法国电信巨头 Orange 遭重罚：违规广告与 Cookies 处理不当引争议

2024年12月10日，法国数据保护机构（CNIL）公布了2024年11月14日作出的第SAN-2024-019号决定，认为法国电信运营商Orange SA未经客户同意的情形下在其电子邮件服务用户的电子邮件中投放广告的行为违反了法国《邮政和电子通信法》（the Post and Electronic Communications Code）以及法国《数据保护法》（the Act on Data Processing， Data Files， and Individual Liberties）（经修订以实施《欧盟数据保护法》），决定对其处以5000万欧元的罚款。

Orange为其客户提供电子消息服务（“Mail Orange”）。经过多次调查，CNIL发现该公司在其用户收件箱中的真实电子邮件中以电子邮件的形式展示广告。

根据这些发现，负责发布制裁的CNIL机构——纪律委员会认为展示此类广告需要获得Orange消息服务用户的同意，根据法国《邮政和电子通信法》(CPCE)第L.34-5条。

CNIL的调查还显示，Orange公司建立了一个允许用户就其Cookies设置撤回同意的界面，然而当orange.fr网站的用户撤回对在其设备上存储和读取cookies的同意时，先前存储的cookies仍在被访问和读取，这违反了法国《数据保护法》第82条。

针对这两项违规行为，纪律委员会决定对Orange作出相应制裁：

1、5000万欧元的行政罚款，并予以公开。

2、责令其在相关人员撤回同意后的3个月内停止读取Cookies（储存在用户本地终端上的数据）的操作，每逾期一天附带10万欧元的逾期罚款。

这笔罚款的数额是由受影响的相关人数非常多（超过780万人在收件箱中看到了相关广告）以及该公司在相关市场的领先地位所决定的。纪律委员会还考虑了与电子邮件中插入广告有关的违规行为所带来的经济利益。

1、违反了《邮政和电子通信法》第L.34-5条规定的通过电子方式获得个人同意的义务

CNIL的调查显示，Orange公司在未获得其电子邮箱用户同意的情况下，向其电子邮箱收件箱投放以电子邮件形式显示的广告信息。

根据欧盟法院（CJEU）2021年11月25日的判决，CNIL认为，这些用于推广服务或商品的信息，并非由一个用户发送给另一个用户，而是发布在通常预留给私人邮件的空间中，且以“邮件”外观展示，，构成了通过电子邮件进行的直接推销行为。因此，依据CPCE第L.34-5条规定，有必要征得相关人员的同意。

为了决定电子邮件服务提供商Orange的责任，CNIL指出该公司通过向广告商展示和销售这些专用空间来控制相关广告。因此，纪律委员会对这些广告和广告商使用其电子邮件地址发送给潜在客户的电子邮件进行了区分，对于后者，邮件服务提供商无法进行管控，只是负责转发而已。

然而，CNIL也考虑了公司自2023年11月以来已停止使用这种类型的广告展示，并且实施的新广告格式能够让人清楚地区分广告和真实电子邮件。

2、违反了法国《数据保护法》第82条所规定的在用户同意撤回的情况下读取cookies

CNIL注意到，当orange.fr网站的用户同意在其终端上存储和读取cookies，然后撤回其同意时，Orange及其合作伙伴仍会继续读取先前存储的cookies。‍

CNIL指出，这种读取操作也就是访问存储在用户终端中的数据，是被法国《数据保护法》第82条明确禁止的，即使这些数据随后没有被使用。

该委员会还规定，为了保证有效撤回同意，该公司必须实施技术解决方案阻止其读取在其掌握下的cookies。对于其合作伙伴所存储的Cookies，该公司必须确保这些合作伙伴实施类似的解决方案。

对Orange公司处以5000万欧元的行政处罚；

责令Orange公司采取措施，确保切实有效地撤回用户对在其终端上进行信息读取和录入的操作；

附加一项逾期罚款，自本审议通知下达后3个月期限届满后，每逾期一日处以10万欧元罚款。