En clair, quoi que laisse entendre Amazon, les dispositions légales du pays du consommateur, auxquelles il ne peut être dérogé par accord, restent toujours en vigueur. De plus, les clauses attributives de compétence, si elles sont licites, doivent nécessairement être rédigées en des termes très accessibles à destination du consommateur.

[...]

Par la même occasion, la CJUE s’est aussi intéressée au droit applicable aux traitements automatisés de données chez Amazon. La question est identique : est-ce le droit luxembourgeois ou celui d’un autre État membre ?

Par principe, répondent les juges européens, « un traitement de données effectué dans le cadre des activités d’un établissement est régi par le droit de l’État membre sur le territoire duquel est situé cet établissement ». Mais la Cour a surtout rappelé sa jurisprudence Weltimmo, à savoir que cette notion d’établissement « s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable ». Du coup, des critères très minces peuvent permettre aux juridictions nationales d’un autre pays de l’Union que le Luxembourg d’appliquer leur « législation CNIL »

Dans sa foulée, la CJUE a aussi ajouté que le simple fait qu’Amazon dispose d’un site Internet accessible en Autriche ne suffit pas à justifier le critère de l’établissement dans ce pays. Mais inversement, « la circonstance que l’entreprise responsable du traitement de données ne possède ni filiale ni succursale dans un État membre n’exclut pas nécessairement l’existence d’un tel établissement ».