Entrée dans l'espace public : 20 décembre 2022
Fuite établie par une source officielle (entité, autorité ou justice).
Volume annoncé :
Volume non communiqué
volume non précisé par la décision ; non-lieu à sanctionner, le RGPD ayant été jugé non applicable
Le 20 décembre 2022, la formation restreinte de la CNIL a prononcé un non-lieu à sanctionner à l'encontre de Lusha, société américaine sans établissement dans l'Union européenne. L'extension de navigateur commercialisée par la société révèle à ses clients les coordonnées professionnelles des personnes dont ils consultent le profil sur LinkedIn ou Salesforce ; trois applications de gestion de contacts développées par ses filiales aspiraient les carnets d'adresse de leurs utilisateurs pour alimenter la base. À la suite d'une plainte déposée en janvier 2018, la CNIL a examiné un défaut de base légale et un non-respect du droit d'accès, mais a estimé que le RGPD n'était pas applicable à la société : son offre et le suivi du comportement ne visaient pas les personnes concernées au sens de l'article 3. La décision figure anonymisée dans le tableau officiel des sanctions ; Lusha est nommée dans les analyses juridiques publiées de la décision.
Seules les catégories listées par les sources figurent ici · survolez ou mettez le focus sur une puce pour le risque associé.
Non-lieu à sanctionner : défaut de base légale et non-respect du droit d'accès examinés, mais le RGPD est jugé non applicable à la société américaine.
Chaque fait de cette fiche renvoie à une source citée · voir la méthode.