Förslag till avgörande av generaladvokat Medina – Mål C‑422/24 Storstockholms Lokaltrafik

I. Inledning

1. Förevarande mål rör skyldigheten för en personuppgiftsansvarig, i den mening som avses i artikel 4.7 i förordning (EU) 2016/679 (nedan kallad dataskyddsförordningen), att lämna information till en registrerad när personuppgifter samlas in med hjälp av en kroppsburen kamera som bärs av biljettkontrollanter i kollektivtrafiken. Den personuppgiftsansvariges skyldighet att lämna information till registrerade vid behandling av personuppgifter är en följd av den rätt till information som dessa personer har enligt artiklarna 12–14 i dataskyddsförordningen. Rätten till information, som är hörnstenen i öppenhetsprincipen, ”säkerställer insyn i varje behandling” inom ramen för dataskyddsförordningen.

2. EU-domstolen har mer specifikt ombetts att uttala sig om huruvida artikel 13 eller artikel 14 i dataskyddsförordningen är den korrekta rättsliga grunden när personuppgifter samlas in med hjälp av en kroppsburen kamera. Avgränsningen av tillämpningsområdet för respektive bestämmelse får betydande konsekvenser för den tidpunkt när information ska tillhandahållas och även för vilka undantag från informationsskyldigheten som kan bli tillämpliga.

II. Tillämpliga bestämmelser

3. I artikel 13 i dataskyddsförordningen, som har rubriken ”Information som ska tillhandahållas om personuppgifterna samlas in från den registrerade”, föreskrivs följande:

”1. Om personuppgifter som rör en registrerad person samlas in från den registrerade, ska den personuppgiftsansvarige, när personuppgifterna erhålls, till den registrerade lämna information om följande:

a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare.

b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall.

c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen.

d) Om behandlingen är baserad på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen.

e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall.

f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till ett tredjeland eller en internationell organisation och huruvida ett beslut av kommissionen om adekvat skyddsnivå föreligger eller saknas eller, när det gäller de överföringar som avses i artikel 46, 47 eller artikel 49.1 andra stycket, hänvisning till lämpliga eller passande skyddsåtgärder och hur en kopia av dem kan erhållas eller var dessa har gjorts tillgängliga.

2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige vid insamlingen av personuppgifterna lämna den registrerade följande ytterligare information, vilken krävs för att säkerställa rättvis och öppen behandling:

a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period.

b) Att det föreligger en rätt att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade eller att invända mot behandling samt rätten till dataportabilitet.

c) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, att det föreligger en rätt att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades.

d) Rätten att inge klagomål till en tillsynsmyndighet.

e) Huruvida tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav eller ett krav som är nödvändigt för att ingå ett avtal samt huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och de möjliga följderna av att sådana uppgifter inte lämnas.

f) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

3. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2.

4. Punkterna 1, 2 och 3 ska inte tillämpas om och i den mån den registrerade redan förfogar över informationen.”

4. I artikel 14 i dataskyddsförordningen, med rubriken ”Information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade”, föreskrivs följande: ”1. Om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med följande information: a) Identitet och kontaktuppgifter för den personuppgiftsansvarige och i tillämpliga fall för dennes företrädare. b) Kontaktuppgifter för dataskyddsombudet, i tillämpliga fall. c) Ändamålen med den behandling för vilken personuppgifterna är avsedda samt den rättsliga grunden för behandlingen. d) De kategorier av personuppgifter som behandlingen gäller. e) Mottagarna eller de kategorier av mottagare som ska ta del av personuppgifterna, i förekommande fall. f) I tillämpliga fall att den personuppgiftsansvarige avser att överföra personuppgifter till en mottagare i ett tredjeland eller en internationell organisation och huruvida ett beslut av [Europeiska] kommissionen om adekvat skyddsnivå föreligger eller saknas … 2. Utöver den information som avses i punkt 1 ska den personuppgiftsansvarige lämna den registrerade följande information, vilken krävs för att säkerställa rättvis och öppen behandling när det gäller den registrerade: a) Den period under vilken personuppgifterna kommer att lagras eller, om detta inte är möjligt, de kriterier som används för att fastställa denna period. b) Om behandlingen grundar sig på artikel 6.1 f, den personuppgiftsansvariges eller en tredje parts berättigade intressen. c) Förekomsten av rätten att av den personuppgiftsansvarige begära tillgång till och rättelse eller radering av personuppgifter eller begränsning av behandling som rör den registrerade och att invända mot behandling samt rätten till dataportabilitet. d) Om behandlingen grundar sig på artikel 6.1 a eller artikel 9.2 a, rätten att när som helst återkalla sitt samtycke, utan att detta påverkar lagligheten av behandlingen på grundval av samtycket, innan detta återkallades. e) Rätten att inge klagomål till en tillsynsmyndighet. f) Varifrån personuppgifterna kommer och i förekommande fall huruvida de har sitt ursprung i allmänt tillgängliga källor. g) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade. 3. Den personuppgiftsansvarige ska lämna den information som anges i punkterna 1 och 2 a) inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas, b) om personuppgifterna ska användas för kommunikation med den registrerade, senast vid tidpunkten för den första kommunikationen med den registrerade, eller c) om ett utlämnande till en annan mottagare förutses, senast när personuppgifterna lämnas ut för första gången. 4. Om den personuppgiftsansvarige avser att ytterligare behandla personuppgifterna för ett annat syfte än det för vilket de insamlades, ska den personuppgiftsansvarige före denna ytterligare behandling ge den registrerade information om detta andra syfte samt ytterligare relevant information enligt punkt 2. 5. Punkterna 1–4 ska inte tillämpas i följande fall och i den mån a) den registrerade redan förfogar över informationen, b) tillhandahållandet av sådan information visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning, särskilt för behandling för arkivändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89.1, eller i den mån den skyldighet som avses i punkt 1 i den här artikeln sannolikt kommer att göra det omöjligt eller avsevärt försvårar uppfyllandet av målen med den behandlingen; i sådana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten, …”

III. Bakgrunden till det nationella målet och tolkningsfrågan

5. AB Storstockholms Lokaltrafik (nedan kallat SL) bedriver kollektivtrafik. Företaget har utrustat sina biljettkontrollanter med kroppsburna kameror. Kamerorna används för att filma de resenärer som saknar giltig biljett i samband med biljettkontroll och som får en tilläggsavgift utställd. Syftet med att använda kroppsburna kameror är att förebygga och dokumentera hot och våld mot kontrollanterna samt att säkerställa identiteten på resenärer som ska betala tilläggsavgift.

