Il est reproché à l’opérateur d’avoir envoyé à ses clients des encarts publicitaires imitant des courriels légitimes et sans avoir recueilli leur consentement. La CNIL a également mis en demeure Orange concernant ses pratiques relatives à la lecture des cookies.
La formation restreinte de la CNIL a prononcé une sanction de 50 millions d’euros suite à plusieurs contrôles sur le service de messagerie électronique des clients « Mail Orange ». Il est reproché à l’entreprise d’avoir envoyé des annonces publicitaires sous forme de véritables courriels dans un espace normalement « réservé aux courriels privés », sans qu’il soit donc possible de distinguer clairement les annonces publicitaires des véritables courriels. Dans ces conditions, Orange aurait dû obtenir le consentement des utilisateurs, ce qu’il n’a pas fait, en violation de l’article L.34-5 du Code des postes et des communications électroniques (CPCE).
Le montant de l’amende a été décidé en raison du nombre élevé d’utilisateurs concernés, puisque 7,8 millions de personnes ont vu s’afficher ces publicités non désirées. L’autorité motive également sa sanction par le statut d’Orange, le premier opérateur de télécommunications en France. « La formation restreinte a également tenu compte de l’avantage financier tiré du manquement relatif aux publicités insérées entre les courriels », a ajouté la CNIL, qui n’a toutefois pas détaillé ce dernier point. L’autorité indique avoir pris en compte dans sa décision le fait que l’entreprise avait mis fin à cette pratique depuis novembre 2023.
100 000 euros d’astreinte
Contacté par l’AFP, Orange a déclaré prendre acte de la décision, « mais conteste la sanction et le caractère totalement disproportionné de son montant ». L’entreprise entend déposer un recours devant le Conseil d’État.
« Les faits reprochés ne visent ni une violation ni un défaut de sécurité, mais des pratiques usuelles du marché ne mettant en jeu aucune exploitation de données personnelles de ses clients », a ajouté l’opérateur, qui juge « incompréhensible » cette sanction, d’autant qu’il dit n’avoir reçu aucun avertissement ou mise en demeure préalable.
En parlant de mise en demeure, la CNIL enjoint Orange à respecter la loi Informatique et Libertés en régularisant ses pratiques vis-à-vis des cookies. « Lorsqu’un utilisateur du site web orange.fr acceptait le dépôt et la lecture de cookies sur son terminal, puis retirait son consentement, les cookies précédemment déposés continuaient à être lus par la société Orange et par ses partenaires », détaille la décision de la CNIL. Orange a trois mois pour se mettre en conformité, au risque de se voir infliger une astreinte de 100 000 euros par jour de retard passé ce délai.