Conseil d'État
N° 501268
ECLI:FR:CECHR:2026:501268.20261016
Inédit au recueil Lebon
10ème et 9ème chambres réunies
M. Pierre Collin, président
Mme Alexandra Poirson, rapporteure
Mme Charline Nicolas, rapporteure publique
SCP CELICE, TEXIDOR, PERIER, avocats
Lecture du vendredi 16 octobre 2026
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire, un mémoire en réplique et un nouveau mémoire, enregistrés les 5 février et 5 mai 2025 et les 22 janvier et 28 août 2026 au secrétariat du contentieux du Conseil d'Etat, la société anonyme (SA) Orange demande au Conseil d'Etat :
1°) d’annuler la délibération n° SAN-2024-019 du 14 novembre 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 50 millions d’euros, assortie d’une injonction de mise en œuvre de mesures permettant d’assurer le caractère effectif du retrait du consentement des utilisateurs aux opérations de lecture d’informations sur leur terminal, sous astreinte de 100 000 euros par jour, et décidé de la publication de la délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans ;
2°) à titre subsidiaire, de réformer cette délibération en réduisant le montant de l’amende qui lui a été infligée ;
3°) de mettre à la charge de la CNIL la somme de 10 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Elle soutient que la formation restreinte de la CNIL :
- était matériellement incompétente pour prendre la délibération litigieuse s’agissant du manquement aux dispositions de l’article L 34-5 du code des postes et des communications électroniques ;
- a méconnu le principe de légalité des délits et des peines et l’article 13 de la directive n° 2002/58/CE et insuffisamment motivé sa décision en ce qu’elle lui a imputé un manquement sur le fondement des dispositions de l’article L. 34-5 du code des postes et des communications électroniques ;
- a entaché sa délibération d’erreur d’appréciation en ce qu’elle lui a imputé un manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978, alors que la lecture de cookies réalisée malgré le retrait du consentement des personnes concernées ne conduisait pas à l’exploitation ultérieure des données ;
- a entaché sa délibération d’erreur d’appréciation en ce qu’elle lui a infligé une sanction disproportionnée ;
- a commis une erreur de droit en ce qu’elle a prononcé une sanction globale sans en ventiler le montant au titre de chacun des manquements retenus ;
- a entaché sa délibération d’erreur de droit et d’insuffisance de motivation en ce qu’elle n’a pas défini le point de départ du manquement à une date postérieure à l’arrêt de la Cour de justice de l’Union européenne du 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz (C-102/20) ;
- a entaché sa délibération d’erreur de droit en ce qu’elle a considéré qu’une mise en conformité intervenue à la suite d’un contrôle administratif avait une moindre portée au titre des circonstances atténuantes et d’erreur de fait en ce qu’elle a retenu que cette mise en conformité était intervenue après discussion avec les membres de la CNIL ;
- a insuffisamment motivé sa délibération en ce qu’elle n’a pas justifié son choix d’engager une procédure de sanction sans avoir recours à un avertissement ou une mise en demeure ;
- a entaché sa délibération d’erreur de droit et d’erreur d’appréciation en refusant de tenir compte, pour l’appréciation du manquement relatif à l’accès aux informations stockées dans le terminal de l’utilisateur en dépit du retrait de son consentement, de ce que ces informations n’étaient pas exploitées et de la faible proportion de visiteurs du site internet concernés par ce manquement ;
- a entaché sa délibération de méconnaissance du principe non bis in idem en ce que l’article L. 34-5 du code des postes et des communications électroniques méconnaît l’article 50 de la charte des droits fondamentaux de l’Union européenne ;
- a entaché sa délibération de méconnaissance du principe de légalité des délits et des peines en ce que l’article L. 34-5 du code des postes et des communications électroniques méconnaît l’article 49 de cette charte et l’article 7 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
Par quatre mémoires en défense, enregistrés les 2 septembre 2025, 20 février, 2 juillet et 11 septembre 2026, la Commission nationale de l’informatique et des libertés conclut au rejet de la requête. Elle soutient que les moyens soulevés par la requérante ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
- le traité sur l’Union européenne ;
- la charte des droits fondamentaux de l’Union européenne ;
- la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des postes et des communications électroniques ;
- la loi n° 78-17 du 6 janvier 1978 ;
- la décision du Conseil constitutionnel n° 2026-1210 QPC du 25 juin 2026 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Alexandra Poirson, auditrice ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à la SCP Celice, Texidor, Perier, avocat de la société Orange ;
Considérant ce qui suit :
1. La société Orange demande l’annulation de la délibération du 14 novembre 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 50 millions d’euros pour manquement, d’une part, à l’article L. 34-5 du code des postes et des communications électroniques en raison de l’affichage de publicités prenant l’apparence de courriers électroniques dans les boîtes de réception des utilisateurs du service de messagerie « Mail Orange » et, d’autre part, à l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés en raison de la possibilité de lecture de cookies sur le terminal des visiteurs du site orange.fr après le retrait du consentement des utilisateurs, assortie d’une injonction de mise en conformité sur ce second volet sous astreinte de 100 000 euros par jour dans un délai de trois mois à compter de la notification de la délibération et décidé de la publication de cette sanction.
