Quand une donnée est-elle recueillie « auprès de la personne concernée » ? Quand s’agit-il au contraire d’une collecte indirecte ?

Publié le 22/01/2026 par Etienne Wery 15 vues

La distinction entre collecte « directe » et « indirecte » des données personnelles détermine les obligations d’information prévues par le RGPD. Dans un arrêt récent, la Cour de justice de l’Union européenne rappelle que tout dépend de la « source » des données, et que c’est le comportement du responsable de traitement qui importe, et non…

La distinction entre collecte « directe » et « indirecte » des données personnelles détermine les obligations d’information prévues par le RGPD. Dans un arrêt récent, la Cour de justice de l’Union européenne rappelle que tout dépend de la « source » des données, et que c’est le comportement du responsable de traitement qui importe, et non celui de la personne filmée. Elle juge qu’en cas de captation par caméra-piéton, l’article 13 s’applique.

Articles 13 et 14 du RGPD : deux régimes très différents

Le RGPD distingue deux situations.

• Article 13 : données collectées « auprès de la personne concernée ». Dans ce cas, le responsable de traitement doit fournir, « au moment où les données en question sont obtenues », une série d’informations essentielles : qui traite les données, pourquoi, sur quelle base juridique, pendant combien de temps, quels sont les droits de la personne, etc.
• Article 14 : la collecte indirecte. L’article 14 vise une autre hypothèse : celle où le responsable du traitement obtient les données auprès d’une autre source que la personne concernée (registre, partenaire, base achetée, administration…). La Cour explique que « L’article 14 de ce règlement a, quant à lui, été adopté pour répondre aux situations dans lesquelles le responsable du traitement n’est pas en contact direct avec la personne concernée, mais collecte les données à caractère personnel à partir d’une autre source, de sorte que la communication des informations (…) est, en pratique, rendue difficile, voire impossible », et c’est « Le caractère indirect d’une telle collecte [qui] justifie ainsi que cette dernière disposition prévoit la possibilité de différer la réalisation de l’obligation d’information. »

Les faits : des contrôleurs de billets de transport équipés de caméras

Une entreprise de transport public suédoise avait équipé ses contrôleurs de caméras-piétons afin de filmer les passagers lors des contrôles de billets.

L’autorité suédoise de protection des données a estimé que cette pratique violait le RGPD, notamment parce que les passagers n’étaient pas suffisamment informés du traitement de leurs données personnelles, et a infligé une amende à l’entreprise.

Celle-ci contestait cette analyse, en soutenant que les données n’étaient pas collectées « directement » auprès des personnes filmées, mais « indirectement », ce qui aurait allégé ses obligations d’information.

La Cour de justice a été saisie pour trancher cette question.

L’arrêt de la cour

La Cour rappelle d’abord que la notion de collecte « auprès de la personne concernée » ne dépend pas du comportement de cette personne, mais de l’action du responsable du traitement : « La notion de données “collectées” auprès de la personne concernée au sens de l’article 13, paragraphe 1, du RGPD exige une action spécifique non pas de la part de cette dernière, mais uniquement de la part du responsable du traitement, si bien que le degré d’activité de la personne concernée est indifférent pour délimiter le champ d’application de cette disposition par rapport à celui de l’article 14 de ce règlement. »

C’est donc la « source » de la donnée qui est le pivot déterminant entre les articles 13 et 14.

Pour la Cour, il en découle logiquement que dans une situation dans laquelle des données à caractère personnel sont collectées au moyen de caméras-piétons portées par des contrôleurs dans les transports publics, l’information des personnes concernées est régie par l’article 13 de ce règlement et non par l’article 14 de celui-ci.

La Cour convoque à l’appui de son raisonnement le principe de transparence.

Si c’était l’article 14 qui s’appliquait aux caméras‑piétons, « La personne concernée ne recevrait aucune information au stade de cette collecte, alors même qu’elle se trouve être la source de ces données » et cela permettrait « au responsable du traitement de ne pas fournir immédiatement d’informations à ladite personne. »

Or, « Une telle interprétation comporterait le risque de faire échapper la collecte des données à caractère personnel à la connaissance de la personne concernée et de donner lieu à des pratiques de surveillance cachées » et « Une telle conséquence serait incompatible avec l’objectif (…) de garantir un niveau élevé de protection des libertés et des droits fondamentaux des personnes physiques. »

Une application souple : l’approche « à deux niveaux »

La Cour précise toutefois que l’obligation d’information immédiate ne doit pas être comprise de manière rigide : « Les obligations d’information au titre de l’article 13 du RGPD [peuvent] être mises en œuvre dans le cadre d’une approche à plusieurs niveaux. »

Concrètement, « Les informations les plus importantes (…) peuvent être indiquées, dans le cadre d’un premier niveau, sur un panneau d’avertissement, et les autres informations obligatoires peuvent être fournies (…) de manière appropriée et complète, dans un lieu facilement accessible. »

La précision vaut son pesant d’or par rapport à d’autres problématiques qui, sans être identiques, posent des questions néanmoins proches, par exemple en matière de cookies. Certaines autorités veulent absolument que toutes les options soient présentées au premier niveau, avec une parfaite identité (caractère, couleur, etc.) sous peine de considérer que le consentement n’est pas libre, et cet attendu pourrait ouvrir une piste de réflexion intéressante. Si l’approche à deux niveaux est possible pour l’information, ne peut-on la transposer au consentement sans vicier celui-ci ?

La précision est en tout cas utile pour les situations autres que la caméra-piéton dans lesquelles il n’y pas de contact humain entre le responsable du traitement et la personne filmée (vidéosurveillance dans les magasins, transports, etc.).