L'autorité luxembourgeoise de contrôle de la protection des données Commission nationale de la protection des données (CNPD) a infligé le 15 juillet 2021 à Amazon Europe Core S.à r.l. une amende record d'un montant de 746 millions d'euros imposée. Le tribunal administratif de Luxembourg a confirmé cette décision dans son intégralité le 18 mars 2025.
La CNPD inflige une amende record à Amazon
Le point de départ de la procédure a été l'analyse approfondie des activités publicitaires basées sur les données d'Amazon Europe Core S.à r.l. par l'autorité luxembourgeoise de surveillance de la protection des données (CNPD). Dans le cadre d'une enquête de longue durée, les processus de collecte, de stockage, d'analyse et de traitement ultérieur des données à caractère personnel par Amazon ont notamment été examinés. L'accent a été mis en particulier sur l'utilisation de ces données à des fins de marketing basé sur les centres d'intérêt. PublicitéL'objectif est d'offrir un contenu publicitaire personnalisé en fonction du comportement de l'utilisateur, de ses achats antérieurs et d'autres traces numériques.
La CNPD a constaté qu'Amazon n'était pas efficace. Consentement des personnes concernées pour Traitement de ses données à caractère personnel à des fins publicitaires. Au lieu de cela, Amazon s'est appuyé sur un intérêt légitime conformément à l'article 6, paragraphe 1, point f). RGPDToutefois, cela n'a pas été considéré comme suffisant dans ce cas précis. L'autorité a estimé que les intérêts, les droits fondamentaux et les libertés des utilisateurs concernés prévalaient sur l'intérêt économique d'Amazon.
De plus, de graves déficits ont été constatés dans le domaine de la Transparence a été constaté. Les personnes concernées n'ont pas été informées de manière suffisante et compréhensible sur la finalité du traitement des données. L'autorité a également estimé que la structure de la déclaration de confidentialité et l'accessibilité des informations pertinentes étaient insuffisantes. Cela constitue une violation des articles 12 à 14 RGPD est.
Par ailleurs, de graves lacunes ont été constatées chez Amazon dans la mise en œuvre de la Droits des personnes concernées de l'utilisation des données. Demandes d'accès en vertu de l'article 15 RGPD n'auraient pas reçu de réponse ou auraient été incomplètes. De même, l'entreprise n'a pas respecté les droits de Rectification, Suppression et Opposition n'ont pas été prises en compte de manière adéquate. La CNPD y voyait des violations systématiques des articles 16, 17 et 21 RGPD.
746.000 euros d'astreinte par jour en cas de non-application
En raison de ces violations, la CNPD a imposé en juillet 2021 un Amende d'un montant de 746 millions d'euros. En outre, des mesures correctives concrètes ont été imposées à Amazon. En cas de non-exécution, une astreinte quotidienne de 746.000 euros a été menacée. En outre, l'autorité a ordonné la publication de la décision afin d'avoir un effet dissuasif, et Transparence pour le public.
Amazon a alors formé un recours contre cette décision, dans le but de faire annuler les sanctions ou, à tout le moins, de les réduire. Ce recours a désormais été rejeté dans son intégralité par le Tribunal administratif de Luxembourg dans un arrêt rendu le 18 mars 2025.
Conseil de lecture : Une amende colossale infligée à Meta : près de 800 millions d'euros
Messages clés de l'arrêt
Dans sa décision, le tribunal administratif de Luxembourg a confirmé toutes les constatations centrales de la CNPD. Après un examen approfondi, le tribunal a conclu qu'Amazon Europe Core S.à r.l. avait enfreint des dispositions fondamentales du RGPD. Il s'agissait en particulier de l'illégalité de la Traitement données à caractère personnel à des fins de marketing personnalisé. Publicité.
