Le webscraping, ou récupération de données sur le web, est une technique automatisée qui consiste à extraire des informations à partir du contenu de sites web. Cela se fait en utilisant des logiciels ou des scripts pour collecter des données à partir des pages web, généralement dans le but d'analyser ces données, de les stocker ou de les utiliser à d'autres fins.

Le webscraping peut être utilisé pour extraire une variété d'informations, telles que des données de prix, des avis de produits, des actualités, des données météorologiques… Mais également dans le but de faire de la prospection commerciale ainsi que pour inférer ou reconstituer des données (un exemple au hasard : Boursorama). Et dans ce domaine, il est facile de friser la légalité (ou l'illégalité) sans jamais l’atteindre.

Si dans le cas de Boursorama les clients étaient incités à donner leur identifiant et mot de passe, la banque en ligne devait ensuite récupérer les informations directement depuis le site des impôts, il n'y a pas a priori d'API disponible.

Prospection personnelle ou professionnelle

Partons d’une anecdote personnelle. J’ai commencé à recevoir des messages à caractère professionnel sur une adresse non professionnelle m’appartenant aussi. Rien de très surprenant a priori, mais il y avait malgré tout un fait curieux : cela se répétait régulièrement. Il y avait donc quelque chose qui associait mon activité professionnelle à un mail sans lien avec celle-ci. Premier réflexe : vérifier s’il s’agissait d’un pompage éhonté et mal ficelé des données personnelles dont il me fallait trouver la provenance, et demander a minima la correction ou au mieux la suppression.

J’ai interrogé plusieurs émetteurs de ces mails en brandissant la menace du couperet des 4 % du chiffre d'affaires mondial, et tous m’ont juré mordicus avoir récupéré cette adresse en toute légalité et que c’était celle que j’utilisais comme adresse de contact professionnel. Je leur répondais que c’était faux et qu’un simple coup d’œil aurait suffi à constater que le nom de domaine associé n’était pas le bon. La structure des adresses mails pro étant souvent d’une simplicité édifiante (genre nom + prénom + nom de domaine de la boîte). Je n’ai guère insisté les premières fois, mais la répétition de ces envois me fit comprendre qu’il fallait y mettre de l’ordre avant que cela ne dégénère.

Démarrons notre (petite) enquête. Mes interlocuteurs m’ont affirmé qu’il s’agissait de mon adresse de contact sur LinkedIn. Sauf que oui, mais non : après vérification, j’utilise bien la bonne adresse professionnelle sur ce réseau. Je ne suis pas encore fou : j’ai bien renseigné l’adresse correctement et je n’ai jamais indiqué l’adresse non professionnelle.

Pas de chance : mon adresse pro est vérifiée sur LinkedIn et c’est la bonne !

Première hypothèse et première tâche : l’adresse aurait été trouvée via mon profil, et l’objectif sera donc de retrouver toutes les adresses utilisées sur LinkedIn. Si le paramétrage reste plus simple que celui de Facebook, il faut quand même chercher.

Sur le profil ? Rien. Respect du RGPD oblige (je suppose), il n’est pas possible d’accéder directement à votre adresse mail depuis votre page de profil. On ne trouve que les liens des sites web que vous voulez bien partager. Or aucun ne correspond avec l’adresse mail utilisée par les prospecteurs.

On peut vérifier sur ces deux écrans l'adresse mail. Pas de trace de la mauvaise adresse.

Encore une fois : affichées ou non, les adresses mails renseignées sont correctes et aucune trace de la « mauvaise ». Note : je floute les données, bien qu’elles soient publiques : ceux qui voudront les voir devront faire l’effort de regarder par eux-mêmes.

Un coup d’œil aux archives

Plutôt respectueux du RGPD, LinkedIn vous offre la possibilité de charger toutes les données vous concernant d’un simple clic, en allant dans « Préférences et Confidentialité » puis « Confidentialité des données ».

Demandez « Obtenez une copie de vos données », choisissez ce que vous voulez (la totalité, par exemple). Ça tombe bien, je veux tout. Il est précisé que cela peut prendre un certain temps, mais dans mon cas nous sommes restés bien en dessous des 24 heures annoncées, les premières données arrivant au bout d’une heure, et le reste quelques heures plus tard.

Au final, on a bien tout dans un format texte, mais aucune trace de l’adresse non professionnelle. Il y a plein d'autres choses intéressantes, mais rien de surprenant. Pour ceux que cela intéresse, vous pouvez par exemple voir le poste actuel de toutes vos relations, en parcourant le fichier Connections.csv mais sans aucune adresse mail, pas question de vous faire une liste de diffusion gratuite !

En quête de statut

Cette « mauvaise » adresse mail n’est toutefois pas tombée du ciel : elle correspond à une activité bien précise, et je me rappelle l’avoir ajoutée brièvement puis enlevée de mon profil. Nous avons donc une autre piste : une adresse mail ayant existé à un moment sur LinkedIn, mais ayant été effacée depuis. Une extraction aurait-elle été faite pile au moment où elle était présente ? Ou y a-t-il une autre explication ?

Nous avons demandé au réseau s’il était possible qu’il existe des enregistrements archivés ou dans un statut de type « archivé » et non présent dans cette extraction. Leur réponse est formelle : non.

Il faut alors creuser du côté des émetteurs des mails et, en questionnant à nouveau un de mes interlocuteurs, j’apprends l’information essentielle que j’attendais : pour retrouver mon adresse, l'un d'entre eux a utilisé un plug-in, édité par skrapp.io. Un coup d’œil sur le site et tout s’éclaire : « Easily find professional email addresses » (« trouvez facilement une adresse mail professionnelle »).

Trouvez une adresse, oui, mais pour la précision (“accuracy”) il y a de quoi redire...

