Reconstituer l’adresse e-mail professionnelle d’un prospect : ce que dit la CNIL en octobre 2026

Ce que la CNIL a publié le 16 octobre 2026

La CNIL a mis en ligne deux pages le même jour. La première, « dans quel cadre est-ce autorisé ? », s’adresse aux entreprises qui prospectent. La seconde, « quels sont vos droits ? », s’adresse aux personnes dont l’adresse a été reconstituée.

La pratique visée est simple. Selon la CNIL, il s’agit de « déduire ou "deviner" une adresse électronique professionnelle à partir d’informations disponibles en ligne, telles que le nom et le prénom d’une personne et l’identité de l’organisme qui l’emploie ». Elle repose souvent sur le format des adresses d’une organisation, repéré au préalable : si l’entreprise écrit depuis jean.martin@, l’adresse de sa collègue Claire Durand sera probablement claire.durand@.

C’est une pratique courante en prospection B2B, à la main ou à l’aide d’outils. La CNIL pose d’abord un principe : « Le fait que les données utilisées pour reconstituer ces adresses soient accessibles sur Internet ne dispense pas les organismes de respecter les règles applicables. » Une adresse nominative est une donnée personnelle, qu’elle ait été publiée ou devinée.

Ce qui change par rapport à 2024

En juin 2024, dans ses recommandations aux réutilisateurs de données publiées sur Internet, la CNIL avait déjà évoqué le sujet. À propos des annuaires de professionnels, elle classait « la déduction de l’adresse électronique professionnelle à partir de celles de leurs collègues » parmi les traitements de nature à créer un déséquilibre. Elle concluait que « le consentement des personnes concernées devrait être recherché ».

La page de 2026 est consacrée à cette seule pratique, quel que soit l’usage. Elle admet que la reconstitution peut reposer sur l’intérêt légitime « dans certains cas ». Elle détaille les critères à examiner et les garanties à prévoir. Le consentement reste la solution de repli quand ces conditions ne peuvent pas être remplies.

Ce n’est pas un nouveau texte de loi : le RGPD et le code des postes et des communications électroniques ne changent pas. C’est la grille de lecture que la CNIL rend publique.

Les trois questions à se poser avant de deviner une adresse

L’intérêt légitime suppose deux choses, selon la CNIL. D’abord, un intérêt réel à contacter la personne, par exemple « développer son activité commerciale ». Ensuite, l’absence d’« atteinte disproportionnée » à ses droits. Pour en juger, la CNIL propose trois critères.

1. Pourquoi voulez-vous écrire à cette personne ?

La reconstitution est rarement une fin en soi : c’est une étape technique au service d’un objectif plus large. Si cet objectif est une prospection B2B fondée sur l’intérêt légitime, la reconstitution peut reposer sur la même base.

Rappel utile : la prospection d’un professionnel par e-mail sans consentement n’est admise que si l’objet du message est « en rapport avec la profession de la personne démarchée ». Proposer un logiciel de paie à une responsable des ressources humaines entre dans ce cadre. Lui proposer une offre pour sa vie privée, non. Les règles générales sont détaillées dans notre fiche sur la prospection B2B par e-mail.

2. La personne est-elle visible et joignable en ligne ?

La CNIL demande de regarder le contexte dans lequel les informations ont été rendues accessibles. Elle distingue deux situations où la personne ne peut a priori pas s’attendre à ce que son adresse soit reconstituée :

• aucune présence identifiable en ligne (ni réseau professionnel, ni site institutionnel) : c’est, pour la CNIL, « un indice fort » que la personne n’a pas souhaité être facilement joignable par ce biais ;
• des mesures pour protéger ses coordonnées : paramètres de confidentialité renforcés, accès restreint, ou « usage de formulaires de contact plutôt que d’une adresse directe ».

3. Quelles garanties mettez-vous en place ?

Des garanties adaptées peuvent « rééquilibrer la balance ». La CNIL en cite deux :

• limiter la conservation : ne garder l’adresse reconstituée que si un premier contact effectif est établi avec la personne dans un délai raisonnable ;
• respecter l’opposition sans condition : toute opposition entraîne l’exclusion immédiate des données de tout traitement ultérieur de reconstitution, sans que la personne ait à se justifier.

À défaut, l’organisme « doit s’abstenir » de reconstituer les adresses, sauf à recueillir le consentement de la personne.

La grille appliquée à des cas courants

Une nuance pour la dernière ligne : l’adresse contact@ d’une entreprise individuelle désigne souvent une seule personne. Traitez-la avec les mêmes précautions qu’une adresse nominative.

La check-list avant d’envoyer le premier message

1. Cherchez d’abord l’adresse publiée. La page contact, les mentions légales ou le standard téléphonique donnent souvent un point d’entrée. Au standard, demandez le nom du bon interlocuteur et la façon dont il préfère être contacté.
2. Notez la source et la date de chaque adresse. Dans votre fichier, distinguez « publiée sur le site, page et date » de « reconstituée d’après le format observé ». Notre modèle de fichier de prospection prévoit une colonne pour la source de chaque contact.
3. Ne reconstituez que pour un contact prévu à court terme. Une adresse devinée et stockée « au cas où » ne correspond pas à la garantie décrite par la CNIL.
4. Informez dès le premier message. Quand des données n’ont pas été obtenues auprès de la personne, l’article 14 du RGPD impose de l’informer au plus tard lors de la première communication. Cette information comprend la source des données. La CNIL insiste : la personne doit savoir, « aussitôt que possible et de manière claire », comment son adresse a été obtenue.
5. Présentez le droit d’opposition à part. L’article 21 du RGPD exige qu’il soit présenté « clairement et séparément de toute autre information » dès la première communication. Chaque message doit aussi indiquer une adresse valable pour demander l’arrêt des envois, et ne pas dissimuler l’identité de l’expéditeur (article L34-5 du code des postes et des communications électroniques).
6. Tenez une liste d’opposition. Toute personne qui dit non en sort aussitôt, et son adresse ne doit plus être reconstituée.

Exemple de paragraphe d’information, à adapter : « Je vous écris à cette adresse, que j’ai déduite de votre nom, lu sur la page Équipe de votre site, et du format des adresses de votre entreprise. Je vous contacte au sujet de [lien avec votre métier]. Si vous ne souhaitez plus recevoir de messages de ma part, répondez simplement “stop” : je retirerai votre adresse de mes listes. Vous pouvez aussi demander l’accès à vos données ou leur effacement à [adresse]. »

Pour organiser ces premiers échanges sans vous disperser, voyez aussi notre méthode pour trouver ses premiers leads.

Quand le prospect exerce ses droits

La seconde page de la CNIL rappelle ce que la personne peut exiger. Si elle s’oppose ou retire son consentement, l’organisme ne doit plus utiliser l’adresse et doit la supprimer de toute liste de contacts. Elle peut aussi demander l’accès à ses données, leur rectification, leur effacement ou la limitation de leur usage.

L’article 12 du RGPD fixe le délai de réponse : un mois à compter de la demande, prolongeable de deux mois pour les demandes complexes ou nombreuses, en prévenant la personne. Sans réponse dans le mois, ou en cas de réponse insatisfaisante, la CNIL indique que la personne peut lui adresser une plainte.

En pratique, désignez une adresse unique pour ces demandes et citez-la dans chaque message.

Une autre voie : partir des coordonnées publiées

Toutes les prospections n’ont pas besoin d’une adresse nominative. Pour une TPE ou une PME, l’adresse générique et le téléphone du standard suffisent souvent à obtenir un premier échange. C’est ensuite la personne qui vous donne son adresse, ce qui règle la question de la reconstitution.

Findingbase ne devine pas d’adresses. Il part du répertoire SIRENE, écarte les entreprises en diffusion partielle, puis relève les coordonnées que l’entreprise publie elle-même sur son site, après avoir vérifié que ce site est bien le sien : e-mail générique et téléphone du standard. La façon dont ces données sont contrôlées, et leurs limites, sont décrites sur la page fiabilité des données. Pour appeler un standard dans les règles, voyez la fiche sur le démarchage téléphonique B2B.