La Sentencia del Tribunal de Justicia, Sala Primera, de 18 de diciembre de 2025, Asunto C-422/24: Storstockholms Lokaltrafik (Ponente: T. von Danwitz) declara que en caso de utilización de una cámara corporal durante los controles de billetes, debe facilitarse inmediatamente cierta información al pasajero afectado. La información más importante puede indicarse en una señal de advertencia, mientras que la información restante puede proporcionarse en un lugar fácilmente accesible.
Antecedesntes
Una empresa de transporte público en Estocolmo (Suecia) equipó a sus revisores con cámaras corporales para grabar a los pasajeros durante los controles de billetes. La Autoridad de Protección de la Privacidad sueca impuso una multa a esta empresa, imputándole la infracción de varias disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Consideró, entre otras cosas, que la utilización de cámaras corporales permitía obtener datos personales directamente de las personas objeto de las grabaciones, que no fueron suficientemente informadas al respecto.
La empresa niega el incumplimiento de la obligación de información. Afirmando que realizó una obtención indirecta de datos, un modo de recogida de datos que determina de forma diferente el momento y el alcance de dicha obligación y que, a su entender, supone que la multa no está justificada. El órgano jurisdiccional sueco que conoce de este litigio solicitó al Tribunal de Justicia que interprete el RGPD.
Apreciaciones del Tribunal de Justicia
Habida cuenta de que los datos recogidos mediante cámaras corporales se obtienen directamente del interesado, este debe recibir cierta información de forma inmediata. Considera el Tribunal de Justicia que la calificación de una obtención de datos como «directa» no exige que el interesado facilite los datos conscientemente ni requiere ninguna acción particular por su parte. Por lo tanto, se considera que los datos derivados de la observación de la persona de la que proceden se han recogido directamente de dicha persona.
El segundo supuesto, el relativo a la obtención indirecta de datos, se aplica cuando el responsable del tratamiento no mantiene un contacto directo con el interesado y obtiene los datos a partir de otra fuente.
En caso de obtención de datos directamente del interesado, la obligación de información puede cumplirse en el marco de un enfoque a varios niveles. La información más importante puede indicarse en una señal de advertencia. La información obligatoria restante puede proporcionarse al interesado de manera adecuada y completa en un lugar fácilmente accesible.
De conformidad con el Tribunal de Justicia
- (…) el concepto de datos «obtenidos» del interesado, en el sentido del art. 13, ap. 1, del RGPD, no exige ninguna acción específica por parte de este, sino únicamente por parte del responsable del tratamiento, de manera que el grado de actividad del interesado es irrelevante para delimitar el ámbito de aplicación de esta disposición en relación con el del art. 14 de dicho Reglamento.
- Esta consideración también se pone de relieve en las Directrices sobre la transparencia, mencionadas en el ap. 17 de la presente sentencia, de las que se desprende que el art. 13 del RGPD se aplica cuando el interesado facilita conscientemente datos personales al responsable del tratamiento o cuando este último obtiene los datos del interesado mediante observación, entre otros, a través de cámaras.
- Habida cuenta del tenor del art. 14, ap. 2, letra f), del RGPD, entendido a la luz del considerando 61 de dicho Reglamento, se ha de considerar que únicamente la fuente de los datos personales obtenidos constituye el criterio pertinente a los efectos de la delimitación de los ámbitos de aplicación respectivos de los arts. 13 y 14 del RGPD. En efecto, según lo dispuesto en dicho art. 14, ap. 2, letra f), cuando los datos no se hayan obtenido del interesado, el responsable del tratamiento debe informarle de la fuente de la que proceden los datos personales.
- De lo anterior resulta que la interpretación literal de los arts. 13 y 14 del RGPD, entendidos a la luz del considerando 61 de este Reglamento, inclina la balanza en favor de la aplicación del mencionado art. 13 a la obtención de datos personales mediante una cámara corporal, ya que, en este supuesto, dichos datos no se obtienen de una fuente distinta del interesado, sino que se obtienen directamente de este último.
- En segundo lugar, tal interpretación se ve corroborada por el contexto en el que se inscriben estas disposiciones.
- A este respecto, del art. 5 del RGPD se desprende que un tratamiento de datos personales debe cumplir, en particular, exigencias concretas en materia de transparencia respecto del interesado afectado por tal tratamiento [sentencia de 11 de julio de 2024, Meta Platforms Ireland (Acción de representación), C‑757/22, , ap. 53].
