Orange SA : Sanction CNIL de 50 millions d’euros pour publicités assimilées à des courriels et lecture persistante de cookies

Le Conseil d’État confirme la compétence de la CNIL pour sanctionner, sur le fondement de l’article L. 34-5 du code des postes et des communications électroniques, une prospection directe utilisant les coordonnées d’une personne physique. L’affichage de publicités prenant l’apparence de courriels dans une boîte de réception constitue une prospection par courrier électronique nécessitant un consentement préalable, conformément à l’article 13 de la directive 2002/58/CE. La règle était suffisamment prévisible, notamment depuis l’arrêt de la Cour de justice de l’Union européenne du 25 novembre 2021.

La lecture de cookies après retrait du consentement caractérise un manquement à l’article 82 de la loi du 6 janvier 1978, même en l’absence de traitement ultérieur des informations. La CNIL pouvait prononcer directement une sanction sans avertissement ni mise en demeure préalable, ces mesures relevant d’un pouvoir discrétionnaire. Elle n’était pas tenue de ventiler l’amende entre les différents manquements.

Au regard du paragraphe 2 de l’article 83 du RGPD et de l’article 20 de la loi du 6 janvier 1978, la gravité des manquements, le nombre de personnes concernées et le caractère non spontané de la mise en conformité justifiaient une amende de 50 millions d’euros. L’injonction assortie d’une astreinte de 100 000 euros par jour et la publication de la sanction sont maintenues.

⬇️Télécharger la décision version officielle

La CNIL a infligé à Orange une amende de 50 millions d’euros pour avoir affiché des publicités imitant des courriels sans consentement valable et lu des cookies malgré le retrait du consentement. Le Conseil d’État a confirmé la compétence de la CNIL, la caractérisation des deux manquements, l’injonction de mise en conformité sous astreinte et le montant de la sanction.

La CNIL a infligé à Orange une amende administrative de 50 millions d’euros pour deux manquements. Le premier concernait l’affichage, dans les boîtes de réception du service « Mail Orange », de publicités ressemblant à de véritables courriels, sans consentement préalable valable. Le second concernait la lecture de cookies sur les terminaux des visiteurs du site orange.fr malgré le retrait de leur consentement.

Orange demandait l’annulation de la sanction ou, subsidiairement, la réduction de son montant. Elle contestait notamment la compétence de la CNIL, la prévisibilité des règles applicables, la caractérisation du manquement relatif aux cookies, la proportionnalité de l’amende et l’absence de ventilation entre les manquements.

Le Conseil d’État rejette la requête. Il confirme la compétence de la CNIL, les deux manquements, l’injonction de mise en conformité sous astreinte et la sanction financière.

• Utilisation des coordonnées d’une personne physique à des fins de prospection directe
• Apparence de courrier électronique des publicités affichées
• Absence de consentement préalable valablement recueilli
• Lecture de cookies malgré le retrait du consentement
• Gravité et durée des manquements constatés
• Nombre important de personnes concernées
• Mise en conformité non spontanée

• Constat de publicités affichées dans les boîtes de réception
• Apparence des messages publicitaires proche de véritables courriels
• Absence de consentement valablement recueilli
• Constat de cookies lisibles après retrait du consentement
• Éléments établissant le nombre important de personnes concernées

Le responsable de traitement demeure exposé à une sanction lorsqu’il poursuit la lecture de cookies après retrait du consentement, même sans exploitation ultérieure des informations. La CNIL peut également sanctionner directement une prospection publicitaire assimilable à un courriel et imposer une mise en conformité sous astreinte.

• Exclusion d’une contestation fondée sur l’absence de traitement ultérieur
• Maintien de l’amende administrative de 50 millions d’euros
• Maintien de l’injonction de mise en conformité
• Exposition à une astreinte de 100 000 euros par jour
• Publication de la sanction maintenue

À faire

• Recueillir un consentement préalable spécifique pour les publicités électroniques
• Bloquer immédiatement la lecture des cookies après retrait du consentement
• Tracer les choix et retraits de consentement des utilisateurs
• Évaluer le nombre de personnes concernées par chaque manquement
• Documenter toute mise en conformité spontanée et complète

À éviter

• Assimiler une publicité intégrée à une boîte de réception à un contenu ordinaire
• Lire des cookies après retrait du consentement
• Subordonner la conformité à l’exploitation ultérieure des informations
• Attendre un avertissement avant de corriger le traitement
• Négliger la gravité et la durée des manquements

La compétence de la CNIL en matière de prospection directe

La CNIL peut exercer l’ensemble de ses prérogatives lorsqu’un responsable de traitement met en œuvre une prospection directe utilisant les coordonnées d’une personne physique en méconnaissance de l’article L. 34-5 du code des postes et des communications électroniques. L’affichage de publicités ressemblant à des courriels dans une boîte de réception relève de cette prospection et nécessite un consentement préalable spécifique, conformément à l’article 13 de la directive 2002/58/CE.

Le manquement lié à la lecture des cookies après retrait du consentement

L’article 82 de la loi du 6 janvier 1978 impose un consentement pour accéder aux informations stockées dans le terminal de l’utilisateur. La lecture de cookies après retrait du consentement suffit à caractériser le manquement. L’absence alléguée de traitement ultérieur des informations est sans incidence dès lors que la lecture des données est établie.

Les critères de proportionnalité de la sanction administrative

La CNIL pouvait sanctionner directement sans avertissement ni mise en demeure préalable et n’avait pas à ventiler l’amende entre les manquements. En application de l’article 83, paragraphe 2, du RGPD et de l’article 20 de la loi du 6 janvier 1978, elle pouvait tenir compte de la gravité des violations, du nombre de personnes concernées et du caractère non spontané de la mise en conformité. L’amende de 50 millions d’euros n’est pas disproportionnée.

Article 8 de la loi n° 78-17 du 6 janvier 1978, Article L. 34-5 du code des postes et des communications électroniques, Article 13 de la directive 2002/58/CE, Article 50 de la Charte des droits fondamentaux de l’Union européenne, Article 49 de la Charte des droits fondamentaux de l’Union européenne, Article 7 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 5 de la directive 2002/58/CE, Article 83 du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article L. 761-1 du code de justice administrative