La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Philippe-Pierre CABOURDIN, président, Vincent LESCLOUS, vice-président, Madame Laurence FRANCESCHINI et Messieurs Bertrand DU MARAIS et Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n°2022-104C du 21 juin 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société KASPR ;

Vu le rapport de Monsieur Fabien TARISSAN, commissaire rapporteur, notifié à la société KASPR le 3 mai 2024 ;

Vu les observations écrites versées par le conseil de la société KASPR le 13 juin 2024 ;

Vu la réponse du rapporteur à ces observations signifiée par commissaire de justice à la société KASPR le 12 juillet 2024 ;

Vu les observations écrites versées par le conseil de la société KASPR, reçues le 19 août 2024 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 19 septembre 2024 :

– Monsieur Fabien TARISSAN, commissaire, entendu en son rapport ;

En qualité de représentants de la société KASPR :

– […].

La société KASPR ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. Créée en 2018, la société KASPR (ci-après  » la société « ), a son siège basé au 38 rue Dunois à Paris (75013), ses bureaux opérationnels sont situés au 198 avenue de France à Paris (75013). La société emploie 32 salariés. Elle a réalisé un chiffre d’affaires d’environ […] euros en 2021, […] euros en 2022, et […] euros en 2023.

2. La société KASPR développe et commercialise une extension (ci-après  » l’extension KASPR « ) disponible à partir du site  » kaspr.io  » et fonctionnant sur le navigateur CHROME, qui permet à ses utilisateurs d’obtenir les coordonnées professionnelles de personnes dont ils visitent le profil sur le réseau social LinkedIn.

3. Le 28 juillet 2022, faisant suite à plusieurs saisines, et en vertu de la décision n° 2022-104C du 21 juin 2022 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ), les services de la Commission ont effectué un contrôle sur audition des représentants de la société.

4. Ce contrôle avait pour objet de vérifier la conformité des traitements de données à caractère personnel mis en œuvre par la société KASPR aux dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après  » le RGPD  » ou  » le Règlement « ), de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après  » loi Informatique et Libertés « ) et, le cas échéant aux dispositions des articles L251-1 et suivants du code de la sécurité intérieure.

5. Par courrier électronique du 9 août 2022, la société a fait parvenir à la CNIL plusieurs documents et éléments de réponse sollicités par les services de la Commission dans le cadre des investigations.

6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 8 avril 2024, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.

7. Le 3 mai 2024, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant les manquements au RGPD qu’il estimait constitués en l’espèce.

8. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction de mettre en conformité le traitement avec les articles 5, 6, 12, 14 et 15 du RGPD, assortie d’une astreinte à l’issue d’un délai de trois mois suivant la notification de la délibération de la formation restreinte. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

9. Par courrier électronique du 17 mai 2024, la société a sollicité un délai complémentaire auprès du président de la formation restreinte pour produire ses observations en réponse, qui lui a été accordé le 23 mai suivant, sur le fondement de l’article 40, alinéa 4 du décret du 29 mai 2019.

10. Le 13 juin 2024, la société a produit des observations en réponse au rapport du rapporteur.

11. Le 12 juillet 2024, le rapporteur a répondu aux observations de la société.

12. Le 19 août 2024, la société a présenté de nouvelles observations en réponse.

13. Par courrier du 6 septembre 2024, la société a reçu une convocation à la séance de la formation restreinte du 19 septembre suivant.

14. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte du 19 septembre 2024.

I. Motifs de la décision

A. Sur le traitement en cause

15. L’outil KASPR est une extension pour le navigateur CHROME qui, lors de la visite du profil d’une personne sur LinkedIn, affiche les coordonnées professionnelles (numéro de téléphone et adresse électronique) de personnes physiques qui figurent dans la base de données KASPR. Pour accéder à ce service, l’utilisateur doit acheter et dépenser des  » crédits  » permettant d’afficher les coordonnées de la personne souhaitée (la personne cible). Le nombre de crédits dont bénéficie l’utilisateur est déterminé par le prix de son abonnement, qui peut être mensuel ou annuel.

16. En l’espèce, la formation restreinte relève que la société traite les données à caractère personnel de deux catégories distinctes de personnes :

– les personnes cibles, c’est à dire les personnes dont les coordonnées professionnelles ont été collectées par la société à partir de différentes sources, dont le réseau social LinkedIn et versées dans sa base de données ;

– les utilisateurs de l’extension KASPR, c’est-à-dire les clients de la société dont l’abonnement permet de visiter les profils LinkedIn des personnes cibles afin, notamment, d’obtenir leurs coordonnées professionnelles.

17. La finalité de l’extension KASPR est de permettre à ces utilisateurs de contacter les personnes cibles, par exemple pour de la prospection commerciale, du recrutement ou de la vérification d’identité, grâce aux coordonnées de professionnels obtenues. Les seules données pouvant être affichées par l’extension lors de la visite d’un profil LinkedIn sont le numéro de téléphone et l’adresse de courriel. Les données collectées concernant les données de contacts des personnes cibles sont les nom, prénom, adresse de courriel, numéro de téléphone, URL du profil LinkedIn ou autres réseaux sociaux, employeur, entreprise, intitulé du poste, compétences, intérêt professionnel, carrière, date d’embauche et de fin de poste, formation, lieu de travail, source de la donnée et date de la collecte

18. La formation restreinte observe que la société collecte les données par le biais de trois sources :

– des  » fournisseurs  » collectant eux-mêmes des données à partir de sources professionnelles publiquement accessibles comme LinkedIn, Whois, GitHub ;

– les annuaires des registres de noms de domaines, qui permettent de rechercher des informations sur un nom de domaine déjà existant et son titulaire ;

– l’import des contacts LinkedIn d’un utilisateur lors de l’activation de KASPR. Les utilisateurs KASPR synchronisent l’extension KASPR avec leur compte LinkedIn. La délégation a été informée que cela permet de récupérer les coordonnées disponibles sur LinkedIn des contacts directs des utilisateurs mais qui ne sont pas forcément visibles par l’intégralité des visiteurs du site LinkedIn. L’extension KASPR permet ainsi de rendre disponibles, dans la base de données KASPR, des données que les contacts LinkedIn des utilisateurs de KASPR souhaitaient limiter à leurs seuls contacts au sein du réseau social professionnel.

19. Environ 160 millions de contacts figurent dans la base de données constituée par la société, dont précisément […] au sein de l’Union Européenne, de la Norvège, de l’Islande et du Liechtenstein, l’origine géographique étant déterminée par l’adresse du lieu de travail.

B. Sur la compétence de la CNIL et l’application du mécanisme de cohérence

20. L’article 3, paragraphe 1 du RGPD dispose que  » Le présent règlement s’applique au traitement des données à caractère personnel effectué dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire de l’Union, que le traitement ait lieu ou non dans l’Union « .

21. Aux termes de l’article 56, paragraphe 1, du Règlement,  » l’autorité de contrôle de l’établissement principal ou de l’établissement unique du responsable du traitement ou du sous-traitant est compétente pour agir en tant qu’autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement ou ce sous-traitant, conformément à la procédure prévue à l’article 60 « .

22. Les critères permettant de déterminer si une autorité de contrôle est concernée sont fixés par l’article 4 (22) du RGPD qui dispose qu’une autorité est  » concernée par le traitement de données à caractère personnel parce que :

a) le responsable du traitement ou le sous-traitant est établi sur le territoire de l’État membre dont cette autorité de contrôle relève ;

b) des personnes concernées résidant dans l’État membre de cette autorité de contrôle sont sensiblement affectées par le traitement ou sont susceptibles de l’être ; ou

c) une réclamation a été introduite auprès de cette autorité de contrôle « .

23. Le rapporteur considère qu’en application de l’article 3, paragraphe 1 du RGPD, dès lors que les activités du responsable de traitement ont lieu sur le territoire de l’Union, les obligations contenues dans le RGPD s’appliquent pour toutes les personnes concernées par ledit traitement, que celles-ci soient localisées au sein de l’Union européenne ou non.

24. Par ailleurs, le rapporteur considère que, dès lors que la délégation de la CNIL a constaté la présence dans la base de données KASPR de données à caractère personnel de personnes localisées en Suède, en Hongrie et dans le land de Saxe, ces autorités sont concernées.

