Orange a glissé des publicités dans 7,8 millions de boîtes mail en les déguisant en vrais messages — condamné à une amende de 50 M€

Orange, premier opérateur de télécommunications en France, vendait des espaces publicitaires au sein de son service de messagerie Mail Orange. Les publicités étaient insérées parmi les courriels entrants authentiques et conçues pour ressembler à de vrais messages. Les utilisateurs n'avaient pas consenti à les recevoir. Plus de 7,8 millions de personnes ont vu ces publicités dans leur boîte de réception avant qu'Orange ne mette fin à cette pratique en novembre 2023.

Par ailleurs, sur le site orange.fr, des cookies continuaient d'être lus par Orange et ses partenaires même après que les utilisateurs avaient retiré leur consentement. La CNIL a estimé que la lecture de données stockées sur l'équipement d'un utilisateur est interdite après le retrait du consentement, que ces données soient ou non utilisées par la suite.

Le 14 novembre 2024, la formation restreinte de la CNIL a infligé à Orange une amende de 50 millions d'euros. Elle a invoqué l'ampleur de l'audience (7,8 millions), la position d'Orange sur le marché et l'avantage financier tiré du manquement. Orange a été mise en demeure de cesser la lecture de cookies après retrait du consentement dans un délai de trois mois, sous astreinte de 100 000 euros par jour de non-conformité.

Orange a été condamné à une amende de 50 millions d'euros pour avoir glissé des publicités dans 7,8 millions de boîtes de réception et ignoré le consentement aux cookies, avec une astreinte de 100 000 euros par jour en cas de non-conformité.

Orange traitait l'espace privé de la boîte mail de ses utilisateurs comme un inventaire publicitaire à vendre — la relation CRM est devenue le canal publicitaire

Les publicités étaient conçues pour ressembler à de vrais courriels, exploitant la confiance que les utilisateurs accordent à leur boîte de réception plutôt que de capter l'attention par un format clairement identifié

Aucun mécanisme de consentement n'existait pour les publicités dans la boîte mail : les utilisateurs n'étaient pas sollicités, et le format rendait structurellement impossible tout refus

Le manquement relatif aux cookies montrait le même schéma au niveau du site web : le retrait du consentement était enregistré mais non appliqué, si bien que le pistage se poursuivait silencieusement

La boîte de réception d'un client n'est pas un inventaire publicitaire. Contrôler à la fois le canal et les publicités crée la tentation de monétiser directement — le consentement existe parce que le canal est privé.

Orange avait déjà mis fin au format publicitaire dans la boîte mail en novembre 2023, avant la décision de la CNIL. Son affichage publicitaire plus récent distingue les publicités des courriels authentiques. L'affaire est citée dans les discussions européennes sur la protection des données comme la plus lourde amende française pour des manquements en matière de marketing direct, et comme un avertissement à toute plateforme qui contrôle à la fois un canal de communication et une activité publicitaire.