Domstolens dom (första avdelningen) den 18 december 2025

I mål C‑422/24, angående en begäran om förhandsavgörande enligt artikel 267 FEUF, framställd av Högsta förvaltningsdomstolen (Sverige) genom beslut av den 13 juni 2024, som inkom till domstolen den 17 juni 2024, i målet

DOMSTOLEN (första avdelningen) sammansatt av avdelningsordföranden F. Biltgen, domstolens vice ordförande T. von Danwitz (referent) samt domarna I. Ziemele, A. Kumin och S. Gervasoni, generaladvokat: L. Medina, justitiesekreterare: A. Calot Escobar,

efter det skriftliga förfarandet,

med beaktande av de yttranden som avgetts av: Integritetsskyddsmyndigheten, genom C. Agnehall, A. Persson och D. Törngren, samtliga i egenskap av ombud, AB Storstockholms Lokaltrafik, genom J. Forzelius, advokat, och G. Tranvik, biträdande jurist, Danmarks regering, genom D. Elkan, C. A.-S. Maertens, J. Sandvik Loft och M. Jespersen, samtliga i egenskap av ombud, Österrikes regering, genom A. Posch, J. Schmoll och C. Gabauer, samtliga i egenskap av ombud, Europeiska kommissionen, genom A. Bouchagiar, C. Faroghi och H. Kranenborg, samtliga i egenskap av ombud,

och efter att den 1 augusti 2025 ha hört generaladvokatens förslag till avgörande,

följande

Dom

Tillämpliga bestämmelser

Målet vid den nationella domstolen och tolkningsfrågan

Prövning av begäran om återupptagande av den muntliga delen av förfarandet

Prövning av tolkningsfrågan

Rättegångskostnader

1 Begäran om förhandsavgörande avser tolkningen av artiklarna 13 och 14 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1, och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35) (nedan kallad dataskyddsförordningen).

2 Begäran har framställts i ett mål mellan Integritetsskyddsmyndigheten (Sverige) och AB Storstockholms Lokaltrafik (nedan kallat SL), ett svenskt aktiebolag som bedriver kollektivtrafik. Det målet rör den administrativa sanktionsavgift som SL ålagts för åsidosättande av artikel 13 i dataskyddsförordningen i samband med inhämtandet av personuppgifter via kroppsburna kameror som de biljettkontrollanter som arbetar för SL är utrustade med.

3 I skälen 60 och 61 i dataskyddsförordningen anges följande:

4 I artikel 5 i dataskyddsförordningen, med rubriken Principer för behandling av personuppgifter, föreskrivs följande:

5 Artikel 12 i dataskyddsförordningen har rubriken Klar och tydlig information och kommunikation samt klara och tydliga villkor för utövandet av den registrerades rättigheter. Den artikeln har följande lydelse:

6 Artikel 13 i dataskyddsförordningen har rubriken Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade. I den artikeln föreskrivs följande:

7 Artikel 14 i dataskyddsförordningen har rubriken Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. I den artikeln föreskrivs följande:

8 SL bedriver kollektivtrafik i Stockholm (Sverige). SL har utrustat sina biljettkontrollanter med kroppsburna kameror, vilka används för att, i samband med biljettkontroller, filma de resenärer som saknar giltig biljett och som får en tilläggsavgift utställd. Syftet med att använda kamerorna är att förebygga och dokumentera hot och våld som drabbar kontrollanterna samt att säkerställa identiteten på de resenärer som ska betala tilläggsavgift.

9 Integritetsskyddsmyndigheten har inom ramen för sin tillsynsverksamhet granskat huruvida SL:s personuppgiftsbehandling med de kroppsburna kamerorna har skett i enlighet med reglerna i dataskyddsförordningen. Integritetsskyddsmyndigheten antog i juni 2021 ett tillsynsbeslut av vilket det framgår att biljettkontrollanterna bär kamerorna på sig under hela sitt arbetspass och att kamerorna kontinuerligt spelar in film med bild och ljud.

