Publicités insérées entre les courriels : sanction de 50 millions d’euros à l’encontre de la société ORANGE

Le contexte

ORANGE met à disposition de ses clients un service de messagerie électronique (« Mail Orange »). À la suite de plusieurs contrôles, la CNIL a constaté que la société affichait, entre les courriels présents au sein des boîtes de réception des utilisateurs, des annonces publicitaires prenant la forme de courriels.

Sur la base de ces constatations, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a considéré que l’affichage de telles publicités nécessitait le recueil du consentement des utilisateurs de la messagerie ORANGE, en application de l’article L. 34-5 du code des postes et des communications électroniques (CPCE).

Par ailleurs, les contrôles réalisés par la CNIL ont également permis de constater que, lorsque les utilisateurs du site orange.fr retiraient leur consentement au dépôt et à la lecture de cookies sur leur terminal, les cookies précédemment déposés continuaient à être lus, en violation de l’article 82 de la loi Informatique et Libertés.

Pour ces deux manquements, la formation restreinte a prononcé à l’encontre de la société ORANGE :

• une amende de 50 millions d’euros, rendue publique.
• une injonction de cesser les opérations de lecture des cookies après retrait du consentement de la personne concernée dans un délai de trois mois, assortie d’une astreinte de 100 000 euros par jour de retard.

Le montant de cette amende tient notamment compte du nombre très élevé de personnes concernées (plus de 7,8 millions de personnes ayant vu s’afficher les publicités en cause dans leur boîte de réception) ainsi que de la position de la société sur le marché, qui est le premier opérateur de télécommunications en France. La formation restreinte a également tenu compte de l’avantage financier tiré du manquement relatif aux publicités insérées entre les courriels.   

Les manquements sanctionnés

Un manquement à l’obligation de recueillir le consentement des personnes à recevoir de la prospection commerciale par voie électronique (article L.34-5 du CPCE)

Les contrôles réalisés par la CNIL ont permis de constater que les utilisateurs des comptes de messagerie électronique ORANGE voyaient s’afficher au sein de leur boîte de réception, entre les courriels reçus et sans qu’ils n’y aient consenti, des messages publicitaires prenant la forme de courriers électroniques.

La CNIL, s’appuyant sur un arrêt de la Cour de justice de l’Union européenne (CJUE) du 25 novembre 2021, a considéré que ces messages faisant la promotion de services ou de biens et qui ne sont pas envoyés par un utilisateur à un autre utilisateur, mais affichés dans un espace normalement réservé aux courriels privés en prenant l’apparence de véritables courriels, constituent de la prospection directe par courrier électronique. En conséquence, il est nécessaire de recueillir le consentement des personnes concernées en application de l’article L. 34-5 du CPCE.

Pour retenir la responsabilité de la société ORANGE, fournisseur de messagerie, la CNIL a relevé que c’était elle qui avait la maîtrise des publicités en cause, en procédant à leur affichage et en commercialisant auprès des annonceurs ces espaces dédiés. Elle a ainsi distingué ces publicités des courriels adressés par un annonceur à un prospect en utilisant son adresse de courrier électronique, sur lesquels le fournisseur de messagerie n’a aucun contrôle et qu’il se contente d’acheminer.

La CNIL a néanmoins tenu compte du fait que la société avait cessé de procéder à ce type d’affichage depuis le mois de novembre 2023 et que le nouveau format de publicité mis en œuvre permet désormais de distinguer clairement les annonces des véritables courriels.

Un manquement à l’article 82 de la loi Informatique et Libertés : des cookies lus malgré le retrait du consentement de l’internaute

La CNIL a constaté que lorsqu’un utilisateur du site web orange.fr acceptait le dépôt et la lecture de cookies sur son terminal, puis retirait son consentement, les cookies précédemment déposés continuaient à être lus par la société ORANGE et par ses partenaires.

La CNIL a rappelé qu’une telle opération de lecture, qui consiste à accéder aux informations stockées dans le terminal de l’utilisateur, était explicitement interdite par l’article 82 de la loi Informatique et Libertés, même si ces informations ne sont pas exploitées par la suite.

Elle a également précisé que, pour garantir le retrait effectif du consentement, la société devait mettre en œuvre des solutions techniques empêchant la lecture des cookies dont elle a la maîtrise. Pour les cookies déposés par ses partenaires, elle devait s’assurer auprès de ces derniers de la mise en place de solutions similaires.