Injonction CNIL Orange : la conformité récompensée
En septembre 2025, la CNIL a annoncé la clôture de l'injonction prononcée contre la société Orange, dix mois après lui avoir infligé une amende record de 50 millions d'euros. L'affaire illustre une articulation précise entre sanction, mise en conformité et contentieux persistant, puisque l'opérateur conteste par ailleurs cette amende devant le Conseil d'État. Ce guide retrace la chronologie complète du dossier et ce qu'elle enseigne sur l'exigence d'accountability imposée par le RGPD.
Une sanction record fondée sur deux manquements distincts
Le 14 novembre 2024, la formation restreinte de la CNIL a infligé à Orange une amende de 50 millions d'euros, fondée sur deux manquements distincts constatés à la suite de plusieurs contrôles.
Le premier concernait l'insertion d'annonces publicitaires directement entre les courriels des utilisateurs du service Orange Mail, sous une apparence de messages authentiques, sans recueil préalable de leur consentement. La CNIL a qualifié cette pratique de prospection commerciale directe, soumise à l'article L.34-5 du Code des postes et des communications électroniques, lequel exige un consentement préalable pour toute prospection par voie électronique. Plus de 7,8 millions de personnes avaient vu s'afficher ces publicités dans leur boîte de réception.
Le second manquement portait sur la gestion des cookies du site orange.fr. Les contrôles ont révélé que lorsqu'un utilisateur retirait son consentement au dépôt et à la lecture de traceurs, ceux déjà installés continuaient néanmoins d'être lus, en violation de l'article 82 de la loi Informatique et Libertés. Cette décision, rendue publique par la CNIL, s'accompagnait d'une injonction de cesser ces pratiques sous trois mois, assortie d'une astreinte de 100 000 euros par jour de retard en cas de non exécution.
Une mise en conformité technique documentée
Plutôt que d'attendre l'expiration du délai, Orange a engagé une mise en conformité technique documentee. L'entreprise a revu son système de gestion du consentement, retravaillé les scripts de suivi publicitaire, et mis en place un dispositif supprimant automatiquement les cookies liés à son propre domaine dès le retrait du consentement par l'utilisateur.
Sur le volet des cookies tiers, déposés par des partenaires publicitaires, Orange a démontré qu'elle bloquait systématiquement toute nouvelle opération de lecture ou d'écriture après retrait du consentement, tout en précisant qu'elle ne disposait pas des moyens techniques pour supprimer physiquement les cookies déjà stockés dans le navigateur de l'utilisateur par ces partenaires. L'entreprise a produit des journaux techniques et des éléments de preuve documentant cette neutralisation.
Ce cas fait écho à la logique développée dans notre article sur les cookies et le consentement au regard du RGPD, où nous soulignions déjà la difficulté technique de faire respecter un retrait de consentement sur des traceurs déposés par des tiers.
Une clôture partielle : l'injonction levée, l'amende toujours contestée
Par délibération du 11 septembre 2025, la formation restreinte de la CNIL a officiellement clôturé l'injonction portée sur la gestion des cookies, considérant que les obligations imposées avaient été respectées. Cette décision signifie l'absence de liquidation de l'astreinte, et reconnaît expressément que la responsabilité des cookies non supprimés peut, dans certains cas, incomber aux partenaires publicitaires plutôt qu'à l'opérateur lui même.
Il convient toutefois de nuancer le récit d'une entreprise ayant simplement accepté sa sanction. Dès décembre 2024, Orange avait contesté la décision initiale, la jugeant disproportionnée au regard de pratiques qu'elle estimait courantes sur le marché. Ce recours contre l'amende de 50 millions d'euros demeure pendant devant le Conseil d'État. La clôture de l'injonction ne concerne donc que le volet correctif de la décision, la validité même de l'amende restant, à ce jour, en discussion contentieuse.
| Date | Événement |
|---|---|
| 14 novembre 2024 | Sanction initiale de la CNIL : amende de 50 millions d'euros et injonction sous 3 mois |
| Décembre 2024 | Orange conteste la sanction, la jugeant disproportionnée |
| 11 septembre 2025 | La CNIL clôture l'injonction relative aux cookies, sans liquider l'astreinte |
| 2026 | Le recours d'Orange contre l'amende de 50 millions d'euros reste pendant devant le Conseil d'État |
Cette affaire illustre néanmoins le principe de responsabilité proactive (accountability) qui structure le RGPD : un responsable de traitement doit pouvoir démontrer, par des éléments techniques et documentaires, la conformité réelle de ses pratiques, la simple affirmation de bonne foi ne suffisant pas face au régulateur. Pour un précédent comparable en matière de contrôle CNIL, voir également notre analyse de la sanction CNIL contre la société Samaritaine, pour l'installation de caméras cachées dans ses réserves.
FAQ, injonction CNIL Orange
Pourquoi la CNIL a t elle sanctionné Orange ?
Pour avoir diffusé des publicités dans les boîtes mail de ses utilisateurs sans consentement préalable, et pour avoir continué à lire des cookies après le retrait du consentement des utilisateurs du site orange.fr.
Qu'est ce qu'une injonction de la CNIL ?
C'est un ordre formel adressé à une entreprise pour corriger une pratique jugée illicite, dans un délai fixé, sous peine d'une astreinte financière en cas de non exécution.
Que signifie la clôture de l'injonction contre Orange ?
Elle atteste que l'entreprise a respecté les obligations techniques imposées sur la gestion des cookies dans le délai fixé, évitant ainsi la liquidation de l'astreinte de 100 000 euros par jour. Elle ne concerne pas l'amende de 50 millions d'euros elle même.
L'amende de 50 millions d'euros a t elle été annulée ?
Non. Orange conteste cette amende depuis décembre 2024 devant le Conseil d'État, et ce recours demeure pendant. Seule l'injonction relative aux cookies a été clôturée, pas la sanction financière elle même.
Orange a t elle supprimé tous les cookies tiers ?
Non. L'entreprise a bloqué toute nouvelle lecture ou écriture de ces cookies après retrait du consentement, mais ne pouvait pas supprimer techniquement ceux déjà stockés par des partenaires dans le navigateur des utilisateurs.
Quelles leçons pour les entreprises confrontées à une injonction similaire ?
La conformité repose sur la preuve technique et documentaire, non sur une simple déclaration de bonne foi. Contester une sanction devant le juge administratif et mettre en œuvre les correctifs demandés ne sont pas des démarches contradictoires, comme le montre le cas d'Orange.
Le présent article revêt une portée strictement informationnelle et journalistique. CTRLZed n'est pas un cabinet d'avocats et ne dispense aucun conseil juridique personnalisé. Pour toute situation spécifique, consultez un professionnel du droit.
Faire entendre votre expertise au bon endroit
Création de contenu éditorial qui porte votre voix.