6. Inom ramen för sin tillsynsverksamhet inledde Integritetsskyddsmyndigheten (nedan kallad IMY) en granskning av huruvida SL:s behandling av personuppgifter som samlats in med hjälp av de kroppsburna kamerorna var förenlig med dataskyddsförordningen. Nämnda myndighet utfärdade i juni 2021 ett tillsynsbeslut, vilket innehöll ett antal slutsatser rörande användning av kroppsburna kameror och sådana kamerors funktion. Mer specifikt framgår det av tillsynsbeslutet att biljettkontrollanterna bär kamerorna på sig under hela arbetspasset. Kamerorna spelar kontinuerligt in film med bild och ljud. De har ett så kallat cirkulärt minne, vilket innebär att det efter en viss tid sker en automatisk rensning av allt videomaterial. Efter rensningen är det inspelade materialet raderat. Inledningsvis lagrades det inspelade materialet under två minuter men under tillsynens gång kortades den tiden till en minut. Biljettkontrollanterna kan genom att trycka på en knapp avbryta den automatiska rensningen och därigenom se till att inspelningen inte raderas. Biljettkontrollanterna är instruerade att avbryta den automatiska rensningen i alla situationer då tilläggsavgift utfärdas samt i övrigt när hot uppstår.

7. I sitt tillsynsbeslut konstaterade IMY att SL sedan december 2018 och fram till tiden för myndighetens beslut i juni 2021, genom att använda kroppsburna kameror i samband med biljettkontroll, hade behandlat personuppgifter i strid med flera bestämmelser i dataskyddsförordningen. Bland annat hade SL underlåtit att tillhandahålla tillräcklig information till de registrerade i enlighet med artikel 13 i dataskyddsförordningen. Till följd av detta ålades SL att betala en administrativ sanktionsavgift på sammanlagt 16 miljoner kronor (SEK) (cirka 1422000 euro), varav 4 miljoner kronor (cirka 355000 euro) avsåg bristande information till de registrerade.

8. SL överklagade IMY:s beslut till förvaltningsrätten i Stockholm, som ogillade talan i den del som avsåg sanktionsavgiften för bristande information.

9. SL överklagade därefter till kammarrätten i Stockholm, som undanröjde förvaltningsrättens dom och tillsynsbeslutet i den del som avsåg sanktionsavgiften för bristande information till de registrerade. Kammarrätten i Stockholm hänvisade i sina domskäl till EU-domstolens dom av den 11 december 2014, Ryneš ( C‑212/13, EU:C:2014:2428) (nedan kallad domen i målet Ryneš), som rörde användningen av ett kamerabevakningssystem som hade installerats av en privatperson i dennes bostad. Enligt kammarrätten i Stockholm följde det av den domen att den personuppgiftsansvariges skyldighet att tillhandahålla tillräcklig information vid videoövervakning hade sin grund i artikel 11 i direktiv 95/46/EG, som var den tidigare motsvarigheten till artikel 14 i dataskyddsförordningen. Enligt nämnda domstol tydde dessutom ordalydelsen i artikel 13 i dataskyddsförordningen på att det krävdes någon typ av medvetet handlande från den registrerades sida för att personuppgifterna skulle anses ha samlats in från denne. Så kunde inte anses vara fallet när personuppgifter inhämtades med hjälp av kroppsburna kameror. Kammarrätten i Stockholm fann att eftersom artikel 13 i dataskyddsförordningen inte var tillämplig saknade IMY grund för att påföra SL en sanktionsavgift för åsidosättande av den artikeln.

10. IMY har överklagat kammarrättens dom till Högsta förvaltningsdomstolen (Sverige), som är hänskjutande domstol, och yrkat att domen ska undanröjas i den del den avser sanktionsavgiften för bristande information till de registrerade.

11. IMY har inför den hänskjutande domstolen vidhållit att artikel 13 i dataskyddsförordningen är tillämplig även om den registrerade inte aktivt deltar i insamlingen av uppgifter. Eftersom kamerabevakning förutsätter att information lämnas innan personuppgiftsbehandlingen påbörjas är det den registrerade som, genom att medvetet beträda det bevakade området, möjliggör att personuppgifterna samlas in.

12. SL har vid den hänskjutande domstolen yrkat att överklagandet ska ogillas. Detta företag har hävdat att ordalydelsen i artikel 13 i dataskyddsförordningen talar för att den registrerade medvetet ska delta i insamlingen av personuppgifter. Den skiktade metoden för att tillhandahålla information som används i samband med kamerabevakning ligger dessutom mer i linje med systematiken i artikel 14 i dataskyddsförordningen än med systematiken i artikel 13 i den förordningen. I artikel 14.5 b i dataskyddsförordningen föreskrivs ett undantag från skyldigheten att tillhandahålla information om det visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning att tillhandahålla sådan information. SL har anfört att detta undantag bör gälla i situationer där kroppsburna kameror används, eftersom det skulle vara praktiskt ogenomförbart att lämna information individuellt till varje resenär innan inspelningen av data sker.

13. För att kunna avgöra om IMY hade fog för att påföra SL en sanktionsavgift för överträdelse av artikel 13 i dataskyddsförordningen önskar den hänskjutande domstolen få klarhet i huruvida det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig när personuppgifter hämtas in med hjälp av en kroppsburen kamera. Vilken bestämmelse som fastställs vara tillämplig får också konsekvenser för vilken information som ska lämnas när skyldigheten att tillhandahålla information väl inträder, och för huruvida något av undantagen från informationsskyldigheten är tillämpligt.