Sur le manquement tiré de la méconnaissance des dispositions de l’article L. 34-5 du code des postes et des communications électroniques :
2. En vertu des dispositions du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), est notamment chargée d’informer toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations et de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France.
3. Aux termes du sixième alinéa de l’article L. 34-5 du code des postes et des communications électroniques : « La Commission nationale de l'informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d'une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée. À cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives aux infractions aux dispositions du présent article. »
4. En premier lieu, il résulte de ces dispositions que la CNIL est compétente pour mettre en œuvre l’ensemble de ses prérogatives lorsqu’un responsable de traitement ou son sous-traitant met en œuvre de la prospection directe utilisant les coordonnées d’une personne physique en méconnaissance des dispositions de cet article.
5. En deuxième lieu, par sa décision n° 2026-1210 QPC du 25 juin 2026, le Conseil constitutionnel, saisi par le Conseil d’État de la question prioritaire de constitutionnalité soulevée par la société Orange dans le présent litige, a jugé que les sixième, huitième et avant-dernier alinéas de l’article L. 34-5 du code des postes et des communications électroniques, en tant que ces dispositions permettent la répression de mêmes faits, qualifiés de manière identique, par des sanctions de même nature, aux fins de protéger les mêmes intérêts sociaux, méconnaissaient le principe de nécessité des peines. Il a toutefois reporté au 31 octobre 2027 la date d’abrogation de ces dispositions et a jugé, d’une part, que les mesures prises avant la publication de sa décision ne pouvaient être contestées sur le fondement de cette inconstitutionnalité et, d’autre part, que des poursuites ne pourront être engagées par l’une des autorités mentionnées par ces dispositions dès lors que des premières poursuites l’auront été, ou une sanction aura été définitivement prononcée, sur ce fondement, par une autre autorité, à l’encontre de la même personne et pour les mêmes faits. Par suite, le moyen tiré de l’illégalité de la délibération attaquée au motif que les dispositions de l’article L. 34-5 du code des postes et des communications électroniques sont contraires à la Constitution ne peut qu’être écarté.
6. En troisième lieu, l’article 50 de la charte des droits fondamentaux de l’Union européenne prévoit que : « nul ne peut être poursuivi ou puni pénalement en raison d’une infraction pour laquelle il a déjà été acquitté ou condamné dans l’Union par un jugement pénal définitif conformément à la loi. » Il ne résulte pas de l’instruction, et n’est pas soutenu, que la société Orange aurait, à la date de la présente décision, fait l’objet, sur le fondement de l’article L. 34-5 du code des postes et des communications électroniques, d’une sanction prononcée par une autre autorité que la CNIL. Par suite, la société requérante n’est pas fondée à soutenir, au seul motif que l’article L. 34-5 du code des postes et des communications électroniques prévoirait plusieurs voies de poursuite par des autorités différentes, que la délibération attaquée serait intervenue en méconnaissance des dispositions de l’article 50 de la charte des droits fondamentaux de l’Union européenne. Par ailleurs, la circonstance qu’un même manquement soit susceptible d’être concurremment sanctionné par plusieurs autorités ne méconnaît, par elle-même, pas davantage le principe de légalité des délits et des peines, garanti par les articles 49 de la charte des droits fondamentaux de l’Union européenne et 7 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
7. En quatrième lieu, aux termes du premier paragraphe de l’article 13 de la directive du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) : « L'utilisation de systèmes automatisés d'appel sans intervention humaine (automates d'appel), de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable. » Ces dispositions ont été transposées en droit interne par l’article L. 34-5 du code des postes et des communications électroniques, qui dispose, dans son premier alinéa, que : « Est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen. »
8. Par son arrêt du 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz (C-102/20), la Cour de justice de l’Union européenne a précisé que l’affichage, dans la boîte de réception de l’utilisateur d’un service de messagerie électronique, de messages publicitaires sous une forme ressemblant à celle d’un véritable courrier électronique s’apparente à l’utilisation de courrier électronique à des fins de prospection directe au sens de ces dispositions, qui ne peut être autorisée qu’à la condition que l’utilisateur en ait été informé et ait manifesté, de manière spécifique, son consentement à recevoir de tels messages publicitaires.
9. Il résulte de l’instruction que les utilisateurs du service « Mail Orange » voyaient s’afficher, dans la boîte de réception de leur compte de messagerie électronique, des messages publicitaires dont l’apparence se rapprochait de véritables courriers électroniques, sans que leur consentement ait été valablement recueilli. Il résulte de ce qui a été dit au point 8 que c’est sans erreur de droit que la CNIL a estimé qu’une telle pratique méconnaissait l’article L. 34-5 du code des postes et des communications électroniques. Dans la mesure où la société Orange utilisait nécessairement l’adresse électronique de la personne concernée pour procéder à ces publicités, la société requérante n’est pas fondée à soutenir que la CNIL aurait, en l’espèce, fait une inexacte application de ces dispositions s’agissant de la condition tenant à l’utilisation des coordonnées d’une personne physique.
10. Par ailleurs, si le principe de légalité des délits et des peines fait obstacle à ce qu’une sanction soit infligée dans l’hypothèse où, à la date des faits litigieux, la règle en cause n’est pas suffisamment claire, de sorte qu’il n’apparaît pas de façon raisonnablement prévisible par les professionnels concernés que le comportement litigieux est susceptible d’être sanctionné, il résulte de l’instruction que les manquements aux dispositions citées au point 7 ont été constatés par la CNIL plus de vingt mois après l’arrêt de la Cour de justice de l’Union européenne cité au point 8, lequel ne laissait plus persister aucun doute sur l’illégalité de telles pratiques. Il suit de là que la société n’est pas fondée à soutenir que la formation restreinte de la CNIL aurait méconnu l’exigence de prévisibilité de la règle en cause. En outre, le moyen tiré de ce que la délibération attaquée serait fondée sur des manquements antérieurs à cet arrêt manque en fait.
Sur le manquement tiré de la méconnaissance des dispositions de l’article 82 de la loi du 6 janvier 1978 :
11. Aux termes de l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui a procédé à la transposition du paragraphe 3 de l’article 5 de la directive 2002/58/CE : « Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; / 2° Des moyens dont il dispose pour s'y opposer. / Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. / Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : / 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; / 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. »
12. Il résulte de l’instruction que des cookies étaient inscrits sur les terminaux des visiteurs du site internet orange.fr, exploité par la société requérante, sans que le retrait du consentement fasse obstacle à ce que ces cookies soient ultérieurement lus par la société Orange ou par ses partenaires. Dès lors que la lecture de ces informations stockées dans les terminaux des utilisateurs n’est pas contestée, la circonstance qu’elles n’auraient fait l’objet d’aucun traitement ultérieur est sans incidence sur la caractérisation du manquement à l’article 82 de la loi du 6 janvier 1978.
