AgentPublic/cnil huggingface dataset:
Vu les observations orales formulées lors de la séance de la formation restreinte du 10 octobre 2024 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 10 octobre 2024 :
- Mme Anne DEBET, commissaire, entendue en son rapport ;
En qualité de représentants de la société ORANGE :
- […]
La société ORANGE ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. FAITS ET PROCÉDURE
1. La société ORANGE SA (ci-après, " la société " ou " la société ORANGE), société anonyme à conseil d’administration dont le siège social est situé 111 quai du Président Roosevelt à Issy-les-Moulineaux (92130), est l’un des principaux opérateurs de télécommunications dans le monde et l’opérateur historique de télécommunications en France. 
2. Société mère du groupe ORANGE, elle dispose de plusieurs filiales, en France et à l’étranger, et employait, au 31 décembre 2022, 136 000 salariés dont 75 000 en France. En 2022, la société a réalisé un chiffre d’affaires de 43,5 milliards d’euros, pour un résultat net de 2,6 milliards d’euros. Pour l’année 2023, ce chiffre d’affaires s’est élevé à 44,1 milliards d’euros, pour un résultat net de 2,9 milliards d’euros.
3. La société fournit à ses clients particuliers et entreprises des services de téléphonie fixe, Internet haut débit et très haut débit et téléphonie mobile. Elle dispose d’un site web accessible depuis l’adresse orange.fr, permettant notamment d’accéder aux différentes offres proposées, ainsi qu’aux boîtes de messagerie électronique mises à disposition de ses clients (service " Mail Orange "). Ce site est édité par le groupement d’intérêt économique ORANGE PORTAILS (ci-après, " GIE ORANGE PORTAILS "), créé en 2007 entre la société FRANCE TELECOM et la société ORANGE. 
4. Avec une part de marché de 39,5% s’agissant de l’Internet et de 34% s’agissant de la téléphonie mobile, la société ORANGE se positionne au premier rang du marché français dans ces deux domaines. Au 31 décembre 2022, le groupe comptait ainsi 287 millions de clients, dont 242 millions de clients mobile (parmi lesquels 18,2% en France, incluant les entreprises) et 24 millions de clients haut débit fixe (dont 52,1% en France, incluant les entreprises).
5. La société ORANGE a fait l’objet de deux procédures de contrôle distinctes, visant à vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après, " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 modifiée ") et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l'Union européenne et les engagements internationaux de la France. 
6. D’une part, en application de la décision n° 2023-093C du 20 mars 2023 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après, " la CNIL " ou " la Commission "), une délégation a procédé, les 7 et 12 juin 2023, à une mission de contrôle en ligne des traitements liés à la mise en œuvre du service " Mail Orange ", à partir du site web orange.fr. 
7. Les 4 août et 6 décembre 2023, la société ORANGE a adressé à la délégation des éléments complémentaires. 
8. D’autre part, en application de la décision n° 2023-123C du 26 juin 2023 de la présidente de la CNIL, une délégation de la Commission a procédé, le 5 juillet 2023, à une mission de contrôle en ligne des traitements mis en œuvre par la société ORANGE et le GIE ORANGE PORTAILS à partir du site orange.fr. 
9. Le 4 août 2023, la société ORANGE a adressé à la délégation des éléments complémentaires.
10. Le 3 novembre 2023, sur le fondement de la même décision, un nouveau contrôle en ligne a été réalisé, à partir du même site. 
11. La société ORANGE a transmis à la délégation des éléments complémentaires le 30 novembre 2023. 
12. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 30 avril 2024, désigné Mme Anne DEBET en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée. 
