Armingaud Avocat

CNIL - Délibération de la formation restreinte n°SAN-2026-004 du 4 mars 2026 concernant la société KASPR (injonction SAN-2024-020)

Case Law
CitationCNIL, Formation restreinte, 4 mars 2026, Société KASPR, n° SAN-2026-004, publié
Date of the decision2026-03-04
Case NumberSAN-2026-004
LanguageFrench
GeographyFrance
Judicial AuthorityCNIL — Formation restreinte
SummaryKASPR — liquidation d'astreinte (suite SAN-2024-020) — conformité constatée — pas de liquidation
Link to official version of the decisionAccéder à la décision ↗

11 min de lecture

Télécharger .md

SAN-2026-004 — KASPR — Suivi d'injonction SAN-2024-020 — Conformité constatée — Pas de liquidation d'astreinte

Vue d’ensemble

  • Problématique : La société KASPR a-t-elle satisfait, dans le délai de six mois fixé par la délibération CNIL - Délibération de la formation restreinte n°SAN-2024-020 du 5 décembre 2024 concernant la société KASPR du 5 décembre 2024, aux injonctions prononcées à son encontre portant sur : (i) la licéité de la collecte de coordonnées via LinkedIn, (ii) la durée de conservation des données, (iii) l’information des personnes concernées, et (iv) le traitement des demandes de droit d’accès ?

  • Chronologie des événements clés :

    • 5 décembre 2024 : Délibération SAN-2024-020 (amende + injonctions + astreinte 10 000 €/jour après 6 mois)
    • 18 décembre 2024 : Signification de la décision à KASPR → point de départ du délai de 6 mois
    • 30 mai 2025 : KASPR adresse ses éléments de mise en conformité à la formation restreinte
    • 28 novembre 2025 : Les services CNIL demandent des précisions sur la politique de conservation et signalent une demande d’accès sans réponse
    • 25 décembre 2025 : KASPR complète ses éléments et justifie la conformité résiduelle
    • 13 février 2026 : Séance de la formation restreinte
    • 4 mars 2026 : Décision — pas de liquidation d’astreinte
    • 6 mars 2026 : Publication sur Légifrance

Constatations principales

1. Licéité du traitement (art. 6 RGPD) — INJONCTION SATISFAITE

KASPR a (i) supprimé l’intégralité de sa base de données, éliminant ainsi toutes les données collectées illicitement, et (ii) mis fin au mécanisme d’extraction des coordonnées depuis LinkedIn. La collecte s’effectue désormais dans le respect de l’article 6 du RGPD.

2. Durée de conservation (art. 5-1-e RGPD) — INJONCTION SATISFAITE

Le mécanisme de renouvellement automatique de la durée de conservation de 5 ans déclenchée par chaque changement de poste ou d’employeur a été supprimé. La suppression totale de la base de données a par ailleurs éliminé tout profil conservé depuis plus de cinq ans.

3. Transparence et information des personnes (arts. 12 et 14 RGPD) — INJONCTION SATISFAITE

KASPR a mis en place un courriel d’information envoyé aux personnes dont les coordonnées figuraient dans la base, avec lien vers l’exercice du droit d’opposition, disponible dans toutes les langues officielles de l’Union européenne.

4. Droit d’accès (art. 15 RGPD) — INJONCTION SATISFAITE

KASPR a répondu à l’ensemble des demandes d’accès des plaignants visées dans l’injonction. Pour les personnes ayant également exercé leur droit d’opposition, elles ont été informées de la suppression de la base de données. La dernière demande sans réponse, signalée par les services CNIL le 28 novembre 2025, a été traitée avant la séance du 13 février 2026.

