TL;DR : En Espagne, le panneau de vidéosurveillance est la partie facile. L'AEPD, autorité espagnole de protection des données, sanctionne la suite : qui voit les images, comment elles sont remises, qui d'autre y figure. Un supermarché de Madrid a payé 12 000 euros pour une vidéo de caisse envoyée sur WhatsApp avec d'autres clients. Pour DPO, conformité, IT. Gallio PRO floute automatiquement visages et plaques d'immatriculation. Testez votre installation avec le test de conformité vidéosurveillance : neuf questions, votre résultat directement sur la page, sans adresse e-mail.
À qui s'adresse ce guide
Cet article décrit la situation en Espagne. Il s'adresse aux entreprises françaises et européennes qui exploitent en Espagne des magasins, des entrepôts, des bureaux ou d'autres sites, ainsi qu'à leurs équipes chargées de la protection des données.
Le RGPD s'applique dans toute l'UE, mais l'Espagne ajoute sa propre couche : l'autorité espagnole de protection des données (Agencia Española de Protección de Datos, AEPD) et la loi organique 3/2018 sur la protection des données et les droits numériques (Ley Orgánica de Protección de Datos y garantía de los derechos digitales, LOPDGDD). Les termes espagnols figurent entre parenthèses pour que vous puissiez les retrouver dans les documents locaux et auprès de vos conseils.
Le panneau ne vous protège pas si la suite échoue
Beaucoup d'entreprises téléchargent un panneau « zona videovigilada » (zone sous vidéosurveillance), l'affichent à l'entrée et considèrent le sujet réglé.
L'affaire ci-dessous montre l'inverse. Le supermarché sanctionné affirmait avoir des panneaux à tous les accès. L'amende ne portait pas sur le panneau, mais sur le traitement des images au moment où elles ont servi.
Le risque se concentre à trois moments :
- Avant l'enregistrement : le panneau et l'information des salariés.
- Pendant la conservation : qui peut voir les images et pendant combien de temps elles sont gardées.
- Lors de la communication : à qui, par quel canal et avec quels tiers visibles.
Ce que dit la loi : l'article 22 de la LOPDGDD
La vidéosurveillance à des fins de sécurité relève en Espagne du RGPD et de l'article 22 de la LOPDGDD :
- Finalité (art. 22.1) : protéger la sécurité des personnes, des biens et des installations.
- Voie publique (art. 22.2) : elle ne peut être filmée que dans la mesure indispensable à cette finalité.
- Conservation (art. 22.3) : les images sont supprimées dans un délai maximal d'un mois, sauf si elles doivent être conservées pour prouver des actes portant atteinte aux personnes, aux biens ou aux installations. Elles doivent alors être mises à la disposition de l'autorité compétente dans un délai maximal de 72 heures après la connaissance de l'enregistrement.
- Information (art. 22.4) : elle est assurée par un dispositif d'information placé à un endroit suffisamment visible.
Obligation 1 : le panneau « zona videovigilada »
Selon l'article 22.4 de la LOPDGDD, le panneau doit indiquer au minimum :
- L'existence du traitement
- L'identité du responsable
- La possibilité d'exercer les droits prévus aux articles 15 à 22 du RGPD
Le panneau peut comporter un QR code ou une adresse web renvoyant au reste des informations. Le responsable doit tenir à disposition des personnes concernées l'information complète de l'article 13 du RGPD. L'AEPD publie sur son site un modèle de panneau, à compléter avec les vraies coordonnées de l'entreprise : un modèle téléchargé et laissé vide n'informe personne.
Si vous filmez des salariés, l'article 89 de la LOPDGDD ajoute trois règles :
- Les salariés et, le cas échéant, leurs représentants doivent être informés au préalable, de façon expresse, claire et concise.
- Pas de caméras ni d'enregistrement du son dans les vestiaires, toilettes, réfectoires et lieux de repos similaires.
- L'enregistrement du son n'est admis qu'en cas de risques importants pour la sécurité et dans le respect de la proportionnalité.
Obligation 2 : un accès contrôlé et une communication sécurisée
L'article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Son paragraphe 4 exige que toute personne ayant accès aux données ne les traite que sur instruction du responsable.
Pour la vidéosurveillance, cela se traduit par des questions très concrètes :
- Qui peut voir le moniteur et exporter des enregistrements ?
- Chaque visionnage et chaque export sont-ils tracés ?
- Par quel canal les images sont-elles remises, et jamais par une messagerie personnelle ?
Lorsqu'un client demande ses images, il a droit à une copie (article 15 du RGPD). Le délai est d'un mois, prolongeable de deux mois dans les cas complexes (article 12, paragraphe 3). Mais l'article 15, paragraphe 4, précise que la copie ne doit pas porter atteinte aux droits d'autrui. Les lignes directrices 3/2019 du Comité européen de la protection des données (CEPD) indiquent la solution : flouter ou masquer les tiers avant de remettre la copie.
L'affaire du supermarché de Madrid : 12 000 euros pour une vidéo envoyée sur WhatsApp
L'AEPD a clos la procédure EXP202407160 visant NOVATES ALIMENTACIÓN MADRID, S.L., qui exploite un supermarché à Madrid ( source : décision AEPD PS/00345/2024, en espagnol).
Les faits, selon la décision :
- Une cliente avait rapporté un produit. Plus tard, le personnel lui a indiqué que le remboursement avait été mal traité et qu'elle devait rendre une partie du montant.
- Pour le prouver, une caissière lui a montré sur son propre téléphone une vidéo de la caméra filmant la caisse, puis la lui a envoyée sur WhatsApp, sur son téléphone personnel.
- La vidéo de 40 secondes était un enregistrement, fait avec un téléphone, de l'écran du système de vidéosurveillance. On y entendait les voix de deux personnes commentant les images.
- Outre la cliente, deux autres clients apparaissaient : la personne qui la précédait dans la file pendant toute la séquence et un client entrant dans le magasin.
L'entreprise a fait valoir qu'elle disposait de panneaux à tous les accès et que la cliente avait elle-même demandé la vidéo et donné son numéro. L'AEPD a tout de même retenu une violation de l'article 32 du RGPD : les images étaient accessibles à des salariés dont le lien avec la surveillance n'a pas été démontré, elles ont été refilmées avec un second appareil et diffusées sans aucune mesure de sécurité.
L'amende initiale était de 20 000 euros. L'entreprise a reconnu sa responsabilité et payé volontairement le 11 avril 2025, ce qui a déclenché deux réductions de 20 % et un montant final de 12 000 euros. L'AEPD a aussi ordonné l'adoption, sous un mois, de mesures de sécurité pour les images de vidéosurveillance.
Ce que montre cette affaire :
- Avoir des panneaux n'évite pas la sanction si l'accès aux images n'est pas maîtrisé.
- La demande du client n'autorise pas à lui envoyer la vidéo n'importe comment, ni avec d'autres personnes visibles.
- Les litiges sur les retours et remboursements sont courants dans le commerce. Voir comment les gérer dans notre article sur les images de vidéosurveillance dans les litiges avec les clients .
- Pas besoin d'être une grande enseigne : selon la décision, le chiffre d'affaires de l'entreprise était d'environ 6,1 millions d'euros.
Les violations de l'article 32 du RGPD relèvent de l'article 83, paragraphe 4 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Les violations des principes et des droits des personnes relèvent de l'article 83, paragraphe 5 : jusqu'à 20 millions d'euros ou 4 %.
Remettre des images de vidéosurveillance à un client en Espagne en 5 étapes
- Canalisez la demande. La demande doit passer par le canal d'exercice des droits indiqué sur le panneau, pas par la caisse. Notez la date : le délai d'un mois court à partir de ce jour. Vérifiez l'identité et demandez la date, l'heure et le lieu.
- Exportez la séquence depuis le système. Seule une personne habilitée exporte l'extrait depuis le système de gestion vidéo, jamais en filmant l'écran avec un téléphone. Faites-le avant l'expiration du délai d'un mois et tracez l'opération.
- Floutez les tiers. Chargez l'extrait dans Gallio PRO . Le logiciel détecte automatiquement les visages et les plaques d'immatriculation et les floute. La détection des visages n'identifie personne : elle repère uniquement les zones de l'image qui contiennent un visage. Veillez à ce que le demandeur reste reconnaissable : seuls les tiers sont floutés.
- Retouchez manuellement si nécessaire. Badges nominatifs, écrans de caisse affichant des données, documents et logos ne sont pas détectés automatiquement. Vous les sélectionnez à la main dans l'éditeur intégré de Gallio PRO. Vérifiez aussi les reflets dans les vitres et les vitrines.
