All In
FR EN
Retour au blog
Conformité RGPD, CNIL & EU AI Act 19 min de lecture

CNIL et prospection LinkedIn : les leçons de KASPR, CALOGA et SOMS pour les PME

| Par Patrick de Carvalho

En 2024-2025, la CNIL a sanctionné trois entreprises spécialisées dans la collecte et la revente de données de prospection : KASPR (240 000 euros pour scraping de profils LinkedIn), CALOGA (80 000 euros pour prospection sans consentement valide) et SOLOCAL Marketing Services, dite SOMS (900 000 euros pour exploitation d'une base de 35 millions de personnes sans preuve de consentement). Ces décisions tracent une ligne rouge claire pour toute PME qui utilise des outils d'enrichissement de données sur LinkedIn : le scraping massif est interdit, la conservation au-delà de trois ans est sanctionnée, et l'intérêt légitime ne dispense pas de transparence ni du droit d'opposition. Ce guide décrypte chaque décision, identifie les pratiques à risque et fournit un cadre opérationnel pour prospecter sur LinkedIn sans finir dans le viseur de la CNIL.

En bref La CNIL a infligé 486,8 millions d'euros d'amendes en 2025, neuf fois plus qu'en 2024 (55,2 millions d'euros). 32 % des contrôles concernent des PME et TPE. Les sanctions KASPR, CALOGA et SOMS révèlent trois failles récurrentes : collecte sans base légale, durée de conservation excessive et mécanismes de consentement trompeurs. La prospection B2B sur LinkedIn reste légale sous conditions strictes : adresse professionnelle, lien avec l'activité du destinataire, information dès le premier contact et lien de désinscription fonctionnel.

Pourquoi la CNIL s'attaque à la prospection LinkedIn en 2024-2025

La prospection commerciale constitue l'une des thématiques prioritaires de contrôle de la CNIL depuis 2022. Les résultats de cette campagne commencent à se matérialiser par des sanctions exemplaires.

Le contexte est sans ambiguïté. En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de 486 839 500 euros, contre 87 sanctions et 55 212 400 euros en 2024, selon le bilan officiel de l'autorité publié en février 2026. Le montant a été multiplié par neuf en un an. Si les deux amendes les plus lourdes concernent des géants (Google, 325 millions d'euros, et Shein, 150 millions d'euros), la dynamique de contrôle touche aussi les structures plus modestes : 32 % des entreprises contrôlées en 2025 étaient des PME ou des TPE.

La procédure simplifiée, créée en 2022, a été utilisée pour 67 des 83 sanctions prononcées. Cette procédure accélérée, avec des amendes plafonnées à 20 000 euros, cible précisément les petites structures. Son existence confirme que la CNIL ne se contente plus de viser les GAFAM.

Pour les dirigeants de PME B2B qui prospectent via LinkedIn, trois décisions récentes forment un triptyque à étudier de près.

Sanction KASPR : 240 000 euros pour aspiration de données LinkedIn

Les faits

Le 5 décembre 2024, la CNIL a sanctionné KASPR, éditeur d'une extension Chrome qui permet d'obtenir les coordonnées professionnelles d'un profil LinkedIn visité. L'extension interroge une base de données propriétaire constituée par aspiration (scraping) de LinkedIn et d'autres sources publiques comme les registres de noms de domaine. Cette base contenait environ 160 millions de contacts.

Les quatre violations retenues

Violation Article RGPD Détail
Collecte sans base légale Article 6 KASPR aspirait les coordonnées de personnes ayant restreint la visibilité de leur profil (contacts de 1er et 2e degré uniquement), outrepassant leur choix de confidentialité.
Conservation excessive Article 5-1-e Données conservées jusqu'à cinq ans, avec remise à zéro du compteur à chaque changement de poste du contact.
Absence de transparence Articles 12 et 14 Pendant quatre ans, aucune notification aux personnes concernées. Un courriel tardif, rédigé uniquement en anglais, a été jugé insuffisant.
Droit d'accès incomplet Article 15 KASPR répondait aux demandes d'accès en mentionnant « des sources accessibles publiquement » sans préciser l'origine réelle.

Les mesures correctives

La CNIL a ordonné à KASPR de cesser la collecte de données des personnes ayant limité leur visibilité et de supprimer les données déjà collectées dans ces conditions. L'injonction devait être exécutée avant le 18 juin 2025. La CNIL a confirmé la clôture de cette injonction après mise en conformité.