14. Mot denna bakgrund har Högsta förvaltningsdomstolen beslutat att vilandeförklara målet och ställa följande fråga till EU-domstolen:

”Vilken av artiklarna 13 och 14 i den allmänna dataskyddsförordningen är tillämplig när personuppgifter hämtas in via en kroppsburen kamera?”

15. Parterna i det nationella målet, den österrikiska och den danska regeringen samt kommissionen har inkommit med skriftliga yttranden.

IV. Bedömning

A. Inledande anmärkningar avseende avgränsningen av frågan

16. Den hänskjutande domstolens fråga rör de informationsrelaterade skyldigheter som SL, ett företag som bedriver kollektivtrafik, har med avseende på dess kontrollanters användning av kroppsburna kameror. De ifrågavarande kamerorna är kroppsburna kameror som spelar in bild och ljud. Huvudsyftet med användningen av dessa kameror är att förebygga och dokumentera hot och våld mot biljettkontrollanter.

17. Det framgår tydligt av begäran om förhandsavgörande att den ifrågavarande behandlingen av personuppgifter omfattas av dataskyddsförordningens tillämpningsområde. Min bedömning innefattar därför inte den behandling av personuppgifter som sker i samband med brottsbekämpande myndigheters användning av kroppsburna kameror, vilken regleras i direktiv (EU) 2016/680.

18. Det ska vidare framhållas att den hänskjutande domstolens fråga endast rör den personuppgiftsansvariges skyldighet att tillhandahålla information enligt artiklarna 13 och 14 i dataskyddsförordningen. EU-domstolen har inte ombetts ta ställning till huruvida den omtvistade behandlingen av personuppgifter är laglig enligt artikel 6 i dataskyddsförordningen.

B. Insamling av personuppgifter med hjälp av kroppsburna kameror och skyldigheten att tillhandahålla information till den registrerade: Avgränsning av tillämpningsområdet för artikel 13 respektive artikel 14 i dataskyddsförordningen

19. Den hänskjutande domstolen har i huvudsak ställt sin fråga för att få klarhet i om det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig när personuppgifter samlas in med hjälp av kroppsburna kameror som bärs av biljettkontrollanter som arbetar för ett kollektivtrafikföretag.

20. I artiklarna 13 och 14 i dataskyddsförordningen fastställs omfattningen av den personuppgiftsansvariges informationsskyldighet gentemot den registrerade. Artikel 13 är tillämplig när personuppgifter samlas in från den registrerade (direkt insamling), medan artikel 14 är tillämplig när personuppgifterna inte har erhållits från den registrerade (indirekt insamling).

21. Merparten av den information som ska tillhandahållas enligt artiklarna 13 och 14 i dataskyddsförordningen är densamma, även om det finns vissa skillnader. De viktigaste skillnaderna mellan de båda bestämmelserna gäller den tidpunkt då informationen ska tillhandahållas och de möjliga undantagen från skyldigheten att lämna information.

22. Om personuppgifter samlas in från den registrerade ska informationen enligt artikel 13.1 och 13.2 i dataskyddsförordningen lämnas ”vid insamlingen av personuppgifterna”. När personuppgifterna inte har erhållits från den registrerade ska den personuppgiftsansvarige lämna den information som anges i artikel 14.1 och 14.2 i dataskyddsförordningen inom de tidsramar som anges i artikel 14.3 a, b och c i förordningen. Huvudregeln är att informationen ska lämnas inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad, med beaktande av de särskilda omständigheter under vilka personuppgifterna behandlas (artikel 14.3 a i dataskyddsförordningen). Andra tidsramar inom vilka den personuppgiftsansvarige ska tillhandahålla informationen är tillämpliga i de situationer som avses i artikel 14.3 b och c i dataskyddsförordningen.

23. När det gäller de möjliga undantagen från skyldigheten att tillhandahålla information finns det vid direkt insamling av personuppgifter enligt artikel 13 i dataskyddsförordningen endast ett undantag, vilket är tillämpligt ”om och i den mån den registrerade redan förfogar över informationen”. Vid indirekt insamling är katalogen över möjliga undantag i artikel 14.5 i dataskyddsförordningen längre. Dessa undantag inbegriper situationer där tillhandahållandet av information ”visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning” (artikel 14.5 b i dataskyddsförordningen). I sådana fall ska den personuppgiftsansvarige vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen, inbegripet göra uppgifterna tillgängliga för allmänheten.

24. Av vad som anförts ovan framgår klart att omfattningen av den personuppgiftsansvariges skyldighet att lämna information skiljer sig åt beroende på om det är artikel 13 eller artikel 14 i dataskyddsförordningen som är tillämplig. Vilken artikel som fastställs vara tillämplig får betydelse för vilka frågor en tillsynsmyndighet måste utreda för att fastställa om informationsskyldigheten har åsidosatts.

25. Mot bakgrund av dessa allmänna iakttagelser ska det därefter prövas huruvida behandling av personuppgifter med hjälp av en kroppsburen kamera, såsom den som är i fråga i det nationella målet, omfattas av det materiella tillämpningsområdet för artikel 13 eller artikel 14 i dataskyddsförordningen. I detta syfte ska enligt fast rättspraxis inte bara lydelsen av dessa bestämmelser beaktas, utan också sammanhanget och de mål som eftersträvas med de föreskrifter som bestämmelserna ingår i.

26. Vad för det första gäller lydelsen av artiklarna 13 och 14 i dataskyddsförordningen ska det påpekas att det materiella tillämpningsområdet för artikel 14 i dataskyddsförordningen, såsom EU-domstolen klargjorde i domen i målet Másdi, är negativt definierat i förhållande till artikel 13 i förordningen. Såsom framgår av rubrikerna till dessa bestämmelser reglerar artikel 13 i dataskyddsförordningen vilken information som ska tillhandahållas om personuppgifterna samlas in från den registrerade, medan artikel 14 i förordningen reglerar vilken information som ska tillhandahållas om personuppgifterna inte har erhållits från den registrerade. Såsom kommissionen har påpekat i sitt skriftliga yttrande utesluter de båda bestämmelserna varandra. Mot bakgrund av detta motsatsförhållande omfattas alla fall där uppgifter samlas in från den registrerade av det materiella tillämpningsområdet för artikel 13 och alla fall där uppgifter inte samlas in från den registrerade av det materiella tillämpningsområdet för artikel 14.

