18 grudnia 2025 r. zapadł wyrok TSUE w sprawie C‑422/24 Integritetsskyddsmyndigheten przeciwko AB Storstockholms Lokaltrafik. Wyrok zakończył postępowanie toczące się na skutek wniosku o wydanie orzeczenia w trybie prejudycjalnym, złożonego przez szwedzki Najwyższy Sąd Administracyjny. Wniosek ten został złożony w ramach sporu pomiędzy Integritetsskyddsmyndigheten (szwedzki organ nadzorczy) i AB Storstockholms Lokaltrafik, spółką prowadzącą działalność w zakresie transportu publicznego. Spółka została ukarana za naruszenie art. 13 RODO przy zbieraniu danych osobowych przy użyciu kamer nasobnych noszonych przez kontrolerów biletów, ponieważ nie podawała ona osobom, których dane dotyczą, wymaganych na podstawie art. 13 ust. 2 lit. e RODO informacji o ewentualnych konsekwencjach niepodania danych. Istotą sporu było to, czy w przypadku zbierania danych osobowych przy użyciu kamery zastosowanie ma art. 13 RODO, który przewiduje obowiązek podawania wskazanych informacji czy też art. 14 RODO, który nie przewiduje takiego obowiązku.
Obowiązek informacyjny określony w art. 13 RODO musi być realizowany, jeżeli dane osobowe są
zbierane od osoby, której te dane dotyczą. W przypadku, gdy dane osobowe nie zostały pozyskane od osoby, której dotyczą, administrator powinien zrealizować obowiązek informacyjny określony w art. 14 RODO. Kluczową kwestią było więc rozstrzygnięcie czy w przypadku rejestrowania obrazu przy pomocy kamer można przyjąć, że dane osobowe zbierane są bezpośrednio od osoby, której te dane dotyczą, czy też należy uznać, że nie są one pozyskiwane od tej osoby. TSUE rozstrzygnął istniejące w tym zakresie wątpliwości wskazując, że „art. 13 i 14 RODO należy interpretować w ten sposób, że w sytuacji, w której dane osobowe są zbierane przy użyciu kamer nasobnych noszonych przez kontrolerów w środkach transportu publicznego, informowanie osób, których dane dotyczą, reguluje art. 13 RODO, a nie jego art. 14”.
Uzasadniając swoje stanowisko TSUE wskazał, że użyte w treści art. 13 ust. 1 RODO określenie: „zbierane są od osoby, której dane dotyczą” odnosi się wyłącznie do konieczności szczególnego działania po stronie administratora a nie osoby, której dane dotyczą, a co za tym idzie stopień jej aktywności nie ma znaczenia dla rozgraniczenia zakresu stosowania art. 13 i art. 14 RODO. W konsekwencji TSUE uznał, że art. 13 RODO ma zastosowanie zarówno wtedy, gdy osoba, której dane dotyczą świadomie przekazuje dane osobowe administratorowi, jak i wtedy, gdy zbiera on dane od tej osoby w drodze obserwacji, w szczególności przy użyciu kamer. Odwołując się do treści motywu 61 RODO, TSUE doprecyzował swoje stanowisko wskazując, że w przypadku utrwalania obrazu przy pomocy kamer dane te są pozyskiwane nie ze źródła innego niż osoba, której dane dotyczą, lecz bezpośrednio od niej.
Zdaniem TSUE art. 13 RODO, ustanawiając wymóg przekazania osobie, której dane dotyczą informacji, o których w nim mowa w momencie ich pozyskania, nadaje konkretny kształt prawu tej osoby do uzyskania informacji, natomiast art. 14 RODO został przyjęty w celu uwzględnienia sytuacji, w których administrator nie znajduje się w bezpośrednim kontakcie z osobą, której dane dotyczą, lecz pozyskuje dane osobowe z innego źródła, w związku z czym przekazanie informacji, o których mowa w tym przepisie, w momencie ich pozyskania jest w praktyce utrudnione, a wręcz niemożliwe. W tym kontekście Trybunał zauważył, że w przypadku zastosowania art. 14 RODO osoba, której dane dotyczą na etapie zbierania danych osobowych nie otrzymuje żadnych informacji, co niesie ryzyko, że nie będzie ona świadoma, iż dochodzi do zbierania jej danych osobowych, a także ryzyko praktyk związanych ze stosowaniem monitoringu ukrytego, co jest nie do pogodzenia z celem, który polega na zapewnieniu wysokiego poziomu ochrony podstawowych praw i wolności osób fizycznych.