Dispositif

Détail des sanctions

MesureDétail
Astreinte prévue10 000 €/jour après 6 mois (fixée par SAN-2024-020)
Liquidation de l’astreinteAucune — conformité dans les délais
Amende (rappel SAN-2024-020)Voir SAN-2024-020

Chronologie procédurale

DateÉtape
5 déc. 2024Délibération SAN-2024-020 — amende + injonctions + astreinte 10 000 €/j
18 déc. 2024Signification à KASPR → point de départ délai 6 mois
30 mai 2025KASPR transmet ses éléments de mise en conformité
28 nov. 2025Services CNIL : demande de précisions sur conservation + signalement demande d’accès en souffrance
25 déc. 2025KASPR complète ses justificatifs
13 févr. 2026Séance formation restreinte
4 mars 2026Décision SAN-2026-004
6 mars 2026Publication Légifrance

Mesures correctrices mises en œuvre par KASPR

Injonction SAN-2024-020Mesure mise en œuvre
Cesser la collecte de données LinkedIn des personnes ayant limité leur visibilitéCessation totale de la collecte depuis LinkedIn
Supprimer les données collectées illicitementSuppression intégrale de la base de données KASPR
Mettre fin au renouvellement automatique de la conservation à 5 ansMécanisme supprimé, confirmé par la société le 25 déc. 2025
Informer les personnes dans une langue qu’elles maîtrisentCourriel d’information en toutes les langues officielles de l’UE, avec lien droit d’opposition
Répondre aux demandes de droit d’accès (y compris source des données)Réponses adressées à tous les plaignants visés dans l’injonction

Jurisprudence CNIL citée / Décision parente

Note de portée

Cette décision est une décision de suivi d’injonction (liquidation d’astreinte), et non une décision de sanction autonome. Elle ne statue pas sur le fond des manquements, déjà tranchés par SAN-2024-020. Son intérêt pratique est double :

  1. Elle documente les mesures concrètes acceptées par la CNIL comme satisfaisant une injonction de mise en conformité dans le secteur du data brokerage / scraping LinkedIn : suppression totale de base de données, cessation de collecte, information multilingue, traitement des droits.
  2. Elle confirme l’effectivité du mécanisme d’astreinte : la menace de 10 000 €/jour a conduit KASPR à se mettre en conformité en 5,5 mois (signification 18 déc. 2024 → justificatifs 30 mai 2025).

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mesdames Isabelle LATOURNARIE-WILLEMS et Laurence FRANCESCHINI, Messieurs Didier KLING et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ; Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ; Vu la délibération n° SAN-2024-020 du 5 décembre 2024 adoptée par la formation restreinte à l’encontre de la société KASPR ; Vu les éléments transmis par la société KASPR les 30 mai et 25 décembre 2025 ; Vu les autres pièces du dossier ; Après en avoir délibéré lors de la séance du 13 février 2026, a adopté la décision suivante :

I. FAITS ET PROCÉDURE

  1. Par décision du 5 décembre 2024, signifiée à la société KASPR (ci-après, ” la société ” ou ” la société KASPR ”) le 18 décembre 2024, la formation restreinte a enjoint à cette dernière :
  • s’agissant du manquement à l’article 6 du RGPD : de cesser de collecter des données des contacts des utilisateurs de KASPR ayant choisi de limiter la visibilité de leurs coordonnées ; de supprimer l’ensemble des données de contacts importées lors de la synchronisation des comptes LinkedIn des utilisateurs ayant choisi de limiter la visibilité de leurs coordonnées ou, à défaut, en cas d’impossibilité de distinguer ces données, de les informer dans un délai de 3 mois du traitement de leurs données et de la possibilité de s’y opposer ;
  • s’agissant du manquement à l’article 5-1-e du RGPD : cesser de renouveler automatiquement la durée de conservation de 5 ans des données des personnes cibles dès la mise à jour de leur profil et ne conserver les données que pour une durée proportionnée ;
  • s’agissant du manquement aux articles 12 et 14 du RGPD : d’informer les personnes concernées de l’ensemble des mentions prévues dans une langue qu’ils maîtrisent ;
  • s’agissant du manquement à l’article 15 du RGPD : de faire suite aux demandes de droit d’accès des personnes en leur fournissant toute information disponible quant à la source de leurs données ; et de faire droit aux demandes de droit d’accès des personnes à l’origine des saisines dans les mêmes conditions.

Cette injonction était assortie d’une astreinte de dix mille (10 000) euros par jour de retard à l’issue d’un délai de six mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.

  1. Le 30 mai 2025, dans le délai fixé par la délibération, la société a adressé à la formation restreinte des éléments en vue de justifier sa mise en conformité, en présentant les mesures mises en œuvre. Celles-ci ont consisté en l’effacement de la base de données de la société — emportant ainsi la suppression de toutes les données qu’elle contenait —, la cessation de toute collecte de données sur le réseau social LinkedIn, la modification du mécanisme de renouvellement automatique de la durée de conservation des données en cas de mise à jour du profil, la fourniture d’une information des personnes concernées par le traitement dans toutes les langues officielles de l’Union européenne, et la transmission des réponses apportées aux demandes de droit d’accès des plaignants.

  2. Par courrier du 28 novembre 2025, les services de la CNIL ont demandé des précisions à la société s’agissant de sa nouvelle politique en matière de conservation des données afin de s’assurer de sa conformité avec les termes de l’injonction. Par ailleurs, les services de la CNIL ont signalé à la société qu’une demande de droit d’accès demeurait toujours sans réponse de sa part.

  3. Le 25 décembre 2025, la société a complété les éléments précédemment transmis en confirmant qu’elle avait bien mis fin au mécanisme de renouvellement automatique de conservation des données visé dans l’injonction. Elle a également produit une capture d’écran permettant de constater qu’elle avait répondu à la dernière demande d’accès visée dans l’injonction, les services de la CNIL lui ayant rappelé les coordonnées de la personne concernée.

II. MOTIFS DE LA DECISION

  1. En premier lieu, s’agissant de la licéité du traitement, la formation restreinte relève que la société a, d’une part, supprimé l’intégralité de sa base de données et, d’autre part, qu’elle a mis fin au mécanisme d’extraction des coordonnées des personnes sur LinkedIn. La formation restreinte constate ainsi que plus aucune donnée ayant été collectée illicitement ne figure dans la base de données et que la collecte des données depuis LinkedIn s’effectue désormais dans le respect de l’article 6 du RGPD.

  2. En deuxième lieu, s’agissant de la durée de conservation des données, la formation restreinte note qu’il ressort des éléments fournis par la société qu’il n’existe plus de mécanisme de renouvellement automatique de la durée de conservation de 5 ans d’un profil professionnel dans la base de données KASPR à chaque changement de poste ou d’employeur des personnes cibles. La société ayant par ailleurs supprimé sa base de données, elle ne détient plus de données ayant été collectées depuis plus de cinq ans.

  3. En troisième lieu, s’agissant de la transparence et de l’information des personnes, la formation restreinte observe que la société a mis en place une information par courriel des personnes dont les coordonnées ont été collectées et intégrées dans la base de données de KASPR, qui renvoie vers un lien leur permettant d’exercer leur droit d’opposition. Ce courriel d’information est disponible dans toutes les langues officielles de l’Union européenne, ce qui permet de garantir une information transparente.

  4. En quatrième lieu, s’agissant de l’exercice du droit d’accès, la formation restreinte relève qu’il ressort des éléments fournis par la société qu’elle a répondu aux demandes d’accès formulées par les plaignants, qui étaient visées dans l’injonction, et que, lorsque leur demande portait également sur l’opposition au traitement de leurs données, la société les a informés de la suppression de sa base de données.

  5. Il résulte de ce qui précède que la société a satisfait à l’injonction dans le délai imparti.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide :

  • de dire n’y avoir lieu à liquidation de l’astreinte ;
  • de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2024-020 du 5 décembre 2024.

Le président — Philippe-Pierre CABOURDIN

Vue Graphique