.

Iz besedila uvodne izjave 61 SUVP je prav tako razvidno, da je merilo za razlikovanje stvarnega področja uporabe členov 13 in 14 vir podatkov. V tej uvodni izjavi je navedeno, da bi bilo treba „[p]osameznike, na katere se nanašajo osebni podatki, […] o obdelavi osebnih podatkov v zvezi z njimi obvestiti v trenutku zbiranja podatkov od posameznika, na katerega se nanašajo osebni podatki, ali, kadar se osebni podatki pridobijo iz drugega vira, v ustreznem roku odvisno od okoliščin primera“ (moj poudarek). V tej uvodni izjavi je poleg tega navedeno, da bi bilo treba splošne informacije zagotoviti, „[k]adar temu posamezniku ni mogoče sporočiti izvora osebnih podatkov zaradi uporabe različnih virov“ (moj poudarek).

33.

Podatki se lahko pri posamezniku, na katerega se nanašajo osebni podatki, zbirajo neposredno z različnimi metodami. Pri takem zbiranju se ne zahteva, da posameznik, na katerega se nanašajo osebni podatki, sodeluje pri zagotavljanju podatkov ali je z njim seznanjen oziroma da zanj da pobudo. Ta pristop je potrjen tudi s smernicami DS 29 o preglednosti, v katerih je navedeno, da se člen 13 uporablja, kadar posameznik, na katerega se nanašajo osebni podatki, upravljavcu podatkov zavestno zagotovi osebne podatke ali kadar upravljavec zbira podatke pri posamezniku, na katerega se nanašajo osebni podatki, z opazovanjem. Primeri zbiranja podatkov z opazovanjem, ki so v njih navedeni, obsegajo uporabo avtomatiziranih naprav za pridobivanje podatkov ali programske opreme za zajemanje podatkov, kot so kamere. ( 21 )

34.

Kadar se podatki zbirajo neposredno z opazovanjem, je zavedanje posameznika, na katerega se nanašajo osebni podatki, o zbiranju podatkov posledica uporabe člena 13 SUVP in obveznosti, ki je z njim naložena upravljavcu, da posamezniku, na katerega se nanašajo osebni podatki, med zbiranjem zagotovi informacije. Povedano drugače, seznanjenost z zbiranjem podatkov ni predhodni pogoj za uporabo člena 13, temveč posledica obveznosti iz člena 13 SUVP, da mora biti posameznik, na katerega se nanašajo osebni podatki, obveščen (najpozneje) ob pridobitvi osebnih podatkov.

35.

Od trenutka, ko se podatki zbirajo neposredno pri posamezniku, na katerega se nanašajo osebni podatki, in prav zaradi takega zbiranja, mora upravljavec zagotoviti informacije, s čimer se posameznik, na katerega se nanašajo osebni podatki, seznani z zbiranjem podatkov. Kot je navedel organ za varstvo zasebnosti, mora biti, kadar obstaja nadzorovano območje, na njem ustrezen opozorilni znak, da je posameznik, na katerega se nanašajo osebni podatki, seznanjen z zbiranjem, preden vstopi na nadzorovano območje. ( 22 ) S tem, ko posameznik, na katerega se nanašajo osebni podatki, zavestno vstopi na nadzorovano območje, pristane na zbiranje osebnih podatkov.

36.

Kot je navedla avstrijska vlada, v primeru zbiranja podatkov s telesno kamero, kakršna je ta v postopku v glavni stvari, posameznik, na katerega se nanašajo osebni podatki, postane vir zbranih podatkov zgolj zaradi svoje fizične prisotnosti na zadevnem območju, ki se snema s kamero.

37.

Drugačne ugotovitve – da se člen 13 uporablja le, če posameznik, na katerega se nanašajo osebni podatki, aktivno zagotovi podatke – iz besedila členov 13 in 14 SUVP ali njenih uvodnih izjav ni mogoče izpeljati. Natančneje, v nasprotju z navedbami družbe SL in danske vlade take ugotovitve ni mogoče izpeljati iz člena 13(2)(e) SUVP, kot je razvidno iz uvodne izjave 60 te uredbe. V skladu s to določbo mora upravljavec, kadar se podatki zbirajo pri posamezniku, na katerega se nanašajo osebni podatki, zagotoviti informacije o tem, „[…] ali mora posameznik, na katerega se nanašajo osebni podatki, zagotoviti osebne podatke ter kakšne so morebitne posledice, če se taki podatki ne zagotovijo“. Kot je pred predložitvenim sodiščem navedel organ za varstvo zasebnosti, je treba informacije o morebitni obveznosti zagotovitve podatkov zagotoviti le, če je to zahtevano v konkretnem primeru. ( 23 ) Člena 13(2)(e) SUVP se ne sme razlagati tako, da se, da bi se uporabil člen 13, v vseh okoliščinah zahteva posebno dejanje posameznika, na katerega se nanašajo osebni podatki.

