Une signalisation de vidéoprotection obsolète et incomplète, même si elle est corrigée en cours de procédure, constitue un manquement à l'obligation de transparence de l'article 13 du RGPD.

Faits et contexte

L'Agence Espagnole de Protection des Données (AEPD) a aujourd'hui publié une décision de sanction à l'encontre de la société COFAMA XXI S.L., comprenant le prononcé d'une amende de 1 200 €, pour des manquements en lien avec l'information des personnes filmées par son système de vidéoprotection.

La procédure a été initiée suite à une plainte du 9 juillet 2024 concernant la signalisation et la gestion du système de vidéoprotection d'une station-service.

Motifs de la décision

L'autorité a retenu un manquement à l'encontre de la société :

• Obligation d'information (article 13 du RGPD) : L'enquête a établi que la société, en tant que responsable du traitement, exploitait un système de 16 caméras dans sa station-service. L'autorité a jugé que la signalisation en place était déficiente, car elle était obsolète et ne fournissait pas une information effective et à jour aux personnes concernées, comme l'exige le principe de transparence. Bien que l'entreprise ait procédé à la mise à jour de ses panneaux d'information le 24 février 2025, l'autorité a considéré que le manquement était constitué pour la période antérieure, en violation des exigences de l'article 13 du RGPD, précisées pour la vidéoprotection par l'article 22, paragraphe 4, de la loi organique espagnole sur la protection des données.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende de 1 200 € à COFAMA XXI S.L. Ce montant final résulte d'une amende initiale de 2 000 €, réduite de 40 % suite à la reconnaissance de responsabilité et au paiement volontaire par l'entreprise avant la clôture de la procédure, conformément à l'article 85 de la loi espagnole 39/2015.

Enseignements

Cette décision rappelle que :

• La signalisation d'un système de vidéoprotection doit fournir une information complète et actualisée, conformément à l'article 13 du RGPD ; un simple pictogramme ou une mention obsolète est insuffisant.
• La mise en conformité en cours de procédure d'instruction, bien que positive, n'efface pas le manquement initial et ne préjuge pas de l'issue de la procédure.
• Le responsable de traitement est bien l'entité qui détermine les finalités et les moyens du traitement, et ne peut s'exonérer de ses obligations en niant cette qualité lors des premières étapes d'une enquête.
• Les procédures d'exercice des droits, notamment le droit d'accès aux images, doivent être clairement définies et communiquées, en veillant à ce que les exigences (telle que la fourniture d'une photo récente pour identification) soient justifiées et proportionnées.
• Les mécanismes procéduraux nationaux, tels que la reconnaissance de responsabilité et le paiement volontaire, peuvent constituer une option stratégique permettant une réduction significative du montant de l'amende.