27. Det framgår av begäran om förhandsavgörande att svårigheten att fastställa det materiella tillämpningsområdet för dessa bestämmelser ligger just i huruvida tillämpningen av artikel 13 i dataskyddsförordningen förutsätter att den registrerade är medveten om att uppgifter samlas in om honom eller henne eller om det krävs någon typ av medvetet handlande från hans eller hennes sida i samband med tillhandahållandet av personuppgifterna (till exempel genom att denne fyller i ett formulär).

28. I detta hänseende ska det framhållas att begreppet personuppgifter som ”samlas in” från den registrerade i den mening som avses i artikel 13.1 i dataskyddsförordningen inte kräver någon specifik åtgärd från den registrerades sida. ”Insamling” av personuppgifter är enligt definitionen i artikel 4.2 i dataskyddsförordningen en form av ”behandling”. Som sådan kräver insamlingen av uppgifter en åtgärd från den personuppgiftsansvariges sida. Såsom IMY har gjort gällande inför den hänskjutande domstolen är det den personuppgiftsansvarige som spelar en aktiv roll för att samla in uppgifterna, inte den registrerade.

29. Kommissionen och IMY har i sina skriftliga yttranden påpekat att såväl i den svenska som i den engelska språkversionen av artiklarna 13 och 14 i dataskyddsförordningen används två olika verb. Medan artikel 13 refererar till personuppgifter som ”samlas in” från den registrerade (”collected” på engelska), refererar artikel 14 till personuppgifter som inte har ”erhållits” från den registrerade (”obtained” på engelska). Såsom kommissionen har påpekat används emellertid samma verb i andra språkversioner och hursomhelst förefaller användningen av två olika verb, ”samla in” och ”erhålla”, inte ha någon betydelse. Detta kan även utläsas av domen i målet Másdi, i vilken EU-domstolen förklarade att personuppgifter som har ”erhållits”, i den mening som avses i artikel 14 i dataskyddsförordningen, av den personuppgiftsansvarige är alla uppgifter som ”samlats in” från en annan person än den registrerade …”.

30. Det ovan i punkt 26 nämnda motsatsförhållandet mellan artiklarna 13 och 14 i dataskyddsförordningen visar att det inte är den registrerades aktiva deltagande i insamlingen av personuppgifterna som är grunden för att avgränsa respektive bestämmelses materiella tillämpningsområde, utan uppgiftskällan. Om den registrerade är uppgiftskällan är artikel 13 i nämnda förordning tillämplig. För att denna bestämmelse ska vara tillämplig får det inte finnas någon mellanhand mellan den registrerade och den personuppgiftsansvarige. Om uppgiftskällan är någon annan än den registrerade är artikel 14 i dataskyddsförordningen tillämplig. Andra källor kan exempelvis vara personuppgiftsansvariga tredje parter, allmänt tillgängliga källor eller andra registrerade.

31. Ordalydelsen i artikel 14.2 f i dataskyddsförordningen bekräftar att det är uppgiftskällan som avgränsar de materiella tillämpningsområdena för artikel 13 respektive artikel 14 i förordningen från varandra. Enligt denna bestämmelse ska nämligen den personuppgiftsansvarige, om personuppgifterna inte har erhållits från den registrerade, lämna den registrerade information om ”varifrån personuppgifterna kommer” (min kursivering).

32. Ordalydelsen i skäl 61 i dataskyddsförordningen tyder också på att uppgiftskällan är vad som skiljer de materiella tillämpningsområdena för artikel 13 respektive artikel 14 åt. I detta skäl anges att ”[i]nformation om behandling av personuppgifter som rör den registrerade bör lämnas till honom eller henne vid den tidpunkt då personuppgifterna samlas in från den registrerade eller, om personuppgifterna erhålls direkt från en annan källa, inom en rimlig period, beroende på omständigheterna i fallet” (min kursivering). Av detta skäl framgår vidare att allmän information bör ges ”[o]m personuppgifternas ursprung inte kan meddelas den registrerade på grund av att olika källor har använts” (min kursivering).

33. Personuppgifter kan samlas in direkt från den registrerade med användning av olika metoder. Sådan insamling kräver inte att den registrerade deltar i eller tar initiativ till tillhandahållandet av personuppgifterna eller är medveten om att personuppgifterna samlas in. Detta synsätt bekräftas även av Artikel 29-arbetsgruppens riktlinjer om öppenhet, där det anges att artikel 13 är tillämplig dels när en registrerad medvetet ger personuppgifter till en personuppgiftsansvarig, dels när en personuppgiftsansvarig inhämtar personuppgifterna från en registrerad genom observation. De exempel på insamling av personuppgifter genom observation som ges däri innefattar användning av automatiserad datafångstutrustning eller datafångstprogramvara, såsom kameror.

34. Vid direkt insamling av uppgifter genom observation får den registrerade kännedom om insamlingen till följd av att artikel 13 i dataskyddsförordningen är tillämplig och den skyldighet som den bestämmelsen ålägger den personuppgiftsansvarige att tillhandahålla information till den registrerade vid tidpunkten för insamlingen av personuppgifterna. Med andra ord är den omständigheten att den registrerade är medveten om insamlingen av personuppgifterna inte en förutsättning för att artikel 13 ska vara tillämplig, utan snarare en följd av skyldigheten i artikel 13 i dataskyddsförordningen att (senast) vid den tidpunkt då personuppgifterna samlas in lämna information till den registrerade.

