Viola la privacy l’estensione di Chrome che permette di scoprire i dati di contatto degli utenti di Linkedin
La società informatica Kaspr commercializzava un’estensione a pagamento per il browser Chrome che consentiva ai propri clienti di ottenere i dati di contatto delle persone che visitano il proprio profilo sul social network LinkedIn, funzione sicuramente molto utile nelle attività di marketing per poter contattare gli utenti potenzialmente interessati al proprio business, peccato che tale applicazione violasse la privacy degli utenti.
Infatti, per poter raggiungere questo obiettivo, l'azienda disponeva di un database di contatti da Linkedin e altri siti Web (come le directory dei nomi di dominio) di circa 160 milioni di contatti.
I dati di contatto così raccolti potevano così consentire ai clienti che compravano l’estensione di contattare le persone target, ad esempio per la prospezione commerciale o la verifica dell’identità.
L’autorità per la protezione dei dati francese (CNIL) aveva però ricevuto diverse denunce da persone infastidite che erano state contattate da soggetti che erano venuti a conoscenza dei loro dati personali di contatto avvalendosi dell'estensione di Kaspr.
Sulla base dei risultati di un’indagine, la CNIL ha accertato che la raccolta da parte di Kaspr dei dati di contatto per i quali gli utenti di Linkedin avessero espressamente limitato la visibilità superava effettivamente quanto ci si poteva ragionevolmente aspettare per le persone che si registrano su un social network professionale.
A tale proposito, la CNIL ha rilevato che per questi utenti il fatto di scelto di rendere visibili le loro coordinate in base alle loro relazioni di primo e secondo livello, in altre parole attraverso i loro contatti sul social network e i contatti dei loro contatti, non equivaleva a consentire a Kaspr di accedere ai loro recapiti, raccoglierli, e comunicarli ai clienti che avevano acquistato l’estensione.
La CNIL ha ritenuto pertanto che in questo caso le informazioni siano state raccolte illecitamente, e ha stabilito che la società ha violato diversi obblighi del GDPR, tra cui la mancata definizione e rispetto di un periodo di conservazione dei dati proporzionato alle finalità del trattamento (art.5, paragrafo 1), mancata trasparenza e informazione per le persone (artt. 12 e 14), e mancato ottemperamento alle richieste di accesso al diritto di accesso (articolo 15) che pervenivano da parte delle persone che venivano contattate da utenti che non rientravano tra i loro contatti su Linkedin.
Il garante francese ha pertanto imposto una sanzione di 240 000 euro a Kaspr, e ordinando alla società di conformarsi al Regolamento europeo sulla protezione dei dati.
