CJUE | ARRÊT DU 18 DÉCEMBRE 2025 | C-422/24 | STORSTOCKHOLMS LOKALTRAFIK │
CAMÉRAS-PIÉTONS: LA PERSONNE CONCERNÉE EST-ELLE SOURCE OU CIBLE DES DONNÉES QU’ELLE GÉNÈRE MALGRÉ ELLE ?
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
TABLEAU RÉCAPITULATIF DE LA JURISPRUDENCE DE LA CJUE
| Décision | Référence ECLI | §§ conclusions / arrêt | Extrait verbatim et objet de la citation |
|---|---|---|---|
| CJUE, 28 nov. 2024, Másdi** | C-169/23, EU:C:2024:988 | Pts 12-15, 26, 29-30 (conclusions) | « Ainsi qu’il ressort de l’ordonnance de renvoi, la Cour a précisé dans l’arrêt Másdi que le champ d’application matériel de l’article 14 du RGPD est défini de manière négative par rapport à l’article 13 de ce règlement » — critère de la source des données ; définition des données « obtenues » de l’art. 14 comme collectées **« auprès d’une personne autre que la personne concernée » (pt 29 des conclusions). Arrêt structurant pour la dichotomie art. 13 / art. 14. |
| CJUE, 11 juil. 2024, Meta Platforms Ireland (Action représentative)** | C-757/22, EU:C:2024:598 | Pts 3, 24 (conclusions) | « Voir, à cet égard, arrêt du 11 juillet 2024, Meta Platforms Ireland (Action représentative) (C-757/22, EU:C:2024:598, point 58) » — le droit à l’information constitue une expression fondamentale du principe de transparence** consacré à l’article 5, §1, sous a), du RGPD ; les articles 12 à 14 en constituent les modalités d’exécution. |
| CJUE, 3 avr. 2025, Ministerstvo zdravotnictví** | C-710/23, EU:C:2025:231 | Pt 28 (conclusions) | « Voir arrêt du 3 avril 2025, Ministerstvo zdravotnictví (C-710/23, EU:C:2025:231, point 29) » — objectif du RGPD de **« garantir un niveau élevé de protection des personnes physiques » ; argument téléologique en faveur de l’interprétation restrictive des exceptions au droit à l’information. |
| CJUE, 21 juin 2022, Ligue des droits humains** | C-817/19, EU:C:2022:491 | Pt 17, note 8 (conclusions) | **« En ce qui concerne la distinction du champ d’application entre le RGPD et la directive 2016/680, voir arrêt du 21 juin 2022, Ligue des droits humains (C-817/19, EU:C:2022:491, points 67 et suivants) » — délimitation des champs RGPD / directive répressive ; confirmation que le traitement par SL relève du RGPD. |
| CJUE, 11 déc. 2014, Ryneš** | C-212/13, EU:C:2014:2428 | Pts 9, 54-58 (conclusions) | « Dans les motifs de son arrêt, le Kammarrätten i Stockholm s’est référé à l’arrêt de la Cour du 11 décembre 2014, Ryneš (C-212/13, EU:C:2014:2428), concernant l’exploitation d’un système de caméra installé par une personne physique dans sa maison familiale. » Invoqué par la cour d’appel suédoise pour qualifier la collecte d’indirecte (art. 14). Écarté par l’Avocat Général aux pts 54-58 : Ryneš portait sur l’exception domestique de la directive 95/46, non sur les obligations d’information ; la mention de l’art. 11 de la directive 95/46 dans cet arrêt était **obiter dictum. |
| CJUE, 7 nov. 2013, IPI** | C-473/12, EU:C:2013:715 | Pts 9, 20, note 9 (conclusions) | **« En ce qui concerne la distinction entre la collecte directe et indirecte dans le cadre de la directive 95/46, voir arrêt du 7 novembre 2013, IPI (C-473/12, EU:C:2013:715, point 24) » — antécédent historique de la distinction collecte directe / indirecte sous la directive 95/46, utilisé pour replacer les articles 13 et 14 du RGPD dans leur filiation normative. |
| Conclusions Avocat Général Cruz Villalón, Bara e.a.** | C-201/14, EU:C:2015:461 | Pt 5, note 5 (conclusions) | « Voir Conclusions de l’avocat général Cruz Villalón dans l’affaire Bara e.a. (C-201/14, EU:C:2015:461, point 74) » — le droit à l’information **« garantit la transparence de tout traitement » ; ancrage doctrinal du droit à l’information comme instrument fondamental de la protection des données. |
TABLEAU DES LIGNES DIRECTRICES ET RÉFÉRENTIELS NORMATIFS
| Organisme | Document | Date | §§ conclusions | Extrait verbatim et objet |
|---|---|---|---|---|
