Les étranges excuses d'Amazon pour échapper à son amende record

L’objectif était de punir, et non de protéger les données des Européens : voilà ni plus ni moins la ligne de défense d’Amazon que l’on pouvait entendre mardi 9 janvier devant le tribunal administratif du Luxembourg. Ce jour-là, rapporte Bloomberg, les juges devaient étudier les plaidoyers d’Amazon et d’une autorité luxembourgeoise, après l’appel formé par le géant de l’e-commerce, condamné à une amende record en 2021. Tout était parti d’une réclamation de la Quadrature du Net faite au nom de 10 065 personnes, en 2018. L’association française de défense des droits numériques avait été mandatée pour agir devant le garant de la vie privée luxembourgeois (« Luxembourg National Commission for Data Protection » ou CNPD), l’équivalent de la CNIL dans le pays. Le Grand Duché avait été choisi, car Amazon a son siège social européen au Luxembourg.

Le géant du commerce électronique était accusé d’avoir traité les données des utilisateurs à des fins de publicités ciblées, sans demander au préalable leur consentement – ce que requiert normalement le RGPD, le règlement européen sur les données personnelles. Le 16 juillet 2021, la CNIL locale avait tranché en faveur de la Quadrature, estimant qu’il y avait bien une violation du RGPD. Elle avait condamné Amazon à une amende de 746 millions d’euros – un montant qui était en 2021 un record, depuis l’entrée en vigueur du règlement en 2018. Depuis, la CNIL irlandaise a infligé une sanction financière encore plus importante à Meta l’année dernière, l‘amende atteignant les 1,2 milliard d’euros. Trois mois après avoir été condamné, Amazon avait fait appel – appel sur lequel le tribunal administratif doit désormais statuer.

La CNIL n’a pas cherché une solution à l’amiable, déplore Amazon

Or, selon Thomas Berger, l’avocat qui défendait Amazon, cette décision a été prise bien trop rapidement. L’autorité n’a laissé à l’entreprise « aucune chance de modifier ses pratiques », avant que la sanction ne soit prononcée en 2021, a-t-il plaidé. Selon ce dernier, l’autorité luxembourgeoise serait passée à l’attaque au lieu de chercher une solution à l’amiable. Elle aurait aussi lancé des accusations infondées selon lesquelles l’entreprise aurait bafoué les droits de ses clients en matière de protection de la vie privée, a poursuivi l’avocat, dont les propos sont rapportés par Bloomberg.

En 2021, la société estimait, à l’annonce du verdict, « qu’il n’y a aucune fuite de données, aucune donnée client n’a été exposée à des tiers », rappelle la Quadrature sur son site. Or la sanction financière n’a pas été prise en raison d’une fuite de data. Il s’agissait au contraire de sanctionner tout « le système de ciblage publicitaire imposé par Amazon, (qui était) réalisé sans notre consentement libre, en violation du RGPD », écrit l’ONG dans son communiqué.

Pour l’autorité luxembourgeoise, pas d’entre deux ou de négociation : le RGPD doit être appliqué

Pour Vincent Wellens, l’avocat de la CNIL luxembourgeoise, il n’y a eu aucune précipitation. Ce dernier a estimé que le RGPD était clair et applicable dès 2018. En conséquence, les entreprises concernées doivent « se comporter comme des adultes et ne pas attendre que l’autorité fournisse des orientations sur ce qu’elles doivent faire exactement », a-t-il taclé. En d’autres termes, le RGPD, qui prévoit une sanction pouvant aller jusqu’à 4 % du chiffre d’affaires mondial en cas de non-respect, est bien un texte applicable. Les autorités européennes ne vont pas négocier une sanction, ou effacer l’ardoise en cas de bonne volonté d’une entreprise qui aurait changé ses pratiques, après avoir été sanctionnée.

À lire aussi : Data Act : derrière les promesses, à quoi va réellement servir le règlement européen sur les données ?

Après ces échanges, le tribunal administratif doit délibérer. La décision finale ne sera rendue que dans plusieurs mois, explique Der Spiegel. L’histoire ne devrait pas s’arrêter là si l’amende est confirmée – Amazon pourrait en effet décider de former à nouveau un appel devant une Cour administrative.