Dans ses entrepôts, Amazon a mis en place un système de gestion en flux tendus des colis à livrer. Pour qu'il soit le plus efficace possible, l'entreprise gère les millions de colis sans les classer, en les rangeant là où il y a de la place sur les étagères, au fil de l'eau.

Mais pour que cela soit possible, tout article est tracé et chaque action d'un employé d'Amazon sur un colis est enregistrée avec un scanner. C'est comme ça qu'Amazon arrive à surpasser ses concurrents dans la livraison des colis.

Mais ce système de traçage des colis permet aussi à Amazon de surveiller à la seconde près toutes les actions de ses salariés. Et la CNIL a constaté fin 2019 qu'Amazon ne s'en est pas privée en scrutant de trop près les données relatives aux actions de ses 6 200 salariés et 21 582 intérimaires d'alors.

Elle estime que certains indicateurs créés par Amazon portent une atteinte disproportionnée aux droits, libertés et intérêts des salariés, ce qui est contraire au RGPD. La CNIL vise aussi le dispositif de vidéosurveillance mis en place dans les entrepôts d'Amazon de Lauwin-Planque et de Montélimar, mal sécurisé et mal signalé.

Sur la base de ces constats, l'autorité a décidé, dans une délibération du 27 décembre 2023 publiée ce mardi 23 janvier, d'infliger une amende de 32 millions d'euros, soit l'équivalent « de près de 3 % du chiffre d’affaires réalisé en 2021 par la société » explique la CNIL. Ça représente effectivement un peu plus de 3 % du CA d'Amazon au niveau national. La filiale française avait contesté la légalité de la demande du rapporteur de se baser sur le CA mondial d'Amazon, expliquant être « le seul responsable de traitement identifié en l’espèce » et considérant que le montant devrait être déterminé sur la base de son chiffre d'affaires et non celui d'Amazon.com Inc.

Dans sa délibération, la CNIL explique que le RGPD prévoit une amende pouvant aller jusqu'à 4 % du chiffre d'affaires annuel mondial total réalisé par l'entreprise, celle-ci étant « définie comme l’unité économique, poursuivant un but économique déterminé, à laquelle appartient le responsable de traitement, quel que soit le statut juridique de cette unité ».

Surveillance informatique excessive du salarié

En analysant le système mis en place par Amazon, le rapporteur désigné par la CNIL, François Pellegrini, reproche le traitement de trois indicateurs (parmi 43 indicateurs qualité traités par Amazon) utilisant les données des scanners pour surveiller les activités des salariés.

Le premier, nommé « Stow Machine Gun », est une donnée brute rattachée au salarié signalant « le rangement d’un article dans les (sic) 1,25 seconde du rangement de l’article précédent » (le « (sic) » étant notifié dans la délibération de la CNIL).

Cet indicateur de la vitesse d'exécution d'une tâche « permet à l'équipe de détecter si les articles sont stockés trop rapidement », explique Amazon : « il est en effet important que les salariés prennent le temps nécessaire pour inspecter correctement chaque article avant de l’entreposer, et de le faire dans le respect des consignes de sécurité, notamment en adoptant les bonnes postures ».

Il est collecté « en temps réel pour chaque salarié dans l’outil de suivi des erreurs qualité » selon le rapporteur, qui considère que ce traitement « conduit à une surveillance informatique excessive du salarié au regard des objectifs poursuivis ».

Amazon explique que cet indicateur lui permet d'assurer la sécurité et la qualité dans ses entrepôts, mais la CNIL considère qu' « en pratique », cela revient « à suivre la vitesse de succession des actions du salarié, dans chacun des gestes qu’il effectue sur une tâche directe, en y associant un indicateur d’erreur chaque fois que cette vitesse est inférieure à 1,25 seconde ».

L'autorité estime que cet indicateur « présente un caractère intrusif important et que son traitement est de nature à avoir des répercussions morales négatives sur le salarié ». Elle relève aussi le nombre élevé de personnes concernées « puisqu’il vise tous les salariés travaillant dans ses entrepôts », et remarque que les salariés ne peuvent pas s'attendre à une surveillance d'une telle précision.

Pour la CNIL, l'indicateur « Stow Machine Gun » mis en place par Amazon « ne repose sur aucune base juridique » et est contraire à l'article 6 du RGPD sur la licéité du traitement.

Les deux autres indicateurs pointés par la CNIL enregistrent les temps de latence d'utilisation d'un scanner. L'un garde en mémoire les temps de latence inférieurs à 10 minutes en début et fin de session de travail, ainsi qu'avant et après les pauses. L'autre surveille les temps de latence supérieurs à 10 minutes. Ils sont disponibles en temps réel et sur les 31 derniers jours. Amazon explique utiliser ces indicateurs pour la gestion de l'entrepôt et de la charge de travail et pour le coaching de ses salariés.

Mais la CNIL les considère disproportionnés pour ces tâches alors qu'Amazon possède déjà d'autres indicateurs qui permettent ce genre de contrôles. D'autant que, pour l'autorité, ces deux indicateurs contraignent « en pratique le salarié à être en mesure de justifier de tout temps considéré comme non productif ».

Elle relève aussi que l'indicateur surveillant les temps de latence en début et fin de session de travail « permet notamment de savoir combien de minutes (entre une et dix) se sont écoulées "entre le moment où un employé a badgé à l’entrée du site et celui où il a effectué son premier scan de la journée" », et « conduit le salarié à devoir potentiellement justifier, à chaque arrivée sur site, transition ou reprise de poste, de tout temps de latence de son scanner inférieur à dix minutes », ce qui présente « un caractère intrusif fort ».

Une granularité trop fine pour la planification du travail et l'évaluation des salariés

Le rapporteur a constaté qu'Amazon utilise les indicateurs de qualité et de productivité de chaque salarié en temps réel sur une profondeur de 31 jours pour les réaffecter, ajuster le fonctionnement de l'entrepôt aux flux et « coacher » ses salariés.

Or, il considère que ces ajustements et l'évaluation des salariés n'ont pas besoin d'une granularité si fine et qu'une agrégation hebdomadaire est un indicateur suffisant.

L'autorité fait aussi remarquer qu'Amazon recueille déjà d'autres indicateurs qui lui permettent d'avoir des informations suffisantes pour adapter l'organisation de ses entrepôts. Elle considère donc que le traitement de ses indicateurs individuels manque « au principe de minimisation prévu à l’article 5. 1. c) du RGPD ».

Manque d'information sur la vidéosurveillance

Dans son inspection des entrepôts d'Amazon de Lauwin-Planque et de Montélimar, la CNIL a aussi relevé en novembre 2019 le manque d'information accompagnant les caméras de surveillance. « Ni les coordonnées du délégué à la protection des données, ni la durée de conservation des données, ni le droit d’introduire une réclamation auprès de la CNIL » n'étaient notifiés aux salariés et éventuels visiteurs, ce qui contrevient à l'article 13 du RGPD.

Amazon, qui peut déposer un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification, se dit dans un communiqué « en profond désaccord avec les conclusions de la CNIL qui sont factuellement incorrectes » et se pose la question de faire appel. Elle ajoute que les « systèmes de gestion d'entrepôt sont une pratique courante de l'industrie, pour de bonnes raisons », ce qui n'est pas contesté par l'autorité.

« Bien que nous soyons confiants quant à la conformité de nos systèmes avec les réglementations européennes et françaises applicables », précise son communiqué, Amazon annonce qu'elle va désactiver l'indicateur Stow Machine Gun et « étendre le seuil de déclenchement » de son indicateur de temps de latence « de 10 minutes à 30 minutes ».