10 Kamerorna har ett så kallat cirkulärt minne, vilket innebär att det efter en viss tid sker en automatisk rensning av allt videomaterial. Efter rensningen är det inspelade materialet raderat. Inledningsvis lagrades det inspelade materialet i två minuter men under den tid som Integritetsskyddsmyndighetens tillsyn pågick kortades den tiden till en minut. Biljettkontrollanterna kan genom att trycka på en knapp avbryta den automatiska rensningen och alltså se till att det som spelas in inte raderas. När så sker bevaras även den information som finns lagrad i kameran genom förinspelningsteknik, det vill säga det som spelats in under minuten innan kontrollanten tryckte på knappen. Biljettkontrollanterna är instruerade att avbryta den automatiska rensningen i alla situationer då tilläggsavgift utfärdas samt i övrigt när hot uppstår.

11 Utöver denna utredning av hur de kroppsburna kamerorna används och fungerar, konstaterade Integritetsskyddsmyndigheten att SL, sedan december 2018 och fram till tiden för myndighetens beslut i juni 2021, genom att använda kroppsburna kameror i samband med biljettkontroll hade behandlat personuppgifter i strid med flera bestämmelser i dataskyddsförordningen. Enligt myndigheten hade SL i strid med artikel 13 i dataskyddsförordningen underlåtit att tillhandahålla tillräcklig information till de registrerade. Till följd av detta beslutade myndigheten att SL skulle betala en administrativ sanktionsavgift på sammanlagt 16 miljoner kronor (SEK) (cirka 1420670 euro), varav 4 miljoner kronor (cirka 355188 euro) avsåg bristande information till de registrerade.

12 SL överklagade Integritetsskyddsmyndighetens beslut till Förvaltningsrätten i Stockholm (Sverige), som avslog överklagandet i den del som gällde sanktionsavgiften för bristande information till de registrerade.

13 SL överklagade vidare till Kammarrätten i Stockholm (Sverige) som undanröjde förvaltningsrättens dom och Integritetsskyddsmyndighetens beslut i den del som avsåg nämnda sanktionsavgift. Kammarrätten fann med hänvisning till domen av den 11 december 2014, Ryneš ( C‑212/13, EU:C:2014:2428), att artikel 13 i dataskyddsförordningen inte var tillämplig i målet och att myndigheten följaktligen inte hade haft grund för att påföra SL en administrativ sanktionsavgift för överträdelse av den bestämmelsen.

14 Integritetsskyddsmyndigheten överklagade kammarrättens dom till Högsta förvaltningsdomstolen (Sverige), som är hänskjutande domstol. Myndigheten yrkade att Högsta förvaltningsdomstolen skulle undanröja domen i den del som avser sanktionsavgift för bristande information till de registrerade.

15 Den hänskjutande domstolen har inledningsvis angett att den fråga som uppkommer är vilken av artiklarna 13 och 14 i dataskyddsförordningen som är tillämplig när personuppgifter hämtas in via en kroppsburen kamera. Enligt den hänskjutande domstolen är ett svar på denna fråga nödvändigt i två hänseenden. För det första behöver det avgöras vilken information som ska lämnas till den registrerade, vid vilken tidpunkt detta ska ske och vilka undantag från informationsskyldigheten som finns. För det andra behöver det avgöras huruvida Integritetsskyddsmyndigheten hade fog för att besluta om en sanktionsavgift på grund av att SL inte hade uppfyllt informationskravet i dataskyddsförordningens artikel 13.

16 Enligt den hänskjutande domstolen är det inte heller klart i vilken utsträckning skillnaderna mellan artiklarna 13 och 14 i dataskyddsförordningen när det gäller informationsskyldighetens innebörd ska beaktas vid bedömningen av vilken artikel som är tillämplig på ett visst slags inhämtande av personuppgifter. Den hänskjutande domstolen har förklarat att parterna har olika uppfattningar om vilken slutsats som ska dras av dessa skillnader.

17 Den hänskjutande domstolen frågar sig vilken vikt som ska läggas vid riktlinjerna om öppenhet enligt förordning (EU) 2016/679, i deras ändrade lydelse av den 11 april 2018, vilka antogs den 29 november 2017 av den arbetsgrupp som inrättades genom artikel 29 i Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31). I punkt 26 i dessa riktlinjer anges att det är artikel 13 i dataskyddsförordningen som är tillämplig på kamerabevakning.

18 Mot denna bakgrund beslutade Högsta förvaltningsdomstolen att vilandeförklara målet och ställa följande fråga till EU-domstolen:

19 SL har, efter det att generaladvokaten föredragit sitt förslag till avgörande den 1 augusti 2025, genom handling som ingavs till domstolens kansli den 23 september 2025 begärt att det muntliga förfarandet ska återupptas i enlighet med artikel 83 i domstolens rättegångsregler.

