Prospection LinkedIn et RGPD : ce que tu as le droit de faire

La prospection LinkedIn et le RGPD cohabitent très bien, à une condition simple : tu peux contacter des professionnels sur LinkedIn, mais tu ne peux pas aspirer leurs coordonnées en douce pour les sortir de la plateforme et les injecter dans ton fichier. La nuance a l'air théorique. Elle vaut 240 000 €, montant de l'amende infligée par la CNIL à la société Kaspr le 5 décembre 2024, précisément pour avoir aspiré les coordonnées d'utilisateurs LinkedIn.

Cet article te donne la ligne exacte : pourquoi LinkedIn n'est pas un fichier en libre-service, ce que dit la CNIL sur le moissonnage (le web scraping) depuis sa fiche du 19 juin 2025, pourquoi des données visibles ne sont pas des données réutilisables, et comment prospecter sur LinkedIn sans jamais te mettre en danger. Pas de menace en l'air, pas de jargon : les règles, les vraies sanctions, et une checklist à la fin.

LinkedIn n'est pas un fichier de prospection en libre-service

Voir un profil LinkedIn, ce n'est pas posséder ses données. C'est le point que la plupart des dirigeants ratent, souvent de bonne foi.

Sur LinkedIn, tout est là : le nom, la fonction, l'entreprise, parfois l'email. La tentation est énorme d'installer une petite extension qui, en un clic, récupère l'adresse et le téléphone de chaque profil que tu visites, et remplit ton tableur pendant que tu navigues. C'est exactement ce que faisait l'outil sanctionné par la CNIL. Et c'est exactement ce que tu ne dois pas faire.

Chaque profil est une personne identifiée. Donc chaque profil est une donnée personnelle, et le RGPD s'applique en entier. Extraire massivement ces données pour les réutiliser ailleurs porte un nom précis dans le vocabulaire de la CNIL : le moissonnage, ou web scraping. Ce n'est pas interdit dans l'absolu, mais c'est encadré très strictement, et fait presque toujours sans les garanties requises quand ça passe par une extension grand public.

Il y a un deuxième mur, contractuel celui-là. Les conditions d'utilisation de LinkedIn interdisent l'extraction automatisée de données de la plateforme. La CNIL en tient compte : dans sa doctrine sur le moissonnage, elle demande d'exclure les sites qui s'opposent au scraping, que ce soit par des mesures techniques ou par leurs conditions d'utilisation. Aspirer LinkedIn, c'est donc empiler deux problèmes : un problème RGPD et une violation des CGU du réseau, qui peut te valoir la fermeture pure et simple de ton compte.

L'affaire Kaspr : 240 000 € pour avoir aspiré des profils

C'est le dossier à connaître, parce qu'il décrit mot pour mot ce que beaucoup d'outils de prospection font encore.

Ce que faisait Kaspr

Kaspr commercialisait une extension de navigateur qui récupérait les coordonnées professionnelles des visiteurs de profils LinkedIn : emails et numéros de téléphone. La société avait ainsi constitué une base d'environ 160 millions de contacts, revendue à ses clients pour de la prospection commerciale. Le 5 décembre 2024, la formation restreinte de la CNIL a prononcé une amende de 240 000 €.

Pourquoi la CNIL a sanctionné

Le reproche central tient à l'absence de base légale. La CNIL a jugé illicite la collecte des coordonnées des utilisateurs qui avaient limité la visibilité de leurs informations à leurs seules relations de premier et deuxième niveau. Le raisonnement est limpide : en restreignant volontairement qui pouvait voir ses coordonnées, la personne n'avait jamais consenti à ce qu'un outil tiers vienne les aspirer pour les revendre.

La CNIL a relevé trois autres manquements qui valent leçon pour n'importe quelle base de prospection :

• Une durée de conservation disproportionnée : les données étaient gardées cinq ans, et ce délai repartait à zéro à chaque mise à jour, ce qui revenait à ne jamais les supprimer.
• Un défaut de transparence : aucune information n'était fournie aux personnes concernées jusqu'en 2022, puis une information rédigée en anglais, jugée incompréhensible pour le public visé.
• Un droit d'accès non respecté : interrogée sur l'origine des données, la société n'apportait pas de réponse suffisante sur ses sources de collecte.

La CNIL a laissé six mois à la société pour se mettre en conformité. La leçon pour toi tient en une phrase : si un outil te promet des emails et des téléphones aspirés de LinkedIn, il fait exactement ce qui a été sanctionné, et c'est toi qui exploites le fichier ensuite.

Ce que dit la CNIL sur le moissonnage (web scraping) en 2025

Le 19 juin 2025, la CNIL a publié une fiche pratique dédiée à la collecte de données par moissonnage fondée sur l'intérêt légitime. C'est le texte de référence, et il ne dit pas ce que beaucoup espèrent.

