La CNIL a annoncé, mardi 10 décembre, infliger une amende de 50 millions d’euros à l’opérateur de télécoms Orange pour avoir affiché des publicités sans le consentement des utilisateurs de ses services de courrier électronique.

« Le fournisseur d’accès à Internet, et fournisseur de la messagerie Orange, utilisait son service de messagerie pour glisser des publicités entre les courriels », qui prenaient elles-même l’apparence de mails, a détaillé à l’Agence France-Presse Louis Dutheillet de Lamothe, secrétaire général de la Commission nationale informatique et libertés.

L’insertion de ces encarts publicitaires au sein d’une messagerie, qui ne recourait pas aux adresses mails des utilisateurs, a néanmoins été assimiliée par la CNIL à de la « prospection publicitaire par envoi direct », en raison de la ressemblance avec de vrais mails, interprétation conforme à celle de la Cour de justice de l’Union européenne (CJUE).

L’autorité française a jugé que l’absence de consentement à recevoir de la publicité contrevenait aux obligations inscrites au sein du Code des postes et communications électroniques (CPCE). Elle en a en même temps déduit que ce manquement pouvait être sanctionné au même titre qu’un envoi de publicité classique. La décision devrait également agir comme un « avertissement » vis-à-vis des autres opérateurs, a souligné M. Dutheillet de Lamothe.

L’amende infligée à Orange atteint un montant élevé, et un palier rarement atteint par des sanctions publiques, en dehors des condamnations des géants de la technologie. A titre de comparaison, Google avait écopé d’une amende du même montant en 2019 pour des manquements au règlement sur la protection des données (RGPD), et le montant total des amendes infligées par la CNIL s’élevait en 2023 à 89 millions d’euros.

La décision à l’égard d’Orange a été prise au regard du nombre d’utilisateurs concernés : d’après la CNIL, plus de 7,8 millions d’utilisateurs ont vu s’afficher dans leur boîte mail des publicités non désirées. L’autorité de contrôle a également souligné l’existence d’un « avantage financier », qui n’a pas été détaillé, pour l’entreprise.

La CNIL a « tenu compte du fait que c’est un manquement qui rapportait de l’argent, qui a été valorisé », explique Louis Dutheillet de Lamothe, évoquant la commercialisation de ces bannières de publicités à des annonceurs. L’amende prend également en compte les modifications opérées par Orange : depuis novembre 2023, son service de messagerie a modifié l’affichage des publicités avec un nouveau format qui « permet désormais de distinguer clairement les annonces des véritables courriels », fait remarquer la CNIL.

L’autorité a également fait état d’une mise en demeure de la société concernant sa gestion des cookies tiers via le service de messagerie. La CNIL a découvert que les cookies, ces marqueurs qui permettent aux entreprises de retracer le parcours d’un internaute sur la toile, étaient toujours envoyés au service de messagerie d’Orange après le retrait du consentement des utilisateurs – une pratique contraire à la loi informatique et libertés.

« Ce qu’exigent la CNIL et la règlementation, c’est qu’il n’y ait plus d’envoi d’informations » via les cookies une fois le consentement désactivé, précise le secrétaire général de la CNIL. Sur cet aspect, l’entreprise dispose d’un délai de trois mois pour se mettre en conformité, et sera sanctionnée d’une astreinte de 100 000 euros par jour de retard.