Amazon c. CNPD (12 mars 2026) : l’intérêt légitime écarté en AdTech

Le 12 mars 2026, la Cour administrative du Luxembourg confirme que la publicité comportementale d’Amazon ne pouvait pas reposer sur l’intérêt légitime (art. 6(1)(f) RGPD) et valide des manquements d’information. Elle annule toutefois l’amende de 2021 au regard de la jurisprudence CJUE exigeant la caractérisation d’une faute (intention ou négligence). Sources : CNPD et La Justice.

L’affaire

• Organisation : Amazon Europe Core S.à r.l. (Luxembourg)
• Autorité : Commission nationale pour la protection des données (CNPD)
• Décisions : Tribunal administratif (18/03/2025) et Cour administrative (12/03/2026, n° 52757C)
• Sanctions et mesures CNPD (2021) : 746 M€ d’amende, injonctions de mise en conformité, astreinte de 746 000 €/jour
• Articles visés : art. 6, 12–17, 21 RGPD et règles cookies/traceurs

La Cour confirme l’inadéquation de l’intérêt légitime pour la publicité comportementale en cause et l’insuffisance d’information, tout en annulant l’amende pour défaut de caractérisation de la faute à la lumière des arrêts CJUE du 5/12/2023.

Le raisonnement juridique

1) Base légale en publicité comportementale

• L’article 6 du RGPD (EUR‑Lex) énumère les bases de licéité (dont consentement et intérêt légitime). Un rappel utile figure aussi dans notre page loi : les exigences du RGPD et leurs articles clés.
• L’EDPB soutient de longue date que pour le ciblage publicitaire reposant sur des traceurs et le profilage cross‑site, le consentement libre, spécifique, éclairé et univoque est généralement requis : Lignes directrices 05/2020 (consentement) et Lignes directrices 8/2020 (ciblage).
• La Cour administrative du Luxembourg s’aligne : l’intérêt légitime n’était pas une base valable pour les traitements publicitaires d’Amazon en cause (note officielle), consolidant l’exigence de consentement pour la publicité comportementale impliquant des cookies/identifiants.

2) Information et droits

• Les articles 12 à 14 RGPD imposent une information claire sur les finalités et la base légale, y compris les intérêts poursuivis lorsqu’on invoque l’art. 6(1)(f). L’art. 21 organise le droit d’opposition. Texte : EUR‑Lex.
• La Cour confirme que, à la date de la décision CNPD, les modalités d’information d’Amazon étaient non conformes (communiqué CNPD).

3) Amendes et exigence de faute après la CJUE (2023–2025)

• La CJUE (5/12/2023, C‑807/21 Deutsche Wohnen; C‑683/21) écarte la responsabilité objective pour les amendes RGPD : l’autorité doit démontrer au moins la négligence. Voir communiqué CJUE et texte EUR‑Lex C‑683/21.
• Le 13/02/2025 (C‑383/23, ILVA), la CJUE précise que les plafonds de l’art. 83 se calculent au niveau de « l’entreprise » (droit de la concurrence) : Infocuria.
• Dans ce contexte, la Cour administrative annule l’amende de 2021 et invite la CNPD à réexaminer toute sanction financière « à la lumière de cette jurisprudence », notamment sur la caractérisation de la faute (CNPD).

Impacts pratiques

• AdTech, retargeting multi‑sites : partez du principe que le consentement (art. 6(1)(a)) est requis pour les traceurs publicitaires et le profilage. L’intérêt légitime n’est défendable qu’à la marge (EDPB 05/2020 et 8/2020).
• Bannières cookies : éviter les dark patterns, offrir un refus aussi simple que l’acceptation, segmenter les finalités (mesure d’audience exemptée vs publicité ciblée).
• Notices et registre : alignez vos mentions (art. 12–14), exposez les destinataires (adtech stack) et transferts (art. 44–49), et rappelez le droit d’opposition (art. 21). Voir le cadre RGPD au Luxembourg et l’accompagnement DPO.
• Gouvernance des sanctions : documentez vos choix (tests de balance, DPIA si profilage à grande échelle). L’absence de paper trail facilite la caractérisation de la négligence (CJUE 2023).

Exemples rapides

• E‑commerce LU « tout ou rien » : haut risque. Basculer vers une CMP conforme (granularité, refus symétrique, preuve du consentement).
• Média luxembourgeois : séparer personnalisation de contenu et publicité ciblée ; ne pas masquer une finalité publicitaire derrière « amélioration du service » au titre de l’intérêt légitime.
• App mobile transfrontalière : consentement explicite in‑app pour les SDK tiers, retrait simple, mise à jour des notices.

Arbre de décision : intérêt légitime ou consentement ?

1. La finalité implique‑t‑elle des traceurs/ID tiers pour profiler et cibler des publicités au‑delà du strict nécessaire ? — Oui : viser d’abord le consentement (EDPB 05/2020 ; 8/2020). Non : passer à 2.
2. Le traitement est‑il strictement nécessaire (sécurité, antifraude, mesure d’audience exemptée, performance du service) ? — Oui : intérêt légitime envisageable avec test de balance et droit d’opposition (art. 6(1)(f), 21). Non : consentement requis.
3. Information et preuves : notice conforme (art. 12–14), logs de consentement/opt‑out ? Non : non‑conformité probable.
4. Risque de sanction : registres, tests de balance, DPIA ? Sans cela, la négligence pourra être retenue (CJUE 2023).

Pièges fréquents

• Confondre « personnalisation de l’expérience » (potentiellement interne et nécessaire) et « publicité comportementale » (souvent consentement explicite requis). Références : EDPB 8/2020.
• Mélanger analytics et ads dans une seule case « cookies marketing » : l’EDPB attend une granularité réelle.
• Oublier le droit d’opposition (art. 21) quand on invoque l’intérêt légitime.
• Sous‑estimer l’exigence de faute pour les amendes depuis 2023 (C‑683/21 ; C‑807/21).

Aller plus loin

Texte officiel et lignes directrices : RGPD (EUR‑Lex), EDPB 05/2020, EDPB 8/2020. Pour structurer votre conformité au quotidien, voyez le mandat de DPO externalisé.

Enjeux 2026 au Luxembourg : l’arrêt Amazon ancre une ligne européenne claire : pour tout ciblage publicitaire par traceurs et profilage multi‑sites, placez le consentement au centre, corrigez les notices et consignez vos choix.

Article d'expertise Luxgap. Pour un cadrage personnalise sur ce sujet, contactez-nous ou configurez votre devis en ligne.