25. En défense, si la société ne conteste pas la qualité d’autorité compétente de la CNIL pour connaître de la conformité au RGPD du traitement en cause, elle soutient que la CNIL n’est pas compétente pour se prononcer, en tant qu’autorité chef de file, sur la conformité au RGPD des traitements des données à caractère personnel des personnes situées en Hongrie, en Suède et dans le land de Saxe dès lors que ces autorités se sont déclarées non concernées. S’agissant ensuite du champ d’application territoriale du RGPD, la société considère que dans l’évaluation du nombre de personnes concernées par les manquements qui lui sont reprochés, ne peuvent pas être pris en compte les personnes localisées en dehors de l’Union Européenne. La société soutient que dans son arrêt du 24 septembre 2019, la Cour de justice de l’Union européenne a considéré à l’occasion d’une question préjudicielle relative à la portée territoriale du droit au déréférencement que le RGPD ne pouvait produire d’effet que sur le territoire de l’Union européenne (CJUE, grande chambre, 24 septembre 2019, Google, n°C-507/17).

26. La formation restreinte relève que l’établissement unique de la société KASPR se trouve en France, que le traitement en cause a donc lieu dans le cadre de l’activité de cet établissement, et que la CNIL est ainsi l’autorité compétente pour connaitre de la conformité des traitements au RGPD, ce qui n’est pas contesté par la société.

27. Conformément à l’article 56 du RGPD, la CNIL a informé, le 19 septembre 2023, l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant les traitements transfrontaliers mis en œuvre par la société, compétence tirée par la CNIL de ce que l’établissement principal de la société se trouve en France. La formation restreinte note à ce propos que le formulaire intitulé  » Article 56- Identification of LSA and CSA « , adressé à l’ensemble des autres autorités européennes de protection de données, a uniquement pour objet de permettre aux autres autorités d’avoir connaissance de l’ouverture d’un dossier par l’autorité chef de file et n’a pas pour objectif de déterminer de façon irréfragable leur qualité d’autorité concernée à ce stade. A l’inverse, la formation restreinte relève que la présence de données concernant des personnes établies sur le territoire d’un Etat membre en particulier est déterminant dans l’identification des autorités concernées.

28. En l’espèce, la délégation de contrôle de la CNIL a constaté qu’en plus de tous les autres contacts présents dans la base données, […] contacts dans la base de données KASPR sont localisés en Suède, […] contacts sont localisés en Hongrie et […] contacts sont localisés en Allemagne. Dès lors, l’ensemble des autorités européennes sont concernées au sens de l’article 4, paragraphe 22 du règlement.

29. Ainsi, la formation restreinte considère que le critère prévu au b) de l’article 4 (22) du RGPD est bien rempli en l’espèce, dès lors qu’il a été constaté que  » des personnes concernées résidant dans l’État membre de cette autorité de contrôle sont sensiblement affectées par le traitement ou sont susceptibles de l’être « .

30. En outre, la formation restreinte rappelle que le responsable de traitement dont l’établissement se trouve sur le territoire de l’Union est tenu de respecter le RGPD à l’égard de toutes les personnes dont il traite les données sans opérer de distinction entre les personnes selon leur localisation. La formation restreinte observe que les faits en cause dans le cas d’espèce s’écartent de ceux visés dans l’arrêt de la CJUE sur le déréférencement.

31. En effet, était en cause, la nécessaire mise en balance entre d’une part, le droit au respect de la vie privée d’une personne située sur le territoire de l’Union européenne, et d’autre part le droit à l’information d’une personne située en dehors de l’Union européenne, laquelle n’est ainsi pas une personne concernée dès lors que ses données n’étaient pas traitées. Il s’agissait d’une personne tierce au traitement. Or, en l’espèce, les personnes se trouvant hors du territoire de l’Union Européenne voient leurs données collectées et traitées par la société KASPR, laquelle est soumise au respect du RGPD. Ainsi, aux termes de l’article 83(2)(a), il convient de prendre en compte le fait que la société traite 160 millions de contacts, étant précisé qu’une même personne physique peut correspondre à plusieurs contacts.

32. En application de l’article 60, paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis aux autres autorités de contrôle européennes compétentes, en vue de leur permettre d’effectuer des objections pertinentes et motivées sur les traitements et manquements qui les concernent, le 5 novembre 2024.

33. Au 4 décembre 2024, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision concernant les manquements constatés, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.

C. Sur le manquement à l’obligation de disposer d’une base légale (article 6 du RGPD)

34. Aux termes de l’article 6 du RGPD,  » 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;

c) le traitement est nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis ;

d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique ;

e) le traitement est nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement ;

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant « .

35. Le recours à la base légale de l’intérêt légitime, en application de l’article 6, paragraphe 1, f) du RGPD, pour fonder légalement un traitement est soumis à trois conditions : l’intérêt poursuivi doit être légitime, il est nécessaire de traiter les données à caractère personnel aux fins des intérêts légitimes poursuivis et le traitement ne doit pas heurter les droits et intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables.

36. A titre d’éclairage, s’agissant de la base légale de l’intérêt légitime, le considérant 47 du RGPD énonce qu’un tel intérêt peut  » constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. Un tel intérêt légitime pourrait, par exemple, exister lorsqu’il existe une relation pertinente et appropriée entre la personne concernée et le responsable du traitement dans des situations telles que celles où la personne concernée est un client du responsable du traitement ou est à son service « .

37. Le rapporteur précise que le manquement à l’article 6 du RGPD développé dans le rapport de sanction ne vise que les données collectées via le réseau social LinkedIn – s’agissant de personnes qui ont entendu restreindre l’affichage de leurs coordonnées – et non les autres sources de collecte. Il considère que la mise à disposition des données de contact des personnes cibles par la société KASPR à ses utilisateurs alors qu’elles avaient choisi de ne pas les rendre publiques à tous, excède ce à quoi peuvent raisonnablement s’attendre les personnes qui s’inscrivent sur un réseau social professionnel tel que LinkedIn.

38. En défense, la société considère que le traitement est fondé sur la base légale de l’intérêt légitime, dès lors que les utilisateurs de LinkedIn s’inscrivent sur ce réseau social pour bénéficier d’une mise en relation avec d’autres professionnels, et qu’il n’est ainsi pas nécessaire de collecter leur consentement. Elle soutient également que la nécessité de vérification d’identité relève des attentes raisonnables des professionnels dans un contexte d’accroissement des risques quant à la validité des profils numériques. Elle estime toutefois que les risques d’hameçonnage et d’usurpation d’identité soulevés par le rapporteur manquent en fait et ne prennent pas en compte les garanties mises en place par KASPR. La société rappelle que l’extension KASPR traite des coordonnées professionnelles et est alimentée par des sources publiques professionnelles légitimes autres que LinkedIn. La société ajoute que la validité de cette base juridique au bénéfice de KASPR ne saurait se limiter qu’à la prise en compte de son seul et unique intérêt et cite une publication de la CNIL  » La prospection commerciale par courrier électronique, Pour les professionnels (B to B) du 18 mai 2009 qui indique que  » la prospection vers les professionnels peut (parfaitement) être fondée sur l’intérêt légitime de l’organisme « .

39. Enfin, la société relève que la collecte des données de contact est effectuée en adéquation avec les choix exprimés par les utilisateurs du réseau social LinkedIn. Elle précise dans ces dernières écritures que ces derniers ont la possibilité de rendre leurs coordonnées visibles via les paramètres de l’interface LinkedIn, en choisissant parmi quatre options : 1)  » uniquement visible par moi « , 2)  » Tout le monde sur LinkedIn « , 3)  » relations de 1er niveau  » et 4)  » Relations de 1er et 2e niveau « . La société explique que ce n’est que dans ces deux dernières hypothèses où l’utilisateur rend visible son adresse électronique par ses relations de premier et de second niveau, qu’elle procède à la collecte des données. Lorsque les personnes ont choisi l’option n°1  » uniquement par moi « , leurs données ne sont pas collectées.

40. A titre liminaire, la formation restreinte précise que le manquement développé ci-dessous vise les données à caractère personnel collectées sur le réseau social LinkedIn des personnes cibles ayant fait le choix de limiter ou de masquer la visibilité de leurs coordonnées. La formation restreinte relève également en réponse à un des arguments de la société que la circonstance que la base de données en cause soit uniquement constituée des coordonnées  » professionnelles  » des personnes cibles demeure sans incidence sur le caractère  » personnel  » de ces données lorsque ces données se rapportent à des personnes physiques, selon une jurisprudence bien établie de la Cour de justice de l’Union européenne (voir, notamment, CJUE, 9 novembre 2010, Volker e. a., aff. jtes C-92/09 et C-93/09, pt. 59).

41. S’agissant de l’intérêt poursuivi – en ce qu’il présente une nature commerciale et qu’il est consubstantiel au modèle économique de la société – la formation restreinte estime qu’il peut être qualifié de légitime et que les données collectées aux fins de ces intérêts peuvent apparaitre nécessaires, intérêt pouvant également s’étendre aux clients de KASPR qui bénéficient effectivement d’un intérêt en utilisant ces contacts pour de la prospection commerciale ou le recrutement.

