AgentPublic/cnil huggingface dataset:
26. La formation restreinte relève que l’établissement unique de la société KASPR se trouve en France, que le traitement en cause a donc lieu dans le cadre de l’activité de cet établissement, et que la CNIL est ainsi l’autorité compétente pour connaitre de la conformité des traitements au RGPD, ce qui n’est pas contesté par la société. 
 
27. Conformément à l’article 56 du RGPD, la CNIL a informé, le 19 septembre 2023, l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle chef de file concernant les traitements transfrontaliers mis en œuvre par la société, compétence tirée par la CNIL de ce que l’établissement principal de la société se trouve en France. La formation restreinte note à ce propos que le formulaire intitulé " Article 56- Identification of LSA and CSA ", adressé à l’ensemble des autres autorités européennes de protection de données, a uniquement pour objet de permettre aux autres autorités d’avoir connaissance de l’ouverture d’un dossier par l’autorité chef de file et n’a pas pour objectif de déterminer de façon irréfragable leur qualité d’autorité concernée à ce stade. A l’inverse, la formation restreinte relève que la présence de données concernant des personnes établies sur le territoire d’un Etat membre en particulier est déterminant dans l’identification des autorités concernées.
28. En l’espèce, la délégation de contrôle de la CNIL a constaté qu’en plus de tous les autres contacts présents dans la base données, […] contacts dans la base de données KASPR sont localisés en Suède, […] contacts sont localisés en Hongrie et […] contacts sont localisés en Allemagne. Dès lors, l’ensemble des autorités européennes sont concernées au sens de l’article 4, paragraphe 22 du règlement.
 
29. Ainsi, la formation restreinte considère que le critère prévu au b) de l’article 4 (22) du RGPD est bien rempli en l’espèce, dès lors qu’il a été constaté que " des personnes concernées résidant dans l'État membre de cette autorité de contrôle sont sensiblement affectées par le traitement ou sont susceptibles de l'être ". 
 
30. En outre, la formation restreinte rappelle que le responsable de traitement dont l’établissement se trouve sur le territoire de l’Union est tenu de respecter le RGPD à l’égard de toutes les personnes dont il traite les données sans opérer de distinction entre les personnes selon leur localisation. La formation restreinte observe que les faits en cause dans le cas d’espèce s’écartent de ceux visés dans l’arrêt de la CJUE sur le déréférencement.
31. En effet, était en cause, la nécessaire mise en balance entre d’une part, le droit au respect de la vie privée d’une personne située sur le territoire de l’Union européenne, et d’autre part le droit à l’information d’une personne située en dehors de l’Union européenne, laquelle n’est ainsi pas une personne concernée dès lors que ses données n’étaient pas traitées. Il s’agissait d’une personne tierce au traitement. Or, en l’espèce, les personnes se trouvant hors du territoire de l’Union Européenne voient leurs données collectées et traitées par la société KASPR, laquelle est soumise au respect du RGPD. Ainsi, aux termes de l’article 83(2)(a), il convient de prendre en compte le fait que la société traite 160 millions de contacts, étant précisé qu’une même personne physique peut correspondre à plusieurs contacts. 
 
32. En application de l’article 60, paragraphe 3 du RGPD, le projet de décision adopté par la formation restreinte a été transmis aux autres autorités de contrôle européennes compétentes, en vue de leur permettre d’effectuer des objections pertinentes et motivées sur les traitements et manquements qui les concernent, le 5 novembre 2024. 
33. Au 4 décembre 2024, aucune des autorités de contrôle concernées n’avait formulé d’objection pertinente et motivée à l’égard de ce projet de décision concernant les manquements constatés, de sorte que, en application de l’article 60, paragraphe 6, du RGPD, ces dernières sont réputées l’avoir approuvé.
C. Sur le manquement à l’obligation de disposer d’une base légale (article 6 du RGPD)
 
34. Aux termes de l’article 6 du RGPD, " 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : 
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ; 
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ".
35. Le recours à la base légale de l’intérêt légitime, en application de l’article 6, paragraphe 1, f) du RGPD, pour fonder légalement un traitement est soumis à trois conditions : l’intérêt poursuivi doit être légitime, il est nécessaire de traiter les données à caractère personnel aux fins des intérêts légitimes poursuivis et le traitement ne doit pas heurter les droits et intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables.
 
