AgentPublic/cnil huggingface dataset:
42. Si la directive 95/46/CE a été abrogée par l’entrée en vigueur du RGPD, la notion de consentement devant désormais s’entendre au sens de l’article 4, paragraphe 11 du RGPD (en application de l’article 94, paragraphe 2 du RGPD), la formation restreinte relève que cette notion est toujours définie par référence à un traitement de données à caractère personnel. 
43. Il apparait donc que, non seulement la notion de consentement est définie de la même manière au sein de la directive ePrivacy qu’au sein de l’article L. 34-5 du CPCE, les textes ne présentant aucune contrariété sur ce point, mais également que la référence au traitement de données à caractère personnel qu’ils comportent tous deux doit s’analyser, non pas comme une de leurs conditions d’application, mais seulement comme une volonté du législateur d’uniformiser les concepts utilisés, en renvoyant aux définitions figurant déjà dans d’autres textes. 
44. Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’il n’existe aucune contrariété entre les dispositions de l’article 13 de la directive ePrivacy et celles de l’article L. 34-5 du CPCE – article sur lequel elle entend fonder sa décision –, toutes deux devant être interprétées à la lumière des décisions rendues par la CJUE. 
b) Sur la responsabilité du fournisseur de messagerie
45. La société considère que l’application de l’arrêt de la CJUE du 25 novembre 2021 à un acteur tel qu’ORANGE apparait à tout le moins discutable. Elle se prévaut ainsi du fait que le litige soumis à la Cour opposait deux annonceurs, et que la décision ne vise pas les fournisseurs de messagerie électronique. De la même manière, elle relève que jusqu’ici, en matière de prospection commerciale, la CNIL a toujours considéré qu’il revenait à l’annonceur offrant les produits et services dont le message assure la promotion de disposer du consentement, et non aux éventuels intermédiaires ou prestataires intervenant dans l’acheminement ou l’affichage du message. Elle estime en effet que l’annonceur est le seul acteur en mesure d’identifier la nécessité de recueillir un tel consentement (en fonction notamment de la préexistence d’une relation commerciale avec le destinataire du message), et qu’en retenant aujourd’hui la responsabilité du fournisseur de messagerie, la CNIL procède à une interprétation novatrice des textes qui s’écarte de sa doctrine.
46. En outre, concernant une éventuelle responsabilité conjointe avec les annonceurs, la société considère que celle-ci pose un certain nombre de questions restant en suspens, notamment s’agissant des acteurs chargés de recueillir le consentement et de l’application de l’exemption dite " pour produits et services analogues ".
47. La formation restreinte relève tout d’abord que, dans son arrêt du 25 novembre 2021, la CJUE s’est prononcée, de manière générale, sur les critères régissant la notion de " courrier électronique ", au sens de l’article 2, second alinéa, sous h) de la directive ePrivacy, et sur la notion d’" utilisation " de celui-ci à des fins de prospection directe, au sens de l’article 13 de ladite directive, sans faire aucune distinction en fonction des organismes impliqués dans la prospection. 
48. Au contraire, et nonobstant le fait que l’affaire ayant donné lieu à saisine de la Cour opposait deux annonceurs concurrents, la formation restreinte observe que loin d’écarter la responsabilité du fournisseur de messagerie électronique, l’arrêt vise expressément ce dernier, précisant que " la défenderesse et l’intervenante au principal ainsi que le fournisseur de messagerie électronique impliqués utilisent l’existence de la liste des courriers électroniques privés, en tenant compte de l’intérêt et de la confiance particuliers de l’abonné au regard de cette liste, pour placer leur publicité directe en donnant à celle-ci l’aspect d’un véritable courrier électronique " (point 44).
49. En outre, il apparait que, dans le cadre des affaires précédemment examinées par la formation restreinte, les messages de prospection commerciale adressés aux personnes concernées étaient, d’un point de vue technique, de véritables courriels transmis par un utilisateur d’un service de messagerie (annonceur) à un autre (destinataire), sans que le fournisseur de messagerie n’intervienne si ce n’est pour assurer l’acheminement du message, comme il le ferait pour tout autre message privé. Il en va autrement des messages publicitaires tels que ceux en cause dans la présente affaire puisque, dans ce cas de figure, ce fournisseur ne se contente pas d’assurer l’acheminement d’un message dont il ne décide pas de l’envoi (fonction première de la boîte de messagerie) mais commercialise auprès des annonceurs des espaces dédiés, qu’il détermine souverainement et dont il maîtrise l’affichage, au sein de la boîte de courrier électronique des utilisateurs. La formation restreinte relève que, dans une telle configuration, le fournisseur de messagerie, seul à être en contact direct avec les destinataires des messages, est également le seul en mesure de pouvoir recueillir leur consentement.
