Kroppsburna kameror används allt oftare till exempel av väktare, ordningsvakter och biljetkontrollanter, vilket regelbundet innebär en behandling av personuppgifter i dataskyddsförordningens (GDPR) mening. Detta aktualiserar frågan vilka informationskrav som gäller enligt GDPR?
Frågan togs upp i EU-domstolens dom i målet C‑422/24 från den 18 december 2025. Målet handlade om SL, Region Stockholms bolag för kollektivtrafik. SL hade utrustat sina biljettkontrollanter med kroppsburna kameror, vilka användes för att, i samband med biljettkontroller, filma de resenärer som saknade giltig biljett och som fick en tilläggsavgift utställd. Syftet med att använda kamerorna var att förebygga och dokumentera hot och våld som drabbade kontrollanterna samt att säkerställa identiteten på de resenärer som skulle betala tilläggsavgift.
Som följd av en tillsyn avseende SL:s användning av kamerorna, utfärdade Integritetsskyddsmyndigheten (IMY) en sanktionsavgift mot SL avseende bland annat bristande information till de registrerade om behandling av personuppgifter i samband med kamerorna. Sanktionsavgiften överklagades genom flera instanser till Högsta Förvaltningsdomstolen som ställde flera tolkningsfrågor till EU-domstolen.
Den centrala frågan var om SL måste informera de registrerade enligt artikel 13 GDPR eller artikel 14 GDPR. Artikel 13 GDPR gäller vid insamling av personuppgifter från den registrerade medan artikel 14 GDPR gäller när uppgifterna inte har erhållits från den registrerade. En annan väsentlig skillnad mellan bestämmelserna är vid vilken tidpunkt de registrerade ska informeras. Enligt artikel 13 GDPR ska registrerade informeras när uppgifterna erhålls medan enligt artikel 14 GDPR endast kräver att informationen tillhandahålls inom en rimlig period efter det att personuppgifterna har erhållits, dock senast inom en månad.
EU-domstolen konstaterade att begreppet personuppgifter som “samlas in” från den registrerade i artikel 13.1 GDPR inte kräver att den registrerade vidtar någon specifik åtgärd, utan endast att den personuppgiftsansvarige vidtar en sådan åtgärd. Hur aktiv den registrerade är saknar således betydelse för avgränsningen av bestämmelsens tillämpningsområde i förhållande till tillämpningsområdet för artikel 14 GDPR.
Enligt EU-domstolen utgör källan till de insamlade personuppgifterna det enda relevanta kriteriet för att avgränsa tillämpningsområdena för artikel 13 GDPR respektive artikel 14 GDPR. Enligt EU-domstolen innebär insamlandet av personuppgifter via en kroppsburen kamera att uppgifterna erhålls direkt från den registrerade, och inte från någon annan källa. Detta talar enligt EU-domstolen för att artikel 13 är tillämplig i detta scenario.
Vidare förde EU-domstolen ett längre resonemang avseende systematiken bakom och målen med bestämmelserna. EU-domstolen konstaterade bland annat om det godtogs att artikel 14 GDPR är tillämplig vid insamling av personuppgifter via en kroppsburen kamera, skulle den registrerade inte erhålla någon information i samband med insamlingen. Detta trots att det är den registrerade är källan till uppgifterna, och det skulle vara möjligt för den personuppgiftsansvarige att inte omedelbart lämna information till den registrerade. En sådan tolkning skulle följaktligen medföra en risk för att insamlingen av personuppgifter sker utan den registrerades kännedom och för att dolda övervakningsmetoder används. En sådan konsekvens skulle vara oförenlig med GDPR:s syfte, att säkerställa en hög skyddsnivå för fysiska personers grundläggande fri- och rättigheter.
Vidare påminner EU-domstolen om att fullgöra informationsskyldigheterna enligt artikel 13 GDPR genom att använda en skiktad metod, i enlighet med EDPB:s riktlinjer 3/2019. Enligt dessa riktlinjer får den viktigaste informationen till den registrerade, i ett första skikt, anges på en varningsskylt, och övrig obligatorisk information får, i ett andra skikt, lämnas till den registrerade på ett lämpligt och fullständigt sätt som innebär att informationen görs åtkomlig på en lättillgänglig plats.
Slutligen slår EU-domstolen fast följande. I en situation där personuppgifter inhämtas via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med, så är det artikel 13 GDPR som reglerar tillhandahållandet av information till registrerade och inte artikel 14 GDPR.
EU-domstolens slutsats gäller inte bara för det specifika scenariot som är föremål för provning i målet utan även för andra situationer som involverar kroppskameror. Utgångspunkten för sådana situationer är att information måste tillhandahållas enligt reglerna i artikel 13 GDPR, vilket bland annat innebär att den registrerade måste informeras vid själva insamlingstillfället.