CJUE | ARRÊT DU 18 DÉCEMBRE 2025 | C-422/24 | STORSTOCKHOLMS LOKALTRAFIK │
CAMÉRAS-PIÉTONS: LA PERSONNE CONCERNÉE EST-ELLE SOURCE OU CIBLE DES DONNÉES QU’ELLE GÉNÈRE MALGRÉ ELLE ?
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
CONTEXTE FACTUEL
A. L’OPÉRATEUR ET LE DISPOSITIF DÉPLOYÉ
AB Storstockholms Lokaltrafik (ci-après « SL ») est une société de droit suédois exploitant des services de transport public dans la région de Stockholm. Dans le cadre de ses activités de contrôle des titres de transport, SL a équipé ses contrôleurs de caméras-piétons (bodycams) portées pendant toute la durée de leur service.
Le dispositif technique présentait les caractéristiques suivantes, telles qu’elles ressortent de la décision de renvoi :
—-Les caméras enregistraient en continu l’image et le son des personnes présentes dans l’environnement des contrôleurs tout au long de leur service ;
—-Les appareils étaient dotés d’une mémoire dite « circulaire » (loop recording) : après un délai prédéterminé, les enregistrements étaient automatiquement effacés. Ce délai, initialement fixé à deux minutes, fut réduit à une minute lors de la procédure de contrôle administratif ;
—-Les contrôleurs disposaient de la faculté d’interrompre l’effacement automatique en actionnant manuellement un bouton, permettant ainsi la conservation des données enregistrées ;
—-Cette fonctionnalité s’accompagnait d’un mécanisme de pré-enregistrement : l’activation du bouton permettait également de conserver les données captées dans la minute précédant l’activation, grâce à un tampon mémoire (pre-recording buffer) ;
—-Les instructions internes données aux contrôleurs prévoyaient qu’ils devaient systématiquement interrompre l’effacement automatique dans toutes les situations donnant lieu à l’émission d’une amende ainsi qu’en cas de menaces ou violences.
B. LA FINALITÉ DÉCLARÉE DU TRAITEMENT
L’objectif déclaré du dispositif était double :
- Prévenir et documenter les menaces et violences dont les contrôleurs pourraient être victimes dans l’exercice de leurs fonctions ;
- Garantir l’identification des voyageurs qui devaient s’acquitter d’une amende pour défaut de titre de transport valide.
LA PROCÉDURE NATIONALE
A. LA DÉCISION DE L’AUTORITÉ DE PROTECTION DES DONNÉES (JUIN 2021)
L’Integritetsskyddsmyndigheten (IMY), autorité suédoise chargée de la protection des données à caractère personnel, exerçant ses missions de contrôle du respect du RGPD, rendit en juin 2021 une décision de contrôle (tillsynsbeslut) constatant que SL avait, depuis décembre 2018 et jusqu’à la date de cette décision, traité des données à caractère personnel en violation de plusieurs dispositions du RGPD.
Au titre de ces violations, l’IMY reprocha notamment à SL de n’avoir pas fourni suffisamment d’informations aux personnes concernées par le traitement opéré au moyen des caméras-piétons, en méconnaissance de l’article 13 du RGPD. Pour ce seul manquement, l’autorité de contrôle infligea à SL une amende administrative de 4 millions de couronnes suédoises, intégrée dans une amende totale de 16 millions de couronnes suédoises couvrant l’ensemble des violations constatées.
B. LA PROCÉDURE JURIDICTIONNELLE DE PREMIÈRE INSTANCE
SL contesta la décision de l’IMY devant le Förvaltningsrätten i Stockholm (tribunal administratif de Stockholm). Celui-ci rejeta le recours en ce qui concernait l’amende infligée pour défaut d’information des personnes concernées, confirmant ainsi la position de l’autorité de contrôle.
L’ANNULATION FONDÉE SUR L’ARTICLE 14 DU RGPD
La société SL porta l’affaire devant le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm), qui, par un arrêt du 26 janvier 2023, annula le jugement de première instance ainsi que la décision de contrôle de l’IMY pour ce qui touchait à l’amende pour défaut d’information des personnes concernées.
La cour d’appel fonda sa décision sur une interprétation particulière du droit applicable. S’appuyant sur l’arrêt Ryneš (CJUE, 11 décembre 2014, C-212/13, EU:C:2014:2428), relatif à l’exploitation d’un système de caméra installé par une personne physique dans sa maison familiale, la cour d’appel considéra :
« Selon le Kammarrätten i Stockholm (cour d’appel administrative de Stockholm), il découle de cet arrêt que, dans des situations de vidéosurveillance, l’obligation du responsable du traitement de fournir les informations suffisantes est fondée sur l’article 11 de la directive 95/46/CE, qui était l’ancien équivalent de l’article 14 du RGPD. » (point 9 des conclusions de l’Avocat Général)
La cour d’appel estima en outre que le libellé de l’article 13 du RGPD suggérait qu’une certaine forme de comportement délibéré de la personne concernée était nécessaire pour que les données soient considérées comme ayant été collectées « auprès d’elle » — condition qu’elle estimait non remplie dans le cas d’une captation par caméra-piéton. En conséquence, l’amende infligée à SL pour violation de l’article 13 était infondée.