- Como ha señalado la Comisión, en esencia, en sus observaciones escritas, al exigir la comunicación al interesado de la información a la que se refiere en el momento en que esta se obtenga, el art. 13 del RGPD constituye una expresión específica del derecho de esta persona a ser informada. En cambio, el art. 14 de este Reglamento, por su parte, se adoptó para responder a las situaciones en las que el responsable del tratamiento no mantiene un contacto directo con el interesado, sino que obtiene los datos personales a partir de otra fuente, de manera que la comunicación de información a la que se refiere esta disposición en el momento en que se obtenga tal información, en la práctica, resulta difícil o incluso imposible. El carácter indirecto de dicha obtención justifica, por tanto, que esta última disposición prevea la posibilidad de aplazar el cumplimiento de la obligación de información que recae en dicho responsable.
- En tercer lugar, procede interpretar los arts. 13 y 14 del RGPD a la luz del objetivo perseguido por dicho Reglamento, que consiste, en particular, en garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas, sobre todo de su derecho a la protección de los datos personales, consagrado en el art. 16 TFUE y garantizado como derecho fundamental en el art. 8 de la Carta de los Derechos Fundamentales de la Unión Europea, que completa el derecho a la vida privada garantizado en el art. 7 de esta (sentencia de 27 de febrero de 2025, Dun & Bradstreet Austria y otros, C‑203/22, EU:C:2025:117, ap. 51 y jurisprudencia citada).
- Pues bien, si se admitiera que el art. 14 del RGPD es aplicable en el supuesto de la obtención de datos personales mediante una cámara corporal, el interesado no recibiría ninguna información en la fase de dicha obtención, a pesar de que es la fuente de dichos datos, lo que permitiría al responsable del tratamiento no facilitar información inmediatamente a dicho interesado. Por consiguiente, con esta interpretación, existiría el riesgo de que el interesado no tuviera conocimiento de la obtención de datos personales y de que se produjeran prácticas de vigilancia encubierta. Tal consecuencia sería incompatible con el objetivo, mencionado en el ap. anterior, de garantizar un nivel elevado de protección de los derechos y libertades fundamentales de las personas físicas.
- Dicho esto, es importante señalar que este objetivo no se opone a que, como contemplan las Directrices 3/2019 del Comité Europeo de Protección de Datos (CEPD) sobre el tratamiento de datos personales mediante dispositivos de vídeo, adoptadas el 29 de enero de 2020, se cumplan las obligaciones de información con arreglo al art. 13 del RGPD en el marco de un enfoque a varios niveles. Según estas Directrices, la información más importante que debe recibir el interesado puede indicarse, en un primer nivel, en una señal de advertencia, y la restante información obligatoria puede facilitarse al interesado, en un segundo nivel, de manera adecuada y completa, en un lugar fácilmente accesible.
- Por último, debe precisarse asimismo, en respuesta a la duda expresada por el Kammarrätten i Stockholm (Tribunal de Apelación de lo Contencioso‑Administrativo de Estocolmo) sobre el alcance del ap. 34 de la sentencia de 11 de diciembre de 2014, Ryneš (C‑212/13, EU:C:2014:2428), mencionada en el ap. 13 de la presente sentencia, que en dicho ap. 34 el Tribunal de Justicia no se pronunció sobre el ámbito de aplicación del art. 11 de la Directiva 95/46, el cual se corresponde con el art. 14 del RGPD, en relación con el art. 10 de esta Directiva, el cual se corresponde con el art. 13 de este Reglamento, sino que se limitó a ilustrar que, debido a las diferentes limitaciones y excepciones que establece la mencionada Directiva, su aplicación permite tener en cuenta intereses legítimos del responsable del tratamiento.
- Por lo tanto, no cabe inferir del ap. 34 de dicha sentencia que el Tribunal de Justicia ya se haya pronunciado sobre la distinción entre el ámbito de aplicación del art. 13 del RGPD, por una parte, y el del art. 14 de este Reglamento, por otra.
- Habida cuenta de las consideraciones anteriores, procede responder a la cuestión prejudicial planteada que los arts. 13 y 14 del RGPD deben interpretarse en el sentido de que, en una situación en la que se obtienen datos personales mediante las cámaras corporales que llevan los revisores en los transportes públicos, la información a los interesados se rige por el art. 13 del RGPD y no por su art. 14.
