В Люксембурге меньше 700 000 жителей, но его орган по данным вынес второй по величине GDPR-штраф за всю историю — 746 млн € против Amazon. Причина та же, что объясняет так много в правоприменении данных ЕС: компании выбирают корпоративный дом ради налогов и структуры, и регулятор этого дома их наследует. Amazon Europe Core зарегистрирована в Люксембурге, поэтому Commission nationale pour la protection des données (CNPD) стала её ведущим GDPR-регулятором. Это профиль того, что такое CNPD, как он устроен и почему бьёт намного выше своего размера. Каждый факт со ссылкой на первоисточник.
Коротко о главном
- Полное имя: Commission nationale pour la protection des données (CNPD) — Национальная комиссия Люксембурга по защите данных
- Роль: надзорный орган Люксембурга по GDPR; член EDPB
- Правовая основа: закон от 1 августа 2018, организующий CNPD и общую рамку защиты данных (CNPD — Composition)
- Структура: коллегия из президента и трёх комиссаров при поддержке резервных комиссаров (CNPD — Composition)
- Президент: Tine A. Larsen (CNPD — Composition)
- Комиссары: Thierry Lallemang, Alain Herrmann и Florent Kling — Kling приведён к присяге 29 августа 2025, сменив Marc Lemmer (CNPD)
- Сиденье: 15, Boulevard du Jazz, L-4370 Belvaux, Люксембург (CNPD — Composition)
- Сайт: cnpd.public.lu
Что такое CNPD — и почему он значит больше, чем намекает его размер
CNPD — это орган по защите данных Люксембурга (DPA — независимый национальный регулятор, который надзирает за защитой данных и применяет её) и его надзорный орган по GDPR, один из 27 национальных органов в EDPB. Он организован по закону от 1 августа 2018 (CNPD — Composition).
На бумаге это регулятор очень маленькой страны. На практике он несёт вес далеко за пределами Люксембурга по одной структурной причине: Великое Герцогство — корпоративный и финансовый домициль. Множество транснациональных компаний — в e-commerce, управлении фондами, платежах и технологиях — размещают там европейскую холдинговую или операционную компанию. По one-stop-shop GDPR регулятор основного места учреждения компании в ЕС становится её ведущим надзорным органом для трансграничной обработки. Поэтому, когда европейская база компании в Люксембурге, CNPD наследует дело, затрагивающее людей по всему ЕС. Именно так страна с населением 700 000 человек вынесла штраф 746 млн €.
Это не орган по AI Act и не суд; как у любого DPA, его работа, связанная с AI, идёт через GDPR.
Определяющее дело: Amazon, 746 млн €
Самое значимое решение CNPD — и то, что вывело его на мировую карту, — это его штраф 746 млн € против Amazon Europe Core в июле 2021 (ICLG), второй по величине GDPR-штраф за всю историю. Он последовал за жалобой 2018 года на то, как Amazon получала согласие на поведенческую рекламу, и CNPD установила, что Amazon не вправе опираться на «легитимный интерес» как правовое основание.
История на этом не закончилась. 12 марта 2026 люксембургский Cour administrative аннулировал штраф — но по процедуре, не по существу: суд подтвердил, что опора Amazon на легитимный интерес не оправдана, но счёл, что CNPD не проанализировала должным образом степень небрежности Amazon в свете практики ЕС, сложившейся после решения. Теперь CNPD должна провести этот анализ заново. Полное дело — сумма, статьи, аннулирование и что оно значит — разобрано в реестре GDPR-штрафов Big Tech.
Это одно дело схватывает профиль CNPD: маленький орган ведёт одни из крупнейших и юридически сложнейших дел Европы — именно из-за того, кто зарегистрирован на его территории.
Как устроено руководство CNPD
CNPD управляет коллегия — коллегиальный орган, а не единоличный директор. Как подтверждено на официальной странице состава, коллегия — это президент Tine A. Larsen с комиссарами Thierry Lallemang, Alain Herrmann и Florent Kling, при поддержке четырёх резервных комиссаров (Romy Schaus, Martine Kraus, Marc Hemmerling и François Thill) (CNPD — Composition). Последняя смена — приведение к присяге Florent Kling 29 августа 2025, который сменил Marc Lemmer (CNPD); так что профиль, всё ещё указывающий Lemmer, устарел.
Решения коллегиального органа — это решения института, а не одного человека, и в трансграничных делах они также подчинены полномочию статьи 65 EDPB по разрешению споров — тому же механизму, что сформировал крупнейшие штрафы в других странах.
Что это значит для вас
- Если ваша европейская холдинговая или операционная компания в Люксембурге: CNPD весьма вероятно ваш ведущий GDPR-регулятор, и дело Amazon показывает, что он берётся за крупнейшие вопросы. Регистрация в маленькой стране не означает маленького регулятора.
- Если вы опираетесь на «легитимный интерес» для рекламы: решение Amazon — предостерегающая история. Даже после аннулирования вывод CNPD по существу — что легитимный интерес не оправдывал обработку для поведенческой рекламы — устоял.
- Если вы журналист или исследователь: «люксембургский регулятор приватности» = Commission nationale pour la protection des données (CNPD), организована по закону от 1 августа 2018, коллегия под председательством Tine A. Larsen, сиденье в Belvaux.
Если коротко
CNPD (Commission nationale pour la protection des données) — надзорный орган Люксембурга по GDPR и член EDPB, организован по закону от 1 августа 2018 и управляется коллегией под председательством Tine A. Larsen (комиссары Thierry Lallemang, Alain Herrmann и Florent Kling, последний приведён к присяге 29 августа 2025). Несмотря на то что он управляет страной с населением менее 700 000 человек, он несёт непропорционально большой вес, потому что очень многие транснациональные компании размещают европейские операции в Люксембурге, — так он и вынес штраф Amazon в 746 млн €, второй по величине в истории GDPR, позднее аннулированный по процедуре Cour administrative в 2026. Его подробное правоприменение — в реестре GDPR-штрафов Big Tech.
Источники
- CNPD — Composition (официально) — коллегия (президент Tine A. Larsen; комиссары Lallemang, Herrmann, Kling), резервные комиссары, закон от 1 августа 2018 и сиденье в Belvaux
- CNPD — Florent Kling приведён к присяге как комиссар (официально, сентябрь 2025) — последняя смена в коллегии
- Реестр GDPR-штрафов Big Tech — штраф Amazon в 746 млн €, его статьи и аннулирование 2026 целиком
- Пиллар GDPR · Профиль EDPB · cnpd.public.lu