11/12/2024

Que retenir de la sanction d’Orange ? La CNIL a prononcé le 14 novembre 2024 une amende record de 50 millions d’euros contre Orange SA. Il s’agit de la sanction la plus élevée prononcée contre une société française par la CNIL.

● Elle est prononcée sans contrôle sur place mais à la suite de constatations faites en ligne par les agents de la CNIL sur le webmail d’Orange. Les entreprises sont donc potentiellement, en permanence, sous le contrôle de la CNIL lorsqu’elles exploitent des services en ligne.

● Un courrier électronique n’est pas qu’un courrier électronique… c’est plus ! C’est aussi, dans une interface de webmail, un contenu présenté à l’écran de l’utilisateur ressemblant à un courrier électronique…

On est peu convaincu par la décision de la CNIL sur ce point, même si elle a pour elle de s’appuyer sur l’arrêt de la CJUE du 25 novembre 2021 qui statuait en ce sens mais dans d’autres circonstances, car l’espèce soumise à la CJUE concernait un litige pour concurrence déloyale entre deux sociétés commerciales.

Ici, il s’agit d’infliger une amende de 50 000 000 d’euros. Conformément à un principe juridique établi, la loi pénale est d’interprétation stricte et une sanction administrative ne devrait être prononcée qu’à la suite d’une interprétation restrictive du texte qui la fonde.

Or, l’article L34-5 CPCE qui fonde la sanction, ne se lit que comme interdisant, sans l’accord du récepteur, « l’envoi » d’un message publicitaire d’un système de messagerie émetteur vers un système de messagerie récepteur, ce qui n’était pas le cas en l’espèce.

Il y a, de plus, une forme de fictivité dans l’approche : il aurait suffit d’afficher le même message, sur la même page mais à un endroit distinct de la liste des courriers électroniques reçus pour échapper à la sanction.

Ici encore, la prétendue neutralité technologique de l’article L34-5 CPCE et la lecture téléologique qu’il faudrait en faire ne convainc pas : le justiciable doit savoir de quelle technologie une loi parle : or, un email n’est pas autre chose qu’un email au sens des standards techniques de l’internet (SMTP / POP / IMAP).

Il y a, enfin, une nouvelle distorsion de concurrence entre les acteurs européens et américains : un message publicitaire présenté sur la page html affichée par un navigateur est sanctionné chez Orange et légal sur un moteur de recherche…

● Le support (ici l'exploitant du webmail) est responsable de la violation de l’article L34-5 CPCE sans pouvoir reporter sa responsabilité sur les annonceurs.

27/09/2024

La CNIL rappelle régulièrement aux établissements d’enseignement leurs obligations en matière de protection des données à caractère personnel. Fin 2022, la CNIL a mis en demeure deux établissements d’enseignement supérieur pour non-respect du RGPD, suite à des contrôles sur la gestion des données administratives et pédagogiques des étudiants. Les manquements concernaient la durée de conservation des données, l’information insuffisante des étudiants, l’absence de contrats conformes avec les sous-traitants, et des mesures de sécurité, notamment sur les mots de passe. En juillet 2024, la CNIL a prononcé, via sa procédure simplifiée, une amende administrative de 20 000 euros à l’encontre d’un établissement d’enseignement supérieur privé pour non-respect des exigences de minimisation des données, durée de conservation et défaut de sécurité des données.

Décision CNIL, procédure simplifiée du 25 juillet 2024