Vous n’avez jamais publié votre numéro de téléphone sur votre profil LinkedIn. Pourtant, un commercial vous appelle sur votre téléphone personnel pour vous vendre une solution informatique.
Lorsque vous lui demandez d’où vient ce numéro, la réponse peut être déroutante : un outil connecté à LinkedIn, capable de récupérer ou d’enrichir les données de contact des profils.
Ce scénario pose une question beaucoup plus importante qu’un simple appel commercial : quelles données avons-nous réellement laissées derrière nous, qui peut les récupérer et jusqu’où les outils de scraping et de data enrichment peuvent-ils aller ?
Le fait qu’un prospecteur affirme avoir obtenu un numéro « via LinkedIn » ne permet pas, à lui seul, d’établir que LinkedIn lui a directement transmis ce numéro. Il peut exister plusieurs intermédiaires : scraping, agrégation de bases, data brokers, enrichissement de données ou sources publiques.
Le numéro n’est pas forcément sur votre profil
C’est précisément ce qui rend le sujet intéressant.
LinkedIn explique officiellement qu’un numéro de téléphone peut être utilisé pour sécuriser un compte, activer certaines fonctions d’authentification ou réinitialiser un mot de passe. LinkedIn précise également que le numéro utilisé pour authentifier le compte n’apparaît pas sur le profil par défaut. :contentReference[oaicite:0]{index=0}
LinkedIn indique toutefois aussi que, selon les paramètres choisis, le numéro peut servir à permettre à d’autres personnes de retrouver un profil et que certains services autorisés peuvent rechercher un profil à partir d’un numéro ou d’une adresse e-mail. :contentReference[oaicite:1]{index=1}
Deux données très différentes
Numéro affiché sur le profil :
une information que l’utilisateur peut volontairement rendre visible dans ses coordonnées.
Numéro utilisé pour la sécurité :
une information associée au fonctionnement et à la récupération du compte.
Le scraping : la machine à aspirer des données
Le web scraping consiste à utiliser des logiciels pour récupérer automatiquement des informations présentes sur des sites web. Dans le monde commercial, ces techniques peuvent être combinées avec des systèmes de data enrichment : une entreprise dispose d’un nom et d’un employeur, puis cherche automatiquement d’autres informations susceptibles de compléter la fiche.
Le résultat peut devenir une véritable fiche commerciale : nom, entreprise, fonction, adresse professionnelle, e-mail, numéro de téléphone, historique professionnel ou autres informations provenant de différentes bases.
Le fonctionnement peut ressembler à ceci
Profil professionnel → identité et entreprise → collecte automatisée → croisement avec d’autres sources → enrichissement → base commerciale → prospection
Le point important : le numéro final peut provenir d’une autre source que celle que l’utilisateur imagine.
Scraping ne veut pas dire automatiquement « illégal »
C’est ici qu’il faut éviter les raccourcis.
Une donnée accessible sur Internet n’est pas pour autant libre de toute contrainte. La collecte, la conservation, l’utilisation et la transmission de données personnelles doivent respecter les obligations applicables, notamment celles du RGPD.
Et le simple argument « les données étaient publiques » ne suffit pas nécessairement à régler la question.
En décembre 2024, la CNIL a sanctionné KASPR d’une amende de 240 000 euros. La Commission reprochait notamment à la société d’avoir collecté des coordonnées d’utilisateurs LinkedIn qui avaient choisi de limiter leur visibilité. La CNIL a également relevé des problèmes concernant l’information des personnes, la durée de conservation et les réponses apportées aux demandes permettant de connaître la source des données. :contentReference[oaicite:2]{index=2}
Cette affaire est particulièrement intéressante parce qu’elle montre une chose simple : le fait qu’une donnée puisse être techniquement récupérée ne signifie pas que n’importe quelle collecte ou utilisation devient automatiquement acceptable.
Et LinkedIn dans tout ça ?
Il faut distinguer deux questions.
La première concerne ce que LinkedIn fait avec les données associées à ses utilisateurs. La seconde concerne ce que des entreprises tierces peuvent récupérer, agréger ou enrichir à partir de LinkedIn et d’autres sources.
Sur un point, les conditions d’utilisation de LinkedIn sont très explicites : la plateforme interdit notamment l’utilisation de logiciels, robots, scripts, extensions ou autres procédés destinés à effectuer du scraping ou à copier ses services et les données qui en proviennent sans autorisation. :contentReference[oaicite:3]{index=3}
Cela ne signifie cependant pas que toutes les bases commerciales qui contiennent des données sur des professionnels ont nécessairement été constituées directement par scraping de LinkedIn. Certaines combinent plusieurs sources.
Plutôt que de demander simplement « vous avez trouvé mon numéro où ? », demandez : « Quelle est la source exacte de cette donnée et sur quelle base juridique la traitez-vous ? »
Le mot « RGPD » ne suffit pas
Dans une conversation commerciale, affirmer qu’un outil est « RGPD » ne permet pas, à lui seul, de démontrer que chaque traitement effectué avec cet outil respecte effectivement le RGPD.
