Le rapporteur de la CNIL pris en défaut sur le RGPD

La Cnil a prononcé fin décembre un non-lieu après l’instruction de plaintes visant la société Lusha de 2018 à 2021 et portant sur son éventuel non-respect du traitement des données personnelles au sens du RGPD. Cette société américaine commercialise une extension pour navigateur éponyme qui scrappe pour ses utilisateurs les coordonnées professionnelles – numéro de téléphone et email – des membres ayant un profil sur LinkedIn ou sur la plateforme de relation clients Salesforce.com. Et ce sans leur accord préalable. 

L’instruction a montré qu’1,5 million de Français sont concernés, via LinkedIn et des applications de recueil de contacts proposées par Lusha. Alors que le rapporteur de la Cnil réclamait une amende, la formation restreinte a constaté que les faits incriminés ne permettent pas d’établir que le RGPD est opposable à cette société américaine, même si les personnes concernées sont situées sur le territoire de l’Union européenne (UE). 

Le rapporteur de la Cnil demandait une sanction

Dans sa délibération, l’organe de protection des données constate que Lusha ne répond pas à trois critères cumulatifs prévus à l’article 3 du RGPD : la société ne dispose d’aucun établissement dans l’Union européenne, son extension n’est pas liée à une offre de biens ou de services aux personnes concernées, enfin – point notable – il n’a pas été établi que les personnes concernées fassent l’objet d’un “suivi de comportement” par la société, laquelle n’utilise pas de “techniques de traitement de données à caractère personnel qui consiste en un profilage d’une personne physique.” Pour des faits identiques, le RGPD serait en revanche opposable à une société basée dans l’UE.

C’est la première fois depuis l’entrée en application du RGPD en 2018 que l’interprétation du rapporteur – qui demandait une sanction financière – n’est pas suivie par la formation restreinte de la Cnil, observe Les Echos.