AgentPublic/cnil huggingface dataset:
81. Les règles régissant l’utilisation, par un service de communications électroniques, des cookies et autres traceurs sur les équipements terminaux utilisés dans l’Union européenne sont fixées à l’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du 25 novembre 2009. 
82. Ces règles ont été transposées en droit français à l’article 32, paragraphe II, de la loi Informatique et Libertés, devenu l’article 82 depuis la réécriture de cette loi par l’ordonnance n° 2018-1125 du 12 décembre 2018. Celui-ci prévoit que : " Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 
2° Des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. 
Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : 
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ".
83. La rapporteure relève qu’il ressort des constatations réalisées par la délégation sur le site web orange.fr que plusieurs dizaines de cookies, pourtant soumis au consentement de l’utilisateur, ont continué à être envoyés à travers des requêtes vers les domaines auxquels ils sont associés – autrement dit, ont continué à être lus – après retrait dudit consentement. Elle considère que de telles opérations de lecture constituent un manquement aux dispositions de l’article 82 susvisé.
84. En défense, la société ne conteste pas que des cookies continuent à être lus après retrait du consentement. Néanmoins, elle soutient qu’aucun texte ni aucune jurisprudence ne précise clairement les modalités de prise en compte de retrait du consentement, ni n’impose d’obligation explicite de cesser toute opération de lecture. Elle indique ainsi que, dans la mesure où, selon elle, ces cookies ne font plus l’objet d’aucune exploitation après ledit retrait (aucun préjudice n’étant dès lors caractérisé pour l’utilisateur), elle a cru de bonne foi se conformer aux règles en vigueur. 
85. Elle met par ailleurs en avant les contraintes techniques liées à la prise en compte du retrait du consentement, en particulier s’agissant des domaines tiers. Elle indique que ses partenaires proposent peu de solutions permettant de s’assurer de la bonne gestion du retrait du consentement et qu’il s’agit d’une pratique de marché généralisée. 
86. Elle regrette en tout état de cause le manque d’accompagnement de la CNIL s’agissant des actions à mettre en place après retrait du consentement. Elle s’engage néanmoins à prendre des mesures correctives permettant d’empêcher la lecture des cookies après le retrait du consentement.
87. La formation restreinte rappelle que la loi Informatique et Libertés prévoit expressément que, dès lors qu’elles n’entrent pas dans le champ des exceptions mentionnées aux deux derniers alinéas de l’article 82, les opérations d’accès ou d’inscription d’informations dans le terminal d’un utilisateur ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement. 
88. Ces dispositions, telles qu’interprétées de manière constante par la Commission depuis sa recommandation relative aux cookies et autres traceurs du 5 décembre 2013 (délibération no 2013-378) et, en tout dernier lieu, dans sa recommandation du 17 septembre 2020 (délibération n°2020-092 du 17 septembre 2020), impliquent non seulement que les personnes concernées donnent leur consentement à l’accès ou à l’inscription d’informations dans leur terminal, mais également que celles ayant donné leur consentement soient en mesure de le retirer de manière simple et à tout moment. 
89. Dans une décision du 29 décembre 2023, la formation restreinte a ainsi expressément rappelé que, " si l’article 82 de la loi Informatique et Libertés conditionne le dépôt de cookies au consentement de l’abonné ou de l’utilisateur, il offre nécessairement, de manière corrélative, le droit à l’intéressé de retirer son consentement et de revenir ainsi sur son choix d’accepter que des cookies soient déposés sur son terminal " (CNIL, FR, 29 décembre 2023, Sanction, SAN-2023-024, publié).
90. En l’espèce, la formation restreinte observe que la société ORANGE a bien mis en place une interface permettant aux utilisateurs de retirer leur consentement à l’inscription et à la lecture de cookies sur leur terminal. Il ressort néanmoins des procès-verbaux dressés par la délégation qu’après retrait de ce consentement, des cookies pourtant soumis audit consentement – tels que des cookies publicitaires ou des cookies statistiques – continuent à être lus. La formation restreinte relève que, par ces opérations de lecture, les valeurs des cookies ne restent pas bornées au terminal de l’utilisateur mais sont transportées jusqu’aux serveurs du système d’information de la société ORANGE et de ses partenaires qui exploitent les domaines tiers précités. Leur maîtrise échappe alors d’une part à l’internaute, qui a pourtant retiré son consentement pour ces accès, et échappe d’autre part à la société ORANGE qui ne peut garantir, s’agissant des domaines tiers, les opérations réalisées par ses partenaires à partir des informations lues sur le terminal du visiteur de son site web.
