Cour administrative публикува решението, което двете спорещи страни приветстваха
С решение от 12 март 2026 г., Административният съд на Люксембург се произнесе по жалбата на един от основните световни играчи в онлайн търговията срещу решение на първата инстанция Tribunal administratif от 18 март 2025 г., с което е отхвърлена жалбата му срещу решение на Националната комисия за защита на данните (CNPD) за глоба от 746 милиона евро, както и на принудителни мерки под заплаха от дневна имуществена санкция в размер на 746 000 евро.
Попитах AI защо Tribunal administratif, първата инстанция, се пише с f в края, а Cour administrative – с v. Оказа се, ч зари съгласуване по род – Cour е женски род, а Tribunal е мъжки род.
Спорът се отнася до правното основание за обработването на лични данни за целите на реклама, базирана на интереси, извършвано от въпросното дружество, и спазването на различни разпоредби на GDPR.
На заседанието на 8 януари 2026 г. представителите на страните единодушно потвърдиха пред съда, че жалбоподателят наскоро е изпълнил изискванията на приложимата правна рамка относно защитата на личните данни по отношение на гореспоменатите спорни точки. Това беше изрично потвърдено от представителя на CNPD на заседанието, който заключи, че частите от делото, свързани с принудителните мерки под заплаха от санкции, са станали безпредметни.
Следователно, дори ако Съдът е бил призован да се произнесе по жалба по същество, което обикновено означава, че той трябва да преценява спора към момента на решението, в конкретния разглеждан случай това би било изцяло произнасяне по въпроси от миналото.
В решението си от 12 март 2026 г. Съдът първо се произнесе по процесуалните основания, повдигнати от жалбоподателя, като потвърди решението на първата инстанция да ги отхвърли, с изключение на един въпрос, повдигнат от жалбоподателя, относно обхвата на разследването, проведено от CNPD, като оплакванията, основани на член 21 от GDPR, бяха счетени от Съда за извън обхвата и не водят до решение срещу жалбоподателя.
След това Съдът анализира различните нарушения на GDPR, установени от CNPD в оспорваното му решение и потвърдени от първата инстанция. Съдът като цяло стига до същите изводи, с изключение на отхвърлянето на някои специфични елементи като недоказани. Тези нарушения се основаваха на фактите, проверени към момента на започване на разследването, момент, който CNPD счете за релевантен в решението си.
Съдът приел аргумента на жалбоподателя, предвид признание на CNPD, което се състоеше в критика към последния за това, че не е анализирал критерия за вина, а именно проверката за наличие на умишлено нарушение на GDPR или поне на доказана небрежност от страна на администратора на данни по отношение на установените нарушения на GDPR.
Въпреки това, при прилагане на съдебната практика на Съда на Европейския съюз (СЕС) след две решения от 5.12.2023 г. (дела „DEUTSCHE WOHNEN“ и „NACIONALINIS“, C-807/21 и C-683/21), надзорният орган е длъжен да анализира наличието на неправомерно поведение, което може да се състои или от умишлено действие, или от небрежност от страна на администратора на лични данни по отношение на наблюдаваните нарушения на GDPR.
Съгласно установената съдебна практика решенията на Съда на ЕС по въпроси, свързани с прилагането на правото на Европейския съюз, имат обратна сила от датата на влизане в сила на това законодателство и следователно са били валидни и за CNPD към момента на обжалваното решение.
Като се има предвид, че CNPD призна, че не е извършил този анализ, Съдът не е могъл да се произнесе в крайна сметка по този въпрос и е бил принуден, за да гарантира принципа на ефективни правни средства за защита, гарантиран по-специално от GDPR, да върне делото на CNPD, за да може той да извърши въпросния анализ за първи път.
Съдът освен това постанови, че CNPD не е извършил втори анализ, който да е достатъчно задълбочен в светлината на принципите, установени от Съда на ЕС в тази област, а именно изборът на най-подходящата мярка от широкия набор от предвидените в приложимите разпоредби. Всъщност надзорният орган е възприел подход на почти автоматично налагане на глоба след установяване на нарушения на GDPR.
И този анализ следва да бъде извършен за първи път след връщането на делото.
За да може CNPD да се произнесе отново, по-специално по отношение на двата анализа, които ще бъдат извършени за първи път, Съдът отмени обжалваното решение на CNPD от 15 юли 2021 г. във всичките му аспекти, като се разбира, че Съдът е потвърдил съществените нарушения на GDPR, установени към момента на започване на разследването, и че те вече са отстранени.
При дадените условия, съдът отхвърли исковете на двете страни за съответно процесуално обезщетение.
Освен това, той обедини разноските и разноските по двете производства и ги наложи по равно на всяка от двете страни.
Националната комисия за защита на данните (CNPD) коментира решението на съда като отбелязва, че основните регулаторни действия са дали резултати. „Всъщност Административният съд е одобрил подхода на CNPD почти изцяло и по-специално е потвърдил, че позоваването на Amazon на законни интереси като правно основание за въпросните операции по обработка не е било оправдано. Административният съд също така е потвърдил анализа на CNPD, че към момента на решението му процедурите за предоставяне на информация не са били в съответствие със съответните разпоредби на GDPR.
Накрая, Административният съд отбеляза, че преди датата на заседанието по това дело Amazon е изпълнил разпореждането за изпълнение, издадено от CNPD. Поради това той заключи, че производството е станало нерелевантно в това отношение.
Що се отнася до глобата, Административният съд я отмени въз основа на развитие в съдебната практика на Съда на Европейския съюз, настъпило след решението на CNPD.
По този начин, макар и да потвърждава основната работа на CNPD, решението все пак установява, че CNPD трябва да анализира налагането на финансова санкция в светлината на тази съдебна практика, по-специално по отношение на въпроса дали Amazon е демонстрирала известна степен на небрежност в своите практики.
CNPD отбелязва, че действията му са довели до привеждане на практиките на Amazon в пълно съответствие със съответните разпоредби на делото относно онлайн поведенческата реклама. Въз основа на този напредък, той ще продължи да разглежда случая по начин, който гарантира ефективното прилагане на GDPR.
Amazon изрази задоволството си от решението на три езика.