Sur la sanction :
13. Aux termes du paragraphe 2 de l’article 83 du RGPD : « Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants : / a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ; (…) / c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées; (…) / f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ». Aux termes de l’article 20 de la loi du 6 janvier 1978 : « I. - Le président de la Commission nationale de l'informatique et des libertés peut avertir un responsable de traitement ou son sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi. / (…) III. - Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi (…), le président de la Commission nationale de l'informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l'objet d'une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu'il fixe. (…) / IV.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou après avoir prononcé à son encontre une ou plusieurs des mesures correctrices prévues au III, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : (…) 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ; (…) 7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 (…) ».
14. En premier lieu, la possibilité pour la présidente de la CNIL de procéder, avant de saisir la formation restreinte, en application des dispositions qui précèdent, à un avertissement ou à une mise en demeure relève de ses prérogatives et elle n’est, en tout état de cause, pas tenue de se justifier à cet égard. Il en résulte que la société ne peut utilement se prévaloir, à l’encontre de décision de la formation restreinte de la CNIL qu’elle conteste, de l’absence de mise en œuvre de telles mesures préalablement à sa saisine.
15. En deuxième lieu, en l’absence de dispositions spécifiques, il ne résulte d’aucun principe que la formation restreinte de la CNIL devrait procéder à une décomposition du montant global de la sanction qu’elle prononce lorsque celle-ci vise à réprimer plusieurs manquements fondés sur des bases légales distinctes.
16. En troisième lieu, il résulte de l’instruction que, pour déterminer le montant de la sanction infligée à la société requérante, la formation restreinte de la CNI a pu, sans erreur de droit et sans se fonder sur des faits matériellement inexacts, tenir compte, s’agissant du premier manquement, du caractère non spontané de la mise en conformité avec les dispositions de l’article L. 34-5 du code des postes et des communications électroniques et, s’agissant du second manquement, du grand nombre de personnes concernées. En fixant ce montant à 50 millions d’euros, qui correspond à 0,11 % du chiffre d’affaires annuel mondial total de l’exercice précédent de la société requérante, la formation restreinte de la CNIL n’a pas, compte tenu de la gravité des manquements constatés et de l’ensemble des circonstances de l’espèce, prononcé une sanction disproportionnée.
17. Il résulte de tout ce qui précède que la société requérante n’est pas fondée à demander l’annulation de la délibération de la formation restreinte de la CNIL qu’elle attaque. Les conclusions qu’elles présente au titre de l’article L. 761-1 du code de justice administrative ne peuvent, en conséquence, qu’être rejetées.
D E C I D E :
--------------
Article 1er : La requête de la société Orange est rejetée.
Article 2 : La présente décision sera notifiée à la société anonyme Orange et à la Commission nationale de l’informatique et des libertés.
Délibéré à l'issue de la séance du 18 septembre 2026 où siégeaient : M. Pierre Collin, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, Mme Rozen Noguellou, M. Nicolas Polge, M. Didier Ribes, conseillers d'Etat, M. Stéphane Eustache, maître des requêtes et Mme Alexandra Poirson, auditrice -rapporteure.
Rendu le 16 octobre 2026.
Le président :
Signé : M. Pierre Collin
La rapporteure :
Signé : Mme Alexandra Poirson
La secrétaire :
Signé : Mme Magali Méaulle
mande et ordonne au Premier ministre en ce qui le concerne ou à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour le secrétaire du contentieux, par délégation :
N° 501268
ECLI:FR:CECHR:2026:501268.20261016
Inédit au recueil Lebon
10ème et 9ème chambres réunies
M. Pierre Collin, président
Mme Alexandra Poirson, rapporteure
Mme Charline Nicolas, rapporteure publique
SCP CELICE, TEXIDOR, PERIER, avocats
Lecture du vendredi 16 octobre 2026
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
AU NOM DU PEUPLE FRANCAIS
Vu la procédure suivante :
Par une requête sommaire, un mémoire complémentaire, un mémoire en réplique et un nouveau mémoire, enregistrés les 5 février et 5 mai 2025 et les 22 janvier et 28 août 2026 au secrétariat du contentieux du Conseil d'Etat, la société anonyme (SA) Orange demande au Conseil d'Etat :
1°) d’annuler la délibération n° SAN-2024-019 du 14 novembre 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 50 millions d’euros, assortie d’une injonction de mise en œuvre de mesures permettant d’assurer le caractère effectif du retrait du consentement des utilisateurs aux opérations de lecture d’informations sur leur terminal, sous astreinte de 100 000 euros par jour, et décidé de la publication de la délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans ;
2°) à titre subsidiaire, de réformer cette délibération en réduisant le montant de l’amende qui lui a été infligée ;
3°) de mettre à la charge de la CNIL la somme de 10 000 euros au titre de l’article L. 761-1 du code de justice administrative.
Elle soutient que la formation restreinte de la CNIL :
- était matériellement incompétente pour prendre la délibération litigieuse s’agissant du manquement aux dispositions de l’article L 34-5 du code des postes et des communications électroniques ;
- a méconnu le principe de légalité des délits et des peines et l’article 13 de la directive n° 2002/58/CE et insuffisamment motivé sa décision en ce qu’elle lui a imputé un manquement sur le fondement des dispositions de l’article L. 34-5 du code des postes et des communications électroniques ;
- a entaché sa délibération d’erreur d’appréciation en ce qu’elle lui a imputé un manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978, alors que la lecture de cookies réalisée malgré le retrait du consentement des personnes concernées ne conduisait pas à l’exploitation ultérieure des données ;
- a entaché sa délibération d’erreur d’appréciation en ce qu’elle lui a infligé une sanction disproportionnée ;
- a commis une erreur de droit en ce qu’elle a prononcé une sanction globale sans en ventiler le montant au titre de chacun des manquements retenus ;
- a entaché sa délibération d’erreur de droit et d’insuffisance de motivation en ce qu’elle n’a pas défini le point de départ du manquement à une date postérieure à l’arrêt de la Cour de justice de l’Union européenne du 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz (C-102/20) ;
- a entaché sa délibération d’erreur de droit en ce qu’elle a considéré qu’une mise en conformité intervenue à la suite d’un contrôle administratif avait une moindre portée au titre des circonstances atténuantes et d’erreur de fait en ce qu’elle a retenu que cette mise en conformité était intervenue après discussion avec les membres de la CNIL ;
- a insuffisamment motivé sa délibération en ce qu’elle n’a pas justifié son choix d’engager une procédure de sanction sans avoir recours à un avertissement ou une mise en demeure ;
- a entaché sa délibération d’erreur de droit et d’erreur d’appréciation en refusant de tenir compte, pour l’appréciation du manquement relatif à l’accès aux informations stockées dans le terminal de l’utilisateur en dépit du retrait de son consentement, de ce que ces informations n’étaient pas exploitées et de la faible proportion de visiteurs du site internet concernés par ce manquement ;
- a entaché sa délibération de méconnaissance du principe non bis in idem en ce que l’article L. 34-5 du code des postes et des communications électroniques méconnaît l’article 50 de la charte des droits fondamentaux de l’Union européenne ;
- a entaché sa délibération de méconnaissance du principe de légalité des délits et des peines en ce que l’article L. 34-5 du code des postes et des communications électroniques méconnaît l’article 49 de cette charte et l’article 7 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
Par quatre mémoires en défense, enregistrés les 2 septembre 2025, 20 février, 2 juillet et 11 septembre 2026, la Commission nationale de l’informatique et des libertés conclut au rejet de la requête. Elle soutient que les moyens soulevés par la requérante ne sont pas fondés.
Vu les autres pièces du dossier ;
Vu :
- la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales ;
- le traité sur l’Union européenne ;
- la charte des droits fondamentaux de l’Union européenne ;
- la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 ;
- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;
- le code des postes et des communications électroniques ;
- la loi n° 78-17 du 6 janvier 1978 ;
- la décision du Conseil constitutionnel n° 2026-1210 QPC du 25 juin 2026 ;
- le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Alexandra Poirson, auditrice ;
- les conclusions de Mme Charline Nicolas, rapporteure publique ;
La parole ayant été donnée, après les conclusions, à la SCP Celice, Texidor, Perier, avocat de la société Orange ;
Considérant ce qui suit :
1. La société Orange demande l’annulation de la délibération du 14 novembre 2024 par laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL) a prononcé à son encontre une amende administrative d’un montant de 50 millions d’euros pour manquement, d’une part, à l’article L. 34-5 du code des postes et des communications électroniques en raison de l’affichage de publicités prenant l’apparence de courriers électroniques dans les boîtes de réception des utilisateurs du service de messagerie « Mail Orange » et, d’autre part, à l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés en raison de la possibilité de lecture de cookies sur le terminal des visiteurs du site orange.fr après le retrait du consentement des utilisateurs, assortie d’une injonction de mise en conformité sur ce second volet sous astreinte de 100 000 euros par jour dans un délai de trois mois à compter de la notification de la délibération et décidé de la publication de cette sanction.
