Dans un monde où les données personnelles sont devenues une ressource précieuse, les entreprises doivent naviguer avec précaution dans le paysage réglementaire complexe du RGPD. La récente sanction infligée par la CNIL à Kaspr, un fournisseur d’extension Chrome qui collectait des données sur LinkedIn, souligne l’importance cruciale de respecter les choix des utilisateurs en matière de confidentialité.
Une collecte controversée de données personnelles
Kaspr proposait une solution technique permettant d’accéder aux coordonnées professionnelles des utilisateurs de LinkedIn, même lorsque ceux-ci avaient choisi de restreindre la visibilité de ces informations. Cette pratique a été jugée contraire à plusieurs principes fondamentaux du RGPD par la CNIL.
Lorsque des personnes choisissent de limiter l’accès à leurs coordonnées, ce choix doit être respecté sans équivoque par les tiers.
La CNIL
En collectant systématiquement des données rendues privées, Kaspr violait les attentes raisonnables des utilisateurs en matière de confidentialité sur un réseau professionnel comme LinkedIn.
Un stockage disproportionné et prolongé des informations
Outre la collecte problématique des coordonnées, la CNIL a également pointé du doigt la gestion inadéquate de la durée de conservation des données par Kaspr. Les informations étaient généralement conservées pendant cinq ans, une période jugée excessive, surtout pour les professionnels changeant fréquemment de poste.
De plus, chaque mise à jour prolongeait cette période de conservation, exacerbant encore la disproportion du traitement des données. Cette approche contrevenait directement à l’obligation de proportionnalité posée par le RGPD.
L’opacité face aux obligations de transparence
La transparence est un pilier essentiel du RGPD, et c’est un autre domaine où Kaspr a failli. Jusqu’en 2022, les personnes concernées n’étaient pas informées de la collecte ni de l’utilisation de leurs données personnelles.
Face aux plaintes, les réponses fournies par Kaspr étaient vagues et insatisfaisantes, mentionnant simplement que les données provenaient de sources publiquement accessibles. Cette opacité constituait une infraction directe aux obligations de transparence imposées par le RGPD.
Des mesures correctives exigées et une amende salée
En réponse aux infractions relevées, la CNIL a ordonné à Kaspr de prendre des mesures correctives :
- Cesser immédiatement la collecte des coordonnées des personnes ayant limité leur visibilité sur LinkedIn
- Supprimer toutes les données obtenues sous ces conditions
- Informer les utilisateurs concernés du traitement de leurs informations et leur offrir la possibilité de s’y opposer
En plus de ces injonctions, la CNIL a infligé à Kaspr une amende de 240 000 euros, soulignant la gravité des manquements constatés en matière de protection des données personnelles.
Quelles leçons en tirer pour les entreprises ?
Cette affaire met en lumière les enjeux cruciaux liés à la collecte et à la gestion des données personnelles à l’ère numérique. Pour éviter de lourdes sanctions, les entreprises utilisant des techniques similaires doivent impérativement :
- Respecter scrupuleusement les choix des utilisateurs en matière de confidentialité
- Mettre en place des politiques strictes de conformité au RGPD
- Assurer une transparence totale sur la collecte et l’utilisation des données
- Ajuster la durée de conservation des informations au strict nécessaire
Les actions prises contre Kaspr sonnent comme un avertissement : les autorités de protection des données sont prêtes à sévir contre les violations. Dans un contexte où la confiance est un enjeu majeur, il est plus que jamais essentiel pour les entreprises de placer la protection des données personnelles au cœur de leurs priorités.