Il faut regarder le traitement concret : quelle donnée, quelle source, quelle finalité, quelle base légale, quelle durée de conservation, quelle information de la personne et quels droits peuvent être exercés ?
Dans le dossier KASPR, la CNIL a justement examiné plusieurs de ces éléments. En mars 2026, elle a annoncé la clôture de l’injonction après avoir constaté les mesures de mise en conformité annoncées par la société, notamment l’effacement de sa base et l’arrêt de la collecte de données sur LinkedIn. :contentReference[oaicite:4]{index=4}
La sensibilisation devient indispensable
Le problème ne concerne pas uniquement les experts RGPD ou les responsables sécurité. Il concerne tous ceux qui utilisent des plateformes professionnelles.
Beaucoup d’utilisateurs pensent : « Je n’ai pas publié mon numéro, donc personne ne peut l’avoir. »
C’est une hypothèse dangereuse.
Une donnée peut exister dans plusieurs endroits : ancien CV, annuaire professionnel, signature d’e-mail, registre public, ancien site d’entreprise, base commerciale, fuite de données, carnet d’adresses synchronisé ou service d’enrichissement.
SENSIBILISATION : LES RÉFLEXES À ADOPTER
- Ne pas considérer « non visible sur mon profil » comme synonyme de « inconnu d’Internet ».
- Limiter les informations personnelles utilisées sur les plateformes professionnelles.
- Vérifier régulièrement les paramètres de confidentialité.
- Séparer autant que possible les coordonnées professionnelles et personnelles.
- Être attentif aux appels utilisant des informations très précises sur votre parcours.
- Demander la source d’une donnée lorsqu’un prospecteur affirme l’avoir obtenue auprès d’un service tiers.
Et si un commercial possède une donnée que vous n’avez jamais publiée ?
La première réaction ne devrait pas nécessairement être de raccrocher ou d’accuser immédiatement une plateforme.
Il est beaucoup plus intéressant de transformer l’appel en collecte d’informations.
Les questions à poser
- « Quelle est la source de mon numéro ? »
- « Quelle société vous a fourni cette donnée ? »
- « Quelle est la finalité de ce traitement ? »
- « Sur quelle base juridique traitez-vous cette donnée ? »
- « Combien de temps conservez-vous mes coordonnées ? »
- « Comment puis-je exercer mon droit d’opposition ou demander l’effacement ? »
La prospection B2B n’est pas interdite pour autant
Il faut également éviter un autre raccourci : toute prospection téléphonique n’est pas automatiquement illégale.
La CNIL distingue notamment les règles applicables aux particuliers et celles applicables aux professionnels. Pour la prospection téléphonique B2B, les professionnels doivent notamment être informés et pouvoir s’opposer à la prospection. Les règles françaises ont par ailleurs évolué à partir du 11 août 2026. :contentReference[oaicite:5]{index=5}
Le véritable sujet n’est donc pas simplement « ai-je reçu un appel ? ». C’est aussi : « comment mes données ont-elles été obtenues, pourquoi sont-elles utilisées et suis-je correctement informé de ce traitement ? »
Le scraping est aussi un sujet de cybersécurité
On parle souvent du scraping comme d’un problème de vie privée. C’est également un sujet de sécurité.
Une personne malveillante peut utiliser l’agrégation de données pour construire un profil beaucoup plus précis qu’un simple profil LinkedIn : fonction, entreprise, technologies utilisées, collègues, habitudes professionnelles, adresse e-mail, téléphone ou informations issues d’anciens documents.
Plus le profil est précis, plus les campagnes de phishing ciblé, d’ingénierie sociale ou d’usurpation peuvent devenir crédibles.
Le danger peut venir de l’agrégation : plusieurs informations banales, réunies dans la même fiche, peuvent produire un profil extrêmement utile à un attaquant.
Ce que cette histoire doit nous apprendre
La sensibilisation ne doit donc plus se limiter à « ne publiez pas votre mot de passe ».
Il faut également apprendre à comprendre l’écosystème de la donnée : ce que nous publions, ce que les plateformes conservent, ce que les applications peuvent récupérer, ce que les agrégateurs croisent et ce que les entreprises de prospection peuvent finalement exploiter.
Et surtout, il faut rappeler une règle simple : une information personnelle n’a pas besoin d’être affichée publiquement pour circuler dans l’écosystème numérique.
Le scraping et l’enrichissement de données ont profondément changé la prospection commerciale. Un nom, une fonction et une entreprise peuvent aujourd’hui servir de point de départ à la constitution automatique d’un profil beaucoup plus complet.
Le cas KASPR montre que la collecte de données LinkedIn peut soulever de véritables questions RGPD, y compris lorsque les informations sont techniquement accessibles ou issues de plusieurs sources. :contentReference[oaicite:6]{index=6}
Mais avant d’accuser une plateforme d’avoir transmis une donnée de sécurité, il faut reconstruire la chaîne : source → collecte → enrichissement → conservation → utilisation.
Pour les utilisateurs comme pour les entreprises, la réponse passe autant par les droits RGPD que par une meilleure culture de la donnée et de la cybersécurité.