Sur le manquement tiré de la méconnaissance des dispositions de l’article L. 34-5 du code des postes et des communications électroniques :
2. En vertu des dispositions du I de l’article 8 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL, autorité de contrôle nationale au sens et pour l’application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la directive 95/46/CE du 24 octobre 1995, dit règlement général sur la protection des données (RGPD), est notamment chargée d’informer toutes les personnes concernées et tous les responsables de traitements de leurs droits et obligations et de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de la loi du 6 janvier 1978 et aux autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France.
3. Aux termes du sixième alinéa de l’article L. 34-5 du code des postes et des communications électroniques : « La Commission nationale de l'informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d'une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n° 78-17 du 6 janvier 1978 précitée. À cette fin, elle peut notamment recevoir, par tous moyens, les plaintes relatives aux infractions aux dispositions du présent article. »
4. En premier lieu, il résulte de ces dispositions que la CNIL est compétente pour mettre en œuvre l’ensemble de ses prérogatives lorsqu’un responsable de traitement ou son sous-traitant met en œuvre de la prospection directe utilisant les coordonnées d’une personne physique en méconnaissance des dispositions de cet article.
5. En deuxième lieu, par sa décision n° 2026-1210 QPC du 25 juin 2026, le Conseil constitutionnel, saisi par le Conseil d’État de la question prioritaire de constitutionnalité soulevée par la société Orange dans le présent litige, a jugé que les sixième, huitième et avant-dernier alinéas de l’article L. 34-5 du code des postes et des communications électroniques, en tant que ces dispositions permettent la répression de mêmes faits, qualifiés de manière identique, par des sanctions de même nature, aux fins de protéger les mêmes intérêts sociaux, méconnaissaient le principe de nécessité des peines. Il a toutefois reporté au 31 octobre 2027 la date d’abrogation de ces dispositions et a jugé, d’une part, que les mesures prises avant la publication de sa décision ne pouvaient être contestées sur le fondement de cette inconstitutionnalité et, d’autre part, que des poursuites ne pourront être engagées par l’une des autorités mentionnées par ces dispositions dès lors que des premières poursuites l’auront été, ou une sanction aura été définitivement prononcée, sur ce fondement, par une autre autorité, à l’encontre de la même personne et pour les mêmes faits. Par suite, le moyen tiré de l’illégalité de la délibération attaquée au motif que les dispositions de l’article L. 34-5 du code des postes et des communications électroniques sont contraires à la Constitution ne peut qu’être écarté.
6. En troisième lieu, l’article 50 de la charte des droits fondamentaux de l’Union européenne prévoit que : « nul ne peut être poursuivi ou puni pénalement en raison d’une infraction pour laquelle il a déjà été acquitté ou condamné dans l’Union par un jugement pénal définitif conformément à la loi. » Il ne résulte pas de l’instruction, et n’est pas soutenu, que la société Orange aurait, à la date de la présente décision, fait l’objet, sur le fondement de l’article L. 34-5 du code des postes et des communications électroniques, d’une sanction prononcée par une autre autorité que la CNIL. Par suite, la société requérante n’est pas fondée à soutenir, au seul motif que l’article L. 34-5 du code des postes et des communications électroniques prévoirait plusieurs voies de poursuite par des autorités différentes, que la délibération attaquée serait intervenue en méconnaissance des dispositions de l’article 50 de la charte des droits fondamentaux de l’Union européenne. Par ailleurs, la circonstance qu’un même manquement soit susceptible d’être concurremment sanctionné par plusieurs autorités ne méconnaît, par elle-même, pas davantage le principe de légalité des délits et des peines, garanti par les articles 49 de la charte des droits fondamentaux de l’Union européenne et 7 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales.
