32 millions d’euros, c’est le montant de la condamnation qui a été prononcée par la formation restreinte de la CNIL dans une décision du 27 décembre 2023.
Cette décision, prononcée à l’encontre d’une filiale du célèbre géant du commerce en ligne, mettait en cause un système de surveillance des salariés particulièrement étroit et intrusif, considéré comme violant le règlement général de protection des données (RGPD).
Trois indicateurs, notamment, posaient des difficultés : l’indicateur « Stow Machine Gun » qui enregistre les cas dans lesquels le salarié scanne trop rapidement un article, l’indicateur « idle time » qui signale des périodes d’interruption du scanner de plus de dix minutes et l’indicateur « temps de latence inférieurs à dix minutes » qui, comme son nom l’indique, consigne les cas dans lesquels l’utilisation du scanner est interrompue pendant une période comprise entre une et dix minutes.
La condamnation porte aussi sur la conservation de toutes les données et des indicateurs statistiques pendant 31 jours, ce qui est jugé excessif, et sur l’information insuffisante des intérimaires sur les dispositifs de surveillance mis en place.
Le Règlement générale de protection des données (RGPD) prévoit deux dispositions qui ont notamment été mobilisées par la CNIL pour appuyer sa décision : l’article 5 dispose que les données à caractère personnel peuvent être collectées pour des finalités déterminées, explicites et légitimes et à condition d’être adéquates, pertinentes et limitées eu égard à de telles finalités. L’article 6 aborde la question du traitement de ces données qui doit également être nécessaire afin de répondre à des intérêts légitimes, sous réserve de la protection des intérêts, libertés et droits fondamentaux de la personne concernée. Le Code du travail retranscrit également cette protection de la vie privée des salariés au sein de ses dispositions.
Ainsi, tout dispositif de surveillance n’est pas en soi prohibé ; encore faut-il que celui-ci soit particulièrement invasif et ne réponde pas à un réel besoin de gestion de l’activité des salariés. La surveillance peut ainsi être légitime dans de nombreux cas. Or, c’est une pratique courante dans ce secteur que de surveiller l’activité des salariés dans les entrepôts, afin de s’assurer que les livraisons seront effectuées dans le temps annoncé au client.
La CNIL reconnaît la nécessité d’un certain contrôle. Elle dit en effet ne pas remettre en cause « le fait que le service rendu par Amazon à ses clients entraîne des contraintes exceptionnelles, en raison des volumes traités et des objectifs de courts délais de livraison, ce qui rend nécessaire un suivi très précis, en temps réel, de toutes les manipulations des objets dans l’entrepôt et de la situation de chaque poste de travail, donc de chaque salarié ».
Les motifs invoqués au soutien de la mise en place de moyens de surveillance sont donc légitimes, considérés abstraitement. Ce qui est en cause ici c’est l’adéquation de ces moyens aux fins invoquées ainsi que leur proportionnalité.
La CNIL adopte une approche concrète en comparant le système de surveillance mis en place avec les dispositifs qui sont normalement employés pour ce type d’activités. Elle apprécie la nécessité de ce système de contrôle étroit.
Dans cette perspective, plusieurs éléments ont conduit la CNIL à estimer ce système trop sévère. Les salariés sont ainsi tenus de se justifier en cas d’inactivité sur des laps de temps très courts. En outre, Amazon dispose déjà de dispositifs surveillance suffisants pour atteindre ses objectifs, en dehors de ceux précédemment décrits. Amazon pourrait aussi bien planifier le « travail dans l’entrepôt sur la base de statistiques de productivité agrégées sur la semaine par salarié », offrant une « vue objective des tâches directes effectuées par le salarié », juge par exemple la CNIL.
C’est donc la possibilité de scruter le comportement du salarié en temps réel qui pose difficulté ici, au regard de l’objectif affiché. Dans ce cas, il convient de privilégier une surveillance du travail du salarié sur un temps plus long, par une approche plus globale et non une approche millimétrée qui conduit le salarié à devoir justifier l’emploi de chaque seconde de son temps de travail.
La CNIL s’intéresse également aux effets notamment psychologiques qu’un tel contrôle peut avoir sur le salarié, du fait de la pression qu’il ressent en retour. Celle-ci est incontestable dès lors que l’activité du salarié peut être contrôlée sans répit.
La condamnation à une amende de 32 millions d’euros est importante. Ce chiffre équivaut à 3% de son chiffre d’affaires en 2021, proche du taux maximum fixé à 4%.
Plusieurs paramètres sont habituellement pris en compte par la CNIL pour déterminer la sanction, notamment la gravité des manquements relevés, le nombre de personnes concernées, le caractère volontaire ou non de l’infraction commise, les catégories de données concernées ainsi que la taille et la situation financière de l’organisme.
Pour rappel, ce n’est pas la première fois qu’une filiale du géant américain est épinglée par la CNIL. Ainsi, Amazon Europe avait déjà écopé d’une amende pour un montant de 35 millions d’euros en 2020, en raison de sa gestion des cookies sur son site internet.
Amazon a exprimé être en désaccord avec les conclusions de la CNIL et a indiqué qu’elle se réserve le droit de faire appel.
Vous souhaitez bénéficier d'une démonstration de la plateforme Livv.eu ?
Dans vos bureaux ou en visio, nos équipes s'adaptent à vos besoins.
Accédez à toute l'intelligence du droit des affaires
Inscrivez-vous gratuitement sur Livv et bénéficiez de notre expertise en droit des affaires.
Inscrivez-vous à la newsletter Livv
et recevez chaque semaine des informations exclusives en droit des affaires
