Clôture de l’injonction prononcée à l’encontre de la société KASPR

Le contexte

En décembre 2024, la formation restreinte – organe de la CNIL chargé des sanctions – avait prononcé à l’encontre de la société KASPR une amende de 240 000 euros, les contrôles réalisés ayant permis de constater que :

• la société collectait les coordonnées d’utilisateurs de LinkedIn qui avaient pourtant expressément choisi de limiter la visibilité de leur profil ;
• la société conservait les coordonnées des utilisateurs pendant 5 ans à partir de chaque mise à jour des données, qui intervenait généralement lorsqu’une personne changeait de poste ou d’employeur ;
• jusqu’en 2022, les personnes concernées n’étaient pas informées de la collecte de leurs données et, à partir de 2022, l’information délivrée était uniquement disponible en anglais ;
• lorsque des personnes exerçaient leur droit d’accès afin de connaître la source de leurs données, la société KASPR se contentait de leur indiquer qu’elles avaient été collectées à partir de sources publiquement accessibles.

La formation restreinte avait, en plus de l’amende, prononcé des injonctions afin de faire cesser ces manquements dans un délai de 6 mois. Il avait ainsi été demandé à la société de :

• cesser de collecter les données des personnes ayant choisi de limiter la visibilité de leurs coordonnées, et de supprimer les données collectées de cette manière. À défaut, en cas d’impossibilité de distinguer les données dont la visibilité avait été limitée, la société devait – dans un délai de 3 mois – informer les personnes concernées du traitement de leurs données et de la possibilité de s’y opposer, et n’utiliser leurs données que dans ce but ;
• cesser le renouvellement automatique de la conservation des données personnelles issues des profils LinkedIn ;
• informer les personnes dont les données sont collectées dans une langue qu’elles maîtrisent ;
• faire suite aux demandes de droit d’accès dont KASPR avait été saisie, en donnant aux personnes concernées toutes les informations dont elle dispose sur les sources de collecte de leurs données.

Le non-respect de cette injonction exposait la société au paiement d’une astreinte (c’est-à-dire d’une amende supplémentaire) de 10 000 euros par jour de retard.

La clôture de l’injonction

En réponse à cette injonction, la société a, dans les délais impartis, apporté les éléments permettant de démontrer l’effectivité des mesures prises :

• pour se conformer à l’injonction, elle a choisi d’effacer sa base de données et de cesser toute collecte de données sur LinkedIn ;
• elle a également supprimé le mécanisme de renouvellement automatique de la durée de conservation des données en cas de mise à jour du profil ;
• elle fournit à présent une information dans toutes les langues officielles de l’Union européenne et a transmis des réponses aux demandes de droit d’accès des plaignants.

Compte tenu de cette mise en conformité, la formation restreinte a décidé de ne pas liquider l’astreinte (c’est-à-dire de ne pas exiger le paiement de l’amende supplémentaire évoquée ci-dessus) et de clôturer l’injonction.