35. Från det ögonblick det sker en direkt insamling av personuppgifter från den registrerade ska den personuppgiftsansvarige, just på grund av denna insamling, tillhandahålla information och på så sätt göra den registrerade medveten om att personuppgifter samlas in. Såsom IMY har anfört måste det, när ett område är ställt under bevakning, finnas relevanta varningsskyltar så att den registrerade har vetskap om insamlingen av personuppgifter innan vederbörande beträder det övervakade området. Den registrerade tillåter insamlingen av personuppgifter genom att medvetet beträda det bevakade området.

36. När det gäller insamling av personuppgifter med hjälp av en kroppsburen kamera, såsom den som är aktuell i det nationella målet, är det, såsom den österrikiska regeringen har påpekat, den registrerade själv som blir källan till de insamlade uppgifterna genom sin blotta fysiska närvaro i det område som fångas upp av kameran.

37. Någon annan lösning, såsom att artikel 13 endast skulle vara tillämplig när den registrerade aktivt tillhandahåller personuppgifterna, kan inte utläsas av ordalydelsen i artiklarna 13 och 14 i dataskyddsförordningen eller i skälen till den förordningen. I motsats till vad SL och den danska regeringen har hävdat, kan någon sådan slutsats inte dras av artikel 13.2 e i dataskyddsförordningen, såsom den återspeglas i skäl 60 i samma förordning. Enligt denna bestämmelse ska den personuppgiftsansvarige, om uppgifterna samlas in från den registrerade, lämna information om ”huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och de möjliga följderna av att sådana uppgifter inte lämnas”. Såsom IMY har påpekat inför den hänskjutande domstolen ska information om en eventuell skyldighet att lämna personuppgifter endast lämnas om det krävs i ett specifikt fall. Artikel 13.2 e i dataskyddsförordningen ska inte tolkas så, att det under alla omständigheter krävs en särskild insats från den registrerades sida för att artikel 13 ska vara tillämplig.

38. På samma sätt tyder inte heller ordalydelsen i artikel 14.1 d i dataskyddsförordningen på att den registrerade måste spela en aktiv roll vid tillhandahållandet av uppgifterna eller vara medveten om insamlingen av personuppgifterna för att artikel 13 i förordningen ska vara tillämplig. Enligt artikel 14.1 d i dataskyddsförordningen ska den personuppgiftsansvarige, när personuppgifterna inte har erhållits från den registrerade, förse den registrerade med information om de kategorier av personuppgifter som behandlingen gäller. Eftersom det inte föreskrivs någon skyldighet att tillhandahålla sådan information i artikel 13 i dataskyddsförordningen, har SL och den danska regeringen dragit slutsatsen att artikel 13 i förordningen är tillämplig när den registrerade redan är medveten om insamlingen av personuppgifter. Kravet att lämna information i artikel 14.1 d i dataskyddsförordningen kan dock motiveras av att den personuppgiftsansvarige behandlar personuppgifter som erhållits från andra källor än den registrerade och inte är i kontakt med den registrerade vid tidpunkten för insamlingen av personuppgifterna.

39. Ordalydelsen i artiklarna 13 respektive 14 i dataskyddsförordningen ger därför stöd för slutsatsen att insamling av personuppgifter via en kroppsburen kamera, som en form av direkt insamling av uppgifter från den registrerade, omfattas av tillämpningsområdet för artikel 13 i nämnda förordning.

40. För det andra stöder det sammanhang i vilket dessa bestämmelser ingår en sådan tolkning. Skyldigheten att tillhandahålla information enligt artiklarna 13 och 14 i dataskyddsförordningen är konkreta uttryck för öppenhetsprincipen, som i enlighet med artikel 5.1 a i dataskyddsförordningen styr behandlingen av personuppgifter. Enligt sistnämnda bestämmelse ska personuppgifter behandlas på ett lagligt, korrekt och öppet sätt i förhållande till den registrerade. Av detta följer att en behandling av personuppgifter bland annat måste uppfylla konkreta krav på öppenhet i förhållande till den person vars personuppgifter behandlas.

41. En avgränsning av tillämpningsområdena för artiklarna 13 och 14 i dataskyddsförordningen som grundar sig på uppgiftskällan möjliggör en rättvis och öppen behandling av personuppgifter. När uppgifterna samlas in direkt från den registrerade måste den registrerade vid tidpunkten för insamlingen förses med information. När uppgifterna inte erhålls direkt från den registrerade ges den personuppgiftsansvarige en viss tidsmarginal för att lämna informationen – inom en rimlig period – just på grund av att det inte finns någon direktkontakt med den registrerade.

42. Om den registrerade, vid insamling av personuppgifter med hjälp av en kroppsburen kamera, omedelbart erhåller information om insamlingen innebär detta att personen i fråga får vetskap om insamlingen så att han eller hon kan utöva sina rättigheter som registrerad från det att insamlingen sker eller till och med innan insamlingen inleds. Genom att den registrerade så tidigt som möjligt får vetskap om insamlingen av personuppgifter kan denne, såsom den österrikiska regeringen har påpekat, till exempel bestämma sig för att avstå från att gå in i det bevakade området eller anpassa sitt beteende.

43. Vad gäller hur informationen rent praktiskt ska tillhandahållas ska det erinras om att den personuppgiftsansvarige enligt artikel 12.1 i dataskyddsförordningen ska vidta ”lämpliga åtgärder” för att tillhandahålla den erforderliga informationen ”i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk”.

44. Parterna och de berörda som inkommit med skriftliga yttranden har som allmän utgångspunkt godtagit att en ”skiktad metod” ska tillämpas vid tillhandahållande av information i samband med kamerabevakning. EDPB:s riktlinjer för kamerabevakning ger en detaljerad och praktisk översikt över denna skiktade metod. Informationen i det första skiktet avser ”det sätt på vilket den personuppgiftsansvarige primärt etablerar kontakt med den registrerade”. När det gäller kamerabevakning är detta normalt sett en varningsskylt så att den registrerade förstår att han eller hon går in i ett bevakat område. Informationen i det första skiktet måste sedan kompletteras med information i det andra skiktet, företrädesvis genom att hänvisa till en digital källa (till exempel en QR-kod eller en webbplatsadress). Informationen bör dock också finnas lättillgänglig i icke-digital form.

