Amazon devra payer 2,25 millions de dollars pour avoir retenu des documents aux victimes de fraude

Amazon paie une amende record de 2,25 millions de dollars pour la rétention de dossiers de fraude, tandis que la Corée du Sud et le Mexique infligent des amendes de plusieurs milliards à Coupang et à des supporters de football pour des défaillances en matière de protection des données. Partout dans le monde, les régulateurs sèvent simultanément contre les laxités en matière de vérification de l’âge et de consentement biométrique, des sites pour adultes à Character.AI.

Amazon doit payer 2,25 millions de dollars pour avoir retenu des documents aux victimes de fraude

Amazon a accepté de payer une amende civile record de 2,25 millions de dollars après que la Commission fédérale du commerce (FTC) des États-Unis a constaté que l'entreprise n'avait pas fourni aux victimes d'usurpation d'identité les relevés des transactions frauduleuses effectuées en leur nom.

Selon la FTC, les agents du service client d’Amazon ont souvent refusé les demandes de dossiers, affirmant ne pas pouvoir les fournir pour des raisons de «confidentialité» ou de «sécurité». Dans d’autres cas, l’entreprise a pris plus de temps que les 30 jours impartis par la Fair Credit Reporting Act (FCRA) pour fournir les informations. Certains clients se sont également entendu dire qu’Amazon ne pouvait pas accéder aux dossiers dont ils avaient besoin. Le régulateur a noté qu’Amazon n’avait mis en place aucune politique pour répondre aux demandes au titre de la section 609(e) avant début 2025, après avoir eu connaissance de l’enquête.

La plainte de la FTC indiquait également qu’Amazon avait refusé de fournir des documents aux forces de l’ordre légalement habilitées à les demander au nom des victimes d’usurpation d’identité. Certains consommateurs ont même envoyé à Amazon des copies de la loi et des orientations de la FTC, mais l’entreprise n’a pas fourni les documents demandés.

Dans le cadre de ce règlement, Amazon doit payer l'amende de 2,25 millions de dollars et fournir, sous 30 jours, les dossiers légalement demandés aux victimes d'usurpation d'identité et aux autorités de poursuite habilitées. L'entreprise doit également notifier les clients ayant demandé des dossiers depuis avril 2024 sans jamais les recevoir, afin qu'ils puissent obtenir ces informations.

LocknLock (Corée du Sud) amendée de 530 millions de wons pour des fuites de données

La Commission coréenne de protection des informations personnelles (PIPC) a infligé une majoration de pénalité de 530 millions de wons (environ 337 000 dollars) et une amende de 5,4 millions de wons (environ 35 000 dollars) au fabricant d’articles ménagers LocknLock après la fuite d’informations personnelles d’environ 1,3 million de clients à la suite d’une série de cyberattaques. Ces amendes administratives sont infligées pour non-conformité à la Loi sur la protection des informations personnelles (PIPA).

La commission a indiqué que des pirates informatiques avaient compromis les systèmes de l’entreprise en avril 2024 en exploitant une faille de sécurité. Les intrus ont ensuite dérobé des informations relatives aux clients et aux employés, notamment des noms, des numéros de téléphone, des adresses et certains documents sensibles concernant les employés.

Les autorités ont constaté que LocknLock n'avait pas installé d'importantes mises à jour de sécurité, utilisait le même mot de passe pour les comptes administrateur et n'avait détecté la violation que lorsqu'elle a reçu un e-mail de chantage des pirates. Outre les amendes, l'entreprise a également été condamnée à publier la sanction sur son site web.

L’organisme de contrôle a également infligé une amende de 168 millions de wons (environ 105 000 €) à la société de BPO sud-coréenne Ubase et de 30 millions de wons (environ 18 750 €) au distributeur de matériel photo et vidéo SUN-PHOTO, à la suite de violations de données distinctes ayant exposé les informations personnelles de 1 852 et d’environ 170 000 utilisateurs, respectivement.

En juin, Coupang, le plus grand détaillant en ligne de Corée du Sud, s’est vu infliger une amende de 624,7 milliards de wons (409 millions de dollars) après qu’une fuite de données majeure a exposé les données personnelles de plus de 30 millions de clients l’année dernière. Cette sanction est la plus importante jamais prononcée pour une fuite de données personnelles, dépassant l’amende record précédemment infligée à SK Telecom en octobre 2025.

