Amende CNIL pour violation des données personnelles : réduction et réformation des manquements

RÉPUBLIQUE FRANCAISE

AU NOM DU PEUPLE FRANCAIS

Vu la procédure suivante :

Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 22 mars et 21 juin 2024 et le 12 mars 2025 au secrétariat du contentieux du Conseil d’Etat, la société Amazon France Logistique demande au Conseil d’Etat :

1. à titre principal, d’annuler la délibération n° SAN-2023-021 du 27 décembre 2023 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a, d’une part, prononcé à son encontre une amende administrative de 32 000 000 euros et, d’autre part, rendu publique cette délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication ;
2. à titre subsidiaire, de réformer la délibération attaquée et réduire le montant de cette amende administrative à de plus justes proportions ;
3. de saisir la Cour de justice de l’Union européenne à titre préjudiciel sur l’interprétation du règlement général sur la protection des données ;
4. de mettre à la charge de la Commission nationale de l’informatique et des libertés la somme de 10 000 euros au titre de l’article L. 761-1 du code justice administrative.

Vu les autres pièces du dossier ;

Vu :

• le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
• la loi n° 78-17 du 6 janvier 1978 ;
• le décret n° 2019-536 du 29 mai 2019 ;
• le code de justice administrative ;

Après avoir entendu en séance publique :

• le rapport de M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire,
• les conclusions de Mme Leila Derouich, rapporteure publique ;

La parole ayant été donnée, après les conclusions, à la SARL Matuchansky, Poupot, Valdelièvre, Rameix, avocat de la société Amazon France Logistique ;

Vu la note en délibéré, enregistrée le 12 décembre 2025, présentée par la Commission nationale de l’informatique et des libertés ;

Considérant ce qui suit :

1. Il résulte de l’instruction qu’à la suite de missions de contrôle des services de la Commission nationale de l’informatique et des libertés (CNIL) intervenues en novembre 2019 au sein des locaux administratifs et de deux entrepôts de la société Amazon France Logistique, suivies d’échanges écrits entre cette dernière et les services de la CNIL, puis d’une instruction contradictoire en application de l’article 22 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la formation restreinte de la CNIL a, par une délibération n° SAN-2023-021 du 27 décembre 2023, prononcé à l’encontre de la société Amazon France Logistique une amende administrative de 32 000 000 euros pour violation du règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données, dit A…. La formation restreinte de la CNIL a retenu plusieurs manquements aux dispositions du f) du 1. de l’article 6 du A…, plusieurs manquements au principe de minimisation des données prévu au c) du 1. de l’article 5 du même règlement, deux manquements aux obligations d’information découlant des articles 12 et 13 de ce règlement et, enfin, un manquement à l’obligation d’assurer la sécurité d’un traitement prévue par l’article 32 du A…. La formation restreinte a également décidé de rendre publique, sur le site de la CNIL et sur le site Légifrance, cette délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. La société Amazon France Logistique demande l’annulation de cette délibération en tant qu’elle a retenu des manquements aux articles 5 et 6 du A… et prononcé une sanction en conséquence.
2. Sur les manquements sanctionnés :

En ce qui concerne les manquements à l’article 6 du A… :

1. Aux termes du 1. de l’article 6 du A… :  » Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : / (…) f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant « . Selon le considérant 75 de ce même règlement :  » Des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données à caractère personnel qui est susceptible d’entraîner des dommages physiques, matériels ou un préjudice moral, en particulier : (…) lorsque le traitement porte sur des données à caractère personnel relatives à des personnes physiques vulnérables, en particulier les enfants; ou lorsque le traitement porte sur un volume important de données à caractère personnel et touche un nombre important de personnes concernées « .
2. En premier lieu, si Amazon France Logistique soutient que la formation restreinte de la CNIL aurait procédé à la mise en balance entre son intérêt légitime et les droits et libertés de ses employés et intérimaires en considérant que ces derniers sont par principe des personnes vulnérables au sens du considérant 75 du A…, il ressort des termes de la délibération attaquée que la formation restreinte n’a pris en compte la vulnérabilité de ces personnes que pour justifier les mesures de publicité de la délibération litigieuse. Ne peuvent, par suite, qu’être écartés les moyens selon lesquels la formation restreinte aurait, en infligeant la sanction contestée, commis une erreur de droit, une erreur d’appréciation ou à tout le moins insuffisamment motivé la délibération attaquée pour avoir présumé que les salariés devaient être considérés comme des personnes vulnérables.
3. En deuxième lieu, selon la délibération attaquée, le traitement en temps réel de l’indicateur dit  » stow machine gun  » aurait un caractère intrusif important de nature à avoir des répercussions négatives sur les salariés, en établissant une surveillance continue des délais, de l’ordre de la seconde, associés à chacune des actions des salariés affectés à une tâche dite directe, et irait au-delà des attentes raisonnables de ces derniers. La formation restreinte de la CNIL en a déduit que ce traitement excèderait ce qui est nécessaire aux fins des intérêts légitimes de la requérante, au motif qu’il porterait une atteinte excessive au droit des salariés à la protection de leur vie privée et personnelle ainsi qu’à leur droit à des conditions de travail qui respectent leur santé et leur sécurité.
4. Il résulte cependant de l’instruction que ce traitement de l’indicateur en cause n’est susceptible d’être mis en œuvre que lors de l’exécution par un salarié d’une tâche de rangement aléatoire des articles dans l’entrepôt, qui constitue l’une des quatre tâches dites directes susceptibles d’être accomplies par les employés selon la typologie retenue par Amazon France Logistique pour l’organisation des activités de ses salariés, et non pour toutes les tâches directes. Dans ce cadre, il résulte de l’instruction que l’indicateur en cause est émis et donne lieu à un traitement dans un logiciel de suivi accessible aux supérieurs hiérarchiques des salariés uniquement lorsque moins de 1,25 seconde séparent deux lectures de codes-barres d’articles à ranger. Cet indicateur a pour objet et pour effet de signaler que deux gestes professionnels se sont succédés dans un intervalle de temps particulièrement bref, possiblement anormal, afin de repérer d’éventuelles erreurs de manipulation et de rangement au sein des entrepôts et pouvoir y remédier. Dans ces conditions, il ne peut être regardé comme imposant aux employés des contraintes de rapidité d’exécution des tâches de rangement qui leur incombe, portant atteinte à leur vie privée ou à leur droit à des conditions de travail respectueuses de leur santé et de leur sécurité. Eu égard aux contraintes inhérentes à l’activité logistique de la société requérante, il ne peut être regardé comme excédant ce que la société peut raisonnablement attendre de l’activité de ses salariés. Dans ces conditions, et alors que la formation restreinte de la CNIL a reconnu l’intérêt légitime de la société requérante à s’assurer de la qualité et la sécurité de ses processus de travail, la société Amazon France Logistique est fondée à soutenir que la délibération attaquée est entachée d’une erreur d’appréciation en ce qu’elle retient que le traitement en temps réel de cet indicateur aux fins de gestion des stocks et commandes serait dépourvu de base juridique au titre du f) du 1. de l’article 6 du A…. La société requérante est, par suite, fondée à demander la réformation de la délibération attaquée dans cette mesure.
5. En troisième lieu, la délibération attaquée retient que les traitements aux fins de gestion des stocks et des commandes de l’indicateur des temps d’inactivité, dit  » idle time « , enregistrant, au-delà de dix minutes consécutives, le temps d’inactivité d’un scanner portatif utilisé par un employé dans le cadre d’une tâche dite directe, ainsi que de l’indicateur dit  » temps de latence « , enregistrant tout temps d’inactivité d’un même scanner en début et fin de journée de travail et avant et après les périodes de pause, seraient disproportionnés au regard des intérêts et des droits des salariés à la protection de leur vie privée et personnelle ainsi qu’à des conditions de travail qui respectent leur santé et leur sécurité. La délibération attaquée en déduit que les traitements de ces deux indicateurs à des fins, dont elle reconnaît la légitimité, de gestion des stocks et des commandes, et du seul indicateur dit  » idle time  » à des fins, dont la formation restreinte a également reconnu la légitimité, de fourniture d’un support immédiat au salarié, de contrôle effectif du temps de travail, de formation et, enfin, d’évaluation des salariés seraient donc dépourvus de base juridique en méconnaissance des dispositions du f) du 1. de l’article 6 du A….
6. Il résulte de l’instruction que ces deux indicateurs ont pour objet, ainsi que le fait valoir la société requérante, de signaler des interruptions d’activité qui ne peuvent être décelées par les autres indicateurs mis en œuvre, afin d’en identifier les causes, et qu’ils n’ont pas, par eux-mêmes, pour objet de collecter des informations d’ordre personnel sur les salariés. Du fait de leur utilisation, les employés sont néanmoins susceptibles, après des signalements, de devoir faire valoir certains motifs pouvant relever de leur vie privée et personnelle en réponse aux éventuelles demandes d’explications de leurs supérieurs hiérarchiques. Le traitement de ces indicateurs n’est ainsi pas dépourvu de tout effet sur la vie privée des salariés. Toutefois, il résulte de l’instruction que l’indicateur de temps d’inactivité est uniquement émis et traité lorsque le scanner portatif utilisé par un salarié affecté à l’une des quatre tâches directes est inactif pendant une durée de plus de dix minutes consécutives et qu’il n’est en revanche pas émis pour toute période d’inactivité inférieure à cette durée, quelle qu’en soit la fréquence, et qu’il n’a pas vocation à régir les temps de pause légalement et contractuellement prévus au bénéfice des salariés. Dans ces conditions, la société requérante est fondée à soutenir que la délibération attaquée est entachée d’une erreur d’appréciation pour avoir retenu que le traitement de cet indicateur, pour des finalités dont la formation restreinte a reconnu la légitimité, porterait une atteinte excessive au droit des salariés au respect de leur vie privée et à leur droit à des conditions de travail respectueuses de leur santé et de leur sécurité. La société Amazon France Logistique est, par suite, fondée à demander la réformation de la délibération attaquée en ce qu’elle retient que le traitement de l’indicateur dit  » idle time  » serait dépourvu de base juridique au sens du f) du 1. de l’article 6 du A….
7. Il résulte en outre de l’instruction que l’indicateur dit  » temps de latence  » n’est émis et traité que pendant une durée limitée précédant ou suivant immédiatement les temps de pause durant lesquels les salariés peuvent répondre à des impératifs d’ordre personnel. Il ne peut être regardé comme portant une atteinte excessive au droit des salariés au respect de leur vie privée, ni à leur droit à des conditions de travail respectueuses de leur santé et de leur sécurité. Par suite, la société Amazon France Logistique est également fondée à demander la réformation de la délibération attaquée en ce qu’elle retient que le traitement de l’indicateur dit  » temps de latence  » à des fins légitimes de gestion des stocks et des commandes serait dépourvu de base juridique au sens du f) du 1. de l’article 6 du A….
3. En ce qui concerne les manquements à l’article 5 du A… :

Aux termes de l’article 5 du A… :  » 1. Les données à caractère personnel doivent être : / (…) c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ; / (…) 2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité) « .

1. La société Amazon France Logistique soutient que la formation restreinte de la CNIL aurait entaché sa délibération d’erreur d’appréciation en retenant des manquements au principe de minimisation des données en raison, d’une part, de la conservation de l’ensemble des indicateurs de qualité et de productivité pendant une durée de 31 jours à des fins de réaffectation et de conseil ou d’accompagnement des salariés, d’autre part, de la conservation pendant la même durée des données brutes et statistiques de productivité de chaque salarié aux fins de planification du travail et, enfin, de la conservation de ces mêmes données pendant la même durée ainsi que de la comptabilisation, dans des rapports de performance hebdomadaires, de données statistiques de qualité et de productivité ainsi que des données brutes relatives aux erreurs qualité.
2. Il ressort de la délibération attaquée que la formation restreinte de la CNIL a conclu à la méconnaissance du principe de minimisation en raison du caractère disproportionné tant de la nature, du nombre et du niveau très élevé de précision des données ainsi conservées de façon indifférenciée, que de la durée de conservation de ces données. Alors que les dispositions du 2. de l’article 5 du A… imposent au responsable de traitement de démontrer que ce dernier respecte les exigences du 1. du même article, la société requérante n’établit pas la nécessité, au regard des différentes finalités citées au point précédent, de conserver chacun des indicateurs litigieux sur une durée longue de 31 jours. Dans ces conditions, la société Amazon France Logistique n’est pas fondée à soutenir que la formation restreinte de la CNIL, qui n’était pas tenue, au titre du contrôle de la minimisation des données, de rechercher si le traitement d’un volume de données moins important pour une durée moins longue aurait été aussi efficace pour la société que les traitements litigieux, aurait entaché sa délibération d’erreur d’appréciation en retenant que l’exigence de minimisation des données avait été méconnu.
4. Sur la sanction :