36. A titre d’éclairage, s’agissant de la base légale de l’intérêt légitime, le considérant 47 du RGPD énonce qu’un tel intérêt peut " constituer une base juridique pour le traitement, à moins que les intérêts ou les libertés et droits fondamentaux de la personne concernée ne prévalent, compte tenu des attentes raisonnables des personnes concernées fondées sur leur relation avec le responsable du traitement. Un tel intérêt légitime pourrait, par exemple, exister lorsqu'il existe une relation pertinente et appropriée entre la personne concernée et le responsable du traitement dans des situations telles que celles où la personne concernée est un client du responsable du traitement ou est à son service ".
37. Le rapporteur précise que le manquement à l’article 6 du RGPD développé dans le rapport de sanction ne vise que les données collectées via le réseau social LinkedIn - s’agissant de personnes qui ont entendu restreindre l’affichage de leurs coordonnées - et non les autres sources de collecte. Il considère que la mise à disposition des données de contact des personnes cibles par la société KASPR à ses utilisateurs alors qu’elles avaient choisi de ne pas les rendre publiques à tous, excède ce à quoi peuvent raisonnablement s’attendre les personnes qui s’inscrivent sur un réseau social professionnel tel que LinkedIn.
38. En défense, la société considère que le traitement est fondé sur la base légale de l’intérêt légitime, dès lors que les utilisateurs de LinkedIn s’inscrivent sur ce réseau social pour bénéficier d’une mise en relation avec d’autres professionnels, et qu’il n’est ainsi pas nécessaire de collecter leur consentement. Elle soutient également que la nécessité de vérification d’identité relève des attentes raisonnables des professionnels dans un contexte d’accroissement des risques quant à la validité des profils numériques. Elle estime toutefois que les risques d’hameçonnage et d’usurpation d’identité soulevés par le rapporteur manquent en fait et ne prennent pas en compte les garanties mises en place par KASPR. La société rappelle que l’extension KASPR traite des coordonnées professionnelles et est alimentée par des sources publiques professionnelles légitimes autres que LinkedIn. La société ajoute que la validité de cette base juridique au bénéfice de KASPR ne saurait se limiter qu’à la prise en compte de son seul et unique intérêt et cite une publication de la CNIL " La prospection commerciale par courrier électronique, Pour les professionnels (B to B) du 18 mai 2009 qui indique que " la prospection vers les professionnels peut (parfaitement) être fondée sur l’intérêt légitime de l’organisme ".
39. Enfin, la société relève que la collecte des données de contact est effectuée en adéquation avec les choix exprimés par les utilisateurs du réseau social LinkedIn. Elle précise dans ces dernières écritures que ces derniers ont la possibilité de rendre leurs coordonnées visibles via les paramètres de l’interface LinkedIn, en choisissant parmi quatre options : 1) " uniquement visible par moi ", 2) " Tout le monde sur LinkedIn ", 3) " relations de 1er niveau " et 4) " Relations de 1er et 2e niveau ". La société explique que ce n’est que dans ces deux dernières hypothèses où l’utilisateur rend visible son adresse électronique par ses relations de premier et de second niveau, qu’elle procède à la collecte des données. Lorsque les personnes ont choisi l’option n°1 " uniquement par moi ", leurs données ne sont pas collectées.
40. A titre liminaire, la formation restreinte précise que le manquement développé ci-dessous vise les données à caractère personnel collectées sur le réseau social LinkedIn des personnes cibles ayant fait le choix de limiter ou de masquer la visibilité de leurs coordonnées. La formation restreinte relève également en réponse à un des arguments de la société que la circonstance que la base de données en cause soit uniquement constituée des coordonnées " professionnelles " des personnes cibles demeure sans incidence sur le caractère " personnel " de ces données lorsque ces données se rapportent à des personnes physiques, selon une jurisprudence bien établie de la Cour de justice de l’Union européenne (voir, notamment, CJUE, 9 novembre 2010, Volker e. a., aff. jtes C-92/09 et C-93/09, pt. 59). 
 
41. S’agissant de l’intérêt poursuivi - en ce qu’il présente une nature commerciale et qu’il est consubstantiel au modèle économique de la société – la formation restreinte estime qu’il peut être qualifié de légitime et que les données collectées aux fins de ces intérêts peuvent apparaitre nécessaires, intérêt pouvant également s’étendre aux clients de KASPR qui bénéficient effectivement d’un intérêt en utilisant ces contacts pour de la prospection commerciale ou le recrutement.
42. Cet intérêt légitime poursuivi par la société doit être considéré au regard de la mise en balance des intérêts, des libertés et des droits fondamentaux des personnes concernées et des intérêts légitimes poursuivis par la société, la formation restreinte rappelle que pour fonder un traitement sur la base de l’intérêt légitime, le traitement ne doit pas heurter les droits et intérêts des personnes dont les données sont traitées, compte tenu de leurs attentes raisonnables. 
 
43. Or, en l’espèce, la formation restreinte considère que dès lors que les personnes font usage de leur liberté de choix en restreignant la visibilité de leurs données à caractère personnel, ce choix s’impose nécessairement aux tiers. Ainsi, si un professionnel qui est inscrit sur LinkedIn choisit de limiter la visibilité de ses coordonnées, il ne peut être soutenu que la collecte de ses données par la société KASPR figure au titre des attentes raisonnables de cette personne.
44. La formation restreinte observe qu’il ressort de l’interface des paramètres LinkedIn, que si les personnes cibles qui ont choisi de restreindre la visibilité de leurs coordonnées avaient réellement souhaité que leurs coordonnées professionnelles apparaissent à tous, elles auraient choisi d’activer le paramètre permettant que leurs coordonnées soient visibles de tous les utilisateurs. Elle considère en l’espèce que le fait pour les personnes cibles d’avoir choisi de masquer leurs coordonnées équivaut à une forme d’opposition, corolaire indispensable de l’intérêt légitime, laquelle doit être prise en compte par la société qui n’a ainsi pas d’intérêt légitime pour collecter les coordonnées masquées.
45. Ainsi, en révélant les données des personnes cibles à des personnes qui leur sont inconnues alors qu’elles avaient choisi de restreindre la visibilité de leurs coordonnées (relations de 1er et/ou de 2ème niveaux), la société va directement à l’encontre de leurs " attentes raisonnables ", au sens du considérant 47 du RGPD. Par ailleurs, la formation restreinte note qu’il ressort de l’analyse d’impact de la société que dès lors que le traitement est invisible, les personnes cibles peuvent " ne pas être conscientes que KASPR ou les utilisateurs finaux des données de profil ont collecté leurs données ". Enfin, si la société soutient qu’elle a pris des mesures permettant de limiter le risque pour les personnes dans son analyse d’impact, la formation restreinte note que celle-ci n’envisage pas le cas de figure des personnes cibles dont les données sont collectées alors qu’elles avaient choisi de masquer la visibilité de leurs coordonnées. Elle n’a ainsi pris aucune mesure permettant de limiter le risque d’atteinte aux droits des personnes cibles.
46. Contrairement à ce qu’avance la société, il ne peut être soutenu que les personnes cibles, en autorisant certains de leurs contacts à prendre connaissance de leurs coordonnées, ont, par cette action, entendu autoriser la société KASPR à collecter de telles données. En ce sens, aucune " relation pertinente et appropriée " au sens du considérant précité ne lie les personnes cibles à la société, en ce qu’elles ne sont pas utilisatrices de l’extension KASPR mais simplement des contacts des clients de KASPR qui utilisent l’extension.
 
47. Par ailleurs, la formation restreinte remarque que plusieurs plaignants ayant été démarchés par des utilisateurs de l’extension KASPR, que ce soit par voie électronique ou par téléphone, ont fait part aux services de la Commission de leurs interrogations sur le fondement et sur la légitimité de la collecte et de la mise à disposition de leurs données à caractère personnel par la société.
48. Bien que n’étant pas réalisé par la société, ce démarchage est rendu possible par l’extension KASPR qui révèle à ses utilisateurs les coordonnées de contact des personnes cibles figurant dans sa base de données et conduit certains de ses clients utilisateurs à effectuer ce démarchage. En outre, si la société soutient que les coordonnées des personnes démarchées ont pu être collectées à partir d’autres sources que LinkedIn, cette circonstance est sans incidence sur la caractérisation du manquement en ce que la société n’était pas fondée à collecter les données des personnes qui avaient choisi de restreindre leur visibilité. 
 