Ce que cela signifie pour une PME

Si vous utilisez un outil d'enrichissement de données qui scrape LinkedIn (KASPR, mais aussi tout concurrent fonctionnant sur le même principe), vous êtes co-responsable de traitement. La question n'est pas de savoir si l'outil est populaire ou si d'autres l'utilisent. La question est : cet outil collecte-t-il des données de personnes ayant restreint leur visibilité ? Si oui, vous êtes exposé.

Sanction CALOGA : 80 000 euros pour prospection sans consentement

Les faits

Le 15 mai 2025, la CNIL a sanctionné la société CALOGA, courtier en données qui acquérait des fichiers de prospects auprès d'éditeurs de sites de jeux-concours et de tests de produits. CALOGA revendait ensuite ces données à des annonceurs pour des campagnes de prospection par email et SMS.

Les trois violations retenues

Violation Base légale violée Détail
Prospection sans consentement valable CPCE + RGPD Les formulaires de collecte des partenaires de CALOGA ne recueillaient pas un consentement libre et éclairé. Boutons d'acceptation plus visibles que ceux de refus, formulations ambiguës.
Conservation excessive RGPD, article 5-1-e Durée initiale de douze mois prolongée de quatre ans pour les « prospects inactifs ». Chaque ouverture d'email relançait le compteur, rendant la conservation potentiellement illimitée.
Désinscription complexe RGPD, articles 12 et 21 Impossible de se désabonner de toutes les bases en un clic. La seule option : envoyer un email au délégué à la protection des données.

Ce que cela signifie pour une PME

Acheter un fichier de prospects à un tiers ne vous exonère pas. Si le consentement recueilli à l'origine est vicié (dark patterns, formulations trompeuses, opt-in pré-coché), le fichier est juridiquement toxique. La responsabilité remonte toute la chaîne. Avant d'acheter une base de données, exigez la preuve du consentement : formulaires originaux, horodatage, version exacte du texte affiché à l'utilisateur.

Sanction SOMS : 900 000 euros et la plus lourde amende du triptyque

Les faits

Le même jour, le 15 mai 2025, la CNIL a sanctionné SOLOCAL Marketing Services (SOMS) d'une amende de 900 000 euros. L'entreprise exploitait une base contenant 75 millions d'entrées correspondant à environ 35 millions de personnes distinctes, avec emails, numéros de mobile, adresses postales et téléphones fixes.

Les violations retenues

SOMS présentait un problème systémique : l'absence totale de preuve de consentement valide.

La CNIL a constaté que les formulaires de collecte utilisés par les partenaires fournisseurs de SOMS comportaient des « dark patterns » : design trompeur rendant le consentement apparemment obligatoire, formulations vagues, bouton de refus moins visible que le bouton d'acceptation. L'entreprise n'a pas été en mesure de fournir à la CNIL la preuve du consentement des personnes dont les données lui avaient été transmises par l'un de ses principaux fournisseurs.

La transmission de données à des partenaires tiers se faisait sans information adéquate des personnes concernées, en violation de l'article 6 du RGPD.

Les mesures correctives

Au-delà de l'amende, la CNIL a prononcé une injonction de cesser toute prospection commerciale électronique sans consentement valide, assortie d'une astreinte de 10 000 euros par jour de retard après un délai de neuf mois.

Ce que cela signifie pour une PME

L'amende de 900 000 euros n'est pas réservée aux grandes entreprises. Elle sanctionne un modèle économique. Si votre prospection repose sur des bases de données dont vous ne pouvez pas tracer l'origine et prouver le consentement, le risque existe quelle que soit votre taille. La procédure simplifiée permet à la CNIL de vous sanctionner rapidement, sans instruction longue.

Ce qui est autorisé et ce qui est interdit : le cadre juridique pour les PME

Le tableau ci-dessous synthétise l'état du droit tel qu'il résulte des décisions CNIL et du référentiel de gestion des activités commerciales de la CNIL.

Pratique Statut Conditions / Limites
Consulter un profil LinkedIn public manuellement Autorisé Pas de collecte automatisée, respect des CGU LinkedIn
Envoyer un message LinkedIn (InMail, message direct) Autorisé Lien avec l'activité professionnelle du destinataire, message personnalisé
Envoyer un email de prospection B2B à une adresse professionnelle nominative Autorisé sous conditions Base légale : intérêt légitime. Conditions : lien avec la fonction du destinataire, information sur l'origine des données dès le premier contact, lien de désinscription fonctionnel
Utiliser un outil d'enrichissement qui scrape LinkedIn Interdit (si le scraping viole les paramètres de confidentialité) KASPR sanctionné pour ce motif. Risque pour tout outil fonctionnant sur le même principe
Acheter un fichier de prospects B2C sans preuve de consentement Interdit CALOGA et SOMS sanctionnés pour ce motif
Conserver des données de prospects sans contact pendant plus de 3 ans Interdit Référentiel CNIL : suppression ou anonymisation après 3 ans sans interaction
Renouveler automatiquement la durée de conservation à chaque ouverture d'email Interdit Pratique sanctionnée chez CALOGA
Proposer un formulaire de consentement avec dark patterns Interdit Bouton de refus aussi visible que le bouton d'acceptation, langage clair

