CJUE | ARRÊT DU 18 DÉCEMBRE 2025 | C-422/24 | STORSTOCKHOLMS LOKALTRAFIK │
CAMÉRAS-PIÉTONS: LA PERSONNE CONCERNÉE EST-ELLE SOURCE OU CIBLE DES DONNÉES QU’ELLE GÉNÈRE MALGRÉ ELLE ?
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
PRÉSENTATION ET ENJEUX DE L’AFFAIRE
L’affaire C-422/24 Integritetsskyddsmyndigheten c. AB Storstockholms Lokaltrafik constitue l’une des premières occasions pour la Cour de justice de l’Union européenne de se prononcer sur l’articulation des articles 13 et 14 du RGPD dans le contexte spécifique des technologies de surveillance mobile portée par des agents privés exerçant des fonctions de contrôle dans les transports publics. L’enjeu normatif est considérable : la qualification de la collecte de données — directe au sens de l’article 13, ou indirecte au sens de l’article 14 — détermine non seulement le contenu des obligations d’information, mais aussi leur calendrier d’exécution et les exceptions susceptibles d’être invoquées par le responsable du traitement.
La difficulté tient à la singularité technique du dispositif en cause : une caméra-piéton portée par un contrôleur, enregistrant en continu avec effacement circulaire automatique et déclenchement manuel de la conservation, capte les données des usagers dans un espace public sans que ceux-ci aient accompli le moindre acte positif de communication au sens traditionnel du terme. La question est dès lors de savoir si la simple présence physique d’une personne dans le champ de captation d’une caméra suffit à faire d’elle la « source » de ses propres données au sens de l’article 13 du RGPD, ou si cette captation passive relève plutôt du régime de collecte indirecte gouverné par l’article 14.
Cette question n’est pas purement théorique. Les conséquences pratiques sont considérables : si l’article 13 s’applique, le responsable du traitement doit délivrer l’information au moment même où les données sont obtenues, et la seule exception admise est que la personne concernée dispose déjà de ces informations (article 13, §4, du RGPD). Si c’est l’article 14 qui régit la situation, le responsable bénéficie d’un délai pouvant aller jusqu’à un mois (article 14, §3), et peut surtout se prévaloir d’une exception d’efforts disproportionnés (article 14, §5, sous b)), ce qui — dans un contexte de vidéosurveillance mobile — ouvrirait une brèche considérable dans la protection des personnes filmées.
L’autorité suédoise de protection des données, l’Integritetsskyddsmyndigheten (IMY), avait sanctionné AB Storstockholms Lokaltrafik (SL) à hauteur de 4 millions de couronnes suédoises spécifiquement pour violation de l’article 13 du RGPD. La cour d’appel administrative de Stockholm avait annulé cette sanction en estimant que l’article 14 — et non l’article 13 — était la base juridique pertinente de l’obligation d’information dans les situations de vidéosurveillance. C’est ce conflit d’interprétation que le Högsta förvaltningsdomstolen a soumis à la Cour.
LA QUESTION PRÉJUDICIELLE ET SA PORTÉE
La juridiction de renvoi a posé la question suivante :
« Lequel des articles 13 et 14 du RGPD s’applique lorsque des données sont collectées au moyen d’une caméra-piéton ? »
La formulation de cette question, volontairement ramassée, recouvre en réalité plusieurs sous-questions : celle du critère de démarcation entre les deux régimes d’information, celle de la définition de la « collecte auprès de la personne concernée », et celle de l’incidence de l’absence de participation active de la personne filmée sur cette qualification.
LE RAISONNEMENT DE L’AVOCATE GÉNÉRALE LAILA MEDINA
DÉLIMITATION STRICTE DU PÉRIMÈTRE DE LA QUESTION
L’Avocate générale Laila Medina, dans ses conclusions présentées le 1er août 2025, a d’emblée circonscrit avec rigueur le périmètre de l’analyse. Elle a souligné que la question posée ne portait pas sur la licéité du traitement au regard de l’article 6 du RGPD — question qui ne lui était pas soumise — mais exclusivement sur la base juridique de l’obligation d’information pesant sur le responsable du traitement. Elle a également précisé que le contexte — une société privée de transport public, hors exercice de prérogatives de puissance publique à vocation répressive — relevait du champ d’application du RGPD et non de la directive 2016/680 relative au traitement par les autorités compétentes à des fins de prévention et de répression des infractions pénales, conformément à l’arrêt Ligue des droits humains (C-817/19, EU:C:2022:491, points 67 et suiv., cité au point 17 des conclusions).
