Par Amanda Dubarry et Virgile Servant Volquin
746 millions d’euros. C’est le montant de l’amende prononcée par la CNPD (Commission nationale pour la protection des données), l’équivalent de la CNIL au Luxembourg, à la plateforme américaine de e-commerce Amazon.
Ce montant exceptionnel est supérieur à la somme de toutes les amendes infligées par les autorités de contrôle européennes depuis l’entrée en application du RGPD le 25 mai 2018.
En France, la CNIL avait déjà sanctionné Amazon à hauteur de 35 millions en décembre 2020 pour non-conformité avec la réglementation sur les cookies publicitaires.
Un montant exceptionnel pour des manquements importants
Pour rappel, le RGPD a considérablement augmenté le plafond des amendes infligées par les autorités de contrôle nationales :
- Jusqu’à 10 millions d’euros ou, dans le cas d’une entreprise, 2% du chiffre d’affaires annuel mondial pour des manquements notamment au Privacy By Design, Privacy By Default, en matière de PIA, etc. ;
- Jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, 4% du chiffre d’affaires annuel mondial pour manquement notamment aux droits des personnes (droits d’accès, de rectification, d’opposition, de suppression, droit à l’oubli, etc.).
Appliquée à Amazon, la sanction de la CNPD correspond à 1,7% du chiffre d’affaires (CA) européen du groupe Amazon, qui s’élève à 44 milliards d’euros en 2020. Pour comparaison, la sanction de la CNIL n’était équivalente qu’à 0,08% du CA Europe d’Amazon. Par rapport au chiffre d’affaires mondial du groupe, la sanction reste néanmoins minime : seulement 0,3%.
A l’origine de cette sanction, une plainte collective déposée par l’association française « La Quadrature du Net » contre le géant de l’E-commerce. Celle-ci visait le système de ciblage publicitaire imposé par Amazon aux utilisateurs de ses services, supposément sans consentement.
A ce jour, la décision n’a pas été publiée : l’existence de cette amende a en effet été révélée lors du dépôt de documents financiers par Amazon auprès de l’autorité des marchés américaine.
Amazon dans le viseur des autorités luxembourgeoises
Cette décision s’analyse comme la première opposition manifeste d’une autorité de contrôle européenne au mécanisme de collecte des données des utilisateurs européens par des grands groupes américains en vue de leur profilage commercial.
En ce sens, elle devrait être reçue avec une grande attention par Google, Facebook et Apple, qui voient une partie de leur modèle économique menacée.
AMAZON a d’ores et déjà indiqué vouloir faire appel de cette décision. A ce titre, l’article 55 de la loi du 1er août 2018 luxembourgeois prévoit :
- « Qu’un recours contre les décisions de la CNPD est ouvert devant le Tribunal administratif qui statue comme juge du fond» »
Il est important de noter qu’en l’absence d’une disposition légale expresse en droit luxembourgeois :
- La seule procédure d’appel est celle de l’annulation, c’est-à-dire que le juge d’appel doit annuler complètement la décision ou l’accepter dans son entièreté.
- A contrario, la procédure de réformation aurait permis au juge de moduler le montant de l’amende.
La décision du tribunal administratif luxembourgeois aura donc de grandes conséquences sur la capacité de la CNPD à sanctionner les manquements des GAFA.
Après avoir fait l’objet de vives critiques pour sa faible activité, il semble enfin que la CNPD ait pris son rôle d’autorité chef de file très au sérieux. Pour rappel, une autorité chef de file est selon le considérant 124 du RGPD l’autorité sur le territoire de laquelle est établi l’établissement principal d’une entité. Or, Amazon ayant installé sa filiale européenne au Luxembourg, elle a donc pour principal interlocuteur la CNPD.
***
Le Cabinet HAAS Avocats est à votre disposition pour vous accompagner dans la mise en conformité au RGPD de vos traitements de données. Pour nous contacter, cliquez-ici.