Les cinq erreurs les plus fréquentes des PME en prospection LinkedIn

1. Confondre « données publiques » et « données librement réutilisables »

Un profil LinkedIn public reste soumis au RGPD. Le caractère public d'une information ne constitue pas une base légale pour la collecter, la stocker et l'exploiter à des fins commerciales. La décision KASPR le rappelle avec netteté : même les données techniquement accessibles sur un réseau social sont protégées.

2. Déléguer la conformité à l'outil

« L'outil dit qu'il est conforme RGPD » n'est pas une défense juridique. La responsabilité du traitement pèse sur le responsable de traitement, c'est-à-dire l'entreprise qui décide de la finalité et des moyens. Si vous utilisez un outil de scraping pour alimenter votre CRM, vous êtes responsable de vérifier ses pratiques de collecte.

3. Ignorer la durée de conservation

Le référentiel CNIL fixe une durée maximale de trois ans pour les données de prospects sans interaction. Passé ce délai, il faut supprimer ou recontacter le prospect pour obtenir un consentement explicite de poursuite. Les décisions KASPR (cinq ans avec remise à zéro) et CALOGA (douze mois + quatre ans renouvelables) sanctionnent précisément cette dérive.

4. Rendre la désinscription laborieuse

Un lien de désinscription doit fonctionner en un clic, sans redirection vers un formulaire complexe, sans obligation d'envoyer un email au DPO. CALOGA a été sanctionnée pour avoir imposé un processus de désinscription par email. Le droit d'opposition doit être aussi simple que l'inscription.

5. Ne pas documenter la source des données

L'article 15 du RGPD donne à chaque personne le droit de savoir d'où proviennent ses données. Répondre « sources publiques » sans préciser lesquelles est insuffisant, comme KASPR l'a appris. Tracez systématiquement l'origine de chaque contact dans votre CRM : date de collecte, source (salon, formulaire web, LinkedIn manuel), base légale utilisée.

Checklist conformité prospection All In

Ce cadre en sept points synthétise les obligations issues des trois décisions analysées et du référentiel CNIL. Il est conçu pour les PME B2B qui prospectent via LinkedIn et des outils d'enrichissement.

Point 1 — Identifier la base légale avant toute action

Avant de collecter ou d'utiliser une donnée de contact, identifiez la base légale applicable. En prospection B2B vers des adresses professionnelles nominatives, l'intérêt légitime est généralement applicable. Documentez le test de proportionnalité : quel est votre intérêt commercial ? Porte-t-il atteinte aux droits de la personne ? Les garanties (information, opposition) sont-elles en place ?

Point 2 — Vérifier la source de chaque contact

Pour chaque contact dans votre CRM, vous devez être en mesure de répondre à trois questions : d'où vient cette donnée ? Quand a-t-elle été collectée ? Sur quelle base légale ? Si vous achetez un fichier, exigez les preuves de consentement (horodatage, formulaire original, version du texte).

Point 3 — Informer dès le premier contact

Le premier email ou message doit contenir : votre identité, l'origine des données (« Nous avons obtenu vos coordonnées via [source] »), la finalité du traitement, et un lien de désinscription fonctionnel. Cette obligation s'applique aussi en B2B sous le régime de l'intérêt légitime.

Point 4 — Purger après trois ans sans interaction

Mettez en place une routine de nettoyage dans votre CRM : tout contact qui n'a pas interagi avec vos communications depuis trois ans doit être supprimé ou faire l'objet d'une relance de consentement. Ne jamais remettre le compteur à zéro sur une simple ouverture d'email.

Point 5 — Auditer vos outils d'enrichissement

Demandez à votre fournisseur d'outil d'enrichissement : comment collectez-vous les données ? Respectez-vous les paramètres de confidentialité des utilisateurs LinkedIn ? Pouvez-vous fournir une documentation de conformité ? Si les réponses sont floues, changez de fournisseur.

