Au Luxembourg, l’autorité de protection des données inflige 746 millions d’euros d’amende à Amazon

La Cnil luxembourgeoise, la Commission nationale pour la protection des données (CNPD), a prononcé le 15 juillet une amende de 746 millions d’euros contre Amazon pour avoir mis en place un système de ciblage publicitaire sans le consentement libre des internautes, outrepassant ainsi le RGPD. L’information a été publiée par Bloomberg samedi 31 juillet puis confirmée début août par la CNDP. Amazon se voit reprocher de réaliser certains traitements de données personnelles sans fonder ces traitements sur l’une des bases légales exigées.

A l’origine, l’association La Quadrature du Net avait déposé une plainte collective en mai 2018 auprès de la Cnil en France, laquelle a transféré le dossier à son homologue luxembourgeois, compétent puisque Amazon Europe Core est établie sur son territoire. Mercredi 4 août, l’association a ensuite publié un courrier de la Cnil lui transmettant quelques info complémentaires : Amazon a l’obligation de se mettre en conformité dans 6 mois avec une astreinte de 746 000 euros par jour de retard. 

Une amende record

C’est la plus forte sanction prononcée par une autorité de protection des données dans le monde. Amazon a déclaré vouloir déposer un recours, déclarant “qu’aucune donnée client n’a été exposée à un quelconque tiers”, ce qui ne semble pas l’objet de la section. La société américaine met en avant une base contractuelle qu’elle nouerait avec ses utilisateurs lors de l’inscription pour procéder au ciblage publicitaire sans solliciter un consentement formel.

Une position rejetée par la CNPD ici, et par la Cnil en France dans des affaires identiques. Cette décision a semble-t-il été prise en concertation avec les différentes Cnil européennes, ce qui lui donne un poids accru pour faire appliquer le RGPD aux plateformes.

La Quadrature du Net a déposé en 2018 des plaintes similaires devant la Cnil irlandaise contre Facebook, Apple, Microsoft et Google. Elle attend ses décisions.