Une sanction de 50 millions validée Le 16 octobre 2026, le Conseil d'État a rejeté le recours d'Orange contre l'amende de 50 millions d'euros prononcée par la CNIL le 14 novembre 2024. Les deux manquements tiennent. La sanction est jugée proportionnée. Au-delà du cas, la décision clarifie trois points que beaucoup d'organisations interprétaient encore à leur avantage. Une publicité dans la boîte de réception reste un e-mail Premier manquement : des publicités affichées dans la messagerie, entre les vrais courriels, sous une forme qui leur ressemblait. Sans consentement préalable. Le juge s'appuie sur la jurisprudence européenne de novembre 2021 : ce format relève de la prospection directe par courrier électronique. Il faut donc un consentement spécifique. L'argument de la rétroactivité ne passe pas. Les faits ont été constatés plus de vingt mois après l'arrêt européen. Largement le temps de s'adapter. Lire un cookie suffit Second manquement : des traceurs qui continuaient d'être lus après le retrait du consentement. La défense soutenait, en substance, que ces données n'étaient pas exploitées. Peu importe, répond le juge. La lecture elle-même caractérise le manquement, même sans traitement ultérieur. C'est sans doute l'enseignement le plus opérationnel. La conformité des cookies ne se juge pas à l'usage qu'on fait des données, mais à ce que le site fait techniquement après un refus. Pas de mise en demeure obligatoire L'amende représente 0,11 % du chiffre d'affaires mondial. Le juge retient la gravité, le nombre de personnes concernées, le caractère non spontané de la mise en conformité. Il ajoute que la CNIL n'avait ni à ventiler le montant entre les manquements, ni à adresser une mise en demeure au préalable. Ce dernier point dérange. Beaucoup voyaient la mise en demeure comme une étape quasi obligée, un dernier avertissement avant la sanction. Ce n'est pas le cas. Conséquences pour les équipes Deux chantiers en découlent. Côté technique, tester systématiquement le comportement du site après un refus de consentement, à chaque mise en production, et pas seulement lors de l'installation de l'outil de gestion des cookies. Côté marketing, recenser tous les formats publicitaires qui s'insèrent dans un espace de messagerie, applications comprises. Et garder la preuve de ces vérifications : c'est elle qui fera la différence le jour où la CNIL frappera à la porte.