13. Le 4 juin 2024, à l’issue de son instruction, la rapporteure a fait signifier à la société un rapport détaillant les manquements aux articles L. 34-5 du code des postes et des communications électroniques (ci-après, " le CPCE ") et 82 de la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre de la société une amende administrative, ainsi qu’une injonction de mettre en conformité ses pratiques avec les dispositions susvisées, assortie d’une astreinte. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
14. Le 3 juillet 2024, la société a produit des observations en réponse au rapport de sanction. 
15. La rapporteure a répondu à ces observations le 30 juillet 2024.
16. Le 5 septembre 2024, la société a produit de nouvelles observations en réponse à celles de la rapporteure.
17. Le 20 septembre 2024, la rapporteure a, en application de l’article 40-III du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés (ci-après, " le décret du 29 mai 2019 "), informé la société que l’instruction était close. 
18. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 10 octobre 2024. 
19. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. MOTIFS DE LA DECISION 
A. Sur le manquement à l’obligation de recueillir le consentement des personnes concernées pour la mise en œuvre de prospection commerciale par voie électronique en application de l’article L. 34-5 du code des postes et des communications électroniques
20. Aux termes de l’article L. 34-5 du CPCE, " est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l'article L. 32, d'un télécopieur ou de courriers électroniques utilisant les coordonnées d'une personne physique, abonné ou utilisateur, qui n'a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen.
Pour l'application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe.
Constitue une prospection directe l'envoi de tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne vendant des biens ou fournissant des services. Pour l'application du présent article, les appels et messages ayant pour objet d'inciter l'utilisateur ou l'abonné à appeler un numéro surtaxé ou à envoyer un message textuel surtaxé relèvent également de la prospection directe.
Toutefois, la prospection directe par courrier électronique est autorisée si les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'occasion d'une vente ou d'une prestation de services, si la prospection directe concerne des produits ou services analogues fournis par la même personne physique ou morale, et si le destinataire se voit offrir, de manière expresse et dénuée d'ambiguïté, la possibilité de s'opposer, sans frais, hormis ceux liés à la transmission du refus, et de manière simple, à l'utilisation de ses coordonnées au moment où elles sont recueillies et chaque fois qu'un courrier électronique de prospection lui est adressé au cas où il n'aurait pas refusé d'emblée une telle exploitation ".
21. Ces dispositions transposent en droit français les règles régissant l’utilisation de systèmes automatisés d’appel et de communication sans intervention humaine (automates d’appel), de télécopieurs ou de courrier électronique à des fins de prospection directe fixées par la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (ci-après, la directive " ePrivacy "), telle que modifiée par la directive 2009/136/CE du 25 novembre 2009, et plus précisément son article 13 traitant des " communications non sollicitées ", dont le paragraphe 1 prévoit que " l’utilisation de systèmes automatisés d’appel et de communication sans intervention humaine (automates d'appel), de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ou des utilisateurs ayant donné leur consentement préalable ".
22. Par un arrêt du 25 novembre 2021, la Cour de justice de l’Union européenne (ci-après, " la CJUE ") a précisé que " l’article 13, paragraphe 1, de la directive 2002/58 doit être interprété en ce sens que constitue une " utilisation [...] de courrier électronique à des fins de prospection directe ", au sens de cette disposition, l’affichage dans la boîte de réception de l’utilisateur d’un service de messagerie électronique de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique et au même emplacement que ce dernier sans que la détermination aléatoire des destinataires desdits messages ni la détermination du degré d’intensité de la charge imposée à cet utilisateur aient d’incidence à cet égard, cette utilisation n’étant autorisée qu’à condition que ledit utilisateur ait été informé de manière claire et précise des modalités de diffusion d’une telle publicité, notamment au sein de la liste des courriers électroniques privés reçus, et ait manifesté son consentement de manière spécifique et en pleine connaissance de cause à recevoir de tels messages publicitaires " (point 63) (CJUE, troisième chambre, 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz Gmbh, C-102/20, ci-après, " l’arrêt du 25 novembre 2021 ").
