Il contesto
ORANGE fornisce ai propri clienti un servizio di messaggistica elettronica (“Mail Orange”). A seguito di numerosi controlli, la CNIL ha constatato che la società visualizzava, tra i messaggi di posta elettronica presenti nelle caselle di posta degli utenti, annunci pubblicitari sotto forma di messaggi di posta elettronica.
Sulla base di questi risultati, il formazione ristretta – Organo sanzionatorio della CNIL – ha ritenuto che la visualizzazione di tali messaggi pubblicitari richiedesse la raccolta del consenso degli utenti della messaggistica ORANGE, in applicazione dell'articolo L. 34-5 del codice postale e delle comunicazioni elettroniche (CPCE).
Inoltre, i controlli effettuati dalla CNIL hanno permesso anche di constatare che, quando gli utenti del sito orange.fr hanno revocato il loro consenso al deposito e alla lettura dei cookie sul loro terminale, i cookie precedentemente depositati hanno continuato ad essere letti, in violazione dell'articolo 82 del Codice Privacy.
Per queste due violazioni il collegio ristretto si è pronunciato contro la società ORANGE :
- una multa di 50 milioni di euro, resa pubblica.
- un'ingiunzione a cessare le operazioni di lettura dei cookie dopo la revoca del consenso dell'interessato entro tre mesi, accompagnata da una sanzione di 100.000 euro per giorno di ritardo.
L'importo di questa sanzione tiene conto in particolare del numero molto elevato di persone interessate (più di 7,8 milioni di persone che hanno visto gli annunci in questione visualizzati nella loro casella di posta) nonché della posizione dell'azienda sul mercato, che è leader operatore di telecomunicazioni in Francia. Il panel ristretto ha tenuto conto anche del vantaggio economico derivato dalla violazione relativa agli annunci pubblicitari inseriti tra le email.
Le violazioni punite
Inosservanza dell'obbligo di ottenere il consenso delle persone a ricevere prospezione commerciale per via elettronica (articolo L.34-5 del CPCE)
Dai controlli effettuati dalla CNIL è emerso che gli utenti degli account di messaggistica elettronica ARANCIO vedevano apparire nella loro casella di posta, tra i messaggi di posta elettronica ricevuti e senza il loro consenso, messaggi pubblicitari.
La CNIL, basandosi su una sentenza della Corte di giustizia dell'Unione europea (CGUE) del 25 novembre 2021, ha ritenuto che questi messaggi che promuovono servizi o beni e che non sono inviati da un utente a un altro utente, ma visualizzati in uno spazio normalmente riservato alle email private assumendo l'aspetto di vere e-mail, costituiscono prospezione diretta tramite e-mail. Di conseguenza, è necessario ottenere il consenso degli interessati in applicazione dell'articolo L. 34-5 del CPCE.
Per ritenere responsabile la società ORANGE, fornitore di servizi di messaggistica, la CNIL ha osservato che era la società ad avere il controllo degli annunci in questione, visualizzandoli e commercializzando questi spazi dedicati agli inserzionisti. Ha quindi distinto questi annunci dalle e-mail inviate da un inserzionista a un potenziale cliente utilizzando il suo indirizzo e-mail, sulle quali il fornitore di posta non ha alcun controllo e che si limita a inoltrare.
La CNIL ha tuttavia tenuto conto del fatto che la società aveva smesso di realizzare questo tipo di visualizzazione dal novembre 2023 e che il nuovo formato pubblicitario implementato consente ora di distinguere chiaramente gli annunci dalle e-mail vere e proprie.
Una violazione dell'articolo 82 della legge sulla protezione dei dati personali: cookie letti nonostante la revoca del consenso dell'internauta
La CNIL ha osservato che quando un utente del sito orange.fr ha accettato il deposito e la lettura di cookies sul suo terminale, per poi revocare il proprio consenso, i cookies precedentemente depositati hanno continuato ad essere letti dalla società ORANGE e dai suoi partner.
Lo ha ricordato la CNILtale operazione di letturache consiste nell'accedere alle informazioni archiviate nel terminale dell'utente, è stato esplicitamente proibito dall'articolo 82 del Codice Privacy, anche se queste informazioni non vengono utilizzate successivamente.
Precisa inoltre che, per garantire l'effettiva revoca del consenso, la società deve adottare soluzioni tecniche che impediscano la lettura dei cookie sui quali essa ha il controllo. Per i cookie inseriti dai suoi partner, ha dovuto garantire che soluzioni simili fossero implementate da questi ultimi.
