# CNIL, Arcep, DGCCRF : Orange ne pourra plus être sanctionnée trois fois pour le même spam

## Un principe vieux de 1789 appliqué au SMS non sollicité

Le 25 juin 2026, le Conseil constitutionnel a rendu une décision qui, sous des dehors très techniques, touche à un principe fondamental du droit répressif français : on ne peut pas punir deux fois — ni trois fois — une même personne pour les mêmes faits. Ce principe, souvent désigné par sa formule latine « non bis in idem », trouve sa source dans l'article 8 de la Déclaration des droits de l'homme et du citoyen de 1789, qui pose que « la loi ne doit établir que des peines strictement et évidemment nécessaires ». Le Conseil constitutionnel en a tiré, de longue date, une règle précise : une même personne ne peut faire l'objet de plusieurs poursuites tendant à réprimer les mêmes faits, qualifiés de manière identique, par des sanctions de même nature, aux fins de protéger les mêmes intérêts sociaux. Ce principe, pensé à l'origine pour le droit pénal classique, s'applique aujourd'hui à toute sanction ayant le caractère d'une punition — y compris les amendes administratives prononcées par des autorités de régulation. C'est précisément ce terrain que vient d'explorer la décision n° 2026-1210 QPC, à propos d'un sujet que chacun connaît de près : le démarchage commercial non sollicité, par SMS, par e-mail ou par appel automatisé.

## Trois régulateurs pour une même interdiction

Le droit français interdit, depuis longtemps, la prospection commerciale directe réalisée par des moyens automatisés — appels automatiques, télécopies, courriers électroniques — lorsque la personne visée n'a pas donné son consentement préalable. Cette interdiction figure à l'article L. 34-5 du code des postes et des communications électroniques (CPCE), dans sa version résultant de la loi du 24 juillet 2020 visant à encadrer le démarchage téléphonique et à lutter contre les appels frauduleux. Le texte définit précisément ce qu'est la « prospection directe » : tout message destiné à promouvoir, directement ou indirectement, des biens, des services ou l'image d'une personne qui vend des biens ou fournit des services, y compris les messages incitant à appeler un numéro surtaxé. Il impose aussi des obligations de transparence : indiquer des coordonnées valables permettant de faire cesser gratuitement les communications, ne pas dissimuler l'identité de l'émetteur, ne pas détourner l'objet du message.

Ce qui rend cette réglementation singulière, c'est qu'elle confie sa police à trois autorités administratives différentes, sans les hiérarchiser clairement. D'abord, la Commission nationale de l'informatique et des libertés (CNIL), qui agit sur le fondement de ses pouvoirs généraux tirés de la loi du 6 janvier 1978 dite « Informatique et Libertés » ; elle peut prononcer, via sa formation restreinte, des amendes administratives pouvant atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial de l'entreprise sanctionnée — des montants qui peuvent grimper à 20 millions d'euros ou 4 % de ce chiffre d'affaires en cas de réitération du manquement. Ensuite, l'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep), qui dispose de son propre pouvoir de sanction au titre de l'article L. 36-11 du CPCE, avec un plafond de 3 % du chiffre d'affaires hors taxes du dernier exercice clos (ou 150 000 euros à défaut d'activité de référence), pouvant lui aussi doubler en cas de récidive. Enfin, l'autorité administrative chargée de la concurrence et de la consommation — en pratique la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) — qui peut infliger une amende plafonnée à 75 000 euros pour une personne physique et 375 000 euros pour une personne morale, sur le fondement du code de la consommation.

## Le recours d'Orange, rejoint par Canal+

C'est dans ce contexte qu'Orange SA a engagé une bataille juridique dont l'enjeu dépassait largement son propre cas. La société soutenait que le fait de permettre à ces trois autorités de sanctionner, chacune de son côté, un même manquement à l'article L. 34-5 du CPCE revenait à instaurer un cumul de poursuites et de sanctions contraire au principe constitutionnel de nécessité des peines. Le raisonnement est limpide une fois posé : si une entreprise diffuse une campagne de SMS promotionnels sans avoir recueilli le consentement des destinataires, elle commet un seul et même manquement — mais ce manquement peut, en théorie, être poursuivi trois fois, par trois autorités différentes, avec trois sanctions financières qui s'additionnent, sans qu'aucun texte n'impose de les coordonner autrement que par un vague mécanisme de plafonnement au « maximum légal le plus élevé ». Le Groupe Canal+, confronté au même risque dans le cadre de ses propres activités de prospection commerciale, est intervenu au soutien de la demande d'Orange, aux côtés de son avocat, la SCP Rocheteau, Uzan-Sarano et Goulet. La CNIL, partie au litige à l'origine de la question, a présenté ses observations, tout comme les services du Premier ministre.

Le Conseil d'État, saisi de ce recours contentieux, a jugé la question suffisamment sérieuse pour la transmettre au Conseil constitutionnel par une décision du 17 avril 2026 (n° 501268), donnant naissance à la question prioritaire de constitutionnalité n° 2026-1210, enregistrée sous ce numéro et plaidée à l'audience publique du 16 juin 2026.

## Ce que dit la décision, et ce qu'elle ne dit pas

Dans sa décision rendue publique le 25 juin 2026, le Conseil constitutionnel a suivi le raisonnement de la société requérante — mais avec une rigueur méthodique qui mérite d'être détaillée, car elle éclaire la façon dont les Sages appliquent le principe non bis in idem aux sanctions administratives. Ils ont d'abord vérifié que les trois régimes de sanction visaient à réprimer « de mêmes faits qualifiés de manière identique » : oui, car les trois autorités sanctionnent, chacune, le même manquement à l'article L. 34-5. Ils ont ensuite vérifié que les trois régimes protégeaient « les mêmes intérêts sociaux » : oui encore, car les trois répressions visent toutes à protéger la vie privée des utilisateurs de services de communications électroniques contre les prospections commerciales non sollicitées. Ils ont enfin comparé la nature des sanctions encourues — et ont jugé que des amendes administratives pécuniaires, quel que soit leur montant plafond respectif (10 millions d'euros pour la CNIL, 3 % du chiffre d'affaires pour l'Arcep, 375 000 euros pour la DGCCRF), sont de même nature. Les trois conditions du cumul prohibé étant réunies, le Conseil a déclaré contraires à la Constitution les alinéas de l'article L. 34-5 qui permettaient ce cumul.

Il faut cependant être précis sur ce que cette décision ne fait pas. Elle ne dépénalise rien : l'interdiction du démarchage automatisé sans consentement demeure pleinement en vigueur, et chacune des trois autorités conserve individuellement son pouvoir de sanction. Ce qui disparaît, c'est la possibilité de les cumuler pour les mêmes faits contre la même personne. Le Conseil a d'ailleurs pris soin de ne pas créer de vide juridique brutal : conscient qu'une abrogation immédiate aurait empêché toute poursuite en cours, y compris celles fondées sur un seul des trois régimes, il a reporté la date d'abrogation au 31 octobre 2027, le temps que le législateur réécrive le dispositif — probablement en désignant un chef de file entre les trois autorités, ou en instaurant un mécanisme de concertation préalable. En attendant cette réforme, une clause transitoire produit un effet immédiat depuis la publication de la décision au Journal officiel du 26 juin 2026 : aucune autorité ne peut plus engager ou poursuivre une procédure contre une personne déjà poursuivie ou définitivement sanctionnée par une autre autorité pour les mêmes faits.

## Une décision qui parle directement aux architectures d'envoi automatisé

Pour quiconque conçoit, déploie ou audite des systèmes d'envoi automatisé à grande échelle — plateformes de growth-marketing, séquenceurs d'e-mails commerciaux, outils de SMS marketing, centres d'appels automatisés, mais aussi infrastructures de simulation d'ingénierie sociale utilisées dans le cadre de tests d'intrusion autorisés — cette décision est un bon point d'entrée pour comprendre la mécanique réglementaire française applicable à toute campagne de communication automatisée et non sollicitée. La qualification technique retenue par la loi, celle de « système automatisé de communications électroniques » au sens de l'article L. 32, 6°, du CPCE, est volontairement large : elle couvre potentiellement tout dispositif capable d'envoyer massivement des messages sans intervention humaine à chaque envoi, qu'il s'agisse d'un outil commercial classique ou d'un outil détourné à des fins malveillantes (spam commercial, smishing, campagnes de phishing de masse). La limitation du cumul de sanctions ne change rien à cette exposition de base : elle borne seulement l'addition des amendes lorsque plusieurs régulateurs s'emparent simultanément du même dossier, ce qui reste un paramètre utile à connaître pour toute évaluation de risque réglementaire portant sur une architecture d'envoi automatisé à grande échelle.