45. SL och den danska regeringen har gjort gällande att den skiktade metoden ligger mer i linje med systematiken i artikel 14 i dataskyddsförordningen än med systematiken i artikel 13 i förordningen. De anser att svårigheterna att lämna information vid tidpunkten för insamlingen av personuppgifter när kroppsburna kameror används bör föranleda att undantaget i artikel 14.5 b i dataskyddsförordningen blir tillämpligt. Detta undantag är tillämpligt när tillhandahållandet av informationen ”visar sig vara omöjligt eller skulle medföra en oproportionell ansträngning”. I sådana fall ska den personuppgiftsansvarige ”vidta lämpliga åtgärder för att skydda den registrerades rättigheter och friheter och berättigade intressen”.

46. Jag finner inte dessa argument övertygande. För det första följer det av artikel 12 i dataskyddsförordningen att de ”lämpliga åtgärder” som den personuppgiftsansvarige ska vidta för att tillhandahålla information avser all information som avses i både artikel 13 och artikel 14. Detta innebär att den personuppgiftsansvarige måste vidta lämpliga åtgärder för att tillhandahålla information vid såväl direkt som indirekt insamling av personuppgifter.

47. För det andra beror, såsom i huvudsak påpekats av IMY, åtgärdernas lämplighet på det sammanhang i vilket personuppgifterna samlas in och hänger bland annat samman med de registrerades intressen. Insamling av personuppgifter via en kroppsburen kamera är lika integritetskränkande som kamerabevakning och innebär betydande risker för de registrerades personliga integritet. När de personuppgiftsansvariga försöker fastställa vilka åtgärder som är lämpligast för att tillhandahålla information till de registrerade bör vederbörlig hänsyn tas till öppenhetsprincipen och den grad av intrång som de medel som används för att samla in personuppgifterna medför. Om det är allmänt vedertaget att den skiktade metoden är lämplig vid kamerabevakning, som medför betydande risker för den personliga integriteten, bör detsamma gälla för insamling av personuppgifter via kroppsburna kameror.

48. För det tredje finns det övertygande argument för att den skiktade metoden inte är ”praktiskt ogenomförbar” eller ”omöjlig” såvitt avser kroppsburna kameror. IMY, den österrikiska regeringen och kommissionen har, med hänvisning till EDPB:s riktlinjer för kamerabevakning, gjort gällande att den skiktade metoden vid kamerabevakning kan tillämpas på liknande sätt när det gäller kroppsburna kameror. Den omständigheten att dessa riktlinjer inte är bindande ändrar inte det faktum att de på ett konkret sätt visar att den skiktade metoden är möjlig och genomförbar.

49. För det tredje överensstämmer tolkningen att artikel 13 är tillämplig på personuppgifter som samlas in med hjälp av en kroppsburen kamera med de mål som eftersträvas med den lagstiftning som artiklarna 13 och 14 i dataskyddsförordningen ingår i. Syftet med dataskyddsförordningen, såsom detta framgår av artikel 1 samt i skälen 1 och 10 däri, är bland annat att säkerställa en hög nivå på skyddet av fysiska personers grundläggande fri- och rättigheter, i synnerhet den i artikel 8.1 i stadgan och artikel 16.1 FEUF stadfästa rätten till skydd för privat- och familjelivet med avseende på behandling av personuppgifter. I enlighet med detta syfte ska all behandling av personuppgifter, bland annat, vara förenlig med de principer för behandling av personuppgifter som anges i artikel 5 i dataskyddsförordningen, inbegripet öppenhetsprincipen.

50. Den personuppgiftsansvariges skyldighet att tillhandahålla information enligt artiklarna 13 och 14 i dataskyddsförordningen är ett uttryck för öppenhetsprincipen. Såsom jag redan har påpekat ovan skiljer sig den tidpunkt då informationsskyldigheten inträder åt, beroende på vilken av dessa bestämmelser som är tillämplig. Direkt insamling kräver att information tillhandahålls omedelbart. När insamlingen inte är direkt eftersom personuppgifterna samlas in från andra källor, kan informationen lämnas i ett senare skede. Dataskyddsförordningen tillåter olika tidsfrister för tillhandahållandet av information just för att insamlingen är indirekt.

51. Om det skulle godtas att artikel 14 i dataskyddsförordningen var tillämplig vid insamling av personuppgifter med hjälp av en kroppsburen kamera, skulle detta innebära att de registrerade inte erhöll någon information vid tidpunkten för insamlingen av personuppgifterna, trots att det är dem som är uppgiftskällan. Såsom den österrikiska regeringen och kommissionen har påpekat skulle detta kunna undergräva den ändamålsenliga verkan av artikel 13 i dataskyddsförordningen. Det skulle nämligen göra det möjligt för de personuppgiftsansvariga att avstå från att omedelbart lämna information till de registrerade, trots att uppgifterna samlats in direkt från dem. Det skapar en risk för att de registrerade inte upptäcker datafångst och för dolda övervakningsmetoder. Ett sådant kringgående av artikel 13 i dataskyddsförordningen skulle utgöra ett allvarligt åsidosättande av den registrerades rätt till information.

52. Om slutligen distinktionen mellan de materiella tillämpningsområdena för artikel 13 respektive artikel 14 i dataskyddsförordningen skulle vara beroende av huruvida den registrerade faktiskt var medveten om att hans eller hennes uppgifter samlades in vid insamlingstillfället, skulle detta sudda ut gränserna mellan de båda bestämmelserna och göra tillämpningen av dem beroende av slumpmässiga faktorer.

53. Det följer således av en bokstavlig, kontextuell och teleologisk tolkning av artiklarna 13 och 14 i dataskyddsförordningen att när det gäller insamling av personuppgifter med hjälp av en kroppsburen kamera, som är en form av direkt insamling av personuppgifter från den registrerade, så faller den personuppgiftsansvariges skyldighet att tillhandahålla information inom tillämpningsområdet för den förstnämnda bestämmelsen.

