La censure constitutionnelle du cumul répressif de l’article L. 34-5 du CPCE : analyse des conséquences de la décision 2026-1210 QPC du 25 juin 2026 « Société Orange SA »

Rendue sur renvoi du Conseil d’État (n° 501268 du 17 avril 2026), à l’occasion du recours d’Orange SA contre une sanction de 50 millions d’euros qui lui a été infligée par la CNIL, et à laquelle la société Groupe Canal+ s’est associée par une intervention volontaire dans cette QPC, la décision appelle une lecture attentive sur la censure partielle du texte, comme sur la portée de ses effets dans le temps.

La construction par strates de l’article L. 34-5 CPCE

Les dispositions censurées ne sont pas nées d’un dessein d’ensemble. Elles se sont constituées par sédimentation, sur près de vingt ans, et les trois alinéas frappés d’inconstitutionnalité correspondent à trois moments distincts de cette histoire.

L’article L. 34-5 CPCE a d’abord été créé par la loi pour la confiance dans l’économie numérique (loi n° 2004-575 du 21 juin 2004), sous le numéro L. 33-4-1, avant d’être codifié à l’article L. 34-5 du CPCE. Dès l’origine, le texte associait deux autorités à son application : la CNIL, autorité administrative indépendante chargée de veiller au respect de cet article en vertu de son sixième alinéa, renvoyant aux pouvoirs que la CNIL tient de la loi n° 78-17 du 6 janvier 1978, et la DGCCRF, en vertu du septième alinéa, renvoyant aux pouvoirs de recherche et de constatation des infractions de cette administration.

La loi relative à la consommation, dite loi Hamon (loi n° 2014-344 du 17 mars 2014), a franchi une étape décisive lorsque son article 115 a doté la DGCCRF d’un pouvoir de prononcer une amende administrative propre, alors plafonnée à 3 000 euros pour une personne physique et 15 000 euros pour une personne morale (huitième alinéa de l’article L. 34-5), et a institué une règle de coordination : lorsque la DGCCRF a prononcé une amende, l’ARCEP (article L. 36-11) veille, si elle sanctionne à son tour, à ce que le montant global des sanctions prononcées contre la même personne (physique ou morale) à raison des mêmes faits n’excède pas le maximum légal le plus élevé (avant-dernier alinéa de l’article L. 34-5 CPCE).

Cette précaution est révélatrice. Le législateur a coordonné la DGCCRF et l’ARCEP, mais il n’a jamais inclus la CNIL dans ce plafonnement global.

Or, les pouvoirs de la CNIL ont, dans le même temps, changé d’échelle. La loi pour une République numérique (loi n° 2016-1321 du 7 octobre 2016) a porté le plafond de ses amendes de 150 000 euros à 3 millions d’euros, puis le RGPD, applicable depuis le 25 mai 2018, l’a fixé jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. La loi visant à encadrer le démarchage téléphonique, dite loi Naegelen (loi n° 2020-901 du 24 juillet 2020), n’a, pour sa part, fait que relever le plafond de la DGCCRF à 75 000 et 375 000 euros (article 8).

Au terme de ces strates d’évolution législative, l’article L. 34-5 pouvait être actionné par trois autorités répressives, dont deux seulement étaient articulées entre elles, la troisième, la CNIL, dotée des sanctions les plus lourdes, demeurant hors de toute règle de non-cumul des peines. C’est cet assemblage que le Conseil constitutionnel a sanctionné.

Le cadre des affaires « Orange SA » et « Canal+ »

Près de dix affaires récentes donnent à la censure constitutionnelle son relief concret. Deux d’entre elles ont contribué au débat qui s’est noué devant le Conseil constitutionnel.

La première est celle de la société Orange, à l’origine de la QPC. Par une délibération n° SAN-2024-019 du 14 novembre 2024, la formation restreinte de la CNIL a infligé à Orange SA une amende de 50 millions d’euros, pour avoir affiché des messages publicitaires entre les courriels des utilisateurs de sa messagerie Mail Orange, sans recueillir leur consentement préalable, en méconnaissance de l’article L. 34-5 du CPCE et de l’article 82 de la loi du 6 janvier 1978 sur les cookies. C’est au soutien de son recours devant le Conseil d’État contre cette sanction de la CNIL qu’Orange a soulevé la question prioritaire de constitutionnalité.

La seconde est celle du groupe Canal+, intervenant volontaire au stade de cette QPC. Éditeur et distributeur de services audiovisuels, donc opérateur non télécom, Canal+ avait été sanctionné de 600 000 euros par la CNIL (délibération n° SAN-2023-015 du 12 octobre 2023) pour des opérations de prospection dont la CNIL contestait la validité du recueil du consentement, la Commission appliquant alors l’article L. 34-5 du CPCE conjointement avec l’article 7 du RGPD. Un recours devant le Conseil d’État contre cette sanction fait l’objet de deux questions préjudicielles transmises par le Conseil d’État à la Cour de justice de l’Union européenne (n° 490202 du 5 mai 2025).

Ces deux situations éclairent le vice du texte. Pour un opérateur qui n’est pas un opérateur de communications électroniques, le chevauchement réel n’oppose pas la CNIL à l’ARCEP, mais la CNIL à la DGCCRF. Et l’illustration la plus nette du caractère artificiel de la frontière entre ces régimes vient de la pratique de la CNIL elle-même, qui sanctionne un même comportement de prospection en combinant l’article L. 34-5, le RGPD sur la définition du consentement et l’article 82 de la loi n° 78-17 « Informatique et Libertés », lorsque l’insertion d’un courriel de prospection dans une messagerie électronique a résulté de l’emploi de cookies, eux-mêmes soumis à un régime de consentement et d’exemption en application de l’article 5§3 de la directive « ePrivacy » 2002/58.

Les montants encourus

L’enjeu financier n’est pas théorique. Pour des faits qualifiés à l’identique, l’exposition variait du simple au démesuré selon l’autorité qui agissait. La DGCCRF ne pouvait excéder 375 000 euros pour une personne morale. L’ARCEP pouvait prononcer une sanction allant jusqu’à 3 % du chiffre d’affaires hors taxes, portée à 5 % en cas de nouvelle violation. La CNIL, elle, pouvait atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, ces plafonds étant portés, dans certains cas, à 20 millions d’euros ou 4 % de ce chiffre d’affaires. L’amende de 50 millions d’euros prononcée contre Orange, rapportée au plafond de 375 000 euros de la DGCCRF, mesure l’ampleur de l’écart.

Cette exposition n’avait rien d’exceptionnel. La CNIL a bâti, sur le fondement de l’article L. 34-5, une pratique répressive nourrie (notamment délibérations n° SAN-2022-011, SAN-2022-017 et SAN-2022-021, puis SAN-2023-015, SAN-2024-002, SAN-2024-014, SAN-2024-015, SAN-2025-001 et SAN-2025-002), et avait indiqué, dans ses observations, que cinq autres recours dirigés contre des sanctions fondées sur ce texte étaient pendants, outre l’affaire Orange.

Une censure fondée sur l’identité des intérêts protégés

Le Conseil constitutionnel applique sa grille d’analyse constante. Le principe de nécessité des délits et des peines interdit qu’une même personne fasse l’objet de plusieurs poursuites tendant à réprimer de mêmes faits qualifiés de manière identique, par des sanctions de même nature, aux fins de protéger les mêmes intérêts sociaux, le principe de proportionnalité imposant en outre que le montant global des sanctions n’excède pas le plus élevé des maxima encourus.

Les trois conditions étaient réunies. D’abord, les trois autorités sanctionnent un même manquement à l’article L. 34-5, donc des faits qualifiés de manière identique, puisqu’ils procèdent d’une seule et même disposition. Ensuite, et c’est le cœur de la décision, les différents régimes répressifs visent à assurer « la protection de la vie privée des utilisateurs de services de communications électroniques contre les prospections commerciales non sollicitées », de sorte que « ces trois répressions protègent donc les mêmes intérêts sociaux ». Enfin, la nature de ces sanctions administratives n’est pas différente, qu’il s’agisse de l’amende de la CNIL, de celle de l’ARCEP ou de celle de la DGCCRF. Il en résulte que les dispositions de l’article L. 34-5 méconnaissent le principe de nécessité des peines, sans qu’il soit besoin d’examiner le grief tiré de l’égalité devant la loi.

La motivation du Conseil constitutionnel rejoint la thèse que défendaient la société requérante et l’intervenante. Le Premier ministre lui-même, en s’en remettant à la sagesse du Conseil, l’avait accréditée en reconnaissant que les poursuites encourues avaient, indépendamment de l’autorité qui les engage, un objet commun. La défense de la CNIL, tout entière fondée sur l’idée d’intérêts distincts, manquait de substance et n’a pas été retenue. Il faut souligner la portée exacte de la censure : la prohibition de la prospection sans consentement, énoncée aux premiers alinéas de l’article, demeure. Seuls sont atteints les trois alinéas qui en organisaient le cumul des répressions.

D’ailleurs, la censure ne touche pas le pouvoir d’enquête de la DGCCRF, prévu au septième alinéa de l’article L. 34-5 ; en revanche, son pouvoir de sanction, prévu au huitième alinéa, figure parmi les dispositions censurées.

Sur l’application dans le temps

C’est sans doute sur ce terrain que la décision est la plus instructive et la plus complexe.

Le Conseil refuse l’abrogation immédiate, qui aurait empêché toute poursuite et mis fin à celles en cours devant les trois autorités, conséquences qu’il juge manifestement excessives. Il reporte donc l’abrogation au 31 octobre 2027, laissant au législateur le temps de reconstruire un dispositif répressif conforme.

