Une extension de navigateur. Vous visitez un profil LinkedIn, vous cliquez, et le numéro de téléphone personnel apparaît, avec l’adresse professionnelle.
Cent soixante millions de fiches constituées de cette façon. Deux cent quarante mille euros d’amende, et une injonction.
La décision de la CNIL du 5 décembre 2024 contre la société KASPR est le document le plus instructif qui existe sur ce que vaut, juridiquement, une base d’adresses professionnelles constituée par aspiration.
Le dispositif, décrit par la CNIL
La description est neutre, ce qui la rend plus efficace qu’une charge :
« La société KASPR commercialise une extension payante pour le navigateur Chrome qui permet à ses clients d’obtenir les coordonnées professionnelles de personnes dont ils visitent le profil sur le réseau social LinkedIn. Pour ce faire, la société se constitue une base de coordonnées à partir de Linkedin et d’autres sites web, tels que des annuaires de noms de domaines. »
Et l’ordre de grandeur : « Environ 160 millions de contacts figurent dans la base de données constituée par la société KASPR. »
L’usage prévu est explicite : « Les coordonnées ainsi collectées sont susceptibles de permettre aux clients de la société de contacter les personnes cibles, par exemple pour de la prospection commerciale ou de la vérification d’identité. »
Nous sommes exactement dans le cas d’usage que vend aujourd’hui la moitié du marché de l’enrichissement de données B2B.
Le premier reproche : les attentes raisonnables
Le manquement à l’article 6 ne porte pas sur le principe de la collecte publique. Il porte sur ce que la personne pouvait raisonnablement prévoir.
« La CNIL a considéré que la collecte par KASPR de coordonnées pour lesquelles les utilisateurs de Linkedin avaient expressément limité la visibilité excédait ce à quoi pouvaient raisonnablement s’attendre les personnes qui s’inscrivent sur un réseau social professionnel. »
Le critère n’est donc pas « la donnée était-elle accessible », mais « la personne pouvait-elle s’attendre à cet usage ». Un profil professionnel visible ne vaut pas autorisation de constituer un fichier commercial à partir de ses coordonnées restreintes.
C’est le même raisonnement que celui qui gouverne l’intérêt légitime en prospection B2B : la mise en balance se fait au regard des attentes de la personne, pas de la disponibilité technique de la donnée.
Le deuxième reproche : l’information, quatre ans plus tard et en anglais
C’est le manquement le plus transposable, parce qu’il concerne tous ceux qui exploitent des données non collectées auprès des personnes.
« La société n’a commencé à informer les personnes concernées que leurs données personnelles avaient été collectées qu’en 2022, soit quatre ans après la mise en œuvre de l’extension KASPR. L’information se fait par un courriel en anglais, renvoyant vers un lien permettant de s’opposer au traitement. »
Puis la précision qui fera jurisprudence dans les pratiques :
« Outre l’absence d’information des personnes sur la collecte de leurs données jusqu’en 2022, la CNIL a considéré que le fait d’adresser un courriel rédigé en anglais ne permettait pas une information transparente et compréhensible. »
Un courriel d’information rédigé en anglais, adressé à des personnes en France, ne vaut pas information. La langue fait partie de la transparence.
Rappelons que cette obligation d’information n’est pas facultative et qu’elle a un calendrier : l’article 14 impose d’écrire dans le mois, ou au plus tard au premier message.
Le troisième reproche : d’où vient cette adresse ?
Le manquement à l’article 15 est le plus redoutable pour quiconque exploite une base agrégée.
« Lorsque des personnes ayant fait l’objet de démarchage interrogeaient la société KASPR sur la manière dont leurs coordonnées avaient été obtenues, celle-ci se contentait de leur indiquer que leurs coordonnées avaient été collectées à partir de sources publiquement accessibles. »
Réponse jugée insuffisante :
« Après avoir rappelé que la société devait pouvoir indiquer « toute information disponible quant à la source » des données, la CNIL a estimé que même si la société était dans l’incapacité technique de préciser la source des données collectées pour chaque personne concernée, elle avait cependant connaissance d’une partie des sources qui alimentent sa base. »
Lisez la construction : l’incapacité technique n’exonère pas. Si vous connaissez une partie de vos sources, vous devez communiquer cette partie.
« Sources publiquement accessibles » n’est pas une réponse. C’est une catégorie.
Ce que cette décision impose à une base de contacts
Mises bout à bout, les trois exigences dessinent le cahier des charges d’une base B2B qui tienne devant un contrôle.
Une provenance conservée par enregistrement, ou à tout le moins un ensemble de sources documenté et communicable.
Une information des personnes envoyée dans les délais, dans leur langue, et pas quatre ans après.
Un droit d’opposition qui fonctionne du premier coup, et qui vaut pour l’ensemble de la base.
Aucune de ces trois exigences n’est technique. Toutes les trois sont pourtant absentes de la quasi-totalité des offres d’enrichissement vendues aujourd’hui, et l’acheteur, lui, reste responsable de traitement.
Le M3AAWG, du côté des opérateurs, condamne d’ailleurs cette pratique dans des termes qui ne laissent aucune ambiguïté : « Email appending is a direct violation of core M3AAWG values ». Le droit et les opérateurs, pour une fois, disent la même chose.
Ce que vous faites demain matin
Si vous utilisez une extension d’enrichissement, ouvrez sa politique de confidentialité et cherchez la réponse à une seule question : que répond l’éditeur à quelqu’un qui demande d’où vient son numéro ?
Si vous exploitez une base achetée, testez votre propre réponse à cette question. Un prospect vous écrit, il demande la source. Vous avez un mois pour répondre, et « sources publiquement accessibles » ne suffira pas.
Vérifiez ensuite la langue de vos courriers d’information. Un modèle en anglais envoyé à des destinataires français a déjà été jugé non conforme.
Et si vous constituez une base, faites-le sur des critères que vous pouvez expliquer à la personne concernée. La recherche de contacts de Sestaro repose sur des critères professionnels explicites, poste, entreprise, secteur, territoire, et laisse chercher gratuitement avant de révéler quoi que ce soit : on qualifie la cible avant de payer, ce qui est aussi la meilleure façon de savoir pourquoi on écrit à quelqu’un.
Sources
- CNIL (19 décembre 2024). Aspiration de données : sanction de 240 000 euros à l’encontre de la société KASPR, délibération SAN-2024-020
- Union européenne (27 avril 2016). Règlement (UE) 2016/679 (RGPD), articles 6, 12, 14 et 15
- CNIL. Sanctions et mesures correctrices : bilan 2024 de l’action de la CNIL
- M3AAWG. M3AAWG Position on Email Appending
LaFactory travaille l’emailing sur pièces : en-têtes, enregistrements DNS, journaux de rejet. Aucune promesse de taux d’ouverture, jamais. Contactez-nous pour un audit de délivrabilité.