CJUE | Arrêt du 18 décembre 2025 | C-422/24 | Storstockholms Lokaltrafik │ C-422-24-ESSENTIELS

1 — La question posée
La Cour suprême administrative de Suède avait demandé à la Cour de justice laquelle des deux dispositions du RGPD — l’article 13 (collecte directe) ou l’article 14 (collecte indirecte) — s’applique lorsque des données à caractère personnel sont collectées au moyen de caméras-piétons portées par des contrôleurs de transport public. La réponse conditionne le contenu, le délai et les éventuelles exceptions à l’obligation d’information pesant sur le responsable du traitement.

2 — La réponse de la Cour (ECLI:EU:C:2025:980)
C’est l’article 13 du RGPD qui s’applique. Le critère déterminant est la source des données : si la personne concernée est la source directe — en l’occurrence, sa présence physique dans le champ de la caméra — l’article 13 s’applique, indépendamment de toute participation active ou conscience de la collecte. Ces deux dispositions s’excluent mutuellement ; il n’existe aucune zone grise. L’arrêt Mäsdi (C-169/23) est expressément confirmé et prolongé.

3 — Les conséquences de l’application de l’article 13
Le responsable du traitement doit fournir au moment où les données sont obtenues l’ensemble des informations visées à l’article 13, paragraphes 1 et 2, du RGPD. L’approche à plusieurs niveaux (panneau d’avertissement au premier niveau, QR code ou site internet au second niveau) préconisée par les lignes directrices 3/2019 du CEPD sur les dispositifs vidéo est compatible avec cette obligation — à condition que le premier niveau d’information soit visible avant l’entrée dans la zone de captation. La seule exception disponible est que la personne concernée dispose déjà de toutes les informations requises (article 13, paragraphe 4).

4 — Ce qui est expressément écarté
La Cour rejette l’argument selon lequel la difficulté pratique d’informer individuellement chaque personne filmée justifierait le recours à l’exception pour « efforts disproportionnés » de l’article 14, paragraphe 5, sous b). Cette exception n’est disponible qu’en cas de collecte indirecte relevant de l’article 14. L’arrêt Ryneš (C-212/13) n’est pas pertinent pour trancher cette question, ayant porté sur l’exception relative aux activités domestiques et non sur l’obligation d’information.

5 — La portée pratique
Tout dispositif de collecte de données par observation directe (caméra-piéton, vidéosurveillance, capteur biométrique, traceur sans intermédiaire) relève de l’article 13 du RGPD. L’obligation d’information est immédiate et non différable. Pour les responsables de traitement qui avaient organisé leur information sous le régime de l’article 14 en invoquant la difficulté pratique, une mise en conformité urgente s’impose : révision des panneaux, des badges et de toute documentation portée à la connaissance des personnes concernées avant ou au moment de la captation des données.

POINTS ESSENTIELS