Amazon vs CNPD (12/03/2026) : amende annulée, méthode d’amende recentrée

12 mars 2026 — Amazon vs CNPD. La Cour administrative du Luxembourg (arrêt n° 52757C) a annulé l’amende de 746 M€ infligée en 2021 à Amazon, tout en confirmant l’essentiel des constats sur les traitements. Enseignement-clé: la méthodologie d’amende RGPD doit intégrer la jurisprudence CJUE « Deutsche Wohnen » et « Nacionalinis » et le test de faute. Sources officielles: La Justice (Luxembourg), CNPD (FR), CNPD (EN).

L’affaire

La Cour relève que les injonctions et l’astreinte sont devenues sans objet, Amazon s’étant entre-temps conformée aux exigences du RGPD. En revanche, l’amende est annulée au regard d’une évolution postérieure de la jurisprudence de la CJUE (arrêts du 5/12/2023) qui encadre le pouvoir de sanction et la notion de manquement « fautif » (au moins par négligence). Références: C‑807/21 Deutsche Wohnen et C‑683/21 Nacionalinis. Voir aussi le flash « Décisions nationales d’intérêt pour l’Union » (CJUE, 2026/2).

Le raisonnement juridique

1) Article 83 RGPD et contrôle juridictionnel

L’article 83 RGPD impose des amendes effectives, proportionnées et dissuasives, motivées selon des facteurs précis (gravité, durée, caractère intentionnel/négligent, coopération, mesures correctives, antécédents, etc.). Texte: EUR‑Lex, RGPD. La CJUE (5/12/2023) précise: (i) l’amende peut viser directement l’entité responsable de traitement; (ii) l’autorité doit établir une faute (au moins par négligence) et respecter l’autonomie méthodologique de l’article 83(2). La Cour administrative applique cette grille et renvoie le calcul/méthode dans ce cadre.

2) Droit d’opposition (article 21) et portée

Le flash de la CJUE indique l’absence de « violation autonome » de l’article 21 dans ce dossier, sans remettre en cause le droit d’opposition au marketing reposant sur l’intérêt légitime. L’accent est mis sur la précision des griefs et la charge de la preuve. Cadre: RGPD et lignes de la Commission européenne.

3) Méthodologie de calcul: attendu EDPB

Les Lignes directrices EDPB 04/2022 (24/05/2023) promeuvent 5 étapes: point de départ (gravité/catégorie), nombre d’infractions, facteurs atténuants/aggravants, plafonds, puis contrôle effectif-proportionné-dissuasif. Réf.: EDPB 04/2022 et actualité EDPB.

Ce que ça change concrètement

• Dirigeants, juristes et DPO au Luxembourg: les amendes resteront élevées si la faute est établie et la méthode EDPB solidement motivée. À l’inverse, des lacunes de motivation peuvent mener à l’annulation ou à une réévaluation, même si des manquements persistent. Pour sécuriser votre mandat DPO et la gouvernance des sanctions, structurez les éléments de preuve selon l’article 83(2) et les lignes EDPB.
• Équipes marketing et CISO: la mise en conformité matérielle prime. Corriger vite, tracer les remédiations (registre des décisions, change logs, CMP, désactivation d’IDs, nouvelles bases légales, DPA mis à jour, contrôles article 32) réduit l’exposition et joue en atténuation. Un audit de sécurité aide à objectiver ces contrôles.
• Ciblage publicitaire et intérêt légitime: documenter le test de mise en balance (art. 6(1)(f)), offrir une opposition « sans friction » (art. 21) et conserver la preuve d’exécution; clarifier les rôles/contrats (art. 26–28) à la lumière des lignes EDPB 8/2020. Pour la mise en œuvre luxembourgeoise, voyez la conformité CNPD au Luxembourg.

Exemple: une bannière qui fonde le marketing sur l’« intérêt légitime » doit proposer une opposition simple et opposable, désactiver effectivement tags/IDs et démontrer que les intérêts du responsable n’emportent pas sur ceux des personnes. À défaut: contrôle, injonctions, puis amende selon une méthode désormais scrutée à l’aune des arrêts du 05/12/2023.

Pièges fréquents

1. Méthode de calcul incomplète: absence d’alignement avec les 5 étapes EDPB 04/2022 (gravité/durée, nombre d’infractions, facteurs, plafonds, proportionnalité) expose à l’annulation partielle/totale. Réf.: EDPB 04/2022.
2. Exigence de « faute » sous-estimée: depuis C‑807/21 et C‑683/21, documenter des éléments précis (procédures insuffisantes connues, absence de contrôle, avertissements ignorés, etc.). Réf.: C‑807/21, C‑683/21.
3. Confondre correction et absence de responsabilité: la conformité ultérieure pèse sur l’astreinte et le quantum, mais ne gomme pas nécessairement les manquements passés. Réf.: synthèse officielle, position CNPD.
4. Droit d’opposition mal implémenté: un opt‑out qui ne désactive pas réellement les traceurs, une gestion erratique des demandes, ou des bases légales mal cartographiées exposent à des griefs ciblés. Cadre: Commission européenne.
5. Gouvernance adtech insuffisante: rôles/contrats (art. 26–28), registres (art. 30) et mesures (art. 32) non démontrés. Réf.: EDPB 8/2020.

Sources officielles

• Cour administrative (Luxembourg) — Arrêt du 12 mars 2026
• CNPD — « La CNPD obtient la mise en conformité… » (FR) — (EN)
• CJUE — C‑807/21 « Deutsche Wohnen » — Communiqué de presse 184/23
• CJUE — C‑683/21 « Nacionalinis »
• EDPB — Lignes directrices 04/2022 — actualité
• Texte RGPD (art. 83, art. 21)
• Flash CJUE — Décisions nationales d’intérêt pour l’Union (2026/2)

En synthèse

L’arrêt du 12 mars 2026 ne desserre pas la régulation luxembourgeoise: il exige une motivation et une méthode d’amende alignées sur la CJUE. Priorités pour les organisations: corriger vite et documenter la base légale, l’opposition et la gouvernance adtech. Pour un accompagnement opérationnel jusqu’au calcul des risques et à la défense des preuves, contactez-nous via la page RGPD au Luxembourg ou notre formulaire de contact.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.