Le moissonnage n'est pas interdit, mais il est bardé de conditions

Oui, on peut fonder du scraping sur l'intérêt légitime, l'une des six bases légales du RGPD. Mais la CNIL impose des garanties additionnelles pour limiter l'atteinte aux droits des personnes. Ce n'est pas une case à cocher, c'est une liste d'obligations concrètes.

Les garanties exigées

• Définir en amont des critères de collecte précis, et exclure automatiquement, par des filtres, toutes les catégories de données non nécessaires.
• Supprimer immédiatement les données collectées par erreur ou hors sujet.
• Respecter les protocoles d'exclusion que les sites mettent en place, y compris le fichier robots.txt et les CAPTCHA.
• Exclure les sites qui s'opposent clairement au moissonnage, par des mesures techniques ou par leurs conditions d'utilisation. LinkedIn est dans ce cas.
• Éviter les sites contenant par nature des données sensibles, et se limiter aux données réellement accessibles publiquement.
• Informer largement les personnes, par plusieurs canaux, et leur ouvrir un droit d'opposition préalable.
• Anonymiser ou pseudonymiser les données après la collecte, et éviter de recouper les sources entre elles.

Lis cette liste avec l'outil de scraping LinkedIn en tête. Il ne respecte ni les CGU, ni le droit d'opposition préalable, ni l'information des personnes. Il échoue sur presque chaque point. C'est bien pour ça que la sanction Kaspr est tombée.

Le fil rouge de toute la doctrine, c'est une notion que la CNIL répète : le traitement doit respecter les attentes raisonnables des personnes. Quand quelqu'un met à jour son profil LinkedIn, il s'attend à être trouvé par des recruteurs et des relations, pas à voir son numéro personnel revendu dans une base de 160 millions de contacts.

Données visibles ne veut pas dire données réutilisables

C'est le contresens le plus coûteux, et il mérite sa propre section.

Beaucoup raisonnent ainsi : cette information est publique, donc je peux la prendre et l'utiliser comme je veux. Faux. Le RGPD ne s'éteint pas parce qu'une donnée est visible. Une donnée accessible reste une donnée personnelle, protégée, dont la réutilisation à une autre fin que celle prévue par la personne doit avoir sa propre base légale.

L'affaire Kaspr le montre noir sur blanc. Des coordonnées visibles seulement par les relations de premier et deuxième niveau ne sont pas des coordonnées publiques : la personne a fait un choix de confidentialité, et ce choix vaut refus vis-à-vis de tout tiers extérieur. Même une information affichée en clair ne t'autorise pas à l'extraire en masse pour la verser dans un fichier commercial.

La bonne question n'est jamais «est-ce que je peux voir cette donnée ?». C'est «est-ce que la personne s'attend raisonnablement à ce que je l'utilise pour ça ?». Un dirigeant s'attend à recevoir un message professionnel sur LinkedIn. Il ne s'attend pas à ce que son email personnel, aspiré par une extension, atterrisse dans une séquence d'envoi automatisée. Cette différence d'attente, c'est toute la frontière entre une prospection propre et un fichier illégal. Si tu construis ta base de contacts, ce raisonnement doit la gouverner de bout en bout, et on l'a détaillé dans notre guide sur le fichier de prospection B2B conforme au RGPD.

Contacter sans aspirer : message, InMail, intérêt légitime

Bonne nouvelle : tu n'as jamais eu besoin d'aspirer quoi que ce soit pour prospecter sur LinkedIn. La plateforme est faite pour la mise en relation. Utiliser LinkedIn pour ce qu'il est, c'est justement rester dans les clous.

Rester sur la plateforme

Envoyer une demande de connexion avec un mot d'accompagnement, écrire un message à une relation acceptée, utiliser un InMail : dans tous ces cas, tu contactes la personne à l'intérieur du réseau, via un canal qu'elle a choisi d'ouvrir en créant son profil. Tu n'extrais aucune donnée, tu ne constitues aucun fichier parallèle. Tu es dans l'usage prévu, et donc dans les attentes raisonnables de la personne. C'est la voie la plus sûre, et souvent la plus efficace, comme on le voit dans notre comparatif cold email ou LinkedIn.

Basculer vers l'email, proprement

Si tu récupères une adresse email professionnelle par une voie légitime, tu peux ensuite écrire à ce professionnel par email. La CNIL l'autorise sur la base de l'intérêt légitime, à condition que l'objet de ta sollicitation soit en rapport avec la profession de la personne démarchée. Un logiciel de devis proposé au patron d'une entreprise de plomberie : en rapport avec son métier, tu es dans les clous. Une offre sans lien avec son activité : tu retombes dans un régime qui exige son consentement préalable.

Trois obligations valent alors dans chaque message : ne jamais dissimuler ton identité, indiquer d'où tu tiens ses coordonnées dès le premier email, et offrir un moyen simple et gratuit de s'opposer aux envois suivants. On a détaillé ce régime, sanctions à l'appui, dans l'article sur la prospection par email en B2B et ce que la loi française autorise.