B. LE CRITÈRE DE LA « SOURCE DES DONNÉES » COMME CLEF DE VOÛTE DU SYSTÈME
L’apport central des conclusions réside dans la formulation claire d’un critère univoque de délimitation entre les articles 13 et 14 : non pas la participation active ou l’initiative de la personne concernée, mais la source des données. L’Avocate générale expose ce raisonnement en plusieurs étapes.
Elle part d’abord d’une analyse littérale. L’article 14, §1, du RGPD s’applique lorsque les données à caractère personnel « n’ont pas été collectées auprès de la personne concernée ». Cette formulation négative délimite le champ de l’article 14 par opposition à celui de l’article 13, créant ainsi une dichotomie exhaustive et mutuellement exclusive. Comme l’Avocate générale le souligne au point 12 de ses conclusions, en s’appuyant sur l’arrêt Másdi (C-169/23, EU:C:2024:988, point 29) : les données « obtenues » au sens de l’article 14 sont celles que le responsable du traitement collecte « auprès d’une personne autre que la personne concernée ». L’article 14 vise donc des scénarios triangulaires dans lesquels existe un intermédiaire entre la source primaire de l’information et le responsable du traitement.
Poursuivant son analyse, l’Avocate générale souligne, aux points 13 à 15 de ses conclusions, que cette interprétation est confortée par l’article 14, §2, sous f), du RGPD, qui impose au responsable du traitement d’indiquer à la personne concernée « la source d’où proviennent les données à caractère personnel » lorsque celles-ci n’ont pas été collectées auprès d’elle — obligation logiquement absurde si la personne concernée était elle-même la source. Le considérant 61 du RGPD corrobore cette lecture en distinguant les données « collectées auprès de » la personne concernée des données « obtenues d’une autre source ».
La conclusion qui en découle est décisive : si la personne concernée constitue la source directe des données, sans intermédiaire entre elle et le responsable du traitement, l’article 13 s’applique. Peu importe que la personne ait fourni activement les informations ou qu’elles aient été captées par observation — dans les deux cas, la personne concernée est la source des données, et c’est bien l’article 13 qui gouverne l’obligation d’information.
C. LA « COLLECTE PAR OBSERVATION » ET SON INTÉGRATION DANS LE RÉGIME DE L’ARTICLE 13
L’Avocate générale consacre une partie substantielle de ses conclusions à démontrer que la collecte par observation — y compris par caméra — relève bien de l’article 13. Elle s’appuie sur deux sources normatives convergentes.
D’une part, les Lignes directrices du Groupe de travail « article 29 » sur la transparence (WP260 rev.01, 29 novembre 2017, approuvées par le CEPD le 25 mai 2018), citées au point 33 des conclusions : « l’article 13 du RGPD s’applique soit lorsqu’une personne concernée fournit sciemment des données à caractère personnel au responsable du traitement des données, soit lorsque le responsable du traitement collecte les données auprès d’une personne concernée par observation », avec pour exemple expressément cité « l’utilisation d’appareils de saisie automatique de données ou de logiciels de saisie de données, tels que des caméras ».
D’autre part, les Lignes directrices 3/2019 du CEPD sur le traitement des données par des dispositifs vidéo (29 janvier 2020), citées aux points 22, 35, 44-48 des conclusions, qui décrivent l’approche à plusieurs niveaux d’information dans le contexte de la vidéosurveillance, impliquant une signalisation immédiate dès l’entrée dans la zone de captation et un renvoi vers des informations complémentaires accessibles en ligne ou sous forme non numérique.
À ces deux sources vient s’ajouter la logique interne du RGPD elle-même : si la « collecte » est définie, par renvoi à l’article 4, point 2, comme une opération portant sur des données à caractère personnel — opération qui nécessite une action du responsable du traitement, et non de la personne concernée (point 17 des conclusions, citant Roßnagel, in Simitis/Hornung, Datenschutzrecht, Nomos, 2e éd., 2025) — alors rien dans la définition de la collecte n’implique une activité de la personne filmée. La caméra capte ; la personne concernée est la source des données captées.
