Suivez ce raisonnement : vous prenez les transports en commun et tout se passe bien. Un contrôleur de billets monte dans votre wagon pour vérifier les titres de transport des passagers. L’un d’eux refuse de coopérer et se montre agressif envers le contrôleur. Ce dernier, équipé d’une caméra corporelle, enregistre toute l’interaction, de son entrée dans le wagon à sa sortie après l’incident.
La question RGPD : cet enregistrement est-il collecté directement ou indirectement auprès des personnes concernées ? Et quel régime de transparence s’applique : l’article 13 ou 14 du RGPD ?
C’est à cette question que répond la Cour de justice de l’Union européenne dans l’affaire Storstockholms Lokaltrafik C-422/24.
L’affaire trouve son origine en Suède, chez l’exploitant du transport public local. Le litige porte sur l’utilisation de caméras portées par les contrôleurs. Celles-ci enregistrent en continu l’image et le son, mais fonctionnent avec une mémoire tampon : les enregistrements sont automatiquement effacés, sauf si le contrôleur intervient activement — en cas de conflit, de menace ou d’amende. Dans ce cas, une séquence de quelques minutes avant et après l’incident est conservée.
Dans ce blog, nous analysons l’arrêt rendu le 18 décembre 2025, ainsi que ses conséquences potentielles pour votre organisation.
Contexte RGPD
Collecte directe de données – article 13
L’article 13 du RGPD s’applique lorsque les données à caractère personnel sont obtenues directement auprès de la personne concernée.
La logique est simple : si un responsable du traitement collecte vos données personnelles, vous devez être informé au moment de cette collecte. L’article 13 impose donc que l’information soit fournie immédiatement lors de l’obtention des données.
Exemples typiques :
- remplir un formulaire (papier ou numérique),
- s’inscrire à un service,
- saisir des données dans une application ou un portail.
L’article 13 est strict sur la temporalité. Il impose une transparence immédiate, même si en pratique on recourt souvent à des notices en plusieurs niveaux (par exemple, une signalétique associée à une politique de confidentialité plus détaillée).
Collecte indirecte de données – article 14
L’article 14 s’applique lorsque les données personnelles n’ont pas été obtenues directement auprès de la personne concernée.
Cette disposition couvre les cas où le responsable du traitement reçoit les données d’une tierce partie ou d’une autre source, comme :
- un courtier en données,
- un registre public,
- un partenaire commercial,
- une entité d’un même groupe,
- des données générées indirectement, sans intervention active de la personne concernée.
Puisque fournir l’information immédiatement est souvent irréaliste dans ces situations, l’article 14 permet un délai raisonnable, en général un mois, ou au plus tard lors du premier contact avec la personne concernée ou de la première divulgation des données.
L’article 14 prévoit aussi des exceptions explicites, notamment lorsque fournir l’information s’avère impossible ou exigerait un effort disproportionné, à condition de mettre en place des garanties appropriées.
Directe ou indirecte ? Le RGPD ne laisse pas de place au doute.
La question centrale posée à la CJUE est la suivante :
Comment faut-il classer les données personnelles enregistrées par des caméras corporelles, au regard des règles de transparence du RGPD ?
- Ces données sont-elles « obtenues auprès de la personne concernée », car cette personne est présente physiquement et filmée directement ?
- Ou sont-elles « non obtenues auprès de la personne concernée », dans la mesure où elles sont générées par un dispositif technique, sans interaction active de la personne filmée ?
La réponse détermine le régime applicable :
- une transparence immédiate, au moment de l’enregistrement (article 13), ou
- un délai souple assorti d’éventuelles exceptions (article 14).
Points clés à retenir
- Tout enregistrement, qu’il soit visible ou non, est une collecte directe de données personnelles. Il relève donc de l’article 13.
- La distinction entre article 13 et 14 dépend du point de vue du responsable du traitement, pas de celui de la personne concernée.
- L’information sur l’enregistrement (potentiel) doit être donnée avant qu’il n’ait lieu.
Décision
La Cour part de la distinction structurelle du RGPD :
- l’article 13 s’applique si les données sont collectées auprès de la personne concernée,
- l’article 14 uniquement si elles ne proviennent pas de la personne concernée.
Ce critère est déterminant et exclusif : l’article 14 est défini par opposition à l’article 13.
La Cour rejette explicitement l’idée que l’article 13 impose une participation volontaire ou active de la personne concernée. Ce n’est pas le comportement de la personne qui compte, mais l’action du responsable du traitement. Les données sont toujours considérées comme « collectées auprès de la personne concernée » lorsqu’elles sont obtenues par observation directe, y compris via une caméra.
Dans le cas des caméras corporelles, les images et sons sont générés directement par les individus filmés. Il n’y a ni intermédiaire, ni base de données, ni source tierce. Il n’existe donc aucune “autre source” au sens de l’article 14(2)(f) RGPD.
La Cour remet l’article 14 à sa place : il sert dans les situations où le responsable du traitement n’est pas en contact direct avec la personne concernée et ne peut donc pas raisonnablement fournir l’information au moment de la collecte. Cela justifie la possibilité d’un report. Mais cette logique ne s’applique pas quand les données sont collectées directement, comme lors d’un contrôle filmé dans les transports.
Enfin, la Cour rappelle l’objectif fondamental de transparence du RGPD. Appliquer l’article 14 à ces enregistrements reviendrait à éviter de fournir l’information au moment même où la collecte a lieu, ce qui ouvrirait la porte à une forme de surveillance discrète, incompatible avec l’objectif du RGPD de garantir un haut niveau de protection des droits fondamentaux.
Conclusion
Avec cet arrêt, la CJUE clarifie clairement la différence entre collecte directe et indirecte de données. Ce qui compte, c’est le point de vue du responsable du traitement — pas celui de la personne filmée. C’est l’action du responsable qui détermine si les données sont collectées directement ou via une tierce source.
La logique de la Cour repose sur le principe de transparence. Autoriser l’application de l’article 14 dans un tel contexte retarderait, voire diluerait l’information au moment même où les personnes sont filmées, et créerait un risque de surveillance à leur insu. Or, cela va à l’encontre de l’objectif principal du RGPD : garantir une protection élevée des droits fondamentaux.
Pour les entreprises, le message est à la fois simple et parfois inconfortable :
la transparence ne peut pas être reportée, externalisée dans une politique de confidentialité ou noyée dans les petits caractères.
Si vos systèmes observent les gens directement, vos obligations d’information commencent au moment même de l’observation, pas plus tard, pas sur demande, et pas seulement en théorie.
