CJUE | ARRÊT DU 18 DÉCEMBRE 2025 | C-422/24 | STORSTOCKHOLMS LOKALTRAFIK │
CAMÉRAS-PIÉTONS: LA PERSONNE CONCERNÉE EST-ELLE SOURCE OU CIBLE DES DONNÉES QU’ELLE GÉNÈRE MALGRÉ ELLE ?
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
I.
De quoi s’agit-il ?
La Cour de justice de l’Union européenne a rendu, le 18 décembre 2025, un arrêt qui concerne toutes les entreprises et organisations qui filment des personnes dans l’exercice de leur activité — que ce soit dans les transports, les commerces, les établissements recevant du public ou tout autre espace où des caméras sont déployées.
L’affaire trouvait son origine en Suède. Une société de transport public — Storstockholms Lokaltrafik (SL) — avait équipé ses contrôleurs de caméras-piétons (bodycams) pour filmer les voyageurs lors des contrôles de titres de transport. L’autorité suédoise de protection des données avait infligé à SL une amende de 4 millions de couronnes suédoises (environ 355 000 euros) pour avoir manqué à son obligation d’informer les passagers qu’ils étaient filmés et que leurs données étaient traitées. SL contestait cette sanction en soutenant que le régime d’information moins contraignant prévu à l’article 14 du RGPD — et non l’article 13 plus exigeant — devait s’appliquer à ce type de collecte par caméra.
La question posée à la Cour était simple en apparence : quel article du RGPD — l’article 13 ou l’article 14 — s’applique lorsqu’une caméra-piéton filme une personne ? La réponse est fondamentale car elle détermine le niveau et l’urgence de l’obligation d’information pesant sur le responsable du traitement.
II.
La différence entre l’article 13 et l’article 14 du RGPD : pourquoi cela compte
Le RGPD impose à toute organisation qui traite des données personnelles d’informer les personnes concernées de ce traitement. Mais les modalités de cette information diffèrent selon la manière dont les données ont été collectées.
L’article 13 s’applique lorsque les données sont collectées directement auprès de la personne concernée. Dans ce cas, l’information doit être fournie au moment même où les données sont recueillies — sans délai. La seule exception possible est que la personne concernée dispose déjà de ces informations.
L’article 14 s’applique lorsque les données n’ont pas été collectées auprès de la personne concernée, mais auprès d’une source tierce. Dans ce cas, l’organisation dispose d’un délai pouvant aller jusqu’à un mois pour informer la personne. De plus, si fournir l’information s’avère impossible ou disproportionné, l’organisation peut s’en dispenser, à condition de prendre d’autres mesures de protection.
On comprend aisément pourquoi SL souhaitait se placer sous l’article 14 : ce régime est plus souple, offre plus de temps et permet d’invoquer l’exception de disproportion pour une collecte massive et simultanée par caméra. L’article 13, en revanche, exige une information immédiate, avant même que la caméra commence à enregistrer.
III.
La décision de la Cour : la simple présence physique suffit
La Cour a tranché clairement : c’est l’article 13 qui s’applique aux données collectées par caméra-piéton.
Le raisonnement repose sur une question simple : d’où viennent les données ? Si elles proviennent directement de la personne filmée — parce que c’est sa présence physique, son image, sa voix qui sont captées — alors la personne concernée est la source de ces données, et l’article 13 s’applique. Il importe peu qu’elle n’ait pas activement fourni ses données, qu’elle n’ait pas rempli de formulaire ou qu’elle n’ait pas eu conscience d’être filmée. Ce qui compte, c’est que les données émanent directement d’elle.
La Cour a également précisé que l’argument de la difficulté pratique — informer individuellement chaque passager avant de le filmer est compliqué — ne permet pas de se soustraire à l’obligation d’information immédiate. Les organisations disposent d’outils adaptés : panneau d’avertissement visible à l’entrée de la zone surveillée, badge ou marquage sur l’uniforme du contrôleur équipé de la caméra, avec renvoi à un QR code ou à une adresse internet pour les informations détaillées. Cette approche à plusieurs niveaux est reconnue par le RGPD et parfaitement compatible avec une information immédiate au sens de l’article 13.
IV.
Ce que cela change concrètement pour votre organisation
DIRECTION GÉNÉRALE
Cette décision a des implications directes pour toute organisation utilisant des caméras mobiles, caméras-piétons, ou tout autre dispositif de captation d’images ou de sons directement sur des personnes physiques. L’obligation d’information est immédiate, non différable et ne souffre pas d’exception pour difficulté pratique.
Si votre organisation déploie de tels dispositifs, il convient de vérifier sans délai que les modalités d’information mises en place — panneaux, badges, informations disponibles en ligne — sont conformes aux exigences de l’article 13 du RGPD, c’est-à-dire accessibles avant ou au moment de la collecte, et non dans les jours ou semaines suivants.
DIRECTION DES RESSOURCES HUMAINES
La problématique concerne également les salariés. Si votre entreprise envisage de déployer des caméras-piétons sur certains personnels — agents de sécurité, équipes d’inspection, techniciens d’intervention — l’information des personnes susceptibles d’être filmées (clients, tiers, mais aussi collègues) doit être organisée selon les exigences de l’article 13. Les politiques de surveillance au travail doivent être révisées en conséquence, en lien avec le DPO.
Risques en cas de non-conformité
Comme l’illustre l’affaire Storstockholms Lokaltrafik, un manquement à l’obligation d’information immédiate peut conduire à une amende administrative significative de la part de l’autorité nationale de protection des données. En France, la CNIL est compétente pour sanctionner ces manquements, pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel pour les violations à l’article 13 du RGPD.
V.
À retenir
La Cour de justice a posé une règle claire : être filmé par une caméra-piéton, c’est être la source directe de ses propres données personnelles. L’article 13 du RGPD s’applique, avec son exigence d’information immédiate. L’exception pour efforts disproportionnés, disponible à l’article 14, ne peut pas être invoquée dans ce contexte. Les organisations qui utilisent des caméras mobiles doivent intégrer dès maintenant cette obligation dans leurs procédures opérationnelles et leurs politiques de conformité.
POINTS ESSENTIELS
26.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats