Amazon vs. CNPD : un tournant majeur pour l’interprétation du RGPD: Analyse de l'arrêt du 12 mars 2026
- Anne-Namalie L'HÔTE
- 24 mars
- 4 min de lecture
Dernière mise à jour : 31 mars
Le 12 mars 2026, la Cour administrative du Luxembourg a rendu un arrêt très attendu dans l’affaire opposant Amazon Europe Core S.à r.l. à la CNPD, l’autorité luxembourgeoise de protection des données.
Cet arrêt marque un jalon important pour l’application du RGPD, en particulier sur la manière dont les autorités peuvent ou non prononcer des amendes administratives.
Cette affaire, qui remonte à une décision de 2021 infligeant une amende record de 746 millions d’euros à Amazon pour ses pratiques en matière de publicité comportementale, connaît enfin une clarification majeure.
1. Rappel du contexte : l’une des plus grandes amendes RGPD en Europe
En 2021, la CNPD avait sanctionné Amazon pour plusieurs violations du RGPD liées à ses traitements de données pour la publicité basée sur les intérêts (PBI).
Selon la CNPD, Amazon utilisait la base légale de l’intérêt légitime de manière injustifiée et ne respectait pas les exigences de transparence et plusieurs droits des personnes (accès, rectification, effacement, opposition).
Amazon avait contesté cette décision devant les juridictions luxembourgeoises.
Le 18 mars 2025, le tribunal administratif avait confirmé la position de la CNPD, mais la société avait fait appel.
2. L'arrêt du 12 mars 2026 : les violations confirmées, mais l’amende annulée
La Cour administrative rend un arrêt nuancé :
2.1. Les violations du RGPD confirmées
Dans l'arrêt du 12 mars 2026, la Cour confirme « quasi intégralement » l’analyse de la CNPD et retient notamment que:
le recours à l’intérêt légitime comme base légale était injustifié
les obligations de transparence n’étaient pas respectées
les droits d’accès, de rectification et d’effacement des personnes concernées n'étaient pas respectés.
Ce point est important : Amazon avait bien enfreint le RGPD en 2021, et cette violation est désormais fermement établie après plusieurs années de procédures.
2.2 Mais l’amende est annulée notamment pour un défaut de motivation
La Cour annule l’amende de 746 millions d’euros, non pas parce que les violations n’existent pas, mais parce que la CNPD:
n’a pas démontré qu’Amazon avait agi délibérément ou par négligence, ce qui est pourtant une condition préalable à toute amende selon la jurisprudence de la CJUE (affaires Deutsche Wohnen C‑807/21 et Nacionalinis C‑683/21)
n’a pas suffisamment justifié la proportionnalité du montant
n’a pas montré qu’elle avait considéré d’autres mesures moins contraignantes avant le prononcé des sanctions financières.
La CNPD devra donc réexaminer le dossier et décider si, à la lumière de la jurisprudence européenne, une amende reste justifiée.
3. La réaction officielle de la CNPD
La CNPD se félicite que la Cour ait confirmé l’essentiel de son analyse.
Elle souligne également qu’Amazon s’est mise en conformité avant l’audience, montrant l’impact concret de son action régulatrice.
Elle poursuivra l’instruction pour déterminer si une sanction financière, dûment motivée, peut être infligée dans cette nouvelle phase.
4. La réaction d'Amazon
Amazon, de son côté, se réjouit de l’annulation de la sanction. L’entreprise affirme avoir toujours travaillé « en bonne foi » et considère que la décision reconnaît la fragilité de la sanction initiale.
Dans un communiqué du 13 mars 2026, elle rappelle :
son engagement envers la protection des données
son dialogue continu avec les régulateurs
son désaccord profond avec la sanction d'origine, jugée disproportionnée.
5. Quelles conséquences pour le RGPD et les entreprises?
5.1. Le RGPD reste strict sur les droits et obligations
La Cour réaffirme que :
l’intérêt légitime ne peut être invoqué qu’en respectant scrupuleusement le test en trois étapes ;
la transparence demeure une obligation fondamentale
les droits des personnes concernées sont non négociables.
5.2 Les autorités doivent désormais démontrer l'"intention” ou la "négligence" du responsable de traitement
C’est le point clé de l’arrêt.
La CJUE a établi qu' une autorité ne peut plus imposer une amende sans démontrer la négligence ou l’intention du responsable de traitement.
Cette exigence va complexifier les enquêtes et obliger les autorités à renforcer leurs analyses.
6. Conclusion: l'arrêt Amazon vs. CNPD, un arrêt structurant pour le paysage européen
L’arrêt Amazon vs. CNPD (12 mars 2026) est un arrêt important en droit européen.
Il clarifie l’obligation, pour les autorités, de démontrer une intention ou une négligence avant d’imposer une amende RGPD, tout en confirmant des violations sérieuses commises par un acteur majeur du numérique.
Ce dossier montre aussi la montée en maturité du contentieux RGPD :
plus de rigueur juridique
un contrôle des sanctions accru
et un équilibre plus fin entre protection des données et sécurité juridique des entreprises.
Pour en savoir plus:
https://www.aboutamazon.eu/news/company-news/declaration-amazon-decision-cour-dappel-luxembourg-cnpd
Communiqué de presse CJUE: 5 décembre 2023, Affaire C‑807/21 Deutsche Wohnen SE contre Staatsanwaltschaft Berlin https://infocuria.curia.europa.eu/tabs/document?source=document&text=&docid=280329&pageIndex=0&doclang=FR&mode=req&dir=&occ=first&part=1&cid=2939972
CJUE, 5 décembre 2023, Affaire C-683/21: Nacionalinis: https://eur-lex.europa.eu/legal-content/FR/ALL/?uri=CELEX:62021CJ0683
***
ANL Avocat vous accompagne sur vos projets de mise en conformité au RGPD.
Pour poser une question sur le RGPD: vous pouvez nous contacter : ici