49. La formation restreinte souligne que la politique de confidentialité de LinkedIn insiste justement sur le fait que les données traitées à partir de son réseau social le soit conformément aux préférences des utilisateurs : " Toutes les données que vous incluez dans votre profil ou dans le contenu que vous publiez, ainsi que vos actions sur les réseaux sociaux (…) réalisées sur nos Services, sont visibles par d’autres personnes selon vos préférences ".
50. Au vu de tous ces éléments, la formation restreinte considère que les intérêts ou les libertés et droits fondamentaux des personnes concernées, notamment leur droit au respect de la vie privée, prévalaient sur l’intérêt légitime du responsable de traitement à traiter leurs données pour pouvoir assurer le fonctionnement de son extension, de sorte que le fondement juridique de l’intérêt légitime de la société ne peut être retenu.
 
51. Enfin, en ce qui concerne les autres bases légales, la formation restreinte relève que les personnes dont les données de contacts ont été aspirées n’ont jamais consenti d’une quelconque manière à l’aspiration de leurs données de contacts, ni à leur transmission à la société pour faire fonctionner l’extension KASPR.
 
52. Elle relève, en outre, qu’aucun contrat ne lie les personnes concernées à la société KASPR, ce qui n’est d’ailleurs pas contesté par la société.
 
53. Ainsi, la formation restreinte considère que ni la base légale du consentement, ni celle du contrat, ni aucune autre des bases légales (respect d’une obligation légale, sauvegarde des intérêts vitaux de la personne concernée ou exécution d'une mission d'intérêt public), n’apparaissent comme une base légale valable pour le traitement en cause.
54. Il résulte de ce qui précède que la collecte des données de contacts à travers l’import des contacts LinkedIn des utilisateurs ayant décidé de ne pas rendre visibles leurs données de contact à l’ensemble des autres utilisateurs, utilisés pour l’alimentation de la base de données de l’extension KASPR est dépourvue de base juridique, de sorte qu’un manquement à l’article 6 du RGPD est constitué.
 
D. Sur le manquement à l’obligation de définir et de respecter une durée de conservation des données proportionnée à la finalité du traitement (article 5-1-e du RGPD)
 
55. Aux termes de l’article 5, paragraphe 1, e) du RGPD, les données à caractère personnel doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées (…) ".
56. En application de ces dispositions, il incombe au responsable de traitement de définir une durée de conservation conforme à la finalité du traitement. Lorsque cette finalité est atteinte, les données doivent être supprimées ou anonymisées, ou faire l’objet d’un archivage intermédiaire pour une durée déterminée lorsque leur conservation est nécessaire, par exemple pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses notamment.
57. A titre liminaire, il convient de noter que la société collecte et conserve d’une part, les données de contacts des personnes cibles et d’autre part, les données des utilisateurs de l’extension KASPR qui sont utilisées par la société à des fins de prospection commerciale.
58. Le rapporteur relève que si l’extension a été créé en 2018, lors du contrôle sur audition du 28 juillet 2022, la CNIL a été informée que la société KASPR n’avait pas encore formalisé de politique de conservation des données. Ce n’est que dans le cadre de la présente procédure contradictoire que la société a précisé avoir réfléchi à sa politique de conservation des données dès juillet 2021. 
59. Le rapporteur considère, s’agissant des clients de KASPR, que, jusqu’à la redéfinition par la société de sa politique de confidentialité mise à jour en juin 2024, celle-ci conservait les données des clients à des fins de prospection commerciale de manière illimitée tant que ces derniers ne s’y étaient pas opposés. Il considère que cela est incompatible avec le principe de conservation pour une durée proportionnée.
60. Il relève ensuite s’agissant des personnes cibles que la société n’avait pas, au jour du contrôle sur audition effectué par la Commission le 28 juillet 2022, défini de politique de durée de conservation et qu’en tout état de cause, la société n’est pas fondée à conserver indéfiniment les données des personnes cibles, au risque de faire perdre irrémédiablement à ces personnes le contrôle de leurs données. 
61. La société soutient, s’agissant des clients de KASPR, que le point de départ de la durée de conservation de leurs données à des fins de prospection commerciale se renouvelle automatiquement à chaque échéance d’abonnement jusqu’à la résiliation par les clients de leur abonnement. Elle précise qu’elle conserve désormais les données durant trois ans à compter de la fin de l’abonnement, et ce depuis la rédaction de la note relative à la conservation des données par KAPSR en juillet 2021.
62. La société soutient, s’agissant des personnes cibles, que la conservation de ces données est au cœur du service proposé par KASPR à travers son extension et qu’elle a désormais prévu une durée de conservation des données de cinq ans qui commence à courir à chaque mise à jour périodique des données personnelles des personnes cibles.
63. A titre liminaire, la formation restreinte souligne que le manquement à l’article 5-1-e ne concerne pas les données des personnes dont il vient d’être dit aux paragraphes 40 à 50 qu’elles étaient traitées sans base juridique valable, lesquelles n’auraient pas dû être versées et conservées dans la base de données.
64. En premier lieu, la formation restreinte relève, s’agissant des clients de KASPR, qu’au jour du contrôle, la politique de confidentialité de la société indiquait clairement que les données des clients étaient conservées à des fins de prospection commerciale jusqu’à ce que ces derniers s’y opposent. Or, la formation restreinte observe qu’une telle conservation doit être nécessairement limitée dans le temps et que la société ne peut pas se contenter d’une absence d’opposition des utilisateurs pour conserver indéfiniment leurs données après la fin de la durée de la relation commerciale.
65. La formation restreinte relève néanmoins que dans ses écritures, la société a indiqué que la politique de confidentialité en vigueur à la date des contrôles ne reflétait pas la pratique de la société. Elle produit en ce sens des documents internes aux termes desquels la société indique d’une part, appliquer une durée de conservation de trois ans à partir de la fin de la relation commerciale et d’autre part, purger les données ayant atteint cette durée de conservation.
66. La formation restreinte considère dès lors que s’agissant de la conservation des données des clients de la société, aucun manquement à l’article 5-1-e n’est caractérisé. 
67. En second lieu, s’agissant des personnes cibles dont les données n’ont pas été collectées de façon illicite [c’est-à-dire les personnes qui ont choisi de laisser visibles leurs coordonnées sur LinkedIn], la formation restreinte ne conteste pas la nécessité pour la société de conserver les données des personnes cibles ne s’étant pas opposées au traitement de leurs données dans la mesure où leur divulgation aux clients de la société constitue le principe du traitement. Elle relève toutefois qu’initialement, la société indiquait dans sa politique de confidentialité qu’elle conservait les données sans limite de temps et que ce n’est qu’en 2021, soit trois ans après la mise en œuvre du traitement, que la société a commencé à redéfinir sa politique de durée de conservation. 
68. En tout état de cause, la formation restreinte relève que la politique de conservation établie par la société postérieurement au contrôle prévoit que les données sont conservées pendant 5 ans à partir de chaque mise à jour des données, laquelle intervient généralement lorsqu’une personne change de poste ou d’employeur.
69. Or, la formation retreinte note que pour les personnes qui changent de poste ou d’employeur dans un intervalle de moins de 5 ans, ce renouvellement de la durée de conservation conduit à une conservation de leurs données disproportionnée. 
70. La formation restreinte considère que cette conservation " dynamique " par automaticité n’est pas compatible avec le respect du principe de conservation proportionnée.
71. En effet, les personnes cibles ne sont pas utilisatrices du service proposé par KASPR et n’ont pas de relation avec le responsable de traitement. Les personnes cibles sont ainsi passives vis-à-vis du traitement et captives de celui-ci, dès lors qu’elles ne font pas le choix d’être intégrées dans la base de données.
72. La formation restreinte souligne que contrairement à des personnes qui auraient créé un compte en ligne sur un réseau social ou un site de commerce électronique et pour lesquelles il est possible de déterminer à quel moment elles sont devenues inactives il n’est, par nature, pas possible de déterminer un tel moment pour les personnes dont KASPR traite les données.