西班牙AEPD对Securitas Direct罚款10万欧元：要求通过付费电话行使数据主体权利违反GDPR第12条

【案件基本信息】最终决定作出日期为2023年2月1日；涉案主体（控制者）为SECURITAS DIRECT, S.A.；法律依据为GDPR第12条（对数据主体行使权利所需信息的透明告知与方式）；处理结果为：行政罚款（Administrative fine）＋合规命令（Compliance order）；关键词为「数据主体权利」（Data subject rights）。

【案情起源】某消费者协会对Securitas Direct提出投诉，涉及其视频监控告知（video surveillance notices）将数据主体引向一个收费的902电话（902开头号码在西班牙为付费共享成本号码），以便行使查阅权（access）与反对权（objection）等权利。

【认定要点】AEPD认为，将数据主体权利的行使引向付费电话号码，与GDPR关于此类权利应可免费行使的要求相悖，并可能使数据主体不敢或不愿行使权利。AEPD进一步指出，网站上另有免费渠道这一事实并不能弥补该缺陷，因为该告知专门将数据主体引向902收费电话来行使此类权利。

【决定结论】AEPD认定存在对GDPR第12(2)条的违反——该条要求控制者便利数据主体行使其在GDPR第15至22条项下的权利。该违法行为适用GDPR第83(5)(b)条规定的处罚。AEPD对Securitas Direct处以10万欧元罚款，并同时下达合规命令。

（完整决定文书可参见AEPD编号 PS-00426-2021 的处罚决定：https://www.aepd.es/documento/ps-00426-2021.pdf）

【价值判断】这是「数据主体权利便利性」这一条线的又一块拼图，而且是性价比极高的合规知识点：它给出的是一条可直接自查的负面清单。监管机关的判断逻辑很清晰——权利行使通道的设计本身就是合规对象，「不能设置摩擦」是GDPR第12(2)条的实质要求，而收费电话正是最典型的摩擦设计。尤其值得注意的是AEPD对「另有免费渠道」这一常见抗辩的否定：不是「有没有免费渠道」的问题，而是「告知把你引向哪里」的问题。这一点对企业实操的含义非常具体：隐私政策、视频监控告知、APP内权利行使入口中的默认联系方式、客服转接路径，都必须指向免费通道，且不得仅以付费号码作为入口。在中国出海的语境下，这条尤其值得留意——国内常见的「客服热线」模式若直接照搬到欧洲，一旦该热线收取用户费用，就会落入与本条完全相同的违规形态。此外需要说明的是：本条的原始决定作出于2023年2月，EDPB于2026年9月22日作为成员国执法摘要发布，本条收录的价值在于其类型化意义而非常规时效性。