Högsta förvaltningsdomstolen

(5)HÖGSTA FÖRVALTNINGSDOMSTOLENS DOM Mål nr 870-23 meddelad i Stockholm den 25 juni 2026 KLAGANDE Integritetsskyddsmyndigheten Box 8114 104 20 Stockholm MOTPART AB Storstockholms Lokaltrafik, 556013-0683 Ombud: Advokat Jonas Forzelius och jur.kand. Gustav Tranvik TIME DANOWSKY Advokatbyrå AB Box 24089 104 50 Stockholm ÖVERKLAGAT AVGÖRANDE Kammarrätten i Stockholms dom den 26 januari 2023 i mål nr 1552-22 SAKEN Tillsyn enligt EU:s allmänna dataskyddsförordning ___________________ HÖGSTA FÖRVALTNINGSDOMSTOLENS AVGÖRANDE Dok.Id 347757 Högsta förvaltningsdomstolen upphäver kammarrättens dom i den del som avser sanktionsavgift på grund av bristande information till de registrerade och visar målet åter till kammarrätten för ny prövning av den frågan. Besöksadress Birger Jarls torg 13 Telefon 08-561 676 00 Öppettider måndag–fredag 09:00–12:00 13:00–16:00 Postadress Box 2293 103 17 Stockholm E-post hogstaforvaltningsdomstolen@dom.se Webbplats www.hogstaforvaltningsdomstolen.se 2

(5)HÖGSTA FÖRVALTNINGSDOMSTOLEN DOM Mål nr 870-23 Dok.Id 347757 BAKGRUND

1. EU:s dataskyddsförordning (2016/679) syftar till att säkra en enhetlig och hög skyddsnivå för fysiska personer vid behandling av personuppgifter, bl.a. genom att reglera vilken information som ska lämnas till den registrerade. I artikel 13 finns bestämmelser om den information som ska lämnas när personuppgifter som rör en registrerad person samlas in från den registrerade, medan informationsskyldigheten när personuppgifterna inte har erhållits från den registrerade regleras i artikel
2. Med personuppgift avses varje upplysning som avser en identifierad eller identifierbar fysisk person.
3. Integritetsskyddsmyndigheten är tillsynsmyndighet och ska i den egenskapen granska efterlevnaden av dataskyddsförordningen.
4. AB Storstockholms Lokaltrafik bedriver kollektivtrafik. Bolaget har utrustat sina biljettkontrollanter med kroppsburna kameror. Kamerorna används för att filma de resenärer som saknar giltig biljett i samband med biljettkontroll och som får en tilläggsavgift utställd. Syftet med att använda kamerorna är att förebygga och dokumentera hot och våld som drabbar kontrollanterna samt att säkerställa identiteten på resenärer som ska betala tilläggsavgift.
5. Integritetsskyddsmyndigheten fann vid en granskning inom ramen för sin tillsynsverksamhet att bolaget genom att använda kroppsburna kameror i samband med biljettkontroll hade behandlat personuppgifter i strid med flera bestämmelser i dataskyddsförordningen. Enligt myndigheten hade bolaget bl.a. i strid med artikel 13 i förordningen underlåtit att tillhandahålla tillräcklig information till de registrerade. Myndigheten beslutade att bolaget skulle betala en administrativ sanktionsavgift om totalt 16 miljoner kronor, varav 4 miljoner kronor avsåg den bristande informationen till de registrerade.
6. Bolaget överklagade beslutet till Förvaltningsrätten i Stockholm som avslog överklagandet i den del som gällde sanktionsavgift för bristande information.
7. Bolaget överklagade vidare till Kammarrätten i Stockholm som undanröjde förvaltningsrättens dom och Integritetsskyddsmyndighetens beslut i den del som avsåg sanktionsavgift för bristande information till de registrerade. Kammarrätten motiverade sitt avgörande på följande sätt.
8. EU-domstolen har i Ryneš (C-212/13, EU:C:2014:2428), som gällde kamerabevakning utförd av en privatperson, som tillämplig rätt angett den tidigare motsvarigheten till artikel 14 i dataskyddsförordningen. Ordalydelsen i artikel 13 i förordningen – samlas in från den registrerade – tyder på att det krävs någon typ av medvetet handlande från den registrerade för att personuppgifterna ska anses ha samlats in från denne. Det kan inte anses vara fallet när personuppgifter hämtas in med hjälp av kroppsburna kameror. Bestämmelsens 3

(5)HÖGSTA FÖRVALTNINGSDOMSTOLEN DOM Mål nr 870-23 ordalydelse sammantaget med EU-domstolens avgörande talar för att artikel 13 i förordningen inte är tillämplig. Integritetsskyddsmyndigheten har därmed inte haft grund för att påföra en sanktionsavgift för överträdelse av den artikeln.

1. Högsta förvaltningsdomstolen har hämtat in ett förhandsavgörande från EUdomstolen (se punkterna 14–18 nedan). YRKANDEN M.M.
2. Integritetsskyddsmyndigheten yrkar att kammarrättens dom ska undanröjas i den del som avser sanktionsavgift för bristande information till de registrerade och att målet ska visas åter till kammarrätten för ny prövning av den frågan.
3. AB Storstockholms Lokaltrafik har, efter att ha tagit del av EU-domstolens förhandsavgörande, inget att erinra mot att målet visas åter till kammarrätten. SKÄLEN FÖR AVGÖRANDET
6. Dok.Id 347757
7. Frågan i Högsta förvaltningsdomstolen Frågan är vilken av artiklarna 13 och 14 i EU:s dataskyddsförordning som reglerar skyldigheten att lämna information till den registrerade när personuppgifter hämtas in via en kroppsburen kamera. Rättslig reglering m.m. Enligt artikel 13.1 i EU:s dataskyddsförordning ska den personuppgiftsansvarige, om personuppgifter som rör en registrerad person samlas in från den registrerade, lämna viss information till den registrerade när personuppgifterna erhålls. I artikel 14.1 anges att om personuppgifterna inte har erhållits från den registrerade, ska den personuppgiftsansvarige förse den registrerade med viss information. Förhandsavgörande från EU-domstolen Högsta förvaltningsdomstolen har i begäran om förhandsavgörande från EUdomstolen frågat vilken av artiklarna 13 och 14 i EU:s dataskyddsförordning som är tillämplig när personuppgifter hämtas in via en kroppsburen kamera. EU-domstolen besvarade frågan genom dom i mål C-422/24 (EU:C:2025:980). 4

(5)HÖGSTA FÖRVALTNINGSDOMSTOLEN Mål nr 870-23

1. EU-domstolen konstaterade att begreppet personuppgifter som ”samlas in” från den registrerade, i den mening som avses i artikel 13.1, inte förutsätter att den registrerade vidtar någon specifik åtgärd, utan endast att den personuppgiftsansvarige vidtar en sådan åtgärd. Hur aktiv den registrerade är saknar således betydelse för avgränsningen av denna bestämmelses tillämpningsområde i förhållande till tillämpningsområdet för artikel
2. En bokstavstolkning av artiklarna 13 och 14 talade enligt domstolen för att det är artikel 13 som är tillämplig på insamlandet av personuppgifter via en kroppsburen kamera, eftersom uppgifterna då erhålls direkt från den registrerade och inte från någon annan källa (punkterna 33 och 36).
3. En sådan tolkning vann enligt domstolen även stöd i det sammanhang som bestämmelserna ingår i samt i de mål som eftersträvas med förordningen (punkterna 37, 40 och 41). När det gäller rättsfallet Ryneš angav domstolen att den i det fallet inte hade uttalat sig om tillämpningsområdet för de tidigare motsvarigheterna till artiklarna 13 och 14 i förordningen, utan endast hade åskådliggjort att det vid tillämpningen av bestämmelserna om dataskydd är möjligt att beakta den personuppgiftsansvariges berättigade intressen (punkt 43).
4. EU-domstolen besvarade därefter frågan med att artiklarna 13 och 14 i EU:s dataskyddsförordning ska tolkas på följande sätt.
5. I en situation där personuppgifter hämtas in via kroppsburna kameror som biljettkontrollanter i kollektivtrafiken är utrustade med, så är det artikel 13 och inte artikel 14 som reglerar tillhandahållandet av information till de registrerade.
6. Dok.Id 347757 DOM Högsta förvaltningsdomstolens bedömning Genom EU-domstolens avgörande är det klarlagt att det är artikel 13 i EU:s dataskyddsförordning som är tillämplig i den situation som är aktuell i målet. Det var därmed fel av kammarrätten att undanröja förvaltningsrättens dom och Integritetsskyddsmyndighetens beslut i den del som avser sanktionsavgift för bristande information till de registrerade på den grunden att myndigheten hade tillämpat fel artikel avseende informationsskyldigheten. 5

(5)HÖGSTA FÖRVALTNINGSDOMSTOLEN 20. DOM Mål nr 870-23 Kammarrättens dom i den del som avser sanktionsavgift på grund av bristande information till de registrerade ska därför upphävas och målet visas åter till kammarrätten för ny prövning av den frågan. _______________________ _______________________ _______________________ _______________________ _______________________ I avgörandet har deltagit justitieråden Linda Haggren, Margit Knutsson, Kristina Ståhl, Leif Gäverth och Martin Nilsson. Dok.Id 347757 Föredragande har varit justitiesekreteraren Hedvig Areskoug.