42. Cet intérêt légitime poursuivi par la société doit être considéré au regard de la mise en balance des intérêts, des libertés et des droits fondamentaux des personnes concernées et des intérêts légitimes poursuivis par la société, la formation restreinte rappelle que pour fonder un traitement sur la base de l’intérêt légitime, le traitement ne doit pas heurter les droits et intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables.

43. Or, en l’espèce, la formation restreinte considère que dès lors que les personnes font usage de leur liberté de choix en restreignant la visibilité de leurs données à caractère personnel, ce choix s’impose nécessairement aux tiers. Ainsi, si un professionnel qui est inscrit sur LinkedIn choisit de limiter la visibilité de ses coordonnées, il ne peut être soutenu que la collecte de ses données par la société KASPR figure au titre des attentes raisonnables de cette personne.

44. La formation restreinte observe qu’il ressort de l’interface des paramètres LinkedIn, que si les personnes cibles qui ont choisi de restreindre la visibilité de leurs coordonnées avaient réellement souhaité que leurs coordonnées professionnelles apparaissent à tous, elles auraient choisi d’activer le paramètre permettant que leurs coordonnées soient visibles de tous les utilisateurs. Elle considère en l’espèce que le fait pour les personnes cibles d’avoir choisi de masquer leurs coordonnées équivaut à une forme d’opposition, corolaire indispensable de l’intérêt légitime, laquelle doit être prise en compte par la société qui n’a ainsi pas d’intérêt légitime pour collecter les coordonnées masquées.

45. Ainsi, en révélant les données des personnes cibles à des personnes qui leur sont inconnues alors qu’elles avaient choisi de restreindre la visibilité de leurs coordonnées (relations de 1er et/ou de 2ème niveaux), la société va directement à l’encontre de leurs  » attentes raisonnables « , au sens du considérant 47 du RGPD. Par ailleurs, la formation restreinte note qu’il ressort de l’analyse d’impact de la société que dès lors que le traitement est invisible, les personnes cibles peuvent  » ne pas être conscientes que KASPR ou les utilisateurs finaux des données de profil ont collecté leurs données « . Enfin, si la société soutient qu’elle a pris des mesures permettant de limiter le risque pour les personnes dans son analyse d’impact, la formation restreinte note que celle-ci n’envisage pas le cas de figure des personnes cibles dont les données sont collectées alors qu’elles avaient choisi de masquer la visibilité de leurs coordonnées. Elle n’a ainsi pris aucune mesure permettant de limiter le risque d’atteinte aux droits des personnes cibles.

46. Contrairement à ce qu’avance la société, il ne peut être soutenu que les personnes cibles, en autorisant certains de leurs contacts à prendre connaissance de leurs coordonnées, ont, par cette action, entendu autoriser la société KASPR à collecter de telles données. En ce sens, aucune  » relation pertinente et appropriée  » au sens du considérant précité ne lie les personnes cibles à la société, en ce qu’elles ne sont pas utilisatrices de l’extension KASPR mais simplement des contacts des clients de KASPR qui utilisent l’extension.

47. Par ailleurs, la formation restreinte remarque que plusieurs plaignants ayant été démarchés par des utilisateurs de l’extension KASPR, que ce soit par voie électronique ou par téléphone, ont fait part aux services de la Commission de leurs interrogations sur le fondement et sur la légitimité de la collecte et de la mise à disposition de leurs données à caractère personnel par la société.

48. Bien que n’étant pas réalisé par la société, ce démarchage est rendu possible par l’extension KASPR qui révèle à ses utilisateurs les coordonnées de contact des personnes cibles figurant dans sa base de données et conduit certains de ses clients utilisateurs à effectuer ce démarchage. En outre, si la société soutient que les coordonnées des personnes démarchées ont pu être collectées à partir d’autres sources que LinkedIn, cette circonstance est sans incidence sur la caractérisation du manquement en ce que la société n’était pas fondée à collecter les données des personnes qui avaient choisi de restreindre leur visibilité.

49. La formation restreinte souligne que la politique de confidentialité de LinkedIn insiste justement sur le fait que les données traitées à partir de son réseau social le soit conformément aux préférences des utilisateurs :  » Toutes les données que vous incluez dans votre profil ou dans le contenu que vous publiez, ainsi que vos actions sur les réseaux sociaux (…) réalisées sur nos Services, sont visibles par d’autres personnes selon vos préférences « .

