L’Autorità francese per la protezione dei dati (Cnil) ha recentemente inflitto una sanzione amministrativa di 240.000 euro alla società Kaspr, a seguito di numerose segnalazioni relative a violazioni del Regolamento Generale sulla Protezione dei Dati (GDPR).
Ecco i dettagli sul provvedimento sanzionatorio.
Indice degli argomenti
La sanzione della Cnil a Kaspr
Le irregolarità riguardano principalmente la raccolta di dati personali da parte di KASPR attraverso il social network LinkedIn, senza una base giuridica adeguata, in particolare per gli utenti che avevano scelto di limitare la visibilità delle proprie informazioni.
Altre problematiche emerse riguardano la politica aziendale di conservazione dei dati, che si traduceva in una retention automatica e pressoché illimitata, e la comunicazione ai consumatori, che avveniva esclusivamente in lingua inglese, nonostante l’utenza fosse principalmente francese.
Inoltre, la CNIL ha ordinato a Kaspr di conformarsi alla normativa europea, cessando immediatamente la raccolta dei dati degli utenti che avevano limitato la visibilità delle proprie informazioni. L’authority ha anche imposto alla società di stabilire un periodo di conservazione proporzionato ai fini del trattamento e di fornire agli utenti un’informativa completa in una lingua che comprendessero.
Il provvedimento sanzionatorio evidenzia come, nel caso specifico, l’interesse legittimo invocato dalla società per giustificare il trattamento dei dati non fosse sufficiente a prevalere sui diritti e le aspettative degli utenti, in particolare quelli che avevano scelto di limitare la visibilità delle loro informazioni e che deve essere effettivo e non può ridursi a una semplice formalità a favore della parte più forte nel rapporto commerciale.
L’estensione Chrome di Kaspr
Fondata nel 2018, Kaspr ha sviluppato un’estensione per il browser Chrome che permette agli utenti di ottenere i contatti professionali delle persone i cui profili LinkedIn sono stati visitati.
L’autorità francese ha ritenuto che questa pratica violasse il diritto alla privacy degli utenti di LinkedIn che avevano impostato restrizioni sulla visibilità delle proprie informazioni.
Secondo la CNIL, gli utenti che decidono di limitare la visibilità delle proprie informazioni, seppur in modo non esplicito, esprimono un’opposizione alla raccolta dei dati da parte di terzi, come nel caso di Kaspr.
La società, quindi, non poteva legittimamente raccogliere dati da profili LinkedIn dove la visibilità era stata limitata. Inoltre, il trattamento dei dati effettuato da Kaspr risultava invisibile agli utenti, i quali potrebbero non essere consapevoli della raccolta delle loro informazioni, un aspetto che aumenta ulteriormente il rischio di violazione dei diritti degli interessati.
La politica di conservazione dei dati
Un’altra violazione significativa riguarda la politica di conservazione dei dati adottata da Kaspr. Fino al 2021, la società non aveva stabilito un periodo chiaro per la conservazione dei dati, mantenendo le informazioni in modo indefinito.
In seguito, Kaspr ha introdotto una nuova politica, prevedendo la conservazione dei dati per un periodo di cinque anni dalla data di ogni aggiornamento. Tuttavia, la Cnil ha ritenuto che il rinnovo automatico del periodo di conservazione fosse eccessivo, poiché avrebbe potuto comportare la conservazione dei dati per periodi indefiniti, soprattutto in caso di aggiornamenti frequenti.
La “conservazione dinamica“, che prolunga automaticamente il periodo di retention a ogni aggiornamento, è stata giudicata sproporzionata e in contrasto con il principio di minimizzazione dei dati, che richiede che la conservazione dei dati avvenga solo per il tempo strettamente necessario agli scopi per cui sono stati raccolti.
Diritto di accesso
Kaspr è finita sotto esame per non aver rispettato pienamente il diritto di accesso previsto dal GDPR.
Diversi utenti, che avevano richiesto chiarimenti sull’origine dei loro dati utilizzati per attività di marketing, non hanno ricevuto risposte precise. La società ha indicato genericamente “fonti pubbliche” senza fornire dettagli specifici.
Nonostante le giustificazioni tecniche, la sezione ristretta del controllo ha sottolineato che Kaspr aveva le risorse necessarie per fornire informazioni più dettagliate, anche senza conoscere ogni singola fonte.
Secondo il GDPR, infatti, le persone hanno diritto a sapere non solo quali dati sono trattati, ma anche da dove provengono.
La società, pur facendo riferimento alla sua politica sulla privacy, non ha mai indicato le fonti precise, come LinkedIn o GitHub, nonostante avesse identificato queste piattaforme come originarie dei dati. Una mancanza di trasparenza che ha portato alla violazione del diritto di accesso, confermando la necessità di una comunicazione chiara e completa per tutelare i diritti degli utenti.
Lost in English: il rischio di sciovinismo linguistico
Nel contesto delle violazioni riscontrate da parte della Cnil, un altro aspetto fondamentale riguarda l’obbligo di trasparenza, che la società Kaspr non ha rispettato pienamente.
Sebbene l’azienda avesse implementato una comunicazione informativa tramite e-mail a partire dal 18 maggio 2022, la lingua esclusivamente inglese utilizzata per tali comunicazioni è risultata insufficiente. La Cnil ha evidenziato che l’utilizzo esclusivo dell’inglese per la comunicazione inviata via e-mail da Kaspr non ha rispettato gli obblighi di trasparenza previsti dal GDPR.
Sebbene l’azienda giustificasse tale scelta in base alla natura professionale del suo pubblico, la Cnil ha sottolineato che non si può presupporre che tutti gli utenti, anche se registrati su LinkedIn, abbiano una comprensione adeguata dell’inglese.
La società non ha fornito informazioni adeguate tra il 2018 e il 2022, e solo nel 2024 ha introdotto la possibilità di selezionare diverse lingue per le comunicazioni. Infatti, le linee guida del WP 29 sul trattamento dei dati, infatti, stabiliscono che le persone interessate debbano essere in grado di comprendere chiaramente le informazioni ricevute, e che queste debbano essere fornite in una lingua che gli interessati comprendano.
Non si può quindi presupporre che tutti i professionisti registrati su LinkedIn, solo perché operano nell’Unione Europea, siano in grado di leggere e comprendere l’inglese.
Anche se alcuni utenti hanno risposto in inglese, la Cnil ha ricordato che non è possibile fare supposizioni sul livello di conoscenza della lingua da parte di tutti gli utenti.
La società, inoltre, ha continuato a rispondere in inglese anche quando i ricorrenti si sono rivolti a Kaspr in francese, evidenziando ulteriormente la mancanza di una comunicazione adeguata.
Questa prassi ha violato gli articoli 12 e 14 del GDPR, imponendo una sanzione per il trattamento illecito dei dati senza adeguata informazione.
Uno scossone all’era della sorveglianza passiva
La crescente consapevolezza degli utenti sui propri diritti in materia di privacy ha reso il tema della trasparenza nella raccolta e nel trattamento dei dati un campo di grande attenzione.
Sempre più persone sono critiche verso i sistemi che raccolgono i propri dati, chiedendosi non solo quali informazioni vengono trattate, ma anche da dove provengano e perché vengano utilizzate.
In questo contesto, l’atteggiamento di Kaspr non è stato adeguato alle nuove aspettative dei consumatori e alla rigida normativa europea. La mancanza di chiarezza riguardo le fonti dei dati ha suscitato il giusto disappunto della Cnil che ha risposto con un intervento incisivo, applicando sanzioni e imponendo misure che bloccano il trattamento dei dati finché la società non garantisca la trasparenza richiesta dal GDPR.
In un mondo sempre più connesso e vulnerabile alla raccolta di informazioni personali, i regolatori europei stanno rispondendo con fermezza, applicando un armamentario sanzionatorio che non solo scoraggia pratiche poco trasparenti, ma tutela i diritti degli utenti.
L’era della sorveglianza passiva non è certa finita. I cittadini però sono sempre più protagonisti nelle istanze di protezione dei loro dati, in opposizione al far west digitale, e le Autorità non possono fare a meno di rispondere in modo tempestivo ed efficace.
