Mise à jour du 4 août 2021 : nous venons de recevoir ce courrier de la CNIL nous donnant plus de précision sur la décision rendue au Luxembourg. En résumé :
- l’autorité du Luxembourg a bien reconnu, comme nous le lui demandions, que Amazon nous ciblait à des fins publicitaires sans base légale et violait donc le RGPD (Amazon prétendait, à tort, que le contrat que nous passions avec lui pour utiliser ses services pouvait nous forcer à accepter ce ciblage) ;
- Amazon a 6 mois pour corriger ce défaut de base légale (c’est à dire, mettre fin au ciblage publicitaire ou obtenir notre consentement libre pour ce faire) ;
- au delà de ce délai, Amazon devra payer une astreinte de 746 000 € par jour de retard (c’est exactement la mesure que nous demandions) ;
- les autorités de protection des données des autres États européens avaient donné leur accord à la décision rendue par l’autorité du Luxembourg (cela renforce d’autant plus la pression mise sur l’autorité Irlandaise pour nos quatre autres plaintes).
Le 16 juillet 2021, l’autorité luxembourgeoise de protection des données personnelles s’est enfin prononcée sur notre plainte collective déposée par 10 000 personnes contre Amazon en mai 2018. Cette décision intervient après trois années de silence qui nous avaient fait craindre le pire (relire nos craintes qui, s’agissant du cas d’Amazon, sont donc aujourd’hui caduques).
La décision, révélée par Bloomberg (mais qui ne nous avait pas encore été transmise), semble sans ambiguïté : le système de ciblage publicitaire imposé par Amazon est réalisé sans notre consentement libre, en violation du RGPD. L’entreprise est condamnée à une amende de 746 millions d’euros. Il s’agit du nouveau record européen en matière d’amendes prononcées contre une violation du RGPD (le record précédent était l’amende de 50 millions rendue contre Google par la CNIL, toujours dans le cadre de nos plaintes collectives – relire notre réaction).
En réaction à cette sanction historique, Amazon se plaint auprès de Bloomberg, faisant mine de ne pas comprendre ce qui est visé : « il n’y a aucune fuite de données, aucune donnée client n’a été exposée à des tiers ». Et pour cause : c’est le système-même de la publicité ciblée que nos plaintes comptent balayer dans son ensemble, et non pas quelques failles de sécurité occasionnelles. Cette sanction historique frappe au cœur le système de prédation des GAFAM et doit être applaudie en tant que telle.
En contraste, cette sanction historique rend encore plus flagrante la démission généralisée de l’autorité irlandaise de protection des données qui, en trois ans, n’a été capable de clore aucune des quatre autres plaintes que nous avions engagées contre Facebook, Apple, Microsoft et Google (relire nos critiques qui, sur ces cas, sont plus que jamais d’actualité).
La posture exemplaire de l’autorité luxembourgeoise est aussi une douche froide pour la CNIL en France qui, pendant longtemps, faisait figure en Europe de tête de file pour la protection des données. Aujourd’hui, la CNIL n’est plus que l’ombre d’elle même, alors que nos plaintes collectives, initialement introduites devant elle, lui offraient l’occasion idéale d’être le fer de lance du RGPD contre les violations systémiques des données personnelles au cœur du modèle économique des GAFAM.
Alors que l’enthousiasme de 2018 commençait à nous quitter et que nous craignions que la lutte juridique contre les GAFAM soit devenue impossible, c’est du Luxembourg (qui l’eut cru !) que nous revient notre espoir initial. Le modèle de domination économique fondée sur l’exploitation de notre vie privée et de notre libre arbitre est profondément illégitime et contraire à toutes les valeurs que nos sociétés démocratiques prétendent défendre. Nous continuerons donc à lutter contre cette domination, avec votre aide !