20 SL har till stöd för sin begäran gjort gällande att domstolen inte har erhållit tillräcklig kännedom om omständigheterna i det nationella målet och den betydelse som ett avgörande i målet får för personuppgiftsansvariga som använder sig av kamerabevakningsutrustning. SL anser bland annat att generaladvokaten i sitt förslag till avgörande inte har gjort en riktig avgränsning av tillämpningsområdena för artikel 13 respektive artikel 14 i dataskyddsförordningen.

21 Enligt artikel 252 andra stycket FEUF ska generaladvokaterna vid offentliga domstolssessioner, fullständigt opartiskt och oavhängigt, lägga fram motiverade förslag till avgörande i mål som enligt stadgan för Europeiska unionens domstol kräver att ett sådant förslag läggs fram. Domstolen är inte bunden av vare sig generaladvokatens förslag till avgörande eller av den motivering som han eller hon lagt till grund för sitt förslag (dom av den 4 september 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, punkt 30 och där angiven rättspraxis).

22 Det ska i detta sammanhang också påpekas att det vare sig enligt stadgan för Europeiska unionens domstol eller rättegångsreglerna finns någon möjlighet för de parter eller berörda som avses i artikel 23 i stadgan att inkomma med yttranden över generaladvokatens förslag till avgörande. Att någon av parterna eller någon av de berörda inte delar generaladvokatens synsätt i förslaget till avgörande, oavsett vilka frågor generaladvokaten prövat däri, kan därför inte i sig utgöra ett tillräckligt skäl för att återuppta det muntliga förfarandet (dom av den 4 september 2025, Nissan Iberia C‑21/24, EU:C:2025:659, punkt 31 och där angiven rättspraxis).

23 Av detta följer att SL:s begäran om återupptagande av den muntliga delen av förfarandet ska avslås, såvitt den syftar till att göra det möjligt för SL att bemöta den ståndpunkt som generaladvokaten gett uttryck för i sitt förslag till avgörande.

24 Domstolen får emellertid, i enlighet med artikel 83 i sina rättegångsregler, när som helst, efter att ha hört generaladvokaten, genom särskilt uppsatt beslut, besluta att den muntliga delen av förfarandet ska återupptas, bland annat om domstolen anser att den inte har tillräcklig kännedom om omständigheterna i målet, eller om en part, efter det att den muntliga delen har förklarats avslutad, har lagt fram en ny omständighet som kan ha ett avgörande inflytande på målets utgång, eller om målet ska avgöras på grundval av ett argument som inte har avhandlats mellan parterna eller de berörda som avses i artikel 23 i stadgan för Europeiska unionens domstol.

25 I förevarande fall anser domstolen dock, efter att ha hört generaladvokaten, att den har tillgång till alla uppgifter som behövs för att kunna besvara den hänskjutande domstolens fråga och att målet inte behöver avgöras på grundval av ett argument som inte har avhandlats mellan rättegångsdeltagarna. Begäran om återupptagande av den muntliga delen av förfarandet innehåller inte heller någon ny omständighet som kan ha ett avgörande inflytande på målets utgång.

26 Det finns således inte skäl att återuppta den muntliga delen av förfarandet.

27 Den hänskjutande domstolens fråga rör tolkningen av artiklarna 13 och 14 i dataskyddsförordningen, och den domstolen har ställt denna fråga för att få klarhet i huruvida det, i en situation där personuppgifter inhämtas via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med, är artikel 13 i dataskyddsförordningen eller artikel 14 i samma förordning som reglerar tillhandahållandet av information till registrerade.

28 För att besvara denna fråga påpekar EU-domstolen att det enligt EU-domstolens fasta rättspraxis inte bara är lydelsen av dessa bestämmelser som ska beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelserna ingår i (dom av den 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punkt 39).

29 För det första, beträffande lydelsen av artiklarna 13 och 14 i dataskyddsförordningen, ska det påpekas att det materiella tillämpningsområdet för artikel 14 i dataskyddsförordningen är negativt definierat i förhållande till tillämpningsområdet för artikel 13 i samma förordning. Såsom framgår av rubrikerna till dessa bestämmelser reglerar artikel 13 i dataskyddsförordningen vilken information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, medan artikel 14 i förordningen reglerar vilken information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade (dom av den 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punkt 48).