50. La formation restreinte considère que, dans ces conditions, le fournisseur de messagerie électronique doit être regardé comme responsable du respect des dispositions de l’article L. 34-5 du CPCE dans le cadre des opérations de prospection réalisées, nonobstant l’éventuelle responsabilité des annonceurs. 
c) Sur la prévisibilité du cadre juridique applicable et le respect du principe de légalité des délits et des peines 
51. La société considère que l’arrêt de la CJUE ne permet pas de poser un cadre légal clair et que, dès lors, le prononcé d’une sanction serait contraire au principe de légalité des délits et des peines. Elle insiste sur le fait qu’il lui parait regrettable que les autorités de protection des données n’aient pas jugé utile d’accompagner les acteurs du marché, alors même que la prospection commerciale fait partie des sujets de prédilection de la CNIL et qu’elle a récemment publié un référentiel sur la gestion commerciale, au sein duquel l’arrêt de la CJUE n’est nullement mentionné. 
52. La formation restreinte rappelle qu’en matière de sanction administrative, le Conseil constitutionnel a exigé le respect de principes fondamentaux, parmi lesquels le principe de légalité des délits et des peines (n° 88-248 DC, 17 janvier 1989).
53. Le Conseil d’Etat est venu préciser la portée de ce principe, qui implique que les éléments constitutifs des infractions soient définis de façon précise et complète (CE, 9 octobre 1996, Société Prigest, n° 170363, T. ; CE, Section, 12 octobre 2009, M. P., n° 311641, Rec.). En matière de sanctions administratives, la jurisprudence considère que " l’exigence d'une définition des infractions sanctionnées se trouve satisfaite […] dès lors que les textes applicables font référence aux obligations auxquelles les intéressés sont soumis en raison de l'activité qu'ils exercent, de la profession à laquelle ils appartiennent, de l'institution dont ils relèvent ou de leur qualité " et qu’une sanction peut être prononcé s’il est " raisonnablement prévisible par les personnes concernées et en tenant compte de leur qualité et des responsabilités qu'elles exercent, que le comportement litigieux constitue un manquement à ces obligations " (CE, 3 octobre 2018, SFCM, n° 411050, Rec.).
54. En l’espèce, la formation restreinte rappelle que le fait de recueillir le consentement des personnes concernées pour réaliser des opérations de prospection commerciale par voie électronique est clairement exigé par la législation, tant nationale qu’européenne, depuis de nombreuses années. La directive ePrivacy de 2002 a ainsi été transposée en droit français par la loi n° 2004-669 du 9 juillet 2004. Cette exigence a été rappelée par la CNIL à plusieurs reprises, tant à travers les publications sur son site web que par les multiples décisions rendues par la formation restreinte en la matière. 
55. En outre, la formation restreinte relève que l’arrêt en cause a été publié près de deux ans avant les opérations de contrôle et qu’il est extrêmement clair : l’affichage dans la boîte de réception de l’utilisateur d’un service de messagerie électronique de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique et au même emplacement que ce dernier constitue une " utilisation [...] de courrier électronique à des fins de prospection directe " et n’est autorisée qu’à condition que ledit utilisateur ait été informé de manière claire et précise des modalités de diffusion d’une telle publicité et ait manifesté son consentement de manière spécifique et en pleine connaissance de cause à recevoir de tels messages publicitaires (point 63).
56. La formation restreinte observe qu’il s’agit de l’un des rares arrêts rendus par la CJUE en matière de protection des données à caractère personnel et de la vie privée en 2021 à avoir fait l’objet d’un communiqué de presse. Elle relève que l’intitulé de ce communiqué était particulièrement clair sur la portée de l’arrêt : " Inbox advertising : l’affichage dans la boîte de réception électronique de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique constitue une utilisation de courrier électronique à des fins de prospection directe au sens de la directive 2002/58 ". 
57. Il appartenait ainsi à la société, qui dispose des moyens matériels, humains et techniques pour assurer sa mise en conformité, d’adapter le cas échéant ses pratiques. 
