Cette décision de l'autorité italienne de protection des données sanctionne une société pour avoir utilisé les données de contact d'un professionnel, obtenues via l'outil "Navigateur de Ventes" de LinkedIn, afin de lui adresser des courriels de prospection commerciale sans son consentement.

Faits et contexte

L'autorité italienne de protection des données (Garante per la protezione dei dati personali - GPDP) a publié une décision de sanction à l'encontre de la société Codia Europe S.r.l. pour des manquements liés à l'envoi de communications commerciales non sollicitées et au défaut de coopération avec l'autorité.

L'affaire trouve son origine dans la plainte d'un avocat, déposée le 29 juillet 2024, ayant reçu plusieurs courriels promotionnels non sollicités sur différentes adresses et n'ayant obtenu aucune réponse à sa demande d'accès ultérieure.

Motifs de la décision

L'autorité a retenu deux manquements principaux à l'encontre de la société :

• Manquement à l'obligation de coopération (article 157 du Code italien de protection des données) : La société n'a pas répondu à la demande d'informations initiale de l'autorité en date du 21 octobre 2024. La justification avancée tardivement, liée à une suspension d'activité due à des changements internes, n'a pas été jugée suffisante. L'autorité a relevé que des courriels promotionnels avaient été envoyés pendant et après la période de suspension alléguée, ce qui démontrait une reprise d'activité qui aurait dû s'accompagner d'une surveillance de la correspondance. Ce défaut de réponse a entraîné une charge administrative supplémentaire pour l'autorité.
• Absence de base juridique pour la prospection commerciale (article 6 et article 7 du RGPD, et article 130 du Code italien) : La société a envoyé des courriels promotionnels sans base juridique valable. L'autorité a d'abord écarté l'argument selon lequel les communications n'étaient pas promotionnelles, leur contenu visant explicitement à proposer des services commerciaux. Ensuite, elle a rejeté le recours à l'intérêt légitime, rappelant que l'article 130 du Code italien impose le consentement préalable pour l'envoi de communications commerciales par courriel. Le fait que les données aient été obtenues via l'outil "Navigateur de Ventes" de LinkedIn ne change rien à cette exigence, car l'inscription à un réseau social ne vaut pas consentement à recevoir de la prospection et ne correspond pas aux attentes légitimes des utilisateurs.

Décision de l'autorité

En conséquence, l'autorité a imposé une amende à Codia Europe S.r.l.

Enseignements

Cette décision rappelle que :

• La publication de données sur un réseau social professionnel comme LinkedIn ne les rend pas librement utilisables à des fins de prospection commerciale par courriel ; la finalité initiale de la publication et les attentes légitimes des personnes concernées doivent être respectées.
• Le recours à des outils spécialisés tels que le "Navigateur de Ventes" de LinkedIn pour identifier des prospects ne dispense pas le responsable de traitement d'obtenir une base juridique valide qui, pour la prospection par courriel, demeure le consentement préalable de la personne concernée.
• L'absence de réponse à une demande d'information d'une autorité de contrôle constitue une violation distincte du manquement de fond, susceptible d'être sanctionnée en tant que telle.