Vidéosurveillance : 100 000 euros à Securitas Direct pour un numéro payant sur ses panneaux

L'EDPB a publié le 22 septembre 2026, dans son registre d'actualités nationales, le résumé d'une décision espagnole de 2023 : l'AEPD a infligé 100 000 euros d'amende à Securitas Direct España pour la mention portée sur ses panneaux de vidéosurveillance. Ces panneaux renvoyaient les personnes filmées à un numéro de téléphone payant, un 902, pour exercer leurs droits d'accès et d'opposition. Le manquement retenu n'est pas le coût de l'appel : c'est le fait d'avoir désigné ce canal-là comme voie d'exercice des droits.

Ce que l'AEPD reproche à Securitas Direct

La procédure PS/00426/2021 part d'une réclamation de l'association de consommateurs FACUA, déposée le 10 juin 2021. En cause, une plaque installée chez les clients équipés de caméras, qui indiquait le numéro 902 366 366, l'adresse du site, puis : « images et sons enregistrés, droit d'accès et d'opposition au téléphone indiqué » (traduit de l'espagnol). Le numéro 902 n'est pas gratuit. L'AEPD relève que ce modèle est installé depuis 2011, par une entreprise active dans toute l'Espagne.

La décision retient une infraction à l'article 12 du RGPD, qualifiée au titre de l'article 83, paragraphe 5, point b), et prononce une amende administrative de 100 000 euros. Elle ordonne aussi le remplacement des panneaux concernés dans les douze mois suivant le caractère exécutoire de la décision. À noter : la fiche de l'EDPB date la décision définitive du 1er février 2023, alors que la résolution répond à des observations reçues le 14 février 2023. La date du registre est donc à manier avec précaution.

Pourquoi ce n'est pas une affaire de gratuité

C'est le point que les résumés aplatissent, et c'est celui qui intéresse un DPO. L'AEPD a expressément écarté le grief tiré de l'article 12, paragraphe 5, du RGPD, qui impose que les actions liées aux articles 15 à 22 soient accomplies à titre gratuit : le surcoût d'un 902 pour l'appelant ne constitue pas une rémunération au profit du responsable de traitement. Le droit espagnol de la numérotation, cité dans la décision, range d'ailleurs les 902 parmi les numéros « non gratuits à prix ordinaire », et non parmi les numéros surtaxés.

Le manquement se situe ailleurs : sur l'obligation de faciliter l'exercice des droits, posée au paragraphe 2 de l'article 12 du RGPD. L'autorité écrit que la pertinence antijuridique du comportement « ne réside pas dans le fait que le panneau comporte un numéro 902, mais dans le fait qu'il renvoie spécifiquement à ce numéro pour l'exercice des droits d'accès et d'opposition » (traduit de l'espagnol). Elle s'appuie sur le considérant 59 du RGPD et sur les lignes directrices transparence, selon lesquelles la première couche d'information est le mode principal de relation avec la personne concernée.

Deuxième enseignement, plus inconfortable : l'existence d'autres canaux gratuits n'a pas purgé le manquement. Securitas Direct proposait bien, dans sa politique de confidentialité, d'autres moyens d'exercer les droits. L'AEPD répond que cela n'élimine pas « un fait objectif et incontestable », à savoir que le panneau, lui, désigne le 902, et elle en tire une règle transposable : l'exigence d'accessibilité vaut pour tous les moyens offerts, pas pour le meilleur d'entre eux. C'est une lecture exigeante de ce que veut dire faciliter l'exercice des droits.

Trois circonstances aggravantes sont retenues, dont la négligence. Sur ce point, l'AEPD relève que la publicité de Securitas Direct affichait un numéro 900, gratuit, pour être contactée par de futurs clients, quand ses panneaux renvoient à un 902 pour l'exercice des droits ; elle précise toutefois qu'elle n'en déduit pas une faute intentionnelle. L'entrave aux droits reste un motif de sanction récurrent en Europe, comme la sanction prononcée contre Vodafone-Panafon en Grèce.

Ce que ça change pour les organisations

• Recenser les supports de première couche d'information (panneaux de vidéosurveillance, affiches d'accueil, bornes) et vérifier, pour chacun, quel canal d'exercice des droits il désigne.
• Retirer tout numéro payant comme voie désignée pour l'exercice des droits, même si des canaux gratuits existent par ailleurs.
• Vérifier la cohérence entre canaux commerciaux et canaux de conformité : un numéro gratuit pour vendre et un numéro payant pour exercer son droit d'accès est précisément ce qui a fondé l'aggravation ici.
• Traiter le stock de supports physiques comme un chantier : douze mois ont été accordés ici, ce qui suppose un inventaire des panneaux déjà installés, souvent chez des tiers.
• Relire les mentions d'information des dispositifs de vidéosurveillance avec cette grille : la question n'est pas le coût de l'appel, mais le canal désigné.

Ce que Leto en pense

La décision a trois ans et vient seulement d'entrer dans le registre européen ; sa portée, elle, est intacte. Elle dit une chose simple : la conformité des droits ne se joue pas uniquement dans la politique de confidentialité, elle se joue sur le support que la personne a sous les yeux au moment où elle découvre le traitement. C'est le type d'écart qu'aucun registre des traitements ne fait remonter, parce qu'il vit sur un support posé il y a quinze ans. Cartographier ces supports est un exercice court, et l'un des points que nous passons en revue en démonstration.

Sources

• EDPB, « The Spanish DPA fined Securitas Direct 100 000 EUR for making the exercise of data subject rights more difficult by directing individuals to a chargeable telephone number », 22 septembre 2026
• AEPD, résolution de procédure de sanction PS/00426/2021, SECURITAS DIRECT ESPAÑA, S.A. (PDF, espagnol)