AgentPublic/cnil huggingface dataset:
73. Si la société explique avoir mis en place depuis le 18 mai 2022 une campagne d’information par courriel qui permet aux personnes de s’opposer au traitement de leurs données et donc, d’y mettre fin, la formation restreinte relève que pour les personnes se trouvant dans le cas de figure décrit au point 70, l’envoi de ce message constituait à ce jour la seule occasion pour elles de faire part de leur volonté de ne plus figurer dans la base de données de la société. Dans les cas de figure où les personnes ne s’opposeraient pas au traitement à l’occasion de la réception de ce message, la société conservera leurs données indéfiniment.
74. Ainsi, la formation restreinte estime qu’il conviendrait que la société cesse le renouvellement dynamique automatique de la conservation des données à caractère personnel des personnes cibles afin que KASPR ne conserve pas leurs données de manière indéterminée et illimitée, mais au plus pendant cinq ans.
75. Il résulte de ce qui précède que la politique de conservation des durées définie par la société n’est pas proportionnée au regard des spécificités du traitement, ce qui constitue un manquement à l’article 5-1-e du RGPD.
E. Sur le manquement à l’obligation de transparence et d’information des personnes (articles 12 et 14 du RGPD)
76. L’article 12, paragraphe 1, du RGPD dispose que " le responsable du traitement prend des mesures appropriées pour fournir toute information visée aux articles 13 et 14 ainsi que pour procéder à toute communication au titre des articles 15 à 22 et de l’article 34 en ce qui concerne le traitement à la personne concernée d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant. Les informations sont fournies par écrit ou par d'autres moyens y compris, lorsque c’est approprié, par voie électronique ".
 
77. L’article 14 du RGPD prévoit que lorsque les données à caractère personnel n'ont pas été collectées auprès de la personne concernée par le traitement, le responsable de traitement fournit à cette dernière les éléments d’information visés à ce même article " dans un délai raisonnable après avoir obtenu les données à caractère personnel, mais ne dépassant pas un mois, eu égard aux circonstances particulières dans lesquelles les données à caractère personnel sont traitées ".
78. Ainsi, au titre de cet article, le responsable de traitement doit fournir à la personne concernée des informations notamment sur l’identité et les coordonnées du responsable du traitement (et le cas échéant les coordonnées du délégué à la protection des données), les finalités du traitement, sa base juridique, les catégories de données à caractère personnel concernées, le cas échéant les destinataires ou les catégories de destinataires des données, le fait que le responsable du traitement a l'intention d'effectuer un transfert des données vers un pays tiers ainsi que, si cela est nécessaire pour garantir un traitement équitable et transparent, la durée de conservation des données, l'existence des différents droits dont bénéficient les personnes dont celui de demander au responsable du traitement l'accès aux données à caractère personnel, la rectification ou celui de s'opposer au traitement, la source d’où proviennent les données et l’existence éventuelle d’une prise de décision automatisée.
 
79. Aux termes du paragraphe 5, b), de ce même article, cette obligation d’information ne s’impose toutefois pas lorsque " la fourniture de telles informations se révèle impossible ou exigerait des efforts disproportionnés " ou lorsque le respect de cette obligation d’information " est susceptible de rendre impossible ou de compromettre gravement la réalisation des objectifs dudit traitement ".
80. Dans ses lignes directrices du 29 novembre 2017 révisées le 11 avril 2018 relatives à la transparence, le groupe de travail " article 29 " sur la protection des données souligne que " Les articles 13 et 14 font référence à l’obligation imposée au responsable du traitement de "[fournir] toutes les informations suivantes...". Le mot " fournir " est crucial en l’occurrence. Il signifie que le responsable du traitement doit prendre des mesures concrètes pour fournir les informations en question à la personne concernée ou pour diriger activement la personne concernée vers l’emplacement desdites informations ". Il ressort ainsi des lignes directrices que " La personne concernée ne doit pas avoir à chercher activement les informations couvertes par ces articles parmi d’autres informations telles que les conditions d’utilisation d’un site internet ou d’une application " (point 33).
 
