Amazon esce vincitrice da una battaglia legale durata quasi quattro anni. La corte amministrativa lussemburghese ha infatti annullato la sanzione da 746 milioni di euro che la Commission Nationale pour la Protection des Données (CNPD) aveva inflitto al gigante dell'e-commerce il 15 luglio 2021 per presunte violazioni del GDPR, il regolamento europeo sulla protezione dei dati personali. La decisione è stata resa nota negli ultimi giorni, dopo che il tribunale amministrativo aveva già confermato la multa il 18 marzo 2025.

Secondo i giudici lussemburghesi, l'autorità garante non aveva condotto un'analisi sufficientemente rigorosa prima di comminare la sanzione. Di conseguenza, hanno ordinato alla CNPD di riesaminare l'intero fascicolo. Tuttavia, poiché Amazon nel frattempo ha già adeguato le proprie pratiche di gestione dei dati in conformità alle disposizioni dell'ente regolatore, il procedimento è stato dichiarato sostanzialmente privo di effetti su questo specifico aspetto. La multinazionale di Seattle non dovrà quindi corrispondere la somma contestata.

Le accuse originarie erano piuttosto articolate e riguardavano varie infrazioni al GDPR: l'uso improprio del consenso come base legittima per il trattamento dei dati personali, la mancanza di trasparenza verso gli utenti riguardo all'utilizzo delle loro informazioni, nonché violazioni dei diritti di accesso, rettifica e cancellazione dei dati, oltre al diritto di opposizione al trattamento. La CNPD aveva sostenuto che il presunto interesse commerciale di Amazon non costituiva una base giuridica valida per queste operazioni.

Amazon ha contestato la decisione sottolineando che al momento dell'entrata in vigore del GDPR, a maggio 2018, le norme non fornivano indicazioni sufficientemente chiare su come trattare correttamente i dati degli utenti a fini pubblicitari personalizzati. L'azienda ha espresso piena soddisfazione per il verdetto della corte. Dal canto suo, la CNPD ha precisato che l'annullamento della multa si basa su una sentenza successiva della Corte di Giustizia dell'Unione Europea, che ha modificato l'interpretazione di alcune disposizioni chiave del regolamento. Questo significa che l'autorità lussemburghese avrà ora il compito di valutare se irrogare una nuova sanzione, tenendo conto di questa giurisprudenza più recente.

La vicenda rappresenta un caso emblematico delle incertezze normative che hanno caratterizzato i primi anni di applicazione del GDPR e di come le decisioni della magistratura europea possono avere effetti retroattivi significativi sugli accertamenti già comminati dalle autorità nazionali. Nel panorama dei procedimenti contro i giganti del tech per violazioni privacy, si tratta di una vittoria importante per Amazon, sebbene non sia escluso che il fascicolo possa produrre sviluppi ulteriori.