Par une analyse publiée le 16 octobre 2026, la CNIL vient préciser dans quelles conditions une entreprise peut déduire une adresse professionnelle à partir d’informations accessibles en ligne. Les entreprises qui utilisent cette méthode pour prospecter doivent désormais documenter leur analyse, revoir leurs pratiques d’information et vérifier la gestion des oppositions.
Une adresse professionnelle reconstituée reste une donnée personnelle
La reconstitution consiste à déduire une adresse électronique à partir du nom, du prénom, de l’employeur et du format utilisé par l’entreprise, par exemple prenom.nom@entreprise.fr. L’adresse n’a pas besoin d’avoir été publiée pour que la protection des données s’applique.
La CNIL rappelle que l’accessibilité en ligne des informations utilisées ne suffit pas à rendre leur réutilisation libre. La reconstitution doit respecter le RGPD et lorsqu’elle sert à envoyer des messages commerciaux, les règles spécifiques de la prospection électronique s’appliquent.
Après plusieurs années de sanctions au cas par cas, l’autorité de contrôle franchit donc une étape supplémentaire en structurant une grille d’analyse à destination des entreprises, leur permettant d’évaluer elles-mêmes la licéité de leurs pratiques.
L’intérêt légitime n’est possible qu’après une mise en balance concrète
La CNIL admet que la reconstitution puisse, dans certains cas, reposer sur l’intérêt légitime, à condition que l’entreprise justifie d’un intérêt réel à contacter la personne : développer son activité commerciale, faciliter des échanges professionnels, etc.
Cette base juridique n’ouvre toutefois pas un droit automatique. Elle impose une analyse au cas par cas : finalité poursuivie, caractère intrusif de la démarche, visibilité des données, attentes raisonnables de la personne.
Dans son analyse, le régulateur accorde une importance particulière aux indices de contrôle exercé par la personne sur ses propres données. Une absence de présence identifiable en ligne, des paramètres de confidentialité renforcés ou le recours à un formulaire de contact plutôt qu’à une adresse directe peuvent révéler une volonté de limiter sa joignabilité. Dans ce cas, l’entreprise ne peut pas supposer que la personne s’attendait à être contactée.
Enfin, la finalité globale du traitement est déterminante pour choisir la base légale applicable. La reconstitution est généralement une étape technique au service d’un objectif plus large, qu’il s’agisse d’une prospection B to B ou d’une prise de contact institutionnelle. Elle peut suivre la même base juridique que ce traitement principal, à condition que la logique soit cohérente de bout en bout.
La prospection commerciale obéit à des règles supplémentaires
L’article L. 34-5 du Code des postes et des communications électroniques interdit en principe la prospection directe par courrier électronique utilisant les coordonnées d’une personne physique qui n’a pas préalablement consenti à recevoir ces messages.
La CNIL distingue néanmoins la prospection adressée à des professionnels, pour laquelle la personne doit être informée et pouvoir s’opposer simplement à l’utilisation de ses coordonnées, de la prospection visant des particuliers, qui repose en principe sur un consentement préalable.
L’appréciation dépend aussi du lien entre le message et la fonction exercée. Dans sa délibération SAN-2020-018 du 8 décembre 2020, la CNIL avait refusé qu’une société invoque l’intérêt légitime pour adresser des offres de repas à des personnes dont les adresses avaient été reconstituées à partir d’un réseau social professionnel. Les messages présentaient un lien trop faible avec l’activité professionnelle des destinataires. La CNIL a retenu que le consentement préalable était nécessaire.
La Cour de cassation avait déjà posé, dans son arrêt du 14 mars 2006, n° 05-83.423, le principe selon lequel utiliser une adresse électronique trouvée en ligne pour un usage sans rapport avec le contexte dans lequel elle a été publiée était déloyal. Cette solution, rendue avant le RGPD, reste pleinement transposable.
Les bonnes pratiques avant toute campagne
Une entreprise qui pratique cette méthode devrait documenter, avant toute campagne :
- la provenance du nom et du prénom utilisés et comment l’adresse a été déduite ;
- la finalité de la prise de contact et son lien avec la fonction de la personne ;
- l’analyse des attentes raisonnables et du caractère intrusif de la démarche ;
- la base juridique retenue pour la reconstitution et pour l’envoi du message ;
- l’information communiquée au premier contact, notamment sur la source de l’adresse et les droits de la personne.
La CNIL recommande également de limiter la conservation des adresses reconstituées. L’adresse pourrait ne rester dans la base que si un premier contact effectif intervient dans un délai raisonnable. Toute opposition devrait entraîner l’exclusion immédiate de la personne de futurs traitements de reconstitution, y compris lorsque la finalité n’est pas commerciale.
La sanction la plus redoutée n’est pas nécessairement l’amende. Dans la délibération de 2020 évoquée précédemment, la CNIL avait ordonné à la société de détruire l’intégralité de sa base de prospects constituée sans consentement. Des mois de travail de prospection effacés.