Aux termes du 7° du IV de l’article 20 de la loi du 6 janvier 1978, pour prononcer une amende administrative à l’encontre d’un responsable de traitement qui ne respecte pas les obligations résultant du A…, la formation restreinte de la CNIL prend en compte les critères précisés à l’article 83 de ce règlement, qui prévoit que les amendes administratives imposées par les autorités de contrôle nationales doivent, dans chaque cas, être  » effectives, proportionnées et dissuasives « . Selon les dispositions du 2. de ce dernier article, pour décider d’imposer une amende et, le cas échéant, en fixer le montant, qui, conformément au 5. du même article, ne peut excéder, en cas de manquement aux articles 5 et 6 du même règlement, 20 000 000 d’euros ou, s’agissant d’une entreprise, 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, la formation restreinte de la CNIL doit prendre en considération  » a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ; / b) le fait que la violation a été commise délibérément ou par négligence ; / c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ; / d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des articles 25 et 32 ; / e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ; / f) le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ; / g) les catégories de données à caractère personnel concernées par la violation ; / h) la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ; / i) lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ; / j) l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes de certification approuvés en application de l’article 42 ; et / k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation « .

5. En ce qui concerne la motivation de la sanction :

Aux termes de l’article 43 du décret du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 :  » La décision de la formation restreinte énonce les considérations de droit et de fait sur lesquels elle est fondée « .

Il résulte de ces dispositions que, dans l’hypothèse où la légalité d’une décision de la formation restreinte de la CNIL repose sur la prise en compte de différentes considérations, le respect de l’exigence de motivation qu’elles prévoient ne conduit la formation restreinte à devoir énoncer que celles sur lesquelles se fonde la décision qu’elle prend. Il ne résulte en outre d’aucune disposition que la formation restreinte de la CNIL devrait procéder à une explicitation du montant des sanctions qu’elle prononce. Il suit de là que la formation restreinte de la CNIL, qui n’avait pas à indiquer les éléments chiffrés relatifs au mode de détermination du montant de la sanction infligée, n’a pas insuffisamment motivé sa décision.

6. Par ailleurs, si seuls certains traitements aux fins de suivi de l’activité et d’évaluation de la performance des salariés mis en œuvre par Amazon France Logistique ont été sanctionnés par la délibération attaquée, il résulte de cette dernière que la décision d’infliger une amende administrative n’est fondée, en ce qui concerne les traitements poursuivant ces finalités, que sur ceux d’entre eux qui ont été expressément condamnés par la délibération. Le moyen selon lequel la motivation de la délibération attaquée serait ambigüe doit, en tout état de cause, être écarté.
7. En ce qui concerne le bien-fondé de la décision d’imposer une amende administrative :

Il ressort des dispositions du b) du 2. de l’article 83 du A…, telles qu’interprétées par la Cour de justice de l’Union européenne, que l’établissement d’une violation fautive, commise délibérément ou par négligence, constitue une condition à l’imposition d’une amende et qu’un responsable de traitement peut être sanctionné pour un comportement entrant dans le champ d’application du A… dès lors qu’il ne pouvait ignorer le caractère infractionnel de son comportement, qu’il ait eu ou non conscience d’enfreindre les dispositions du A….

8. Pour infliger une amende administrative à la société Amazon France Logistique, la formation restreinte de la CNIL a notamment retenu que le manquement au principe de minimisation des données, retenu à bon droit ainsi qu’il a été dit précédemment, traduit une négligence grave de la société requérante à l’égard d’un principe fondamental énoncé par le A…. Il résulte de l’instruction qu’eu égard au volume important de données conservées, pendant une durée dont la société Amazon France Logistique n’est pas en mesure d’établir la nécessité, cette dernière ne pouvait ignorer le caractère infractionnel de son comportement. La société Amazon France Logistique n’est, par suite, pas fondée à soutenir que la formation restreinte de la CNIL aurait commis une erreur de droit et une erreur d’appréciation en décidant de lui infliger une amende administrative après avoir retenu qu’elle a fait preuve de négligence grave.
9. Enfin, si la formation restreinte a relevé le caractère inédit des traitements litigieux, elle n’en a tiré, contrairement à ce que soutient la société requérante, aucune incidence sur la caractérisation de la gravité des manquements et a seulement appliqué les critères prévus par les dispositions du a) de l’article 83 du A….
10. En ce qui concerne le montant de l’amende administrative :

Il résulte de ce qui a été dit précédemment que, contrairement à ce qu’a retenu la délibération attaquée, les traitements en temps réel des indicateurs dits  » stow machine gun « ,  » idle time  » et  » temps de latence  » ne traduisent pas de manquements aux dispositions du f) du 1. de l’article 6 du A….

