par Coralie RIBA, étudiante du Master 2 Droit des communications électroniques
La Commission Nationale de l’Informatique des Libertés (CNIL) a sanctionné le 14 novembre 2024 la société Orange d’une amende de 50 millions d’euros pour avoir inséré, via son service de messagerie électronique, des publicités dans les courriels des utilisateurs sans consentement préalable.
L’autorité de la protection de la vie privée reproche à Orange plusieurs manquements aux droits des utilisateurs. Bien qu’Orange ait déjà fait l’objet de sanctions, une telle décision à leur encontre reste exceptionnelle, rappelant celle imposée en 2019 à Google. La CNIL réaffirme l’importance de mettre en œuvre des mesures techniques dissuasives et de protéger les utilisateurs face à ces pratiques intrusives.
L’exigence d’un consentement préalable en matière de prospection commerciale directe
Tout d’abord, la CNIL reproche à Orange de ne pas avoir recueilli le consentement préalable des utilisateurs pour afficher ces publicités. La formation restreinte affirme que le fournisseur d’accès à internet et de messagerie a violé l’article L.34-5 du Code des postes et des communications électroniques (CPCE) interdisant la prospection commerciale directe en l’absence de consentement préalable et éclairé.
Pour rendre cette décision, elle évoque l’importance du consentement entendu comme toute manifestation de volonté libre, spécifique et informée, impliquant un acte positif de l’intéressé. Elle s’est également fondée sur un arrêt de la Cour de justice de l’Union européenne (CJUE) rendu le 25 novembre 2021 définissant la prospection commerciale directe comme « l’affichage dans la boite de réception d’un utilisateur de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique et au même emplacement que ce dernier ».
En défense, Orange soulève l’imprécision du cadre juridique des publicités insérées entre les courriels. Selon la société, l’article L.34-5 implique le traitement de données à caractère personnel, et ne peut pas s’appliquer en l’espèce. Orange estime effectivement que les faits reprochés visent les pratiques usuelles du marché, que les publicités ne sont pas ciblées et ne requièrent donc aucun consentement préalable.
Or, la CNIL a rejeté ces arguments, qualifiant les pratiques de prospection publicitaire directe. Elle a pris en compte la ressemblance des publicités avec de vrais mails et leur affichage dans un espace initialement réservé aux conversations privées des utilisateurs. Cette absence de consentement à recevoir de la publicité contrevient de toute évidence aux obligations du CPCE. Par cette décision, la CNIL démontre l’importance de garantir une protection des utilisateurs contre certaines pratiques marketing potentiellement dangereuses pour leurs droits.
La nécessité de respecter le droit au retrait du consentement en matière de cookies
Dans un second temps, la CNIL reproche à Orange l’exploitation des cookies après le retrait du consentement des utilisateurs. Cette violation contrevient au RGPD et à l’article 82 de la Loi Informatique et Libertés (LIL) garantissant tous deux un droit pour l’utilisateur de retirer de son consentement.
En conséquence, la CNIL a mis en demeure Orange de se conformer dans un délai de 3 mois, sous peine d’astreinte de 100 000 euros par jour de retard. Orange a contesté cette décision, arguant qu’aucune jurisprudence ni texte législatif ne précise de façon claire les modalités de prise en compte du retrait du consentement en matière de cookies.
Par une délibération de la Commission Européenne du 17 septembre 2020, les juges ont affirmé que les utilisateurs doivent être en mesure de retirer leur consentement de manière simple, et à tout moment. En décembre de la même année, la CNIL a assuré que les cookies publicitaires ne peuvent pas être déposés, ni lus sur le terminal d’un utilisateur sans son consentement préalable.
Le 29 décembre 2023 également, elle avait rappelé la corrélation prévue à l’article 82 de la LIL entre le droit pour l’intéressé de retirer son consentement et le droit de revenir sur son choix d’accepter le dépôt de cookies. Très récemment, le 29 décembre 2024 à l’encontre de Yahoo, l’autorité a déclaré que le dépôt de cookies en l’absence du consentement de l’utilisateur viole les dispositions de la LIL.
Pour imposer cette mise en demeure, la CNIL s’est donc appuyée sur une jurisprudence abondante en matière de droits des utilisateurs.
Une sanction record justifiée par la position dominante de Orange
Face à cette sanction, Orange a qualifié la sanction de disproportionnée et entend déposer un recours devant le Conseil d’État. Néanmoins, ce rappel à l’ordre s’apparente à un avertissement pour les autres services de messagerie électronique, imposant qu’aucune innovation marketing ne peut justifier la violation des droits des utilisateurs.
La CNIL justifie le montant élevé de la pénalité par plusieurs éléments. Orange est effectivement un des principaux opérateurs de télécoms dans le monde, leadeur français, en position dominante. Également, plus de 7,8 millions d’utilisateurs auraient reçu des publicités non désirées.
Bien que la CNIL ait pris en compte les efforts réalisés par Orange depuis novembre 2023, qui a modifié son format d’affichage des publicités permettant de distinguer les annonces des véritables courriels, la formation restreinte a relevé l’avantage financier dont bénéficie la société. En effet, par ces insertions de publicités, la commercialisation des bannières publicitaires à des annonceurs rapporte un gain financier conséquent.
Concernant l’argument de la société Orange qui s’est plaint de n’avoir reçu au préalable aucun avertissement ou mise en demeure, la CNIL rappelle la position du Conseil d’État. Le 17 avril 2019 et le 4 novembre 2020 par exemple, les juges du Conseil d’État ont affirmé la possibilité pour la CNIL de prononcer des sanctions sans avertissement ou mise en demeure préalable.
Cette décision renforce la responsabilité des entreprises en matière de protection des droits des utilisateurs et souligne la portée essentielle du consentement dans la diffusion des publicités et dans l’exploitation des cookies.
Sources :
Délibération SAN-2024-019 du 14 novembre 2024
Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
Code des postes et des communications électroniques – Article L34-5