L'Italie sanctionne Character.AI pour manquements au RGPD et à la sécurité des mineurs

Le régulateur italien de protection des données a infligé une amende de 158 000 € à Character Technologies pour violation du Règlement général sur la protection des données (GDPR) de l’Union européenne. L’amende doit être acquittée dans les 30 jours suivant la notification et fait suite à une enquête sur la manière dont la plateforme d’IA traite les données à caractère personnel des utilisateurs et protège les mineurs.

Character Technologies est une société américaine derrière Character.AI, un service de chatbot permettant aux utilisateurs de discuter avec des personnages générés par IA, notamment des assistants virtuels et des figures de jeu de rôle.

Le régulateur italien a déclaré que la société ne fournissait pas d’informations suffisamment claires sur la collecte et l’utilisation des données des utilisateurs, et que le système de vérification de l’âge du service n’était pas suffisamment efficace.

Le Garante a déclaré que Character Technologies devait améliorer son système de vérification de l’âge, renforcer les mesures empêchant les mineurs bloqués de créer de nouveaux comptes et rendre les profils des utilisateurs mineurs privés par défaut.

Le régulateur a également constaté que l'entreprise n'avait pas réalisé l'évaluation des impacts relatifs à la protection des données requise et n'avait pas désigné de représentant dans l'Union européenne dans les délais requis.

En avril, le régulateur italien a infligé une amende de 31,8 millions d’euros à Intesa Sanpaolo, après une enquête ayant révélé qu’un employé avait accédé sans autorisation aux informations bancaires personnelles de plus de 3 500 clients à plus de 6 600 reprises. L’autorité de protection des données a conclu que les contrôles internes de la banque avaient échoué à détecter cet accès non autorisé.

Ofcom inflige une amende de £630 000 à un site de contenu pour adultes pour des infractions à l'Online Safety Act

L’Ofcom, le régulateur britannique des communications, a infligé une amende de 630 000 £ (~840 000 $) à l’opérateur d’une plateforme de contenu pour adultes pour violation des règles de la Online Safety Act.

La pénalité inclut 600 000 £ pour n'avoir pas mis en place de vérifications d'âge appropriées afin d'empêcher les enfants d'accéder à des contenus pornographiques. Une amende supplémentaire de 30 000 £ (~40 000 $) a été imposée après que la société n'avait pas fourni les informations demandées par l'Ofcom.

À la suite de la mesure de l'Ofcom, Fapello[.]com a bloqué l'accès des utilisateurs au Royaume-Uni.

Ofcom a également entamé une nouvelle enquête sur Bit Hive, l’opérateur d'Eporner[.]com, afin de vérifier si son système de vérification d'âge est conforme aux exigences légales. Le régulateur a également étendu son enquête sur Kemono[.]cr, par crainte que celui-ci n'ait pas respecté les demandes officielles d'informations.

La fédération mexicaine de football amendée d'environ 1,95 M€ pour des violations de la confidentialité des données FAN ID

La Fédération mexicaine de football (FMF) s’est vu infliger une amende de 42,8 millions de pesos (environ 1,95 million d’euros) par le Secrétariat mexicain à la lutte contre la corruption et à la bonne gouvernance pour des violations des lois sur la protection des données à caractère personnel liées au système d’identification numérique FAN ID.

Les autorités ont constaté que la FMF n'avait pas clairement informé les utilisateurs que les photos du visage collectées pour créer un FAN ID sont considérées comme des données à caractère personnel sensibles, empêchant ainsi les supporters de comprendre pleinement comment leurs données biométriques seraient traitées.

Le Secrétariat a également estimé que la fédération n'avait pas obtenu le consentement exprès et écrit requis par la loi pour le traitement de données personnelles sensibles. Au lieu de cela, la fédération a utilisé une case à cocher sur son site web pour autoriser l'inscription, ce qui, selon l'autorité, ne répondait pas aux exigences légales.

L’autorité a également constaté que la FMF n’avait pas rempli ses obligations légales, car elle n’avait pas pris les mesures nécessaires pour garantir un traitement approprié des données à caractère personnel.

Prochaines étapes:

• Demandez une démonstration gratuite du produit ou un devis
• Inscrivez-vous à nos webinaires et formations produits.
• Lisez notre blog hebdomadaire Cybercrime Investigations.
• Suivez-nous sur LinkedIn, X, Telegram et WhatsApp
• Abonnez-vous à notre Newsletter
• Rejoignez notre programme de partenariat