L'essentiel au 29 octobre 2026
- Décision : rejet du recours d'Orange par le Conseil d'État le 16 octobre 2026 (Kohen Avocats).
- Sanction d'origine : 50 millions d'euros, décidée le 14 novembre 2024 par la formation restreinte de la CNIL, publiée le 10 décembre 2024 (CNIL).
- Personnes concernées : plus de 7,8 millions ont vu les publicités s'afficher dans leur boîte de réception, selon la CNIL.
- Cookies : la lecture après retrait du consentement est interdite « même si ces informations ne sont pas exploitées par la suite ».
- Chiffre régional : aucun. Nous n'avons trouvé aucune donnée sur les sites de PME des Hauts-de-France.
Ce que la CNIL reprochait à Orange, et ce que le Conseil d'État confirme
La CNIL avait retenu deux griefs distincts. Le premier concerne la messagerie : des messages publicitaires prenaient l'apparence de courriels et s'affichaient entre les courriels reçus. La CNIL les assimile à de la prospection directe, car ils apparaissent dans « un espace normalement réservé aux courriels privés », ce qui exige un consentement préalable au titre de l'article L. 34-5 du code des postes et des communications électroniques. Orange avait cessé ce type d'affichage en novembre 2023 (communiqué CNIL). Le second grief touche aux cookies. Sur le site orange.fr, des cookies déjà déposés continuaient d'être lus, par Orange et ses partenaires, après le retrait du consentement. La CNIL a assorti la sanction d'une injonction de cesser cette lecture sous trois mois, avec une astreinte de 100 000 euros par jour de retard. D'après les deux comptes rendus de la décision que nous avons consultés, le Conseil d'État a confirmé les deux manquements. Il a jugé que lire des cookies après un retrait de consentement constitue un manquement même si les données ne sont pas utilisées ensuite. Il a aussi admis que la CNIL puisse prononcer une sanction unique pour les deux faits sans avertissement préalable, et que l'amende est proportionnée à la gravité des faits et au nombre de personnes concernées. Nous n'avons pas pu ouvrir le texte sur Légifrance : ces points reposent sur des sources secondaires et méritent d'être relus dans la décision elle-même.Pourquoi cette décision concerne aussi une PME des Hauts-de-France
Le réflexe habituel est de se dire qu'une amende de 50 millions d'euros ne vise que les opérateurs. Le raisonnement du juge est pourtant général : la règle porte sur le retrait du consentement, pas sur la taille de l'éditeur. Un site vitrine, une boutique en ligne ou un site de club de sport qui dépose des cookies publicitaires ou de mesure via un outil tiers est dans le même cadre. Le point le plus souvent négligé est celui du retrait. Beaucoup de bandeaux fonctionnent bien au moment du clic sur « Accepter », puis se comportent mal quand l'internaute revient sur son choix : le cookie reste en place, ou la balise d'un partenaire continue de partir. C'est exactement le scénario sanctionné chez Orange. Rappelons que l'amende ne dit rien sur le barème applicable à une petite structure, que la CNIL fixe au cas par cas. Mais la caractérisation du manquement, elle, ne dépend pas de la taille. Le contexte de 2026 pèse aussi. La CNIL a infligé en janvier 2026 deux sanctions totalisant 42 millions d'euros à Free Mobile et Free après une violation de données touchant 24 millions de contrats (CNIL). Le baromètre Cybermalveillance de septembre 2026 indique que 45 % des Français disent avoir été informés d'une fuite de leurs données en 2026, contre 30 % en 2025 (Localtis). Les internautes sont donc plus attentifs à leurs données, et plus enclins à signaler un problème.Cinq vérifications à faire cette semaine sur votre site
- Testez le retrait du consentement vous-même. Acceptez les cookies, rechargez la page, puis retirez votre accord et ouvrez les outils de développement du navigateur : les cookies publicitaires ou de statistiques doivent disparaître et aucune requête vers les partenaires ne doit continuer de partir.
- Dressez la liste des outils tiers. Mesure d'audience, pixels publicitaires, widgets vidéo, chat : chacun peut déposer ou lire un traceur. Notez qui l'a installé et pour quelle finalité.
- Vérifiez l'exemption de mesure d'audience. La CNIL admet une exemption de consentement sous conditions strictes : statistiques anonymes, pour le compte exclusif de l'éditeur, sans recoupement. Les traceurs doivent durer environ 13 mois au maximum, et les données collectées être conservées 25 mois au plus (CNIL, mesure d'audience).
- Relisez vos pratiques de prospection. Newsletters, relances, messages insérés dans une interface : le consentement préalable s'applique à la prospection par courrier électronique. Notre dossier sur la fin du démarchage téléphonique détaille la logique de consentement côté appels.
- Gardez une trace. Capture du bandeau, date du test, version de l'outil de gestion du consentement : en cas de contrôle, pouvoir montrer ce qui était en place vaut mieux qu'un souvenir.
Ce que nous ne savons pas
Nous n'avons pas trouvé de statistique sur la conformité des bandeaux cookies des PME des Hauts-de-France, ni de contrôle de la CNIL recensé dans la région depuis cette décision. Le nombre exact de cookies en cause chez Orange n'est pas non plus précisé dans les sources lues. Cet article ne constitue pas un avis juridique : pour un site à fort trafic ou qui traite des données sensibles, un avocat ou votre délégué à la protection des données reste le bon interlocuteur. Pour aller plus loin sur le cadre qui s'applique aux données de vos clients, voyez notre fiche CNIL en trois étapes sur les violations de données et notre analyse sur les listes d'e-mails et de téléphones dans la publicité ChatGPT.FAQ : l'amende Orange et les cookies des PME
Quand le Conseil d'État a-t-il tranché ?
Le 16 octobre 2026, d'après Kohen Avocats et Allo Forfait. Il a rejeté le recours d'Orange contre la sanction de 50 millions d'euros prononcée par la CNIL le 14 novembre 2024.
Pourquoi Orange a-t-il été sanctionné ?
Pour deux manquements : des publicités affichées comme des courriels sans consentement préalable, et la lecture de cookies après le retrait du consentement sur orange.fr. Plus de 7,8 millions de personnes ont vu les publicités, selon la CNIL.
Mon site est petit : suis-je concerné ?
La règle sur le retrait du consentement s'applique à tout éditeur qui dépose des traceurs soumis à consentement, quelle que soit sa taille. Le montant d'une éventuelle sanction est apprécié au cas par cas par la CNIL.
Peut-on mesurer son audience sans bandeau ?
Sous conditions strictes, oui : statistiques anonymes, finalité limitée à l'éditeur, absence de recoupement. La CNIL indique une durée de vie des traceurs d'environ 13 mois et une conservation de 25 mois maximum.
D'où viennent les chiffres de cet article ?
Du communiqué de la CNIL pour la sanction, de deux comptes rendus juridiques pour la décision du Conseil d'État, des pages de la CNIL pour les durées, et de Localtis pour le baromètre Cybermalveillance. Les sources sont listées en bas de page.
Sources : CNIL, sanction Orange · Kohen Avocats · Allo Forfait · CNIL, mesure d'audience · CNIL, sanction Free · Localtis, Banque des Territoires. Consultées le 29 octobre 2026.
