Délibération SAN-2024-020
KASPR : 240 000 € d’amende, délibération SAN-2024-020
Le 5 décembre 2024, la formation restreinte de la CNIL a infligé 240 000 € à KASPR pour manquements aux dispositions suivantes : article 6 du RGPD, article 5 §1 e) du RGPD, article 12 du RGPD, article 14 du RGPD, article 15 du RGPD (délibération SAN-2024-020).
Les faits
L'extension de la société permet d'obtenir les coordonnées professionnelles de personnes dont l'utilisateur visite le profil sur LinkedIn. Le contrôle sur audition a lieu le 28 juillet 2022. La CNIL examine la base légale, la conservation et l'information des personnes.
| Date | 5 décembre 2024 |
|---|---|
| Numéro | SAN-2024-020 |
| Organisme | KASPR |
| Secteur | Extension de navigateur pour obtenir des coordonnées professionnelles |
| Amende | 240 000 € |
| Autres mesures | Injonction ; Publication ; anonymisation après deux ans |
| Canaux | Non précisé dans la décision |
| Origine des données | Données extraites d’un réseau social professionnel : coordonnées obtenues à partir de profils LinkedIn |
| Suite | SAN-2026-004 du 4 mars 2026 : pas de liquidation de l'astreinte. |
| Texte de la délibération | Lire sur Légifrance |
Les manquements retenus
Article 6 du RGPD
Licéité du traitement : la base légale (consentement, intérêt légitime...)Cas des personnes qui avaient limité la visibilité de leurs coordonnées.
« ni la base légale du consentement, ni celle du contrat, ni aucune autre des bases légales »
Extrait de la délibération SAN-2024-020
Autres dispositions retenues par la délibération : article 5 §1 e) du RGPD, article 12 du RGPD, article 14 du RGPD, article 15 du RGPD.
Les textes cités
- Article 6 du RGPD : licéité du traitement : la base légale (consentement, intérêt légitime...). Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 5, paragraphe 1, e) du RGPD : limitation de la conservation : pas plus longtemps que nécessaire. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 12 du RGPD : transparence de l’information et modalités d’exercice des droits. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 14 du RGPD : information quand les données ne viennent pas de la personne. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
- Article 15 du RGPD : droit d’accès. Version : règlement (UE) 2016/679 du 27/04/2016, JOUE L 119 du 04/05/2016, texte relu le 21/10/2026.
Ce que le donneur d’ordre en retient
Contrôle à exiger d’un prestataire ou d’un vendeur de fichier :
- Demander à un fournisseur de coordonnées d’où viennent les données, quelle base légale il retient et comment les personnes sont informées, y compris quand elles n’ont rien donné elles-mêmes.
Des sanctions pour le même manquement
- Jeux-concours et tests de produits en ligne : 75 000 € d’amende, délibération SAN-2023-025
29 décembre 2023, Jeux-concours et tests de produits en ligne - CALOGA : 80 000 € d’amende, délibération SAN-2025-002
15 mai 2025, Marketing digital (prospection par courriel)
Votre campagne, et le régime qui s’y applique
Décrivez qui vous voulez toucher et par quels canaux. La demande part vers un seul professionnel de la prospection, qui vous répond par écrit.