CNIL - Délibération n° SAN-2021-009 du 8 juillet 2021 concernant la société AMAZON EUROPE CORE

Délibération de la formation restreinte n°SAN-2021-009 du 8 juillet 2021 relative à l’injonction prononcée à l’encontre de la société AMAZON EUROPE CORE par la délibération n°2020-013 du 7 décembre 2020

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, de Mesdames Anne DEBET et Christine MAUGÜE, de Monsieur Alain DRU membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no2019-536 du 29 mai 2019 pris pour l’application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération no 2020-013 du 7 décembre 2020 prononçant une sanction à l’encontre de la société AMAZON EUROPE CORE ;

Vu les éléments transmis par la société AMAZON EUROPE CORE le 18 février 2021 et le 20 mai 2021 ;

Vu les autres pièces du dossier ;

Après en avoir délibéré, a adopté la décision suivante :

La délibération no 2020-013 du 7 décembre 2020 a enjoint à la société AMAZON EUROPE CORE de :

mettre en conformité le traitement, dans un délai de trois mois à compter de la notification de la présente décision, avec les dispositions de l’article 82 de la loi Informatique et Libertés , et en particulier :

- informer les personnes concernées au préalable et de manière claire et complète, par exemple au moyen d’un bandeau d’information apparaissant lors de la première arrivée de l’internaute sur le site Amazon.fr et cela quelle que soit la première page accédée :

- des finalités précises de tous les cookies dont l’inscription est soumise au consentement ;

- ainsi que des moyens dont elles disposent pour les refuser

Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.

Le 18 février 2021, la société AMAZON EUROPE CORE a adressé à la CNIL un courrier par lequel elle présentait les changements qu’elle avait déployés sur le site web Amazon.fr . Par courrier du 19 avril 2021, une demande de compléments a été adressée par la CNIL à la société AMAZON EUROPE CORE.

Le 20 mai 2021, la société AMAZON EUROPE CORE a adressé à la formation restreinte des éléments en vue de justifier de sa mise en conformité.

La formation restreinte relève qu’il ressort des éléments fournis dans le courrier de réponse du 20 mai 2021 que les personnes se rendant sur le site Amazon.fr sont désormais informées, de manière claire et complète, de toutes les finalités des cookies soumis au consentement et des moyens mis à leur disposition pour les refuser, par le biais du bandeau d’information s’affichant à leur arrivée sur le site.

Par conséquent, la formation restreinte considère que la société AMAZON EUROPE CORE a satisfait à l’injonction dans le délai imparti.

Cette décision sera rendue publique comme l’avait été la délibération no 2020-013 du 7 décembre 2020.

La formation restreinte de la CNIL, après en avoir délibéré, décide :

- qu’il n’y a pas lieu à liquidation d’astreinte ;

- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à compter du 11 décembre 2022.

Le président

Alexandre LINDEN