Orange écope d’une amende de 50 millions d’euros infligée par la Cnil. La raison ? Le service de messagerie électronique du groupe – Mail Orange – a introduit des courriels publicitaires dans la boîte mail de ses utilisateurs, et ce, sans leur consentement. L’Autorité sanctionne également un manquement à l’article 82 de la loi informatique et libertés, relative à l’utilisation des cookies.
La Cnil sanctionne Orange à hauteur de 50 millions d’euros
Cinquante millions d’euros. C’est la somme que devra verser Orange à la Cnil pour avoir inséré parmi les mails de ses utilisateurs des courriels publicitaires sans leur consentement.
Cette ingérence de l’opérateur dans les mails personnels de ses souscripteurs constitue une violation de l’article de L 34-5 du Code des postes et des communications électroniques a estimé la Cnil. La disposition sanctionne “la prospection directe au moyen (…) d'un courrier électronique utilisant (…) les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen”.
Pas de publicité directe sans consentement
Pour l’Autorité, Orange s’est rendu coupable de l’infraction en commercialisant auprès d’annonceurs la possibilité d’afficher leurs publicités dans les boîtes mail personnelles des utilisateurs de la messagerie Orange. Les publicités avaient l’apparence trompeuse d’un mail classique, alors même que le consommateur n’a jamais donné son accord pour les recevoir. La manœuvre constitue donc bien “de la prospection directe par courrier électronique” qui requiert le consentement du consommateur comme l’indique un arrêt rendu le 25 novembre 2021 par la CJUE, décision sur laquelle s’est appuyée la Cnil pour rendre son verdict.
Avec sa position dominante sur le marché des télécommunications, Orange a envoyé ses courriers publicitaires à plus de 7,8 millions d’usagers, lui permettant de recueillir un bénéfice généreux du fait de la vente réalisée auprès des annonceurs. Autant d’éléments qui justifient la note salée estime la Cnil, qui a toutefois pris en compte l’arrêt total des pratiques depuis novembre 2023 et la mise en place d’un nouveau gabarit pour les publicités, désormais bien distinctes des e-mails.
De son côté, Orange fustige “le caractère totalement disproportionné [du montant] de l’amende” et prépare déjà un recours devant la haute juridiction administrative. La firme conteste le caractère ciblé des pratiques et estime donc ne pas avoir à recueillir le consentement des utilisateurs. “Les faits reprochés ne visent ni une violation ni un défaut de sécurité, mais des pratiques usuelles du marché”, argumente-t-elle. L’opérateur se dit d’autant plus étonné qu’il n’a reçu aucun “avertissement” ou “mise en demeure préalables” à la sanction. D’après les Échos, certains contesteraient même la compétence de la Cnil pour juger de ces pratiques qui ne “mettaient en jeu aucune exploitation de données personnelles de ses clients”.
Mise en garde
Il est vrai que le montant de la sanction infligée par la Cnil est remarquable. En 2023, le total des sanctions infligées par l’Autorité culminait à 89,2 millions d’euros pour 42 condamnations, soit une moyenne de 2,124 millions d’euros d’amende par tête. Avec la seule condamnation d’Orange, l’Autorité présidée par Marie-Laure Denis a déjà dépassé la moitié du montant des amendes émises l’année dernière. En 2022, la plus lourde amende prononcée par la Cnil s’élevait à 60 millions d’euros, prononcée à l’encontre de Microsoft pour manquement à la réglementation relative aux cookies. Quoi qu’il en soit, cette sanction doit faire office de mise en garde pour les autres logiciels de messagerie qui utilisent leur système pour diffuser du contenu publicitaire a averti Louis Dutheillet de Lamothe, secrétaire général de la Cnil. Le gendarme de l’informatique et des libertés ne cache pas avoir déjà commencé à investiguer auprès de différents opérateurs.
Lecture des cookies : trois mois pour se conformer
La Cnil a en outre mis en demeure Orange de prendre acte du retrait du consentement de l’internaute, dans un délai de trois mois après le refus des témoins de connexion, plus connus sous le nom de cookies. L’autorité avait en effet constaté que l’opérateur télécoms continuait à consulter les informations préalablement enregistrées grâce aux cookies, même après que les usagers ont exprimé leur souhait de plus y adhérer. Une pratique prohibée par l’article 82 de la loi informatique et libertés rappelle l’Autorité, qui enjoint à Orange de cesser ces agissements sous peine d’une astreinte de 100 000 euros par jour de retard.
Ilona Petit