58. Il apparait dès lors que les éléments constitutifs du manquement reproché à la société sont définis de façon précise et complète et qu’il ne peut, dans ces conditions, être soutenu que le prononcé d’une sanction méconnaîtrait le principe de légalité des délits et des peines. 
2) Sur la caractérisation du manquement à l’article L. 34-5 du CPCE
59. La formation restreinte relève qu’en l’espèce, les constatations réalisées par la délégation les 7 et 12 juin 2023 ont permis de mettre en évidence l’affichage, dans la boîte de réception du compte de messagerie électronique des utilisateurs du service " Mail Orange ", de messages publicitaires dont l’apparence se rapproche de véritables courriels. 
60. Etaient en effet insérées, entre les courriels reçus, des entrées ne se distinguant des autres courriels que par une couleur de fond légèrement grisée (les courriels reçus apparaissant sur un fond blanc), une mention " annonce " apposée à droite (à la place de l’heure et du jour de réception), ainsi que par la présence d’une croix située du côté gauche et permettant de supprimer le message (à la place de la case à cocher permettant traditionnellement de sélectionner un courriel). La formation restreinte relève que le nom de l’expéditeur apparaissait dans les mêmes formes que ceux des véritables courriels et que l’objet des messages s’apparentait également à ceux des autres courriels. Un clic sur ces entrées entraînait l’ouverture, dans un nouvel onglet du navigateur, d’une page du site web de l’annonceur.
61. Afin de déterminer si l’affichage des annonces publicitaires en cause constituent une utilisation de courrier électronique à des fins de prospection directe au sens de l’article L. 34-5 du CPCE, lu à la lumière de l’article 13 de la directive ePrivacy tel qu’interprété par la CJUE, la formation restreinte considère qu’il convient de vérifier, comme l’a fait la Cour dans son arrêt du 25 novembre 2021, " en premier lieu, si le type de communication utilisée à des fins de prospection directe figure parmi celles visées par ladite disposition ; en deuxième lieu, si une telle communication a pour finalité la prospection directe, et, en troisième lieu, si l’exigence d’obtenir un consentement préalable de la part de l’utilisateur a été respectée " (point 37). 
a) Sur le moyen de communication utilisé 
62. Premièrement, s’agissant du moyen de communication utilisé, il ressort de l’arrêt susvisé que les messages sur lesquels la CJUE s’est prononcée se présentaient comme " des entrées qui ne se distinguaient visuellement de la liste des autres courriels de l’utilisateur du compte que par le fait que la date était remplacée par la mention " Anzeige " (annonce), qu’aucun expéditeur n’était mentionné et que le texte apparaissait sur un fond gris. La rubrique " Objet " correspondant à cette entrée de liste contenait un texte destiné à la promotion de prix avantageux pour les services d’électricité et le gaz " (point 21).
63. La Cour a ainsi considéré que " si des entrées publicitaires de quelque nature que ce soit apparaissent dans la boîte de réception de la messagerie Internet, à savoir dans la rubrique dans laquelle l’ensemble des courriers électroniques adressés à l’utilisateur s’affichent, il y a lieu de considérer que cette boîte de réception constitue le moyen par lequel les messages publicitaires concernés sont communiqués à cet utilisateur, ce qui implique l’utilisation de son courrier électronique à des fins de prospection directe, au sens de l’article 13, paragraphe 1, de la directive 2002/58 " (point 44).
64. Il est souligné au sein de cet arrêt que " du point de vue du destinataire, ledit message publicitaire est affiché dans la boîte de réception de l’utilisateur de la messagerie électronique, à savoir dans un espace normalement réservé aux courriels privés. L’utilisateur ne peut libérer cet espace pour obtenir une vue d’ensemble de ses courriers électroniques exclusivement privés qu’après avoir vérifié le contenu de ce même message publicitaire et seulement après l’avoir supprimé activement. Si l’utilisateur clique sur un message publicitaire tel que celui en cause au principal, il est redirigé vers un site Internet contenant la publicité en question, au lieu de poursuivre la lecture de ses courriels privés (point 41). Ainsi, contrairement aux bannières publicitaires ou aux fenêtres contextuelles, qui apparaissent en marge de la liste des messages privés ou séparément de ceux-ci, l’apparition des messages publicitaires en cause au principal dans la liste des courriers électroniques privés de l’utilisateur entrave l’accès à ces courriers d’une manière analogue à celle utilisée pour les courriels non sollicités (appelés également " spam ") dans la mesure où une telle démarche requiert la même prise de décision de la part de l’abonné en ce qui concerne le traitement de ces messages (point 42). Par ailleurs, […] dans la mesure où les messages publicitaires occupent des lignes de la boîte de réception qui sont normalement réservées aux courriels privés et en raison de leur
ressemblance avec ces derniers, il existe un risque de confusion entre ces deux catégories de messages pouvant conduire l’utilisateur qui cliquerait sur la ligne correspondant au message publicitaire à être redirigé contre sa volonté vers un site Internet présentant la publicité en cause, au lieu de continuer la consultation de ses courriels privés " (point 43).