54. För fullständighetens skull kommer jag att lämna några avslutande anmärkningar om huruvida domen i målet Ryneš är av relevans för förevarande mål. I den domen tolkade EU-domstolen det undantag från tillämpningen av direktiv 95/46 för behandling av personuppgifter av en fysisk person som ett led i verksamhet av rent ”privat natur eller som har samband med hans hushåll” som angavs i artikel 3.2 andra strecksatsen i detta direktiv. EU-domstolen fann i huvudsak att användningen av ett kamerabevakningssystem som en fysisk person hade installerat i sin bostad för att skydda sin egendom, hälsa och liv, men som även bevakade ett område dit allmänheten hade tillträde, inte kunde anses utgöra verksamhet av rent ”privat natur eller som har samband med hans hushåll”, i den mening som avsågs i denna bestämmelse. En sådan behandling kunde därför inte undgå att omfattas av tillämpningsområdet för direktiv 95/46.

55. I punkt 34 i den domen slog EU-domstolen fast att ”[t]illämpningen av bestämmelserna i detta direktiv medger samtidigt, i förekommande fall, att … [den personuppgiftsansvariges] berättigade intressen … [kan beaktas] i enlighet med [artikel 7 f, artikel 11.2 och artikel 13.1 d och g] …”.

56. Hänvisningen till artikel 11.2 i direktiv 95/46 i denna specifika punkt utgör inte en tolkning från EU-domstolens sida av den korrekta rättsliga grunden för den personuppgiftsansvariges skyldighet att tillhandahålla information vid kamerabevakning. Den fråga som togs upp i den domen skilde sig helt från den som är aktuell i förevarande mål, eftersom den gällde tillämpningen av det så kallade hushållsundantaget och inte skyldigheten att tillhandahålla information. I den punkten erinrade EU-domstolen endast om att det var möjligt att beakta den personuppgiftsansvariges berättigade intressen mot bakgrund av de begränsningar och undantag som angavs i direktiv 95/46. Jag delar kommissionens uppfattning att det framgår av begäran om förhandsavgörande i målet Ryneš att den nationella tillsynsmyndigheten inom ramen för det nationella förfarandet hade framfört åsikten att det förelåg ett åsidosättande av den nationella lagstiftning som införlivade artikel 11 i direktiv 95/46.

57. Hursomhelst motsvarar tidsramen för att tillhandahålla information enligt artikel 14 i dataskyddsförordningen inte den tidsram som föreskrevs i artikel 11 i direktiv 95/46. Unionslagstiftaren har dessutom, genom att i skäl 61 i dataskyddsförordningen hänvisa till uppgiftskällan, klargjort skillnaden mellan de respektive tillämpningsområdena för artiklarna 13 och 14.

58. Av dessa skäl anser jag att domen i det målet Ryneš inte är relevant i förevarande mål och att den domen inte kan föranleda en slutsats som skiljer sig från den som föreslås i förevarande förslag till avgörande.

59. Mot bakgrund av vad som anförts ovan anser jag att artiklarna 13 och 14 i dataskyddsförordningen ska tolkas så, att när personuppgifter samlas in med hjälp av kroppsburna kameror som bärs av biljettkontrollanter som arbetar för ett kollektivtrafikföretag är artikel 13 i dataskyddsförordningen tillämplig, medan artikel 14 i förordningen inte är tillämplig.

V. Förslag till avgörande

60. Mot bakgrund av vad som anförts ovan föreslår jag att EU-domstolen ska besvara den tolkningsfråga som har ställts av Högsta förvaltningsdomstolen (Sverige) på följande sätt: Artiklarna 13 och 14 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning), ska tolkas så, att när personuppgifter samlas in med hjälp av kroppskameror som bärs av biljettkontrollanter som arbetar för ett kollektivtrafikföretag är artikel 13 i dataskyddsförordningen tillämplig, medan artikel 14 i förordningen inte är tillämplig.

1 Originalspråk: engelska.

2 Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (EUT L 119, 2016, s. 1 och rättelser i EUT L 127, 2018, s. 2 och EUT L 74, 2021, s. 35).

3 Se, för ett liknande resonemang, dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan) ( C‑757/22, EU:C:2024:598, punkt 58).

4 Vrabec, H. U., Data Subject Rights under the GDPR, Oxford University Press, Oxford, 2021, s. 64.

5 Förslag till avgörande av generaladvokat Cruz Villalón i målet Bara m.fl. ( C‑201/14, EU:C:2015:461, punkt 74).

6 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

7 Se punkt 6 i förevarande förslag till avgörande.

8 Europaparlamentets och rådets direktiv (EU) 2016/680 av den 27 april 2016 om skydd för fysiska personer med avseende på behöriga myndigheters behandling av personuppgifter för att förebygga, förhindra, utreda, avslöja eller lagföra brott eller verkställa straffrättsliga påföljder, och det fria flödet av sådana uppgifter och om upphävande av rådets rambeslut 2008/977/RIF (EUT L 119, 2016, s. 89). Beträffande skillnaden i tillämpningsområde mellan dataskyddsförordningen och direktiv 2016/680, se dom av den 21 juni 2022, Ligue des droits humains ( C‑817/19, EU:C:2022:491, punkt 67 och följande punkter).

9 Se mitt förslag till avgörande i målet Másdi ( C‑169/23, EU:C:2024:474, punkterna 23–25). Beträffande skillnaden mellan direkt och indirekt insamling av personuppgifter, se, såvitt avser direktiv 95/46, dom av den 7 november 2013, IPI ( C‑473/12, EU:C:2013:715, punkt 24).

10 Mer specifikt ska den personuppgiftsansvarige enligt artikel 13.2 e i dataskyddsförordningen lämna den registrerade information om huruvida tillhandahållandet av personuppgifter är ett lagstadgat eller avtalsenligt krav samt huruvida den registrerade är skyldig att tillhandahålla personuppgifterna och om de möjliga följderna av att sådana uppgifter inte lämnas. Enligt artikel 14.1 d i dataskyddsförordningen ska den personuppgiftsansvarige tillhandahålla information om de kategorier av personuppgifter som behandlingen gäller. Enligt artikel 14.2 f i dataskyddsförordningen ska den personuppgiftsansvarige därutöver lämna den registrerade information om varifrån personuppgifterna kommer.