23. La rapporteure relève que la société a indiqué mettre à disposition de ses clients un ou plusieurs comptes de messagerie électronique dans le cadre du service " Mail Orange ". Elle observe qu’il ressort des constatations réalisées par la délégation les 7 et 12 juin 2023 que, lors de leur connexion à leur boîte de messagerie, les utilisateurs de ce service voyaient s’afficher, entre les courriels reçus et sans qu’ils y aient consenti, des annonces publicitaires qui, selon la rapporteure, caractérisent une utilisation de courrier électronique à des fins de prospection directe au sens de l’article L. 34-5 du CPCE. Elle considère dès lors qu’en ne recueillant pas le consentement des personnes concernées à l’affichage de telles publicités, la société a commis un manquement aux dispositions susvisées. La rapporteure se fonde notamment, pour étayer sa démonstration, sur l’arrêt de la CJUE précité.
24. En défense, la société se prévaut de l’imprécision et de l’imprévisibilité du cadre juridique applicable aux publicités insérées entre les courriels. Elle considère à cet égard qu’il existe une " contrariété flagrante " entre les dispositions de l’article 13 de la directive ePrivacy – ayant fait l’objet d’une interprétation par la CJUE – et celles de l’article L. 34-5 du CPCE – seules à lui être directement applicables. Elle estime en effet que les conditions d’application définies par ces textes diffèrent, l’application de l’article L. 34-5 du CPCE étant soumise, selon elle, à l’existence d’un traitement de données à caractère personnel, contrairement à l’article 13 de la directive susvisée qui aurait une portée plus générale. Elle considère dès lors que, dans la mesure où les adresses de courrier électronique des personnes concernées ne sont pas traitées en tant que telles – les publicités étant affichées dans des emplacements dédiés sur la page web, selon les mêmes modalités techniques que les autres bannières publicitaires –, l’application de l’arrêt cité par la rapporteure aux faits de l’espèce apparait " à tout le moins discutable ". 
25. Elle relève en outre que l’application de cet arrêt à un fournisseur de messagerie électronique pose question, la CNIL ayant jusqu’ici fait peser la charge du recueil du consentement sur les annonceurs.
26. De manière plus globale, la société souligne sa bonne foi ainsi que la difficulté engendrée par la lecture novatrice de la CJUE et regrette que la CNIL n’ait pas accompagné les acteurs du marché dans la mise en œuvre de cette nouvelle jurisprudence. Elle considère qu’en l’absence de base légale claire, le prononcé d’une sanction apparait contraire au principe de légalité des délits et des peines. 
1) Sur le cadre juridique applicable aux publicités insérées entre les courriels 
a) Sur l’articulation des articles L. 34-5 du CPCE et 13 de la directive ePrivacy 
27. La société soutient que, dans le cadre de sa proposition de sanction, la rapporteure s’est fondée de manière erronée sur les dispositions l’article 13 de la directive ePrivacy – telles qu’interprétées par la CJUE –, en ignorant celles de l’article L. 34-5 du CPCE, seules susceptibles de lui être directement opposées et dont les conditions d’application diffèrent, selon elle, du texte européen.
28. Elle estime en effet que, si l’article 13 de la directive pose un principe d’interdiction générale d’utilisation de courrier électronique à des fins de prospection directe, l’application de l’article L. 34-5 du CPCE serait soumise, en sus, à la caractérisation de l’existence d’un traitement de données à caractère personnel. Elle se fonde à cet égard sur la formulation du texte, qui précise en son alinéa 1er qu’est " interdite la prospection directe au moyen de système automatisé de communications électroniques […], d'un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen ", et le relie à l’alinéa 2 du même article, qui prévoit que " pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe ". La société considère ainsi que le consentement recueilli dans le cadre de l’article L. 34-5 du CPCE porterait sur un traitement de données à caractère personnel, et non sur l’affichage de publicités. Dès lors, en l’absence de toute " utilisation " de " coordonnées " – la société ne traitant pas, en tant que telle, l’adresse de courrier électronique des personnes concernées –, elle estime que l’application de l’article L.
34-5 du CPCE semble à tout le moins discutable.