30 Vid avgränsningen av dessa bestämmelsers respektive tillämpningsområden är det inte av avgörande betydelse att uttrycket samlas in, som förekommer i artikel 13 i dataskyddsförordningen, inte återfinns i vissa språkversioner av artikel 14, däribland den svenska språkversionen.

31 Det framgår nämligen av fast rättspraxis att unionsbestämmelser ska tolkas och tillämpas på ett enhetligt sätt mot bakgrund av versionerna på samtliga av Europeiska unionens språk. För det fall dessa olika språkversioner skiljer sig åt ska den aktuella bestämmelsen tolkas med hänsyn till systematiken i och ändamålet med de föreskrifter i vilka den ingår (dom av den 13 februari 2025, Verbraucherzentrale Berlin (Begreppet inledande avtalsperiod), C‑612/23, EU:C:2025:82, punkt 31 och där angiven rättspraxis).

32 EU-domstolen har redan slagit fast, med avseende på användningen av uttrycket erhållande i artikel 14.5 c i dataskyddsförordningen, vilket i den svenska språkversionen även används i den artikelns rubrik liksom i artikel 14.1, att detta uttryck omfattar de uppgifter som samlats in från en annan person än den registrerade samt de uppgifter som den personuppgiftsansvarige, utifrån sådana uppgifter, själv har genererat, i samband med att denne utövat sitt uppdrag (se, för ett liknande resonemang, dom av den 28 november 2024, Másdi, C‑169/23, EU:C:2024:988, punkt 47).

33 Såsom generaladvokaten har funnit i punkt 28 i sitt förslag till avgörande, förutsätter begreppet personuppgifter som samlas in från den registrerade, i den mening som avses i artikel 13.1 i dataskyddsförordningen, inte att den registrerade vidtar någon specifik åtgärd, utan endast att den personuppgiftsansvarige vidtar en sådan åtgärd. Hur aktiv den registrerade är saknar således betydelse för avgränsningen av denna bestämmelses tillämpningsområde i förhållande till tillämpningsområdet för artikel 14 i dataskyddsförordningen.

34 Detta övervägande lyfts även fram i riktlinjerna om öppenhet, vilka nämns i punkt 17 ovan. Av dessa riktlinjer framgår att artikel 13 i dataskyddsförordningen är tillämplig antingen när den registrerade medvetet ger personuppgifter till en personuppgiftsansvarig eller när den personuppgiftsansvarige inhämtar personuppgifterna från den registrerade genom observation, bland annat med användning av kameror.

35 Med hänsyn till lydelsen i artikel 14.2 f i dataskyddsförordningen, jämförd med skäl 61 i samma förordning, ska det anses att det endast är de insamlade personuppgifternas källa som utgör det relevanta kriteriet för att avgränsa tillämpningsområdena för artikel 13 respektive artikel 14 i dataskyddsförordningen. Enligt artikel 14.2 f ska nämligen den personuppgiftsansvarige, om personuppgifterna inte har erhållits från den registrerade, lämna den registrerade information om varifrån personuppgifterna kommer.

36 Av detta följer att en bokstavstolkning av artiklarna 13 och 14 i dataskyddsförordningen, jämförda med skäl 61 i samma förordning, talar för att det är artikel 13 som är tillämplig på insamlandet av personuppgifter via en kroppsburen kamera, då uppgifterna i detta scenario erhålls direkt från den registrerade, och inte från någon annan källa.

37 För det andra finner en sådan tolkning stöd i det sammanhang i vilket dessa bestämmelser ingår.

38 Det följer av artikel 5 i dataskyddsförordningen att en behandling av personuppgifter bland annat måste uppfylla konkreta krav på öppenhet i förhållande till den person som berörs av behandlingen (dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan), C‑757/22, EU:C:2024:598, punkt 53).

