Amazon Europe Core未依法响应数据主体权利请求案（卢森堡CNPD，2021年/2025年3月上诉驳回）

【案件背景】
2021年7月，卢森堡国家数据保护委员会（CNPD）对Amazon Europe Core S.à r.l.处以7.46亿欧元的创纪录罚款，这是GDPR生效以来单笔最高罚款之一。Amazon随即提起上诉，2025年3月19日卢森堡行政法院驳回其上诉，维持原处罚决定。虽然该处罚的主要焦点是Amazon的广告定向投放和用户画像行为，但CNPD在调查中同样认定Amazon存在严重的数据主体权利处理缺陷——未能依法响应数据主体的访问请求（Article 15）、更正请求（Article 16）、删除请求（Article 17）和反对处理请求（Article 21）。

【违法事实】
CNPD调查发现Amazon在多个方面违反了GDPR关于用户权利的规定：第一，Amazon未建立有效的DSAR（数据主体访问请求）处理流程，大量用户提交的访问请求被长时间搁置或收到的是不完整的模板化回复；第二，用户提出的删除请求被以"内部业务需要"等宽泛理由系统性拒绝，未逐案进行合法依据审查；第三，用户针对定向广告的反对处理请求（Article 21）未得到及时响应——多名用户在行使opposition right后仍持续收到个性化广告推荐；第四，Amazon未按照GDPR第12条的要求，在收到请求后一个月内完成响应。这些系统性的权利保障缺失与其作为全球最大电商平台的数据处理体量严重不匹配。

【处罚决定】
CNPD对Amazon处以7.46亿欧元罚款，并责令其全面整改数据主体权利响应机制。整改要求包括：建立专用的DSAR处理团队和自动化响应系统、确保在一个月法定期限内响应所有权利请求、逐案审查删除请求不得以模板化理由拒绝、对定向广告的反对请求必须立即停止相关处理。Amazon在2025年3月上诉被驳回后，罚金正式生效。

【典型意义】
7.46亿欧元的罚单金额昭示了一个明确的监管态度：当一家公司拥有海量用户和庞大数据处理规模时，其在用户权利保障方面的任何系统性缺失都将面临与其体量匹配的惩罚。规模不是合规豁免的理由，恰恰相反，规模越大责任越重。对于全球运营的中国出海企业而言，本案的教训是：用户权利的响应机制不是后端的一个"附加功能"，而应当是嵌入整个数据处理架构的前置合规设施。