Blog Données personnelles
La société Amazon France Logistique sanctionnée par la CNIL pour la mise en place d’un système de surveillance de ses salariés excessivement intrusif
Dans sa décision du 27 décembre 2023, la Commission nationale de l’Informatique et des Libertés (« CNIL ») a sanctionné la société Amazon Logistique France en raison de plusieurs manquements au RGPD. En effet, après plusieurs contrôles effectués par la CNIL au sein de la société en 2019, celle-ci constate d’abord que les salariés travaillant dans les entrepôts de grande taille utilisent un scanner documentant en temps réel l’exécution des tâches qui leur sont confiées et collectant alors un nombre important de leurs données. Celles-ci ont été qualifiées de données personnelles par la CNIL en ce qu’elles permettent de suivre très précisément l’activité des salariés.
Par exemple, il est notamment possible de savoir la vitesse à laquelle le scanner a été utilisé et de mesurer précisément les interruptions d’utilisation du scanner. Ces données étaient ensuite utilisées par la société en tant qu’indicateurs statistiques dits « qualité » ou « relatifs à la productivité des salariés » et étaient conservées pendant trente-et-un (31) jours par la société. Face à cette situation, la CNIL a constaté plusieurs manquements de la société Amazon France Logistique.
Tout d’abord, sont reprochés à la société des manquements concernant le suivi de l’activité des salariés au moyen des scanners utilisés par ces derniers. En effet, la CNIL constate que la société n’a pas respecté le principe de minimisation des données de l’article 5. 1. c) du RGPD en conservant trop longtemps les indicateurs sur les salariés, alors même que la société disposait des informations en temps réel et qu’une durée de conservation moins longue aurait été amplement suffisante pour assurer l’objectif de la société. Ceci vaut, selon la CNIL, autant pour la fourniture d’une aide au salarié ou sa réaffectation en temps réel, que pour la planification du travail dans les entrepôts ou l’évaluation et la formation du salarié.
En outre, trois (3) indicateurs sont considérés comme illégaux par la CNIL, en violation de l’article 6 du RGPD, c’est-à-dire en raison de l’absence de licéité du traitement des données contenues dans ces indicateurs. La CNIL admet en effet que l’indicateur contrôlant lorsqu’un article est scanné trop rapidement et les deux (2) indicateurs permettant de signaler les périodes d’interruption d’un scanner ne reposent sur aucun des fondements mentionnés à l’article 6 du RGPD, pas même sur l’intérêt légitime, et ce, en raison d’une surveillance excessive des salariés au regard de l’objectif de la société.
La CNIL reproche également à la société de ne pas avoir respecté l’obligation d’information et de transparence consacrée aux articles 12 et 13 du RGPD, en n’ayant pas correctement informé les intérimaires jusqu’en avril 2020 que leurs données personnelles étaient collectées par la société.
Enfin, d’autres manquements sont reprochés à la société Amazon France Logistique, cette fois-ci, concernant les traitements de vidéosurveillance. A cet effet, la CNIL constate que la société avait manqué à l’obligation d’information et de transparence en n’ayant pas informé les salariés et les visiteurs extérieurs de la présence de ce système. En outre, elle n’avait pas non plus respecté l’obligation de sécurité en raison d’un cumul de défauts de sécurité entrainant une traçabilité plus difficiles des accès aux images, ainsi qu’une l’identification plus complexe des personnes qui ont potentiellement effectué des actions sur le logiciel.
Ainsi, pour l’ensemble de ces motifs, la CNIL condamne la société Amazon France Logistique au paiement d’une amende d’un montant de trente-deux millions d’euros.
Jeanne BOSSI MALAFOSSE, associée et Florian BUSSINET, stagiaire