Une sanction maintenue en intégralité Le 16 octobre 2026, le Conseil d'État a rejeté le recours d'Orange contre l'amende de 50 millions d'euros prononcée par la CNIL en novembre 2024. Rien n'a bougé. Ni le montant, ni les manquements, ni l'injonction. Deux griefs étaient en cause. D'abord des publicités affichées dans les boîtes de réception de Mail Orange, sous une forme proche de véritables courriels, sans consentement valable. Ensuite des cookies qui pouvaient encore être lus après que l'internaute avait retiré son consentement. Lire suffit C'est le point le plus utile de la décision. Orange faisait valoir que les données n'étaient plus exploitées après le retrait. Argument écarté. Le juge considère que la simple lecture du cookie caractérise le manquement, quel que soit l'usage fait ensuite de l'information. Ça change la façon de tester. Il ne suffit pas de prouver que les données collectées après un retrait ne nourrissent aucun traitement. Il faut prouver qu'elles ne sont pas collectées du tout. La méthode de la CNIL validée Orange contestait aussi la procédure et la proportionnalité. Le Conseil d'État estime que la CNIL pouvait prononcer une sanction globale pour les deux manquements, sans avertissement préalable, et que 50 millions d'euros restent proportionnés à la gravité des faits et au nombre de personnes concernées. L'argument tiré d'une décision du Conseil constitutionnel du 25 juin 2026 sur le cumul de sanctions n'a pas davantage prospéré. L'abrogation en cause est reportée au 31 octobre 2027. Elle ne permet donc pas de remettre en cause une sanction déjà prononcée. L'astreinte, elle, demeure : jusqu'à 100 000 euros par jour de retard pour rendre le retrait effectif. Tester le consentement sur toute sa durée de vie Les organisations testent presque toujours le premier choix de l'utilisateur. Rarement le changement d'avis. Or le scénario « j'accepte, puis je retire trois semaines plus tard » vient d'être validé par le juge comme fondement d'une sanction lourde. Pour un DPO, la priorité est claire. Vérifier que la plateforme de consentement transmet bien le retrait à tous les tags, que les scripts tiers cessent de lire les cookies déjà déposés, et documenter ce test pour pouvoir le montrer. Les recettes de conformité cookies qui s'arrêtent à la bannière ne protègent plus grand-chose.