D. LA RÉFUTATION DE L’ARGUMENT TIRÉ DE L’ARRÊT RYNEŠ
Un point particulièrement soigné des conclusions de l’Avocate générale concerne l’arrêt Ryneš (C-212/13, EU:C:2014:2428), sur lequel la cour d’appel administrative de Stockholm avait fondé sa décision d’annulation. L’Avocate générale, aux points 54-58 de ses conclusions, démontre que cette référence est dénuée de pertinence pour trancher la présente question : l’arrêt Ryneš avait été rendu sous l’empire de la directive 95/46/CE, et concernait spécifiquement la délimitation de l’exception domestique et du champ de l’article 11 de cette directive. La cour d’appel suédoise avait opéré un glissement interprétatif non autorisé en transposant la solution de Ryneš — relative à une question différente sous un cadre normatif différent — à la question de l’applicabilité de l’article 13 du RGPD dans un contexte de surveillance mobile par un opérateur professionnel.
E. LA SOLUTION PRÉCONISÉE ET SES MODALITÉS PRATIQUES
L’Avocate générale propose à la Cour de répondre que l’article 13 du RGPD s’applique lorsque des données à caractère personnel sont collectées par une caméra-piéton, dès lors que la personne filmée est elle-même la source directe des données captées. Elle précise, aux points 44-48 des conclusions, que le responsable du traitement peut satisfaire à cette obligation en recourant à une approche à plusieurs niveaux : une information de premier niveau délivrée immédiatement (par exemple, un panneau signalétique visible avant l’entrée dans la zone de captation, un voyant lumineux ou un marquage visible sur la caméra), complétée par une information de deuxième niveau renvoyant à une source plus complète (code QR, site internet). Cette approche est expressément recommandée par les Lignes directrices 3/2019 du CEPD sur les dispositifs vidéo (point 113 de ces lignes directrices, cité au point 47 des conclusions), par la Guidance irlandaise (Data Protection Commission, 10 janvier 2020) et par l’Orientierungshilfe allemande du Datenschutzkonferenz (22 février 2019), ces deux dernières citées au point 27 des conclusions.
LA DÉCISION DE LA COUR
La Cour de justice (huitième chambre), par son arrêt du 18 décembre 2025 (ECLI:EU:C:2025:980), a suivi la position de l’Avocate générale et confirmé que l’article 13 du RGPD est la disposition applicable lorsque des données à caractère personnel sont collectées au moyen d’une caméra-piéton portée par un agent de contrôle. La Cour a posé comme principe que la collecte de données visuelles et sonores au moyen d’une caméra-piéton constitue une collecte auprès de la personne concernée, laquelle est la source directe des données enregistrées, sans intermédiaire entre elle et le responsable du traitement. En conséquence, certaines informations doivent être fournies immédiatement au passager concerné lors du contrôle des billets.
Dispositif de l’arrêt :
L’article 13 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), doit être interprété en ce sens qu’il s’applique à la collecte de données à caractère personnel effectuée au moyen d’une caméra-piéton portée par des contrôleurs d’une société de transport public lors du contrôle des billets des voyageurs, au motif que ces voyageurs constituent la source directe des données ainsi collectées.
ANALYSE CRITIQUE
A. LA COHÉRENCE DU CRITÈRE « SOURCE DES DONNÉES »
La solution retenue par la Cour, dans la droite ligne des conclusions de l’Avocate générale, présente une cohérence systémique indiscutable. En ancrant la distinction articles 13/14 dans le critère de la source — et non dans celui de la participation active ou de l’initiative de la personne concernée — elle met fin à une incertitude interprétative qui aurait pu aboutir à une érosion majeure des droits à l’information dans tous les contextes de surveillance passive : vidéosurveillance fixe, systèmes de reconnaissance biométrique, captation par drones ou robots, etc. En effet, si le critère de la participation active avait été retenu, tout dispositif de captation opérant à l’insu ou sans le concours actif de la personne filmée aurait pu être requalifié en collecte indirecte, ouvrant la voie à des délais et exceptions qui auraient rendu l’obligation d’information largement illusoire dans ces contextes.
B. UNE SOLUTION TECHNOLOGIQUEMENT NEUTRE ET PRÉVISIBLE
La solution est également technologiquement neutre : elle ne dépend pas de la nature particulière de la technologie de captation (caméra portée, caméra fixe, capteur biométrique) mais du critère structurel de la source des données. Elle est ainsi applicable à l’ensemble des dispositifs de collecte par observation directe, garantissant une prévisibilité normative aux opérateurs économiques déployant de tels systèmes.
