Orange, la principal operadora de telecomunicaciones de Francia, vendió espacio publicitario dentro de su servicio de correo electrónico Mail Orange. Los anuncios se insertaban entre los correos electrónicos genuinos recibidos y estaban diseñados para parecer mensajes reales. Los usuarios no habían dado su consentimiento para recibirlos. Más de 7,8 millones de personas vieron los anuncios en sus bandejas de entrada antes de que Orange dejara esta práctica en noviembre de 2023.
Por separado, en el sitio web orange.fr, Orange y sus socios siguieron leyendo cookies incluso después de que los usuarios hubieran retirado su consentimiento. La CNIL determinó que el acto de leer datos almacenados en el dispositivo de un usuario está prohibido tras la retirada del consentimiento, independientemente de si los datos se utilizan posteriormente.
El 14 de noviembre de 2024, el comité restringido de la CNIL multó a Orange con 50 millones de euros. Citó la escala de la audiencia (7,8 millones), la posición de mercado de Orange y la ventaja financiera derivada de la infracción. Se ordenó a Orange dejar de leer cookies tras la retirada del consentimiento en un plazo de tres meses, bajo pena de 100.000 euros por día de incumplimiento.
Orange fue multada con 50 millones de euros por colar anuncios en 7,8 millones de bandejas de entrada e ignorar el consentimiento de cookies, con una penalización de 100.000 euros por día por incumplimiento.
Orange trató el espacio privado de la bandeja de entrada de sus usuarios de correo electrónico como un inventario publicitario que vender — la relación de CRM se convirtió en el canal publicitario
Los anuncios estaban diseñados para parecerse a correos genuinos, explotando la confianza que los usuarios depositan en su bandeja de entrada en lugar de ganar atención mediante un formato claramente etiquetado
No existía ningún mecanismo de consentimiento para los anuncios en la bandeja de entrada: no se preguntó a los usuarios, y el formato hacía estructuralmente imposible optar por no recibirlos
La infracción de cookies mostró el mismo patrón a nivel del sitio web: la retirada del consentimiento se registraba pero no se aplicaba, por lo que el seguimiento continuaba de forma silenciosa
La bandeja de entrada de un cliente no es inventario publicitario. Controlar tanto el canal como los anuncios crea la tentación de monetizar directamente — el consentimiento existe porque el canal es privado.
Orange ya había dejado de utilizar el formato de anuncios en la bandeja de entrada en noviembre de 2023, antes de la resolución de la CNIL. Su presentación publicitaria más reciente distingue los anuncios de los correos genuinos. El caso se cita en los debates europeos sobre protección de datos como la mayor multa francesa por infracciones de marketing directo, y como una advertencia para cualquier plataforma que controle tanto un canal de comunicación como un negocio publicitario.
CONSULTA LAS PRUEBAS