Dans l’intervalle, et pour faire cesser l’inconstitutionnalité dès la publication de la décision, le Conseil institue une réserve transitoire : aucune poursuite ne pourra être engagée ou continuée sur le fondement de l’article L. 34-5 par l’une des trois autorités dès lors que des poursuites auront déjà été engagées pour les mêmes faits et contre la même personne devant une autre d’entre elles, ou que cette personne aura déjà été sanctionnée de manière définitive.

Le risque d’un cumul des sanctions est ainsi neutralisé pour l’avenir, sans que l’article L. 34-5 soit, pendant la période de report, dépourvu de tout régime de sanction (un seul pouvant alors s’appliquer à la fois).

Le point le plus notable tient au sort des décisions déjà rendues avant le 25 juin 2026. Le Conseil juge que « les décisions prises avant la publication de la présente décision ne peuvent être contestées sur le fondement de cette inconstitutionnalité ». Les sanctions antérieures, notamment l’amende de 50 millions d’euros infligée à Orange, sont donc à l’abri de cette déclaration d’inconstitutionnalité. La société requérante obtient la censure du dispositif, mais non l’annulation de sa propre sanction sur ce fondement. Il en va de même de la sanction prononcée contre Canal+ et des cinq autres recours pendants signalés par la CNIL. La portée pratique immédiate de la décision est ainsi tournée vers l’avenir, non vers la remise en cause du passé.

Une limite à l’empilement des polices administratives

Au-delà du seul article L. 34-5, la décision pose une limite à l’accumulation des autorités répressives dans le champ numérique. Ce qui avait été juxtaposé et cumulé devra dorénavant être exclusif et unique. La nécessité des peines, à laquelle la décision donne effet selon une logique de non-cumul, prévaut désormais. Concrètement, pour les enquêtes et poursuites en cours au 25 juin 2026 ou engagées par la suite, le régulateur qui engagera les poursuites le premier empêchera les deux autres de sanctionner à leur tour pour les mêmes faits.

La fin du cumul laisse place à une inégalité flagrante devant la loi

En voulant neutraliser avec une finesse chirurgicale l’inconstitutionnalité déclarée, les sages ont maintenu la « loterie des malchanceux ». Pendant la période de report, les trois régimes de sanction restent en vigueur, et la réserve transitoire fait que la première autorité à engager les poursuites écarte les deux autres. Si la DGCCRF est aux commandes d’une enquête débutée avant le 25 juin 2026 (ou qu’elle en initie une nouvelle), l’entreprise visée aura la « chance » de n’encourir « que » les plafonds de la DGCCRF. Si, en revanche, la CNIL a initié un contrôle avant le 25 juin 2026 (ou en lance un nouveau), la peine encourue pourra être des centaines de fois supérieure à celles qu’auraient pu prononcer la DGCCRF, ou l’ARCEP, pour les mêmes faits.

In fine, la sanction encourue sera la première prononcée, parmi trois possibles jusqu’au 31 octobre 2027 au plus tard. Voilà de quoi entretenir une concurrence délétère entre régulateurs et alimenter une rupture d’égalité devant la loi résultant d’une injuste loterie, selon le régulateur qui poursuit le premier.

Une inégalité flagrante et aléatoire qu’il incombe désormais au législateur de corriger

La France a jusqu’au 31 octobre 2027 pour abroger puis réécrire correctement le régime répressif de l’article L. 34-5 CPCE.

En n’invalidant pas le septième alinéa de l’article L. 34-5, le Conseil constitutionnel a préservé les seules prérogatives de recherche et de constatation des manquements dévolues à la DGCCRF. Le pouvoir de sanction de cette administration, prévu au huitième alinéa, figure en revanche parmi les dispositions censurées et disparaîtra le 31 octobre 2027, comme ceux de la CNIL et de l’ARCEP, faute de loi nouvelle.

Le Conseil n’a pas pour autant purgé l’inégalité devant la loi, qui dépendra durant les prochains mois d’un aléa par nature injuste : en l’état, l’identité du régulateur qui sanctionne en premier détermine la sanction encourue. Son plafond ne sera pas établi par la loi, mais par une circonstance temporelle imprévisible et inégale qui, au fond, est tout aussi contestable au regard de l’égalité que le régime de cumul qui vient d’être censuré.

Il incombe désormais au législateur d’abroger sans délai les dispositions de l’article L. 34-5 déclarées inconstitutionnelles et de mettre fin à cette « loterie des malchanceux ». Faute de loi nouvelle au 31 octobre 2027, aucune des trois autorités ne pourra plus sanctionner sur le fondement de l’article L. 34-5 ; il appartiendra au législateur de reconstruire un régime répressif, qu’il pourra le cas échéant calquer sur celui de la DGCCRF.

Rédigé par Etienne Drouard, Anaïs Ligot, et Rémy Schlich.