Le 14 novembre 2024, la CNIL a prononcé à l’égard d’Orange une amende de 50 millions d’euros, pour avoir affiché, sans consentement, des publicités dans les boites mails des utilisateurs de son service de messagerie électronique.
Des publicités insérées dans la boite de réception
Dans le cadre de la mise à disposition de son service de messagerie électronique « Mail Orange », Orange affichait, entre les courriels des utilisateurs du service, des annonces publicitaires, qui revêtaient le même format que les courriels reçus, avec certaines adaptations (le terme « annonce » figurait par exemple à l’emplacement où il y a habituellement l’heure de réception du courriel).
L’affichage de ces annonces était réalisé sans que les données personnelles de l’utilisateur ne soient traitées, sans qu’un courriel ne soit envoyé, et sans que le consentement ne soit recueilli.
Un consentement nécessaire, quand bien même aucun courriel n’est adressé
La CNIL, suite à un contrôle, a estimé que ce type de publicité est régi par l’article L34-5 du Code des postes et communications électroniques (« CPCE ») et nécessite, à ce titre, de recueillir le consentement de la personne concernée.
L’argumentaire de la CNIL s’appuie sur un arrêt du 25 novembre 2021, par lequel la CJUE a estimé que, lorsque le message publicitaire prend une forme qui s’apparente à un véritable courriel et est placé au même emplacement qu’un courriel, il doit être régi par l’article 13 de la directive e-privacy :
« l’affichage dans la boîte de réception de l’utilisateur d’un service de messagerie électronique de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique et au même emplacement que ce dernier » constitue une « utilisation […] de courrier électronique à des fins de prospection directe », au sens de [l’article 13 de la directive 2002/58 dite e-privacy] ».
Orange a, pour sa part, estimé que l’arrêt de la CJUE a été rendu sur le fondement de l’article 13 de la directive e-privacy, dont la formulation diffère de celle de l’article L34-5 du CPCE, qui est le texte directement applicable à Orange : si le premier interdit « l’utilisation de courrier électronique à des fins de prospection directe », le second prohibe « la prospection directe au moyen de système automatisé de communications électroniques », or le message de prospection n’a, en l’espèce, pas véritablement été adressé au moyen d’un système automatisé de communications électroniques.
L’imprécision et l’imprévisibilité du cadre juridique aurait dû, selon Orange, conduire la CNIL à s’abstenir de prononcer une sanction, sauf à violer le principe de légalité.
La CNIL a répondu à Orange que l’article L34-5 du CPCE doit être lu « à la lumière » de la directive e-privacy, de sorte que la jurisprudence de la CJUE était bien applicable au cas d’espèce : « il ressort de l’arrêt de la CJUE que, peu importe que les annonces en cause ne constituent pas, d’un point de vue technique, de véritables courriels – c’est-à-dire des messages envoyés par un utilisateur à un autre utilisateur en utilisant son adresse électronique –, leur seul affichage dans un espace normalement spécifiquement réservé aux courriels privés suffit à considérer que ces messages sont communiqués au moyen de la boîte aux lettres électronique des personnes concernées, et donc de leur courrier électronique»
Il n’est pas nécessaire d’être annonceur pour être sanctionné
Orange a fait valoir qu’elle n’est pas annonceur mais fournisseur de messagerie électronique or, jusque-là, la CNIL a toujours fait peser la charge du recueil du consentement sur les annonceurs, qui sont les plus à même de savoir s’il faut recueillir le consentement, compte tenu de l’existence potentielle d’une relation préalable avec la personne concernée.
Sur ce point, pour la CNIL, « ORANGE a la maîtrise de l’affichage de ces publicités, dans la mesure où elle met à disposition des annonceurs susvisés des emplacements dédiés, qu’elle a préalablement déterminés, au sein de la boîte de messagerie des utilisateurs de son propre service » Mail Orange « . » Orange peut donc bien être sanctionnée, quand bien même elle ne serait pas un annonceur.
Compte tenu de ces manquements, ainsi que d’opérations de lectures de cookies sans le consentement de l’utilisateur, la CNIL a prononcé à l’égard d’Orange une amende administrative d’un montant de 50 millions d’euros.
Source : ici