- Remettez par un canal sécurisé et documentez. Utilisez un canal d'entreprise à accès contrôlé, pas une messagerie personnelle. Notez qui a remis quel extrait, quand et ce qui a été flouté.
Gallio PRO fonctionne comme application sous Windows et macOS. Pour les environnements d'entreprise, une version en ligne de commande sur site est disponible pour Linux. Les images n'ont pas besoin d'être envoyées à un service cloud externe. Découvrez comment une grande enseigne de distribution l'utilise dans l'étude de cas Plodine .
Liste de contrôle pour la vidéosurveillance en Espagne
Point de contrôle | Base juridique | Fait ? |
Panneau visible indiquant le traitement, le responsable et les droits | Art. 22.4 LOPDGDD | ☐ |
Information complète disponible (site web, QR code ou accueil) | Art. 13 du RGPD | ☐ |
Salariés informés au préalable et de façon expresse | Art. 89.1 LOPDGDD | ☐ |
Pas de caméras dans les vestiaires, toilettes ou réfectoires | Art. 89.2 LOPDGDD | ☐ |
Voie publique filmée seulement dans la mesure indispensable | Art. 22.2 LOPDGDD | ☐ |
Suppression dans un délai d'un mois au plus | Art. 22.3 LOPDGDD | ☐ |
Accès au moniteur et aux exports réservé au personnel habilité | Art. 32, paragraphe 4, du RGPD | ☐ |
Procédure de demande d'accès avec délai d'un mois | Art. 12 et 15 du RGPD | ☐ |
Outil pour flouter les tiers avant toute communication | Art. 15, paragraphe 4, du RGPD | ☐ |
Remise par canal sécurisé, jamais par messagerie personnelle | Art. 32 du RGPD | ☐ |
Questions fréquentes
Que doit contenir un panneau de vidéosurveillance en Espagne ?
Au minimum l'existence du traitement, l'identité du responsable et la possibilité d'exercer les droits des articles 15 à 22 du RGPD (article 22.4 de la LOPDGDD). Un QR code ou une adresse web peut renvoyer au reste des informations.
Le panneau de vidéosurveillance est-il obligatoire en Espagne ?
Oui. C'est par lui que la LOPDGDD considère l'obligation d'information remplie. Il doit être placé à un endroit suffisamment visible, avant la zone filmée.
Combien de temps conserver les images de vidéosurveillance en Espagne ?
Un mois au maximum à compter de l'enregistrement. Si elles prouvent un acte contre des personnes, des biens ou des installations, elles peuvent être conservées, mais doivent être mises à la disposition de l'autorité compétente dans les 72 heures.
Un client peut-il demander les images des caméras d'un magasin en Espagne ?
Oui, au titre du droit d'accès de l'article 15 du RGPD. L'entreprise doit répondre sous un mois et flouter les autres personnes visibles avant de remettre la copie.
Peut-on envoyer des images de vidéosurveillance par WhatsApp ?
Ce n'est pas un canal sécurisé pour ce traitement. Dans l'affaire du supermarché de Madrid, l'envoi sur WhatsApp d'une vidéo refilmée avec un téléphone faisait partie des faits sanctionnés de 12 000 euros.
Une entreprise peut-elle filmer ses salariés en Espagne ?
Oui, pour le contrôle de l'activité, si les salariés sont informés au préalable et de façon expresse (article 89 de la LOPDGDD). Jamais dans les vestiaires, toilettes ou réfectoires.
Quelles amendes l'AEPD peut-elle infliger en matière de vidéosurveillance ?
Pour les défauts de sécurité (article 32 du RGPD), jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. Pour les violations des principes ou des droits, jusqu'à 20 millions d'euros ou 4 %. Le supermarché de Madrid a payé 12 000 euros après deux réductions de 20 % sur une amende initiale de 20 000 euros.
Conclusion
Le panneau « zona videovigilada » est la première étape, pas la dernière. L'AEPD vérifie qui accède aux images, comment elles sont exportées et si la copie remise à un client expose d'autres personnes. L'affaire du supermarché de Madrid montre qu'une seule vidéo envoyée de façon improvisée suffit pour aboutir à une sanction.
Vous avez aussi des sites en France ? Les règles nationales diffèrent d'un pays à l'autre, même sous le même RGPD.
Vérifiez votre installation avec le test de conformité vidéosurveillance : neuf questions, votre résultat directement sur la page, sans adresse e-mail.
