Le 14 novembre 2024, la CNIL, réunie en formation restreinte, a infligé une amende de 50 millions d’euros à Orange SA (décision SAN-2024-019), soit environ 0,11 % de son chiffre d’affaires. L’affaire repose sur deux manquements : l’absence de consentement préalable à l’affichage de publicités sous forme de « faux » e-mails, et la poursuite de la lecture de cookies après le retrait du consentement.
Orange proposait, dans son service « Mail Orange », des annonces publicitaires intégrées à la liste des e-mails reçus. Visuellement proches de véritables messages, ces contenus relevaient selon la CNIL d’une prospection commerciale par voie électronique (article L. 34-5 du CPCE), nécessitant un consentement explicite (jurisprudence de la CJUE du 25 novembre 2021). Bien qu’Orange ait cessé cette pratique dès novembre 2023, la CNIL a relevé que 7,8 millions d’utilisateurs l’avaient subie, et que l’opérateur, seul interlocuteur des usagers, devait assumer la responsabilité de la collecte du consentement.
Le second manquement concerne l’article 82 de la loi Informatique et Libertés : malgré une interface de refus, certains traceurs à finalité publicitaire continuaient d’être lus après le retrait du consentement. La CNIL a rappelé que l’accès aux informations stockées sur le terminal demeure interdit sans consentement valide, indépendamment de l’usage réel des données.
Outre l’amende, la CNIL a ordonné à Orange de cesser la lecture des cookies en cas de retrait du consentement dans un délai de trois mois, sous astreinte de 100 000 euros par jour. Orange a annoncé son intention de contester la décision devant le Conseil d’État. À retenir : toute prospection électronique requiert un consentement préalable, les cookies non essentiels doivent cesser immédiatement en cas de refus, et les éditeurs doivent vérifier la conformité de leurs partenaires et documenter les consentements.
Source : CNIL — délibération SAN-2024-019 du 14 novembre 2024.