65. La formation restreinte relève qu’en l’espèce, les caractéristiques des messages publicitaires en cause dans le cadre de la présente procédure présentent de très fortes similitudes avec celles des messages examinés par la CJUE dans son arrêt (dans les deux cas : publicités insérées entre les courriels privés reçus par l’utilisateur, date remplacée par la mention " annonce ", texte de l’annonce apparaissant sur fond grisé, présence d’un texte destiné à la promotion d’un produit dans la rubrique " objet ", redirection de l’utilisateur qui clique sur le message vers le site de l’annonceur, risque de confusion compte tenu de l’emplacement des messages et de leur ressemblance avec de véritables courriels). Si de légères différences existent entre les messages examinés par la Cour et ceux affichés au sein de la boîte de réception des utilisateurs du service " Mail Orange ", la formation restreinte considère que celles-ci ne sont pas de nature à remettre en cause l’analyse qui doit en être faite. Ainsi, si le fait que l’expéditeur soit mentionné et qu’une croix (située à gauche, à la place de la case à cocher) permette de supprimer le message en cause sans qu’il soit nécessaire de l’ouvrir, il n’en reste pas moins que l’utilisateur, pour " libérer l’espace " et obtenir une vue d’ensemble de ses courriels privés, doit réaliser une démarche active en cliquant sur la croix. La CJUE a souligné à cet égard que l’apparition de tels messages entravait l’accès aux courriels privés de
l’utilisateur, dans la mesure où leur suppression requérait, comme pour les courriers indésirables (ou " spams "), une prise de décision de la part de la personne concernée.
66. La formation restreinte relève par ailleurs que l’argument de la société consistant à se prévaloir de l’absence de traitement de l’adresse de courrier électronique de l’utilisateur en tant que telle (la solution technique mise en place permettant, selon elle, de diffuser une publicité sans traiter de données à caractère personnel) ne saurait prospérer. 
67. En effet, il ressort de l’arrêt de la CJUE que, peu importe que les annonces en cause ne constituent pas, d’un point de vue technique, de véritables courriels – c’est-à-dire des messages envoyés par un utilisateur à un autre utilisateur en utilisant son adresse électronique –, leur seul affichage dans un espace normalement spécifiquement réservé aux courriels privés suffit à considérer que ces messages sont communiqués au moyen de la boîte aux lettres électronique des personnes concernées, et donc de leur courrier électronique. La formation restreinte renvoie à cet égard aux points 27 à 44 de la présente délibération, ni l’article L. 34-5 du CPCE ni l’article 13 de la directive ePrivacy n’exigeant la caractérisation d’un traitement de données à caractère personnel pour s’appliquer. 
68. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le premier critère défini par la CJUE est rempli, les messages en cause ayant bien été diffusés aux utilisateurs du service " Mail Orange " au moyen de leur boîte de réception, ce qui implique l’utilisation de leur courrier électronique.
b) Sur la finalité des communications visées 
69. Deuxièmement, pour déterminer si les messages en cause ont bien pour finalité la prospection directe, la Cour a précisé qu’il convenait de vérifier si de telles communications poursuivent un but commercial et s’adressent directement et individuellement au consommateur (point 47). 
70. En l’espèce, la formation restreinte relève qu’à l’instar de l’affaire examinée par la CJUE, les messages affichés dans la boîte de réception des utilisateurs du service " Mail Orange ", en ce qu’ils visent la promotion de produits ou services proposés par des annonceurs tiers, poursuivent bien un but commercial. 
71. En outre, ces messages s’adressent directement et individuellement aux utilisateurs, en ce qu’ils apparaissent dans leur boîte de messagerie électronique, à laquelle ils n’obtiennent l’accès qu’après s’être authentifiés à l’aide de leur identifiant et de leur mot de passe. 
