Amazon présente sa défense pour faire annuler son amende record pour violation du RGPD

Amazon est actuellement en train de défendre son cas devant un tribunal local du Luxembourg. Son objectif : faire annuler l'amende record de 746 millions d'euros qui lui a été infligée en juillet 2021 par la Commission nationale pour la protection des données Grand-Duché de Luxembourg (CNPD). L'autorité luxembourgeoise de protection de la vie privée a jugé que l'entreprise avait violé plusieurs dispositions du Règlement général sur la protection des données (RGPD).

Punir plutôt que de protéger les données

C'est l'agence Bloomberg qui rapporte la défense menée par Amazon. Son avocat, Thomas Berger, reproche au régulateur luxembourgeois de n'avoir laissé "aucune possibilité" pour l'entreprise de "modifier ses pratiques" avant de lui infliger une telle sanction. Cette stratégie, affirme-t-il, vise davantage à punir son client qu'à protéger les données personnelles des personnes. Il regrette qu'une solution à l'amiable n'ait pas été proposée.

Pour rappel, c'est le 15 juillet 2021 que l'autorité luxembourgeoise a décidé d'infliger une amende record par son quantum à la société américaine. Le contenu exact de la décision n'a pas encore été publié. La CNPD souhaite attendre l'épuisement des voies de recours. Elle invoque à ce titre le respect du secret professionnel au titre de l'article 42 de la loi luxembourgeoise du 1er août 2018. Les seules informations disponibles le sont via un courrier envoyé par la Commission nationale de l'informatique et des libertés (Cnil) à la Quadrature du Net, requérant à l'origine de ce litige.

Absence de base légale pour traiter les données personnelles

L'association française qui promeut les libertés fondamentales dans l'environnement numérique s'était à l'origine adressée à l'autorité française en mai 2018. Cette plainte avait été signée par 10 065 personnes dénonçant l'absence de base légale des traitements d'analyse comportementale et de ciblage publicitaires d'Amazon. L'association citait dans sa plainte "la notice" d'Amazon" baptisée "Protection des vos informations personnelles" qui listait des données traitées. Il s'agissait, par exemple, des "produits, contenus ou services recherchés ou consultés", "les commandes passées", "l'adresse IP" ou encore "les données de connexion, les adresses email et mots de passe". Le tout, sans base légale valide, d'après la plainte.

Dans son courrier, la Cnil raconte que la CNPD a retenu des manquements aux articles 6,12, 13,14,15,16,17 et 21 du RGPD. Elle précisait également que l'autorité luxembourgeoise avait demandé à Amazon de mettre en conformité ses traitements de ciblage publicitaire afin que ceux-ci disposent d'une base légale ainsi que de mettre en conformité ses réponses à toute future demande d'accès, de rectification ou d'effacement.

"Un tournant dans l'application du RGPD"

L'amende luxembourgeoise est loin d'être la première pour Amazon. La Cnil l'avait condamné à 35 millions pour une violation de la législation sur les cookies. Mais cette fois-ci, le montant de l'amende est considérable. L'autorité française l'admet elle-même : "cette décision de la CNPD est néanmoins d'une ampleur sans précédent et marque un tournant dans l'application du RGPD et la protection des droits des ressortissants européens". Reste à savoir jusqu'où Amazon ira pour la faire annuler et que décidera la justice.

Amazon doit également faire face à des accusations pour sa gestion des données de productivité de ses salariés, qui serait contraire au RGPD. Le rapporteur de la formation restreinte de la Cnil a requis une amende de 170 millions d'euros à l'encontre de sa filiale française dédiée à la logistique et au transport.

Sélectionné pour vous

Une organisation sur deux a déjà écarté une solution IT pour des raisons de souveraineté

Droits d'auteur : Anthropic met fin à un procès en payant 1,5 milliard de dollars

Supply chain, gouvernance, audibilité : Les leçons à tirer du stress test sur la sécurisation de l'IA