50. Au vu de tous ces éléments, la formation restreinte considère que les intérêts ou les libertés et droits fondamentaux des personnes concernées, notamment leur droit au respect de la vie privée, prévalaient sur l’intérêt légitime du responsable de traitement à traiter leurs données pour pouvoir assurer le fonctionnement de son extension, de sorte que le fondement juridique de l’intérêt légitime de la société ne peut être retenu.

51. Enfin, en ce qui concerne les autres bases légales, la formation restreinte relève que les personnes dont les données de contacts ont été aspirées n’ont jamais consenti d’une quelconque manière à l’aspiration de leurs données de contacts, ni à leur transmission à la société pour faire fonctionner l’extension KASPR.

52. Elle relève, en outre, qu’aucun contrat ne lie les personnes concernées à la société KASPR, ce qui n’est d’ailleurs pas contesté par la société.

53. Ainsi, la formation restreinte considère que ni la base légale du consentement, ni celle du contrat, ni aucune autre des bases légales (respect d’une obligation légale, sauvegarde des intérêts vitaux de la personne concernée ou exécution d’une mission d’intérêt public), n’apparaissent comme une base légale valable pour le traitement en cause.

54. Il résulte de ce qui précède que la collecte des données de contacts à travers l’import des contacts LinkedIn des utilisateurs ayant décidé de ne pas rendre visibles leurs données de contact à l’ensemble des autres utilisateurs, utilisés pour l’alimentation de la base de données de l’extension KASPR est dépourvue de base juridique, de sorte qu’un manquement à l’article 6 du RGPD est constitué.

D. Sur le manquement à l’obligation de définir et de respecter une durée de conservation des données proportionnée à la finalité du traitement (article 5-1-e du RGPD)

[… passage central omis : décision trop longue pour une cellule …]

101. La formation restreinte considère que si la société pouvait fournir les informations requises par l’article 15 précité dans le cadre d’une information de second niveau, c’est-à-dire en intégrant un lien dans le courriel d’information renvoyant vers le site internet de KASPR et en particulier vers sa politique de confidentialité des données, celle-ci n’est pas assez précise au vu des informations dont disposait la société sur les sources des données. En effet, il est indiqué dans la politique de confidentialité en vigueur au moment de la réponse qu’elle a apporté aux plaignants, s’agissant de l’origine des données à caractère personnel des personnes cibles : » Nous collectons ces données auprès de sources publiques, d’annuaires professionnels et de nos partenaires ponctuellement « . Or, il ressort des pièces du dossier que la société KASPR a pourtant identifié précisément une partie des sources qui alimentent sa base de données.

102. En effet, elle a indiqué à la délégation de contrôle trois sources principales de données (point 19) qui sont d’ailleurs aujourd’hui visées dans la dernière version de sa politique de confidentialité, :  » Nous collectons ces données auprès des réseaux sociaux tels que LinkedIn, des annuaires professionnels tels que Whois et GitHub et de nos fournisseurs de données de temps à autres « .

103. La formation restreinte considère toutefois que la mention de  » nos fournisseurs de données de temps à autres  » ne donne aucune précision sur les différents  » fournisseurs  » dont il s’agit en l’espèce et considère que dès lors que KASPR a connaissance des différentes sources précises, il lui appartient de les renseigner.

104. Ainsi, la société était en capacité de fournir davantage d’informations aux plaignants s’agissant des sources des données, quand bien même elle n’était pas en capacité d’indiquer aux plaignants la source précise.

105. La formation restreinte rappelle que le droit d’accès a pour objectif de permettre à la personne concernée de prendre connaissance du traitement de ses données et d’en vérifier la licéité. L’exercice de ce droit suppose donc que les informations fournies soient les plus précises possibles (CNIL, FR, 30 novembre 2022, Sanction, n°SAN 2022-022).

106. Il résulte de ce qui précède que la société n’a pas renseigné les personnes cibles ayant exercé leur droit d’accès sur la source à partir de laquelle elle avait collecté leurs données, de sorte qu’un manquement à l’article 15 du RGPD est constitué.

II. Sur le prononcé de mesures correctrices et la publicité

107. Aux termes du 2. de l’article 58 du RGPD,  » Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes: […]

c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits en application du présent règlement;

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé; […]

i) imposer une amende administrative en application de