D’autre part, c’est à bon droit que la délibération attaquée a retenu que la conservation indifférenciée de l’ensemble des indicateurs pendant une durée de 31 jours pour des traitements ayant diverses finalités constitue un manquement au principe de minimisation des données prévu par les dispositions du c) du 1. de l’article 5 du A….

Enfin, Amazon France Logistique ne conteste pas la délibération attaquée en ce qu’elle a retenu un manquement aux articles 12 et 13 du A… s’agissant d’un défaut d’information des intérimaires quant à la politique de confidentialité applicable en matière de ressources humaines, un manquement à l’article 13 du A… s’agissant de l’insuffisance des informations relatives à la mise en œuvre de la vidéosurveillance au sein de deux de ses entrepôts et, enfin, deux manquements à l’article 32 du même règlement relatifs à l’insuffisance des mesures de sécurisation de l’accès au logiciel de vidéosurveillance gérant certaines caméras d’un de ses entrepôts.

Dans ces conditions, il y a lieu de réformer le montant de l’amende administrative prononcée par la délibération attaquée. Il sera fait une juste appréciation de l’ensemble des circonstances de l’espèce en ramenant le montant de l’amende administrative infligée à la société Amazon France Logistique à la somme de 15 000 000 euros.

Il résulte de tout ce qui précède, sans qu’il y ait lieu de saisir la Cour de justice de l’Union européenne à titre préjudiciel en l’absence de doute raisonnable quant à l’interprétation des règles en cause, que la société requérante n’est fondée à demander la réformation de la délibération qu’elle attaque qu’en tant qu’elle a retenu que les traitements des indicateurs dits  » stow machine gun « ,  » idle time  » et  » temps de latence  » constituent un manquement aux dispositions du f) du 1. de l’article 6 du A… et lui a imposé une amende administrative excédant la somme de 15 000 000 euros.

La présente décision, qui réforme le montant d’une sanction prononcée par la délibération attaquée, publiée sur le site internet de la CNIL et sur le site Légifrance, implique que la CNIL en assure la publication selon les mêmes modalités que celles qu’elle avait retenues pour sa délibération.

11. Sur les conclusions au titre de l’article L. 761-1 du code de justice administrative :

Il y a lieu de mettre à la charge de la CNIL la somme de 3 000 euros à verser à la société Amazon Logistique France au titre des frais exposés et non compris dans les dépens.

D E C I D E :

1. Article 1er : Le montant de l’amende administrative prononcée à l’encontre de la société Amazon France Logistique par la délibération de la formation restreinte de la CNIL du 27 décembre 2023 est ramené à 15 000 000 euros.
2. Article 2 : La délibération de la formation restreinte de la CNIL du 27 décembre 2023 est réformée en ce qu’elle a de contraire à la présente décision.
3. Article 3 : La présente décision sera publiée sur le site internet de la CNIL et sur le site Légifrance dans les mêmes conditions que la délibération ainsi réformée.
4. Article 4 : La CNIL versera à la société Amazon Logistique France la somme de 3 000 euros en application des dispositions de l’article L. 761-1 du code de justice administrative.
5. Article 5 : Le surplus des conclusions de la requête est rejeté.
6. Article 6 : La présente décision sera notifiée à la société Amazon Logistique France et à la Commission nationale de l’informatique et des libertés.

Délibéré à l’issue de la séance du 12 décembre 2025 où siégeaient : M. Jacques-Henri Stahl, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, M. Nicolas Polge, M. Vincent Daumas, Mme Rozen Noguellou, M. Christophe Barthélemy, conseillers d’Etat et M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire-rapporteur.

Rendu le 23 décembre 2025.

Le président :
Signé : M. Jacques-Henri Stahl

Le rapporteur :
Signé : M. Emmanuel Weicheldinger

La secrétaire :
Signé : Mme Reine-May Solente

ECLI:FR:CECHR:2025:492830.20251223