Vie des affaires

CNIL

Une société condamnée à 50 M d’€ d'amende pour prospection commerciale et cookies irréguliers

Les amendes de la Commission nationale de l’informatique et des libertés (CNIL) se multiplient envers les grandes entreprises ne respectant pas leurs obligations vis-à-vis des utilisateurs de leurs services. Ainsi, Orange se trouve condamnée pour 2 violations du consentement des usagers : une fois, dans la prospection commerciale et une autre fois, dans l’usage des cookies.

Absence de consentement des utilisateurs à la prospection commerciale électronique

La publicité commerciale à direction des particuliers via l’envoi d’emails est possible à la condition que les destinataires aient donné leur consentement à un tel démarchage. Ce consentement doit être recueilli via une action positive du destinataire (une case à cocher par exemple) (code des postes et de communications électronique, art. L. 34-5).

Dans le cas d’Orange, la CNIL a procédé à divers contrôles qui ont conduit à constater que les utilisateurs de la messagerie électronique Orange recevaient des messages publicitaires qui s’intercalaient entre leurs courriels personnels.

Or, la CNIL, s’appuyant sur une décision de la Cour de justice de l’Union européenne du 25 novembre 2021, a conclu que ces messages, apparaissant dans un espace réservé aux mails privés et prenant l’apparence de véritables courriers, constituaient de la prospection directe par courrier électronique. Les destinataires auraient donc dû y consentir. Orange a ainsi manqué à son obligation de recueillir le consentement des utilisateurs.

Retrait du consentement des utilisateurs pour la lecture de cookies

Le cookie est un fichier stocké sur le terminal d’un utilisateur afin de faciliter son utilisation via la mémorisation d’une langue d’affichage, d’un panier, d’un identifiant… En pratique, dans un premier temps, la société dépose des cookies sur l’ordinateur ou le smartphone des utilisateurs y ayant consenti. Puis dans un second temps, la société retourne lire ces cookies dans un but d’analyse statistique et commerciale. Le consentement des utilisateurs doit être recueilli afin d'accepter le dépôt et la lecture desdits cookies sur leurs terminaux (art. 82 de la loi n° 78-17 du 6 janvier 1978 dite "Informatique et Libertés"). Il est précisé que ce consentement n’est pas définitif et peut être retiré par les utilisateurs à tout moment.

Ici, la CNIL a constaté que, malgré le retrait de consentement de certains utilisateurs à l’utilisation de ces cookies, Orange continuait à procéder à leur lecture sur leurs terminaux.

Or, pour la CNIL, une telle opération de lecture donnant lieu à l’accès aux terminaux des utilisateurs était interdite selon l’article 82 de la loi "Informatique et Libertés". Peu importait d’ailleurs que les données lues ne soient pas exploitées dans les faits. Orange devait mettre en place des « solutions techniques empêchant la lecture des cookies dont elle a la maîtrise » et elle devait s’assurer que pour les cookies de ses partenaires, ces derniers en fassent autant.

Une amende record aux motivations multiples

La CNIL a fixé le montant de la sanction à 50 millions d’euros au regard de 3 éléments :

- le nombre très élevé de personnes concernées (plus de 7.8 millions d’utilisateurs) ;

- la position de la société sur le marché (1^er opérateur de télécommunications de France) ;

- et l’avantage financier tiré du manquement relatif au publicités insérées dans les courriels.

Enfin, cette décision a fait l’objet d’une publicité et d’une injonction de faire cesser les opérations de lecture des cookies sous 3 mois.

CNIL, délibération du 14 novembre 2024, n° SAN-2024-019, JO du 10 décembre

Date: 14/01/2026

Url: