Amende de 32 millions d'euros prononcée contre Amazon pour son système de surveillance trop intrusif
04.03.2024
Gestion d'entreprise
Le 27 décembre 2023, la CNIL a condamné Amazon pour les traitements de données mis en œuvre à l'aide de scanners permettant de surveiller en continue les salariés et pour l'installation de caméras de vidéosurveillance sans une information suffisante et sans mesure de sécurité appropriée. Dans cette chronique, Jessica Eynard, maître de conférences HDR en droit à l’Université de Toulouse Capitole, revient sur les manquements reprochés à la société.
Dans cette affaire les opérations de collecte de données permises par les scanners mis à disposition des salariés pour exercer leur activité ont suscité des interrogations. En effet, grâce à ces outils, la société Amazon peut recueillir des données relatives à l’activité des salariés de façon continue. Chaque salarié est invité à documenter en temps réel l’exécution de certaines tâches telles que le stockage ou le prélèvement d’un article dans les rayonnages. Cela permet à Amazon de « mesurer l’activité du salarié, en décomptant le nombre d’unités qu’il traite sur une période donnée, en comptabilisant les périodes de temps durant lesquelles il ne traite aucune unité et en analysant le niveau de qualité avec lequel ces unités sont traitées, au regard de critères détaillés. L’utilisation des scanners permet également de repérer des erreurs, ou des probabilités d’erreur » (point 20). L’ensemble des informations est converti en indicateurs permettant de renseigner sur la productivité, la qualité et les périodes d’inactivité de chaque salarié.
Tout en admettant que le recours à ces scanners peut être justifié au regard des contraintes pesant sur l’activité d’Amazon, la CNIL juge que les traitements mis en œuvre sont globalement excessifs. Elle motive sa décision à l’égard de trois finalités pour lesquelles ces traitements sont opérés.
La CNIL considère que le traitement de certains indicateurs utilisés par la société Amazon n’est pas conforme au RGPD. Ainsi, en est-il du suivi de la vitesse de succession des actions du salarié, dans chacun des gestes qu’il effectue sur une tâche directe, en y associant un indicateur d’erreur chaque fois que cette vitesse est inférieure à 1,25 seconde. Pour la Commission, cette collecte est trop intrusive et va au-delà des attentes raisonnables des salariés. Elle porte une atteinte excessive aux droits et intérêts de ces derniers et excède ce qui est nécessaire aux fins des intérêts légitimes de la société à assurer la qualité et la sécurité dans ses centres logistiques. La mise en balance des intérêts la conduit à invalider la base légale de la poursuite d’intérêts légitimes par le responsable du traitement et à considérer finalement que le traitement de l’indicateur de performance se fait sans base juridique.
Concernant l’indicateur destiné à renseigner sur les périodes d’inactivité des salariés, la CNIL juge leur traitement tout autant excessif, sachant que la société Amazon dispose d’autres indicateurs lui permettant d’atteindre la finalité de bonne gestion des stocks et des commandes.
La même logique est retenue pour le traitement de l’indicateur relatif aux temps de latence qui « permet notamment de savoir combien de minutes (entre une et dix) se sont écoulées “ entre le moment où un employé a badgé à l’entrée du site et celui où il a effectué son premier scan de la journée” » (point 85). Pour la CNIL, d’autres indicateurs peuvent être utilisés pour atteindre la finalité escomptée. En effet, le traitement de cet indicateur conduit le salarié « à devoir potentiellement justifier, à chaque arrivée sur site, transition ou reprise de poste, de tout temps de latence de son scanner inférieur à dix minutes », ce qui peut « avoir des répercussions négatives sur le salarié » (point 85).
Pour atteindre cette finalité, la société Amazon utilise l’ensemble des données brutes et statistiques de qualité et de productivité de chaque salarié. Ces données sont accessibles en temps réel, ainsi que pendant 31 jours où elles restent conservées. Un tel accès et une telle conservation ne sont pas jugés nécessaires par la CNIL. La société Amazon peut, par exemple ; se reposer sur des statistiques hebdomadaires individuelles relatives à la productivité et à la qualité pour avoir « une vue représentative des performances d’un salarié afin de lui procurer le meilleur conseil/support (coaching) au cours de ses heures de travail ou de décider de son éventuelle réaffectation » (point 99).
La Commission décide que les traitements mis en œuvre pour atteindre cette finalité méconnaissent le RGPD à plusieurs égards :
- l’utilisation de données détaillées de productivité des 31 derniers jours de chaque salarié viole le principe de minimisation de la collecte dès lors que des données moins intrusives peuvent être utilisées dans le but de planifier le travail ;
- le traitement de l’indicateur destiné à renseigner sur les périodes d’inactivité des salariés à des fins de contrôle du travail effectif durant ce temps de travail ne repose sur aucune base juridique. Ce traitement « contraint le salarié à être en mesure de justifier de tout temps considéré comme non productif et équivaut ainsi à surveiller informatiquement ses interruptions tout au long de sa journée de travail ». Cette situation induit des répercussions négatives sur le salarié et porte une atteinte excessive à ses droits et libertés, de sorte que la base légale de la poursuite d’intérêts légitimes par le responsable du traitement ne peut être retenue ;
- le traitement de l’intégralité des données brutes et statistiques de productivité et de qualité des 31 derniers jours à des fins d’évaluation hebdomadaire des performances et de formation individuelle est disproportionné dès lors que la société Amazon dispose d’autres indicateurs moins intrusifs permettant d’atteindre ce résultat.