Wskazując na konieczność realizacji w związku z utrwalaniem obrazu przy pomocy kamer obowiązku informacyjnego z art. 13 RODO TSUE stwierdził jednocześnie, ze nie ma przeszkód, aby obowiązek ten był wypełniany w ramach podejścia warstwowego, które pozwala, aby najważniejsze informacje przeznaczone dla osoby, której dane dotyczą zostały umieszczone na znaku ostrzegawczym (pierwsza warstwa), zaś pozostałe informacje obowiązkowe zostały podane tej osobie, w sposób odpowiedni i kompletny, w miejscu łatwo dostępnym (druga warstwa).
Omawiany wyrok dotyczył rejestrowania obrazu przy użyciu kamer nasobnych, jednak ma on zdecydowanie szersze znaczenie. Zawarte w nim tezy mogą mieć pełne zastosowanie w każdym przypadku rejestrowania obrazu obejmującego dane osobowe, w tym m.in. w przypadku stosowania monitoringu wizyjnego. Wskazuje na to zresztą bezpośrednio treść wyroku, w której TSUE odwołuje się do stanowiska Grupy roboczej art. 29, wyrażonego w pkt 26 „Wytycznych w sprawie przejrzystości na podstawie rozporządzenia 2016/679” z dnia 29 listopada 2017 r. (w brzmieniu zmienionym w dniu 11 kwietnia 2018 r.), zgodnie z którym art. 13 RODO ma zastosowanie do monitoringu wizyjnego.
O czym powinni pamiętać administratorzy rejestrujący dane osobowe przy pomocy kamer w kontekście wyroku TSUE? Po pierwsze, jeżeli rejestrowany obraz może obejmować dane osobowe konieczne jest spełnienie obowiązku informacyjnego z art. 13 RODO, co oznacza konieczność podania wszystkich wymienionych w tym przepisie informacji, w tym także informacji o ewentualnych konsekwencjach niepodania danych. Po drugie obowiązek ten należy zrealizować już w momencie zbierania danych, a co za tym idzie w przypadku stosowania monitoringu wizyjnego, informacje wskazane w art. 13 RODO powinny być dostępne w całym okresie jego funkcjonowania. Po trzecie, miejsca znajdujące się w zasięgu kamer (monitoringu) powinny być oznaczone, a stosownie monitoringu ukrytego jest co do zasady zabronione. Po czwarte możliwe jest stosowanie podejścia warstwowego, pozwalającego na podanie najważniejszych informacji z art. 13 RODO na oznaczeniach ostrzegających o stosowaniu monitoringu oraz na podanie pozostałych danych poprzez udostępnienie pełnej informacji w łatwo dostępnym miejscu, w tym np. na stronie internetowej administratora. Zgodnie z „Wytycznymi w sprawie przejrzystości na podstawie rozporządzenia 2016/679” Grupy Roboczej art. 29 do informacji, które powinny być udostępniane w „pierwszej warstwie” należą przede wszystkim informacje na temat tożsamości administratora, celów przetwarzania oraz praw osoby, której dane dotyczą. Ze względów praktycznych warto też umieścić w tej warstwie dane kontaktowe administratora, informacje o okresie przechowywania nagrań oraz o miejscu, w którym dostępna jest pełna informacja o przetwarzaniu danych osobowych.
Kancelaria Wyrzykowscy
Niniejszy artykuł ma charakter wyłącznie informacyjny i nie stanowi porady prawnej, podatkowej ani jakiejkolwiek innej formy doradztwa. Wszelkie przedstawione w nim treści wyrażają osobiste poglądy autora oraz jego wiedzę na temat omawianych zagadnień. Autor ani wydawca nie ponoszą odpowiedzialności za ewentualne skutki wynikające z zastosowania się do informacji zawartych w artykule bez konsultacji z odpowiednim specjalistą.
Zadaj pytanie do artykułu