29. En premier lieu, la formation restreinte rappelle que, conformément à l’article 288 du traité sur le fonctionnement de l’Union européenne (ci-après, " le TFUE), les directives européennes " lie[nt] tout État membre destinataire quant au résultat à atteindre, tout en laissant aux instances nationales la compétence quant à la forme et aux moyens ". Ainsi, si les autorités nationales déterminent la forme et les méthodes qu’elles utilisent pour incorporer lesdites directives dans leur droit national, ces mesures doivent atteindre l’objectif défini par celles-ci. La formation restreinte souligne en outre que ces directives définissent des normes minimales, les Etats ayant la possibilité de fixer des règles plus protectrices.
30. Par ailleurs, la CJUE a, à plusieurs reprises, rappelé qu’il " découle des exigences tant de l’application uniforme du droit de l’Union que du principe d’égalité que les termes d’une disposition du droit de l’Union qui ne comporte aucun renvoi exprès au droit des Etats membres pour déterminer son sens et sa portée doivent normalement trouver, dans toute l’Union, une interprétation autonome et uniforme. En outre, […] lors de l’interprétation d’une disposition du droit de l’Union, il y a lieu de tenir compte non seulement des termes de celle-ci et des objectifs qu’elle poursuit, mais également de son contexte ainsi que de l’ensemble des dispositions du droit de l’Union. La genèse d’une disposition du droit de l’Union peut également revêtir des éléments pertinents pour son interprétation " (CJUE, grande chambre, 26 mars 2019, SM, C-129/18 ; CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17).
31. En l’espèce, les dispositions de l’article 13 de la directive ePrivacy ont été transposées en droit français à l’article L. 34-5 du CPCE, cité supra. La formation restreinte relève qu’en application de l’article 288 du TFUE et de la jurisprudence de la CJUE, le législateur et les juridictions nationales doivent s’assurer, dans toute la mesure du possible, que ces dispositions apportent aux personnes concernées une protection conforme à celle garantie par la directive européenne. Dès lors, il convient de lire ce texte au regard non seulement de l’article 13 de la directive ePrivacy, mais également à la lumière de la jurisprudence de la CJUE, dont le rôle est de veiller à ce que la législation de l’Union soit interprétée et appliquée de manière harmonisée dans l’ensemble des pays membres. 
32. En deuxième lieu, la formation restreinte considère qu’il n’existe aucune contrariété entre les dispositions de l’article 13 de la directive ePrivacy et celles de l’article L. 34-5 du CPCE.
33. Elle estime en effet que les termes " utilisant les coordonnées d’une personne physique " figurant au premier alinéa de l’article L. 34-5 du CPCE ne sont pas, contrairement à ce que soutient la société, synonymes de " traitant les données à caractère personnel d’une personne physique " et qu’ils n’ajoutent aucune condition supplémentaire par rapport au texte européen, lequel prévoit que la prospection par courrier électronique n’est autorisée que si elle " vise des abonnés " ayant donné leur consentement préalable. Ainsi, les " coordonnées d’une personne physique " disposant d’un terminal de communication électronique correspondent aux " abonnés " du texte européen. 
34. Si, lors de la rédaction du texte, la notion de prospection commerciale par voie électronique s’envisageait traditionnellement comme l’envoi d’un message par un destinataire à un autre destinataire en utilisant soit son numéro de téléphone, soit son numéro de télécopie, soit son adresse de courrier électronique en tant que tels, l’évolution de la technologie et le déploiement de nouvelles méthodes de prospection, se distinguant des modèles techniques classiques en vigueur au moment de l’adoption du texte par le législateur, doivent conduire à adopter une approche fonctionnelle des notions en jeu.
35. C’est la position adoptée par la CJUE pour interpréter l’article 13 de la directive ePrivacy, l’arrêt du 25 novembre 2021 rappelant les objectifs de ce texte, à savoir assurer un niveau égal de protection aux utilisateurs indépendamment des technologies utilisées, " ce qui confirme qu’il y a lieu de retenir une conception large et évolutive d’un point de vue technologique du type de communications visées par cette directive " (point 39). La Cour considère ainsi que " si des entrées publicitaires de quelque nature que ce soit apparaissent dans la boîte de réception de la messagerie Internet, à savoir dans la rubrique dans laquelle l’ensemble des courriers électroniques adressés à l’utilisateur s’affichent, il y a lieu de considérer que cette boîte de réception constitue le moyen par lequel les messages publicitaires concernés sont communiqués à cet utilisateur, ce qui implique l’utilisation de son courrier électronique à des fins de prospection directe, au sens de l’article 13, paragraphe 1, de la directive 2002/58 " (point 44).
