Amazon uchyla rekordową grzywnę RODO w wysokości 746 mln euro: Przełom w egzekwowaniu prywatności wobec gigantów technologicznych

W przełomowej decyzji, która wstrząsnęła europejskim krajobrazem prawnym, Amazon skutecznie odwołał się od rekordowej kary za naruszenie prywatności w wysokości 746 milionów euro (854,4 miliona dolarów). W piątek, 13 marca 2026 r., luksemburski sąd uchylił karę pierwotnie nałożoną przez luksemburską Krajową Komisję Ochrony Danych (CNPD), powołując się na niewłaściwe przeprowadzenie analizy przez organ regulacyjny.

Orzeczenie to stanowi znaczące zwycięstwo giganta handlu elektronicznego i stawia krytyczne pytania o to, w jaki sposób europejskie organy regulacyjne muszą uzasadniać zarzuty dotyczące niewłaściwego wykorzystania danych na mocy Ogólnego Rozporządzenia o Ochronie Danych (RODO). Zarówno dla firm, jak i obrońców prywatności, decyzja sądu służy jako przypomnienie, że nawet najbardziej dotkliwe kary mogą upaść, jeśli podstawowy proces regulacyjny zostanie uznany za wadliwy.

Początki sporu

Batalia prawna rozpoczęła się w 2021 roku, kiedy CNPD nałożyła gigantyczną grzywnę po skardze francuskiej grupy praw do prywatności La Quadrature du Net. Sedno zarzutu koncentrowało się na praktykach Amazona w zakresie internetowej reklamy behawioralnej. Organ regulacyjny argumentował, że sposób, w jaki Amazon przetwarzał dane osobowe w celu wyświetlania ukierunkowanych reklam, nie posiadał właściwej podstawy prawnej i nie spełniał wymogów przejrzystości nakazanych przez RODO.

W tamtym czasie grzywna była najwyższą, jaką kiedykolwiek nałożono w ramach unijnych ram ochrony prywatności, co sygnalizowało nową erę agresywnego egzekwowania prawa wobec Big Tech. Amazon jednak od początku utrzymywał, że jego praktyki reklamowe są zgodne z przepisami, a grzywna opierała się na subiektywnych i niesprawdzonych interpretacjach prawa o ochronie prywatności.

Dlaczego sąd uchylił grzywnę

Sąd w Luksemburgu niekoniecznie oczyścił Amazon ze wszystkich zarzutów; uznał raczej, że CNPD nie zachowała niezbędnej rygorystyczności proceduralnej. Sąd orzekł, że organ nadzorczy nie przedstawił wystarczająco szczegółowej analizy, aby uzasadnić tak ogromną karę.

W kategoriach prawnych sąd uznał ocenę organu regulacyjnego za „niedostatecznie uzasadnioną”. Można to porównać do sytuacji, w której profesor wystawia studentowi ocenę niedostateczną za złożoną pracę dyplomową, nie przedstawiając kryteriów oceniania ani konkretnych uwag dotyczących tego, gdzie argumentacja zawiodła. Ponieważ organ regulacyjny nie wykazał odpowiednio konkretnej szkody ani dokładnego mechanizmu naruszenia w swojej ostatecznej decyzji, sąd uznał, że grzywna w obecnej formie nie może się ostać. Sprawa została teraz skierowana z powrotem do CNPD w celu ponownego rozpatrzenia.

Porównanie gigantów: Największe kary RODO

Aby zrozumieć skalę tego orzeczenia, warto przyjrzeć się, jak grzywna Amazona wypada na tle innych historycznych kar RODO. Choć kara dla Amazona była niegdyś rekordowa, krajobraz egzekwowania prawa uległ w ostatnich latach znacznej zmianie.

Wpływ na egzekwowanie RODO

To orzeczenie jest otrzeźwiającym momentem dla europejskich organów ochrony danych. Podkreśla ono, że same „wielkie liczby” nie wystarczą do zapewnienia zgodności; organy regulacyjne muszą budować niepodważalne argumenty, które wytrzymają kontrolę sądową wysokiego szczebla.

Dla firm z sektora Big Tech to zwycięstwo stanowi wzór do kwestionowania przyszłych kar. Sugeruje ono, że uchybienia proceduralne i głębokość analizy regulacyjnej są realnymi ścieżkami odwoławczymi. Zwycięstwo to może być jednak tymczasowe. Ponieważ sąd nakazał ponowną ocenę, a nie całkowite oddalenie skargi, CNPD teoretycznie może powrócić z solidniej uargumentowaną — choć być może niższą — grzywną w przyszłości.

Praktyczne wnioski dla firm

Chociaż większość firm nie działa na taką skalę jak Amazon, następstwa tej sprawy oferują kilka praktycznych lekcji dla każdej organizacji przetwarzającej dane osobowe:

• Dokumentacja jest kluczowa: Skupienie się sądu na „analizie” oznacza, że firmy muszą prowadzić skrupulatną dokumentację własnych decyzji dotyczących zgodności. Jeśli organ regulacyjny zapyta, dlaczego wybrano konkretną podstawę prawną przetwarzania danych, Twoja dokumentacja musi być tak samo solidna jak krytyka organu.
• Audyt technologii reklamowych: Reklama behawioralna pozostaje głównym celem dla obrońców prywatności. Regularnie przeglądaj swoje piksele śledzące, zgody na pliki cookie i umowy o udostępnianiu danych z reklamodawcami zewnętrznymi.
• Zrozum proces odwoławczy: Ta sprawa dowodzi, że pierwsze słowo organu regulacyjnego rzadko jest ostatnim. Firmy powinny być przygotowane na inwestycje w ekspertyzy prawne w celu zbadania proceduralnej ważności wszelkich działań regulacyjnych podjętych przeciwko nim.
• Przejrzystość ma znaczenie: Nawet jeśli grzywna została uchylona, podstawowym problemem był brak jasności co do sposobu wykorzystania danych. Uproszczenie polityki prywatności i uczynienie mechanizmów rezygnacji intuicyjnymi pozostaje najlepszą obroną przed skargami.

Co dalej?

Piłka jest teraz po stronie CNPD. Organ regulacyjny musi zdecydować, czy spróbować zrekonstruować swoją sprawę za pomocą bardziej szczegółowej analizy, czy zadowolić się znacznie obniżoną karą. Tymczasem grupy zajmujące się ochroną prywatności prawdopodobnie zwiększą presję na organy regulacyjne, aby były bardziej precyzyjne w swoich działaniach egzekucyjnych, unikając w przyszłości tak głośnych niepowodzeń.

Na razie Amazon odzyskał znaczną przestrzeń finansową, a branża technologiczna otrzymała jasny sygnał: w świecie RODO proces jest równie ważny, jak sama prywatność.

Źródła

• Oficjalne akta Trybunału Administracyjnego w Luksemburgu (aktualizacja 2026).
• Wytyczne dotyczące artykułu 83 Ogólnego Rozporządzenia o Ochronie Danych (RODO).
• Historyczne dane dotyczące egzekwowania prawa z Europejskiej Rady Ochrony Danych (EROD).
• Analiza prawna sprawy La Quadrature du Net vs. Amazon (2021-2026).