On ne plaisante pas avec la règle du consentement. Orange vient d’en faire la coûteuse expérience. En effet, la Cnil vient d’infliger à l’opérateur une amende de 50 M€ pour non-respect de ce principe. Le problème réside dans le service de messagerie Mail Orange où les abonnés « voyaient s’afficher, entre les courriels reçus et sans qu’ils y aient consenti, des annonces publicitaires ». Ces dernières avaient en plus l’apparence d’un courriel, pouvant prêter à confusion par rapport aux messages privés.
Orange ne respecte donc pas l’article L. 34-5 du CPCE prévoyant l’interdiction de « la prospection directe au moyen de système automatisé de communications électronique … utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen ». La société a finalement abandonné en novembre 2023 son format d’annonces publicitaires pour une « bannière distincte et fixe figurant au pied de la boîte de réception des utilisateurs ». Une mesure correctrice qui n’a pas ému la formation restreinte de la Cnil sanctionnant durement le comportement de l’opérateur. Elle se justifie en rappelant la gravité des faits, mais aussi le nombre de personnes touchées (7,8 millions de clients) et la position dominante de l’entreprise.
Orange fait appel de la décision de la Cnil
La réaction d’Orange ne s’est pas faite attendre en jugeant le montant de la sanction « disproportionné ». Il estime à nos confrères des Echos que « les faits reprochés ne visent ni une violation ni un défaut de sécurité mais des pratiques usuelles du marché ne mettant en jeu aucune exploitation de données personnelles de ses clients ». La société va donc contester la décision de la Cnil auprès du Conseil d’Etat.
En parallèle de cette amende, la Cnil a mis en demeure Orange sur sa politique de lecture des cookies. Le régulateur a constaté lors de ses contrôles que « l’utilisateur du site web orange.fr acceptait le dépôt et la lecture de cookies sur son terminal, puis retirait son consentement, les cookies précédemment déposés continuaient à être lus par la société Orange et par ses partenaires ». Il rappelle que cette lecture est interdite au titre de l’article 82 de la loi Informatique et Libertés. Orange a donc trois mois pour changer sa pratique sous peine d’une astreinte de 100 000€ par jour de retard.