Clôture de l’injonction prononcée à l’encontre de la société ORANGE

Le contexte

En novembre 2024, la formation restreinte – organe de la CNIL chargé des sanctions – avait prononcé à l’encontre de la société ORANGE une amende de 50 millions d’euros, les contrôles réalisés ayant permis de constater :

• d’une part, que la société affichait, entre les courriels présents au sein des boîtes de réception des utilisateurs de son service de messagerie, des annonces publicitaires prenant la forme de courriels, sans recueillir le consentement des personnes concernées, en violation de l’article L. 34-5 du code des postes et des communications électroniques,
   
• d’autre part, que lorsque les utilisateurs du site orange.fr retiraient leur consentement au dépôt et à la lecture de traceurs (cookies) sur leur terminal, les traceurs précédemment déposés continuaient à être lus, en violation de l’article 82 de la loi Informatique et Libertés.

Si la société avait d’ores et déjà pris des mesures pour faire cesser le premier manquement, la formation restreinte avait, en plus de l’amende, prononcé une injonction de cesser les opérations de lecture des traceurs après retrait du consentement de la personne concernée, dans un délai de trois mois.

Le non-respect de cette injonction exposait la société au paiement d’une astreinte (c’est-à-dire d’une amende supplémentaire) de 100 000 euros par jour de retard.

La clôture de l’injonction

En réponse à cette injonction, la société a, dans les délais impartis, apporté des éléments permettant de démontrer qu’une fois le consentement de l’utilisateur retiré, plus aucune opération de lecture ou d’écriture des traceurs n’avait lieu sur le site web orange.fr.

Tout d’abord, la société a démontré avoir pris des mesures permettant de supprimer, à l’aide d’un script, les traceurs liés au domaine « .orange.fr » (cookies first) en cas de retrait du consentement.

S’agissant des traceurs déposés par les partenaires de la société (les « cookies tiers »), ORANGE a justifié avoir pris des mesures permettant d’empêcher toute opération de lecture ou d’écriture sur son site une fois le consentement de l’utilisateur retiré, en faisant cesser la réalisation de nouvelles requêtes à des domaines tiers. La CNIL a néanmoins relevé que ces traceurs n’étaient pas supprimés du navigateur. En effet, ORANGE n’ayant pas la maîtrise technique de ceux-ci , elle ne pouvait pas les effacer. Dès lors, le suivi de la navigation de l’utilisateur pouvait se poursuivre sur des sites tiers utilisant le même traceur, révélant ainsi qu’il avait, à un moment donné, consulté le site orange.fr. La formation restreinte a cependant considéré qu’en l’état actuel de la doctrine et de la jurisprudence du Conseil d’État, ces opérations de lecture — réalisées en dehors du site web orange.fr — excèdent la responsabilité de la société ORANGE. Elles relèvent de celle de ses partenaires, lesquels devraient mettre en place des mesures permettant à ORANGE de les informer du retrait du consentement des utilisateurs, afin qu’ils puissent en tirer les conséquences. Par ailleurs, la formation restreinte a relevé que la société ORANGE avait justifié avoir contacté ses partenaires pour qu’ils mettent en place ce type de mesures.

Dans ces conditions, la formation restreinte a décidé de ne pas liquider l’astreinte (c’est-à-dire de ne pas exiger le paiement de l’amende supplémentaire évoquée ci-dessus) et de clôturer l’injonction.