36. La formation restreinte considère qu’il n’y a pas lieu d’adopter une interprétation différente s’agissant de l’article L. 34-5 du CPCE, la notion d’" utilisation des coordonnées " devant être interprétée comme le moyen d’atteindre l’utilisateur – en l’espèce, par le biais de sa messagerie électronique, à laquelle il accède après s’être authentifié –, indépendamment du traitement de l’adresse de courrier électronique en tant que telle. Ainsi, l’utilisation de la boite électronique de l’abonné pour afficher le message de prospection suffit potentiellement à faire entrer cette opération dans le champ d’application de l’article L. 34-5 du CPCE. 
37. Par ailleurs, la formation restreinte estime que, comme l’a jugé la CJUE, le fait de donner à des messages publicitaires l’apparence de véritables courriels et, ainsi, d’utiliser l’intérêt et la confiance que les utilisateurs d’un service de messagerie électronique portent à leur boîte de réception pour mettre en valeur ces messages, impose de faire suivre à ces derniers le même régime juridique que celui applicable aux courriers électroniques. La formation restreinte souligne à cet égard que ce type d’annonces publicitaires se distingue des bannières pouvant apparaître en marge et de façon séparée de la liste des courriels, lesquels ne sont pas concernés par l’application de l’article L. 34-5 du CPCE.
38. La formation restreinte relève en outre que le terme " coordonnées " n’est pas propre au texte national puisqu’il figure expressément à l’article 13 de la directive ePrivacy, son paragraphe 2 disposant que lorsqu’" une personne physique ou morale a, dans le cadre de la vente d’un produit ou d’un service, obtenu de ses clients leurs coordonnées électroniques en vue d’un courrier électronique, ladite personne physique ou morale peut exploiter ces coordonnées électroniques à des fins de prospection directe pour des produits ou services analogues qu’elle-même fournit pour autant que lesdits clients se voient donner clairement et expressément la faculté de s’opposer, sans frais et de manière simple, à une telle exploitation des coordonnées électroniques au moment où elles sont recueillies et lors de chaque message, au cas où ils n’auraient pas refusé d’emblée une telle exploitation ". Ces dispositions, qui posent une exception au principe énoncé au paragraphe 1, doivent être lues et interprétées non pas de façon autonome, comme le suggère la société, mais bien à la lumière du texte complet de l’article 13. 
39. De la même manière, la formation restreinte relève que l’article 13 de la directive ePrivacy prévoit bien, tout comme l’article L. 34-5 du CPCE, que les règles de protection qu’il édicte s’appliquent aux personnes physiques. Son paragraphe 5 dispose en effet que " les paragraphes 1 et 3 s'appliquent aux abonnés qui sont des personnes physiques […] ".
40. En troisième lieu, s’agissant de la notion de consentement, la formation restreinte observe que, si l’article L. 34-5 du CPCE la définit en référence au consentement donné en matière de traitement de données à caractère personnel (l’alinéa 2 prévoyant que " pour l’application du présent article, on entend par consentement toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe "), la définition à laquelle renvoie la directive ePrivacy comporte également une telle référence. 
41. Il apparait en effet que, si l’article 13 de ladite directive ne définit pas lui-même le consentement, son article 2, f) dispose que le " consentement " d’un utilisateur ou d’un abonné correspond au " consentement de la personne concernée " figurant dans la directive 95/46/CE, laquelle le définissait, en son article 2, h), comme " toute manifestation de volonté libre, spécifique et informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l’objet d’un traitement " - soit précisément la même définition que celle posée par l’article L. 34-5 du CPCE.