81. Le rapporteur relève, s’agissant de l’obligation d’information, que ce n’est qu’à partir du 18 mai 2022 que la société a commencé à informer les personnes concernées que leurs données à caractère personnel avaient été collectées dans un courriel en langue anglaise renvoyant vers un lien permettant de s’opposer au traitement. Le rapporteur considère pourtant que la société était en capacité d’informer les personnes cibles, dès le déploiement de l’application, que leurs données étaient traitées, dès lors que parmi les données qu’elle collecte figure une adresse de messagerie électronique.
82. Le rapporteur relève ensuite, s’agissant de l’obligation de transparence, que l’information délivrée dans le courriel d’information envoyé depuis le 18 mai 2022 est exclusivement rédigée en anglais, ce qui ne permet pas d’informer valablement les personnes ne maitrisant pas cette langue. 
 
83. En défense, la société soutient qu’entre 2018 et 2022, soit entre la création de l’extension et la mise en place de courriels d’information relatifs au traitement, l’information des personnes a été faite par l’intermédiaire des politiques de confidentialité de LinkedIn et de KASPR, et que si la communication mise en œuvre le 18 mai 2022 était uniquement disponible en langue anglaise, cela ne constitue pas un manquement à l’obligation de transparence dès lors que l’extension KASPR est utilisée par un public de professionnels pour lesquels cette langue peut être considérée comme était couramment utilisée au sein de l’Union européenne.
 
84. A titre, liminaire, la formation restreinte souligne que le manquement aux articles 12 et 14 ne concerne pas l’information des personnes dont les données ont étés collectées de façon illicite, comme exposé aux paragraphes 40 à 50, l’obligation d’information de ces personnes étant, de ce fait, sans objet. La formation restreinte note toutefois que si la société procédait à la collecte (qu’elle considérait à tort comme licite) de ces données, elle n’informait pas non plus les personnes concernées.
85. La formation restreinte note en premier lieu, s’agissant de l’obligation d’information, que les données des personnes cibles ont été collectées et traitées pendant près de 4 ans, sans qu’aucune information ne leur soit transmise par la société, cette dernière ne prévoyant dans son analyse d’impact que depuis juillet 2022 qu’elle " notifie toutes les personnes concernées présentes dans sa base de données en conformité avec ses obligations prévues par l’article 14 du RGPD et constitue une équipe dédiée à la gestion des demandes d’accès dans les délais impartis ".
86. La formation restreinte considère que la société ne peut se prévaloir de sa politique de confidentialité ou de celle de LinkedIn pour considérer qu’elle a rempli son obligation d’information vis-à-vis des personnes concernées par le traitement. La formation restreinte note à ce propos que dans sa politique de confidentialité, la société LinkedIn précise " Toutes les données que vous incluez dans votre profil ou dans le contenu que vous publiez, ainsi que vos actions sur les réseaux sociaux (…) réalisées sur nos Services, sont visibles par d’autres personnes selon vos préférences ". Or la pratique de la société KASPR, en rendant accessible des données qu’un utilisateur souhaitait garder " privées ", va à l’encontre de leur volonté. La politique de confidentialité de KASPR n’apporte quant à elle aucune information précise notamment sur la source des données collectées, se contentant d’indiquer " Nous collectons ces données auprès de sources publiques, d’annuaires professionnels et de nos partenaires ponctuellement ".
87. La formation restreinte considère en second lieu, s’agissant de l’obligation de transparence, que l’information des personnes dont les coordonnées sont traitées par un courriel uniquement disponible en anglais, ne répond pas à l’exigence de fourniture d’une information transparente posée à l’article 12 du Règlement (CNIL, FR, 29 décembre 2023, Sanction, n°SAN 2023-023). La formation restreinte rappelle que selon les lignes directrices du groupe de travail " de l’Article 29 " sur la transparence au sens du règlement (UE) 2016/679, adoptées le 11 avril 2018, un aspect primordial du principe de transparence réside dans le fait que " la personne concernée devrait être en mesure de déterminer à l’avance ce que la portée et les conséquences du traitement englobent afin de ne pas être prise au dépourvu à un stade ultérieur quant à la façon dont ses données à caractère personnel ont été utilisées " et qu’" Une traduction dans une ou plusieurs langues devrait être fournie lorsque le responsable du traitement cible des personnes concernées parlant ces langues ".
88. En l’espèce, si la société soutient que les professionnels dont les données sont collectées maîtrisent la langue anglaise dès lors qu’ils travaillent au sein de l’Union européenne, la formation restreinte considère que le seul fait que ces personnes soient inscrites sur le réseau social et travaillent dans un pays de l’Union européenne ne préjuge pas de leur niveau d’anglais. Toute personne peut en effet s’inscrire sur LinkedIn, sans nécessairement exercer une profession qui requiert l’usage de l’anglais, comme l’a récemment soulevé l’autorité néerlandaise de protection des données dans le cadre d’un manquement à l’obligation de transparence à l’encontre des sociétés Uber Technologies Inc. et Uber BV. L’autorité a en effet considéré que le responsable de traitement est dans l’obligation de traduire les informations fournies aux personnes dont les données sont traitées dans une langue qu’elles comprennent, et qu’il n’est pas possible de préjuger de leur niveau d’anglais (Dutch data protection authority, 11 décembre 2023, Uber Technologies Inc. et Uber BV).
 
