Connaître le nom d’un salarié, son entreprise et le format habituel des adresses électroniques (convention de nommage) de cette dernière suffit souvent pour reconstituer ses coordonnées professionnelles. Une pratique courante dans la prospection commerciale, même lorsque l’intéressé n’a jamais rendu son adresse publique. Mais la possibilité technique de reconstituer une adresse autorise-t-elle à l’utiliser ?
Dans deux publications du 16 octobre 2026, la Commission nationale de l’informatique et des libertés (CNIL) précise les conditions dans lesquelles cette pratique peut être conforme au règlement général sur la protection des données (RGPD). Sa position apporte une nuance importante : la reconstitution d’une adresse professionnelle n’est pas interdite par principe. Sa licéité dépend notamment de la finalité poursuivie, des attentes raisonnables de la personne concernée et des garanties mises en œuvre.
Reconstituer une adresse, une pratique plus courante qu’il n’y paraît
La technique repose généralement sur des informations disponibles en ligne : identité d’une personne, fonction exercée, entreprise employeuse et format des adresses électroniques de cette organisation. Lorsqu’une entreprise utilise le modèle prenom.nom@entreprise.fr, il devient relativement simple de déduire l’adresse probable d’un collaborateur, même si celle-ci ne figure sur aucun site public.
Des outils spécialisés permettent également d’automatiser cette recherche, de croiser différentes sources et de constituer des bases de contacts professionnels. Cette pratique peut répondre à plusieurs objectifs : prospection commerciale B2B, communication professionnelle ou prise de contact dans le cadre de relations institutionnelles.
La CNIL rappelle néanmoins un principe essentiel : « le caractère public des informations utilisées ne dispense pas de respecter le RGPD. » Une adresse électronique nominative professionnelle constitue une donnée à caractère personnel dès lors qu’elle se rapporte à une personne physique identifiée ou identifiable. Le fait qu’elle soit utilisée dans un contexte professionnel ne la soustrait donc pas à la réglementation.
L’intérêt légitime ne constitue pas une autorisation générale
La CNIL reconnaît que la reconstitution d’adresses professionnelles peut, dans certaines situations, reposer sur l’intérêt légitime prévu à l’article 6.1.f du RGPD. Ce fondement juridique permet de traiter certaines données sans recueillir préalablement le consentement de la personne concernée, sous réserve de respecter les conditions applicables. L’organisme doit notamment poursuivre un intérêt légitime, démontrer la nécessité du traitement et vérifier que les intérêts ou les droits et libertés de la personne ne prévalent pas sur cet intérêt.
Dans le cadre d’une prospection commerciale B2B, la reconstitution d’une adresse peut ainsi reposer sur la même base légale que l’opération de prospection à laquelle elle contribue.Cette articulation n’est ni automatique ni systématique. Une entreprise ne peut pas simplement invoquer son intérêt commercial pour considérer que toute adresse professionnelle reconstituée devient librement exploitable. Elle doit apprécier les circonstances dans lesquelles les informations ont été obtenues, la nature de la sollicitation envisagée et ses conséquences pour la personne concernée.
La visibilité professionnelle ne signifie pas nécessairement la volonté d’être contacté
C’est probablement le point le plus intéressant des précisions apportées par la CNIL. L’autorité invite les organismes à examiner les attentes raisonnables des personnes dont ils souhaitent reconstituer les coordonnées. Une personne présente sur un réseau professionnel, dont les responsabilités sont publiquement connues et qui participe régulièrement à des échanges institutionnels, peut se trouver dans une situation différente de celle d’un salarié n’ayant aucune présence identifiable en ligne.
La CNIL attire notamment l’attention sur deux situations :
- Les personnes ne disposant d’aucune présence professionnelle identifiable en ligne.
- Les personnes ayant volontairement restreint l’accès à leurs informations, notamment par des paramètres de confidentialité ou l’utilisation de formulaires de contact plutôt que d’une adresse directe.
Ces circonstances peuvent révéler une volonté de limiter sa visibilité ou sa joignabilité. Dans ces situations, la personne ne peut, a priori, raisonnablement s’attendre à ce que son adresse professionnelle soit reconstituée.
La CNIL n’établit cependant pas une interdiction absolue. Des garanties appropriées peuvent contribuer à rendre le traitement admissible. « L’absence de publication d’une adresse n’interdit donc pas systématiquement sa reconstitution, mais elle impose une appréciation plus attentive des droits de la personne. »
Prospection B2B : des règles qui restent applicables
La possibilité de reconstituer une adresse électronique ne dispense pas de respecter les règles propres à la prospection commerciale. En France, une sollicitation électronique adressée à un professionnel peut, sous certaines conditions, reposer sur l’intérêt légitime sans nécessiter de consentement préalable.
L’objet du message doit notamment être en rapport avec la profession ou les responsabilités de son destinataire. La CNIL donne traditionnellement l’exemple d’une proposition de logiciel adressée à un directeur informatique. À l’inverse, la seule qualité de salarié ou de dirigeant ne suffit pas à rendre légitime n’importe quelle sollicitation.
Le prospecteur doit également respecter les exigences d’information et permettre à la personne de s’opposer simplement et gratuitement à l’utilisation de ses coordonnées. Chaque message de prospection doit notamment identifier l’annonceur et proposer un moyen effectif de refuser de nouvelles sollicitations.
Il faut ainsi distinguer deux opérations : la reconstitution de l’adresse et son utilisation ultérieure. Chacune doit respecter les règles qui lui sont applicables.
La conservation des adresses et le droit d’opposition au cœur des garanties
La CNIL insiste sur les mesures permettant de limiter les conséquences de la reconstitution. Elle évoque notamment la possibilité de ne conserver une adresse reconstituée que lorsqu’un premier contact effectif a été établi avec la personne concernée dans un délai raisonnable. Cette approche vise à éviter l’accumulation durable de coordonnées déduites, parfois jamais utilisées ou dont la pertinence n’a pas été vérifiée.
Autre garantie importante : la prise en compte des oppositions.
La CNIL recommande qu’une opposition exprimée entraîne l’exclusion immédiate des données concernées de toute nouvelle opération de reconstitution, sans exiger de justification particulière, y compris lorsque le traitement ne relève pas de la prospection commerciale. Il ne suffit donc pas de supprimer une adresse d’une campagne pour considérer que le problème est résolu.
Un dispositif de prospection automatisée pourrait, en l’absence de précautions, reconstituer ultérieurement la même adresse à partir des mêmes informations. La gestion des oppositions doit prévenir cette réintroduction. Une liste repoussoir correctement sécurisée et limitée aux informations nécessaires peut notamment contribuer à cet objectif.
Quels droits pour les professionnels concernés ?
La seconde publication de la CNIL, consacrée aux droits des personnes, rappelle qu’un salarié ou un dirigeant peut demander des explications sur la manière dont son adresse électronique a été obtenue. L’organisme responsable doit fournir une information claire sur les finalités poursuivies, l’origine des données, ses coordonnées et les modalités d’exercice des droits.
Lorsque les données ne sont pas collectées directement auprès de la personne, les exigences de l’article 14 du RGPD doivent également être respectées, notamment les délais d’information applicables. La personne concernée conserve ses droits d’accès, de rectification, d’effacement, de limitation et, selon les conditions prévues par le RGPD, d’opposition.
En matière de prospection commerciale, le droit d’opposition peut être exercé à tout moment, sans justification. L’organisme doit alors cesser d’utiliser les données pour cette finalité. En cas de difficulté ou d’absence de réponse dans le délai réglementaire, la personne peut saisir la CNIL.
Une pratique à intégrer dans la gouvernance des données
Pour les entreprises qui utilisent des outils de prospection, les précisions de la CNIL invitent à examiner plusieurs aspects de leur organisation. La constitution d’un fichier de contacts ne devrait pas reposer uniquement sur la capacité d’un outil à découvrir ou à vérifier techniquement des adresses professionnelles.
Elle suppose de définir clairement les finalités poursuivies, de documenter la base légale retenue et de vérifier l’adéquation des sollicitations avec les fonctions des destinataires. Les modalités de collecte, les durées de conservation, l’information des personnes et la gestion des oppositions doivent également être maîtrisées.
Cette vigilance concerne aussi les entreprises qui achètent des bases de contacts ou recourent à des prestataires spécialisés. L’intervention d’un tiers ne dispense pas le responsable du traitement de s’assurer de la licéité des données exploitées.
Les deux publications de la CNIL ne créent pas une nouvelle interdiction de prospecter les professionnels. Elles précisent les conditions dans lesquelles une pratique existante peut être juridiquement justifiée.
« Une adresse professionnelle peut être techniquement déduite sans que son exploitation soit automatiquement licite. »
Pour les organisations, la distinction est déterminante : la disponibilité d’une donnée, même obtenue à partir de sources publiques, ne suffit pas à démontrer que son utilisation respecte les droits des personnes concernées.