72. Dans ces conditions, la formation restreinte considère que les annonces publicitaires insérées entre les courriels reçus caractérisent une utilisation de courrier électronique à des fins de prospection directe. 
c) Sur l’absence de recueil du consentement 
73. Troisièmement, la formation restreinte rappelle que l’organisme souhaitant procéder à de telles opérations de prospection est tenu de recueillir le consentement libre, spécifique et informé des personnes concernées, en application de l’article L. 34-5 du CPCE.
74. Or, il ressort des constatations réalisées par la délégation que le consentement de l’utilisateur à voir s’afficher des publicités au sein de la boîte de réception de sa messagerie électronique n’était à aucun moment recueilli – ni au moment de la création du compte, ni au moment de la connexion audit compte, par exemple par l’intermédiaire d’une case à cocher ou d’un bouton poussoir – et qu’en outre, les réglages du compte de messagerie ne permettaient pas de s’opposer à cet affichage. Ce point n’est pas contesté par la société.
75. La formation restreinte entend souligner que, conformément aux développements des points 45 à 50 de la présente délibération, il appartenait à la société ORANGE de ne pas afficher de messages publicitaires tels que ceux en cause sans que le consentement des utilisateurs ait été recueilli préalablement. Il apparait en effet que, si ces messages ont pour objet de promouvoir les produits et services commercialisés par des annonceurs tiers, la société ORANGE a la maîtrise de l’affichage de ces publicités, dans la mesure où elle met à disposition des annonceurs susvisés des emplacements dédiés, qu’elle a préalablement déterminés, au sein de la boîte de messagerie des utilisateurs de son propre service " Mail Orange ". Elle a à cet égard fourni des éléments dans le cadre de l’instruction démontrant que c’est par l’intermédiaire du " Tag Management System " (TMS) d’ORANGE que l’affichage de ces publicités était géré. Dès lors, ainsi qu’il a été rappelé ci-dessus, la société ne devait pas, au même titre que les annonceurs, procéder aux opérations de prospection visées sans que le consentement des utilisateurs ait été recueilli.
76. Il ressort de l’ensemble de ces éléments qu’en procédant à l’affichage, dans la boîte de réception des utilisateurs de son service de messagerie électronique " Mail Orange ", de messages publicitaires insérés entre les courriels reçus, sans recueillir le consentement préalable desdits utilisateurs, la société a commis un manquement à l’article L. 34-5 du CPCE. 
3) Sur la mise en conformité de la société 
77. Dans le cadre de ses premières observations en réponse au rapport de sanction, la société a précisé avoir décidé d’abandonner le format d’affichage de publicités entre les courriels dès le mois de novembre 2023. Elle produit un courrier adressé à la CNIL le 22 septembre 2023, au sein duquel elle fait part de sa volonté de faire évoluer ses formats de publicité au sein de son service " Mail Orange ". La société indique que, conformément à cet engagement, elle a cessé de recourir à l’affichage d’annonces publicitaires entre les courriels des utilisateurs, à compter du 2 novembre 2023 s’agissant de la messagerie accessible depuis un navigateur web et, pour les utilisateurs de l’application " Mail Orange ", après une mise à jour, soit des utilisateurs eux-mêmes, soit imposée le 30 novembre 2023. 
78. La société précise avoir développé un nouveau format d’affichage dit " sticky ", permettant selon elle une différenciation nette et non équivoque des courriers électroniques reçus et des annonces publicitaires.
79. La formation restreinte relève qu’il ressort des éléments fournis par la société que les messages publicitaires diffusés aux utilisateurs du service " Mail Orange " apparaissent, depuis novembre 2023, non plus entre les courriels reçus mais au sein d’une bannière distincte et fixe figurant au pied de la boîte de réception des utilisateurs, en marge de la liste des courriels et séparément de ceux-ci. Elle considère que ce nouveau format d’affichage permet de distinguer clairement ces annonces des autres courriers électroniques reçus et que, dès lors, la pratique en cause ne peut plus être qualifiée d’utilisation de courrier électronique à des fins de prospection directe au sens de l’article L. 34-5 du CPCE. 
80. La formation restreinte prend acte de la mise en conformité de la société sur ce point et rappelle que le manquement à l’article L. 34-5 du CPCE apparait caractérisé pour le passé. 
B. Sur le manquement à l’obligation d’informer les personnes concernées et d’obtenir leur consentement avant d’inscrire des informations (cookies) sur leur terminal de communications électroniques ou d’accéder à celles-ci (lecture des cookies) en application de l’article 82 de la loi Informatique et Libertés