Amazon France krijgt boete van €32 miljoen voor onrechtmatige werknemersmonitoring

Achtergrond

Op 23 januari 2024 publiceerde de Franse privacytoezichthouder, de Commission Nationale de l'Informatique et des Libertés (CNIL), haar besluit van 27 december 2023 waarin Amazon France een boete van €32 miljoen werd opgelegd wegens meerdere overtredingen van de Algemene verordening gegevensbescherming (AVG).

De CNIL startte een onderzoek naar Amazon France nadat in de media berichten waren verschenen over de toegepaste werkwijzen en nadat meerdere klachten van werknemers waren ontvangen.

De Amazon-magazijnen in Frankrijk worden beheerd door Amazon France. Werknemers in deze magazijnen maken gebruik van scanners waarmee de uitvoering van bepaalde taken wordt geregistreerd. Iedere keer dat een werknemer een scan uitvoert, worden gegevens vastgelegd die kunnen worden gebruikt om indicatoren te berekenen over onder meer de kwaliteit van het werk, de productiviteit en perioden van inactiviteit.

Bevindingen van de CNIL

De gegevens van werknemers werden in real time verzameld en gedurende 31 dagen bewaard. Hierdoor konden leidinggevenden zeer gedetailleerde informatie over de productiviteit van individuele werknemers inzien.

De CNIL oordeelde dat voor het signaleren van problemen tijdens het werk kon worden volstaan met realtimedata en een beperkter aantal geaggregeerde gegevens. Het bewaren en gebruiken van zeer gedetailleerde individuele productiviteitsgegevens ging volgens de toezichthouder verder dan noodzakelijk.

Daarom concludeerde de CNIL dat Amazon France artikel 5, lid 1, onder c, AVG had geschonden. Op grond van het beginsel van minimale gegevensverwerking moeten persoonsgegevens toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt.

Wat betreft de werknemersmonitoring oordeelde de CNIL dat drie specifieke vormen van toezicht te ingrijpend waren om op gerechtvaardigd belang te kunnen worden gebaseerd. Het ging om:

• het registreren wanneer een werknemer een artikel volgens het systeem te snel scant;
• een indicator voor perioden van inactiviteit van tien minuten of langer;
• het registreren van kortere perioden van inactiviteit van minder dan tien minuten.

Volgens de CNIL waren deze vormen van monitoring buitensporig ingrijpend. Omdat daarvoor geen geldige rechtsgrond bestond, stelde de toezichthouder vast dat Amazon France ook artikel 6 AVG had overtreden.

Daarnaast werkte Amazon France met veel tijdelijke werknemers. De privacy- en vertrouwelijkheidsinformatie van het bedrijf werd niet vóór de verzameling van hun persoonsgegevens aan hen verstrekt.

De CNIL vond de informatie die op het interne intranet beschikbaar was onvoldoende. Tijdelijke werknemers werden niet actief gevraagd om deze informatie te lezen en hadden tijdens hun werk bovendien niet altijd toegang tot een kantoorcomputer. Daarmee was dit volgens de toezichthouder geen geschikte manier om hen op transparante wijze te informeren.

Tot slot was ook de informatie over cameratoezicht onvoldoende duidelijk gecommuniceerd aan werknemers en externe bezoekers.

Daarnaast bleek de toegang tot de camerabeelden onvoldoende beveiligd. De gebruikte wachtwoorden waren niet sterk genoeg en toegangsaccounts werden door meerdere werknemers gedeeld.

Gelet op de aard van de verwerking en de daarmee samenhangende risico’s oordeelde de CNIL dat Amazon France artikel 32 AVG had geschonden, omdat onvoldoende passende technische en organisatorische maatregelen waren getroffen om een beveiligingsniveau te waarborgen dat passend was bij het risico.

Wilt u voorkomen dat uw organisatie vergelijkbare privacyrisico’s loopt bij werknemersmonitoring of cameratoezicht? Neem dan contact op met onze privacyexperts via info@dpoconsultancy.nl voor verdere ondersteuning.