Applicabilité territoriale du RGPD : absence de suivi comportemental excluant la compétence de la CNIL

La formation restreinte qualifie d’abord de traitement de données à caractère personnel les opérations de collecte, conservation, croisement et diffusion de coordonnées professionnelles, au sens de l’article 4, paragraphe 2, du RGPD. La société est responsable du traitement au sens de l’article 4, paragraphe 7, dès lors qu’elle détermine au moins en partie ses finalités et ses moyens, y compris lorsque la collecte est opérée par des filiales.

Toutefois, l’article 3, paragraphe 2, du RGPD ne rend le règlement applicable à un responsable établi hors de l’Union que si le traitement est lié à une offre de biens ou services dans l’Union ou au suivi du comportement de personnes qui s’y trouvent. La formation restreinte écarte le premier critère, l’extension ne visant pas les personnes dont les données sont traitées. Elle écarte également le second : le rapprochement de coordonnées professionnelles avec l’identité d’une personne dont le profil est consulté ne permet ni d’analyser ni de prédire son comportement, ses préférences ou ses déplacements et ne constitue pas un profilage au sens de l’article 4, paragraphe 4.

Le RGPD étant inapplicable, la formation restreinte ne pouvait prononcer de sanction. Elle ordonne néanmoins la publication de la délibération afin d’informer les utilisateurs concernés.

⬇️Télécharger la décision version officielle

Une société américaine exploitait une extension fournissant des coordonnées professionnelles à partir de données aspirées dans des carnets d’adresses numériques. La CNIL l’a considérée comme responsable du traitement, mais a estimé que celui-ci ne relevait pas du champ territorial du RGPD, faute d’offre de services aux personnes concernées ou de suivi de leur comportement. Aucune sanction n’a été prononcée, mais la décision a été rendue publique.

Une société établie aux États-Unis, filiale d’une société israélienne et dépourvue d’établissement dans l’Union européenne, commercialisait une extension pour navigateurs permettant d’obtenir les coordonnées professionnelles de personnes dont le profil était consulté sur LinkedIn ou Salesforce.

La base de données utilisée par l’extension était alimentée par l’aspiration des carnets d’adresses numériques d’utilisateurs d’applications mobiles exploitées par des filiales. Les données étaient filtrées afin de conserver principalement les coordonnées professionnelles, puis rapprochées de l’identité des personnes ciblées.

Après plusieurs contrôles en ligne et une procédure contradictoire, le rapporteur proposait une amende et une injonction de mise en conformité au RGPD. La formation restreinte a considéré que la société était responsable du traitement, mais a estimé que le traitement ne relevait pas du champ territorial du RGPD, faute d’offre de services aux personnes concernées ou de suivi de leur comportement. Aucune sanction n’a donc été prononcée, mais la délibération a été rendue publique.

• Identifier une opération portant sur des données à caractère personnel
• Vérifier que la société détermine les finalités ou les moyens du traitement
• Constater l’absence d’établissement dans l’Union européenne
• Écarter l’offre de biens ou services aux personnes concernées
• Rechercher une analyse ou prédiction du comportement
• Vérifier l’existence éventuelle d’un profilage

• Constatations des contrôles en ligne de la CNIL
• Description technique du fonctionnement de l’extension
• Éléments relatifs à l’aspiration des carnets d’adresses
• Déclarations des représentants lors de l’audition
• Présentation commerciale du service sur le site web

La société ne fait l’objet d’aucune sanction administrative, le RGPD étant jugé inapplicable au traitement en cause. Elle reste toutefois exposée à la publicité de la délibération, tandis que les utilisateurs sont informés du régime juridique retenu.

• Absence d’amende administrative au titre du RGPD
• Publication de la délibération sur les sites désignés
• Information des utilisateurs des applications concernées
• Maintien de la qualification des coordonnées comme données personnelles
• Vérification distincte de toute activité future de profilage

À faire

• Cartographier les opérations de collecte et de transmission
• Identifier les finalités et moyens déterminés par chaque entité
• Documenter le fonctionnement technique de l’extension
• Conserver les constats et réponses transmis à l’autorité
• Informer les utilisateurs du régime applicable

À éviter

• Assimiler coordonnées professionnelles et données non personnelles
• Présenter une simple consultation de profil comme un suivi comportemental
• Revendiquer l’absence de responsabilité en raison d’une filiale
• Confondre rapprochement d’identités et profilage
• Omettre les conséquences d’une publication administrative

La qualification des opérations comme traitement de données personnelles

La collecte, la conservation, la structuration, le croisement et la diffusion de coordonnées professionnelles constituent un traitement au sens de l’article 4, paragraphe 2, du RGPD. Le caractère professionnel des coordonnées ne leur fait pas perdre leur caractère personnel. L’ensemble des opérations nécessaires au fonctionnement de l’extension forme un traitement unique poursuivant notamment une finalité de mise à disposition de coordonnées de prospects.

La responsabilité de traitement de la société mère

La société est responsable au sens de l’article 4, paragraphe 7, du RGPD lorsqu’elle détermine au moins en partie les finalités et les moyens du traitement. Cette responsabilité couvre les opérations d’aspiration des carnets d’adresses et de transmission des données, même lorsqu’elles sont matériellement réalisées par des filiales détenues à 100 %, dès lors qu’elles sont indispensables au fonctionnement de l’extension.

L’absence de suivi comportemental au sens territorial

L’article 3, paragraphe 2, b), du RGPD n’est pas applicable lorsque le traitement se limite à rapprocher des coordonnées professionnelles de l’identité d’une personne dont le profil est consulté. La formation restreinte a relevé l’absence d’analyse ou de prédiction du comportement, des préférences, des intérêts ou des déplacements, ainsi que l’absence de profilage au sens de l’article 4, paragraphe 4. Aucune sanction ne pouvait donc être prononcée.

Article 3 du règlement (UE) 2016/679 (RGPD), Article 4, paragraphes 2, 4 et 7, du règlement (UE) 2016/679 (RGPD), Article 20 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 40 du décret n° 2019-536 du 29 mai 2019