Marché en ligne : 2,3 millions d’euros d’amende contre VINTED

Le 2 juillet 2024, en coopération avec la CNIL, l’Autorité lituanienne de protection des données a infligé une amende de 2 385 276 EUR à Vinted UAB pour plusieurs violations visant les utilisateurs de la plateforme.

La société VINTED propose une plateforme de marché en ligne communautaire qui permet aux utilisateurs enregistrés de vendre, d’acheter et d’échanger des vêtements et accessoires d’occasion. La plateforme est accessible via un application mobile et à partir d’un navigateur Web et compte environ 50 millions d’utilisateurs actifs mensuels dans le monde.

Une coopération renforcée avec la CNIL tout au long de la procédure

Depuis 2020, la CNIL a reçu de nombreuses plaintes à l’encontre de la société VINTED, portant principalement sur des difficultés rencontrées par des particuliers pour exercer leur droit à l’effacement de leurs données.

Conformément aux procédures de coopération établies par le Règlement général sur la protection des données (RGPD), l’Autorité lituanienne de protection des données était compétente pour mener des enquêtes sur cette affaire, VINTED ayant son siège social en Lituanie. Les plaintes françaises ont donc été communiquées à l’autorité lituanienne.

La CNIL a coopéré étroitement avec son homologue tout au long de la procédure, ainsi qu’avec les autres autorités concernées (polonaises, néerlandaises et allemandes).

Les manquements constatés

À la suite de l’enquête, l’Autorité lituanienne de protection des données a constaté plusieurs violations du RGPD à l’encontre de la société VINTED.

• L’entreprise n’a pas réussi à gérer les demandes d’effacement qu’elle a reçues de manière équitable et transparente :
  • la société ne pouvait pas refuser l’effacement au seul motif que les personnes n’avaient pas cité l’un des critères prévus par le RGPD dans leur demande d’effacement ;
  • dans les cas où elle a refusé l’effacement, l’entreprise n’a pas fourni aux plaignants les raisons complètes du refus.
• L’entreprise a mis en œuvre illégalement une « interdiction furtive »une méthode qui consiste à rendre l’activité d’un utilisateur considéré comme malveillant (qui ne respecte pas les règles de la plateforme) invisible aux autres utilisateurs, sans que ces derniers ne s’en aperçoivent, dans le but de les inciter à quitter la plateforme.

  Bien qu’une telle pratique ait été destinée à protéger la plateforme, les conditions dans lesquelles elle a été mise en œuvre ont causé une atteinte excessive aux droits des utilisateurs, notamment parce que ceux-ci n’ont pas été informés de cette mesure et qu’elle a pu conduire à une discrimination (ineffectivité de l’exercice du droit de contacter le support client, impossibilité d’exercer ses droits, etc.).

  De plus, les objectifs de l’interdiction souple pourraient être atteints par l’interdiction totale, qui interviendrait automatiquement 30 jours après l’interdiction souple et les gens en seraient informés.

• L’entreprise n’a pas réussi à démontrer qu’elle avait répondu de manière adéquate aux demandes de droit d’accès.

La CNIL a informé les plaignants de cette décision, conformément à ce que prévoit le RGPD.

Cette décision de sanction réaffirme l’obligation pour les plateformes en ligne de veiller à l’exercice des droits des personnes concernées et de traiter leurs données de manière équitable et transparente.