GuiGui's Show

Délibération SAN-2024-019.

Publicités déguisés en courriels dans un webmail + retrait cookies pas effectif. Proton Mail fait ça (pub déguisée) pour ses produits et services…
Google GMail aussi a été sanctionné (ainsi que pour son parcours de création de compte trompeur pour inciter à la publicité ciblée), cf. délibération SAN-2025-004 (mon article dédié).

A cet égard, la formation restreinte entend rappeler que les règles régissant l’utilisation des cookies et autres traceurs permettent de protéger la vie privée des utilisateurs, en garantissant notamment l’intégrité de leur terminal, les informations stockées ou consultées dans ce cadre ne constituant pas nécessairement des données à caractère personnel (CJUE, grande chambre, 1er octobre 2019, Planet49 GmbH, C-673/17). Doivent ainsi être distingués, d’une part, les opérations consistant à déposer et à lire un cookie sur le terminal de l’utilisateur (ces opérations étant soumises à l’article 82 de la loi Informatique et Libertés) et, d’autre part, l’utilisation ultérieure qui est faite des données générées par ces cookies, généralement désignée sous l’expression " traitements subséquents " (et soumise aux dispositions du RGPD) (CNIL, FR, 31 décembre 2021, Sanction, n° SAN-2021-023, publié ; CNIL, FR, 31 décembre 2021, Sanction, n° SAN-2021-023, publié ; CNIL, FR, 29 décembre 2022, Sanction, n° SAN-2022-025, publié).

Clôture de l'injonction de se mettre en conformité en septembre 2025 (délibération SAN-2025-007) :

S’agissant des traceurs déposés par les partenaires de la société (les « cookies tiers »), ORANGE a justifié avoir pris des mesures permettant d’empêcher toute opération de lecture ou d’écriture sur son site une fois le consentement de l’utilisateur retiré, en faisant cesser la réalisation de nouvelles requêtes à des domaines tiers. La CNIL a néanmoins relevé que ces traceurs n’étaient pas supprimés du navigateur. En effet, ORANGE n’ayant pas la maîtrise technique de ceux-ci , elle ne pouvait pas les effacer. Dès lors, le suivi de la navigation de l’utilisateur pouvait se poursuivre sur des sites tiers utilisant le même traceur, révélant ainsi qu’il avait, à un moment donné, consulté le site orange.fr. La formation restreinte a cependant considéré qu’en l’état actuel de la doctrine et de la jurisprudence du Conseil d’État, ces opérations de lecture — réalisées en dehors du site web orange.fr — excèdent la responsabilité de la société ORANGE. Elles relèvent de celle de ses partenaires, lesquels devraient mettre en place des mesures permettant à ORANGE de les informer du retrait du consentement des utilisateurs, afin qu’ils puissent en tirer les conséquences. Par ailleurs, la formation restreinte a relevé que la société ORANGE avait justifié avoir contacté ses partenaires pour qu’ils mettent en place ce type de mesures.

Orange a contesté la mesure, CE 501268, avec une demande de QPC (2026-1210 QPC) portant sur la concurrence des compétences CNIL / ARCEP.