7. En quatrième lieu, aux termes du premier paragraphe de l’article 13 de la directive du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) : « L'utilisation de systèmes automatisés d'appel sans intervention humaine (automates d'appel), de télécopieurs ou de courrier électronique à des fins de prospection directe ne peut être autorisée que si elle vise des abonnés ayant donné leur consentement préalable. » Ces dispositions ont été transposées en droit interne par l’article L. 34-5 du code des postes et des communications électroniques, qui dispose, dans son premier alinéa, que : « Est interdite la prospection directe au moyen d'un automate d'appel, d'un télécopieur ou d'un courrier électronique utilisant, sous quelque forme que ce soit, les coordonnées d'une personne physique qui n'a pas exprimé son consentement préalable à recevoir des prospections directes par ce moyen. »
8. Par son arrêt du 25 novembre 2021, StWL Städtische Werke Lauf a.d. Pegnitz (C-102/20), la Cour de justice de l’Union européenne a précisé que l’affichage, dans la boîte de réception de l’utilisateur d’un service de messagerie électronique, de messages publicitaires sous une forme ressemblant à celle d’un véritable courrier électronique s’apparente à l’utilisation de courrier électronique à des fins de prospection directe au sens de ces dispositions, qui ne peut être autorisée qu’à la condition que l’utilisateur en ait été informé et ait manifesté, de manière spécifique, son consentement à recevoir de tels messages publicitaires.
9. Il résulte de l’instruction que les utilisateurs du service « Mail Orange » voyaient s’afficher, dans la boîte de réception de leur compte de messagerie électronique, des messages publicitaires dont l’apparence se rapprochait de véritables courriers électroniques, sans que leur consentement ait été valablement recueilli. Il résulte de ce qui a été dit au point 8 que c’est sans erreur de droit que la CNIL a estimé qu’une telle pratique méconnaissait l’article L. 34-5 du code des postes et des communications électroniques. Dans la mesure où la société Orange utilisait nécessairement l’adresse électronique de la personne concernée pour procéder à ces publicités, la société requérante n’est pas fondée à soutenir que la CNIL aurait, en l’espèce, fait une inexacte application de ces dispositions s’agissant de la condition tenant à l’utilisation des coordonnées d’une personne physique.
10. Par ailleurs, si le principe de légalité des délits et des peines fait obstacle à ce qu’une sanction soit infligée dans l’hypothèse où, à la date des faits litigieux, la règle en cause n’est pas suffisamment claire, de sorte qu’il n’apparaît pas de façon raisonnablement prévisible par les professionnels concernés que le comportement litigieux est susceptible d’être sanctionné, il résulte de l’instruction que les manquements aux dispositions citées au point 7 ont été constatés par la CNIL plus de vingt mois après l’arrêt de la Cour de justice de l’Union européenne cité au point 8, lequel ne laissait plus persister aucun doute sur l’illégalité de telles pratiques. Il suit de là que la société n’est pas fondée à soutenir que la formation restreinte de la CNIL aurait méconnu l’exigence de prévisibilité de la règle en cause. En outre, le moyen tiré de ce que la délibération attaquée serait fondée sur des manquements antérieurs à cet arrêt manque en fait.
Sur le manquement tiré de la méconnaissance des dispositions de l’article 82 de la loi du 6 janvier 1978 :
11. Aux termes de l’article 82 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui a procédé à la transposition du paragraphe 3 de l’article 5 de la directive 2002/58/CE : « Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; / 2° Des moyens dont il dispose pour s'y opposer. / Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. / Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : / 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; / 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. »
12. Il résulte de l’instruction que des cookies étaient inscrits sur les terminaux des visiteurs du site internet orange.fr, exploité par la société requérante, sans que le retrait du consentement fasse obstacle à ce que ces cookies soient ultérieurement lus par la société Orange ou par ses partenaires. Dès lors que la lecture de ces informations stockées dans les terminaux des utilisateurs n’est pas contestée, la circonstance qu’elles n’auraient fait l’objet d’aucun traitement ultérieur est sans incidence sur la caractérisation du manquement à l’article 82 de la loi du 6 janvier 1978.