38.

Podobno tudi besedilo člena 14(1)(d) SUVP ne kaže na to, da mora imeti posameznik, na katerega se nanašajo osebni podatki, aktivno vlogo pri zagotavljanju podatkov ali da se mora, da bi se uporabil člen 13, zavedati zbiranja podatkov. S členom 14(1)(d) SUVP je zahtevano, da upravljavec, kadar osebni podatki niso bili pridobljeni od posameznika, na katerega se nanašajo, to osebo obvesti o kategorijah zadevnih osebnih podatkov. Ker ne obstaja obveznost zagotovitve takih informacij na podlagi člena 13 SUVP, družba SL in danska vlada iz tega sklepata, da se člen 13 uporablja, kadar je posameznik, na katerega se nanašajo osebni podatki, z zbiranjem podatkov že seznanjen. Vendar je mogoče obveznost zagotovitve informacij na podlagi člena 14(1)(d) utemeljiti s tem, da upravljavec obdeluje podatke, pridobljene iz drugih virov, kot je posameznik, na katerega se nanašajo osebni podatki, in med zbiranjem podatkov z njim ni v stiku.

39.

Zato je z besedilom členov 13 oziroma 14 SUVP podprta ugotovitev, da zbiranje podatkov s telesno kamero kot oblika neposrednega zbiranja podatkov pri posamezniku, na katerega se nanašajo osebni podatki, spada na področje uporabe člena 13.

40.

Na drugem mestu, taka razlaga je podprta z okvirom, v katerega sta umeščeni ti določbi. Obveznosti zagotovitve informacij iz členov 13 in 14 SUVP so poseben izraz načela preglednosti, ki velja za obdelavo osebnih podatkov, kot je določeno v členu 5(1)(a) SUVP. V skladu z zadnjenavedeno določbo morajo biti osebni podatki v zvezi s posameznikom, na katerega se nanašajo, obdelani zakonito, pošteno in na pregleden način. Iz tega je razvidno, da mora obdelava osebnih podatkov med drugim izpolnjevati konkretne zahteve glede preglednosti v zvezi s posameznikom, na katerega se taka obdelava nanaša. ( 24 )

41.

Z razmejitvijo področja uporabe členov 13 in 14 SUVP, temelječo na viru podatkov, je omogočena poštena in pregledna obdelava. Kadar se podatki zbirajo neposredno pri posamezniku, na katerega se nanašajo, morajo biti posamezniku, na katerega se nanašajo podatki, informacije zagotovljene med zbiranjem podatkov. Kadar se podatki ne zbirajo neposredno pri posamezniku, na katerega se nanašajo, ima upravljavec nekaj manevrskega prostora, da – v razumnem roku – zagotovi informacije, prav zato, ker ni neposrednega stika s posameznikom, na katerega se nanašajo osebni podatki.

42.

V primeru zbiranja podatkov s telesno kamero takojšnja zagotovitev informacij o tem zbiranju posamezniku, na katerega se nanašajo osebni podatki, tej osebi omogoča, da se seznani z zbiranjem, tako da lahko kot posameznik, na katerega se nanašajo podatki, uveljavlja svoje pravice med zbiranjem ali celo pred njegovim začetkom. Kot je poudarila avstrijska vlada, se lahko posameznik, na katerega se nanašajo osebni podatki, s tem, da se čim prej seznani z zbiranjem podatkov, na primer odloči, da ne bo vstopil na nadzorovano območje ali da bo prilagodil svoje vedenje.

43.

V zvezi s praktičnimi načini zagotavljanja informacij je treba opozoriti, da mora upravljavec v skladu s členom 12(1) SUVP sprejeti „ustrezne ukrepe“ za zagotovitev zahtevanih informacij „v jedrnati, pregledni, razumljivi in lahko dostopni obliki ter jasnem in preprostem jeziku“.

44.

Stranke in zainteresirane strani, ki so predložile pisna stališča, kot splošno predpostavko priznavajo, da je treba v primeru videonadzora informacije zagotoviti po „večslojnem pristopu“. Smernice EOVP o videonadzoru prinašajo podroben in praktičen pregled večslojnega pristopa. Prvi sloj informacij se nanaša na „poglavitni način, na katerega upravljavec vzpostavi komunikacijo s posameznikom, na katerega se nanašajo osebni podatki“. Pri videonadzoru bo to običajno opozorilni znak, ki posamezniku, na katerega se nanašajo osebni podatki, omogoča, da se zaveda tega, da vstopa na nadzorovano območje. Prvi sloj informacij je nato treba dopolniti z drugim slojem informacij, po možnosti z napotitvijo na digitalni vir (npr. kodo QR ali spletni naslov), čeprav bi morale biti informacije lahko dostopne tudi v nedigitalni obliki. ( 25 )

45.

Družba SL in danska vlada sta zatrjevali, da je večslojni pristop bolj skladen s splošno sistematiko iz člena 14 SUVP kot s sistematiko iz člena 13 SUVP. Menita, da bi bilo treba zaradi težav pri zagotavljanju informacij med zbiranjem podatkov s telesnimi kamerami uporabiti izjemo iz člena 14(5)(b) SUVP. Ta izjema naj bi se uporabljala, kadar se zagotavljanje informacij „izkaže […] [za] nemogoče ali bi vključevalo nesorazmeren napor“. V takem primeru naj bi moral upravljavec „sprej[eti] ustrezne ukrepe za zaščito pravic in svoboščin ter zakonitih interesov posameznika, na katerega se nanašajo osebni podatki“.

46.

Te trditve me ne prepričajo. Prvič, iz člena 12 SUVP je razvidno, da se „ustrezni ukrepi“, ki jih mora upravljavec sprejeti za zagotavljanje informacij, nanašajo na informacije iz člena 13 in člena 14. To pomeni, da mora upravljavec sprejeti ustrezne ukrepe za zagotavljanje informacij v primerih neposrednega in posrednega zbiranja podatkov.

47.

Drugič, kot je v bistvu navedel organ za varstvo zasebnosti, je ustreznost ukrepov odvisna od konteksta, v katerem se podatki zbirajo, in se med drugim nanaša na interes posameznikov, na katere se nanašajo osebni podatki. Zbiranje podatkov s telesno kamero je enako vsiljivo kot videonadzor in pomeni veliko tveganje za zasebnost posameznikov, na katere se nanašajo osebni podatki. ( 26 ) Kadar upravljavci poskušajo določiti najustreznejše ukrepe za zagotavljanje informacij posameznikom, na katere se nanašajo osebni podatki, je treba ustrezno upoštevati načelo preglednosti in to, kako vsiljiva so sredstva, uporabljena za zbiranje podatkov. Če se na splošno priznava, da je za videonadzor, ki pomeni znatna tveganja za zasebnost, primeren večslojni pristop, bi moralo enako veljati za zbiranje podatkov s telesnimi kamerami.

48.

Tretjič, obstajajo prepričljivi argumenti za to, da pri telesnih kamerah večslojni pristop ni „neizvedljiv“ ali „nemogoč“. Organ za varstvo zasebnosti, avstrijska vlada in Komisija so se sklicevali na smernice EOVP o videonadzoru in trdili, da se večslojni pristop pri videonadzoru podobno uporablja v primeru telesnih kamer. Nezavezujoča narava teh smernic naj ne bi spremenila dejstva, da je z njimi konkretno dokazano, da je večslojni pristop mogoč in izvedljiv. ( 27 )

49.

Na tretjem mestu, razlaga, v skladu s katero se ta člen 13 uporablja v primeru podatkov, zbranih s telesno kamero, je v skladu s cilji, ki jim sledi ureditev, katere del sta člena 13 in 14 SUVP. Cilj SUVP, kot je naveden v členu 1 ter uvodnih izjavah 1 in 10 te uredbe, je med drugim zagotoviti visoko raven varstva temeljnih pravic in svoboščin fizičnih oseb, zlasti njihove pravice do zasebnosti pri obdelavi osebnih podatkov, določene v členu 8(1) Listine Evropske unije o temeljnih pravicah in členu 16(1) PDEU. ( 28 ) V skladu s tem ciljem mora biti vsaka obdelava osebnih podatkov med drugim v skladu z načeli v zvezi z obdelavo takih podatkov iz člena 5 SUVP, vključno z načelom preglednosti.

50.

Obveznost upravljavca, da zagotovi informacije, določena v členih 13 in 14 SUVP, je izraz načela preglednosti. Kot je že bilo navedeno zgoraj, ( 29 ) se rok za obveznost zagotavljanja informacij razlikuje glede na to, katera od teh določb se uporabi. Pri neposrednem zbiranju se zahteva takojšnja zagotovitev informacij. Kadar zbiranje ni neposredno, ker se podatki zbirajo iz drugih virov, se smejo informacije zagotoviti pozneje. S SUVP so dovoljeni različni roki za zagotovitev informacij prav zato, ker je zbiranje posredno.

51.