C. LA TENSION AVEC L’EXÉCUTION PRATIQUE DE L’OBLIGATION EN TEMPS RÉEL
Le point le plus délicat de la solution tient à la tension pratique entre l’obligation d’information immédiate imposée par l’article 13 et les contraintes opérationnelles inhérentes à l’utilisation de caméras-piétons mobiles. La Cour et l’Avocate générale ont toutefois résolu cette tension en validant l’approche à plusieurs niveaux et en reconnaissant que l’obligation peut être satisfaite par des moyens contextuellement adaptés — signalétique visible portée sur la tenue ou sur la caméra, voyant lumineux d’activation, référence à une URL ou code QR. Cela représente une interprétation fonctionnelle et pragmatique du critère temporel de l’article 13, §1 (information « au moment où les données en question sont obtenues »), qui préserve l’effectivité du droit à l’information sans rendre impossible l’usage des caméras-piétons en contexte de terrain.
D. L’ABSENCE D’EXCEPTION « EFFORTS DISPROPORTIONNÉS » POUR LES COLLECTES DIRECTES
La conséquence la plus sévère de la solution adoptée est l’inapplicabilité de l’exception d’efforts disproportionnés de l’article 14, §5, sous b), du RGPD. Cette exception, qui aurait pu être invoquée par SL si l’article 14 avait été retenu, est structurellement absente du régime de l’article 13, dont la seule dérogation admise est que la personne dispose déjà des informations requises (article 13, §4). La solution adoptée est donc sans compromis sur ce point : les responsables du traitement déployant des caméras-piétons ne peuvent se prévaloir d’une impossibilité d’informer pour s’exonérer de leur obligation.
CONTEXTUALISATION JURISPRUDENTIELLE
A. JURISPRUDENCES ANTÉRIEURES PERTINENTES
L’arrêt C-422/24 s’inscrit dans une dynamique jurisprudentielle qui voit la Cour progressivement consolider les droits des personnes concernées face aux mécanismes de surveillance automatisée. L’affaire Ryneš (C-212/13, EU:C:2014:2428), dont la cour d’appel suédoise avait mal extrapolé les enseignements, avait opéré dans un tout autre registre : elle avait étendu le champ d’application de la directive 95/46/CE à la vidéosurveillance de la voie publique depuis un domicile privé. L’arrêt Másdi (C-169/23, EU:C:2024:988) avait fourni l’armature conceptuelle de la distinction articles 13/14 en définissant les données « obtenues » de l’article 14 comme collectées auprès d’une personne autre que la personne concernée. L’arrêt Meta Platforms Ireland (Action représentative) (C-757/22, EU:C:2024:598, point 58) avait quant à lui rappelé que le droit à l’information constitue une expression fondamentale du principe de transparence consacré à l’article 5, §1, sous a), du RGPD.
B. ARTICULATION AVEC LES DÉVELOPPEMENTS ULTÉRIEURS
L’arrêt C-422/24 est susceptible d’exercer une influence structurante sur plusieurs affaires pendantes ou à venir portant sur la surveillance par dispositifs technologiques mobiles, notamment dans le contexte de l’essor des robots de livraison équipés de caméras, des lunettes de réalité augmentée portées par des agents commerciaux, ou des systèmes embarqués dans des véhicules autonomes. Dans ces contextes, le critère de la « source directe » établi par C-422/24 aura vocation à s’appliquer, imposant aux responsables du traitement de concevoir dès la conception (privacy by design) des modalités d’information immédiate adaptées.
L’affaire Ministerstvo zdravotnictví (C-710/23, EU:C:2025:231, point 29), rendue en avril 2025, avait rappelé l’objectif cardinal du RGPD de « garantir un niveau élevé de protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel » — objectif que l’arrêt C-422/24 contribue à opérationnaliser dans le champ encore peu exploré de la surveillance mobile portée par des opérateurs privés.
POINTS ESSENTIELS
L’affaire C-422/24, Integritetsskyddsmyndigheten c. AB Storstockholms Lokaltrafik, oppose l’autorité suédoise de protection des données (IMY) à une société de transport public de la région de Stockholm (SL) qui avait équipé ses contrôleurs de caméras-piétons fonctionnant en enregistrement continu avec mémoire circulaire et mécanisme de pré-enregistrement d’une minute, les contrôleurs étant instruits de conserver les données en cas d’émission d’une amende ou de menace;
L’autorité de contrôle avait sanctionné SL à hauteur de 4 millions de couronnes suédoises pour violation de l’article 13 du RGPD (obligation d’information au moment de la collecte directe), tandis que la cour d’appel administrative de Stockholm avait annulé cette sanction en estimant, sur le fondement d’une extrapolation erronée de l’arrêt Ryneš (C-212/13, EU:C:2014:2428, rendu sous l’empire de la directive 95/46), que la collecte par caméra relevait de l’article 14 du RGPD (collecte indirecte) autorisant un délai d’un mois et l’exception d’efforts disproportionnés.
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats