CGUE 2025 - La sentenza della Corte di Giustizia dell’Unione Europea (CGUE) del 18 dicembre 2025 nella causa C-422/24 rappresenta un importante precedente in materia di protezione dei dati personali e diritti dei passeggeri nell’ambito dell’utilizzo di bodycam durante operazioni di controllo. La decisione si inserisce nel quadro normativo del GDPR (Regolamento UE 2016/679), che impone obblighi stringenti di trasparenza e informativa in relazione alla raccolta e al trattamento dei dati personali.
**Contesto della controversia**
Nel caso in esame, un’azienda di trasporti pubblici aveva adottato l’uso di telecamere indossabili (bodycam) durante i controlli dei titoli di viaggio, senza fornire ai passeggeri specifica informativa circa la raccolta e l’uso dei propri dati. La questione centrale riguardava la conformità di tale pratica alle disposizioni del GDPR, in particolare agli obblighi di trasparenza e di informazione previsti dall’articolo 13 e seguenti.
**Principi fondamentali e analisi giuridica della CGUE**
La Corte ha affermato che:
1. **Obbligo di trasparenza e informativa**: Ai sensi dell’articolo 13 del GDPR, i soggetti interessati devono essere informati, prima della raccolta dei dati, circa le finalità del trattamento, le modalità, i diritti riconosciuti e le modalità di esercizio degli stessi. La mancanza di un’adeguata informativa preclude la liceità del trattamento.
2. **Diritto all’informativa anche in ambito di controlli di sicurezza**: La CGUE ha sottolineato che l’uso di bodycam durante i controlli rappresenta un trattamento di dati personali, soggetto alle norme del GDPR. La presenza di telecamere "indossabili" per motivi di sicurezza implica necessariamente la raccolta di dati che riguardano i passeggeri, e pertanto, devono essere rispettati i principi di trasparenza e di informativa.
3. **Proporzionalità e finalità**: La Corte ha ribadito che la raccolta dei dati deve essere conforme ai principi di proporzionalità e finalità. La registrazione deve essere strettamente necessaria per il controllo, e i passeggeri devono essere messi in condizione di conoscere questa attività.
4. **Impiego di segnali o avvisi**: La CGUE ha evidenziato che, affinché il trattamento sia conforme, devono essere adottate misure adeguate di informativa, come segnali visivi o avvisi che notifichino la presenza delle telecamere e la finalità del trattamento.
5. **Rispetto dei diritti dei soggetti interessati**: I passeggeri hanno il diritto di essere informati sui loro diritti (accesso, rettifica, cancellazione, opposizione, portabilità) e di esercitarli, anche in presenza di telecamere di sorveglianza.
**Implicazioni pratiche**
- **Informativa chiara e accessibile**: Le aziende devono predisporre informative concise, trasparenti, facilmente accessibili (ad esempio, cartelli, annunci o comunicazioni digitali) che spieghino l’uso delle bodycam, le finalità, i diritti degli interessati e le modalità di esercizio degli stessi.
- **Segnaletica visiva**: È necessario installare segnali visivi che avvisino i passeggeri della presenza di telecamere, in modo che siano consapevoli della registrazione in corso.
- **Gestione dei dati**: Le registrazioni devono essere trattate nel rispetto dei principi di minimizzazione, limitazione della conservazione e sicurezza, e devono essere cancellate quando non più necessarie.
- **Formazione del personale**: Gli operatori devono essere formati riguardo agli obblighi di trasparenza e tutela dei dati personali.
**Conclusione**
La sentenza della CGUE ribadisce che l’uso di bodycam durante i controlli sui mezzi di trasporto pubblico costituisce un trattamento di dati personali, soggetto alle norme del GDPR. La mancata informativa preventiva e trasparente può comportare violazioni dei diritti dei passeggeri e sanzioni. Le aziende devono adottare misure tecniche e organizzative adeguate per garantire il rispetto del principio di trasparenza, informando correttamente gli interessati e rispettando i loro diritti fondamentali.
Edizione provvisoria
CONCLUSIONI DELL’AVVOCATA GENERALE
LAILA MEDINA
presentate il 1º agosto 2025 (1)
Causa C‑422/24
Integritetsskyddsmyndigheten
contro
AB Storstockholms Lokaltrafik
[domanda di pronuncia pregiudiziale proposta dallo Högsta förvaltningsdomstolen (Corte suprema amministrativa, Svezia)]
« Rinvio pregiudiziale – Protezione delle persone fisiche con riguardo al trattamento dei dati personali e libera circolazione di tali dati – Regolamento (UE) 2016/679 – Dati personali ottenuti per mezzo di una telecamera indossata da controllori di biglietti che lavorano per un’azienda di trasporto pubblico – Informazioni che devono essere fornite all’interessato – Articoli 13 e 14 »
I. Introduzione
1. La presente causa riguarda l’obbligo del titolare del trattamento, come definito all’articolo 4, punto 7, del regolamento (UE) 2016/679 (in prosieguo: il «RGPD») (2), di fornire informazioni all’interessato qualora, per mezzo di una telecamera (correntemente chiamata “bodycam”) indossata dai controllori di biglietti su un mezzo di trasporto pubblico, siano raccolti dati personali. L’obbligo del titolare del trattamento di fornire informazioni agli interessati in merito al trattamento dei dati personali costituisce il corollario del diritto di informazione che è garantito a tali interessati dagli articoli da 12 a 14 del RGPD (3). Quale fondamento del principio di trasparenza (4), il diritto di informazione è «a garanzia della trasparenza di qualsiasi trattamento» nel contesto del RGPD (5).
2. Più precisamente, la Corte è chiamata a pronunciarsi sulla questione se, in situazioni che comportano la raccolta di dati per mezzo di una bodycam, la base giuridica appropriata sia l’articolo 13 o l’articolo 14 del RGPD. La delimitazione dell’ambito di ciascuna di tali disposizioni ha importanti ripercussioni sulle tempistiche della comunicazione delle informazioni, così come per le possibili eccezioni.
II. Contesto normativo
3. L’articolo 13 del RGPD, intitolato «Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato», prevede quanto segue:
«1. In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
a) l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;
c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
d) qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
f) ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all’articolo 46 o 47, o all’articolo 49, paragrafo 1, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali garanzie o il luogo dove sono stati rese disponibili.
2. In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente:
a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
b) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
c) qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca;
d) il diritto di proporre reclamo a un’autorità di controllo;
e) se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l’interessato ha l’obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati;
f) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
3. Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni ulteriore informazione pertinente di cui al paragrafo 2.
4. I paragrafi 1, 2 e 3 non si applicano se e nella misura in cui l’interessato dispone già delle informazioni».
4. L’articolo 14 del RGPD, intitolato «Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato», dispone quanto segue:
«1. Qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento fornisce all’interessato le seguenti informazioni:
a) l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;
c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
d) le categorie di dati personali in questione;
e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
f) ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un destinatario in un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione [europea] (...).
2. Oltre alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all’interessato le seguenti informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell’interessato:
a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
b) qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
c) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
d) qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca;
e) il diritto di proporre reclamo a un’autorità di controllo;
f) la fonte da cui hanno origine i dati personali e, se del caso, l’eventualità che i dati provengano da fonti accessibili al pubblico;
g) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
3. Il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2:
a) entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati;
b) nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato, al più tardi al momento della prima comunicazione all’interessato; oppure
c) nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali.
4. Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2.
5. I paragrafi da 1 a 4 non si applicano se e nella misura in cui:
a) l’interessato dispone già delle informazioni;
b) comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; in particolare per il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatte salve le condizioni e le garanzie di cui all’articolo 89, paragrafo 1, o nella misura in cui l’obbligo di cui al paragrafo 1 del presente articolo rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni;
(…)».
III. Contesto della causa principale e questione pregiudiziale
5. L’AB Storstockholms Lokaltrafik (Servizio di trasporto pubblico di Stoccolma; in prosieguo: il «SL») gestisce servizi di trasporto pubblico. L’azienda ha dotato i suoi controllori di biglietti di una bodycam. Queste telecamere vengono utilizzate per riprendere i viaggiatori che non hanno un biglietto valido durante il controllo dei biglietti e ai quali viene inflitta un’ammenda. Lo scopo dell’utilizzo delle telecamere è quello di prevenire e documentare minacce e violenze nei confronti dei controllori e di verificare l’identità dei viaggiatori che devono pagare un’ammenda.
6. Nel corso delle sue attività di vigilanza, l’Integritetsskyddsmyndigheten (Autorità svedese per la protezione della privacy; in prosieguo: l’«autorità per la protezione della privacy») ha valutato se il trattamento dei dati personali raccolti mediante l’uso di bodycam da parte del SL sia conforme al RGPD. Tale autorità ha emesso una decisione di vigilanza nel giugno 2021 (in prosieguo: la «decisione di vigilanza»), la quale contiene un numero di considerazioni sull’uso e sul funzionamento delle bodycam. Più in particolare, da tale decisione risulta che i controllori di biglietti indossano le telecamere durante il loro turno di lavoro. Le telecamere filmano continuativamente immagini e suoni. Esse hanno una memoria cosiddetta circolare, il che significa che, dopo un certo tempo, vi è una rimozione automatica di qualsiasi materiale video. Dopo la rimozione, il materiale registrato è cancellato. Inizialmente, il materiale registrato era conservato per due minuti ma, nel periodo in cui era in corso l’audit di vigilanza, tale tempo è stato ridotto a un minuto. Premendo un pulsante, i controllori di biglietti possono sospendere la rimozione automatica, garantendo in tal modo che ciò che viene registrato non venga cancellato. I controllori di biglietti hanno l’istruzione di sospendere la rimozione automatica in tutte le situazioni in cui viene inflitta un’ammenda e anche in caso di minaccia.
7. Nella sua decisione di vigilanza, l’autorità per la protezione della privacy ha riscontrato che, dal dicembre 2018 fino al momento di tale decisione, nel giugno 2021, il SL, utilizzando le bodycam durante i controlli dei biglietti, ha trattato i dati personali in maniera contraria a diverse disposizioni del RGPD. Il SL aveva, tra l’altro, omesso di fornire informazioni adeguate agli interessati, come richiesto dall’articolo 13 del RGPD. Di conseguenza, il SL è stato condannato ad una sanzione amministrativa per un totale di 16 milioni di corone svedesi (SEK) (circa EUR 1 422 000), di cui SEK 4 milioni (circa EUR 355 000) riguardavano la comunicazione di informazioni inadeguate agli interessati.
8. Il SL ha contestato la decisione di vigilanza dinanzi al Förvaltningsrätten i Stockholm (Tribunale amministrativo di Stoccolma, Svezia), il quale ha respinto il ricorso nella parte in cui riguardava l’ammenda per la comunicazione di informazioni inadeguate.
9. Il SL ha poi interposto appello dinanzi al Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma, Svezia) che ha annullato la sentenza di primo grado e la decisione di vigilanza nella parte in cui quest’ultima imponeva un’ammenda per la comunicazione di informazioni inadeguate agli interessati. Nella motivazione della sentenza, il Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma) ha fatto riferimento alla sentenza della Corte di giustizia dell’11 dicembre 2014, Ryneš (C‑212/23, EU:C:2014:2428; in prosieguo: la «sentenza nella causa Ryneš»), relativa all’utilizzo di un sistema di videocamera installato da una persona fisica sulla sua abitazione familiare. A parere del Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma), da tale sentenza risulta che, in situazioni che riguardano la videosorveglianza, l’obbligo del titolare del trattamento di fornire informazioni adeguate è basato sull’articolo 11 della direttiva 95/46/CE (6), il quale era il predecessore dell’articolo 14 del RGPD. Inoltre, secondo il Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma), la formulazione dell’articolo 13 del RGPD indica che è necessario un qualche tipo di azione deliberata da parte dell’interessato affinché i dati personali siano considerati raccolti presso tale persona. Non si può ritenere che tale fattispecie ricorra nel caso in cui i dati personali siano ottenuti per mezzo di una bodycam. Il Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma) ha concluso che, poiché l’articolo 13 del RGPD non è applicabile, l’autorità per la protezione della privacy non ha ragioni per imporre un’ammenda al SL per violazione di tale articolo.
10. L’autorità per la protezione della privacy ha proposto un’impugnazione avverso la sentenza del Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma) dinanzi allo Högsta förvaltningsdomstolen (Corte suprema amministrativa, Svezia), giudice del rinvio, chiedendo l’annullamento di tale sentenza nella parte in cui si riferisce all’ammenda per aver omesso di fornire agli interessati informazioni adeguate.
11. Dinanzi al giudice del rinvio, l’autorità per la protezione della privacy ha sostenuto che l’articolo 13 del RGPD si applica anche se gli interessati non hanno partecipato attivamente alla raccolta dei dati. Poiché l’uso della sorveglianza con telecamere richiede che le informazioni siano fornite prima che il trattamento dei dati personali abbia inizio, è l’interessato che, entrando consapevolmente nell’area sorvegliata, rende possibile la raccolta dei dati personali.
12. Il SL ha affermato dinanzi al giudice del rinvio che l’impugnazione dovrebbe essere respinta. Esso sostiene che la formulazione dell’articolo 13 del RGPD suggerisce che gli interessati debbano partecipare consapevolmente alla raccolta dei dati personali. Inoltre, l’approccio a vari livelli nella comunicazione di informazioni quando è usata la sorveglianza con telecamere è più in linea con lo schema dell’articolo 14 del RGPD che con quello dell’articolo 13 del RGDP. L’articolo 14, paragrafo 5, lettera b), di tale regolamento prevede un’eccezione all’obbligo di fornire informazioni qualora comunicare tali informazioni risulti impossibile o implichi uno sforzo sproporzionato. Il SL sostiene che tale eccezione si debba applicare a situazioni che comportano l’uso di bodycam, in quanto non sarebbe pratico fornire informazioni individualmente ad ogni passeggero prima che avvenga la registrazione dei dati.
13. Al fine di decidere se l’autorità per la protezione della privacy potesse legittimamente imporre un’ammenda al SL per violazione dell’articolo 13 del RGPD, il giudice del rinvio domanda se sia l’articolo 13 o l’articolo 14 del RGPD ad applicarsi quando i dati personali vengono raccolti tramite una bodycam. L’accertamento di quale disposizione si applichi ha anche ripercussioni su quali informazioni debbano essere fornite, qualora vi sia effettivamente un obbligo di fornire informazioni, e sulla questione se sia applicabile una delle eccezioni all’obbligo di fornire informazioni.
14. In simili circostanze, lo Högsta förvaltningsdomstolen (Corte suprema amministrativa, Svezia) ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:
«Quale degli articoli 13 e 14 del RGPD si applichi quando i dati personali vengono raccolti tramite una telecamera indossata».
15. Le parti nel procedimento principale, i governi austriaco e danese nonché la Commissione hanno presentato osservazioni scritte.
IV. Valutazione
A. Osservazioni preliminari sulla portata della questione
16. La questione sottoposta dal giudice del rinvio riguarda gli obblighi relativi alle informazioni da fornire da parte del SL, un’azienda che gestisce servizi di trasporto pubblico, con riferimento all’uso di bodycam da parte dei suoi controllori. Le telecamere in questione sono bodycam che registrano immagini e suoni (7). Lo scopo dell’uso di tali telecamere è prevalentemente di prevenire e documentare minacce e violenze nei confronti dei controllori di biglietti.
17. Dall’ordinanza di rinvio risulta chiaramente che il trattamento pertinente rientra nell’ambito del RGPD. Pertanto, la mia analisi non comprende il trattamento dei dati eseguito in relazione all’uso delle bodycam da parte delle autorità di contrasto, il quale rientra nell’ambito della direttiva (UE) 2016/680 (8).
18. Va inoltre rilevato che la questione sottoposta dal giudice del rinvio riguarda solamente l’obbligo del titolare del trattamento di fornire informazioni ai sensi degli articoli 13 e 14 del RGPD. La Corte non è stata interrogata quanto alla liceità del trattamento dei dati in questione ai sensi dell’articolo 6 del RGPD.
B. Raccolta di dati per mezzo di bodycam e obbligo di fornire informazioni all’interessato: delimitazione dell’ambito degli articoli 13 e 14 del RGPD
19. Con la sua questione, il giudice del rinvio chiede, in sostanza, se sia l’articolo 13 o l’articolo 14 del RGPD ad applicarsi nella situazione in cui i dati personali sono raccolti per mezzo di bodycam da parte di controllori di biglietti che lavorano per un’azienda che gestisce servizi di trasporto pubblico.
20. Gli articoli 13 e 14 del RGPD definiscono l’ambito dell’obbligo del titolare del trattamento nei confronti dell’interessato di fornire informazioni. L’articolo 13 si applica qualora i dati personali siano raccolti presso l’interessato (raccolta diretta), mentre l’articolo 14 si applica qualora i dati personali non siano stati ottenuti presso l’interessato (raccolta indiretta) (9).
21. La maggior parte delle informazioni che devono essere fornite ai sensi degli articoli 13 e 14 del RGPD sono le stesse, sebbene vi siano alcune differenze (10). La più importante differenza tra le due disposizioni riguarda il momento in cui le informazioni devono essere fornite e le possibili eccezioni all’obbligo di fornire informazioni.
22. Ai sensi dell’articolo 13, paragrafi 1 e 2, del RGPD, qualora i dati personali siano raccolti presso l’interessato, le informazioni devono essere fornite «nel momento in cui i dati personali sono ottenuti». Quando i dati personali non sono stati ottenuti presso l’interessato, il titolare del trattamento deve fornire le informazioni di cui all’articolo 14, paragrafi 1 e 2, del RGPD nei termini fissati all’articolo 14, paragrafo 3, lettere a), b), e c), di quest’ultimo. La regola generale prevede che il titolare del trattamento fornisca le informazioni entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati [articolo 14, paragrafo 3, lettera a), del RGPD]. L’arco temporale entro il quale il titolare del trattamento deve fornire le informazioni è diverso nelle situazioni previste ai sensi dell’articolo 14, paragrafo 3, lettere b) e c) (11).
23. Per quanto riguarda le possibili eccezioni all’obbligo di fornire informazioni, nei casi di raccolta diretta di informazioni ai sensi dell’articolo 13 del RGPD, l’unica applicabile si ha «se e nella misura in cui l’interessato dispone già delle informazioni». Nei casi di raccolta indiretta, il catalogo delle possibili eccezioni fissato all’articolo 14, paragrafo 5, del RGPD è più ampio. Tali eccezioni comprendono situazioni in cui la comunicazione di informazioni «risulta impossibile o implicherebbe uno sforzo sproporzionato» [articolo 14, paragrafo 5, punto b), del RGPD]. In tali casi, il titolare del trattamento deve «adotta[re] misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni».
24. Da quanto sopra esposto è evidente che la portata dell’obbligo del titolare del trattamento di fornire informazioni varierà a seconda che si applichi l’articolo 13 o l’articolo 14 del RGPD. L’esito di tale determinazione avrà un impatto su quali questioni l’autorità di vigilanza debba investigare al fine di determinare se vi sia stata una violazione dell’obbligo di fornire informazioni.
25. Fatte queste osservazioni generali, occorre poi esaminare se il trattamento dei dati per mezzo di una bodycam quale quella usata nel caso oggetto del procedimento principale rientri nell’ambito di applicazione ratione materiae dell’articolo 13 o dell’articolo 14 del RGPD. A tal fine, occorre, in applicazione di una giurisprudenza costante, tener conto non soltanto del tenore letterale di tali disposizioni, ma anche del loro contesto e degli obiettivi perseguiti dalla normativa di cui essi fanno parte (12).
26. In primo luogo, per quanto riguarda la formulazione degli articoli 13 e 14 del RGPD, occorre osservare che, come la Corte ha chiarito, nella sentenza nella causa Másdi, l’ambito di applicazione rationae materiae dell’articolo 14 è definito in negativo rispetto all’articolo 13 del RGPD (13). Come risulta dal titolo stesso di tali disposizioni, detto articolo 13 verte sulle informazioni da fornire quando i dati personali sono raccolti presso l’interessato, mentre l’articolo 14 riguarda quelle che devono essere fornite quando i dati personali non sono stati ottenuti presso l’interessato (14). Come affermato dalla Commissione nelle sue osservazioni scritte, le due disposizioni si escludono reciprocamente. Tenuto conto di tale dicotomia, tutti i casi nei quali i dati sono ottenuti presso l’interessato rientrano nell’ambito di applicazione ratione materiae dell’articolo 13 e tutti i casi nei quali i dati non sono ottenuti presso l’interessato rientrano nell’ambito di applicazione ratione materiae di detto articolo 14 (15).
27. Dall’ordinanza di rinvio risulta che la difficoltà nel determinare l’ambito di applicazione ratione materiae di tali disposizioni risiede specificamente nella questione se l’applicazione dell’articolo 13 del RGPD dipenda dal fatto che l’interessato sia al corrente della raccolta dei suoi dati o da un qualche tipo di azione deliberata da parte sua nel fornire i dati (ad esempio, compilando un formulario) (16).
28. A tal riguardo, è opportuno precisare che il termine dati «raccolti» presso l’interessato come menzionato all’articolo 13, paragrafo 1, del RGPD non richiede una specifica azione da parte dell’interessato. La «raccolta» è una forma di «trattamento» dei dati, come quest’ultimo termine è definito ai sensi dell’articolo 4, punto 2, del RGPD. Come tale, la raccolta dei dati richiede un’azione da parte del titolare del trattamento dei dati (17). Come l’autorità per la protezione della privacy ha affermato dinanzi al giudice del rinvio, è il titolare del trattamento ad avere un ruolo attivo nella raccolta dei dati, non l’interessato.
29. Nelle loro osservazioni scritte la Commissione e l’autorità per la protezione della privacy hanno fatto notare che le versioni linguistiche inglese e svedese degli articoli 13 e 14 del RGPD utilizzano due verbi diversi. Mentre l’articolo 13 si riferisce ai dati «raccolti» presso l’interessato («samlas» in svedese), l’articolo 14 si riferisce ai dati che non sono stati «ottenuti» presso l’interessato («erhållits» in svedese). Tuttavia, come sottolineato dalla Commissione, in altre versioni linguistiche è usato il medesimo verbo (18) e, in ogni caso, l’uso di due verbi diversi, «raccogliere» e «ottenere», non risulta avere alcuna importanza. Ciò può anche essere desunto dalla sentenza nella causa Másdi, in cui la Corte spiega che i dati personali che sono stati oggetto di un «ottenimento» da parte del titolare del trattamento ai sensi dell’articolo 14 del RGPD sono tutti quelli che il titolare del trattamento «ottiene presso una persona diversa dall’interessato (...)» (19).
30. La dicotomia tra gli articoli 13 e 14 del RGPD, alla quale si fa riferimento al paragrafo 26 supra, dimostra che la base per la determinazione del rispettivo ambito di applicazione ratione materiae non è la partecipazione attiva dell’interessato bensì piuttosto la fonte dei dati. Se l’interessato è la fonte dei dati, allora si applica l’articolo 13. Affinché si applichi tale disposizione, non vi deve essere alcun intermediario tra l’interessato e il titolare del trattamento. Se la fonte dei dati è qualsiasi fonte diversa dall’interessato, allora si applica l’articolo 14. Qualsiasi altra fonte potrebbe essere costituita, ad esempio, da titolari del trattamento terzi, da fonti pubblicamente disponibili o da altri interessati (20).
31. La formulazione dell’articolo 14, paragrafo 2, lettera f), del RGPD conferma che la fonte dei dati è il criterio per la delimitazione dell’ambito di applicazione ratione materiae tra gli articoli 13 e 14. Infatti, secondo tale disposizione, qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento deve informare l’interessato della «fonte da cui hanno origine i dati personali» (il corsivo è mio).
32. La formulazione del considerando 61 del RGPD suggerisce anch’essa che la fonte dei dati sia il criterio per distinguere l’ambito di applicazione ratione materiae degli articoli 13 e 14. Tale considerando enuncia che «l’interessato dovrebbe ricevere le informazioni relative al trattamento di dati personali che lo riguardano al momento della raccolta presso l’interessato o, se i dati sono ottenuti da altra fonte, entro un termine ragionevole, in funzione delle circostanze del caso» (il corsivo è mio). Tale considerando inoltre enuncia che «qualora non sia possibile comunicare all’interessato l’origine dei dati personali, perché sono state utilizzate varie fonti», dovrebbe essere fornita un’informazione di carattere generale (il corsivo è mio).
33. I dati possono essere raccolti direttamente presso l’interessato utilizzando metodi diversi. Tale raccolta non richiede la partecipazione o l’iniziativa dell’interessato nel fornire i dati o che egli sia a conoscenza della raccolta. Tale approccio è anche confermato dalle linee guida sulla trasparenza del gruppo di lavoro articolo 29, le quali affermano che l’articolo 13 si applica o quando l’interessato fornisce consapevolmente dati personali al titolare del trattamento dei dati o quando il titolare del trattamento dei dati raccoglie i dati presso un interessato mediante osservazione. Gli esempi di raccolta dei dati mediante osservazione ivi forniti includono l’uso di dispositivi o software per catturare dati (21).
34. Quando vi è raccolta diretta di dati mediante osservazione, la consapevolezza della raccolta presso l’interessato è la conseguenza dell’applicazione dell’articolo 13 del RGPD e dell’obbligo che produce presso il titolare del trattamento dei dati di fornire informazioni all’interessato al momento della raccolta. In altre parole, essere a conoscenza della raccolta dei dati non è un prerequisito perché si applichi l’articolo 13, bensì piuttosto la conseguenza dell’obbligo previsto ai sensi dell’articolo 13 del RGPD di informare l’interessato al momento in cui i dati personali sono ottenuti (al più tardi).
35. Dal momento in cui vi è raccolta diretta di dati presso l’interessato e proprio a causa di tale raccolta, il titolare del trattamento deve fornire le informazioni, mettendo quindi l’interessato al corrente della raccolta dei dati. Come affermato dall’autorità per la protezione della privacy, quando vi è un’area sorvegliata, vi deve essere un segnale di avvertimento pertinente così che l’interessato sia al corrente della raccolta prima di accedere all’area sorvegliata (22). Entrando consapevolmente nell’area sorvegliata, l’interessato acconsente alla raccolta dei dati personali.
36. In caso di raccolta di dati mediante bodycam, come quella di cui trattasi nel procedimento principale, come osservato dal governo austriaco, l’interessato diventa la fonte dei dati raccolti in virtù della sua mera presenza fisica nell’area pertinente ripresa dalla telecamera.
37. Una conclusione diversa, nel senso che l’articolo 13 si applicherebbe soltanto quando l’interessato fornisce attivamente i dati, non potrebbe essere ricavata dalla formulazione degli articoli 13 e 14 del RGPD o dai suoi considerando. Più specificamente, contrariamente alle osservazioni del SL e del governo danese, una simile conclusione non potrebbe essere ricavata dall’articolo 13, paragrafo 2, lettera e), del RGPD, come rispecchiato nel considerando 60 di quest’ultimo. In base a tale disposizione, quando i dati sono raccolti presso l’interessato, il titolare del trattamento deve fornire informazioni quanto a «(...) se l’interessato ha l’obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati». Come dichiarato dall’autorità per la protezione della privacy dinanzi al giudice del rinvio, le informazioni in merito al possibile obbligo di fornire dati devono essere date soltanto se richiesto in un caso specifico (23). L’articolo 13, paragrafo 2, lettera e), del RGPD non deve essere interpretato come se richiedesse, in ogni circostanza, una particolare azione da parte dell’interessato affinché sia applicabile l’articolo 13.
38. Analogamente, neppure la formulazione dell’articolo 14, paragrafo 1, lettera d), del RGPD suggerisce che vi debba essere un ruolo attivo svolto dall’interessato nel fornire i dati o che esso debba essere al corrente della raccolta dei dati affinché sia applicabile l’articolo 13. L’articolo 14, paragrafo 1, lettera d), del RGPD dispone che, quando i dati personali non sono stati ottenuti presso l’interessato, il titolare del trattamento deve informare l’interessato delle categorie di dati personali in questione. Poiché non vi è alcun obbligo di fornire simili informazioni ai sensi dell’articolo 13 del RGPD, il SL e il governo danese deducono che l’articolo 13 si applichi quando l’interessato è già al corrente della raccolta dei dati. Tuttavia, l’obbligo di informazione ai sensi dell’articolo 14, paragrafo 1, lettera d) può essere giustificato dal fatto che il titolare del trattamento stia trattando i dati ottenuti da fonti diverse dall’interessato e non sia in contatto con l’interessato al momento della raccolta dei dati.
39. Pertanto, la formulazione rispettiva degli articoli 13 e 14 del RGPD corrobora la conclusione secondo la quale la raccolta dei dati mediante una bodycam, quale forma di raccolta diretta di dati presso l’interessato, rientra nell’ambito dell’articolo 13.
40. In secondo luogo, il contesto in cui si inseriscono tali disposizioni conferma una simile interpretazione. Gli obblighi di fornire informazioni ai sensi degli articoli 13 e 14 del RGPD sono specifiche espressioni del principio di trasparenza, il quale disciplina il trattamento dei dati personali, come previsto all’articolo 5, paragrafo 1, lettera a), del RGPD. Ai sensi di quest’ultima disposizione, i dati personali sono trattati in modo lecito, corretto e trasparente nei confronti dell’interessato. Ne risulta che un trattamento di dati personali deve soddisfare, in particolare, requisiti concreti in materia di trasparenza nei confronti dell’interessato da un siffatto trattamento (24).
41. La delimitazione dell’ambito di applicazione degli articoli 13 e 14 del RGPD basata sulla fonte dei dati consente un trattamento corretto e trasparente. Quando i dati sono raccolti direttamente presso l’interessato, all’interessato devono essere fornite le informazioni al momento della raccolta. Quando i dati non sono raccolti direttamente presso l’interessato, vi è del margine per il titolare del trattamento dei dati nel fornire le informazioni – entro un termine ragionevole – proprio perché non vi è contatto diretto con l’interessato.
42. Nel caso di raccolta di dati per mezzo di una bodycam, l’immediata comunicazione di informazioni all’interessato in merito alla raccolta consente a quest’ultimo di venire a conoscenza della raccolta cosicché esso possa esercitare i suoi diritti in qualità di interessato dal momento della raccolta o persino prima che la raccolta abbia inizio. Come osservato dal governo austriaco, venendo a conoscenza della raccolta dei dati il prima possibile, l’interessato può, ad esempio, decidere di evitare di accedere all’area sorvegliata o di adeguare il proprio comportamento.
43. Quanto ai mezzi pratici per fornire le informazioni, occorre tenere a mente che, ai sensi dell’articolo 12, paragrafo 1, del RGPD il titolare del trattamento deve adottare «misure appropriate» al fine di fornire le informazioni richieste «in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro».
44. Le parti e gli interessati che hanno presentato osservazioni scritte accettano quale premessa generale che, in caso di videosorveglianza, le informazioni debbano essere fornite mediante un «approccio a vari livelli». Le linee guida dell’EDPB sulla videosorveglianza forniscono una panoramica dettagliata e pratica dell’approccio a vari livelli. Le informazioni di primo livello riguardano il «primo modo in cui il titolare del trattamento coinvolge per la prima volta l’interessato». In caso di videosorveglianza, ciò sarà normalmente un segnale di avvertimento tale che l’interessato sia messo al corrente che sta entrando in una zona sorvegliata. Le informazioni di primo livello devono poi essere completate dalle informazioni di secondo livello, preferibilmente riferendosi ad una fonte digitale (ad esempio, un codice QR o un indirizzo di un sito internet), sebbene le informazioni debbano anche essere facilmente disponibili in formato non digitale (25).
45. Il SL e il governo danese hanno sostenuto che l’approccio a vari livelli è più in linea con lo schema generale dell’articolo 14 del RGPD che non con quello dell’articolo 13 del RGPD. Essi ritengono che la difficoltà nel fornire le informazioni al momento della raccolta dei dati quando sono utilizzate bodycam dovrebbe dar luogo all’applicazione dell’eccezione di cui all’articolo 14, paragrafo 5, lettera b), del RGPD. Tale eccezione si applica quando comunicare le informazioni «risulta impossibile o implicherebbe uno sforzo sproporzionato». In un simile caso, il titolare del trattamento deve «adotta[re] misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato».
46. Questi argomenti non mi convincono. Sotto un primo profilo, dall’articolo 12 del RGPD risulta che le «misure appropriate» che il titolare del trattamento deve adottare al fine di fornire le informazioni si riferiscono alle informazioni di cui a entrambi gli articoli 13 e 14. Ciò significa che il titolare del trattamento deve adottare misure appropriate al fine di fornire le informazioni in situazioni di raccolta di dati sia diretta che indiretta.
47. Sotto un secondo profilo, come indicato, in sostanza, dall’autorità per la protezione della privacy, la appropriatezza delle misure dipende dal contesto in cui i dati sono raccolti e si riferisce, tra l’altro, agli interessi degli interessati. La raccolta di dati mediante una bodycam è invadente quanto la videosorveglianza e comporta rischi significativi per la privacy degli interessati (26). Quando il titolare del trattamento cerca di determinare le misure più appropriate per fornire informazioni agli interessati, occorre rispettare il principio di trasparenza e il livello di invadenza dei mezzi utilizzati al fine di raccogliere i dati. Se è generalmente ammesso che l’approccio a vari livelli sia appropriato per la videosorveglianza, la quale comporta rischi significativi per la privacy, lo stesso dovrebbe valere per la raccolta di dati mediante bodycam.
48. Sotto un terzo profilo, vi sono argomenti convincenti che dimostrano che l’approccio a vari livelli non sia «irrealizzabile» o «impossibile» nel caso di una bodycam. L’autorità per la protezione della privacy, il governo austriaco e la Commissione hanno osservato che l’approccio a vari livelli per la videosorveglianza è applicabile per analogia nel caso delle bodycam, riferendosi alle linee guida sulla videosorveglianza dell’EDPB. La natura non vincolante di tali linee guida nulla toglie al fatto che esse dimostrano in termini concreti che l’approccio a vari livelli è possibile e praticabile (27).
49. In terzo luogo, l’interpretazione secondo la quale l’articolo 13 si applica nel caso di dati raccolti per mezzo di una bodycam è conforme agli obiettivi perseguiti dalla legislazione di cui fanno parte gli articoli 13 e 14. L’obiettivo perseguito dal RGPD, quale risulta dall’articolo 1 nonché dai considerando 1 e 10 di quest’ultimo, consiste, segnatamente, nel garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla vita privata, con riguardo al trattamento dei dati personali, sancito dall’articolo 8, paragrafo 1, della Carta dei diritti fondamentali dell’Unione europea e all’articolo 16, paragrafo 1, TFUE (28). Conformemente a tale obiettivo, qualsiasi trattamento di dati personali deve, segnatamente, essere conforme ai principi relativi al trattamento di simili dati di cui all’articolo 5 del RGPD, incluso il principio di trasparenza.
50. L’obbligo del titolare del trattamento di fornire informazioni come previsto agli articoli 13 e 14 del RGPD è un’espressione del principio di trasparenza. Come è stato già osservato in precedenza (29), il momento in cui sorge l’obbligo di fornire informazioni differisce, a seconda di quale di tali disposizioni si applichi. La raccolta diretta richiede la comunicazione immediata delle informazioni. Quando la raccolta non è diretta perché i dati sono raccolti da altre fonti, le informazioni possono essere fornite in una fase successiva. Il RGPD riconosce diversi momenti per la comunicazione di informazioni proprio perché la raccolta è indiretta.
51. Qualora si ammettesse che nel caso di raccolta di dati per mezzo di una bodycam si applica l’articolo 14 del RGPD, ciò significherebbe che agli interessati non sarebbero fornite le informazioni al momento della raccolta dei dati, nonostante siano la fonte dei dati. Come osservato, in sostanza, dal governo austriaco e dalla Commissione, ciò potrebbe minare l’effetto utile dell’articolo 13 del RGPD. Infatti, ciò consentirebbe ai controllori di astenersi dal fornire immediatamente le informazioni agli interessati, sebbene i dati siano stati raccolti direttamente presso tali interessati (30). Ciò creerebbe il rischio che la raccolta di dati passi inosservata agli interessati nonché il rischio di pratiche di sorveglianza occulte (31). Tale elusione dell’articolo 13 del RGPD costituirebbe una violazione grave del diritto di informazione degli interessati.
52. Infine, se la distinzione tra i rispettivi ambiti di applicazione ratione materiae degli articoli 13 e 14 del RGPD dipendesse dal fatto che l’interessato sia o meno effettivamente al corrente della raccolta dei suoi dati al momento della raccolta, ciò confonderebbe i confini tra le due disposizioni e condizionerebbe la loro applicazione a circostanze casuali.
53. Di conseguenza, da un’interpretazione letterale, contestuale e teleologica degli articoli 13 e 14 del RGPD risulta che, nel caso di raccolta di dati per mezzo di una bodycam, che è una forma di raccolta diretta di dati presso l’interessato, l’obbligo del titolare del trattamento dei dati di fornire informazioni rientra nell’ambito della prima di tali disposizioni.
54. Per scrupolo di completezza, farò qualche ultima osservazione sulla rilevanza della sentenza nella causa Ryneš nel caso di specie (32). In tale sentenza, la Corte ha interpretato l’eccezione all’applicazione della direttiva 95/46 nel caso di una attività a carattere esclusivamente «personale o domestico», come indicato nella seconda parte dell’articolo 3, paragrafo 2, di tale direttiva. Essa ha statuito, in sostanza, che l’utilizzo di un sistema di videocamera, installato da un individuo sull’abitazione familiare allo scopo di proteggere la proprietà, la salute e la vita dei proprietari, ma che sorveglia anche uno spazio pubblico, non può essere considerato come un’attività a carattere esclusivamente «personale o domestico» ai fini di tale disposizione. Pertanto, tale trattamento non può sottrarsi all’applicazione della direttiva 95/46.
55. Al punto 34 di tale sentenza, la Corte ha dichiarato che «nel contempo, l’applicazione di questa direttiva consente eventualmente di tener conto, conformemente in particolare all’articolo 7, lettera f), all’articolo 11, paragrafo 2, e all’articolo 13, paragrafo 1, lettere d) e g) di detta direttiva, degli interessi legittimi del responsabile del trattamento (...)».
56. Il riferimento all’articolo 11, paragrafo 2, della direttiva 95/46 in tale specifico punto non equivale a un’interpretazione da parte della Corte della base giuridica appropriata per la comunicazione di informazioni da parte del titolare del trattamento in caso di videosorveglianza. La questione sollevata in tale sentenza era completamente diversa da quella nel caso di specie, in quanto riguardava l’applicazione dell’«eccezione domestica», e non l’obbligo di fornire informazioni. In tale punto, la Corte ha semplicemente illustrato che è possibile tener conto degli interessi legittimi del responsabile del trattamento alla luce dei limiti e delle eccezioni di cui alla direttiva 95/46. La Commissione ha anche giustamente osservato che dalla domanda di pronuncia pregiudiziale nella causa che ha dato luogo alla sentenza nella causa Ryneš emerge che, nel contesto del procedimento nazionale, l’autorità di vigilanza nazionale ha considerato che vi fosse una violazione della normativa nazionale che attuava l’articolo 11 della direttiva 95/46.
57. In ogni caso, l’arco temporale per fornire le informazioni ai sensi dell’articolo 14 del RGPD non corrisponde a quello che era fissato ai sensi dell’articolo 11 della direttiva 95/46 (33). Inoltre, il legislatore dell’Unione ha chiarito la distinzione tra i rispettivi ambiti di applicazione degli articoli 13 e 14 del RGPD con riferimento alla fonte dei dati al considerando 61 di quest’ultimo (34).
58. Per tali ragioni, ritengo che la sentenza nella causa Ryneš non sia pertinente nel caso di specie e che non sia idonea a condurre ad una conclusione diversa rispetto a quella proposta nelle presenti conclusioni.
59. Alla luce di quanto precede, ritengo che gli articoli 13 e 14 del RGPD debbano essere interpretati nel senso che, in una situazione in cui siano raccolti dati personali per mezzo di bodycam indossate da controllori di biglietti che lavorano per un’azienda di trasporto pubblico, si applica l’articolo 13, mentre l’articolo 14 non si applica.
V. Conclusione
60. Alla luce delle precedenti considerazioni, propongo alla Corte di rispondere alla questione pregiudiziale sollevata dallo Högsta förvaltningsdomstolen (Corte suprema amministrativa, Svezia) nel modo seguente:
Gli articoli 13 e 14 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati),
devono essere interpretati nel senso che, in una situazione in cui siano raccolti dati personali per mezzo di bodycam indossate da controllori di biglietti che lavorano per un’azienda di trasporto pubblico, si applica l’articolo 13, mentre l’articolo 14 non si applica.
1 Lingua originale: l’inglese.
2 Regolamento del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1).
3 V., in tal senso, sentenza dell’11 luglio 2024, Meta Platforms Ireland (Azione rappresentativa) (C‑757/22, EU:C:2024:598, punto 58).
4 Vrabec, H.U., «Data Subject Rights under the GDPR», Oxford University Press, Oxford, 2021, pag. 64.
5 Conclusioni dell’avvocato generale Cruz Villalón nella causa Bara e a. (C‑201/14, EU:C:2015:461, paragrafo 74).
6 Direttiva del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31).
7 V. paragrafo 6 delle presenti conclusioni.
8 Direttiva del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativa alla protezione delle persone fisiche con riguardo al trattamento dei dati personali da parte delle autorità competenti ai fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché alla libera circolazione di tali dati e che abroga la decisione quadro 2008/977/GAI del Consiglio (GU 2016, L 119, pag. 89). Sulla distinzione dell’ambito di applicazione tra il RGPD e la direttiva 2016/680 si veda la sentenza del 21 giugno 2022, Ligue des droits humains (C‑817/19, EU:C:2022:491, punti 67 e seguenti).
9 V. le mie conclusioni nella causa Másdi (C‑169/23, EU:C:2024:474, paragrafi da 23 a 25). Sulla distinzione tra raccolta diretta e indiretta dei dati, si veda, ai sensi della direttiva 95/46, la sentenza del 7 novembre 2013, IPI (C‑473/12, EU:C:2013:715, punto 24).
10 Più specificatamente, ai sensi dell’articolo 13, paragrafo 2, lettera e), del RGPD il titolare del trattamento informa l’interessato sulla questione se la comunicazione di dati personali è un obbligo legale o contrattuale, e se l’interessato ha l’obbligo di fornire i dati personali, nonché sulle possibili conseguenze della mancata comunicazione di tali dati. Ai sensi dell’articolo 14, paragrafo 1, lettera d), del RGPD il titolare del trattamento fornisce informazioni sulle categorie di dati personali in questione. Inoltre, ai sensi dell’articolo 14, paragrafo 2, lettera f), del RGPD il titolare del trattamento deve informare l’interessato della fonte da cui hanno origine i dati personali.
11 Secondo il Gruppo di lavoro articolo 29, Linee guida sulla trasparenza ai sensi del regolamento 2016/679, 29 novembre 2017, WP260, rev. 01, punto 28, approvate dal comitato europeo per la protezione dei dati (EDPB) il 25 maggio 2018 (in prosieguo: le «linee guida sulla trasparenza del gruppo dell’articolo 29»), il limite massimo di tempo entro il quale le informazioni di cui all’articolo 14 devono essere fornite è in ogni caso di un mese.
12 V., in tal senso, sentenza del 28 novembre 2024, Másdi (C‑169/23, EU:C:2024:988, punto 39).
13 Sentenza del 28 novembre 2024, Másdi (C‑169/23, EU:C:2024:988, punto 48).
14 Ibid.
15 V., in tal senso, sentenza del 28 novembre 2024, Másdi (C‑169/23, EU:C:2024:988, punto 48).
16 V. paragrafi 9, 11 e 12 delle presenti conclusioni.
17 V. Roßnagel, A., «Kapitel I Allgemeine Bestimmungen, Artikel 4 Nr. 2 Begriffsbestimmung “Verarbeitung”», in Simitis, S., Hornung, G. e a., Datenschutzrecht, Datenschutzgrundrechtverordnung, Bundesdatenschutzgesetz, Nomos, Baden-Baden, 2ª ed., 2025, paragrafo 15.
18 È il caso, ad esempio, delle versioni linguistiche francese, tedesca e greca del RGPD.
19 Sentenza del 28 novembre 2024, Másdi(C‑169/23, EU:C:2024:988, punto 47) (Il corsivo è mio). [Nella versione inglese della sentenza citata, cui fa qui riferimento l’avvocata generale, si usano due verbi distinti, “obtained” e “collects”, N.d.T.]
20 Linee guida sulla trasparenza del gruppo di lavoro articolo 29, punto 26.
21 Ibid.
22 V. EDPB, «Linee guida 3/2019 sul trattamento dei dati personali attraverso dispositivi video», 29 gennaio 2020, punto 113 (in prosieguo: le «linee guida dell’EDPB sulla videosorveglianza»). Il fatto che l’interessato abbia effettivamente compreso le informazioni è una questione separata e dipende dal fatto se le informazioni siano state fornite «in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro», ai sensi dell’articolo 12 del RGPD.
23 Le linee guida sulla trasparenza del gruppo di lavoro articolo 29 forniscono un esempio di informazioni che potrebbe essere richiesto di fornire all’attuale o al futuro datore di lavoro in un contesto lavorativo.
24 V. sentenza dell’11 luglio 2024, Meta Platforms Ireland (Azione rappresentativa) (C‑757/22, EU:C:2024:598, punto 53).
25 V., nei dettagli, le linee guida dell’EDPB sulla videosorveglianza, punti da 112 a 119.
26 V., in generale, le linee guida dell’EDPB sulla videosorveglianza, punti 1 e seguenti.
27 Sull’applicazione pratica degli obblighi di comunicare le informazioni in caso di utilizzo di bodycam, si veda la Data Protection Commission (Commissione per la protezione dei dati, Irlanda), «Guidance on the use of body worn cameras or action cameras», 10 gennaio 2020, pag. 3, ai sensi della quale «le misure appropriate al fine di trasmettere tali informazioni all’interessato dipendono dal contesto specifico e dall’ambiente in cui i dati sono raccolti e trattati, e nel caso di bodycam, esse possono includere avvertimenti visibili contenenti le informazioni, simboli apposti accanto all’attrezzatura contenente le informazioni o link, segnaletica pubblica o altre modalità con cui si dichiari o richiami l’attenzione degli interessati in merito alle informazioni rilevanti». Si veda anche Datenschutzkonferenz (DSK) (Conferenza sulla protezione dei dati, Germania), «Orientierungshilfe der Datenschutzaufsichtsbehörden zu dem Einsatz von Bodycams durch private Sicherheitsunternehmen», 22 febbraio 2019, (in prosieguo: «DSK Orientierungshilfe»), pag. 4. Da tali linee guida risulta che vi sono mezzi pratici per portare il trattamento pertinente all’attenzione dell’interessato. Ad esempio, quando la bodycam è attivata, un segnale ottico deve essere attivato [«spia luminosa rossa» («rote Lampe»)] e le persone che portano le bodycam devono indossare segni visibili, quali giacche di avvertimento con simboli di telecamere («beschriftete Warnwesten mit Kamerasymbolen»).
28 Sentenza del 3 aprile 2025, Ministerstvo zdravotnictví (Dati riguardanti il rappresentante di una persona giuridica) (C‑710/23, EU:C:2025:231, punto 29).
29 V. paragrafo 41 delle presenti conclusioni.
30 Ciò non pregiudica l’applicazione di qualsiasi restrizione al diritto dell’interessato di ricevere le informazioni ai sensi delle condizioni di cui all’articolo 23 del RGPD.
31 V., in tal senso, DSK Orientierungshilfe, nota a piè di pagina 28, op. cit., pag. 1.
32 Il Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma) ha basato il suo ragionamento su tale sentenza. Il SL e il governo danese, nelle loro osservazioni scritte, hanno anch’essi sostenuto che tale sentenza sia pertinente per la presente causa.
33 Ai sensi dell’articolo 11 della direttiva 95/46, il titolare del trattamento era obbligato a fornire informazioni all’interessato «al momento della registrazione dei dati o qualora sia prevista una comunicazione dei dati a un terzo, al più tardi all’atto della prima comunicazione dei medesimi».
34 Come indicato dalla Commissione nelle sue osservazioni scritte, la formulazione del considerando 61 «se i dati sono ottenuti da altra fonte» è nuova rispetto alla direttiva 95/46. V. paragrafo 32 delle presenti conclusioni.
Edizione provvisoria
SENTENZA DELLA CORTE (Prima Sezione)
18 dicembre 2025 (*)
« Rinvio pregiudiziale – Protezione dei dati personali – Regolamento (UE) 2016/679 – Articoli 13 e 14 – Ambito di applicazione – Dati personali raccolti mediante una telecamera indossata da controllori nei trasporti pubblici – Fondamento giuridico dell’obbligo del titolare del trattamento di fornire informazioni all’interessato »
Nella causa C‑422/24,
avente ad oggetto la domanda di pronuncia pregiudiziale proposta alla Corte, ai sensi dell’articolo 267 TFUE, dallo Högsta förvaltningsdomstolen (Corte suprema amministrativa, Svezia), con decisione del 13 giugno 2024, pervenuta in cancelleria il 17 giugno 2024, nel procedimento
Integritetsskyddsmyndigheten
contro
AB Storstockholms Lokaltrafik,
LA CORTE (Prima Sezione),
composta da F. Biltgen, presidente di sezione, T. von Danwitz (relatore), vicepresidente della Corte, I. Ziemele, A. Kumin e S. Gervasoni, giudici,
avvocato generale: L. Medina
cancelliere: A. Calot Escobar
vista la fase scritta del procedimento,
considerate le osservazioni presentate:
– per l’Integritetsskyddsmyndigheten, da C. Agnehall, A. Persson e D. Törngren, in qualità di agenti;
– per l’AB Storstockholms Lokaltrafik, da J. Forzelius, advokat, e G. Tranvik, biträdande jurist;
– per il governo danese, da D. Elkan, C.A.-S. Maertens, J. Sandvik Loft e M. Jespersen, in qualità di agenti;
– per il governo austriaco, da A. Posch, J. Schmoll e C. Gabauer, in qualità di agenti;
– per la Commissione europea, da A. Bouchagiar, C. Faroghi e H. Kranenborg, in qualità di agenti,
sentite le conclusioni dell’avvocata generale, presentate all’udienza del 1º agosto 2025,
ha pronunciato la seguente
Sentenza
1 La domanda di pronuncia pregiudiziale verte sull’interpretazione degli articoli 13 e 14 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (regolamento generale sulla protezione dei dati) (GU 2016, L 119, pag. 1; in prosieguo: il «RGPD»).
2 Tale domanda è stata presentata nell’ambito di una controversia tra l’Integritetsskyddsmyndigheten (Autorità per la protezione dei dati, Svezia) (in prosieguo: l’«Autorità») e la AB Storstockholms Lokaltrafik (in prosieguo: la «SL»), una società per azioni svedese di trasporti pubblici, in merito a una sanzione amministrativa pecuniaria inflitta a quest’ultima per violazione dell’articolo 13 del RGPD nell’ambito della raccolta di dati personali mediante una telecamera (cd. «bodycam») indossata da controllori che lavorano per tale società.
Contesto normativo
3 I considerando 60 e 61 del RGPD così recitano:
«(60) I principi di trattamento corretto e trasparente implicano che l’interessato sia informato dell’esistenza del trattamento e delle sue finalità. Il titolare del trattamento dovrebbe fornire all’interessato eventuali ulteriori informazioni necessarie ad assicurare un trattamento corretto e trasparente, prendendo in considerazione le circostanze e il contesto specifici in cui i dati personali sono trattati. Inoltre l’interessato dovrebbe essere informato dell’esistenza di una profilazione e delle conseguenze della stessa. In caso di dati personali raccolti direttamente presso l’interessato, questi dovrebbe inoltre essere informato dell’eventuale obbligo di fornire i dati personali e delle conseguenze in cui incorre se si rifiuta di fornirli. Tali informazioni possono essere fornite in combinazione con icone standardizzate per dare, in modo facilmente visibile, intelligibile e chiaramente leggibile, un quadro d’insieme del trattamento previsto. Se presentate elettronicamente, le icone dovrebbero essere leggibili da dispositivo automatico.
(61) L’interessato dovrebbe ricevere le informazioni relative al trattamento di dati personali che lo riguardano al momento della raccolta presso l’interessato o, se i dati sono ottenuti da altra fonte, entro un termine ragionevole, in funzione delle circostanze del caso. Se i dati personali possono essere legittimamente comunicati a un altro destinatario, l’interessato dovrebbe esserne informato nel momento in cui il destinatario riceve la prima comunicazione dei dati personali. Il titolare del trattamento, qualora intenda trattare i dati personali per una finalità diversa da quella per cui essi sono stati raccolti, dovrebbe fornire all’interessato, prima di tale ulteriore trattamento, informazioni in merito a tale finalità diversa e altre informazioni necessarie. Qualora non sia possibile comunicare all’interessato l’origine dei dati personali, perché sono state utilizzate varie fonti, dovrebbe essere fornita un’informazione di carattere generale».
4 L’articolo 5 del RGPD, intitolato «Principi applicabili al trattamento di dati personali», prevede quanto segue:
«1. I dati personali sono:
a) trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (“liceità, correttezza e trasparenza”);
(…)
c) adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati («minimizzazione dei dati»);
(…)».
5 L’articolo 12 del RGPD, intitolato «Informazioni, comunicazioni e modalità trasparenti per l’esercizio dei diritti dell’interessato», così recita:
«1. Il titolare del trattamento adotta misure appropriate per fornire all’interessato tutte le informazioni di cui agli articoli 13 e 14 e le comunicazioni di cui agli articoli da 15 a 22 e all’articolo 34 relative al trattamento in forma concisa, trasparente, intelligibile e facilmente accessibile, con un linguaggio semplice e chiaro (…). Le informazioni sono fornite per iscritto o con altri mezzi, anche, se del caso, con mezzi elettronici. (…)
(…)
5. (…) Se le richieste dell’interessato sono manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il titolare del trattamento può:
(…)
b) rifiutare di soddisfare la richiesta.
Incombe al titolare del trattamento l’onere di dimostrare il carattere manifestamente infondato o eccessivo della richiesta.
(…)».
6 L’articolo 13 del RGPD, intitolato «Informazioni da fornire qualora i dati personali siano raccolti presso l’interessato», prevede quanto segue:
«1. In caso di raccolta presso l’interessato di dati che lo riguardano, il titolare del trattamento fornisce all’interessato, nel momento in cui i dati personali sono ottenuti, le seguenti informazioni:
a) l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;
c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
d) qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali e
f) ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione [europea] o, nel caso dei trasferimenti di cui all’articolo 46 o 47, o all’articolo 49, paragrafo 1, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali garanzie o il luogo dove sono stati rese disponibili.
2. In aggiunta alle informazioni di cui al paragrafo 1, nel momento in cui i dati personali sono ottenuti, il titolare del trattamento fornisce all’interessato le seguenti ulteriori informazioni necessarie per garantire un trattamento corretto e trasparente:
a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
b) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
c) qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
d) il diritto di proporre reclamo a un’autorità di controllo;
e) se la comunicazione di dati personali è un obbligo legale o contrattuale oppure un requisito necessario per la conclusione di un contratto, e se l’interessato ha l’obbligo di fornire i dati personali nonché le possibili conseguenze della mancata comunicazione di tali dati;
f) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
3. Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2.
4. I paragrafi 1, 2 e 3 non si applicano se e nella misura in cui l’interessato dispone già delle informazioni».
7 L’articolo 14 del RGPD, intitolato «Informazioni da fornire qualora i dati personali non siano stati ottenuti presso l’interessato», così dispone:
«1. Qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento fornisce all’interessato le seguenti informazioni:
a) l’identità e i dati di contatto del titolare del trattamento e, ove applicabile, del suo rappresentante;
b) i dati di contatto del responsabile della protezione dei dati, ove applicabile;
c) le finalità del trattamento cui sono destinati i dati personali nonché la base giuridica del trattamento;
d) le categorie di dati personali in questione;
e) gli eventuali destinatari o le eventuali categorie di destinatari dei dati personali;
f) ove applicabile, l’intenzione del titolare del trattamento di trasferire dati personali a un paese terzo o a un’organizzazione internazionale e l’esistenza o l’assenza di una decisione di adeguatezza della Commissione o, nel caso dei trasferimenti di cui all’articolo 46 o 47, o all’articolo 49, paragrafo 1, secondo comma, il riferimento alle garanzie appropriate o opportune e i mezzi per ottenere una copia di tali garanzie o il luogo dove sono stati rese disponibili.
2. Oltre alle informazioni di cui al paragrafo 1, il titolare del trattamento fornisce all’interessato le seguenti informazioni necessarie per garantire un trattamento corretto e trasparente nei confronti dell’interessato:
a) il periodo di conservazione dei dati personali oppure, se non è possibile, i criteri utilizzati per determinare tale periodo;
b) qualora il trattamento si basi sull’articolo 6, paragrafo 1, lettera f), i legittimi interessi perseguiti dal titolare del trattamento o da terzi;
c) l’esistenza del diritto dell’interessato di chiedere al titolare del trattamento l’accesso ai dati personali e la rettifica o la cancellazione degli stessi o la limitazione del trattamento dei dati personali che lo riguardano e di opporsi al loro trattamento, oltre al diritto alla portabilità dei dati;
d) qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a), oppure sull’articolo 9, paragrafo 2, lettera a), l’esistenza del diritto di revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
e) il diritto di proporre reclamo a un’autorità di controllo;
f) la fonte da cui hanno origine i dati personali e, se del caso, l’eventualità che i dati provengano da fonti accessibili al pubblico;
g) l’esistenza di un processo decisionale automatizzato, compresa la profilazione di cui all’articolo 22, paragrafi 1 e 4, e, almeno in tali casi, informazioni significative sulla logica utilizzata, nonché l’importanza e le conseguenze previste di tale trattamento per l’interessato.
3. Il titolare del trattamento fornisce le informazioni di cui ai paragrafi 1 e 2:
a) entro un termine ragionevole dall’ottenimento dei dati personali, ma al più tardi entro un mese, in considerazione delle specifiche circostanze in cui i dati personali sono trattati;
b) nel caso in cui i dati personali siano destinati alla comunicazione con l’interessato, al più tardi al momento della prima comunicazione all’interessato;
c) nel caso sia prevista la comunicazione ad altro destinatario, non oltre la prima comunicazione dei dati personali.
4. Qualora il titolare del trattamento intenda trattare ulteriormente i dati personali per una finalità diversa da quella per cui essi sono stati ottenuti, prima di tale ulteriore trattamento fornisce all’interessato informazioni in merito a tale diversa finalità e ogni informazione pertinente di cui al paragrafo 2.
5. I paragrafi da 1 a 4 non si applicano se e nella misura in cui:
a) l’interessato dispone già delle informazioni;
b) comunicare tali informazioni risulta impossibile o implicherebbe uno sforzo sproporzionato; in particolare per il trattamento a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatte salve le condizioni e le garanzie di cui all’articolo 89, paragrafo 1, o nella misura in cui l’obbligo di cui al paragrafo 1 del presente articolo rischi di rendere impossibile o di pregiudicare gravemente il conseguimento delle finalità di tale trattamento. In tali casi, il titolare del trattamento adotta misure appropriate per tutelare i diritti, le libertà e i legittimi interessi dell’interessato, anche rendendo pubbliche le informazioni;
c) l’ottenimento o la comunicazione sono espressamente previsti dal diritto dell’Unione o dello Stato membro cui è soggetto il titolare del trattamento e che prevede misure appropriate per tutelare gli interessi legittimi dell’interessato; oppure
d) qualora i dati personali debbano rimanere riservati conformemente a un obbligo di segreto professionale disciplinato dal diritto dell’Unione o degli Stati membri, compreso un obbligo di segretezza previsto per legge».
Procedimento principale e questione pregiudiziale
8 La SL gestisce servizi di trasporto pubblico a Stoccolma (Svezia). Tale società ha equipaggiato i suoi controllori con telecamere che vengono utilizzate per filmare i viaggiatori che non hanno un biglietto valido durante il controllo dei biglietti e ai quali viene inflitta un’ammenda. Lo scopo dell’utilizzo delle telecamere è quello di prevenire e documentare minacce e violenze nei confronti dei controllori e di garantire l’identità dei viaggiatori soggetti a tale ammenda.
9 Nell’ambito delle sue attività di controllo, l’Autorità ha esaminato se il trattamento dei dati personali da parte della SL con le telecamere indossate fosse conforme alle norme del RGPD. Nel giugno 2021, essa ha adottato una decisione da cui risulta che i controllori indossano le telecamere per tutta la durata del loro servizio e che queste ultime registrano in modo continuato video con immagini e suoni.
10 Tali telecamere hanno una memoria detta «circolare», il che significa che, dopo un certo tempo, interviene una cancellazione automatica dell’intero contenuto registrato. Dopo la cancellazione, il materiale registrato risulta eliminato. Inizialmente, il materiale registrato era conservato per una durata di due minuti, ma durante l’ispezione svolta dall’Autorità, tale durata è stata ridotta a un minuto. Tuttavia, servendosi di un pulsante, i controllori possono interrompere la cancellazione automatica, garantendo in tal modo che i dati registrati non siano eliminati. In tal caso, le informazioni memorizzate nella telecamera sono conservate anche mediante la tecnica di pre-registrazione che registra le informazioni durante il minuto che precede il momento in cui il controllore ha pigiato il pulsante. I controllori hanno l’istruzione di sospendere l’eliminazione automatica in tutte le situazioni in cui viene inflitta un’ammenda oppure in caso di minaccia nei loro confronti.
11 Al di là di tali constatazioni relative all’utilizzo e al funzionamento delle telecamere, l’Autorità ha ritenuto, nella sua decisione, che la SL avesse trattato, dal dicembre 2018 e fino alla data di adozione di tale decisione nel giugno 2021, dati personali, utilizzando telecamere portatili nell’ambito del controllo dei biglietti, in violazione di diverse disposizioni del RGPD. A suo avviso, la SL aveva omesso di fornire informazioni adeguate agli interessati, violando così l’articolo 13 del RGPD. Di conseguenza, tale autorità ha inflitto alla SL una sanzione amministrativa pecuniaria per un totale di 16 milioni di corone svedesi (SEK) (circa EUR 1 420 670), di cui SEK 4 milioni (circa EUR 355 188) riguardavano la comunicazione di informazioni inadeguate agli interessati.
12 Il Förvaltningsrätten i Stockholm (Tribunale amministrativo di Stoccolma, Svezia), investito dalla SL di un ricorso avverso la decisione dell’Autorità, ha respinto tale ricorso nella parte in cui riguardava la sanzione inflitta a tale società per mancata informazione degli interessati.
13 La SL ha quindi interposto appello dinanzi al Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma, Svezia) che ha annullato la sentenza di primo grado e la decisione dell’Autorità nella parte in cui imponeva tale sanzione. Tale giudice ha dichiarato, facendo riferimento alla sentenza dell’11 dicembre 2014, Ryneš (C‑212/13, EU:C:2014:2428), che l’articolo 13 del RGPD non era applicabile alla controversia dinanzi ad esso pendente e, pertanto, che l’Autorità non era legittimata ad infliggere alla SL una sanzione amministrativa pecuniaria per violazione di tale disposizione.
14 L’Autorità ha impugnato la sentenza del Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma) dinanzi allo Högsta förvaltningsdomstolen (Corte suprema amministrativa, Svezia), giudice del rinvio, chiedendogli di annullare tale sentenza per quanto riguarda la sanzione inflitta a tale società per mancata informazione degli interessati.
15 Il giudice del rinvio precisa, anzitutto, che la questione che si pone è quella di stabilire quale degli articoli 13 e 14 del RGPD si applichi quando i dati personali sono raccolti mediante una telecamera indossata. A suo avviso, la soluzione di tale questione è necessaria sotto due profili. Da un lato, occorrerebbe determinare quali siano le informazioni da fornire all’interessato, in quale momento sorga l’obbligo di informazione di tale interessato e quali siano le eccezioni a tale obbligo. Dall’altro lato, si tratterebbe di stabilire se l’Autorità avesse il diritto di infliggere alla SL una sanzione amministrativa pecuniaria per il motivo che tale società non aveva rispettato l’obbligo di informazione, quale previsto all’articolo 13 del RGPD.
16 Inoltre, secondo il giudice del rinvio, non risulterebbe neppure chiaramente in che misura le differenze tra gli articoli 13 e 14 del RGPD, per quanto riguarda la portata dell’obbligo di informazione che tali disposizioni comportano, debbano essere prese in considerazione per determinare quale di essi si applichi a un tipo particolare di raccolta di dati personali. A tal riguardo, esso precisa che le parti non concordano sulla conclusione da trarre da tali differenze.
17 Infine, il giudice del rinvio si interroga sull’importanza che occorre attribuire alle linee guida sulla trasparenza ai sensi del regolamento (UE) 2016/679, adottate il 29 novembre 2017, nella loro versione riveduta l’11 aprile 2018 dal gruppo di lavoro istituito dall’articolo 29 della direttiva 95/46/CE del Parlamento europeo e del Consiglio, del 24 ottobre 1995, relativa alla tutela delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (GU 1995, L 281, pag. 31), che prevedono, al punto 26, che l’articolo 13 del RGPD è applicabile alla videosorveglianza.
18 In tale contesto, lo Högsta förvaltningsdomstolen (Corte suprema amministrativa) ha deciso di sospendere il procedimento e di sottoporre alla Corte la seguente questione pregiudiziale:
«Quale degli articoli 13 e 14 del RGPD si applichi quando i dati personali vengono raccolti tramite una telecamera indossata».
Sulla domanda di riapertura della fase orale del procedimento
19 A seguito della presentazione delle conclusioni dell’avvocata generale, il 1º agosto 2025, la SL ha chiesto, con atto depositato presso la cancelleria della Corte il 23 settembre 2025, la riapertura della fase orale del procedimento, conformemente à l’articolo 83 del regolamento di procedura della Corte.
20 A sostegno di tale domanda, la SL fa valere che la Corte non è stata sufficientemente informata sui fatti di cui al procedimento principale e sull’importanza che una decisione pronunciata nella presente causa avrebbe per i titolari del trattamento che ricorrono a dispositivi di videosorveglianza. Essa ritiene altresì che le conclusioni presentate dall’avvocata generale non abbiano correttamente delimitato i rispettivi ambiti di applicazione degli articoli 13 e 14 del RGPD.
21 A tal riguardo, occorre ricordare che, ai sensi dell’articolo 252, secondo comma, TFUE, l’avvocato generale presenta pubblicamente, con assoluta imparzialità e in piena indipendenza, conclusioni motivate sulle cause che, conformemente allo statuto della Corte di giustizia dell’Unione europea, richiedono il suo intervento. La Corte non è vincolata né a tali conclusioni né alla motivazione attraverso la quale l’avvocato generale giunge a formularle (sentenza del 4 settembre 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, punto 30 e giurisprudenza citata).
22 Occorre altresì rilevare, in tale contesto, che né lo Statuto della Corte di giustizia dell’Unione europea né il regolamento di procedura prevedono la facoltà per le parti o gli interessati menzionati all’articolo 23 di tale Statuto di depositare osservazioni in risposta alle conclusioni presentate dall’avvocato generale. Di conseguenza, il disaccordo di una parte o di tale interessato con le conclusioni dell’avvocato generale, quali che siano le questioni da esso ivi esaminate, non può costituire, di per sé, un motivo che giustifichi la riapertura della fase orale (sentenza del 4 settembre 2025, Nissan Iberia, C‑21/24, EU:C:2025:659, punto 31 e giurisprudenza citata).
23 Ne consegue che la domanda di riapertura della fase orale del procedimento presentata dalla SL, nella misura in cui mira a consentire a quest’ultima di rispondere alla posizione espressa dall’avvocata generale nelle sue conclusioni, non può essere accolta.
24 Ciò precisato, in virtù dell’articolo 83 del suo regolamento di procedura, la Corte, in qualsiasi momento, sentito l’avvocato generale, può disporre la riapertura della fase orale del procedimento, in particolare se essa non si ritiene sufficientemente edotta o quando, dopo la chiusura di tale fase, una parte ha prodotto un fatto nuovo, tale da influenzare in modo decisivo la decisione della Corte, oppure quando la causa dev’essere decisa in base a un argomento che non è stato oggetto di discussione tra le parti o gli interessati menzionati dall’articolo 23 dello Statuto della Corte di giustizia dell’Unione europea.
25 Nel caso di specie, la Corte, dopo aver sentito l’avvocata generale, ritiene di disporre di tutti gli elementi necessari per rispondere alle questioni sollevate dal giudice del rinvio e considera che la presente causa non debba essere decisa sulla base di un argomento che non sia stato oggetto di discussione tra gli interessati. Inoltre, la domanda di riapertura della fase orale del procedimento non rivela alcun fatto nuovo tale da influenzare in modo determinante la decisione che la Corte è chiamata ad adottare nella presente causa.
26 Ne consegue che non occorre disporre la riapertura della fase orale del procedimento.
Sulla questione pregiudiziale
27 Con la sua questione, il giudice del rinvio chiede, in sostanza, se gli articoli 13 e 14 del RGPD debbano essere interpretati nel senso che, in una situazione in cui sono raccolti dati personali mediante telecamere indossate da controllori nei trasporti pubblici, l’informazione degli interessati è disciplinata dall’articolo 13 del RGPD o dall’articolo 14 di quest’ultimo.
28 Per rispondere a tale questione, in applicazione di una giurisprudenza costante della Corte, si deve tener conto non soltanto del tenore letterale di tali disposizioni, ma anche del loro contesto e degli scopi perseguiti dalla normativa di cui esse fanno parte (sentenza del 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, punto 39).
29 In primo luogo, per quanto riguarda la formulazione degli articoli 13 e 14 del RGPD, occorre osservare che l’ambito di applicazione ratione materiae dell’articolo 14 è definito in negativo rispetto all’articolo 13 del RGPD. Come risulta dai titoli stessi di tali disposizioni, detto articolo 13 verte sulle informazioni da fornire quando i dati personali sono raccolti presso l’interessato, mentre tale articolo 14 riguarda quelle che devono esserlo quando i dati personali non sono stati ottenuti presso l’interessato (sentenza del 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, punto 48).
30 Ai fini della distinzione dei rispettivi ambiti di applicazione di tali disposizioni, la circostanza che, in talune versioni linguistiche dell’articolo 14 del RGPD, in particolare quella in lingua svedese, il termine «raccolti» («samlas in») di cui all’articolo 13 del medesimo regolamento non sia ripreso, non è determinante.
31 Infatti, da una giurisprudenza costante risulta che le disposizioni del diritto dell’Unione europea devono essere interpretate e applicate in modo uniforme alla luce delle versioni vigenti in tutte le lingue dell’Unione e, in caso di divergenza tra queste diverse versioni, la disposizione di cui trattasi deve essere interpretata in funzione dell’economia generale e della finalità della normativa di cui essa fa parte [sentenza del 13 febbraio 2025, Verbraucherzentrale Berlin (Nozione di durata dell’assunzione iniziale), C‑612/23, EU:C:2025:82, punto 31 e giurisprudenza citata].
32 A tal riguardo, la Corte ha già precisato, per quanto riguarda l’impiego del termine «ottenimento» («erhållande») all’articolo 14, paragrafo 5, lettera c), del RGPD, che, nella versione in lingua svedese, è utilizzato anche nel titolo di tale articolo 14 nonché al suo paragrafo 1 («erhållits»), che tale termine riguarda effettivamente i dati «ottenuti» presso una persona diversa dall’interessato nonché quelli che il titolare del trattamento stesso ha generato, nell’esercizio delle sue funzioni, a partire da tali dati (v., in tal senso, sentenza del 28 novembre 2024, Másdi, C‑169/23, EU:C:2024:988, punto 47).
33 Inoltre, come rilevato dall’avvocata generale al paragrafo 28 delle sue conclusioni, la nozione di dati «raccolti» presso l’interessato ai sensi dell’articolo 13, paragrafo 1, del RGPD richiede un’azione specifica non da parte di quest’ultimo, ma unicamente da parte del titolare del trattamento, cosicché il grado di attività dell’interessato è irrilevante per delimitare l’ambito di applicazione di tale disposizione rispetto a quello dell’articolo 14 di tale regolamento.
34 Tale considerazione è altresì evidenziata nelle linee guida sulla trasparenza, menzionate al punto 17 della presente sentenza, da cui risulta che l’articolo 13 del RGPD si applica o quando l’interessato fornisce consapevolmente dati personali al titolare del trattamento o quando quest’ultimo raccoglie i dati presso tale persona mediante osservazione, in particolare mediante videocamere.
35 Tenuto conto della formulazione dell’articolo 14, paragrafo 2, lettera f), del RGPD, letto alla luce del considerando 61 di tale regolamento, si deve ritenere che solo la fonte dei dati personali raccolti costituisca il criterio pertinente ai fini della delimitazione dei rispettivi ambiti di applicazione degli articoli 13 e 14 del RGPD. Infatti, secondo il suddetto articolo 14, paragrafo 2, lettera f), qualora i dati non siano stati ottenuti presso l’interessato, il titolare del trattamento deve informare quest’ultimo della fonte da cui hanno origine i dati personali.
36 Ne consegue che l’interpretazione letterale degli articoli 13 e 14 del RGPD, letti alla luce del considerando 61 di tale regolamento, depone a favore dell’applicazione di tale articolo 13 alla raccolta di dati personali mediante una telecamera indossata, dal momento che, in tale ipotesi, tali dati non sono ottenuti da una fonte diversa dall’interessato, ma lo sono direttamente presso quest’ultimo.
37 In secondo luogo, una siffatta interpretazione è corroborata dal contesto in cui si inseriscono tali disposizioni.
38 A tal riguardo, dall’articolo 5 del RGPD risulta che un trattamento di dati personali deve soddisfare, in particolare, requisiti concreti in materia di trasparenza nei confronti dell’interessato da un siffatto trattamento [sentenza dell’11 luglio 2024, Meta Platforms Ireland (Azione rappresentativa), C‑757/22, EU:C:2024:598, punto 53].
39 Come rilevato, in sostanza, dalla Commissione nelle sue osservazioni scritte, prescrivendo la comunicazione all’interessato delle informazioni oggetto dell’articolo 13 del RGPD nel momento in cui esse sono ottenute, lo stesso articolo conferisce un’espressione specifica al diritto di tale interessato di essere informata. Per contro, l’articolo 14 di tale regolamento è stato adottato, dal canto suo, per rispondere alle situazioni in cui il titolare del trattamento non è in contatto diretto con l’interessato, ma raccoglie i dati personali da un’altra fonte, cosicché la comunicazione delle informazioni oggetto di tale disposizione nel momento in cui esse sono ottenute è, in pratica, resa difficile se non impossibile. Il carattere indiretto di una siffatta raccolta giustifica quindi che quest’ultima disposizione preveda la possibilità di differire nel tempo l’adempimento dell’obbligo di informazione che incombe a tale titolare.
40 In terzo luogo, occorre interpretare gli articoli 13 e 14 del RGPD alla luce dell’obiettivo perseguito da tale regolamento, il quale consiste segnatamente nel garantire un elevato livello di tutela dei diritti e delle libertà fondamentali delle persone fisiche, in particolare del loro diritto alla protezione dei dati personali, sancito dall’articolo 16 TFUE e garantito in quanto diritto fondamentale all’articolo 8 della Carta dei diritti fondamentali dell’Unione europea, che completa il diritto alla vita privata garantito dall’articolo 7 di quest’ultima (sentenza del 27 febbraio 2025, Dúdstreet Austria e a., C‑203/22, EU:C:2025:117, punto 51 e giurisprudenza citata).
41 Orbene, se si ammettesse che l’articolo 14 del RGPD si applichi nel caso della raccolta di dati personali mediante una telecamera indossata, l’interessato non riceverebbe alcuna informazione nella fase di tale raccolta, pur essendo la fonte di tali dati, il che consentirebbe al titolare del trattamento di non fornire immediatamente informazioni a detto interessato. Pertanto, una siffatta interpretazione comporterebbe il rischio che la raccolta di dati passi inosservata all’interessato nonché il rischio di pratiche di sorveglianza occulte. Una siffatta conseguenza sarebbe incompatibile con l’obiettivo, menzionato al punto precedente, di garantire un elevato livello di tutela dei diritti libertà e delle libertà fondamentali delle persone fisiche.
42 Infine, occorre precisare, in risposta a un dubbio espresso dal giudice del rinvio quanto alla portata del punto che tale obiettivo non osta a che, come prevedono le linee guida 3/2019 del Comitato europeo per la protezione dei dati (GEPD) sul trattamento dei dati personali mediante dispositivi video, adottate il 29 gennaio 2020, gli obblighi di informazione ai sensi dell’articolo 13 del RGPD siano attuati nell’ambito di un approccio a più livelli. Secondo tali orientamenti, le informazioni più importanti destinate alla persona interessata possono essere indicate, nell’ambito di un primo livello, su un cartello di avvertimento, e le altre informazioni obbligatorie possono essere fornite a quest’ultimo, a titolo di secondo livello, in modo adeguato e completo, in un luogo facilmente accessibile.
43 Infine, occorre ancora precisare, in risposta al dubbio espresso dal Kammarrätten i Stockholm (Corte d’appello amministrativa di Stoccolma) quanto alla portata del punto 34 della sentenza dell’11 dicembre 2014, Ryneš (C‑212/13, EU:C:2014:2428), menzionato al punto 13 della presente sentenza, che la Corte non si è pronunciata, al suddetto punto 34, sull’ambito di applicazione dell’articolo 11 della direttiva 95/46, al quale corrisponde l’articolo 14 del RGPD, rispetto all’articolo 10 di tale direttiva, al quale corrisponde l’articolo 13 di tale regolamento, ma si è limitata ad illustrare che, a causa delle diverse limitazioni e eccezioni previste dalla suddetta direttiva, la sua applicazione consente di tener conto dei legittimi interessi del titolare del trattamento.
44 Pertanto, dal punto 34 di detta sentenza non si può dedurre che la Corte si sia già pronunciata sulla distinzione tra l’ambito di applicazione dell’articolo 13 del RGPD, da un lato, e quello dell’articolo 14 di tale regolamento, dall’altro.
45 Alla luce delle considerazioni che precedono, occorre rispondere alla questione sollevata dichiarando che gli articoli 13 e 14 del RGPD devono essere interpretati nel senso che, in una situazione in cui sono raccolti dati personali mediante telecamere indossate da controllori nei trasporti pubblici, l’informazione degli interessati è disciplinata dall’articolo 13 del RGPD e non dall’articolo 14 di quest’ultimo.
Sulle spese
46 Nei confronti delle parti nel procedimento principale la presente causa costituisce un incidente sollevato dinanzi al giudice nazionale, cui spetta quindi statuire sulle spese. Le spese sostenute da altri soggetti per presentare osservazioni alla Corte non possono dar luogo a rifusione.
Per questi motivi, la Corte (Prima Sezione) dichiara:
Gli articoli 13 e 14 del regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE,
devono essere interpretati nel senso che:
in una situazione in cui sono raccolti dati personali mediante telecamere (cd. «bodycam») indossate da controllori nei trasporti pubblici, l’informazione degli interessati è disciplinata dall’articolo 13 di tale regolamento e non dall’articolo 14 di quest’ultimo.
Firme
* Lingua processuale: lo svedese.
Nessun commento:
Posta un commento