L'autorità di controllo della protezione dei dati del Lussemburgo Commissione nazionale per la protezione dei dati (CNPD) ha inflitto ad Amazon Europe Core S.à r.l., il 15 luglio 2021, un’ammenda record pari a 746 milioni di euro imposto. Il Tribunale amministrativo del Lussemburgo ha confermato integralmente tale decisione il 18 marzo 2025.
La CNPD infligge una multa record ad Amazon
Il punto di partenza del procedimento è stata l'analisi completa delle misure pubblicitarie basate sui dati di Amazon Europe Core S.à r.l. da parte dell'autorità lussemburghese di controllo della protezione dei dati CNPD. Nell'ambito di un'indagine a lungo termine, sono stati esaminati i processi di raccolta, archiviazione, analisi ed elaborazione dei dati personali da parte di Amazon. In particolare, l'attenzione si è concentrata sull'utilizzo di questi dati per la raccolta di informazioni basate sugli interessi. PubblicitàSi tratta della visualizzazione personalizzata di contenuti pubblicitari in base al comportamento dell'utente, agli acquisti precedenti e ad altre tracce digitali.
Il CNPD ha riscontrato che Amazon non ha un'effettiva Consenso delle persone interessate per la Elaborazione dei loro dati personali a fini pubblicitari. Amazon ha invece invocato un interesse legittimo ai sensi dell'articolo 6, paragrafo 1, lettera f). GDPRTuttavia, ciò non è stato ritenuto sufficiente nel caso specifico. L'autorità ha ritenuto che gli interessi, i diritti e le libertà fondamentali degli utenti interessati fossero superiori agli interessi economici di Amazon.
Inoltre, sono state individuate gravi carenze nell'area di Trasparenza trovato. Gli interessati non sono stati informati in modo sufficiente o comprensibile sulle finalità del trattamento dei dati. Anche la struttura dell'informativa sulla privacy e l'accessibilità delle informazioni pertinenti erano inadeguate secondo l'autorità. Ciò costituisce una violazione degli articoli 12-14. GDPR rappresentare.
Inoltre, sono state riscontrate gravi carenze nell'attuazione della Diritti degli interessati accusato. Richieste di informazioni ai sensi dell'articolo 15 GDPR non avevano avuto risposta o l'avevano avuta in modo incompleto. L'azienda ha inoltre violato i diritti di Correzione, Cancellazione e Contraddizione non sono stati adeguatamente presi in considerazione. Per il CNPD si tratta di una violazione sistematica degli articoli 16, 17 e 21. GDPR.
746.000 euro di penalità al giorno per la mancata attuazione
A causa di queste violazioni, la CNPD ha imposto un divieto nel luglio 2021. Fine per un importo di 746 milioni di euro. Inoltre, sono state imposte ad Amazon misure correttive specifiche. In caso di mancata attuazione, è stata minacciata una penalità giornaliera di 746.000 euro. Inoltre, l'autorità ha disposto la pubblicazione della decisione per ottenere un effetto deterrente e Trasparenza per il pubblico.
Amazon ha quindi presentato ricorso contro la decisione, con l’obiettivo di ottenere l’annullamento o almeno la riduzione delle sanzioni. Tale ricorso è stato ora respinto integralmente dal Tribunale amministrativo del Lussemburgo con sentenza del 18 marzo 2025.
Suggerimento di lettura: Multa salatissima per Meta: quasi 800 milioni di euro
Dichiarazioni chiave della sentenza
Nella sua decisione, il Tribunale amministrativo del Lussemburgo ha confermato tutte le principali conclusioni del CNPD. Dopo un esame approfondito, il tribunale ha concluso che Amazon Europe Core S.à r.l. ha violato le disposizioni fondamentali del Regolamento generale sulla protezione dei dati. In particolare, l'attenzione si è concentrata sull'illecito Elaborazione dei dati personali ai fini della personalizzazione Pubblicità.
Il tribunale ha chiarito che un Elaborazione a fini pubblicitari può essere ammissibile in linea di principio, ma solo se si basa su una base giuridica valida. Questo non era il caso nel caso di Amazon. L'invocazione di un interesse legittimo ai sensi dell'art. 6, comma 1, lettera f), del Codice Civile non è stata presa in considerazione. GDPR In considerazione dell'intensità del Elaborazione e la mancanza di un'efficace Consenso non sarebbe stato sostenibile. Il vantaggio economico per Amazon non giustifica in alcun modo la profilazione ad ampio raggio e la completa Tracciamento utenti su più piattaforme.
Il tribunale ha attribuito particolare importanza agli obblighi di trasparenza. Ha confermato il parere della CNPD secondo cui le informazioni fornite da Amazon in merito al trattamento dei dati fossero insufficienti, poco chiare e in parte fuorvianti. Ciò non solo costituisce una carenza formale, ma ostacola in modo sostanziale l’esercizio dei diritti degli interessati.
Anche per quanto riguarda l'attuazione del Diritti degli interessati Il tribunale non ha mostrato alcuna indulgenza. Le richieste di informazioni sarebbero state evase in modo incompleto o in ritardo. I diritti di rettifica e cancellazione sarebbero stati attuati solo con lentezza o non sarebbero stati attuati affatto, il che indicherebbe carenze strutturali nella gestione della protezione dei dati presso Amazon. Lo stesso vale per la gestione dei ricorsi contro il trattamento dei dati.
Un altro aspetto fondamentale è stata la mancata reazione di Amazon alle misure disposte dalla CNPD. L’azienda non avrebbe compiuto, per un lungo periodo, sforzi sufficienti per porre rimedio alle violazioni della protezione dei dati. Il tribunale ha valutato questa persistente inazione come una continua violazione della normativa europea in materia di protezione dei dati, il che giustifica ulteriormente l’entità della sanzione.
Significato della sentenza Amazon nella pratica
Con questa sentenza, il Tribunale amministrativo del Lussemburgo lancia un segnale alle grandi aziende tecnologiche: anche i leader di mercato a livello globale devono sottostare ai requisiti di un trattamento dei dati trasparente, equo e legittimo, in particolare per quanto riguarda la profilazione a fini pubblicitari.
La sentenza sottolinea anche l'importanza di Conformità con i diritti dell'interessato. Le aziende che operano su larga scala Dati personali è bene che elaborino i loro Obbligo di informazione, verificare periodicamente le procedure di informazione e le possibilità di ricorso e documentarle di conseguenza. Protezione dei dati attraverso la progettazione tecnologica (Privacy by design) e le impostazioni predefinite per la protezione dei dati (Privacy per impostazione predefinita) dovrebbero essere integrati fin dall'inizio.
Per i responsabili della protezione dei dati, questa sentenza significa che la conformità con il GDPR non è solo giuridicamente vincolante, ma anche molto rilevante in termini economici. Audit regolari, gestione documentata dei diritti e misure tecniche e organizzative (TOM) sono indispensabili, soprattutto nei modelli di business basati sui dati. Un Approccio basato sul rischio nella gestione della protezione dei dati, aiuta a individuare tempestivamente le potenziali vulnerabilità e a porvi rimedio.
Prospettive: Amazon può giocare per il tempo
Amazon ha ora la possibilità di opporsi alla sentenza Ricorso alla Corte amministrativa da presentare. Fino alla decisione dell'istanza successiva, al procedimento d'appello è stato riconosciuto un effetto sospensivo. Resta da vedere se l'azienda intenda seguire questa strada.
Fonte: Avviso del Tribunale amministrativo del Lussemburgo
Consiglio: non rischiate di incorrere in multe! Con Ailance potete gestire la maggior parte dei vostri obblighi in materia di protezione dei dati e Conformità-Automatizzare le attività. Contattateci: saremo lieti di presentarvi le nostre soluzioni.
☎️ +49 (228) 926165-100
📧 verona@2b-advice.com
German 
English 
Italian 
French