Sur la sanction :
13. Aux termes du paragraphe 2 de l’article 83 du RGPD : « Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d'espèce, des éléments suivants : / a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu'elles ont subi ; (…) / c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées; (…) / f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation et d'en atténuer les éventuels effets négatifs ». Aux termes de l’article 20 de la loi du 6 janvier 1978 : « I. - Le président de la Commission nationale de l'informatique et des libertés peut avertir un responsable de traitement ou son sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi. / (…) III. - Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi (…), le président de la Commission nationale de l'informatique et des libertés peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l'objet d'une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu'il fixe. (…) / IV.- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou après avoir prononcé à son encontre une ou plusieurs des mesures correctrices prévues au III, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : (…) 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ; (…) 7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 (…) ».
14. En premier lieu, la possibilité pour la présidente de la CNIL de procéder, avant de saisir la formation restreinte, en application des dispositions qui précèdent, à un avertissement ou à une mise en demeure relève de ses prérogatives et elle n’est, en tout état de cause, pas tenue de se justifier à cet égard. Il en résulte que la société ne peut utilement se prévaloir, à l’encontre de décision de la formation restreinte de la CNIL qu’elle conteste, de l’absence de mise en œuvre de telles mesures préalablement à sa saisine.
15. En deuxième lieu, en l’absence de dispositions spécifiques, il ne résulte d’aucun principe que la formation restreinte de la CNIL devrait procéder à une décomposition du montant global de la sanction qu’elle prononce lorsque celle-ci vise à réprimer plusieurs manquements fondés sur des bases légales distinctes.
16. En troisième lieu, il résulte de l’instruction que, pour déterminer le montant de la sanction infligée à la société requérante, la formation restreinte de la CNI a pu, sans erreur de droit et sans se fonder sur des faits matériellement inexacts, tenir compte, s’agissant du premier manquement, du caractère non spontané de la mise en conformité avec les dispositions de l’article L. 34-5 du code des postes et des communications électroniques et, s’agissant du second manquement, du grand nombre de personnes concernées. En fixant ce montant à 50 millions d’euros, qui correspond à 0,11 % du chiffre d’affaires annuel mondial total de l’exercice précédent de la société requérante, la formation restreinte de la CNIL n’a pas, compte tenu de la gravité des manquements constatés et de l’ensemble des circonstances de l’espèce, prononcé une sanction disproportionnée.
17. Il résulte de tout ce qui précède que la société requérante n’est pas fondée à demander l’annulation de la délibération de la formation restreinte de la CNIL qu’elle attaque. Les conclusions qu’elles présente au titre de l’article L. 761-1 du code de justice administrative ne peuvent, en conséquence, qu’être rejetées.
D E C I D E :
--------------
Article 1er : La requête de la société Orange est rejetée.
Article 2 : La présente décision sera notifiée à la société anonyme Orange et à la Commission nationale de l’informatique et des libertés.
Délibéré à l'issue de la séance du 18 septembre 2026 où siégeaient : M. Pierre Collin, président adjoint de la section du contentieux, présidant ; M. Bertrand Dacosta, Mme Anne Egerszegi, présidents de chambre ; M. Olivier Yeznikian, Mme Rozen Noguellou, M. Nicolas Polge, M. Didier Ribes, conseillers d'Etat, M. Stéphane Eustache, maître des requêtes et Mme Alexandra Poirson, auditrice -rapporteure.
Rendu le 16 octobre 2026.
Le président :
Signé : M. Pierre Collin
La rapporteure :
Signé : Mme Alexandra Poirson
La secrétaire :
Signé : Mme Magali Méaulle
mande et ordonne au Premier ministre en ce qui le concerne ou à tous huissiers de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées, de pourvoir à l’exécution de la présente décision.
Pour expédition conforme,
Pour le secrétaire du contentieux, par délégation :