L'autorité luxembourgeoise de contrôle de la protection des données Commission Nationale pour la Protection des Données (CNPD) a infligé le 15 juillet 2021 à Amazon Europe Core S.à r.l. une amende record de 746 millions d'euros a été imposée à la société. Le 18 mars 2025, le tribunal administratif de Luxembourg a confirmé cette décision dans son intégralité.
La CNPD inflige une amende record à Amazon
Le point de départ de la procédure a été l'analyse approfondie des activités publicitaires basées sur les données d'Amazon Europe Core S.à r.l. par l'autorité luxembourgeoise de surveillance de la protection des données (CNPD). Dans le cadre d'une enquête de longue durée, les processus de collecte, de stockage, d'analyse et de traitement ultérieur des données à caractère personnel par Amazon ont notamment été examinés. L'accent a été mis en particulier sur l'utilisation de ces données à des fins de marketing basé sur les centres d'intérêt. PublicitéL'objectif est d'offrir un contenu publicitaire personnalisé en fonction du comportement de l'utilisateur, de ses achats antérieurs et d'autres traces numériques.
La CNPD a constaté qu'Amazon n'était pas efficace. Consentement des personnes concernées pour Traitement de ses données à caractère personnel à des fins publicitaires. Au lieu de cela, Amazon s'est appuyé sur un intérêt légitime conformément à l'article 6, paragraphe 1, point f). RGPDToutefois, cela n'a pas été considéré comme suffisant dans ce cas précis. L'autorité a estimé que les intérêts, les droits fondamentaux et les libertés des utilisateurs concernés prévalaient sur l'intérêt économique d'Amazon.
De plus, de graves déficits ont été constatés dans le domaine de la Transparence a été constaté. Les personnes concernées n'ont pas été informées de manière suffisante et compréhensible sur la finalité du traitement des données. L'autorité a également estimé que la structure de la déclaration de confidentialité et l'accessibilité des informations pertinentes étaient insuffisantes. Cela constitue une violation des articles 12 à 14 RGPD est.
En outre, Amazon a constaté de graves lacunes dans la mise en œuvre de la directive. Droits des personnes concernées de l'utilisation des données. Demandes d'accès en vertu de l'article 15 RGPD n'auraient pas reçu de réponse ou auraient été incomplètes. De même, l'entreprise n'a pas respecté les droits de Rectification, Suppression et Opposition n'ont pas été prises en compte de manière adéquate. La CNPD y voyait des violations systématiques des articles 16, 17 et 21 RGPD.
746.000 euros d'astreinte par jour en cas de non-application
En raison de ces violations, la CNPD a imposé en juillet 2021 un Amende d'un montant de 746 millions d'euros. En outre, des mesures correctives concrètes ont été imposées à Amazon. En cas de non-exécution, une astreinte quotidienne de 746.000 euros a été menacée. En outre, l'autorité a ordonné la publication de la décision afin d'avoir un effet dissuasif, et Transparence pour le public.
Amazon a alors introduit un recours contre la décision - dans le but de faire annuler les sanctions ou du moins de les réduire. Ce recours a été rejeté dans son intégralité par le tribunal administratif de Luxembourg dans son jugement du 18 mars 2025.
Conseil de lecture : Mega-pénalité contre Meta - près de 800 millions d'euros d'amende
Messages clés de l'arrêt
Dans sa décision, le tribunal administratif de Luxembourg a confirmé toutes les constatations centrales de la CNPD. Après un examen approfondi, le tribunal a conclu qu'Amazon Europe Core S.à r.l. avait enfreint des dispositions fondamentales du RGPD. Il s'agissait en particulier de l'illégalité de la Traitement données à caractère personnel à des fins de marketing personnalisé. Publicité.
Le tribunal a précisé qu'une Traitement à des fins publicitaires peut en principe être autorisée - mais uniquement si elle repose sur une base juridique valable. Celle-ci n'existait pas dans le cas d'Amazon. L'invocation d'un intérêt légitime au sens de l'article 6, paragraphe 1, point f), de la loi sur la protection des données, n'était pas justifiée. RGPD compte tenu de l'intensité de l'intervention Traitement et de l'absence d'une politique efficace Consentement n'aurait pas été viable. Les avantages économiques pour Amazon ne justifiaient en aucun cas le profilage en profondeur et l'utilisation globale de la technologie. Suivi des utilisateurs sur plusieurs plates-formes.
Le tribunal a accordé une importance particulière aux obligations de transparence. Il a confirmé l'avis de la CNPD selon lequel les informations fournies par Amazon sur le traitement des données étaient insuffisantes, peu claires et partiellement trompeuses. Il s'agit non seulement d'un défaut formel, mais aussi d'une entrave substantielle à l'exercice des droits des personnes concernées.
De même, en ce qui concerne la mise en Droits des personnes concernées le tribunal n'a pas fait preuve d'indulgence. Les réponses aux demandes d'information ont été incomplètes ou tardives. Les demandes de rectification et d'effacement n'ont été mises en œuvre que lentement ou pas du tout, ce qui indique des déficits structurels dans la gestion de la protection des données chez Amazon. Il en va de même pour la gestion des oppositions au traitement des données.
Un autre aspect central était le manque de réaction d'Amazon aux mesures ordonnées par la CNPD. L'entreprise n'a pas fait suffisamment d'efforts pour mettre fin aux violations de la protection des données pendant une longue période. Le tribunal a considéré cette inaction persistante comme un non-respect continu du droit européen de la protection des données, ce qui justifie en outre le montant de la sanction.
Importance de la décision d'Amazon pour la pratique
Avec ce jugement, le tribunal administratif de Luxembourg envoie un signal en direction des grandes entreprises tech : Même les leaders mondiaux du marché doivent se soumettre aux exigences d'un traitement des données transparent, équitable et légal - notamment en ce qui concerne le profilage à des fins publicitaires.
L'arrêt illustre en outre l'importance de la Conformité avec les droits des personnes concernées. Les entreprises qui, à grande échelle données à caractère personnel sont bien avisés d'utiliser leurs Obligations d'informationIl convient de vérifier régulièrement les processus d'information et les possibilités d'opposition et de les documenter en conséquence. Protection des données par la conception technique (Respect de la vie privée dès la conception) et les paramètres par défaut favorables à la protection des données (Protection de la vie privée par défaut) devraient être intégrés dès le début.
Pour les commissaires à la protection des données, cet arrêt signifie que le respect des RGPD n'est pas seulement une obligation légale, elle est également très importante sur le plan économique. Des audits réguliers, une gestion des droits documentée ainsi que des mesures techniques et organisationnelles (TOM) sont indispensables - en particulier pour les modèles commerciaux axés sur les données. Un approche basée sur les risques dans la gestion de la protection des données permet d'identifier à temps les points faibles potentiels et d'y remédier.
Perspectives d'avenir : Amazon peut jouer la montre
Amazon a maintenant la possibilité de faire appel de l'arrêt Appel devant la Cour administrative de faire appel. Un effet suspensif a été accordé à la procédure d'appel jusqu'à la décision de la prochaine instance. Il reste à voir si l'entreprise suivra cette voie.
Source : Communication du Tribunal administratif de Luxembourg
Tipp: Riskieren Sie keine Bußgelder! Mit Ailance können Sie den Großteil Ihrer Datenschutz- und Conformité-Aufgaben automatisieren. Nehmen Sie Kontakt zu uns auf, wir stellen Ihnen unsere Lösungen gerne vor.
☎️ +49 (228) 926165-100
📧paris@2b-advice.com
German 
English 
Italian 
French