Em novembro de 2019, a Comissão Nacional de Informática e Liberdades (CNIL) da França realizou inspeções nas instalações da Amazon France Logistique, com o objetivo de investigar o processamento de dados pessoais de empregados através de scanners e vigilância por vídeo. Durante a inspeção, foi descoberto que os empregados, ao serem designados para tarefas diretas, utilizavam scanners que permitiam a identificação pessoal, recebimento de instruções e escaneamento de etiquetas dos itens processados. Esse sistema possibilitava a coleta contínua de dados relacionados à atividade dos empregados, permitindo medir sua produtividade, especialmente pelo número de unidades processadas em determinado período.
Indicadores de inatividade eram reportados em tempo real para cada empregado. Um desses indicadores, denominado "Stow Gun Machine", permitia ao controlador monitorar cada gesto realizado pelo empregado em suas tarefas, associando um indicador de erro sempre que a velocidade era inferior a 1,25 segundos. Esses dados eram armazenados por 31 dias e podiam ser consultados tanto em formato bruto quanto estatístico. Relatórios de desempenho semanais eram elaborados com base nesses indicadores, contendo estatísticas semanais, diárias e horárias sobre o cumprimento dos procedimentos de qualidade e produtividade.
Após as inspeções e diversos intercâmbios entre a CNIL e a Amazon France Logistique, de novembro de 2019 a janeiro de 2021, a CNIL iniciou um procedimento sancionatório contra a empresa em 28 de janeiro de 2021. A CNIL estabeleceu preliminarmente que a Amazon France Logistique era a controladora dos dados, conforme o Artigo 4(7) do GDPR, considerando que a determinação do processamento estava ligada à gestão de recursos humanos da Amazon na França.
A CNIL se considerou competente para decidir sobre o caso, uma vez que o processamento dos dados pessoais dos empregados era realizado no contexto das atividades do controlador, que tem seu escritório registrado na França, e o processamento em questão afetava apenas empregados trabalhando nos armazéns da empresa localizados na França.
A CNIL observou que o processamento baseado no indicador "Stow Gun Machine" poderia ter repercussões morais nos empregados e os indicadores de inatividade estavam vinculados à identidade de cada empregado, o que, na prática, os obrigava a justificar qualquer tempo considerado não produtivo. A autoridade considerou que essas medidas eram altamente intrusivas e, portanto, não poderiam ser baseadas no Artigo 6(1)(f) do GDPR.
Além disso, o processamento falhou em cumprir com o princípio de minimização de dados (Artigo 5(1)(c) do GDPR), violou os requisitos de informação contidos nos Artigos 12 e 13 do GDPR e não atendeu às exigências de segurança do Artigo 32 do GDPR, especialmente no que diz respeito à vigilância por vídeo. Devido a todas essas violações, a CNIL decidiu impor uma multa administrativa de €32 milhões à Amazon France Logistique. A decisão 7 de Dezembro de 2023.
Com informações - GDPR Hub e CNIL.
