Tout l’intérêt de l’affaire Amazon c/ Commission nationale pour la protection des données (la « CNPD ») tient en une idée simple : l’annulation d’une sanction de 746 millions d’euros ne signifie pas absence de manquement.

Le 12 mars 2026, la Cour administrative du Luxembourg (la « Cour ») a annulé la décision du 15 juillet 2021 par laquelle la CNPD avait infligé à Amazon une amende record pour violation du RGPD, assortie de plusieurs injonctions de mise en conformité.

Pour rappel, la CNPD reprochait à Amazon :

• L’utilisation d’une base juridique inappropriée pour la publicité ciblée : Amazon traitait les données personnelles de ses personnes concernées à des fins de publicité basée sur les intérêts en se fondant sur l’« intérêt légitime »
• Un défaut de transparence : la CNPD a constaté que les modalités d’information fournies aux personnes concernées concernant le traitement de leurs données n’étaient pas conformes aux exigences du RGPD
• Non-respect des droits des personnes concernées : des manquements ont été constatés concernant l’exercice effectif des droits d’accès, de rectification et d’opposition des utilisateurs à l’égard de leurs données

Les différents points de vues

Sur le fond, le signal reste fort.

Le recours à l’intérêt légitime en matière de publicité comportementale en ligne n’était pas valable et Amazon ne respectait pas les modalités d’information prévues par le RGPD.

Pour les responsables du traitement, la leçon est concrète.

Une base juridique fragile et une information incomplète peuvent déclencher des années de contentieux.

Côté CNPD, l’enseignement est tout aussi net.

Une autorité de contrôle ne peut pas prononcer une sanction aussi lourde, de manière quasi automatique, sans caractériser un comportement fautif, à savoir une violation intentionnelle ou une négligence.

Entre-temps, Amazon a modifié ses pratiques, et la CNPD considère désormais ce nouveau cadre comme conforme.

Conclusion

Si l’on devait trouver une morale à toute cette histoire :

• Auditer ses bases légales, ses parcours de consentement et ses notices d’information avant qu’un contrôle ou un contentieux ne s’en charge ;
• Une mise en conformité proactive durant un litige peut neutraliser certaines mesures de coercition.

En pratique, espérer une erreur d’appréciation d’une autorité de contrôle n’a jamais constitué une stratégie de conformité très robuste.