89. Or en l’espèce, l’absence d’information compréhensible pour les personnes avait pour conséquence, jusqu’à la mise en place d’informations disponibles en plusieurs langues dont la société a fait part dans le cadre de ses deuxièmes observations, de les priver de la possibilité de s’opposer au traitement et donc au versement de ces données dans la base de la société.
90. Si la société note que certains plaignants ont adressé leur demande d’exercice des droits en anglais, la formation restreinte rappelle qu’il n’est pas possible de présupposer du niveau d’anglais de chaque personne dont le contact est présent dans la base de données KASPR, et note à ce propos que même lorsque les plaignants se sont adressés en français à la société, celle-ci a répondu en anglais.
 
91. Enfin, la formation restreinte note que la société a indiqué pour la première fois dans ses observations produites le 19 août 2024 qu’elle permettait désormais aux personnes de sélectionner la langue de leur choix concernant le courriel d’information et la politique de confidentialité de KASPR afin de les lire en français, espagnol, néerlandais ou allemand, sans toutefois préciser la date à laquelle cette option a été mise en œuvre, ni pour quelle raison ces documents n’ont pas été mis à disposition dans toutes les langues parlées au sein de l’Union européenne. 
 
92. Il résulte de ce qui précède qu’entre 2018 et 2022 aucune information n’était fournie aux personnes cibles qui n’avaient pas restreints la visibilité de leurs données et que depuis 2022, une information est délivrée en anglais, ce qui ne répond pas à l’exigence de transparence, de sorte qu’un manquement aux articles 12 et 14 est constitué jusqu’à la mise en place de la possibilité pour les personnes de sélectionner la langue de leur choix.
F. Sur le manquement à l’obligation de faire droit aux demandes d’exercice du droit d’accès (article 15 du RGPD)
 
93. Aux termes de l’article 15, paragraphe 1, point g) du Règlement : " la personne concernée a le droit d'obtenir du responsable du traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, l'accès auxdites données à caractère personnel ainsi que, […] lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée, toute information disponible quant à leur source ".
 
94. L’article 12, paragraphe 4, du RPGD prévoit que " le responsable du traitement fournit à la personne concernée des informations sur les mesures prises à la suite d’une demande formulée en application des articles 15 à 22, dans les meilleurs délais et en tout état de cause dans un délai d’un mois à compter de la réception de la demande ".
 
95. Le rapporteur note qu’il ressort de plusieurs saisines que les plaignants ayant fait l’objet de démarchage et ayant interrogé la société KASPR sur l’origine des données n’ont reçu aucune réponse précise de la part de la société, cette dernière se contentant de leur indiquer que les données étaient disponibles sur des sources publiquement accessibles.
96. Le rapporteur considère que la société aurait dû, dès lors qu’elle est en capacité d’identifier certaines des sources utilisées pour collecter les données présentes dans sa base de données, citer les sources de collecte possibles dans le cadre des demandes d’accès, même si elle n’était pas en mesure d’indiquer aux plaignants la source précise de collecte des données à caractère personnel les concernant.
 
97. En défense, la société fait valoir que la prise en compte de plaintes postérieures au contrôle sur audition porte atteinte aux droits de la défense en ce que ce n’est qu’à l’occasion de la préparation de ses observations en réponse au rapport du rapporteur qu’elle a eu la possibilité de démontrer la manière dont ces plaintes avaient été traitées. 
 
 
 
98. La société ajoute qu’elle n’avait pas la capacité technique, avant janvier 2022, de retracer de manière distincte les différentes catégories de sources de données intégrées à la base de données KASPR, et qu’elle n’était pas en mesure de le faire de manière rétroactive à partir de janvier 2022.
 
99. La formation restreinte considère, en premier lieu, que la société a disposé du temps et des facilités nécessaires afin d’apporter tout élément de nature à démontrer le sort réservé aux plaintes communiquées par le rapporteur à l’appui de son rapport initial. Elle considère qu’aucune atteinte aux droits de la défense n’est constituée, les manquements étant antérieurs au prononcé de la sanction.
100. La formation restreinte considère, en second lieu, que la société doit pouvoir indiquer " toute information disponible quant à la source " des données qu’elle détient sur les personnes en application de l’article 15 précité, notamment où a été récupéré le numéro de téléphone professionnel de la personne, dans le cas où elle dispose de cette information. Or en l’espèce, il ressort des saisines que les plaignants s’interrogeaient sur la manière dont la société avait obtenu leurs coordonnées, sans qu’une réponse précise ne leur ait été apportée, la société se contentant d’indiquer que les données étaient disponibles sur des sources publiquement accessibles. Si la société soutient qu’elle a, conformément aux lignes directrices du CEPD sur les droits des personnes concernées - droit d’accès n°01/2022 du 28 mars 2023, répondu aux demandes d’accès en mettant en place un mécanisme de renvoi de deuxième niveau vers des informations plus précises, la formation restreinte note qu’il ressort des mêmes lignes directrices qui présentent un exemple, que : " S’il n’est pas possible de déterminer ex ante laquelle des entreprises interviendra dans le traitement, il suffit de mentionner les noms des entreprises éligibles dans la politique de confidentialité. Dans le cadre d’une demande fondée sur l’article 15, outre les informations selon lesquelles des informations relatives à la solvabilité ont été obtenues, il serait alors nécessaire (a posteriori) d’indiquer quelles sociétés ont été
impliquées exactement. Il ressort clairement de l’article 15, paragraphe 1, point g), que les informations sur le traitement des données comprennent " toute information disponible quant à leur source " lorsque les données à caractère personnel ne sont pas collectées auprès de la personne concernée ".
101. La formation restreinte considère que si la société pouvait fournir les informations requises par l’article 15 précité dans le cadre d’une information de second niveau, c’est-à-dire en intégrant un lien dans le courriel d’information renvoyant vers le site internet de KASPR et en particulier vers sa politique de confidentialité des données, celle-ci n’est pas assez précise au vu des informations dont disposait la société sur les sources des données. En effet, il est indiqué dans la politique de confidentialité en vigueur au moment de la réponse qu’elle a apporté aux plaignants, s’agissant de l’origine des données à caractère personnel des personnes cibles :" Nous collectons ces données auprès de sources publiques, d’annuaires professionnels et de nos partenaires ponctuellement ". Or, il ressort des pièces du dossier que la société KASPR a pourtant identifié précisément une partie des sources qui alimentent sa base de données. 
 
102. En effet, elle a indiqué à la délégation de contrôle trois sources principales de données (point 19) qui sont d’ailleurs aujourd’hui visées dans la dernière version de sa politique de confidentialité, : " Nous collectons ces données auprès des réseaux sociaux tels que LinkedIn, des annuaires professionnels tels que Whois et GitHub et de nos fournisseurs de données de temps à autres ".
103. La formation restreinte considère toutefois que la mention de " nos fournisseurs de données de temps à autres " ne donne aucune précision sur les différents " fournisseurs " dont il s’agit en l’espèce et considère que dès lors que KASPR a connaissance des différentes sources précises, il lui appartient de les renseigner.
 
104. Ainsi, la société était en capacité de fournir davantage d’informations aux plaignants s’agissant des sources des données, quand bien même elle n’était pas en capacité d’indiquer aux plaignants la source précise.
 
105. La formation restreinte rappelle que le droit d’accès a pour objectif de permettre à la personne concernée de prendre connaissance du traitement de ses données et d’en vérifier la licéité. L’exercice de ce droit suppose donc que les informations fournies soient les plus précises possibles (CNIL, FR, 30 novembre 2022, Sanction, n°SAN 2022-022).
 
106. Il résulte de ce qui précède que la société n’a pas renseigné les personnes cibles ayant exercé leur droit d’accès sur la source à partir de laquelle elle avait collecté leurs données, de sorte qu’un manquement à l’article 15 du RGPD est constitué.
 
II. Sur le prononcé de mesures correctrices et la publicité
107. Aux termes du 2. de l’article 58 du RGPD, " Chaque autorité de contrôle dispose du pouvoir d'adopter toutes les mesures correctrices suivantes: […]
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits en application du présent règlement;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé; […]
i) imposer une amende administrative en application de l'article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas ".
 
108. Le III de l’article 20 de la loi du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
 
109. L’article 83 du RGPD dispose en outre que " chaque autorité de contrôle veille à ce que les amendes administratives imposées […] soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende.
110. La formation restreinte doit ainsi tenir compte dans la détermination du montant de l’amende de critères tels que le nombre de violations, leur nature et gravité, le nombre de personnes concernées et les avantages financiers obtenus du fait du manquement.
 
111. La société soutient que son traitement est légitime, que le prononcé d’une amende est privé de fondements en l’absence de manquements effectivement constitués et que le prononcé d’une amende reviendrait à refuser de prendre en compte des mesures de conformité pourtant existantes. La société soutient ensuite que le montant de l’amende est disproportionné par rapport à la gravité des manquements et du comportement de KASPR qui devrait constituer un " facteur atténuant ". Enfin, la société soutient que la proposition d’injonction est dénuée d’objet et que la publicité de la sanction serait contre-productive à l’égard d’une société qui s’est investie dans une démarche de conformité au RGPD.
112. En premier lieu, la formation restreinte rappelle que, si l’imposition d’une amende administrative est conditionnée à l’établissement d’une violation fautive de la part de l’organisme poursuivi, cette faute peut découler d’un comportement délibéré mais également d’une négligence, en application de l’alinéa b) de l’article 83, paragraphe 2 du RGPD (CJUE, Grande Chambre, 5 décembre 2023, Deutsche Wohnen SE e.a., C-807/21 ; CJUE, Grande Chambre, 5 décembre 2023, Nacionalinis visuomenės sveikatos centras prie Sveikatos apsaugos ministerijos e.a., C-683/21).