W listopadzie 2024 r. francuski organ ochrony danych (CNIL - Commission Nationale de l'Informatique et des Libertés) nałożył na ORANGE grzywnę w wysokości 50 mln euro za naruszenie zasad dotyczących zgody użytkowników poprzez wyświetlanie reklam ukrytych pod postacią wiadomości e-mail w skrzynkach odbiorczych użytkowników i niewłaściwe zarządzanie plikami cookie po wycofaniu zgody.
Kluczowe ustalenia:
- ORANGE wyświetlał reklamy przypominające prawdziwe wiadomości e-mail w skrzynkach odbiorczych użytkowników bez ich zgody.
- CNIL powołała się na orzeczenie Trybunału Sprawiedliwości Unii Europejskiej (TSUE) (listopad 2021 r.), potwierdzając, że jest to bezpośredni prospecting, który wymaga wyraźnej zgody użytkownika zgodnie z art. L. 34-5 CPCE.
- Reklamy przybierały wygląd legalnych wiadomości e-mail, wprowadzając użytkowników w błąd i ingerując w przestrzeń przeznaczoną do prywatnej komunikacji.
- Gdy użytkownicy wycofali zgodę na pliki cookie na orange.fr, wcześniej zapisane pliki cookie były nadal odczytywane, co stanowiło naruszenie art. 82 francuskiej ustawy o ochronie danych osobowych.
Ustawa o ochronie danych osobowych.
- CNIL podkreśliła, że odczytywanie danych z terminala użytkownika po jest wyraźnie zabronione, nawet jeśli dane nie są wykorzystywane.
- ORANGE nie zapewniła sobie i swoim partnerom rozwiązań technicznych rozwiązań technicznych dla siebie i swoich partnerów w celu poszanowania decyzji użytkowników.
Sankcje:
- 50 milionów euro grzywny administracyjnej
- Obowiązkowe działania naprawcze: ORANGE musi zaprzestać odczytywania plików cookie po wycofaniu w ciągu 3 miesięcy lub grozi jej grzywna w wysokości 100 000 euro dziennie za nieprzestrzeganie przepisów.
ORANGE Fined €50 Million: Consent Breaches and Cookie Violations
On November 14, 2024, the French Data Protection Authority (CNIL - Commission Nationale de l'Informatique et des Libertés) imposed a €50 million fine on ORANGE for breaching user consent rules by displaying advertisements disguised as emails in users' inboxes and improperly managing cookies after consent withdrawal.
Key Findings:
- ORANGE displayed ads resembling genuine emails in users' inboxes without their consent.
- The CNIL referenced the Court of Justice of the European Union (CJEU) ruling (November 2021), confirming this as direct email prospecting, which requires explicit user consent under Article L. 34-5 of the CPCE.
- Ads took the appearance of legitimate emails, misleading users and intruding into spaces meant for private communication.
- When users withdrew consent to cookies on orange.fr, previously stored cookies continued to be read, violating Article 82 of the French Data Protection Act.
- The CNIL emphasized that reading data from a user’s terminal after consent withdrawal is explicitly prohibited, even if the data isn’t used.
- ORANGE failed to ensure technical solutions for itself and its partners to respect users' decisions.
Sanctions:
- €50 million administrative fine
- Mandatory corrective action: ORANGE must stop reading cookies post-withdrawal within 3 months, or face a €100,000 daily fine for non-compliance.
Autor: Sebastian Burgemejster
Comments