91. La formation restreinte rappelle que ces opérations de lecture sont, en tant que telles, expressément prohibées par l’article 82 de la loi Informatique et Libertés, en l’absence de consentement de la personne concernée. Celui-ci vise en effet " toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans [un] équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ". Il prévoit que " ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement ". 
92. Ainsi, le terme " accès " renvoie bien à une opération de lecture des " informations déjà stockées " - autrement dit, des cookies déjà déposés et leurs valeurs –, laquelle diffère de l’autre opération visée consistant à " inscrire " des informations, c’est-à-dire à procéder à des opérations d’écriture – autrement dit, à déposer des cookies. La formation restreinte note à cet égard que l’intitulé même des lignes directrices adoptées par la CNIL le 17 septembre 2020 fait expressément référence " aux opérations de lecture et écriture dans le terminal d’un utilisateur " (délibération n° 2020-091).
93. Il apparait dès lors que le seul fait de lire des cookies soumis au consentement de la personne concernée, sans disposer d’un tel consentement (que ce consentement n’ait jamais été donné ou qu’il ait été retiré), suffit à entrer dans le périmètre de l’interdiction posée à l’article 82 de la loi Informatique et Libertés, indépendamment de l’éventuelle exploitation ultérieure de ces cookies. 
94. A cet égard, la formation restreinte entend rappeler que les règles régissant l’utilisation des cookies et autres traceurs permettent de protéger la vie privée des utilisateurs, en garantissant notamment l’intégrité de leur terminal, les informations stockées ou consultées dans ce cadre ne constituant pas nécessairement des données à caractère personnel (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17). Doivent ainsi être distingués, d’une part, les opérations consistant à déposer et à lire un cookie sur le terminal de l’utilisateur (ces opérations étant soumises à l’article 82 de la loi Informatique et Libertés) et, d’autre part, l’utilisation ultérieure qui est faite des données générées par ces cookies, généralement désignée sous l’expression " traitements subséquents " (et soumise aux dispositions du RGPD) (CNIL, FR, 31 décembre 2021, Sanction, n° SAN-2021-023, publié ; CNIL, FR, 31 décembre 2021, Sanction, n° SAN-2021-023, publié ; CNIL, FR, 29 décembre 2022, Sanction, n° SAN-2022-025, publié).
95. Dans ces conditions, le fait que la société exploite ou n’exploite pas les informations collectées par les témoins de connexion est sans incidence sur la caractérisation du manquement à l’article 82 de la loi Informatique et Libertés. 
96. En outre, la formation restreinte note que, si la société affirme que les cookies en cause n’ont fait l’objet d’aucune exploitation, cette affirmation, qui n’est pas démontrée matériellement, ne peut ni être tenue pour acquise – les cookies lus étant toujours théoriquement exploitables dans la mesure où des requêtes à destination des domaines d’ORANGE et de ses partenaires sont envoyées et contiennent bien des cookies –, ni être contredite. Il ne sera dès lors tenu compte, ni dans la caractérisation du manquement, ni dans l’appréciation de la sanction, du sort réservé aux informations collectées à partir des cookies restant lus.
97. S’agissant des modalités techniques permettant d’assurer l’effectivité du retrait du consentement, la formation restreinte relève que la CNIL a pris soin de préciser, dans sa recommandation du 17 septembre 2020, que " pour que le retrait du consentement soit effectif, il peut être nécessaire de mettre en place des solutions spécifiques pour garantir l’absence de lecture ou d’écriture des traceurs précédemment utilisés ". Ces solutions peuvent par exemple consister à modifier la durée de vie des cookies pour indiquer qu’ils sont expirés (en renvoyant dans une réponse http un en-tête " set cookie " appropriée spécifiant une date d’expiration dans le passé), ce qui entraînera leur suppression par le navigateur, ou encore, s’agissant des cookies ne disposant pas de l’attribut " httpOnly ", à assurer leur suppression à l’aide d’un script exécuté localement sur le terminal, via l’utilisation des interfaces de programmation d’application " cookies " des navigateurs web.
98. Concernant les cookies liés au domaine " .orange.fr ", la formation restreinte note que la société ORANGE maîtrise l’ensemble des opérations réalisées et qu’elle a d’ailleurs précisé à cet égard avoir pour projet de faire évoluer son script " cookie monster " afin de faire en sorte qu’aucun cookie soumis au consentement ne soit plus lu après retrait dudit consentement. Ainsi, dans la mesure où une grande partie des cookies restant lus sont liés au domaine ".orange.fr " ou à ses sous-domaines, la formation restreinte relève que la société ne peut se retrancher derrière la complexité technique résultant de l’absence de solution proposée par ses partenaires pour justifier le manquement relevé.
