Par Haas Avocats
Le 14 novembre 2024, la Commission nationale de l'informatique et des libertés (CNIL) a choisi de frapper fort en infligeant à la société ORANGE une sanction d'un montant record de 50 millions d'euros.
Cette décision, aux accents exemplaires, repose sur deux manquements graves aux obligations légales. D'une part, la CNIL a reproché à ORANGE de ne pas avoir respecté l'exigence fondamentale de recueillir un consentement préalable et éclairé des utilisateurs avant toute prospection commerciale électronique. D'autre part, elle a constaté que, malgré le retrait explicite de ce consentement par les utilisateurs, ORANGE continue à exploiter des cookies sur leurs terminaux, foulant ainsi aux pieds les principes de transparence et de maîtrise des données personnelles qui fondent le Règlement général. sur la protection des données (RGPD).
Depuis plusieurs années, la société ORANGE a exploité son service de messagerie « Mail Orange » pour insérer des publicités directement dans les boîtes de réception de ses utilisateurs. Ces annonces, habilement déguisées en courriels ordinaires, ne provenaient pas d’expéditeurs tiers, mais de l’opérateur lui-même. Une stratégie habile sur le plan marketing, mais qui a rapidement attiré l’attention du régulateur.
La CNIL a qualifié ces pratiques de "prospection commerciale par voie électronique", une catégorie strictement encadrée par l’article L. 34-5 du Code des postes et des communications électroniques (CPCE). Cet article impose un principe simple mais essentiel : tout envoi de communications commerciales requiert le consentement préalable de l’utilisateur. Or, dans le cas d’ORANGE, cette règle a été allègrement ignorée.
En insérant ces publicités sans obtenir le consentement explicite des utilisateurs, ORANGE a enfreint une des pierres angulaires de la réglementation française et européenne en matière de protection des données. Une transgression lourde de conséquences.
Mais l’histoire ne s’arrête pas là. Les pratiques publicitaires d’ORANGE ne constituent que la partie émergée de l’iceberg. La CNIL a également découvert une infraction encore plus insidieuse : le maintien de la lecture des cookies après que les utilisateurs avaient exprimé leur refus.
Cette persistance, en violation flagrante de l’article 82 de la loi Informatique et Libertés, démontre une méconnaissance – ou pire, un mépris – des exigences du RGPD. Ce dernier impose aux entreprises un devoir absolu : bloquer tout traitement de données dès qu’un utilisateur retire son consentement.
ORANGE a non seulement échoué à remplir cette obligation technique, mais a également permis à ses partenaires de poursuivre ces pratiques, sans exiger de leur part une conformité stricte. Ce manquement dénote une faille structurelle majeure dans la gouvernance des données de l’entreprise.
En infligeant une amende de 50 millions d’euros, la CNIL ne se contente pas de sanctionner des manquements. Elle envoie un message fort : aucune innovation marketing ne peut justifier la violation des droits des utilisateurs. Cette affaire, qui conjugue infractions techniques et éthiques, marque une étape importante dans la responsabilisation des entreprises face à leurs obligations en matière de données personnelles
La CNIL a frappé fort en condamnant la société ORANGE à une amende de 300 000 euros. Cette sanction n'est pas le fruit du hasard, mais bien la conséquence de manquements particulièrement graves : d'une part, l'absence de respect du consentement des utilisateurs pour les sollicitations commerciales ; d'autre part, la poursuite insidieuse de la lecture des cookies, et ce, même après le retrait de ce consentement.
Le gendarme des données personnelles a également tenu compte de deux facteurs aggravants : le nombre important d'utilisateurs concernés par ces pratiques illicites et la position dominante d'ORANGE sur le marché français des télécommunications, ce qui confère à ses infractions une portée systémique.
Mais l'affaire ne s'arrête pas là. Outre l'amendement, la CNIL a sommé la société de mettre un terme immédiat à la lecture des cookies sur les terminaux des utilisateurs ayant retiré leur consentement. ORANGE dispose d'un délai de trois mois pour se conformer à cette injonction. À défaut, chaque jour de retard s'accompagnera d'une astreinte de 10 000 euros, une menace qui pourrait alourdir significativement l'ardoise.
Une telle décision illustre, si besoin était, la détermination de la CNIL à réprimer les pratiques qui trahissent la confiance des utilisateurs et à rappeler qu'aucun acteur, fût-il un mastodonte des télécoms, ne saurait échapper aux exigences du droit.
***
Ces manquements, rappelons-le, ont été relevés dans un contexte où ORANGE, en tant que figure emblématique et leader du marché des télécommunications en France, bénéficie d'un accès privilégié à des millions d'utilisateurs. La prospection commerciale non sollicitée et l'ignorance du retrait du consentement en matière de cookies constituant des atteintes d'autant plus graves qu'elles ont touché une masse considérable de clients, amplifiant ainsi la portée des viola.
L'impact de ces sanctions sur les pratiques d'ORANGE ne saurait être sous-estimé. L'entreprise sera contrainte de réviser en profondeur ses mécanismes de collecte et de gestion du consentement pour ses activités de prospection commerciale et le traitement des cookies. De telles réformes impliquent des ajustements significatifs non seulement au niveau technique, mais aussi dans la culture de conformité au sein de l'entreprise.
Plus encore, la résonance médiatique de ces sanctions ne manquera pas de provoquer un effet de levier, incitant ORANGE à redoubler d'efforts pour s'aligner strictement sur les exigences réglementaires en matière de protection des données personnelles. Cette mise en conformité renforcée s'impose comme une nécessité stratégique, tant pour limiter le risque de récidive que pour restaurer
En définitive, la sévérité des mesures imposées par la CNIL illustre avec force la centralité du respect du consentement des utilisateurs dans l'écosystème numérique. Ces sanctions servent un double objectif : elles rappellent aux entreprises l'obligation de transparence et de responsabilité dans l'utilisation des données personnelles, tout en réaffirmant la primauté des droits des individus face à des pratiques commerciales internationales.
***
Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-sept ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne de nombreux acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiable. Pour nous contacter, cliquez ici.
Références légales