Par un arrêt rendu le 18 décembre 2025, la première chambre de la Cour de justice de l’Union européenne précise l’articulation entre les articles 13 et 14 du règlement général sur la protection des données. La question préjudicielle porte sur la base juridique de l’obligation d’information pesant sur un responsable de traitement utilisant des caméras-piétons dans les transports publics. Une société de transports équipe ses contrôleurs de dispositifs d’enregistrement vidéo et sonore pour prévenir les violences et identifier les voyageurs dépourvus de titre de transport. À la suite d’un contrôle, l’autorité nationale de protection des données inflige une sanction pécuniaire à cette société pour méconnaissance de l’article 13 du règlement européen. La Cour d’appel administrative de Stockholm annule cette décision en considérant que cette disposition n’est pas applicable à une telle modalité de vidéosurveillance. Saisie d’un pourvoi, la Cour administrative suprême de Suède interroge la juridiction de l’Union sur l’applicabilité respective des articles 13 et 14 dans cette situation. Le litige invite à déterminer si l’enregistrement visuel direct d’une personne physique constitue une collecte de données auprès de la personne concernée. La Cour de justice de l’Union européenne répond que l’information des passagers est régie par l’article 13 du règlement car les données sont obtenues directement auprès d’eux. L’analyse de cette décision impose d’étudier la primauté du critère de la source des données avant d’en mesurer les conséquences sur l’effectivité de la protection des droits fondamentaux.
I. La primauté du critère de la source des données
A. L’identification d’une collecte directe par observation
La Cour de justice fonde son raisonnement sur une distinction claire entre les champs d’application matériels des deux dispositions du règlement général sur la protection des données. Elle rappelle que l’article 13 concerne les données collectées auprès de l’intéressé tandis que l’article 14 vise les informations obtenues d’une autre source. Pour la juridiction européenne, « seule la source des données à caractère personnel collectées constitue le critère pertinent aux fins de la délimitation » de ces textes. Dans le cadre de l’utilisation d’une caméra-piéton, les images et les sons sont captés directement depuis l’individu présent physiquement devant l’objectif du contrôleur. Cette observation directe par un dispositif technique ne permet pas de considérer que les informations proviendraient d’un tiers ou d’une source distincte. Le juge de l’Union écarte ainsi toute interprétation qui lierait l’application de l’article 13 à la fourniture consciente ou volontaire de données par l’usager. La collecte par observation, même sans action positive du citoyen, demeure une obtention de données réalisée auprès de la personne concernée par le traitement. Cette interprétation littérale et contextuelle conduit la Cour à exiger une information immédiate lors de l’activation des dispositifs d’enregistrement portatifs.
B. L’indifférence du comportement de l’individu filmé
L’arrêt souligne que la notion de collecte au sens du droit européen ne dépend pas du degré de participation de la personne physique identifiée. La Cour précise que l’article 13 du règlement exige une action spécifique du seul responsable du traitement et non de celui dont les données sont traitées. Dès lors, « le degré d’activité de la personne concernée est indifférent pour délimiter le champ d’application de cette disposition » par rapport à la collecte indirecte. Cette précision juridique est essentielle pour les traitements automatisés réalisés dans l’espace public où l’individu subit souvent la captation de ses traits. La circonstance que le passager ne remette pas de documents d’identité n’empêche pas la qualification de collecte directe lors de l’enregistrement de son image. Le responsable du traitement reste soumis à une obligation de transparence active dès l’instant où il capte des informations émanant du corps du sujet. Cette solution garantit que les obligations d’information ne soient pas éludées par le simple recours à des technologies de surveillance passive ou mobile. La reconnaissance de cette collecte directe renforce ainsi les garanties offertes aux citoyens dont les données sont traitées dans le cadre de missions de contrôle.
II. L’effectivité renforcée de l’obligation d’information
A. La prévention des risques de surveillance occulte
Le choix de l’article 13 du règlement garantit aux individus une information concomitante à la collecte de leurs données personnelles par le responsable. La Cour de justice de l’Union européenne souligne que l’article 14 permet parfois de différer la communication des informations obligatoires à la personne concernée. Or, une telle application à la vidéosurveillance permettrait au responsable du traitement de ne pas fournir immédiatement les détails nécessaires sur la finalité poursuivie. La juridiction européenne estime qu’une telle interprétation « comporterait le risque de faire échapper la collecte des données à caractère personnel à la connaissance de la personne ». Le juge refuse de valider des pratiques qui pourraient aboutir à des formes de surveillance cachées au sein des services publics de transport. La transparence doit être assurée au stade même de la captation afin de permettre l’exercice effectif des droits d’accès ou d’opposition. L’arrêt valide toutefois une approche graduée où les informations essentielles figurent sur un panneau d’avertissement tandis que les détails sont accessibles ailleurs. Cette souplesse pratique n’enlève rien à l’obligation de notifier l’existence du traitement dès que le voyageur est placé sous le regard de la caméra.
B. La consécration d’un niveau élevé de protection des libertés
La solution retenue par la Cour s’inscrit dans l’objectif fondamental de garantir un niveau élevé de protection des libertés et des droits fondamentaux. Le droit à la protection des données personnelles, consacré par la Charte des droits fondamentaux, impose des exigences concrètes en matière de transparence. En imposant le régime de l’article 13, le juge s’assure que l’individu conserve la maîtrise des informations qui le touchent directement dans l’espace social. L’arrêt précise d’ailleurs que les limitations prévues par la jurisprudence antérieure ne sauraient justifier une réduction générale du champ d’application de l’obligation d’information. La sécurité juridique des responsables de traitement est préservée par l’identification claire de la base légale régissant leurs relations avec le public contrôlé. Le juge européen confirme ainsi que les évolutions technologiques ne doivent pas conduire à une érosion des standards de protection fixés par le législateur européen. L’obligation d’information immédiate devient le rempart nécessaire contre l’usage disproportionné des outils de surveillance numérique par les entités exerçant une mission de contrôle. Cette décision fixe une règle générale et abstraite dont la portée s’étend à toute forme de captation directe de données dans l’espace public.