99. Concernant les cookies déposés par des tiers, la formation restreinte rappelle que, selon le Conseil d’Etat, " les éditeurs de site qui autorisent le dépôt et l'utilisation […] " cookies " par des tiers à l'occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu'ils ne sont pas soumis à l'ensemble des obligations qui s'imposent au tiers qui a émis le " cookie ", notamment lorsque ce dernier conserve seul la maitrise du respect de sa finalité ou de sa durée de conservation. Au titre des obligations qui pèsent sur l'éditeur de site dans une telle hypothèse, figurent celle de s'assurer auprès de ses partenaires qu'ils n'émettent pas, par l'intermédiaire de son site, des " cookies " qui ne respectent pas la règlementation applicable en France et celle d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements " (CE, 10ème et 9ème CR, 6 juin 2018, n° 412589, Rec.). Ainsi, même si la société ORANGE n’avait pas la possibilité d’assurer elle-même la suppression des cookies tiers, il lui appartenait d’effectuer les vérifications nécessaires et de prendre les mesures adéquates auprès de ses partenaires pour faire cesser le manquement. La formation restreinte prend acte qu’elle s’est engagée à mettre en œuvre de telles mesures pour l’avenir.
100. Il résulte de ce qui précède qu’en continuant à réaliser, sur le terminal de l’utilisateur, des opérations de lecture soumises au consentement de l’intéressé, malgré le retrait dudit consentement, la société a commis un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés.
101. En marge de la caractérisation du manquement susvisé, la formation restreinte relève que, dans le cadre de ses observations écrites, la société a évoqué des " domaines mixtes ", " portant sur des cookies consentis et non consentis ", et indiqué que ses partenaires réalisaient " des opérations de publicité ne nécessitant pas le consentement ". A cet égard, la formation restreinte entend rappeler que tous les cookies poursuivant une finalité publicitaire sont soumis au consentement de la personne concernée, seuls les cookies ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique ou étant strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur étant exemptés d’un tel consentement. Ainsi, un même cookie qui poursuivrait deux finalités distinctes, dont l’une seulement entrerait dans le périmètre des exemptions susvisées – l’autre étant, par exemple, une finalité publicitaire –, ne pourrait bénéficier des dispositions des deux derniers alinéas de l’article 82 de la loi Informatique et Libertés. Dans un tel cas de figure, il appartiendrait à la société soit de recueillir le consentement préalable des utilisateurs au dépôt et à la lecture d’un tel cookie, soit de mettre en œuvre deux cookies différents, dont l’un serait exempté du recueil du consentement et l’autre non (CNIL, FR, 19 décembre 2022, Sanction, n° SAN-2022-023, publié).
III. SUR LES MESURES CORRECTRICES ET LEUR PUBLICITÉ
102. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […] 
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
103. L’article 83 du RGPD prévoit en outre que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
104. Enfin, l’article 22, alinéa 2 de la loi Informatique et Libertés dispose que " la formation restreinte peut rendre publique les mesures qu’elle prend ".
105. La rapporteure propose à la formation restreinte de prononcer à l’encontre de la société une amende administrative au regard des manquements constitués aux articles L. 34-5 du CPCE et 82 de la loi Informatique et Libertés. Elle estime également que le prononcé d’une injonction sous astreinte est nécessaire afin d’assurer la mise en conformité de la société en matière de cookies. Elle propose enfin que la délibération de la formation restreinte soit rendue publique. 
106. En défense, la société fait tout d’abord valoir l’absence de cadre juridique clair s’agissant des deux manquements relevés, lesquels ne reposent, selon elle, sur aucune obligation légale claire et précise. Elle estime dès lors que le prononcé d’une sanction caractériserait une violation du principe de légalité des délits et des peines.
107. Elle soutient ensuite que le montant de l’amende proposé par la rapporteure apparait disproportionné, excessif et injustifié et témoigne d’une erreur manifeste d’appréciation. Elle insiste sur la cessation quasi-immédiate de la pratique d’affichage des annonces entre les courriels, ainsi que sur l’absence d’exploitation des cookies lus après retrait du consentement, soulignant l’absence de préjudice des personnes concernées. Elle considère que la proposition de la rapporteure reviendrait à sanctionner la société ORANGE au nom et pour le compte de l’ensemble des acteurs du marché, ce qui apparait contraire au principe d’individualisation des peines. Elle met en avant sa parfaite coopération avec les services de la CNIL et soutient n’avoir commis aucune violation de manière délibérée. 
108. Elle estime dans ces conditions qu’un rappel à l’ordre, une mise en demeure ou un avertissement public aurait pu constituer une mesure correctrice efficace et adéquate. 
109. Dans l’hypothèse où la formation restreinte déciderait du prononcé d’une amende, la société considère que le montant proposé par la rapporteure doit faire l’objet, a minima, d’une baisse significative. S’agissant de cette proposition, elle estime ne pas avoir été mise en mesure de se défendre raisonnablement et convenablement – et qu’il existe ainsi une atteinte aux droits de la défense –, en l’absence de distinction des peines relatives à chacun des manquements.
110. La société apporte également des précisions concernant son chiffre d’affaires 2023, annoncé à 44,1 milliards d’euros et s’élevant selon elle, in fine, à 39,7 milliards d’euros. Elle estime en tout état de cause que, dans la mesure où les faits reprochés concernent le territoire français, le chiffre d’affaires de référence devrait être celui de la société ORANGE SA en France, soit 17,73 milliards pour 2023. Elle fait en outre état de la disproportion du montant de l’amende proposé au regard du chiffre d’affaires de l’activité de régie publicitaire d’ORANGE, lequel se limite à 58,9 millions d’euros en 2023. 
111. S’agissant de l’injonction sous astreinte, la société s’engage à mettre en conformité ses pratiques avec les exigences de l’article 82 de la loi Informatique et Libertés et sollicite pour ce faire de pouvoir disposer d’un délai de trois mois. Elle précise néanmoins que, dans la mesure où elle a déjà mis en œuvre des mesures correctives depuis le 9 septembre 2024, une telle injonction est susceptible d’apparaître sans objet. 
112. Enfin, la société ne s’oppose pas à la publicité de la sanction.
113. A titre liminaire, s’agissant du cadre juridique applicable tant aux publicités insérées entre les courriels qu’aux cookies après retrait du consentement, la formation restreinte considère que les textes sur lesquels elle se fonde pour caractériser les manquements reprochés définissent de manière suffisamment claire et précise les éléments constitutifs de ces infractions. Elle renvoie à cet égard aux points 27 à 58 de la présente délibération, s’agissant du manquement à l’article L. 34-5 du CPCE, ainsi qu’à l’ensemble des développements du II, B), relatifs au manquement à l’article 82 de la loi Informatique et Libertés. 
 
A. Sur le prononcé d’une amende administrative et son montant 
114. Il convient tout d’abord de rappeler que l’exigence de motivation d’une sanction administrative n’impose ni à la formation restreinte, ni à la rapporteure de se prononcer sur l’ensemble des critères prévus à l’article 83 du RGPD, et qu’elle n’implique pas non plus que soient indiqués les éléments chiffrés relatifs au mode de détermination du montant de la sanction proposée ou prononcée (CE, 10e/9e, 19 juin 2020, n° 430810 ; CE, 10e/9e, 14 mai 2024, n° 472221). 
115. La formation restreinte considère qu’en l’espèce, la rapporteure a fait apparaître de façon claire et détaillée les éléments lui ayant permis d’apprécier la gravité des manquements retenus. Dès lors, la société ayant eu connaissance de ces éléments, aucune atteinte aux droits de la défense n’apparait constituée.
116. Ceci étant rappelé, la formation restreinte considère qu’il convient, en l’espèce, d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative à la société et, le cas échéant, pour déterminer son montant. 
1) Sur le prononcé de l’amende 
117. Premièrement, la formation restreinte considère qu’il y a lieu de tenir compte, en application de l’article 83, paragraphe 2, a) du RGPD, de la nature, de la gravité et de la durée des violations, compte tenu de la nature, de la portée ou de la finalité des traitements concernés, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu'elles ont subi.
118. S’agissant tout d’abord du manquement à l’article L. 34-5 du CPCE, la formation restreinte entend souligner sa particulière gravité, notamment au regard du caractère intrusif de la pratique en cause ainsi que du nombre de personnes concernées. Il convient ainsi de rappeler que les règles posées par la directive ePrivacy en matière de prospection commerciale par voie électronique, transposées à l’article L. 34-5 du CPCE, ont pour objet de protéger la vie privée des utilisateurs ou abonnés s’agissant des communications non sollicitées. Si la société conteste le caractère intrusif des annonces publicitaires en cause, la formation restreinte relève qu’il ressort des constatations réalisées par la délégation que plusieurs messages de ce type pouvaient être affichés en même temps dans la boîte de réception des utilisateurs, au milieu de leurs courriels privés, sans qu’ils y aient consenti. Une telle pratique, qui consiste à utiliser la confiance de l’abonné dans le service utilisé, correspond très précisément à une intrusion, laquelle peut être définie comme " le fait de s’introduire de façon inopportune dans un groupe, au milieu, sans y être invité " (source : Larousse).