Conseil d'État, 10ème et 9ème chambres réunies, 23 décembre 2025, n° 492830

Vu la procédure suivante : Par une requête sommaire, un mémoire complémentaire et un mémoire en réplique, enregistrés les 22 mars et 21 juin 2024 et le 12 mars 2025 au secrétariat du contentieux du Conseil d’Etat, la société Amazon France Logistique demande au Conseil d’Etat : 1°) à titre principal, d’annuler la délibération n° SAN-2023-021 du 27 décembre 2023 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a, d’une part, prononcé à son encontre une amende administrative de 32 000 000 euros et, d’autre part, rendu publique cette délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication ; 2°) à titre subsidiaire, de réformer la délibération attaquée et réduire le montant de cette amende administrative à de plus justes proportions ; 3°) de saisir la Cour de justice de l’Union européenne à titre préjudiciel sur l’interprétation du règlement général sur la protection des données ; 4°) de mettre à la charge de la Commission nationale de l’informatique et des libertés la somme de 10 000 euros au titre de l’article L. 761-1 du code justice administrative. Vu les autres pièces du dossier ; Vu : - le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ; - la loi n° 78-17 du 6 janvier 1978 ; - le décret n° 2019-536 du 29 mai 2019 ; - le code de justice administrative ; Après avoir entendu en séance publique : - le rapport de M. Emmanuel Weicheldinger, maître des requêtes en service extraordinaire, - les conclusions de Mme Leila Derouich, rapporteure publique ; La parole ayant été donnée, après les conclusions, à la SARL Matuchansky, Poupot, Valdelièvre, Rameix, avocat de la société Amazon France Logistique ; Vu la note en délibéré, enregistrée le 12 décembre 2025, présentée par la Commission nationale de l’informatique et des libertés ; Considérant ce qui suit : 1. Il résulte de l’instruction qu’à la suite de missions de contrôle des services de la Commission nationale de l’informatique et des libertés (CNIL) intervenues en novembre 2019 au sein des locaux administratifs et de deux entrepôts de la société Amazon France Logistique, suivies d’échanges écrits entre cette dernière et les services de la CNIL, puis d’une instruction contradictoire en application de l’article 22 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la formation restreinte de la CNIL a, par une délibération n° SAN-2023-021 du 27 décembre 2023, prononcé à l’encontre de la société Amazon France Logistique une amende administrative de 32 000 000 euros pour violation du règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données, dit A.... La formation restreinte de la CNIL a retenu plusieurs manquements aux dispositions du f) du 1. de l’article 6 du A..., plusieurs manquements au principe de minimisation des données prévu au c) du 1. de l’article 5 du même règlement, deux manquements aux obligations d’information découlant des articles 12 et 13 de ce règlement et, enfin, un manquement à l’obligation d’assurer la sécurité d’un traitement prévue par l’article 32 du A.... La formation restreinte a également décidé de rendre publique, sur le site de la CNIL et sur le site Légifrance, cette délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication. La société Amazon France Logistique demande l’annulation de cette délibération en tant qu’elle a retenu des manquements aux articles 5 et 6 du A... et prononcé une sanction en conséquence. Sur les manquements sanctionnés : En ce qui concerne les manquements à l’article 6 du A... : 2. Aux termes du 1. de l’article 6 du A... : « Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : / (…) f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ». Selon le considérant 75 de ce même règlement : « Des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données à caractère personnel qui est susceptible d'entraîner des dommages physiques, matériels ou un préjudice moral, en particulier : (…) lorsque le traitement porte sur des données à caractère personnel relatives à des personnes physiques vulnérables, en particulier les enfants; ou lorsque le traitement porte sur un volume important de données à caractère personnel et touche un nombre important de personnes concernées ». 3. En premier lieu, si Amazon France Logistique soutient que la formation restreinte de la CNIL aurait procédé à la mise en balance entre son intérêt légitime et les droits et libertés de ses employés et intérimaires en considérant que ces derniers sont par principe des personnes vulnérables au sens du considérant 75 du A..., il ressort des termes de la délibération attaquée que la formation restreinte n’a pris en compte la vulnérabilité de ces personnes que pour justifier les mesures de publicité de la délibération litigieuse. Ne peuvent, par suite, qu’être écartés les moyens selon lesquels la formation restreinte aurait, en infligeant la sanction contestée, commis une erreur de droit, une erreur d’appréciation ou à tout le moins insuffisamment motivé la délibération attaquée pour avoir présumé que les salariés devaient être considérés comme des personnes vulnérables. 4. En deuxième lieu, selon la délibération attaquée, le traitement en temps réel de l’indicateur dit « stow machine gun » aurait un caractère intrusif important de nature à avoir des répercussions négatives sur les salariés, en établissant une surveillance continue des délais, de l’ordre de la seconde, associés à chacune des actions des salariés affectés à une tâche dite directe, et irait au-delà des attentes raisonnables de ces derniers. La formation restreinte de la CNIL en a déduit que ce traitement excèderait ce qui est nécessaire aux fins des intérêts légitimes de la requérante, au motif qu’il porterait une atteinte excessive au droit des salariés à la protection de leur vie privée et personnelle ainsi qu’à leur droit à des conditions de travail qui respectent leur santé et leur sécurité. 5. Il résulte cependant de l’instruction que ce traitement de l’indicateur en cause n’est susceptible d’être mis en œuvre que lors de l’exécution par un salarié d’une tâche de rangement aléatoire des articles dans l’entrepôt, qui constitue l’une des quatre tâches dites directes susceptibles d’être accomplies par les employés selon la typologie retenue par Amazon France Logistique pour l’organisation des activités de ses salariés, et non pour toutes les tâches directes. Dans ce cadre, il résulte de l’instruction que l’indicateur en cause est émis et donne lieu à un traitement dans un logiciel de suivi accessible aux supérieurs hiérarchiques des salariés uniquement lorsque moins de 1,25 seconde séparent deux lectures de codes-barres d’articles à ranger. Cet indicateur a pour objet et pour effet de signaler que deux gestes professionnels se sont succédés dans un intervalle de temps particulièrement bref, possiblement anormal, afin de repérer d’éventuelles erreurs de manipulation et de rangement au sein des entrepôts et pouvoir y remédier.