Amazon a demandé le huis-clos vendredi dernier pour les premières plaidoiries dans son litige avec la Commission nationale de protection des données (CNPD), pour protéger ses intérêts commerciaux et s’épargner « une publicité négative », selon les termes du président. Celui-ci répond néanmoins que la présence de la presse aux audiences « fait partie du jeu », et qu’organiser la justice entre soi est contraire à la Convention européenne des droits de l’Homme, et rejette ainsi la demande. Un halo de mystère entoure la décision choc prononcée par la CNPD l’été dernier. Elle n’est apparue au grand public que par la publication des comptes d’Amazon. (La délibération n°26 manque dans les publications sur le site de la CNPD). L’autorité qui supervise le traitement des données personnelles a sanctionné le 15 juillet dernier d’une amende, inédite et record en Europe, la filiale Amazon Europe Core (AEC). Celle-ci doit payer 746 millions d’euros d’amende pour avoir dérogé au règlement européen sur la protection des données (RGPD), une sanction contestée par la firme américaine. Un courrier de la Commission nationale de l’informatique et des libertés française, liée à l’affaire par le plaignant La Quadrature du net, basé en France, avait en outre informé qu’Amazon est notamment condamnée pour des ciblages publicitaires abusifs, un manque de transparence de ses traitements et trop peu d’accès accordé aux utilisateurs à leurs données stockées. L’injonction de mise en conformité est assortie d’une astreinte de 746 000 euros pour chaque jour de retard.
L’on apprend au tribunal administratif que ladite astreinte courra à partir du 15 janvier prochain. AEC a ouvert une contestation en référé pour suspendre la menace. « AEC n’a aucune idée de ce qu’elle doit faire. C’est quand même problématique de notre point de vue », a fait savoir Thomas Berger, avocat chez Allen & Overy, qui représente la partie requérante ce vendredi aux côtés de trois confrères associés au dossier. Ils sont trois côté CNPD. Autant d’avocats dans un contexte de pandémie, « pour un référé, je me demande si c’est bien sérieux », s’est inquiété le président du tribunal.
Pour l’heure, l’amende et la publication de la décision sont suspendues jusqu’à l’épuisement des voies de recours ouvertes par AEC. Le flou demeure sur l’astreinte. « Que se passe-t-il concrètement le 15 janvier? », demande le tribunal. Vincent Wellens (du cabinet NautaDutilh) explique que son mandant, la CNPD, regardera si les points problématiques ont été corrigés et qu’il y aura une nouvelle décision, attaquable elle-aussi. Mais les plaidoiries de la CNPD éclairent surtout sur ce qui est reproché à AEC. Cette société, qui ne vend rien aux consommateurs, aspire les données des plateformes Amazon et constitue des profils, le cas échéant complétés par des données démographiques de sources tierces. Avec ces profils, AEC offre un service de Demand Side Platform à des annonceurs. Ces profils aiguillent le contenu des marques clientes vers l’emplacement publicitaire sur le site, dans l’univers Amazon ou ailleurs, qui est visité par une personne qui tombe dans le bon profil. Ainsi une marque comme Casio (citée en exemple pendant l’audience) va être intéressée par les profils de clients Amazon sportifs et amateur de montres. Et lorsqu’une personne identifiée comme telle ouvrira une page web, apparaîtra la marque Casio dans l’espace publicitaire.
La CNPD reproche notamment à AEC de se baser sur « l’intérêt légitime », concept choisi au lieu du « consentement » selon les termes du RGPD, comme base de licéité. Chaque traitement de données à caractère personnel requiert une telle base selon le règlement européen. Pour AEC, l’intérêt légitime serait la nécessité commerciale. AEC ne se base pas sur le consentement des consommateurs. À l’audience, Vincent Wellens avance que le « recours à l’intérêt légitime » pour des intérêts purement commerciaux est « risqué » parce que le responsable de traitement doit prouver que ses intérêts prévalent sur ceux des personnes physiques, un exercice fastidieux et difficile. « Cette mise en balance des intérêts requiert que le traitement ne dépasse pas les attentes raisonnables des consommateurs et cela requiert au moins une transparence absolue de la part d’AEC dans ses notices relatives à la protection des données », explique Vincent Wellens. Or, selon la CNPD, les notices d’AEC ne sont pas claires et transparentes sur ce qu’elle fait exactement.
La partie AEC conteste, elle, la légalité et l’impartialité de la décision. La CNPD est une autorité administrative réputée indépendante (bien que son collège est désigné par le gouvernement), mais Amazon reproche ce mélange entre autorité d’enquête et de jugement. « Un commissaire mène l’enquête un jour. Il se fait revoir par les juges. Et le lendemain il siège dans la formation de jugement », reproche Thomas Berger. Il précise sur la forme que « l’injonction ne permet pas à Amazon de prévoir quel comportement adopter ». Au tribunal administratif maintenant de décider s’il accède à la suspension de l’astreinte dans l’attente d’une décision au fond dont la procédure pourrait tarder, vu le volume de dossiers sur les bureaux des douze magistrats de la juridiction administrative.