卢森堡DPA对Amazon Europe违规向美国跨境传输用户数据处以7.46亿欧元罚款案

【案件背景】
2021年7月16日，卢森堡国家数据保护委员会（CNPD）对Amazon Europe Core S.à r.l. 处以7.46亿欧元（约合8.87亿美元/人民币58亿元）的行政罚款，这是GDPR生效至2023年Meta案之前的最高罚款记录。Amazon的欧洲总部设在卢森堡，因此由CNPD作为牵头监管机构负责调查。调查缘起于2018年法国隐私保护组织La Quadrature du Net代表约1万名Amazon用户提出的投诉，指控Amazon在未经用户有效同意的情况下通过Cookie进行行为广告投放，并在缺乏充分法律基础的情况下将欧洲用户的个人数据传输至美国。

【违法事实】
经CNPD调查认定：一是数据处理缺乏有效的法律基础——Amazon以'合同履行必需'和'合法利益'作为其数据处理（包括跨境传输）的法律基础，但CNPD认定Amazon未能证明其广告数据处理及伴随的数据传输满足GDPR第6条关于法律基础有效性的要求，特别是'合法利益'的合法性论证不足；二是跨境数据传输的保障措施不足——调查涵盖Amazon将欧洲用户数据传输至美国的行为，包括浏览历史、购买记录、搜索习惯、设备信息等大量行为数据，Amazon基于隐私盾（后经Schrems II裁定无效）和SCCs进行的传输，在Schrems II裁决后是否采取了充分的补充措施成为争议焦点；三是广告偏好数据的处理与用户合理预期不符——消费者在进行日常网购时，合理预期不会将其行为数据用于超出交易完成目的的处理和跨境传输。

【处罚决定】
CNPD依据GDPR第6条（处理的合法性）和第46条（跨境传输的保障措施），对Amazon Europe处以7.46亿欧元行政罚款。Amazon表示不同意CNPD的决定并将提起上诉，称其未发生数据泄露且未将客户数据暴露给第三方。该罚款在Amazon 2020年约3860亿美元的年营业额中占比约0.2%。

【典型意义】
本案是GDPR跨境传输执法的早期标志性案例，与后来的Meta和TikTok案形成三部曲。一是开启了GDPR跨境传输的高额执法时代——7.46亿欧元罚款传递了明确的威慑信号，表明数据跨境传输违规不会因企业规模大或'未发生数据泄露'而被轻罚；二是法律基础的论证要求贯穿数据全生命周期——企业不能仅在数据收集环节论证法律基础，而必须在跨境传输环节独立验证法律基础的有效性；三是大型电商和云服务企业面临最高的跨境传输合规风险——Amazon、Meta、TikTok连续被罚显示了监管机构对大规模跨境数据传输的特殊关注，也体现了不同国家的监管机构（卢森堡、爱尔兰）协同行动的趋势。