11 Enligt Artikel 29-arbetsgruppen, Riktlinjer om öppenhet enligt förordning (EU) 2016/679, antagna den 29 november 2017, WP260 rev. 01, punkt 28, som godkändes av Europeiska dataskyddsstyrelsen (nedan kallad EDPB) den 25 maj 2018 (nedan kallade Artikel 29-arbetsgruppens riktlinjer om öppenhet), är den längsta tidsfristen för tillhandahållande av sådan information som avses i artikel 14 till den registrerade under alla omständigheter en månad.

12 Se, för ett liknande resonemang, dom av den 28 november 2024, Másdi ( C‑169/23, EU:C:2024:988, punkt 39).

13 Dom av den 28 november 2024, Másdi ( C‑169/23, EU:C:2024:988, punkt 48).

14 Ibidem.

15 Se, för ett liknande resonemang, dom av den 28 november 2024, Másdi ( C‑169/23, EU:C:2024:988, punkt 48).

16 Se punkterna 9, 11 och 12 i förevarande förslag till avgörande.

17 Se, Roßnagel, A., ”Kapitel I Allgemeine Bestimmungen, Artikel 4 Nr. 2 Begriffsbestimmung ’Verarbeitung’” i Simitis, S., Hornung, G. et al., Datenschutzrecht, Datenschutzgrundrechtverordnung, Bundesdatenschutzgesetz, Nomos, Baden-Baden, 2:a uppl., 2025, art. 4 nr 2, punkt 15.

18 Så är exempelvis fallet i den franska, den tyska och den grekiska språkversionen av dataskyddsförordningen.

19 Dom av den 28 november 2024, Másdi ( C‑169/23, EU:C:2024:988, punkt 47) (min kursivering).

20 Artikel 29-arbetsgruppens riktlinjer om öppenhet, punkt 26.

21 Ibidem.

22 Se EDPB, Riktlinjer 3/2019 för behandling av personuppgifter genom videoenheter, antagna den 29 januari 2020, punkt 113 (nedan kallade EDPB:s riktlinjer för kamerabevakning). Huruvida den registrerade faktiskt har förstått informationen är en annan sak som är avhängig att informationen har tillhandahållits i en ”koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk”, i enlighet med artikel 12 i dataskyddsförordningen.

23 I Artikel 29-gruppens riktlinjer om öppenhet ges exemplet att det i ett anställningsavtal kan krävas att information tillhandahålls till en nuvarande eller potentiell arbetsgivare.

24 Dom av den 11 juli 2024, Meta Platforms Ireland (Grupptalan) ( C‑757/22, EU:C:2024:598, punkt 53).

25 För närmare detaljer, se EDPB:s riktlinjer för kamerabevakning, punkterna 112–119.

26 Se, allmänt, EDPB:s riktlinjer för kamerabevakning, punkt 1 och följande punkter.

27 När det gäller det praktiska genomförandet av kraven på tillhandahållande av information vid användning av kroppsburna kameror, se Data Protection Commission (Ireland), ”Guidance on the use of body worn cameras or action cameras”, av den 10 januari 2020, s. 3, där det anges att ”[v]ad som utgör lämpliga åtgärder för att förmedla denna information till den registrerade beror på det specifika sammanhang och den specifika miljö i vilken uppgifterna samlas in och behandlas, och kan när det gäller kroppsburna kameror inbegripa synliga anslag med information, skyltar bredvid utrustningen som innehåller information eller länkar, offentlig skyltning eller annat som förklarar eller uppmärksammar de registrerade på den relevanta informationen”. Se även Datenschutzkonferenz (DSK), ”Orientierungshilfe der Datenschutzausichtsbehörden zu dem Einsatz von Bodycams durch private Sicherheitsunternehmen” (Dataskyddskonferensen (DSK), Tyskland, av den 22 februari 2019, (nedan kallad DSK Orientierungshilfe), s. 4. Det följer av dessa riktlinjer att det finns praktiskt genomförbara sätt att göra den registrerade uppmärksam på den aktuella behandlingen av personuppgifter. När den kroppsburna kameran aktiveras ska till exempel en optisk signal aktiveras (”röd lampa” (”rote Lampe”)) och de personer som bär de kroppsburna kamerorna på sig måste bära synliga tecken, såsom varningsvästar med kamerasymboler (”beschriftete Warnwesten mit Kamerasymbolen”).

28 Dom av den 3 april 2025, Ministerstvo zdravotnictví (Uppgifter om en juridisk persons företrädare) ( C‑710/23, EU:C:2025:231, punkt 29).

29 Se punkt 41 i förevarande förslag till avgörande.

30 Detta påverkar inte tillämpningen av begränsningar av den registrerades rätt att få information på de villkor som anges i artikel 23 i dataskyddsförordningen.

31 Se, för ett liknande resonemang, DSK Orientierungshilfe, citerat i fotnot 28 ovan, s. 1.

32 Kammarrätten i Stockholm grundade sitt resonemang på den domen. Även SL och den danska regeringen har i sina skriftliga yttranden hävdat att den domen är av relevans för förevarande mål.

33 Enligt artikel 11 i direktiv 95/46 var den personuppgiftsansvarige skyldig att lämna informationen till den registrerade ”vid tiden för registreringen av personuppgifter eller, om utlämnande till tredje man kan förutses, inte senare än vid den tidpunkt då uppgifterna först lämnas ut”.

34 Såsom kommissionen har påpekat i sitt skriftliga yttrande är formuleringen ”om personuppgifterna erhålls direkt från en annan källa” i skäl 61 i dataskyddsförordningen ny i förhållande till direktiv 95/46. Se punkt 32 i förevarande förslag till avgörande.