Le tribunal a précisé qu'une Traitement à des fins publicitaires peut en principe être autorisée - mais uniquement si elle repose sur une base juridique valable. Celle-ci n'existait pas dans le cas d'Amazon. L'invocation d'un intérêt légitime au sens de l'article 6, paragraphe 1, point f), de la loi sur la protection des données, n'était pas justifiée. RGPD compte tenu de l'intensité de l'intervention Traitement et de l'absence d'une politique efficace Consentement n'aurait pas été viable. Les avantages économiques pour Amazon ne justifiaient en aucun cas le profilage en profondeur et l'utilisation globale de la technologie. Suivi des utilisateurs sur plusieurs plates-formes.
Le tribunal a accordé une importance particulière aux obligations de transparence. Il a confirmé l'avis de la CNPD selon lequel les informations fournies par Amazon concernant le traitement des données étaient insuffisantes, peu claires et, en partie, trompeuses. Cela ne constituait pas seulement un vice de forme, mais entravait de manière substantielle l'exercice des droits des personnes concernées.
De même, en ce qui concerne la mise en Droits des personnes concernées le tribunal n'a fait preuve d'aucune indulgence. Les demandes d’informations auraient reçu des réponses incomplètes ou tardives. Les demandes de rectification et de suppression n’auraient été traitées que très lentement, voire pas du tout, ce qui laisserait supposer des défaillances structurelles dans la gestion de la protection des données chez Amazon. Il en va de même pour le traitement des oppositions au traitement des données.
Un autre aspect essentiel concernait l'absence de réaction d'Amazon face aux mesures ordonnées par la CNPD. L'entreprise n'aurait pas déployé, pendant une longue période, d'efforts suffisants pour mettre fin aux violations de la protection des données. Le tribunal a considéré cette inaction persistante comme un mépris continu de la législation européenne en matière de protection des données, ce qui justifie d'autant plus le montant de la sanction.
Portée de la décision Amazon dans la pratique
Avec cet arrêt, le Tribunal administratif de Luxembourg envoie un signal clair aux grandes entreprises technologiques : même les leaders mondiaux du marché doivent se conformer aux exigences de transparence, d'équité et de légalité en matière de traitement des données, notamment en ce qui concerne l'établissement de profils à des fins publicitaires.
L'arrêt illustre en outre l'importance de la Conformité avec les droits des personnes concernées. Les entreprises qui, à grande échelle, données à caractère personnel sont bien avisés d'utiliser leurs Obligations d'information, de réexaminer régulièrement les procédures d'accès à l'information et les voies de recours, et d'en assurer la documentation en conséquence. Protection des données par la conception technique (Respect de la vie privée dès la conception) et les paramètres par défaut favorables à la protection des données (Protection de la vie privée par défaut) devraient être intégrés dès le début.
Pour les commissaires à la protection des données, cet arrêt signifie que le respect des RGPD n'est pas seulement une obligation légale, elle est également très importante sur le plan économique. Des audits réguliers, une gestion des droits documentée ainsi que des mesures techniques et organisationnelles (TOM) sont indispensables, en particulier dans le cadre de modèles économiques basés sur les données. Un approche basée sur les risques dans la gestion de la protection des données, cela permet d'identifier et de corriger à un stade précoce les failles potentielles.
Perspectives d'avenir : Amazon peut jouer la montre
Amazon a désormais la possibilité de faire appel de ce jugement Appel devant la Cour administrative à déposer. La procédure d'appel s'est vu reconnaître un effet suspensif jusqu'à la décision de l'instance supérieure. Reste à voir si l'entreprise choisira cette voie.
Source : Communication du Tribunal administratif de Luxembourg
Conseil : ne prenez pas le risque de vous exposer à des amendes ! Avec Ailance, vous pouvez gérer la majeure partie de vos obligations en matière de protection des données et Conformité- Automatisez vos tâches. N'hésitez pas à nous contacter, nous serons ravis de vous présenter nos solutions.
☎️ +49 (228) 926165-100
📧 paris@2b-advice.com
German 
English 
Italian 
French