法国KASPR数据抓取Chrome扩展未告知个人信息来源和处理目的被罚24万欧元案（法国CNIL，2024年12月）

【案件背景】
KASPR公司开发运营一款Chrome浏览器扩展程序，付费客户安装后可在浏览LinkedIn个人资料页面时自动获取目标人员的专业联系方式（邮箱、电话号码等）。KASPR从LinkedIn及其他公开网站（如域名注册数据库）中抓取并聚合数据，构建了约1.6亿条联系人的数据库，用于面向客户销售。法国CNIL收到大量投诉：多名个人在从未听说过KASPR的情况下，被使用KASPR数据的企业联系进行商业推销、招聘或身份验证。

【违法事实】
CNIL认定KASPR违反GDPR的行为中，与透明度/告知义务直接相关的包括：（1）违反GDPR第12条和第14条——KASPR的核心商业模式是基于'未从数据主体直接获取个人数据'的场景，属于GDPR第14条规范范围。但KASPR自2018年至2022年5月18日长达四年多的时间内，未以任何方式告知被收录的1.6亿人：其个人数据已被收集、被存储于商业数据库，以及这些数据将被出售给第三方——构成了最根本的告知义务全面缺失；（2）即使2022年5月18日后KASPR开始发送告知邮件，该邮件仅以英文撰写，对于母语非英语的数据主体（如法国、德国、西班牙等国用户）无法构成有效的告知——GDPR第12条要求告知须使用数据主体能够理解的语言；（3）告知邮件仅提供了反对（opt-out）的链接，但未按照GDPR第14条的要求提供数据控制者身份和联系信息、处理目的和法律基础、个人数据类别和接收方、数据保留期限以及数据主体所享有的各项权利等信息；（4）违反GDPR第15条——未妥善响应数据主体的访问权请求，部分请求者无法获得关于其数据来源的完整信息。另外还认定了无合法基础处理（第6条）和数据保留不当（第5条第1款e项）。

【处罚决定】
2024年12月5日，CNIL对KASPR处以24万欧元行政罚款，并命令：（1）停止收集主动限制联系信息可见度的个人数据，并删除已收集的此类数据；如技术上无法区分此类数据，须在3个月内向所有相关人员发送以他们理解的语言撰写的全面告知，并在此期间仅将数据用于发送告知这一目的；（2）停止自动续期数据存储；（3）以数据主体理解的语言提供告知；（4）完整响应数据主体的访问权请求。合规期限为6个月（截至2025年6月18日）。

【典型意义】
本案是全球范围内对'数据抓取'（data scraping）商业模式的标志性告知义务执法。核心意义：一是明确'从公开网站收集信息'不等于'可以不经告知即商业化使用'——即使LinkedIn资料在技术上可公开访问，将数据抓取、聚合后作为商业产品销售仍须逐一向数据主体履行第14条告知义务；二是告知须以数据主体能理解的语言进行——仅提供英文告知对非英语国家的欧盟居民不构成有效告知，这一要求对跨国SaaS和数据服务企业具有重要影响；三是'退订链接'不等于'告知'——仅提供一个opt-out链接而不能提供GDPR第14条要求的法定信息清单，不构成有效告知。