Mille euros pour une affichette manquante

Mille euros pour une affichette manquante. Dans le dossier PS/00226/2021 de l'AEPD, un salon de coiffure disposait d'une vidéosurveillance sans panneau d'information. L'Agence espagnole de protection des données a infligé une amende de 1 000 euros pour violation de l'article 13 du RGPD et ordonné la mise en conformité du système.

Pour fixer la sanction, l'Agence a tenu compte de la petite taille de l'établissement et de l'absence d'infractions antérieures connues. Elle a aussi relevé le temps écoulé depuis l'entrée en vigueur du RGPD. La petite taille a fait partie de l'appréciation ; elle n'a pas empêché la sanction dans ce cas.

Ce que l'obligation exige, et pourquoi l'affichette ne suffit pas

L'obligation consiste à informer sur le traitement des données. En vidéosurveillance, le panneau visible constitue une partie précise de cette information. La fiche de l'AEPD pour les établissements ouverts au public indique ce qu'il doit contenir et exige que les autres informations restent disponibles. Poser n'importe quel avis « présence de caméras » ne suffit pas à remplir l'obligation.

La vérification pratique consiste à regarder l'entrée comme une personne qui vient pour la première fois : voit-elle le panneau, identifie-t-elle le responsable du traitement et sait-elle où exercer ses droits et obtenir davantage d'informations ? Cela ne remplace pas l'examen du reste du système de caméras.

À l'accueil aussi, il faut distinguer les obligations

Dans le PS/00562/2025, une visiteuse d'une salle de sport a indiqué avoir fourni ses coordonnées pour un accès d'une journée, puis reçu des SMS publicitaires. Le dossier rapporte qu'elle a suivi l'instruction de désinscription indiquée et reçu de nouveaux messages. La sanction porte sur l'article 21.1 de la LSSI-CE espagnole.

Il y a là deux questions différentes. La première est l'information reçue lorsque quelqu'un fournit ses données. La seconde est la possibilité d'utiliser ses coordonnées pour lui envoyer de la publicité. Informer correctement ne rend pas toute utilisation ultérieure licite. Et le fait qu'une réclamation décrive un défaut d'information ne signifie pas que la décision a également sanctionné ce fait : il faut lire quelle infraction elle déclare.

Pour le courriel et les moyens électroniques équivalents, l'article 21 de la LSSI-CE exige une demande ou une autorisation préalable, sauf l'exception de relation contractuelle antérieure, avec ses conditions : obtention licite des coordonnées, produits ou services similaires de la même entreprise et possibilité simple et gratuite de s'opposer. Posséder le numéro ne suffit pas.

La désinscription doit parvenir au système d'envoi

Le PS/00411/2024, concernant une entreprise de conseil en énergie, rapporte des messages WhatsApp après des demandes d'effacement. L'infraction examinée au titre de l'article 21.1 concerne l'envoi de communications électroniques ; il ne faut pas l'étendre sans autre analyse aux appels mentionnés dans la réclamation.

Dans le PS/00424/2021, relatif à des cours en ligne, l'AEPD a infligé 2 000 euros pour des courriels commerciaux contraires à l'article 21 de la LSSI-CE. Une autre sanction concernait le droit à l'effacement prévu par l'article 17 du RGPD. Les 2 000 euros ne constituaient pas le total du dossier.

Les quatre cas ne concernent ni la même obligation ni le même canal. Ils invitent néanmoins à vérifier trois éléments souvent gérés séparément : l'information lors de la collecte, le fondement permettant l'usage prévu et l'exécution des désinscriptions.

Que vérifier dans le prochain formulaire

Vérifiez que l'information correspond au traitement réel et qu'elle est accessible lors de la collecte. Une phrase sur la personne qui conserve les données ne contient pas toujours toutes les informations nécessaires ; il peut y avoir un premier niveau clair et un second plus détaillé.

Si vous demandez un consentement publicitaire, utilisez une option distincte, volontaire et non cochée par défaut. Le refus ne devrait pas empêcher de demander un rendez-vous pour cette raison. Conservez la preuve de ce qui a été accepté et de la date.

Testez ensuite la désinscription avec un contact fictif : il doit cesser de recevoir ce qu'il a refusé dans tous les systèmes concernés. Répondre « c'est fait » tout en le conservant dans une autre liste ne résout pas le problème.

Ce que ces décisions ne disent pas

Une sanction est un cas, pas une statistique. Ces dossiers ne disent ni combien d'entreprises reçoivent des amendes ni quelle est votre probabilité d'en recevoir une. Ils ne permettent pas non plus de calculer votre montant : les circonstances et les réductions propres à chaque procédure comptent.

J'ai distingué ce que montrent les documents des vérifications que je propose. Aucune courte liste ne garantit le respect de toute la réglementation, ni ne permet d'affirmer que tout se règle en un après-midi. Pour déterminer ce qu'exige votre traitement précis, il faut l'examiner avec ses données, ses usages et ses canaux.