Passe d’armes jeudi entre Amazon et la Commission nationale pour la protection des données (CNPD) à la Cour administrative de Luxembourg. Le géant mondial du e-commerce conteste une deuxième fois l’amende record prononcée à son encontre le 15 juillet 2021 par l’autorité responsable nationalement de la bonne application du RGPD (règlement général sur la protection des données). Les 746 millions d’euros infligés, assortis d’une astreinte journalière de 746 000 euros tant que les problèmes n’ont pas été résolus, avaient été confirmés le 18 mars dernier en première instance par le tribunal administratif.
Depuis, Donald Trump a confirmé sa défiance envers l’Union européenne et ses règlementations qui nuiraient aux GAFAM… groupes dont les dirigeants ont prêté allégeance au truculent président. C’est dans ce contexte qu’ont plaidé les avocats luxembourgeois d’Amazon devant les juridictions administratives (logées dans le Klenge Kueb où se trouve l’ancien hémicycle du Parlement européen). « Il est assez clair qu’on est ici face à un régulateur qui a été trop loin », a introduit Thomas Berger, « head of Luxembourg disputes » chez A&O Shearman. La CNPD aurait transformé « une divergence d’opinion en un fondement pour une amende de plusieurs centaines de millions », a taclé l’avocat d’Amazon. En fond, l’utilisation de la publicité basée sur les intérêts (PBI) par le géant du e-commerce. Ce dernier a fondé la collecte et le recours aux données personnelles (collectées par cookies) sur un intérêt légitime, comme le permet théoriquement le RGPD (à côté d’autres alternatives comme le consentement de l’utilisateur). Mais il faut le cas échéant mettre en place, en contrepartie, un ensemble de garanties.
En première instance, l’avocat de la CNPD, Vincent Wellens avait expliqué que le responsable de traitement devait prouver que les intérêts de celui qui collecte et exploite les données prévalaient sur ceux des personnes physiques. « Cette mise en balance des intérêts requiert que le traitement ne dépasse pas les attentes raisonnables des consommateurs et cela requiert au moins une transparence absolue de la part de l’opérateur (Amazon Europe Core, ndlr) dans ses notices relatives à la protection des données », avait détaillé l’associé chez NautaDutilh. La CNPD avait jugé qu’Amazon manquait à ces obligations et avait infligé une amende, fraction du chiffre d’affaires du groupe. La CNPD, autorité dans la juridiction du siège européen d’Amazon, avait été désignée comme autorité compétente en 2018 après une plainte déposée auprès de la Cnil (autorité française) par l’association la Quadrature du Net Cette dernière représentait 10 000 consommateurs mécontents de la collecte des cookies sans leur consentement. Une enquête avait été ouverte en 2019.
Ce jeudi, les avocats d’Amazon ont reproché à la CNPD de ne pas avoir guidé Amazon dans la mise en œuvre du RGPD. « Ce différend n’aurait dû jamais voir le jour. La CNPD aurait pu partager ses attentes », a avancé Catherine Di Lorenzo en soutien du groupe américain. Mais pour la CNPD, il y a eu faute caractérisée. Les faits auraient même été confirmés dans un rapport d’audit contresigné par Amazon. « Il se peut que la totalité des consommateurs européens aient été concernés », a ajouté Ottavio Covolo au nom de l’instance administrative, se basant sur le 1,5 milliard de devices concernés par la publicité comportementale d’Amazon en Europe. « Il ne s’agit pas d’une vulgaire différence d’opinion mais d’un exercice de fond dangereux pour les personnes concernées », a poursuivi l’avocat. Et le montant de l’amende, contesté par Amazon, serait tout à fait adapté : « Amazon génère assez de revenus en 24 heures pour la payer », a ainsi asséné Wellens. « Des infractions pénales bien plus graves sont sanctionnées par des montants bien plus bas », a rétorqué Berger.
Depuis l’entrée en vigueur en 2023 du règlement sur les marchés numériques (ou DMA selon le sigle anglais), Amazon (en tant que gatekeeper) se voit imposer de demander le consentement des utilisateurs pour la PBI. L’astreinte journalière n’est donc plus exigée par la CNPD (puisque le problème est résolu). La faute commise mérite-t-elle toujours la sanction ? Les juridictions administratives ne produisent pas de date de prononcé, mais le président de la Cour assure qu’elle interviendra au plus vite, en tout cas avant quatorze mois, « car je serai alors à la retraite », a plaisanté Francis Delaporte.