Base légale de la collecte de coordonnées LinkedIn masquées : la sanction CNIL au titre du RGPD

La formation restreinte retient un manquement à l’article 6 du RGPD : la collecte et la mise à disposition de coordonnées professionnelles de personnes ayant limité leur visibilité sur LinkedIn ne reposaient sur aucune base juridique valable. L’intérêt commercial de la société pouvait être légitime et le traitement nécessaire, mais la mise en balance échouait au regard des attentes raisonnables des personnes concernées et de leur choix de restreindre l’accès à leurs données. Aucun consentement ni contrat ne liait ces personnes à la société.

La décision retient également un manquement à l’article 15 du RGPD, les réponses aux demandes d’accès ne précisant pas suffisamment les sources des données alors que la société connaissait plusieurs catégories de sources. La formation restreinte rappelle que l’information doit permettre de vérifier la licéité du traitement.

Sur le terrain correctif, les articles 58, paragraphe 2, du RGPD et 20, III, de la loi du 6 janvier 1978 permettent de prononcer une injonction, une astreinte et une amende. L’article 83 du RGPD impose une amende effective, proportionnée et dissuasive, déterminée notamment selon la gravité, le nombre de personnes concernées, les avantages financiers et la négligence. Une amende de 240 000 euros a été prononcée, ainsi qu’une injonction assortie d’une astreinte de 10 000 euros par jour.

⬇️Télécharger la décision version officielle

KASPR commercialisait une extension Chrome donnant accès, contre des crédits, aux coordonnées professionnelles de personnes consultées sur LinkedIn. La CNIL a examiné la collecte de données dont la visibilité avait été limitée, les durées de conservation, l’information des personnes et les réponses aux demandes d’accès. Elle a retenu plusieurs manquements au RGPD, notamment l’absence de base légale pour certaines collectes, et prononcé une amende de 240 000 euros ainsi qu’une injonction sous astreinte.

La société KASPR commercialise une extension Chrome permettant d’obtenir, contre des crédits, les coordonnées professionnelles de personnes dont le profil LinkedIn est consulté. Sa base regroupait notamment des noms, adresses électroniques, numéros de téléphone, informations professionnelles et sources de collecte. Les données provenaient de fournisseurs, d’annuaires professionnels et de l’import des contacts LinkedIn des utilisateurs.

La CNIL a contrôlé ces traitements après plusieurs saisines. Elle a notamment examiné la collecte de coordonnées dont la visibilité avait été limitée par les personnes concernées, les durées de conservation, l’information fournie et les réponses aux demandes d’accès.

La formation restreinte a retenu plusieurs manquements au RGPD, dont l’absence de base légale pour certaines collectes et l’insuffisance des informations sur les sources. Elle a prononcé une amende de 240 000 euros, une injonction de mise en conformité sous astreinte et la publicité de la décision pendant deux ans.

• Identifier un intérêt poursuivi présentant un caractère légitime
• Établir la nécessité du traitement pour cet intérêt
• Examiner les attentes raisonnables des personnes concernées
• Respecter le choix de limitation de visibilité des coordonnées
• Vérifier l’existence d’une relation pertinente avec les personnes concernées
• Fournir des informations suffisamment précises sur les sources collectées
• Adapter les mesures correctrices à la gravité et à l’ampleur des manquements

• Paramètres LinkedIn limitant la visibilité des coordonnées
• Constat de l’import des contacts LinkedIn dans la base KASPR
• Analyse d’impact de la société sur les risques du traitement
• Politique de confidentialité décrivant insuffisamment les sources
• Plaintes de personnes démarchées après révélation de leurs coordonnées

La société doit cesser les collectes dépourvues de base légale, supprimer ou encadrer les données concernées et revoir ses durées de conservation et informations. Les personnes cibles disposent d’un droit à une information précise sur les sources, tandis que les utilisateurs et la société sont affectés par la publicité et les mesures correctrices.

• Suppression des contacts importés dont la visibilité était limitée
• Information des personnes et traitement des oppositions éventuelles
• Fin du renouvellement automatique de la conservation pendant cinq ans
• Réponse précise aux demandes d’accès sur les sources
• Paiement de l’amende et risque d’astreinte journalière

À faire

• Cartographier toutes les sources de données personnelles
• Vérifier la visibilité choisie sur LinkedIn
• Supprimer les coordonnées collectées sans base légale
• Définir des durées de conservation proportionnées
• Répondre précisément aux demandes d’accès

À éviter

• Collecter des coordonnées masquées ou limitées
• Assimiler une relation LinkedIn à un consentement
• Présenter des fournisseurs sans les identifier suffisamment
• Renouveler automatiquement une conservation de cinq ans
• Répondre aux personnes avec des informations générales

La base légale de l’intérêt légitime

L’article 6, paragraphe 1, f), du RGPD exige un intérêt légitime, la nécessité du traitement et une mise en balance avec les droits et attentes raisonnables des personnes. L’intérêt commercial de la société et celui de ses clients pouvaient être légitimes. Toutefois, la restriction volontaire de la visibilité sur LinkedIn constituait une opposition que la société devait respecter. Les personnes concernées n’étaient ni utilisatrices de l’extension ni liées par une relation pertinente avec la société. L’intérêt légitime a donc été écarté.

La compétence de l’autorité de contrôle

Les articles 3, paragraphe 1, 4, paragraphe 22, et 56 du RGPD fondent la compétence de l’autorité de contrôle de l’établissement principal. La société étant établie en France, la CNIL était compétente comme autorité chef de file. La présence de personnes concernées dans plusieurs États membres suffisait à caractériser des autorités concernées. L’absence d’objections pertinentes et motivées a entraîné l’approbation du projet conformément à l’article 60, paragraphe 6, du RGPD.

Les mesures correctrices et l’amende administrative

Les articles 58, paragraphe 2, du RGPD et 20, III, de la loi du 6 janvier 1978 permettent d’ordonner la mise en conformité, de satisfaire aux droits des personnes et d’imposer une amende. Selon l’article 83 du RGPD, la sanction doit être effective, proportionnée et dissuasive. La formation restreinte a retenu la négligence, la gravité, l’ampleur du traitement, le nombre de contacts et les avantages financiers. Elle a fixé l’amende à 240 000 euros et l’astreinte à 10 000 euros par jour.

Article 3, paragraphe 1, du RGPD, Article 4, paragraphe 22, du RGPD, Article 5, paragraphe 1, e), du RGPD, Article 6 du RGPD, Article 12 du RGPD, Article 14 du RGPD, Article 15 du RGPD, Article 56, paragraphe 1, du RGPD, Article 58, paragraphe 2, du RGPD, Article 60, paragraphes 3 et 6, du RGPD, Article 83 du RGPD, Article 20, III, de la loi n° 78-17 du 6 janvier 1978, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019