39 Kommissionen har i sitt skriftliga yttrande i huvudsak anfört att eftersom det i artikel 13 i dataskyddsförordningen föreskrivs att den information som avses i den bestämmelsen ska lämnas till den registrerade när personuppgifterna erhålls, så är den bestämmelsen ett specifikt uttryck för den registrerades rätt att bli informerad. EU-domstolen delar denna uppfattning. Artikel 14 i dataskyddförordningen däremot har antagits med tanke på de situationer där den personuppgiftsansvarige inte står i direkt kontakt med den registrerade, utan samlar in personuppgifter från en annan källa – något som innebär att det i praktiken blir svårt, eller till och med omöjligt, att lämna den information som avses i den bestämmelsen när personuppgifterna erhålls. Det faktum att personuppgifterna samlas in på ett indirekt sätt motiverar att det i artikel 14 föreskrivs en möjlighet att senarelägga fullgörandet av den personuppgiftsansvariges informationsskyldighet.

40 För det tredje ska artikel 13 och artikel 14 i dataskyddsförordningen tolkas mot bakgrund av det mål som eftersträvas med den förordningen. Detta är bland annat att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter, i synnerhet för deras rätt till skydd av personuppgifter, vilken stadfästs i artikel 16 FEUF och utgör en grundläggande rättighet som skyddas enligt artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna, som ett komplement till den i artikel 7 i stadgan garanterade rätten till privatliv (dom av den 27 februari 2025, Dun & Bradstreet Austria m.fl., C‑203/22, EU:C:2025:117, punkt 51 och där angiven rättspraxis).

41 Om det godtogs att artikel 14 i dataskyddsförordningen är tillämplig vid insamling av personuppgifter via en kroppsburen kamera, skulle den registrerade inte erhålla någon information i samband med insamlingen, trots att det är denne som är källan till uppgifterna, och det skulle vara möjligt för den personuppgiftsansvarige att inte omedelbart lämna information till den registrerade. En sådan tolkning skulle följaktligen medföra en risk för att insamlingen av personuppgifter sker utan den registrerades kännedom och för att dolda övervakningsmetoder används. En sådan konsekvens skulle vara oförenlig med det mål som nämns i föregående punkt, nämligen att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter.

42 Detta mål utgör dock inte hinder för att informationsskyldigheterna enligt artikel 13 i dataskyddsförordningen fullgörs genom en skiktad metod, i enlighet med vad som anges i Europeiska dataskyddsstyrelsens (EDPB) riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter, vilka antogs den 29 januari 2020. Enligt dessa riktlinjer får den viktigaste informationen till den registrerade, i ett första skikt, anges på en varningsskylt, och övrig obligatorisk information får, i ett andra skikt, lämnas till den registrerade på ett lämpligt och fullständigt sätt som innebär att informationen görs åtkomlig på en lättillgänglig plats.

43 Avslutningsvis preciserar EU-domstolen, som svar på det ovan i punkt 13 nämnda spörsmålet som Kammarrätten i Stockholm (Sverige) har aktualiserat beträffande räckvidden av punkt 34 i domen av den 11 december 2014, Ryneš ( C‑212/13, EU:C:2014:2428), att EU-domstolen i denna punkt 34 inte uttalade sig om tillämpningsområdet för artikel 11 i direktiv 95/46 (som motsvaras av artikel 14 i dataskyddsförordningen) i förhållande till artikel 10 i det direktivet (som motsvaras av artikel 13 i dataskyddsförordningen), utan EU-domstolen åskådliggjorde därvid endast att det – på grund av de olika begränsningar och undantag som föreskrivs i direktivet – vid tillämpningen av direktivet är möjligt att beakta den personuppgiftsansvariges berättigade intressen.

44 Det går således inte att av punkt 34 i den domen sluta sig till att EU-domstolen redan har uttalat sig om avgränsningen mellan tillämpningsområdet för artikel 13 i dataskyddsförordningen och tillämpningsområdet för artikel 14 i samma förordning.

45 Mot bakgrund av det anförda ska den hänskjutna frågan besvaras enligt följande. Artiklarna 13 och 14 i dataskyddsförordningen ska tolkas så, att i en situation där personuppgifter inhämtas via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med, så är det artikel 13 i dataskyddsförordningen som reglerar tillhandahållandet av information till registrerade och inte artikel 14 i samma förordning.

46 Eftersom förfarandet i förhållande till parterna i det nationella målet utgör ett led i beredningen av samma mål, ankommer det på den hänskjutande domstolen att besluta om rättegångskostnaderna. De kostnader för att avge yttrande till domstolen som andra än nämnda parter har haft är inte ersättningsgilla.

1 Rättegångsspråk: svenska.