D. LES POSITIONS DES PARTIES DEVANT LA JURIDICTION DE RENVOI
Devant la Cour suprême administrative, les parties ont défendu des positions diamétralement opposées :
L’IMY (autorité de protection des données) soutenait :
—-Que l’article 13 du RGPD demeurait applicable même en l’absence de participation active de la personne concernée à la collecte des données ;
—-Que, dans le contexte de la vidéosurveillance mobile, les informations devaient être fournies avant le début du traitement des données à caractère personnel ;
—-Que la personne concernée « rend possible la collecte en entrant sciemment dans la zone surveillée », ce qui suffit à faire d’elle la source des données au sens de l’article 13.
SL maintenait au contraire :
—-Que le libellé de l’article 13 du RGPD requérait une participation consciente de la personne concernée à la collecte de ses données ;
—-Que la fourniture d’informations à plusieurs niveaux, caractéristique de la vidéosurveillance (signalétique, site internet), s’accordait mieux avec l’économie de l’article 14 qu’avec celle de l’article 13 ;
—-Qu’en tout état de cause, l’exception d’efforts disproportionnés prévue à l’article 14, §5, sous b), du RGPD devrait s’appliquer aux situations impliquant l’utilisation de caméras-piétons, dès lors qu’il serait excessivement contraignant d’informer individuellement chaque personne filmée au moment précis de la captation.
LA DÉCISION DE RENVOI PRÉJUDICIEL
Le Högsta förvaltningsdomstolen (Cour suprême administrative de Suède), estimant que la résolution du litige nécessitait une interprétation du droit de l’Union par la Cour de justice, décida de surseoir à statuer et de lui déférer une question préjudicielle par une ordonnance du 17 juin 2024 (référence interne au fichier de renvoi : document.pdf, Aff. C-422/24).
La Cour suprême administrative suédoise estima que la question de la délimitation des champs d’application respectifs des articles 13 et 14 du RGPD dans le contexte de la collecte de données par caméra-piéton n’avait pas encore reçu de réponse de la Cour de justice et que la divergence d’interprétation manifestée dans la procédure nationale justifiait le renvoi.
LA QUESTION PRÉJUDICIELLE
La question préjudicielle soumise à la Cour de justice par le Högsta förvaltningsdomstolen était libellée comme suit :
« Lequel des articles 13 et 14 du règlement (UE) 2016/679 s’applique lorsque des données sont collectées au moyen d’une caméra-piéton ? »
Cette question unique, d’une apparente simplicité formelle, englobait en substance plusieurs enjeux interprétatifs distincts :
—-Le critère de démarcation entre les deux dispositions ;
—-La définition de la notion de collecte de données « auprès de » la personne concernée ;
—-L’incidence de l’absence de comportement actif de la personne filmée sur cette qualification ;
—-Les conséquences qui en découlent quant au régime temporel de l’obligation d’information et aux exceptions applicables.
CADRE JURIDIQUE APPLICABLE
Les dispositions du RGPD directement en cause dans le litige au principal sont les suivantes :
Article 13, §1, du RGPD (collecte directe) :
« Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où ces données sont obtenues, toutes les informations suivantes […] »
Article 14, §1, du RGPD (collecte indirecte) :
« Lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée, le responsable du traitement fournit à celle-ci toutes les informations suivantes […] »
Article 14, §3, du RGPD (délai de la collecte indirecte) :
« Le responsable du traitement fournit les informations visées aux paragraphes 1 et 2 : a) dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois […] »
Article 14, §5, sous b), du RGPD (exception d’efforts disproportionnés) :
« Les §§ 1-4 ne s’appliquent pas lorsque et dans la mesure où : […] b) la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés, en particulier pour le traitement à des fins archivistiques dans l’intérêt public […] »
POINTS ESSENTIELS
L’affaire C-422/24, Integritetsskyddsmyndigheten c. AB Storstockholms Lokaltrafik, oppose l’autorité suédoise de protection des données (IMY) à une société de transport public de la région de Stockholm (SL) qui avait équipé ses contrôleurs de caméras-piétons fonctionnant en enregistrement continu avec mémoire circulaire et mécanisme de pré-enregistrement d’une minute, les contrôleurs étant instruits de conserver les données en cas d’émission d’une amende ou de menace;
L’autorité de contrôle avait sanctionné SL à hauteur de 4 millions de couronnes suédoises pour violation de l’article 13 du RGPD (obligation d’information au moment de la collecte directe), tandis que la cour d’appel administrative de Stockholm avait annulé cette sanction en estimant, sur le fondement d’une extrapolation erronée de l’arrêt Ryneš (C-212/13, EU:C:2014:2428, rendu sous l’empire de la directive 95/46), que la collecte par caméra relevait de l’article 14 du RGPD (collecte indirecte) autorisant un délai d’un mois et l’exception d’efforts disproportionnés.
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats