1.

A jelen ügy az (EU) 2016/679 rendelet (a továbbiakban: általános adatvédelmi rendelet) ( 2 ) 4. cikkének 7. pontjában meghatározott adatkezelő azon kötelezettségére vonatkozik, hogy tájékoztatást nyújtson az érintettnek, ha a személyes adatokat jegyellenőrök által tömegközlekedési járműveken viselt testkamerák útján gyűjtik. Az adatkezelőnek a személyesadat‑kezelés érintettje felé fennálló tájékoztatási kötelezettsége az érintett számára az általános adatvédelmi rendelet 12–14. cikkében biztosított tájékoztatáshoz való jog szükségszerű következménye. ( 3 ) A tájékoztatáshoz való jog – az átláthatóság elvének sarokköveként ( 4 ) – „valamennyi adatkezelés átláthatóságát biztosítja” az általános adatvédelmi rendelet keretében. ( 5 )

2.

A Bíróságtól konkrétan azt kérik, hogy döntsön arról, hogy a testkamera útján történő adatgyűjtés esetén az általános adatvédelmi rendelet 13. cikke vagy 14. cikke‑e a megfelelő jogalap. Az említett rendelkezések hatályának körülhatárolása jelentős hatással van az információ rendelkezésre bocsátásának időpontjára, valamint a lehetséges mentességekre nézve.

3.

Az általános adatvédelmi rendelet 13. cikke, amelynek címe „Rendelkezésre bocsátandó információk, ha a személyes adatokat az érintettől gyűjtik”, a következőket írja elő:

„(1)   Ha az érintettre vonatkozó személyes adatokat az érintettől gyűjtik, az adatkezelő a személyes adatok megszerzésének időpontjában az érintett rendelkezésére bocsátja a következő információk mindegyikét:

(2)   Az (1) bekezdésben említett információk mellett az adatkezelő a személyes adatok megszerzésének időpontjában, annak érdekében, hogy a tisztességes és átlátható adatkezelést biztosítsa, az érintettet a következő kiegészítő információkról tájékoztatja:

(3)   Ha az adatkezelő a személyes adatokon a gyűjtésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

(4)   Az (1), (2) és (3) bekezdés nem alkalmazandó, ha és amilyen mértékben az érintett már rendelkezik az információkkal.”

4.

Az általános adatvédelmi rendelet 14. cikke, amelynek címe „Rendelkezésre bocsátandó információk, ha a személyes adatokat nem az érintettől szerezték meg”, a következőket írja elő:

„(1)   Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő az érintett rendelkezésére bocsátja a következő információkat:

(2)   Az (1) bekezdésben említett információk mellett az adatkezelő az érintett rendelkezésére bocsátja az érintettre nézve tisztességes és átlátható adatkezelés biztosításához szükséges következő kiegészítő információkat:

(3)   Az adatkezelő az (1) és (2) bekezdés szerinti tájékoztatást az alábbiak szerint adja meg:

(4)   Ha az adatkezelő a személyes adatokon a megszerzésük céljától eltérő célból további adatkezelést kíván végezni, a további adatkezelést megelőzően tájékoztatnia kell az érintettet erről az eltérő célról és a (2) bekezdésben említett minden releváns kiegészítő információról.

(5)   Az (1)–(4) bekezdést nem kell alkalmazni, ha és amilyen mértékben:

[…]”

5.

Az AB Storstockholms Lokaltrafik (stockholmi tömegközlekedési vállalat; a továbbiakban: SL) tömegközlekedési szolgáltatásokat nyújt. A társaság jegyellenőreit testkamerákkal látta el. A kamerákat arra használják, hogy videofelvételt készítsenek azokról az utasokról, akik a jegyellenőrzéskor nem rendelkeznek érvényes jeggyel, és akiket bírság fizetésére köteleznek. A testkamerák használatának célja az ellenőrökkel szembeni fenyegetések és erőszak megelőzése és dokumentálása, valamint a bírság fizetésére kötelezett utasok személyazonosságának ellenőrzése.

6.

Felügyeleti tevékenysége során az Integritetsskyddsmyndigheten (svéd adatvédelmi hatóság; a továbbiakban: adatvédelmi hatóság) megvizsgálta, hogy az SL által a testkamerák használatával végzett személyesadat‑kezelés megfelel‑e az általános adatvédelmi rendeletnek. A hatóság 2021 júniusában felügyeleti határozatot hozott (a továbbiakban: felügyeleti határozat), amely számos megállapítást tartalmaz a testkamerák használatáról és működéséről. Konkrétabban, a határozatból kitűnik, hogy a jegyellenőrök a kamerákat a műszakjuk ideje alatt végig viselik. A kamerák folyamatosan képet és hangot tartalmazó videót rögzítenek. A kamerák úgynevezett körkörös memóriával rendelkeznek, ami azt jelenti, hogy bizonyos idő elteltével minden videóanyag automatikusan törlésre kerül. A törléssel a rögzített anyag törlésre kerül. A rögzített anyagot eredetileg két percig tárolták, de a felügyeleti ellenőrzés során ezt az időszakot egy percre csökkentették. A jegyellenőrök egy gomb megnyomásával felfüggeszthetik az automatikus törlést, és így biztosíthatják, hogy a felvétel ne kerüljön törlésre. A jegyellenőröket arra utasították, hogy függesszék fel az automatikus törlést minden olyan esetben, amikor bírságot szabnak ki, valamint fenyegetés esetén.

7.

Felügyeleti határozatában az adatvédelmi hatóság megállapította, hogy 2018 decemberétől az említett, 2021. júniusi határozat időpontjáig az SL a testkamerák jegyellenőrzéssel összefüggésben történő használatával az általános adatvédelmi rendelet több rendelkezését megsértve kezelte a személyes adatokat. Az SL többek között nem nyújtott megfelelő tájékoztatást az érintettek számára az általános adatvédelmi rendelet 13. cikkében előírtaknak megfelelően. Ennek következtében az SL‑t összesen 16 millió svéd korona (SEK) (körülbelül 1422000 EUR) összegű közigazgatási bírság megfizetésére kötelezték, amelyből 4 millió SEK (körülbelül 355000 EUR) az érintettek nem megfelelő tájékoztatásához kapcsolódott.

8.

Az SL megtámadta a felügyeleti határozatot a Förvaltningsrätten i Stockholm (stockholmi közigazgatási bíróság, Svédország) előtt, amely elutasította a keresetet annyiban, amennyiben az a nem megfelelő tájékoztatással összefüggő bírságra vonatkozott.

9.

Az SL ezt követően fellebbezést nyújtott be a Kammarrätten i Stockholmhoz (stockholmi közigazgatási fellebbviteli bíróság, Svédország), amely hatályon kívül helyezte az elsőfokú ítéletet, és megsemmisítette a felügyeleti határozatot annyiban, amennyiben az az érintettek nem megfelelő tájékoztatása miatt bírságot szabott ki az SL‑re. Ítéletének indoklásában a Kammarrätten i Stockholm (stockholmi közigazgatási fellebbviteli bíróság) hivatkozott a Bíróság 2014. december 11‑iRyneš ítéletére (C‑212/13, EU:C:2014:2428; a továbbiakban: Ryneš ítélet), amely egy magánszemély által a családi házára felszerelt kamerarendszer működésére vonatkozott. ( 6 ) A Kammarrätten i Stockholm (stockholmi közigazgatási fellebbviteli bíróság) véleménye szerint az említett ítéletből következik, hogy a videokamerás megfigyeléssel kapcsolatos helyzetekben az adatkezelő megfelelő tájékoztatási kötelezettsége a 95/46/EK irányelv 11. cikkén alapul, amely az általános adatvédelmi rendelet 14. cikkének megfelelő korábbi rendelkezés. Ezen túlmenően a Kammarrätten i Stockholm (stockholmi közigazgatási fellebbviteli bíróság) szerint az általános adatvédelmi rendelet 13. cikkének szövege arra utal, hogy az érintett részéről valamilyen szándékos cselekményre van szükség ahhoz, hogy a személyes adatokat az érintettől gyűjtöttnek lehessen tekinteni. Nem tekinthető úgy, hogy ez fennáll akkor, amikor a személyes adatokat testkamera útján szerzik meg. A Kammarrätten i Stockholm (stockholmi közigazgatási fellebbviteli bíróság) arra a következtetésre jutott, hogy mivel az általános adatvédelmi rendelet 13. cikke nem alkalmazható, az adatvédelmi hatóságnak nem volt jogalapja arra, hogy e cikk megsértése miatt bírságot szabjon ki.

10.

Az adatvédelmi hatóság felülvizsgálati kérelmet terjesztett elő a Kammarrätten i Stockholm (stockholmi közigazgatási fellebbviteli bíróság) határozatával szemben a Högsta förvaltningsdomstolenhez (legfelsőbb közigazgatási bíróság, Svédország) – amely a kérdést előterjesztő bíróság –, és azt kéri, hogy az említett bíróság helyezze hatályon kívül az ítéletet annyiban, amennyiben az az érintettek nem megfelelő tájékoztatása miatt kiszabott bírságra vonatkozik.

11.

A kérdést előterjesztő bíróság előtt az adatvédelmi hatóság azzal érvelt, hogy az általános adatvédelmi rendelet 13. cikke akkor is alkalmazandó, ha az érintett nem tanúsít tevőleges magatartást az adatgyűjtés során. Mivel a videokamerás megfigyelés végzéséhez a személyes adatok kezelésének megkezdése előtt tájékoztatást kell nyújtani, az érintett az, aki a megfigyelés alatt álló területre való tudatos belépés révén lehetővé teszi a személyes adatok gyűjtését.

12.

Az SL a kérdést előterjesztő bíróság előtt azt állította, hogy a felülvizsgálati kérelmet el kell utasítani. Érvelése szerint az általános adatvédelmi rendelet 13. cikkének szövege arra utal, hogy az érintettnek tudatosan kell részt vennie a személyes adatok gyűjtésében. Ezen túlmenően az információk rendelkezésre bocsátására a videokamerás megfigyelés esetén alkalmazott többszintű megközelítés jobban megfelel az általános adatvédelmi rendelet 14. cikke rendszerének, mint a 13. cikkének. Az említett rendelet 14. cikke (5) bekezdésének b) pontja mentességet ír elő az információk rendelkezésre bocsátására vonatkozó kötelezettség alól, ha az lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne. Az SL azzal érvel, hogy az említett mentesség alkalmazandó a testkamerák használatával kapcsolatos helyzetekben, mivel a felvételkészítés előtti egyedi utastájékoztatás kivitelezhetetlen lenne.

13.

Annak eldöntése érdekében, hogy az adatvédelmi hatóság megalapozottan szabott‑e ki bírságot az SL‑re az általános adatvédelmi rendelet 13. cikkének megsértése miatt, a kérdést előterjesztő bíróság arra vár választ, hogy az általános adatvédelmi rendelet 13. cikke vagy 14. cikke alkalmazandó‑e, ha a személyes adatokat testkamera útján szerzik meg. Az alkalmazandó rendelkezés meghatározása hatással van arra is, hogy milyen információkat kell rendelkezésre bocsátani – amikor ténylegesen tájékoztatás nyújtására vonatkozó kötelezettség keletkezik –, és hogy alkalmazható‑e valamilyen mentesség a tájékoztatási kötelezettség alól.

14.

A fentiekre tekintettel a Högsta förvaltningsdomstolen (legfelsőbb közigazgatási bíróság, Svédország) úgy határozott, hogy az eljárást felfüggeszti, és előzetes döntéshozatal céljából a következő kérdést terjeszti a Bíróság elé:

„Az általános adatvédelmi rendelet 13. és 14. cikke közül melyik alkalmazandó, ha a személyes adatokat testkamera útján szerzik meg?”

15.

Az alapeljárásban részt vevő felek, az osztrák kormány, a dán kormány és a Bizottság írásbeli észrevételeket nyújtottak be.

16.

Az előterjesztő bíróság kérdése a tömegközlekedési szolgáltatásokat nyújtó SL társaságnak a testkameráknak a társaság jegyellenőrei általi használatával kapcsolatos tájékoztatási kötelezettségeire vonatkozik. A szóban forgó kamerák képet és hangot tartalmazó videót rögzítő testkamerák. ( 7 ) E kamerák használatának célja elsősorban a jegyellenőrök elleni fenyegetések és erőszakos cselekmények megelőzése és dokumentálása.

17.

Az előzetes döntéshozatalra utaló végzésből egyértelműen kitűnik, hogy a szóban forgó adatkezelés az általános adatvédelmi rendelet hatálya alá tartozik. Elemzésem ezért nem terjed ki a bűnüldöző szervek által használt testkamerákkal összefüggésben végzett adatkezelésre, amely az (EU) 2016/680 irányelv hatálya alá tartozik. ( 8 )

18.

Hangsúlyozni kell továbbá, hogy az előterjesztő bíróság által feltett kérdés kizárólag az adatkezelőnek az általános adatvédelmi rendelet 13. és 14. cikke szerinti tájékoztatási kötelezettségére vonatkozik. A Bíróságtól nem az általános adatvédelmi rendelet 6. cikke szerinti adatkezelés jogszerűségével kapcsolatban várnak választ.

19.

Az előterjesztő bíróság a kérdésével lényegében arra vár választ, hogy az általános adatvédelmi rendelet 13. cikke vagy 14. cikke alkalmazandó‑e olyan esetben, amikor a személyes adatok gyűjtését a tömegközlekedési szolgáltatásokat nyújtó vállalatnál dolgozó jegyellenőrök által viselt testkamerák útján végzik.

20.

Az általános adatvédelmi rendelet 13. és 14. cikke meghatározza az adatkezelőnek az érintettel szemben fennálló tájékoztatási kötelezettségének hatályát. A 13. cikk akkor alkalmazandó, ha a személyes adatokat az érintettől gyűjtik (közvetlen adatgyűjtés), míg a 14. cikk akkor alkalmazandó, ha a személyes adatokat nem az érintettől szerezték meg (közvetett adatgyűjtés). ( 9 )

21.

Az általános adatvédelmi rendelet 13. és 14. cikke alapján rendelkezésre bocsátandó információk többsége megegyezik, bár vannak bizonyos eltérések. ( 10 ) A két rendelkezés közötti legfontosabb különbség az információk rendelkezésre bocsátásának időpontját és a tájékoztatási kötelezettség alóli lehetséges mentességeket érinti.

22.

Az általános adatvédelmi rendelet 13. cikkének (1) és (2) bekezdése szerint, ha a személyes adatokat az érintettől gyűjtik, az információkat „a személyes adatok megszerzésének időpontjában” kell rendelkezésre bocsátani. Ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelőnek az általános adatvédelmi rendelet 14. cikkének (1) és (2) bekezdésében említett információkat a 14. cikk (3) bekezdésének a), b) és c) pontjában meghatározott határidőn belül kell rendelkezésre bocsátania. Általános szabály, hogy az adatkezelő a tájékoztatást a személyes adatok kezelésének konkrét körülményeit tekintetbe véve, a személyes adatok megszerzésétől számított észszerű határidőn, de legkésőbb egy hónapon belül adja meg (az általános adatvédelmi rendelet 14. cikke (3) bekezdésének a) pontja). Az adatkezelő számára a tájékoztatás megadására rendelkezésre álló határidő eltérő a 14. cikk (3) bekezdésének b) és c) pontjában meghatározott helyzetekben. ( 11 )

23.

A tájékoztatási kötelezettség alóli lehetséges mentességek – az általános adatvédelmi rendelet 13. cikke szerinti közvetlen adatgyűjtés eseteiben – egyetlen alkalmazandó esete, „ha és amilyen mértékben az érintett már rendelkezik az információkkal”. Közvetett adatgyűjtés esetén az általános adatvédelmi rendelet 14. cikkének (5) bekezdésében meghatározott lehetséges mentességek felsorolása hosszabb. E mentességek közé tartoznak azok az esetek, amikor az információk rendelkezésre bocsátása „lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne” (az általános adatvédelmi rendelet 14. cikke (5) bekezdésének b) pontja). Ilyen esetekben az adatkezelőnek „megfelelő intézkedéseket kell hoznia – az információk nyilvánosan elérhetővé tételét is ideértve – az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében”.

24.

A fentiekből egyértelműen kitűnik, hogy az adatkezelő tájékoztatási kötelezettségeinek hatálya eltér attól függően, hogy az általános adatvédelmi rendelet 13. vagy 14. cikke alkalmazandó. Az erre vonatkozó döntés eredménye hatással lesz arra, hogy egy felügyeleti hatóságnak milyen kérdéseket kell vizsgálnia annak megállapításához, hogy megsértették‑e a tájékoztatási kötelezettséget.

25.

Ezen általános észrevételek után meg kell vizsgálni, hogy az alapeljárás tárgyát képező ügyben használthoz hasonló testkamera útján történő adatkezelés az általános adatvédelmi rendelet 13. cikkének vagy 14. cikkének tárgyi hatálya alá tartozik‑e. Az állandó ítélkezési gyakorlatnak megfelelően ehhez nemcsak az említett rendelkezések szövegét, hanem azok összefüggéseit és az azokat tartalmazó jogszabályok céljait is figyelembe kell venni. ( 12 )

26.

Először is, az általános adatvédelmi rendelet 13. és 14. cikkének szövegét illetően meg kell jegyezni, hogy – amint azt a Bíróság a Másdi ítéletben tisztázta – a 14. cikk tárgyi hatálya az általános adatvédelmi rendelet 13. cikkére való hivatkozással negatív módon került meghatározásra. ( 13 ) Amint az az említett rendelkezések címeiből is kitűnik, a 13. cikk azon információkra vonatkozik, amelyeket akkor kell rendelkezésre bocsátani, ha a személyes adatokat az érintettől gyűjtik, míg a 14. cikk azon információkra, amelyeket akkor kell rendelkezésre bocsátani, ha a személyes adatokat nem az érintettől szerezték meg. ( 14 ) Amint azt írásbeli észrevételeiben a Bizottság is előadta, a két rendelkezés egymást kölcsönösen kizárja. E dichotómia fényében minden olyan helyzet, amelyben az adatokat az érintettől gyűjtik, a 13. cikk tárgyi hatálya alá tartozik, és minden olyan helyzet, amelyben az adatokat nem az érintettől gyűjtötték, a 14. cikk tárgyi hatálya alá tartozik. ( 15 )

27.

Az előzetes döntéshozatalra utaló végzésből kitűnik, hogy az említett rendelkezések tárgyi hatályának meghatározása különösen abból a szempontból nehéz, hogy az általános adatvédelmi rendelet 13. cikkének alkalmazása attól függ‑e, hogy az érintett tisztában van azzal, hogy adatokat gyűjtenek róla, vagy attól, hogy az érintett az adatok megadása révén (például űrlap kitöltésével) valamilyen szándékos cselekményt végzett. ( 16 )

28.

E tekintetben ki kell emelni, hogy az általános adatvédelmi rendelet 13. cikkének (1) bekezdésében említett, az érintettől „gyűjt[ött]” adatok kifejezés nem feltételez az érintett részéről konkrét tevékenységet. A „gyűjtés” az „adatkezelés” egyik formája, amint azt az általános adatvédelmi rendelet 4. cikkének 2. pontja meghatározza. Mint ilyen, az adatgyűjtés az adatkezelő tevékenységét feltételezi. ( 17 ) Amint azt az adatvédelmi hatóság a kérdést előterjesztő bíróság előtt kifejtette, az adatgyűjtésben az adatkezelő játszik aktív szerepet, nem pedig az érintett.

29.

A Bizottság és az adatvédelmi hatóság írásbeli észrevételeiben megállapította, hogy az általános adatvédelmi rendelet 13. és 14. cikkének angol és svéd nyelvű változatában két különböző ige szerepel. Míg a 13. cikk az érintettől „gyűjt[ött]” (svédül „samlas”) adatokra utal, addig a 14. cikk olyan adatokra vonatkozik, amelyeket nem az érintettől „szerezt[e]k meg” (svédül „erhållits”). Azonban – amint arra a Bizottság rámutatott – más nyelvi változatokban ugyanazt az igét használják, ( 18 ) és úgy tűnik, a két különböző ige („gyűjt” és „megszerez”) használatának amúgy sincs különösebb jelentősége. Ez a Másdi ítéletből is levezethető, amelyben a Bíróság kifejti, hogy az általános adatvédelmi rendelet 14. cikke értelmében vett, adatkezelő általi „megszerzés” tárgyát képezi valamennyi olyan adat, amelyet az adatkezelő „az érintettől eltérő személytől gyűjt”. ( 19 )

30.

Az általános adatvédelmi rendelet 13. és 14. cikke közötti – a fenti 26. pontban hivatkozott – dichotómia azt mutatja, hogy e cikkek tárgyi hatálya meghatározásának alapja nem az érintett aktív részvétele az adatgyűjtésben, hanem az adatok forrása. Ha az adatok forrása az érintett, akkor a 13. cikk alkalmazandó. E rendelkezés alkalmazásához az érintett és az adatkezelő között nem lehet közvetítő. Ha az adatok forrása az érintettől eltérő bármilyen más forrás, akkor a 14. cikk alkalmazandó. Bármilyen más forrás lehet például harmadik fél adatkezelő, nyilvánosan elérhető források vagy egyéb érintettek. ( 20 )

31.

Az általános adatvédelmi rendelet 14. cikke (2) bekezdése f) pontjának szövege megerősíti, hogy a 13. és 14. cikk tárgyi hatálya elhatárolásának kritériuma az adatok forrása. E rendelkezés szerint ugyanis, ha az adatokat nem az érintettől szerezték meg, az adatkezelőnek tájékoztatnia kell az érintettet „a személyes adatok forrás[áról]” (kiemelés tőlem).

32.

Az általános adatvédelmi rendelet (61) preambulumbekezdésének szövege szintén arra utal, hogy az adatok forrása az a kritérium, amely megkülönbözteti a 13. és 14. cikk tárgyi hatályát. Az említett preambulumbekezdés kimondja, hogy „[a]z érintettre vonatkozó személyes adatok kezelésével összefüggő tájékoztatást az adatgyűjtés időpontjában kell az érintett részére megadni, illetve ha az adatokat nem az érintettől, hanem más forrásból gyűjtötték, az ügy körülményeit figyelembe véve, észszerű határidőn belül kell rendelkezésre bocsátani” (kiemelés tőlem). Ez a preambulumbekezdés továbbá kimondja, hogy általános tájékoztatást kell adni, „[h]a az adatkezelő nem tud tájékoztatást nyújtani az érintett részére a személyes adatok eredetéről, mivel azok különböző forrásokból származnak” (kiemelés tőlem).

33.

Különböző módszerekkel közvetlenül az érintettől is lehet adatot gyűjteni. Az ilyen gyűjtés nem igényli az érintettnek az adatok vagy ismeretek rendelkezésre bocsátásában való részvételét vagy annak kezdeményezését, illetve nem szükséges, hogy a gyűjtésről tudomása legyen. Ezt a megközelítést a 29. cikk szerinti munkacsoport átláthatóságról szóló iránymutatása is megerősíti, amely kimondja, hogy a 13. cikk akkor alkalmazandó, ha az érintett tudatosan ad meg személyes adatokat az adatkezelőnek, vagy ha az adatkezelő megfigyelés útján gyűjt adatokat az érintettől. A megfigyelés útján történő adatgyűjtés iránymutatásban hozott példái között szerepel az automatizált adatgyűjtő eszközök vagy adatgyűjtő szoftverek, például kamerák használata. ( 21 )

34.

Ha a közvetlen adatgyűjtés megfigyelés útján történik, az érintettnek a gyűjtésről való tudomásszerzése az általános adatvédelmi rendelet 13. cikkének alkalmazásából és az abból az adatkezelőre háruló, az érintett felé az adatgyűjtés időpontjában fennálló tájékoztatási kötelezettségből következik. Más szóval, az adatgyűjtésre vonatkozó ismeret nem előfeltétele a 13. cikk alkalmazásának, hanem az általános adatvédelmi rendelet 13. cikkében előírt, a személyes adatok megszerzésének időpontjában (legkésőbb) az érintett tájékoztatására vonatkozó kötelezettség következménye.

35.

Attól a pillanattól kezdve, hogy közvetlenül az érintettől történik adatgyűjtés – és éppen ezen adatgyűjtés miatt –, az adatkezelő köteles tájékoztatást nyújtani, ezáltal az érintett tudomására hozni az adatgyűjtés tényét. Amint azt az adatvédelmi hatóság kifejtette, ha egy terület megfigyelés alatt áll, akkor megfelelő figyelmeztető táblát kell kihelyezni annak érdekében, hogy az érintett a megfigyelt területre való belépés előtt tudomást szerezhessen az adatgyűjtésről. ( 22 ) A megfigyelt területre való tudatos belépéssel az érintett hozzájárul személyes adatai gyűjtéséhez.

36.

Amint azt az osztrák kormány megjegyezte, testkamera útján végzett olyan személyesadat‑kezelés esetében, mint amilyen az alapeljárásban is szerepel, az érintett önmagában a kamera által rögzített területen való fizikai jelenlétével a gyűjtött adatok forrásává válik.

37.

Az általános adatvédelmi rendelet 13. és 14. cikkének, illetve preambulumbekezdéseinek szövegéből nem vonható le azon eltérő következtetés, miszerint a 13. cikk csak akkor alkalmazandó, ha az érintett tevőlegesen ad meg adatokat. Pontosabban – szemben az SL és a dán kormány állításával – az általános adatvédelmi rendelet 13. cikke (2) bekezdésének a (60) preambulumbekezdésben is tükröződő e) pontjából nem vonható le ilyen következtetés. E rendelkezés szerint, ha az adatokat az érintettől gyűjtik, az adatkezelőnek tájékoztatást kell adnia arról, hogy „az érintett köteles‑e a személyes adatokat megadni, továbbá, hogy milyen lehetséges következményeikkel járhat az adatszolgáltatás elmaradása”. Amint azt az adatvédelmi hatóság a kérdést előterjesztő bíróság előtt kifejtette, az adatok megadására vonatkozó esetleges kötelezettségről csak akkor kell tájékoztatni, ha az az adott esetben elő van írva. ( 23 ) Az általános adatvédelmi rendelet 13. cikke (2) bekezdésének e) pontját nem lehet úgy értelmezni, hogy az minden esetben megköveteli az érintett tevőleges magatartását ahhoz, hogy a 13. cikk alkalmazandó legyen.

38.

Hasonlóképpen, az általános adatvédelmi rendelet 14. cikke (1) bekezdése d) pontjának szövege sem utal arra, hogy az érintettnek aktív szerepet kell játszania az adatok megadásában, vagy hogy tisztában kell lennie az adatgyűjtéssel ahhoz, hogy a 13. cikk alkalmazandó legyen. Az általános adatvédelmi rendelet 14. cikke (1) bekezdésének d) pontja előírja, hogy ha a személyes adatokat nem az érintettől szerezték meg, az adatkezelő köteles tájékoztatni az érintettet a vonatkozó személyes adatok kategóriáiról. Mivel az általános adatvédelmi rendelet 13. cikke nem ír elő ilyen tájékoztatási kötelezettséget, az SL és a dán kormány arra a következtetésre jut, hogy a 13. cikk akkor alkalmazandó, ha az érintett már tisztában van az adatgyűjtéssel. A 14. cikk (1) bekezdésének d) pontjában előírt tájékoztatási kötelezettség azonban azzal indokolható, hogy az adatkezelő az érintettől eltérő forrásból származó adatokat kezel, és az adatgyűjtés időpontjában nincs kapcsolatban az érintettel.

39.

Ebből következően az általános adatvédelmi rendelet 13. és 14. cikkének szövege alátámasztja azt a következtetést, miszerint a testkamerával végzett adatgyűjtés – mint az érintettől való közvetlen adatgyűjtés egyik formája – a 13. cikk hatálya alá tartozik.

40.

Másodszor, az említett rendelkezések kontextusa is megerősíti ezt az értelmezést. Az általános adatvédelmi rendelet 13. és 14. cikke szerinti tájékoztatási kötelezettségek a személyes adatok kezelésére irányadó, az általános adatvédelmi rendelet 5. cikke (1) bekezdésének a) pontjában meghatározott átláthatósági elv konkrét kifejeződései. Az utóbbi rendelkezés szerint a személyes adatok kezelését jogszerűen és tisztességesen, valamint az érintett számára átlátható módon kell végezni. Ebből következik, hogy a személyes adatok kezelésének többek között meg kell felelnie az érintett irányában fennálló átláthatóságra vonatkozó konkrét követelményeknek. ( 24 )

41.

Az általános adatvédelmi rendelet 13. és 14. cikke hatályának az adatok forrása alapján történő elhatárolása lehetővé teszi a tisztességes és átlátható adatkezelést. Ha az adatokat közvetlenül az érintettől gyűjtik, az információkat az adatgyűjtés időpontjában kell az érintett rendelkezésére bocsátani. Ha az adatokat nem közvetlenül az érintettől gyűjtik, az adatkezelőnek – éppen azért, mert nincs közvetlen kapcsolata az érintettel – van bizonyos mozgástere az információk észszerű határidőn belüli rendelkezésre bocsátására.

42.

Testkamera útján történő adatgyűjtés esetén az érintettnek a gyűjtésről való azonnali tájékoztatása révén lehetővé válik, hogy tudomást szerezzen az adatgyűjtésről, így a gyűjtés időpontjától vagy akár a gyűjtés megkezdése előtt is gyakorolhatja az őt érintettként megillető jogait. Amint arra az osztrák kormány rámutatott, az érintett, azáltal, hogy a lehető legkorábban tudomást szerez az adatgyűjtésről, dönthet úgy például, hogy nem lép be a megfigyelt területre, vagy ennek megfelelő magatartást fejti ki.

43.

Az információnyújtás gyakorlati módjait illetően figyelembe kell venni, hogy az általános adatvédelmi rendelet 12. cikkének (1) bekezdése szerint az adatkezelőnek „megfelelő intézkedéseket” kell hoznia annak érdekében, hogy a szükséges információkat „tömör, átlátható, érthető és könnyen hozzáférhető formában, világosan és közérthetően megfogalmazva” nyújtsa.

44.

Az írásbeli észrevételeket benyújtó felek és érdekeltek általános előfeltevésként elfogadják, hogy kamerás megfigyelés esetén az információkat „többszintű megközelítés” alapján kell rendelkezésre bocsátani. Az EDPB videokamerás megfigyelésről szóló iránymutatása részletes és gyakorlati áttekintést nyújt a többszintű megközelítésről. Az első szintű tájékoztatás „az érintettel való első kapcsolatfelvétel elsődleges módjára” vonatkozik. Videokamerás megfigyelés esetén ez általában egy figyelmeztető tábla, amely tájékoztatja az érintettet arról, hogy megfigyelt területre lép be. Az első szintű tájékoztatást ezután ki kell egészíteni a második szintű tájékoztatással, lehetőleg digitális forrásra való hivatkozással (például QR‑kóddal vagy webhely címével), a tájékoztatást ugyanakkor nem digitális formában is könnyen hozzáférhetővé kell tenni. ( 25 )

45.

Az SL és a dán kormány azzal érvelt, hogy a többszintű megközelítés jobban megfelel az általános adatvédelmi rendelet 14. cikke rendszerének, mint az említett rendelet 13. cikkéének. Véleményük szerint a tájékoztatásnak a testkamera útján történő adatgyűjtés időpontjában jelentkező nehézsége az általános adatvédelmi rendelet 14. cikke (5) bekezdésének b) pontja szerinti mentesség alkalmazását kell, hogy eredményezze. Ez a mentesség akkor alkalmazandó, ha az információk rendelkezésre bocsátása „lehetetlennek bizonyul, vagy aránytalanul nagy erőfeszítést igényelne”. Ilyen esetekben az adatkezelőnek „megfelelő intézkedéseket kell hoznia […] az érintett jogainak, szabadságainak és jogos érdekeinek védelme érdekében”.

46.

Ezek az érvek számomra nem meggyőzőek. Először is, az általános adatvédelmi rendelet 12. cikkéből az következik, hogy az adatkezelő által az információk rendelkezésre bocsátása érdekében meghozandó „megfelelő intézkedések” a 13. és a 14. cikkben egyaránt hivatkozott információkra vonatkoznak. Ez azt jelenti, hogy az adatkezelőnek a közvetlen és közvetett adatgyűjtés esetén is megfelelő intézkedéseket kell hoznia az információk rendelkezésre bocsátása érdekében.

47.

Másodszor – amint azt lényegében az adatvédelmi hatóság is hangsúlyozza –, az intézkedések megfelelősége az adatgyűjtés kontextusától függ, és többek között az érintettek érdekeihez kapcsolódik. A testkamera útján történő adatgyűjtés a magánszférára ugyanolyan behatással jár, mint a videokamerás megfigyelés, és jelentős kockázatot jelent az érintettek magánéletére. ( 26 ) Amikor az adatkezelők megpróbálják meghatározni az érintettek tájékoztatására legmegfelelőbb intézkedéseket, kellő figyelmet kell fordítani az átláthatóság elvére és az adatgyűjtéshez alkalmazott eszközök magánszférára járó behatásának mértékére. Ha általánosan elfogadott, hogy a többszintű megközelítés megfelelő a magánéletre jelentős kockázatot jelentő videokamerás megfigyelés esetében, akkor ugyanennek érvényesülnie kell a testkamera útján történő adatgyűjtés tekintetében is.

48.

Harmadszor, meggyőző érvek támasztják alá, hogy a többszintű megközelítés nem „kivitelezhetetlen” vagy „lehetetlen” a testkamerák esetében. Az adatvédelmi hatóság, az osztrák kormány és a Bizottság az EDPB videokamerás megfigyelésről szóló iránymutatására hivatkozva azzal érvelt, hogy a videokamerás megfigyeléshez kapcsolódó többszintű megközelítés hasonlóan alkalmazható a testkamerákra is. Ezen iránymutatás nem kötelező jellege nem változtat azon a tényen, hogy konkrétan bizonyítja: a többszintű megközelítés lehetséges és kivitelezhető. ( 27 )

49.

Harmadszor, az az értelmezés, miszerint a 13. cikk alkalmazandó a testkamera útján történő adatgyűjtés esetén, összhangban áll az általános adatvédelmi rendelet 13. és 14. cikkét is magában foglaló jogszabályok által kitűzött célokkal. Az általános adatvédelmi rendelet – annak 1. cikkében, valamint (1) és (10) preambulumbekezdésében meghatározott – célja többek között az, hogy biztosítsa a természetes személyek alapvető jogainak és szabadságainak magas szintű védelmét, különösen az Európai Unió Alapjogi Chartájának 8. cikkében és az EUMSZ 16. cikk (1) bekezdésében rögzített, a magánélet tiszteletben tartásához való jogukat a személyes adatok kezelése tekintetében. ( 28 ) E célkitűzésnek megfelelően, a személyes adatok bármilyen kezelésének meg kell felelnie többek között az általános adatvédelmi rendelet 5. cikkében meghatározott, az ilyen adatok kezelésére vonatkozó elveknek, ideértve az átláthatóság elvét is.

50.

Az adatkezelőnek az általános adatvédelmi rendelet 13. és 14. cikkében meghatározott tájékoztatási kötelezettsége az átláthatóság elvének kifejeződése. A fent kifejtetteknek megfelelően, ( 29 ) a tájékoztatási kötelezettség időpontja eltér attól függően, hogy az említett rendelkezések közül melyik alkalmazandó. Közvetlen adatgyűjtés esetén az információkat haladéktalanul rendelkezésre kell bocsátani. Ha az adatgyűjtés nem közvetlen – mert az adatokat más forrásokból gyűjtik –, az információkat később is rendelkezésre lehet bocsátani. Az általános adatvédelmi rendelet éppen azért teszi lehetővé a különböző időpontokban történő információnyújtást, mert az adatgyűjtés közvetett.

51.

Ha elfogadnánk, hogy az általános adatvédelmi rendelet 14. cikke alkalmazandó a testkamera útján történő adatgyűjtés esetén, az azt jelentené, hogy az érintett nem kap tájékoztatást az adatgyűjtés időpontjában, annak ellenére, hogy ő az adatok forrása. Amint azt lényegében az osztrák kormány és a Bizottság is megjegyezte, ez alááshatná az általános adatvédelmi rendelet 13. cikkének hatékony érvényesülését. Valójában ez lehetővé tenné az adatkezelő számára, hogy ne tájékoztassa haladéktalanul az érintettet, annak ellenére, hogy az adatokat közvetlenül az érintettől gyűjtötték. ( 30 ) Ez azzal a kockázattal jár, hogy az adatrögzítés az érintettek tudomása nélkül történik, valamint hogy rejtett megfigyelési gyakorlatok alakulnak ki. ( 31 ) Az általános adatvédelmi rendelet 13. cikkének ilyen megkerülése az érintett tájékoztatáshoz való jogának súlyos megsértését jelentené.

52.

Végül, ha az általános adatvédelmi rendelet 13. és 14. cikke hatályának elhatárolása attól függene, hogy az érintett a gyűjtés pillanatában ténylegesen tisztában volt‑e az adatai gyűjtésével, az elmosná a két rendelkezés közötti határokat, és alkalmazásukat véletlenszerű körülményektől tenné függővé.

53.

Az általános adatvédelmi rendelet 13. és 14. cikkének szó szerinti, rendszertani és teleologikus értelmezéséből az következik tehát, hogy a testkamera útján történő adatgyűjtés esetén – amely az érintettől történő közvetlen adatgyűjtés egyik formája – az adatkezelő tájékoztatási kötelezettsége az előbbi rendelkezés hatálya alá tartozik.

54.

A teljesség kedvéért néhány záró megjegyzést fűznék a Ryneš ítéletnek a jelen ügy szempontjából fennálló relevanciájához. ( 32 ) Ebben az ítéletben a Bíróság az irányelv 3. cikke (2) bekezdésének második francia bekezdésében foglaltak szerinti, kizárólag „személyes [cél], vagy háztartási [tevékenység]” esetében értelmezte a 95/46 irányelv alkalmazása alóli kivételt. A Bíróság lényegében kimondta, hogy egy olyan kamerarendszer működtetése, amelyet egy természetes személy azért szerelt fel a családi házára, hogy megvédje a háztulajdonosok tulajdonát, testi épségét és életét, a kamerarendszerrel végzett megfigyelés viszont közterületre is kiterjed, nem tekinthető olyan tevékenységnek, amelyet e rendelkezés értelmében „kizárólag személyes, illetve otthoni” tevékenységek gyakorlása céljából végeznek. Ezért az ilyen adatkezelés nem vonható ki a 95/46 irányelv hatálya alól.

55.

Az ítélet 34. pontjában a Bíróság megállapította, hogy „[e]zen irányelv alkalmazása ugyanakkor adott esetben megengedi – különösen az említett irányelv 7. cikkének f) pontja, 11. cikkének (2) bekezdése, valamint 13. cikke (1) bekezdésének d) és g) pontja értelmében – az adatkezelő jogos érdekeinek figyelembevételét […]”.

56.

Az, hogy e konkrét pont a 95/46 irányelv 11. cikkének (2) bekezdésére hivatkozik, nem minősül az adatkezelőt a videokamerás megfigyelés esetén terhelő tájékoztatási kötelezettségére vonatkozó megfelelő jogalap Bíróság általi értelmezésének. Az említett ítéletben felvetett kérdés teljesen eltér a jelen ügyben felmerülttől, mivel az az „otthoni kivétel” alkalmazására vonatkozott, nem pedig a tájékoztatási kötelezettségre. Az említett pontban a Bíróság csupán rávilágít arra, hogy a 95/46 irányelvben meghatározott korlátozások és kivételek fényében figyelembe lehet venni az adatkezelő jogos érdekeit. A Bizottság továbbá helyesen mutat rá arra, hogy a Ryneš ítélet alapjául szolgáló előzetes döntéshozatal iránti kérelemből kitűnik, hogy a nemzeti eljárás keretében a nemzeti felügyeleti hatóság úgy vélte, hogy megsértették a 95/46 irányelv 11. cikkét végrehajtó nemzeti jogszabályt.

57.

Mindenesetre az információk rendelkezésre bocsátására az általános adatvédelmi rendelet 14. cikke szerint nyitva álló határidő nem egyezik a 95/46 irányelv 11. cikkében meghatározott határidővel. ( 33 ) Ezen túlmenően az uniós jogalkotó az általános adatvédelmi rendelet (61) preambulumbekezdésében – az adatok forrására hivatkozva – tisztázta az említett rendelet 13. és 14. cikkének hatálya közti különbségtételt. ( 34 )

58.

A fenti okok miatt úgy vélem, hogy a Ryneš ítélet nem releváns a jelen ügyben, és nem vezethet a jelen indítványban javasolttól eltérő következtetéshez.

59.

A fentiekre tekintettel úgy vélem, hogy az általános adatvédelmi rendelet 13. és 14. cikkét úgy kell értelmezni, hogy abban az esetben, ha a személyes adatokat valamely tömegközlekedési vállalatnál dolgozó jegyellenőrök által viselt testkamerák útján gyűjtik, a 13. cikket kell alkalmazni, és a 14. cikk nem alkalmazandó.

60.

A fent kifejtettek alapján azt javaslom, hogy a Bíróság a Högsta förvaltningsdomstolen (legfelsőbb közigazgatási bíróság, Svédország) által előterjesztett előzetes döntéshozatali kérdésre a következő választ adja:

A természetes személyeknek a személyes adatok kezelése tekintetében történő védelméről és az ilyen adatok szabad áramlásáról, valamint a 95/46/EK irányelv hatályon kívül helyezéséről szóló, 2016. április 27‑i (EU) 2016/679 európai parlamenti és tanácsi rendelet (általános adatvédelmi rendelet) 13. és 14. cikkét

úgy kell értelmezni, hogy abban az esetben, ha a személyes adatokat valamely tömegközlekedési vállalatnál dolgozó jegyellenőrök által viselt testkamerák útján gyűjtik, a 13. cikket kell alkalmazni, és a 14. cikk nem alkalmazandó.