La différence de fond avec le scraping est fondamentale. Là, tu ne constitues pas une base de 160 millions de contacts en aspirant des profils. Tu identifies les bonnes personnes, tu obtiens une adresse professionnelle par une voie propre, et tu écris un message ciblé, pertinent, avec ton vrai nom et un lien de désinscription qui marche. C'est plus lent qu'un bouton «aspirer», et c'est précisément pour ça que c'est légal.

Ta checklist pour prospecter sur LinkedIn sans te mettre en danger

• N'installe aucune extension qui aspire les emails ou téléphones des profils que tu visites. C'est le geste exact qui a coûté 240 000 € à Kaspr.
• Contacte les gens dans LinkedIn : demande de connexion, message, InMail. Tu restes dans l'usage prévu de la plateforme.
• Ne sors une donnée de LinkedIn que si tu peux justifier une base légale pour la réutiliser ailleurs, et jamais une donnée réservée aux relations de la personne.
• Quand tu écris par email à un professionnel, assure-toi que l'objet est en rapport avec son métier.
• Dis d'où viennent ses coordonnées dès le premier message, avec ton identité réelle visible.
• Mets un moyen de s'opposer, simple et gratuit, dans chaque message, et respecte-le durablement sur toute ta base.
• Purge les contacts inactifs plutôt que de les garder pour toujours : la conservation sans fin fait partie des manquements sanctionnés chez Kaspr.
• En cas de doute, considère qu'une donnée visible n'est pas une donnée réutilisable. C'est presque toujours le bon réflexe.

Je ne suis pas avocat, et cet article ne remplace pas un conseil juridique sur ta situation précise. Mais si tu suis ces huit lignes, tu prospectes déjà plus proprement que la grande majorité des boîtes qui vendent de l'aspiration LinkedIn aujourd'hui.

Questions fréquentes

Est-ce légal d'aspirer des profils LinkedIn pour prospecter ?

Non, pas avec les outils grand public qui le font. La CNIL a sanctionné la société Kaspr à hauteur de 240 000 € le 5 décembre 2024 pour avoir aspiré les coordonnées d'utilisateurs LinkedIn sans base légale, et l'extraction automatisée viole aussi les conditions d'utilisation de LinkedIn.

Puis-je contacter quelqu'un sur LinkedIn sans son accord préalable ?

Oui, si tu passes par LinkedIn lui-même : demande de connexion, message ou InMail. Tu utilises alors le réseau pour ce qu'il est, sans extraire ni stocker de données à part, ce qui correspond aux attentes raisonnables de la personne.

Une donnée visible sur un profil est-elle une donnée publique réutilisable ?

Non. Le RGPD continue de s'appliquer à une donnée visible, et sa réutilisation à une autre fin exige sa propre base légale. Chez Kaspr, la CNIL a jugé illicite la collecte de coordonnées pourtant visibles, parce qu'elles étaient réservées aux relations de la personne.

Que dit la CNIL sur le web scraping en 2025 ?

Dans sa fiche du 19 juin 2025, la CNIL admet le moissonnage fondé sur l'intérêt légitime, mais impose des garanties : filtrer les données non nécessaires, respecter robots.txt et les CAPTCHA, exclure les sites qui interdisent le scraping via leurs conditions, informer les personnes et leur ouvrir un droit d'opposition préalable.

Puis-je récupérer l'email d'un contact vu sur LinkedIn pour lui écrire ?

Seulement si tu obtiens cette adresse professionnelle par une voie légitime, et si l'objet de ton message est en rapport avec son métier. Tu dois alors indiquer l'origine des données dès le premier email et permettre une opposition simple et gratuite.

Est-ce que LinkedIn peut fermer mon compte si je scrape ?

Oui. L'extraction automatisée de données viole les conditions d'utilisation de LinkedIn, qui peut suspendre ou fermer le compte concerné. La CNIL, de son côté, considère ces conditions comme un motif d'exclusion du moissonnage.

Combien risque une PME qui aspire des profils LinkedIn ?

La sanction de référence est celle de Kaspr : 240 000 €, assortie d'une obligation de mise en conformité sous six mois. Le risque n'est pas qu'une amende : c'est aussi la fermeture du compte LinkedIn et une base de prospection à reconstruire de zéro.

Comment prospecter sur LinkedIn en restant conforme au RGPD ?

Contacte les gens dans la plateforme, n'aspire aucune donnée, ne réutilise une adresse email que par une voie propre et pour un message en rapport avec le métier de la personne, et laisse toujours un moyen simple de s'opposer. Notre article sur la méthode LinkedIn pour décrocher des rendez-vous détaille l'approche.

Prospecter proprement sur LinkedIn, c'est faisable, mais c'est du travail répété : identifier les bonnes personnes, personnaliser, relancer au bon moment, tenir la liste de ceux qui ont dit non. C'est précisément ce genre de routine que notre commercial digital prend en charge, en respectant les règles par défaut, pour t'aider à décrocher des rendez-vous sans embaucher ni transformer ta base en risque juridique. Si tu veux voir à quoi ça ressemble, demande une démo.