CJEU: Pri obveščanju posameznikov je ključen vir podatkov
Sodišče EU je odločilo, da snemanje s telesnimi kamerami pomeni neposredno zbiranje osebnih podatkov in zahteva uporabo 13. člena GDPR.
Odločitev je bila sprejeta 18. 12. 2025.
Švedsko javno prevozno podjetje AB Storstockholms Lokaltrafik, je svoje kontrolorje vozovnic opremilo s telesnimi kamerami. Kamere so med celotno izmeno neprekinjeno snemale sliko in zvok potnikov. Sistem je deloval na podlagi tako imenovanega krožnega spomina, pri katerem so se posnetki samodejno brisali po eni minuti, razen če je kontrolor ročno ustavil brisanje v primerih glob ali konfliktnih situacij. V takem primeru so se shranili tudi posnetki iz minute pred aktivacijo gumba.
Švedski organ za varstvo osebnih podatkov je izvedel inšpekcijski postopek in zavzel stališče, da upravljavec ni ustrezno izkazal zakonitega interesa za obdelavo osebnih podatkov v smislu člena 6(1)(f) GDPR, obenem pa ni ravnal skladno z načelom zakonitosti, poštenosti in preglednosti ter z načelom najmanjšega obsega podatkov iz člena 5(1)(a) in (c) GDPR. Posebej je izpostavil, da potniki kot posamezniki, na katere se nanašajo osebni podatki, niso bili jasno in pravočasno obveščeni o tem, da so snemani, kar predstavlja kršitev obveznosti obveščanja iz člena 13 GDPR.
Med ugotovljenimi kršitvami je imelo posebno težo pomanjkljivo obveščanje potnikov o snemanju s telesnimi kamerami, saj je ravno ta kršitev vodila do izreka dela upravne globe v višini približno 4 milijone SEK (okvirno 355.500 EUR) znotraj skupnega zneska 16 milijonov SEK (okvirno 1.422.000 EUR).
Upravljavec je odločbo nadzornega organa najprej izpodbijal pred Upravnim sodiščem v Stockholmu. Branil se je z argumentom, da osebni podatki niso bili pridobljeni neposredno od potnikov, saj ti pri snemanju niso aktivno sodelovali in niso zavestno posredovali svojih podatkov. Po njegovem mnenju bi se moral uporabiti člen 14 GDPR, ki ureja obveščanje v primerih posrednega pridobivanja podatkov in dopušča izjeme, kadar bi bilo individualno obveščanje nemogoče ali bi zahtevalo nesorazmeren napor.
Upravno sodišče je tožbo v tem delu zavrnilo. Upravljavec je nato vložil pritožbo na Višje upravno sodišče v Stockholmu, ki je zavzelo drugačno stališče in presodilo, da se v obravnavanem primeru uporablja člen 14 GDPR. Na tej podlagi je razveljavilo del globe v višini 4 milijone SEK (okvirno 355.500 EUR), naložene zaradi kršitve 13. člena GDPR.
Zoper takšno odločitev je nadzorni organ vložil pritožbo pri Vrhovnem upravnem sodišču in vztrajal, da je prišlo do kršitve obveznosti iz 13. člena GDPR. Vrhovno upravno sodišče je zato postopek prekinilo in Sodišču EU predložilo vprašanje za predhodno odločanje.
Vrhovno upravno sodišče je Sodišču EU zastavilo vprašanje, ali se v primeru zbiranja osebnih podatkov s telesnimi kamerami uporablja člen 13 ali člen 14 GDPR. Stranki sta zavzeli nasprotni razlagi: nadzorni organ je zagovarjal stališče, da je odločilen izvor podatkov in da se člen 14 uporablja le, kadar podatki ne izvirajo od posameznika, medtem ko je upravljavec menil, da pride člen 14 v poštev vedno, kadar posameznik pri zbiranju podatkov ne sodeluje aktivno ali zavestno.
Odločitev sodišča
Sodišče EU je v sodbi zavzelo jasno in nedvoumno stališče, da je odločilno merilo za uporabo člena 13 ali 14 GDPR izvor osebnih podatkov, ne pa stopnja aktivnosti posameznika. Kadar so osebni podatki zajeti neposredno pri posamezniku, na primer z opazovanjem ali snemanjem, gre za neposredno zbiranje podatkov, tudi če posameznik pri tem ne stori nobenega zavestnega dejanja.
Sodišče je poudarilo, da zbiranje podatkov s telesnimi kamerami pomeni, da so podatki pridobljeni neposredno od osebe, ki se znajde v vidnem in zvočnem polju kamere. Dejstvo, da posameznik ne izpolni obrazca, ne poda izjave ali se snemanja morda sploh ne zaveda, pri tem ni pravno relevantno. Zavest o snemanju ni pogoj za uporabo člena 13 GDPR, temveč je prav nasprotno posledica obveznosti obveščanja, ki jo ta člen nalaga upravljavcu.
Sodišče je dodatno opozorilo, da bi uporaba člena 14 GDPR v takih primerih vodila do nevarnega rezultata, saj bi upravljavcem omogočila, da posameznikov ob samem snemanju ne obvestijo, čeprav so ti dejanski vir podatkov. To bi povečalo tveganje prikritih oblik nadzora in bilo v nasprotju s temeljnim ciljem GDPR, to je zagotavljanje visoke ravni varstva pravic posameznikov, zlasti pravice do varstva osebnih podatkov in zasebnosti.
Posebej pomembno je tudi stališče Sodišča glede praktične izvedbe obveznosti obveščanja. Potrdilo je, da je pri videonadzoru in uporabi telesnih kamer dopusten večnivojski pristop. Ključne informacije morajo biti posamezniku na voljo že ob samem vstopu v nadzorovano območje, na primer z jasno vidnim opozorilom, dodatne podrobnosti pa so lahko dostopne na drug ustrezen in lahko dosegljiv način.
S tem je Sodišče EU potrdilo pravilnost pristopa nadzornega organa in dokončno razjasnilo, da se v primerih uporabe telesnih kamer v javnem prevozu uporablja člen 13 GDPR. Sklicevanje na člen 14 GDPR in na izjeme zaradi nesorazmernega napora v takih primerih ni dopustno.
Odločitev sodišča je dostopna tukaj.
Naslovna fotografija: Pexels
