La CNIL inflige une amende de 32 millions d'euros à Amazon France Logistique pour avoir trop surveillé ses salariés

La Commission a mis en cause les scanners utilisés par chaque employé, qui enregistrent des données d’activité. La durée de conservation trop longue de ces données est notamment pointée du doigt. L'entreprise a déclaré être « en profond désaccord » avec ces conclusions et se réserve le droit de faire appel de la sanction.

Mise à jour du 26/01 à 18h20 : ajout de la réaction d’Amazon.

La Commission nationale de l’informatique et des libertés (CNIL) a annoncé mardi 23 janvier avoir sanctionné fin décembre 2023 la société Amazon France Logistique d’une amende de 32 millions d’euros. La raison : l’entreprise gérant les entrepôts de grande taille du groupe Amazon a mis en place un système de surveillance de l’activité et des performances des salariés jugé « excessivement intrusif » par l’autorité administrative.

« À la suite d’articles de presse visant certaines pratiques mises en œuvre par la société dans ses entrepôts, la CNIL a procédé à plusieurs missions de contrôles », a expliqué la CNIL dans un communiqué, précisant qu’elle a également reçu plusieurs plaintes de salariés.

Dans tous les entrepôts Amazon, chaque salarié préparateur de commande possède un scanner pour valider le stockage ou le prélèvement d’un article dans l’entrepôt. À chaque scan, des données sont enregistrées et mises à disposition des supérieurs, qui peuvent connaître avec précision la productivité, la qualité du travail et les périodes d’inactivité de chaque salarié.

C’est sur ce point précis du temps d’inactivité, comptabilisé à partir de dix minutes d’interruption d’un scanner, que la CNIL a notamment sévi, jugeant « illégale la mise en place d’un système mesurant aussi précisément les interruptions d’activité et conduisant le salarié à devoir potentiellement justifier de chaque pause ou interruption ». En cela, l’entreprise a enfreint le règlement général sur la protection des données (RGPD), a jugé la CNIL.

Des données conservées trop longtemps

L’autorité a également considéré que le système de mesure de la vitesse d’utilisation du scanner lors du rangement des articles était « excessif ». La CNIL a expliqué que, partant du principe que des articles scannés très vite augmentaient le risque d’erreur, un indicateur mesurait si un objet avait été scanné moins de 1,25 seconde après le précédent.

L’indicateur comptabilisant les périodes d’interruption d’un scanner entre une et dix minutes, est lui aussi pointé du doigt : « [Ce traitement] est disproportionné à des fins de gestion des inventaires et commandes en temps réel, y compris afin prodiguer un conseil ou un support à un salarié qui rencontrerait un problème sur une tâche. »

Toutes ces données concernant salariés et intérimaires recueillies par le scanner sont conservées durant 31 jours. « Excessif », a là aussi estimé la CNIL, expliquant néanmoins ne pas avoir « remis en cause le fait que les contraintes très fortes pesant sur l’activité d’Amazon, et les objectifs de performance élevée que l’entreprise s’est fixés, peuvent justifier le dispositif de scanner ». Pour l’autorité administrative, les statistiques agrégées sur la semaine suffisent pour évaluer la maîtrise du poste par un salarié.

Mais la faute réside dans les traitements des données : ceux-ci « se distinguent des méthodes de suivi d’activité classique en raison de l’échelle à laquelle ils étaient mis en œuvre, tant au regard de leur exhaustivité que de leur permanence, et conduisent à un suivi très resserré et détaillé du travail des salariés », faisant peser à ces plusieurs milliers d’employés « une pression continue », a dénoncé la Commission.

Autre argument avancé par la CNIL : cette surveillance de masse « participe directement aux gains économiques de la société et lui permet de bénéficier d’un avantage concurrentiel sur les autres entreprises du secteur de la vente en ligne ».

La vidéosurveillance également épinglée

La CNIL a également relevé un manquement à l’obligation d’information et de transparence au regard du RGPD concernant les systèmes de vidéosurveillance. Les salariés et les visiteurs extérieurs n’étaient pas correctement informés, « puisque certaines informations exigées par l’article 13 du RGPD n’étaient fournies ni sur les panneaux d’affichage, ni dans d’autres supports ou documents », a-t-elle expliqué.

L’autorité a également relevé une sécurisation défaillante de l’accès au logiciel de vidéosurveillance, en raison d’un mot de passe insuffisamment complexe et d’un compte partagé entre plusieurs utilisateurs. « Ce cumul de défauts de sécurité rend la traçabilité des accès aux images vidéo, ainsi que l’identification de chaque personne ayant effectué des actions sur le logiciel, plus difficiles », a estimé la CNIL.

Des systèmes « nécessaires » pour le bon fonctionnement des entrepôts, selon Amazon

L’entreprise a réagi à propos de cette décision dans un article publié sur le site corporate français de la multinationale, déclarant être « en profond désaccord avec les conclusions de la CNIL qui sont factuellement incorrectes ». Selon Amazon, « l’utilisation de systèmes de gestion d'entrepôt est une pratique courante du secteur : ils sont nécessaires pour garantir la sécurité, la qualité et l'efficacité des opérations et pour assurer le suivi des stocks et le traitement des colis dans les délais et conformément aux attentes des clients ». L’entreprise a assuré avoir « travaillé de manière constructive avec la CNIL tout au long de la procédure pour répondre aux questions qu'elle a soulevées ».

Sur l’indicateur qui mesure si un objet est scanné moins de 1,25 seconde après le précédent, Amazon a assuré que l’objectif est « que chaque article soit correctement inspecté avant d'être stocké, et ce afin de garantir que nos clients reçoivent le produit qu'ils ont commandé dans l'état auquel ils s'attendent ».

Sur l’indicateur de temps d’inactivité supérieur à 10 minutes, l’entreprise s’est justifiée en indiquant qu’il permettait « d’identifier une défaillance continue et anormale dans notre chaîne d'approvisionnement et de remédier à la situation ». Ce délai va néanmoins passer de 10 à 30 minutes, dans le cadre des modifications proposées par Amazon à la CNIL.

L’entreprise a annoncé qu’elle se réservait le droit de faire appel de cette sanction.