A Orange, principal operadora de telecomunicações da França, vendeu espaço publicitário dentro do seu serviço de e-mail Mail Orange. Os anúncios foram inseridos entre e-mails recebidos genuínos e projetados para parecer mensagens reais. Os usuários não haviam consentido em recebê-los. Mais de 7,8 milhões de pessoas viram os anúncios em suas caixas de entrada antes de a Orange interromper a prática em novembro de 2023.
Separadamente, no site orange.fr, os cookies continuaram a ser lidos pela Orange e por seus parceiros mesmo depois de os usuários terem retirado o consentimento. A CNIL concluiu que o ato de ler dados armazenados no dispositivo de um usuário é proibido após a retirada do consentimento, independentemente de os dados serem posteriormente utilizados.
Em 14 de novembro de 2024, o comitê restrito da CNIL multou a Orange em €50 milhões. Citou a escala do público (7,8 milhões), a posição de mercado da Orange e a vantagem financeira obtida com a violação. A Orange foi ordenada a cessar a leitura de cookies após a retirada do consentimento no prazo de três meses, sob pena de €100.000 por dia de descumprimento.
A Orange foi multada em €50 milhões por inserir anúncios em 7,8 milhões de caixas de entrada e ignorar o consentimento de cookies, com uma penalidade de €100.000 por dia em caso de descumprimento.
A Orange tratou o espaço privado da caixa de entrada de seus usuários de e-mail como um inventário publicitário a ser vendido — a relação de CRM tornou-se o canal de anúncios
Os anúncios foram projetados para se assemelhar a e-mails genuínos, explorando a confiança que os usuários depositam em sua caixa de entrada em vez de conquistar atenção por meio de um formato claramente identificado
Não existia mecanismo de consentimento para os anúncios na caixa de entrada: os usuários não foram consultados, e o formato tornava a recusa estruturalmente impossível
A violação de cookies mostrou o mesmo padrão no nível do site: a retirada do consentimento era registrada, mas não aplicada, de modo que o rastreamento continuava silenciosamente
A lição
A caixa de entrada de um cliente não é inventário publicitário. Controlar tanto o canal quanto os anúncios cria a tentação de monetizar diretamente — o consentimento existe porque o canal é privado.
A Orange já havia interrompido o formato de anúncios na caixa de entrada em novembro de 2023, antes da decisão da CNIL. Sua exibição publicitária mais recente distingue anúncios de e-mails genuínos. O caso é citado em discussões europeias sobre proteção de dados como a maior multa francesa por violações de marketing direto, e como um alerta para qualquer plataforma que controle tanto um canal de comunicação quanto um negócio de publicidade.
CONFIRA AS EVIDÊNCIAS