## Sources

- Conseil constitutionnel, décision n° 2026-1210 QPC du 25 juin 2026, Société Orange SA (texte intégral) : https://www.conseil-constitutionnel.fr/decision/2026/20261210QPC.htm
- Conseil constitutionnel, communiqué de presse de la décision n° 2026-1210 QPC du 25 juin 2026 : https://www.conseil-constitutionnel.fr/actualites/communique/decision-n-2026-1210-qpc-du-25-juin-2026-communique-de-presse
- Légifrance, Article L. 34-5 du code des postes et des communications électroniques : https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961/
- Légifrance, Article 8 de la Déclaration des droits de l'homme et du citoyen de 1789 : https://www.legifrance.gouv.fr/loda/article_lc/LEGIARTI000006527434

## Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Cinq angles possibles pour orienter le podcast généré à partir de ce document ; choisissez celui qui correspond le mieux à ce que vous cherchez à approfondir aujourd'hui.

**Angle 1 — Audit offensif et qualification technique du « système automatisé de communications électroniques ».** Concentre-toi sur la définition de l'article L. 32, 6°, du CPCE et sur la façon dont un auditeur ou un red teamer devrait cartographier, chez un client, les outils entrant dans cette qualification — plateformes de growth-marketing, séquenceurs d'e-mails, robocalls, mais aussi infrastructures de simulation de phishing utilisées en test d'intrusion autorisé. Explique les points de contrôle à vérifier : preuve du consentement, traçabilité des envois, mécanisme de désinscription, et séparation stricte entre les campagnes de test autorisées et tout usage commercial parallèle qui basculerait dans le champ de l'article L. 34-5.

**Angle 2 — Comparaison avec les autres régimes de sanction déjà traités dans le dépôt.** Mets en regard le mécanisme de plafonnement du cumul dégagé ici avec les sanctions financières déjà couvertes par ce dépôt — les 42 M€ infligés à Free et Free Mobile sur le fondement du RGPD, les 500 M€ et 200 M€ infligés à Apple et Meta au titre du Digital Markets Act, le pouvoir de sanction de l'AI Act applicable à Meta pour son refus du code de bonnes pratiques GPAI, et les amendes NIS2 pouvant atteindre 10 M€ ou 2 % du chiffre d'affaires. Explique en quoi la décision Orange est différente : elle ne porte pas sur le montant d'une sanction mais sur la possibilité même d'en cumuler plusieurs pour les mêmes faits, une question d'architecture répressive plutôt que de sévérité.

**Angle 3 — Veille réglementaire automatisée sur le contentieux constitutionnel numérique.** Discute de la manière dont un consultant en automatisation pourrait construire un pipeline de veille qui suit, sur le site du Conseil constitutionnel et sur Légifrance, les décisions QPC touchant au numérique, à la donnée ou aux communications électroniques — filtrage par mots-clés, alerte sur les décisions à effet différé ou à réserve transitoire (comme celle-ci), et mise en correspondance automatique avec les régimes de sanction déjà documentés dans ce dépôt.

**Angle 4 — Architecture juridique : comment un principe pénal du XVIIIe siècle s'applique aux autorités de régulation du XXIe.** Prends du recul sur le raisonnement en trois temps du Conseil constitutionnel (mêmes faits qualifiés de manière identique, mêmes intérêts sociaux protégés, sanctions de même nature) et explique comment cette grille d'analyse, transposée à l'article 8 de la Déclaration de 1789, pourrait s'appliquer à d'autres situations de régulateurs multiples en matière numérique — par exemple le chevauchement potentiel entre CNIL, Arcep et futures autorités compétentes au titre du DSA, du DMA ou de l'AI Act en France.

**Angle 5 — Prospective : quelle réforme de l'article L. 34-5 d'ici le 31 octobre 2027 ?** Explore les scénarios législatifs envisageables pour remplacer le dispositif censuré — désignation d'un chef de file unique parmi les trois autorités, mécanisme de concertation préalable façon « guichet unique », ou répartition claire des compétences par nature de manquement — et discute de l'effet qu'une telle réforme aurait sur la stratégie de conformité des entreprises qui opèrent des campagnes de prospection automatisée à grande échelle, du point de vue d'un consultant qui les accompagne.