| GT29 (G29) | Lignes directrices sur la transparence au titre du règlement 2016/679, WP260 rev.01 | 29 nov. 2017 (approuvées CEPD 25 mai 2018) | Pts 11, 20-21, 23, 33 | « Cette approche est également confirmée par les lignes directrices du GT29 sur la transparence, qui prévoient que l’article 13 du RGPD s’applique soit lorsqu’une personne concernée fournit sciemment des données à caractère personnel au responsable du traitement des données, soit lorsque le responsable du traitement collecte les données auprès d’une personne concernée par observation. Parmi les exemples de collecte de données par observation qui y sont donnés figurent l’utilisation d’appareils de saisie automatique de données ou de logiciels de saisie de données, tels que des caméras. » (pt 33 des conclusions). Confirmation directe que les caméras constituent des instruments de collecte directe relevant de l’art. 13. |
| CEPD | Lignes directrices 3/2019 sur le traitement des données à caractère personnel par des dispositifs vidéo | 29 janv. 2020 | Pts 22, 25, 35, 44-48 | « Les lignes directrices du CEPD sur la vidéosurveillance donnent un aperçu détaillé et pratique de l’approche à plusieurs niveaux. Les informations de premier niveau se rapportent à “la manière dont le responsable du traitement s’adresse à la personne concernée en premier lieu”. Dans le cas de la vidéosurveillance, il s’agira normalement d’un panneau d’avertissement permettant à la personne concernée de savoir qu’elle entre dans une zone sous surveillance. Les informations de premier niveau doivent ensuite être complétées par les informations de deuxième niveau, de préférence en faisant référence à une source numérique (par exemple, un code QR ou une adresse de site Internet) » (pt 25 des conclusions, citant le point 113 des lignes directrices). Fondement de l’approche multi-niveaux d’information. |
| Data Protection Commission (Irlande) | Guidance on the use of body worn cameras or action cameras | 10 janv. 2020 | Pt 27, note 27 | « Voir Data Protection Commission, “Guidance on the use of body worn cameras or action cameras”, 10 janvier 2020, p. 3 » — recommandation de signalisations visibles portées sur les vêtements ou les véhicules, de badges et de liens vers des informations complémentaires. Illustration pratique de la faisabilité des modalités d’information pour les caméras-piétons. |
| Datenschutzkonferenz (DSK, Allemagne) | Orientierungshilfe der Datenschutzaufsichtsbehörden zu dem Einsatz von Bodycams durch private Sicherheitsunternehmen | 22 févr. 2019 | Pts 27, 31, notes 27 et 31 | « Par exemple, lorsque la caméra-piéton est activée, un signal optique doit être activé et les personnes portant les caméras-piéton doivent comporter des signes visibles » (pt 31 des conclusions). Double intérêt : modalités pratiques d’avertissement et avertissement sur les « risques de surveillance cachée » si l’information immédiate est contournée. |
TABLEAU DE LA DOCTRINE CITÉE
| Auteur | Ouvrage | Éditeur / Année | §§ conclusions | Objet de la référence |
|---|---|---|---|---|
| Vrabec, H.-U. | Data Subject Rights under the GDPR | Oxford University Press, Oxford, 2021, p. 64 | Pt 4, note 4 | Rôle cardinal du droit à l’information dans la protection des données et son fondement dans le principe de transparence. |
| Roßnagel, A. (in Simitis, S., Hornung, G. e.a.) | Datenschutzrecht, commentaire de l’art. 4(2) RGPD | Nomos, Baden-Baden, 2e éd., 2025, point 15 | Pt 17, note 17 | La « collecte » est une opération de traitement « nécessitant une action du responsable du traitement, et non de la personne concernée » — soutien doctrinal au rejet du critère de participation active. |
| Conclusions Avocat Général Cruz Villalón | Conclusions, aff. Bara e.a., C-201/14 | EU:C:2015:461, point 74 | Pt 5, note 5 | Le droit à l’information « garantit la transparence de tout traitement ». |
TABLEAU DE LA JURISPRUDENCE NATIONALE SUÉDOISE
| Juridiction | Décision | Date | §§ des conclusions | Rôle dans le litige |
|---|---|---|---|---|
| Integritetsskyddsmyndigheten (IMY) | Décision de contrôle infligeant amende à SL | Juin 2021 | Pts 6-7 | Décision sanctionnant SL pour violation art. 13 RGPD (4 M SEK spécifiquement pour défaut d’information) ; origine du litige. |
| Förvaltningsrätten i Stockholm | Jugement confirmant l’amende | Non précisée | Pt 8 | Première instance — rejet du recours de SL, confirmation de la violation de l’art. 13. |
| Kammarrätten i Stockholm | Arrêt annulant l’amende | 26 janv. 2023 | Pts 9, 11-12 | Appel — annulation au motif que l’art. 14 (et non l’art. 13) s’applique, en s’appuyant erronément sur l’arrêt Ryneš pour qualifier la collecte par caméra d’indirecte. Position rejetée par la CJUE. |
| Högsta förvaltningsdomstolen | Ordonnance de renvoi préjudiciel | 17 juin 2024 | Pt 14 | Pourvoi de l’IMY — décision de renvoi à la CJUE sur la question de l’applicabilité de l’art. 13 ou 14 du RGPD à la collecte par caméra-piéton. |
REPÈRES NORMATIFS DU RGPD DIRECTEMENT EN CAUSE
| Disposition | Contenu pertinent | Usage dans l’affaire |
|---|---|---|
| Art. 5, §1, a) | Principe de transparence | Fondement téléologique des obligations d’information (cité via Meta Platforms Ireland). |
| Art. 12, §1 | « Mesures appropriées » pour délivrer les informations | Base textuelle de l’approche multi-niveaux d’information. |
| Art. 13, §1 | Obligation d’information « au moment où les données sont obtenues » — collecte directe | Disposition litigieuse dont l’applicabilité est en cause. |
| Art. 13, §4 | Seule exception à l’art. 13 : la personne dispose déjà des informations | Confirmation de l’absence d’exception « efforts disproportionnés » pour les collectes directes. |
| Art. 14, §1 | Obligation d’information pour les données « n’ayant pas été collectées auprès de la personne » — collecte indirecte | Disposition écartée par la Cour pour les caméras-piétons. |
| Art. 14, §3, a) | Délai d’un mois pour la collecte indirecte | Délai inapplicable en l’espèce, en raison de l’applicabilité de l’art. 13. |
| Art. 14, §5, b) | Exception d’efforts disproportionnés — collecte indirecte uniquement | Exception invoquée par SL, écartée par la Cour dès lors que l’art. 13 s’applique. |
| Art. 14, §2, f) | Obligation d’indiquer « la source d’où proviennent les données » — collecte indirecte | Argument systémique de l’Avocat Général : cet article serait sans objet si la personne concernée était elle-même la source. |
| Art. 4, pt 2 | Définition du « traitement » incluant la « collecte » | La collecte est une opération du responsable du traitement, non de la personne concernée. |
| Considérant 61 | Distinction données « collectées auprès » / données « obtenues d’une autre source » | Confirmation textuelle du critère de la source des données. |
POINTS ESSENTIELS
L’affaire C-422/24, Integritetsskyddsmyndigheten c. AB Storstockholms Lokaltrafik, oppose l’autorité suédoise de protection des données (IMY) à une société de transport public de la région de Stockholm (SL) qui avait équipé ses contrôleurs de caméras-piétons fonctionnant en enregistrement continu avec mémoire circulaire et mécanisme de pré-enregistrement d’une minute, les contrôleurs étant instruits de conserver les données en cas d’émission d’une amende ou de menace;
L’autorité de contrôle avait sanctionné SL à hauteur de 4 millions de couronnes suédoises pour violation de l’article 13 du RGPD (obligation d’information au moment de la collecte directe), tandis que la cour d’appel administrative de Stockholm avait annulé cette sanction en estimant, sur le fondement d’une extrapolation erronée de l’arrêt Ryneš (C-212/13, EU:C:2014:2428, rendu sous l’empire de la directive 95/46), que la collecte par caméra relevait de l’article 14 du RGPD (collecte indirecte) autorisant un délai d’un mois et l’exception d’efforts disproportionnés.
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats