Article 50 - Right not to be tried or punished twice in criminal proceedings for the same criminal offence
Key facts of the case:
The company Amazon Europe Core collected data through connection tracers deposited on the terminals of users of the "amazon.fr" website in France for the promotion and marketing of advertising tools, without informing users clearly and fully.
The French data protection authority (Commission nationale de l'informatique et des libertés, CNIL) noted that when the user visited the "amazon.fr" website or a "product" page of the website via an advertisement, more than forty "cookies" with an advertising purpose were deposited on the user's terminal prior to any action on their part and that the information provided by the company regarding the operations for accessing or registering the "cookies" was either incomplete or non-existent.
On 7 December 2020, the CNIL imposed a fine of 35 million euros on Amazon Europe Core for violations of Article 82 of Law 78-17 of 6 January 1978, along with an injunction to bring its data processing into compliance within three months of the notification of its decision, subject to a fine of 100,000 euros per day of late fulfilment (decision No. SAN-2020-013).
Key legal question raised by the Court:
Has the non bis in idem principle, guaranteed by Article 50 of the Charter of Fundamental Rights of the European Union, been violated by the supervisory and sanction procedure initiated by the CNIL, concerning the implementation of personal data processing that was already the subject of proceedings by the Luxembourg data protection authority?
Outcome of the case:
Amazon Europe Core's motion was rejected.
The non bis in idem principle was not violated by the supervisory and sanction procedure initiated by the CNIL against the company Amazon Europe Core, because it is not clear from the investigation, and it is not argued, that, on the date of the present decision, the Amazon Europe Core company would have been the subject of a sanction that had become definitive as imposed by the Luxembourg data protection authority because of the matters that justified the contested sanction, relating to users of the "amazon.fr" website in France, that the proceedings initiated by this authority for these matters would have been definitively abandoned, or that a sanction in this respect would have been definitively annulled.
7. However, Article 50 of the Charter of Fundamental Rights of the European Union provides that "no one shall be liable to be prosecuted or punished again in criminal proceedings for an offence for which they have already been finally convicted or acquitted within the Union in accordance with the law". Contrary to what is claimed, the absence of a one-stop-shop mechanism does not imply any infringement of Article 50, which is in any case binding on the national supervisory authorities responsible for prosecuting and punishing breaches of the national legislation transposing Directive 2002/58/EC. In the absence of any reasonable doubt as to the correct application of the relevant provisions of European Union law, there is no need to refer to the Court of Justice of the European Union for a preliminary ruling on a question on the interpretation of the above-mentioned provisions of European Union law.
...
On the alleged infringement of Article 50 of the Charter of Fundamental Rights of the European Union:
23. The plaintiff maintained that by initiating a supervisory and sanction procedure concerning the implementation of personal data processing which was already the subject of proceedings by the Luxembourg data protection authority on account of the same matters, the restricted formation of the CNIL disregarded the principle, as guaranteed by Article 50 of the Charter of Fundamental Rights of the European Union, according to which no one may be prosecuted more than once for the same matters. 24. According to Article 50 of the Charter of Fundamental Rights of the European Union, as interpreted by the Court of Justice of the European Union in its Aklagaren v. Akerberg Fransson judgement of 26 February 2013 (C-617/10), Powszechny Zaklad Ubezpieczen na Zycie SA of 3 April 2019 (C-617/17) and bpost SA v. Belgian Competition Authority judgement of 22 March 2022 (C-117/20), it is only when criminal proceedings as defined by these provisions have been finally terminated, in particular when a criminal sanction has become final, implying a decision has been handed down following an assessment of the merits of the case and is no longer subject to appeal, do these provisions preclude subsequent criminal proceedings for the same offence against the same person and, where appropriate, the imposition of a criminal sanction. 25. It is not clear from the investigation, and it is not argued, that, on the date of the present decision, the Amazon Europe Core company would have been the subject of a sanction that had become definitive as imposed by the CNPD because of the matters that justified the contested sanction, relating to users of the "amazon.fr" website in France, that the proceedings initiated by this authority for these matters would have been definitively abandoned, or that a sanction in this respect would have been definitively annulled. Consequently, and in the absence of any reasonable doubt as to the scope of Article 50 of the Charter of Fundamental Rights of the European Union, there is no need to refer a question to the Court of Justice of the European Union for a preliminary ruling, and the plaintiff company cannot invoke the lack of knowledge of these provisions.
7. D'autre part, l'article 50 de la charte des droits fondamentaux de l'Union européenne prévoit que " nul ne peut être poursuivi ou puni pénalement en raison d'une infraction pour laquelle il a déjà été acquitté ou condamné dans l'Union par un jugement pénal définitif conformément à la loi ". Contrairement à ce qui est soutenu, l'absence de mise en œuvre d'un mécanisme de guichet unique n'implique pas d'atteinte à cet article 50, lequel s'impose en tout état de cause aux autorités de contrôle nationales amenées à poursuivre et sanctionner les manquements aux législations nationales de transposition de la directive 2002/58/CE. En l'absence de tout doute raisonnable quant à l'application correcte des dispositions en cause du droit de l'Union européenne, il n'y a pas lieu de saisir la Cour de justice de l'Union européenne à titre préjudiciel d'une question portant sur l'interprétation des dispositions du droit de l'Union précédemment mentionnées.
23. La requérante soutient qu'en engageant une procédure de contrôle et de sanction portant sur la mise en œuvre de traitements de données à caractère personnel qui faisaient déjà l'objet de poursuites de la part de l'autorité luxembourgeoise de protection des données à raison des mêmes faits, la formation restreinte de la CNIL a méconnu le principe, tel que garanti par l'article 50 de la charte des droits fondamentaux de l'Union européenne, selon lequel une même personne ne peut faire l'objet de plusieurs poursuites à raison des mêmes faits. 24. Selon l'article 50 de la charte des droits fondamentaux de l'Union européenne, tel qu'interprété par la Cour de justice de l'Union européenne dans ses arrêts Aklagaren c/ Akerberg Fransson du 26 février 2013 (C-617/10), Powszechny Zaklad Ubezpieczen na Zycie SA du 3 avril 2019 (C-617/17) et bpost SA c/ Autorité belge de la concurrence du 22 mars 2022 (C-117/20), ce n'est que lorsqu'une procédure à caractère pénal, au sens de ces dispositions, est définitivement close, notamment lorsqu'une sanction pénale est devenue définitive, ce qui suppose qu'une décision a été rendue à la suite d'une appréciation portant sur le fond de l'affaire et n'est plus susceptible de recours, que ces dispositions s'opposent à ce que des poursuites de nature pénale pour la même infraction soient par la suite diligentées contre une même personne et, le cas échéant, qu'une sanction à caractère pénal soit prononcée. 25. Il ne résulte pas de l'instruction, et il n'est pas soutenu, que, à la date de la présente décision, la société Amazon Europe Core aurait fait l'objet d'une sanction devenue définitive prononcée par la CNPD à raison des faits qui ont justifié la sanction attaquée, relatifs aux utilisateurs du site " amazon.fr " en France, que des poursuites engagées par cette autorité pour ces faits auraient été définitivement abandonnées ou qu'une sanction à ce titre aurait été définitivement annulée. Par suite, et sans qu'il y ait lieu, en l'absence de doute raisonnable quant à la portée de l'article 50 de la charte des droits fondamentaux de l'Union européenne, de saisir la Cour de justice de l'Union européenne d'une question préjudicielle, la société requérante ne peut se prévaloir de la méconnaissance de ces dispositions.