Point 6 — Faciliter le droit d'opposition

Un clic pour se désinscrire. Pas de formulaire, pas d'email au DPO, pas de délai « de traitement de votre demande ». La désinscription doit être effective dans les 48 heures maximum.

Point 7 — Documenter et conserver les preuves

Conservez les preuves de consentement, les horodatages, les formulaires originaux. En cas de contrôle CNIL, la charge de la preuve pèse sur le responsable de traitement. SOMS a été sanctionnée en partie parce qu'elle n'a pas pu fournir ces preuves.

Les alternatives conformes pour enrichir vos données LinkedIn

Le scraping automatisé de LinkedIn est désormais un risque juridique documenté. Plusieurs approches alternatives permettent d'enrichir vos fichiers de prospection dans le respect du RGPD.

Collecte manuelle et ciblée. Consulter les profils LinkedIn un par un, noter les informations publiques pertinentes et contacter les personnes via la messagerie LinkedIn ou leur adresse professionnelle publique. Cette approche est conforme mais ne passe pas à l'échelle.

Outils d'enrichissement à partir de données légales. Des plateformes comme Pharow agrègent des données publiques légales françaises (SIREN, code NAF, chiffre d'affaires) avec des informations professionnelles pour constituer des fichiers de prospection B2B. La donnée provient de sources officielles (INSEE, registres du commerce), pas du scraping de réseaux sociaux.

Enrichissement par email sans scraping. Dropcontact fonctionne à partir d'un prénom, d'un nom et d'un nom de domaine d'entreprise pour retrouver une adresse email professionnelle, sans aspiration de données LinkedIn.

Social selling natif. Utiliser les fonctionnalités de LinkedIn (Sales Navigator, InMail, publications, commentaires) pour entrer en relation avec des prospects qualifiés. Cette approche respecte les CGU de la plateforme et le RGPD puisque la relation se noue dans l'environnement prévu à cet effet.

Inbound et content marketing. Attirer les prospects vers vos contenus, vos formulaires, vos événements. Le consentement est recueilli à la source, documenté, horodaté. C'est la base légale la plus robuste juridiquement.

Ce que ces sanctions annoncent pour 2026

La montée en puissance de la CNIL n'est pas conjoncturelle. Trois signaux convergent.

La procédure simplifiée monte en régime : 67 sanctions en 2025, contre 64 rappels à la loi. La CNIL sanctionne plus qu'elle ne prévient. Les PME sont dans le périmètre, avec 32 % des contrôles réalisés sur des structures de petite taille.

Le champ des contrôles s'élargit. Après les cookies (2021-2023) et la prospection commerciale (2022-2025), la CNIL a annoncé de nouvelles thématiques prioritaires incluant l'intelligence artificielle et les systèmes algorithmiques. Les outils d'enrichissement de données fonctionnant avec des modèles d'IA sont directement concernés (voir notre analyse de l'EU AI Act et ses implications pour les PME).

L'écosystème européen se coordonne. La décision KASPR a été relayée par le Comité européen de la protection des données (EDPB), signal d'une harmonisation des pratiques de contrôle au niveau européen.

Pour les PME B2B, le message est limpide : la conformité n'est plus un sujet juridique abstrait, c'est un paramètre opérationnel de la stratégie commerciale.

Pour aller plus loin :

FAQ

La prospection B2B par email est-elle soumise au consentement préalable ?

Non, la prospection B2B par email n'exige pas de consentement préalable si elle est adressée à une adresse professionnelle nominative et si l'objet du message est en lien avec l'activité professionnelle du destinataire. La base légale applicable est l'intérêt légitime (article 6.1.f du RGPD). Un lien de désinscription fonctionnel et une information sur l'origine des données restent obligatoires dès le premier message.

Peut-on utiliser KASPR ou un outil similaire après la sanction ?

KASPR a été mise en conformité et la CNIL a clôturé l'injonction prononcée contre l'entreprise. L'outil peut être utilisé pour les profils dont les coordonnées sont publiquement accessibles. En revanche, tout scraping de données de personnes ayant restreint leur visibilité reste interdit. Vérifiez les pratiques de collecte de votre fournisseur et documentez cette vérification.

Combien de temps peut-on conserver les données d'un prospect B2B ?

Le référentiel CNIL fixe la durée maximale à trois ans à compter de la collecte ou du dernier contact émanant du prospect (demande de documentation, clic sur un lien). Passé ce délai, les données doivent être supprimées ou anonymisées, sauf si le prospect renouvelle explicitement son intérêt.

Quels sont les risques pour une PME en cas de contrôle CNIL ?

Via la procédure simplifiée, la CNIL peut infliger jusqu'à 20 000 euros d'amende sans instruction longue. Via la procédure ordinaire, les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial. En 2025, 32 % des contrôles ont concerné des PME et TPE, selon le bilan officiel de la CNIL.

Le scraping de données LinkedIn est-il toujours illégal ?

Le scraping n'est pas illégal en soi. Ce qui est sanctionné, c'est la collecte automatisée de données personnelles sans base légale, en violation des paramètres de confidentialité choisis par les utilisateurs, ou sans information des personnes concernées. La décision KASPR sanctionne spécifiquement l'aspiration de données de profils ayant restreint leur visibilité.

Que faire si on a acheté un fichier de prospection dont le consentement est douteux ?

Cessez immédiatement l'utilisation du fichier. Exigez du fournisseur les preuves de consentement (formulaire original, horodatage, version du texte). Si ces preuves ne sont pas fournies, supprimez les données. La décision SOMS confirme que l'absence de preuve de consentement suffit à caractériser l'infraction, même si le consentement a pu exister.

Glossaire

Aspiration de données (scraping) : collecte automatisée d'informations publiées sur des sites web ou des réseaux sociaux à l'aide de robots logiciels, sans passer par une interface de programmation officielle.

Base légale : fondement juridique autorisant le traitement de données personnelles au sens du RGPD. Les six bases légales sont : le consentement, le contrat, l'obligation légale, l'intérêt vital, la mission de service public et l'intérêt légitime.

Consentement : manifestation de volonté libre, spécifique, éclairée et univoque par laquelle une personne accepte le traitement de ses données personnelles. Doit être aussi facile à retirer qu'à donner.

Courtier en données (data broker) : entreprise qui collecte, agrège et revend des données personnelles à des tiers à des fins commerciales, publicitaires ou analytiques.

Dark patterns : techniques de design d'interface qui orientent l'utilisateur vers un choix non souhaité, comme un bouton d'acceptation plus visible que le bouton de refus dans un formulaire de consentement.

Droit d'opposition : droit reconnu par l'article 21 du RGPD permettant à toute personne de s'opposer au traitement de ses données personnelles, notamment à des fins de prospection commerciale. En prospection, ce droit est absolu et ne nécessite aucune justification.

Enrichissement de données : processus consistant à compléter un fichier de contacts existant avec des informations supplémentaires (numéro de téléphone, email, fonction, entreprise) provenant de sources externes.

Formation restreinte : organe de la CNIL composé de cinq membres, chargé de prononcer les sanctions dans le cadre de la procédure ordinaire pour les manquements les plus graves.

Intérêt légitime : base légale du RGPD (article 6.1.f) permettant de traiter des données sans consentement lorsque l'intérêt commercial de l'entreprise ne porte pas une atteinte disproportionnée aux droits de la personne concernée. Requiert un test de proportionnalité documenté.

Procédure simplifiée : procédure accélérée de sanction mise en place par la CNIL en 2022, permettant de prononcer des amendes jusqu'à 20 000 euros sans passage devant la formation restreinte. Utilisée principalement pour les infractions de faible gravité ou les petites structures.

Référentiel CNIL : document de recommandation publié par la CNIL qui précise les bonnes pratiques pour un domaine de traitement spécifique. Le référentiel relatif à la gestion des activités commerciales fixe notamment la durée de conservation à trois ans pour les prospects.

Responsable de traitement : personne physique ou morale qui détermine les finalités et les moyens du traitement de données personnelles. En prospection B2B, c'est l'entreprise qui décide d'utiliser un outil d'enrichissement ou d'acheter un fichier.

RGPD : règlement général sur la protection des données, règlement européen 2016/679 entré en application le 25 mai 2018. Il encadre le traitement des données personnelles dans l'Union européenne.

Test de proportionnalité : analyse documentée que doit réaliser tout responsable de traitement invoquant l'intérêt légitime. Il met en balance les intérêts commerciaux de l'entreprise et les droits fondamentaux de la personne concernée.

All In : maîtrisez la prospection LinkedIn sans risque juridique

Les sanctions KASPR, CALOGA et SOMS démontrent que la conformité RGPD est devenue un avantage concurrentiel : les entreprises qui prospectent dans les règles construisent une réputation durable, les autres accumulent les risques juridiques et financiers.

All In est la plateforme média et formation des dirigeants de PME B2B qui veulent maîtriser LinkedIn pour générer des leads, développer leur marque personnelle et structurer leur présence commerciale.

Rejoignez la communauté All In

Sources