Če bi se priznalo, da se v primeru zbiranja podatkov s telesno kamero uporablja člen 14 SUVP, bi to pomenilo, da posameznikom, na katere se nanašajo osebni podatki – čeprav so vir podatkov – informacije med zbiranjem podatkov ne bi bile zagotovljene. Kot sta v bistvu navedli avstrijska vlada in Komisija, bi to lahko ogrozilo polni učinek člena 13 SUVP. To bi namreč upravljavcem omogočilo, da posameznikom, na katere se nanašajo osebni podatki, informacij ne zagotovijo takoj, čeprav so bili podatki pridobljeni neposredno od teh posameznikov. ( 30 ) Ustvarilo bi tveganje za zbiranje podatkov, ki ga posamezniki, na katere se nanašajo osebni podatki, ne bodo opazili, in za prikrite prakse nadzorovanja. ( 31 ) Tako zaobitje člena 13 SUVP bi pomenilo hudo kršitev pravice posameznika, na katerega se nanašajo osebni podatki, do obveščenosti.

52.

Nazadnje, če bi bila razlika med stvarnima področjema uporabe členov 13 in 14 SUVP odvisna od tega, ali je posameznik, na katerega se nanašajo osebni podatki, ob tem zbiranju dejansko seznanjen z zbiranjem podatkov o sebi, bi se s tem zabrisale meje med določbama, njuna uporaba pa bi bila odvisna od naključnih okoliščin.

53.

Iz jezikovne, sistematske in teleološke razlage členov 13 in 14 SUVP torej izhaja, da v primeru zbiranja podatkov s telesno kamero, ki je oblika neposrednega zbiranja podatkov pri posamezniku, na katerega se nanašajo osebni podatki, obveznost upravljavca, da zagotovi informacije, spada na področje uporabe prve določbe.

54.

Zaradi celovitosti bom navedla nekaj končnih pripomb glede upoštevnosti sodbe Ryneš za obravnavano zadevo. ( 32 ) Sodišče je v tej sodbi razlagalo izjemo od uporabe Direktive 95/46 v primeru popolnoma „osebne ali domače“ dejavnosti, kot je določena v členu 3(2), druga alinea, te direktive. V bistvu je razsodilo, da uporabe videonadzornega sistema, ki ga je oseba namestila na družinsko hišo zaradi varovanja premoženja, zdravja in življenja lastnikov hiše, pri čemer se s takim sistemom nadzira tudi javni prostor, ni mogoče šteti za popolnoma „osebno ali domačo“ dejavnost v smislu te določbe. Zato taka obdelava ni mogla biti izvzeta iz uporabe Direktive 95/46.

55.

Sodišče je v točki 34 te sodbe razsodilo, da „uporaba določb te direktive, če je potrebno, omogoča, da se v skladu s [členom 7(f), členom 11(2) ter členom 13(1)(d) in (g)] navedene direktive upoštevajo zakoniti interesi, za katere si prizadeva upravljavec“.

56.

Sklicevanje na člen 11(2) Direktive 95/46 v tej konkretni točki ne pomeni, da Sodišče razlaga ustrezno pravno podlago, na podlagi katere bi upravljavec zagotovil informacije v primeru videonadzora. Vprašanje, postavljeno v tej sodbi, je bilo popolnoma drugačno od vprašanja v obravnavani zadevi, saj se je nanašalo na uporabo „izjeme v zvezi z domačimi dejavnostmi“, ne pa na obveznost zagotavljanja informacij. Sodišče je v tej točki le ponazorilo, da je mogoče upoštevati zakonite interese, ki jih ima upravljavec, ob upoštevanju omejitev in izjem iz Direktive 95/46. Komisija prav tako pravilno ugotavlja, da je iz predloga za sprejetje predhodne odločbe v zadevi, v kateri je bila izdana zgoraj navedena sodba Ryneš, razvidno, da je nacionalni nadzorni organ v okviru nacionalnega postopka menil, da je bila kršena nacionalna zakonodaja, s katero je bil prenesen člen 11 Direktive 95/46.

57.

V vsakem primeru rok za zagotovitev informacij iz člena 14 SUVP ne ustreza časovnemu okviru iz člena 11 Direktive 95/46. ( 33 ) Poleg tega je zakonodajalec Unije v uvodni izjavi 61 SUVP pojasnil razliko med področjema uporabe členov 13 in 14 te uredbe glede na vir podatkov. ( 34 )

58.

Zato menim, da sodba Ryneš v obravnavani zadevi ni upoštevna in ne more privesti do drugačne ugotovitve, kot je predlagana v teh sklepnih predlogih.

59.

Glede na navedeno menim, da je treba člena 13 in 14 SUVP razlagati tako, da se v položaju, v katerem se osebni podatki zbirajo s telesnimi kamerami, ki jih nosijo kontrolorji vozovnic, ki delajo za javno prevozno podjetje, uporabi člen 13, člen 14 pa se ne uporabi.

V.

Predlog

60.

Glede na zgoraj navedene preudarke Sodišču predlagam, naj na vprašanje za predhodno odločanje, ki ga je postavilo Högsta förvaltningsdomstolen (vrhovno upravno sodišče, Švedska), odgovori: