Orange attaque devant le Conseil d’Etat son amende de 50 millions d’euros pour la publicité dans les mails et les cookies

Orange a saisi le Conseil d’État afin de faire annuler ou réduire la sanction de 50 millions d’euros prononcée à son encontre par la Commission nationale de l’Informatique et des Libertés (CNIL) en novembre 2024 selon l’Informé.

Deux manquements à l’origine de la sanction

La CNIL avait fondé sa décision sur deux griefs distincts. Le premier concernait l’affichage au sein du service mail de l’opérateur d’annonces publicitaires présentées sous la forme de courriels classiques et cela sans recueil préalable du consentement des abonnés

Le second portait sur la gestion des cookies sur le site de l’opérateur. Cette fois,  lorsqu’un internaute retirait son accord au dépôt de ces traceurs, certains cookies déjà présents continuaient d’être lus par Orange et ses partenaires publicitaires.

Deux procédés qui allaient à l’encontre du Code des postes et des communications électroniques ainsi que de la loi Informatique et libertés.

Des sanctions en adéquations avec les manquements

Face à ce montant de 50 millions d’euros, qui avait été rapidement attaqué par Orange, la Commission avait mis en avant l’ampleur du phénomène.

Environ 7,8 millions de comptes avaient été exposés aux publicités déguisées en courriers électroniques tandis que plus de 250 000 internautes retiraient chaque année leur consentement aux cookies sur le site de l’opérateur.

L’institution avait également pris en compte les revenus tirés par l’opérateur de ces pratiques. Selon Orange la fin de ces publicités lui avait fait perdre un million d’euros sur un trimestre.

La taille et les moyens de l’entreprise avaient aussi pesé dans la balance, le régulateur estimant qu’Orange aurait eu les ressources nécessaires pour faire cesser ces pratiques sans difficultés.

Une sanction disproportionnée selon l’opérateur

De son côté, Orange défend sa contre-attaque en invoquant le caractère totalement disproportionné de ce montant.

Selon l’opérateur, les faits reprochés représentent des pratiques usuelles du marché et qui ne mettaient en jeu aucune exploitation de données personnelles de ses clients.

Le groupe reproche par ailleurs à la Commission de ne lui avoir adressé aucun avertissement ni mise en demeure préalable.

Orange avait déjà attaqué la décision et la CNIL en décembre 2024. L’opérateur avait affirmé à l’époque qu’il aurait préféré une autre issue à ce dossier, rappelant que la commission aurait pu enclencher d’autres leviers à la place de la sanction comme un rappel à l’ordre, une mise en demeure ou un avertissement public plutôt qu’une amende.

Des alternatives sont bien prévues par le règlement général sur la protection des données (RGPD), mais ce même texte autorise le régulateur à opter pour une sanction financière selon les cas, ce qui a donc été préféré du côté de la Commission.

Une demande de retrait des traceurs

Parallèlement à l’amende, la CNIL avait enjoint Orange de cesser la lecture des traceurs après retrait du consentement, sous peine d’une astreinte de 100 000 euros par jour de retard.  L’opérateur s’est conformé à cette obligation dans les délais impartis.

Il ne reste donc plus que le volet financier qui vient d’être attaqué devant le Conseil d’État. L’opérateur espérant obtenir l’annulation ou la réduction de celle qui constitue une amende record pour un opérateur télécom en France.

Pour rappel, Free a reçu une sanction de 42 millions d’euros en début d’année suite à la violation des données de Free et Free Mobile survenue en octobre 2024. Elle avait exposé les données de 19 millions de clients dont 5 millions de RIB.