La Cnil inflige 50 millions d'euros d'amende à Orange pour des publicités non consenties

Des encarts publicitaires aux airs de courriels: assimilées à de l'envoi de publicité sans consentement, les annonces du service de messagerie d'Orange ont valu à l'entreprise d'écoper mardi d'une lourde amende de la Cnil.

L'autorité de protection de la vie privée, également compétente en matière d'utilisation des données personnelles dans la publicité, a annoncé avoir condamné l'opérateur à une amende de 50 millions d'euros.

Orange "prend acte de la décision de la Cnil mais conteste la sanction et le caractère totalement disproportionné de son montant", a réagi l'entreprise, qui "entend exercer un recours contre cette décision devant le Conseil d’Etat".

"Le fournisseur d'accès à Internet, et fournisseur de la messagerie Orange, utilisait son service de messagerie pour glisser des publicités entre les courriels", qui prenaient elles-même l'apparence de mails, a détaillé à l'AFP Louis Dutheillet de Lamothe, secrétaire général de la Commission nationale informatique et libertés.

L'insertion de ces encarts publicitaires au sein d'une messagerie, qui ne recourait pas aux adresses mails des utilisateurs, a néanmoins été assimilée par la Cnil à de la "prospection publicitaire par envoi direct", en raison de la ressemblance avec de vrais mails, interprétation conforme à celle de la Cour de justice de l'Union européenne (CJUE). 

L'autorité française a jugé que l'absence de consentement à recevoir de la publicité contrevenait aux obligations inscrites au sein du Code des postes et communications électroniques (CPCE). 

Elle en a en même temps déduit que ce manquement pouvait être sanctionné au même titre qu'un envoi de publicité classique. 

Mais d'après Orange, "les faits reprochés ne visent ni une violation ni un défaut de sécurité mais des pratiques usuelles du marché ne mettant en jeu aucune exploitation de données personnelles de ses clients".

L'entreprise juge la sanction "d’autant plus incompréhensible" qu'elle n'a reçu "aucun avertissement" ou "mise en demeure au préalable".

La décision devrait également agir comme un "avertissement" vis-à-vis des autres opérateurs, a souligné M. Dutheillet de Lamothe. 

"Avantage financier"

L'amende infligée à Orange atteint un montant élevé, et un palier rare pour une sanction publique, en dehors des condamnations des géants de la technologie.

A titre de comparaison, Google avait écopé d'une amende du même montant en 2019 pour des manquements au règlement sur la protection des données (RGPD), et le montant total des amendes infligées par la Cnil s'élevait en 2023 à 89 millions d'euros. 

La décision à l'égard d'Orange a été prise au regard du nombre d'utilisateurs concernés: d'après la Cnil, plus de 7,8 millions d'utilisateurs ont vu s'afficher dans leur boîte mail des publicités non désirées. L'autorité de contrôle a également souligné l'existence d'un "avantage financier", qui n'a pas été détaillé, pour l'entreprise. 

La Cnil a "tenu compte du fait que c'est un manquement qui rapportait de l'argent, qui a été valorisé", explique Louis Dutheillet de Lamothe, évoquant la commercialisation de ces bannières de publicités à des annonceurs. 

L'amende prend également en compte les modifications opérées par Orange : depuis novembre 2023, son service de messagerie a modifié l'affichage des publicités avec un nouveau format qui "permet désormais de distinguer clairement les annonces des véritables courriels", fait remarquer la Cnil. 

Pour sa part, l'opérateur "appelle de ses vœux une concertation" pour "clarifier au profit de tous l’interprétation des textes sur des usages communément partagés et pour lesquels seule Orange est condamnée aujourd’hui".

L'autorité a également fait état d'une mise en demeure de la société concernant sa gestion des cookies tiers via le service de messagerie. Ces marqueurs qui permettent de retracer le parcours d'un internaute, étaient toujours envoyés au service de messagerie d'Orange après le retrait du consentement des utilisateurs, en violation de la loi informatique et libertés.

Sur cet aspect, l'entreprise dispose de trois mois pour se mettre en conformité, sous peine d'une astreinte de 100.000 euros par jour de retard.