Contact est pris avec l’éditeur du plugin pour savoir comment sont gérées les informations issues de LinkedIn (réponse promise en 1 heure). Je reçois rapidement un mail, en effet, me demandant de noter le support (« satisfait » ou « non satisfait »). Non, je n’ai pas supprimé un paragraphe de cet article par erreur : zéro réponse. Je vérifie sur le site : ticket fermé, aucun commentaire. Logiquement, je clique sur « Bad, I’m unsatisfied ». Je réessaye, je reformule, même résultat. Pas très causant, l’éditeur...

Grattons tant qu’on peut

Nous ne pouvons que conjecturer le fonctionnement de ce plugin d’après nos observations. Il semble qu’il fasse du scraping sur LinkedIn, et qu’il propose une « probabilité » pour les différentes combinaisons possibles qu’il retrouve pour reconstituer l’adresse mail à partir du nom, prénom, nom de domaine, agrémenté des caractères point, souligné, etc.

Or sur ma page LinkedIn, il y a le logo de mon employeur, mais aussi celui de mon école d’ingénieur (où j’ai encore un compte, ou plutôt un alias redirigeant vers une adresse personnelle). Et dans mon cas, l’adresse mail mise en avant par le plugin est valide, mais elle pointe sur cette adresse scolaire et non l’adresse professionnelle officielle. Vous vous en doutez, il est moins cher de procéder ainsi que de payer une licence à LinkedIn pour avoir la possibilité de contacter un membre du réseau.

Est-ce légal ?

Il y a deux aspects à examiner pour un tel traitement : est-ce que cela respecte la législation, notamment le RGPD, et est-ce que cela respecte les conditions d’utilisation de LinkedIn ?

Côté LinkedIn, c’est simple : cela contrevient à leurs conditions d’utilisation, et cela nous a été confirmé par l’assistance utilisateur. Donc skrapp.io n’a pas le droit de parcourir les pages de LinkedIn pour en tirer de l’information.

Extrait des CGU de LinkedIn

Côté RGPD, le règlement est clair, mais l’application est plus complexe. Nous avons pu échanger avec la CNIL, et voici les principaux éléments :

« La reconstitution de l’adresse électronique d’une personne physique à partir de ses nom, prénom et de son affiliation à un organisme par un logiciel dédié est effectivement une opération de traitement de données personnelles au sens du RGPD. Cela est vrai indépendamment du caractère professionnel de cette adresse ou de la durée de traitement de ces données. »

Il s’agit bien d’un traitement de données personnelles, nous sommes donc fondés pour demander des explications (droit de consultation, de modification, ou de retrait). Mais la difficulté est de qualifier le responsable de traitement, et la CNIL n’a pas (pour l’instant) eu à statuer sur un tel cas :

« Pour savoir s’il est possible d’exercer ses droits directement auprès de l’éditeur du plugin, il faut donc déterminer si ce dernier agit en tant que responsable de son traitement. À noter que s’il n’agit qu’en tant que fournisseur d’une solution (sans traiter lui-même de données), […] il conviendra d’exercer ses droits auprès de chaque organisme utilisant le logiciel. »

« […] la CNIL n’ayant pas, à ce jour, eu l’occasion de procéder à une analyse de ce dispositif en particulier, elle ne saurait ni se prononcer sur l’applicabilité du RGPD ni sur la qualification de l’éditeur en tant que responsable du traitement. »

Pas de jurisprudence en la matière, donc. Cela nous met dans une situation paradoxale : nos droits seraient à exercer auprès des utilisateurs du plugin (ceux qui l’utilisent pour retrouver des adresses mails) alors que c’est l’éditeur du plugin qui enfreint les conditions d’utilisation de LinkedIn. Sachant que skrapp.io ne semble stocker aucune information, notre droit d’opposition devra donc être demandé à tous les utilisateurs du plugin ! Pas pratique.

À propos de la prospection commerciale

Il faut rappeler que la prospection commerciale professionnelle bénéficie d’un régime plus souple que la prospection simple, mais qu’elle reste encadrée, comme la CNIL l’expose clairement ici : la prospection commerciale par courrier électronique.

Pour les pros, la CNIL nous redit :

« Il est possible de se passer de consentement pour de tels traitements, [mais] certaines conditions doivent pour cela être remplies. Le responsable du traitement doit en particulier s’assurer du caractère professionnel de la prospection. »

Notamment, le mail doit porter sur l’activité professionnelle visée, ne doit pas être disproportionnée, et le destinataire doit pouvoir s’y opposer simplement et sans justification.

Et que fait LinkedIn ?

Hélas pas grand-chose. Il est de leur responsabilité d’entamer une action judiciaire pour le non-respect de ses CGU, mais leur service clientèle semble ne s’intéresser qu’aux membres du réseau. Or l’écriture d’un plugin de scraping ne nécessite pas obligatoirement d’être membre du réseau.

En conclusion, l’éditeur du plugin a encore de beaux jours devant lui, ainsi que tous ses congénères gratteurs, car ce procédé déporte la responsabilité (au sens RGPD) vers les utilisateurs. Et tant que les sites web ne poursuivront pas juridiquement les scrapeurs, ce sont les utilisateurs finaux qui devront s’assurer que leur usage est légal, et de ce côté-là, bien peu de gens lisent les CGU avec précaution (à part nous) !

Le scraping en soi n'est pas interdit, mais d'une part il peut contrevenir aux CGU des sites visés, d'autre part la responsabilité de l'utilisation des données incombe à l'utilisateur du plugin. Enfin le scraping utilisant des identifiants de connexion, encore très utilisé notamment dans le monde bancaire (voir l’exemple de Boursorama), continue à flirter avec la légalité.