La CNIL encadre la reconstitution d'adresses e-mail professionnelles

• 2026-10-17
• Actualités
• La rédaction
• Source: Commission nationale de l'informatique et des libertés (CNIL) https://www.cnil.fr/fr/reconstitution-adresses-professionnelles-quel-cadre

La Commission nationale de l'informatique et des libertés (CNIL) a publié une note précisant les conditions dans lesquelles la reconstitution d'adresses électroniques professionnelles est autorisée. Cette pratique, qui consiste à déduire une adresse e-mail à partir d'informations en ligne, doit respecter le RGPD et ne peut reposer sur l'intérêt légitime que sous certaines conditions.

Key facts

Qu'est-ce que la reconstitution d'adresses électroniques professionnelles ?

• La CNIL a publié une note encadrant la reconstitution d'adresses électroniques professionnelles.
• Cette pratique consiste à déduire une adresse e-mail professionnelle à partir d'informations disponibles en ligne, comme le nom, le prénom et l'employeur.
• Elle doit respecter le RGPD et, le cas échéant, les règles spécifiques à la prospection commerciale.
• L'intérêt légitime peut servir de base légale, mais seulement si l'organisme a un intérêt réel et légitime et si l'atteinte aux droits des personnes n'est pas disproportionnée.
• La CNIL recommande d'évaluer la finalité poursuivie, le caractère intrusif, la visibilité des données et le contrôle exercé par les personnes.

La reconstitution d'adresses électroniques professionnelles consiste à déduire ou deviner l'adresse e-mail d'une personne à partir d'éléments accessibles en ligne, tels que son nom, son prénom et l'identité de son employeur. Elle s'appuie souvent sur l'identification préalable du format des adresses utilisé par une organisation, par exemple prenom.nom@entreprise.fr.

Cette méthode peut répondre à divers besoins, comme la constitution d'une base de contacts pour des actions internes, notamment la prospection auprès de professionnels, ou la reconstitution ponctuelle d'adresses dans le cadre de relations institutionnelles. La CNIL rappelle que le fait que ces données soient accessibles sur Internet ne dispense pas les organismes de respecter les règles applicables. Quand l'intérêt légitime peut-il être invoqué ?

Dans certains cas, un organisme peut reconstituer une adresse électronique professionnelle sur le fondement de son intérêt légitime. Cette base légale permet d'utiliser certaines données sans demander le consentement préalable de la personne, sous réserve de conditions strictes.

L'organisme doit d'abord justifier d'un intérêt réel et légitime à contacter la personne, par exemple pour faciliter des échanges professionnels ou développer son activité commerciale. Il doit ensuite s'assurer que cette pratique ne porte pas une atteinte disproportionnée aux droits et intérêts des personnes concernées.

Pour cela, il doit examiner au cas par cas si les personnes peuvent raisonnablement s'attendre à ce que leurs données soient utilisées de cette manière et quelles mesures peuvent limiter l'impact du traitement. Quels critères la CNIL recommande-t-elle de prendre en compte ?

La CNIL recommande de tenir compte de la finalité poursuivie et du caractère plus ou moins intrusif de la reconstitution. En pratique, celle-ci constitue rarement une opération isolée : elle intervient généralement comme une étape technique au service d'un objectif plus large, identifié dès l'origine, comme une campagne de prospection commerciale ou des échanges institutionnels ciblés.

La finalité globale du traitement (prospection commerciale B to B, communication professionnelle, échanges institutionnels, etc.) est donc déterminante pour choisir la base légale applicable. Lorsque la reconstitution s'inscrit dans un traitement principal clairement défini, elle peut généralement reposer sur la même base légale que ce traitement. Par exemple, si une adresse est reconstituée pour permettre une prospection commerciale B to B fondée sur l'intérêt légitime, la reconstitution peut elle-même être fondée sur cette même base. Cette règle n'est toutefois ni automatique ni systématique. Comment évaluer les attentes des personnes concernées ?

La CNIL invite également à prendre en compte le degré de visibilité des données et le contrôle exercé par les personnes sur leur diffusion. L'objectif est de déterminer si, compte tenu du contexte, la personne pouvait raisonnablement s'attendre à ce que son adresse électronique professionnelle soit reconstituée.

Plusieurs situations peuvent être distinguées. Les personnes ne disposant d'aucune présence identifiable en ligne : cette absence peut constituer un indice fort qu'elles n'ont pas souhaité rendre leurs informations accessibles, ni être facilement joignables par ce biais. Les personnes ayant pris des mesures pour restreindre l'accès à leurs données : paramètres de confidentialité renforcés, accès restreint à certaines informations, usage de formulaires de contact plutôt que d'une adresse directe. Ces éléments peuvent signaler une volonté de maîtriser la diffusion de leurs données.

Plus largement, il convient de rechercher si la personne a manifesté une volonté de limiter sa visibilité ou sa joignabilité directe. Ainsi, les personnes sans présence identifiable en ligne ou ayant entrepris des actions concrètes pour dissimuler ou protéger leurs coordonnées ne peuvent, a priori, pas s'attendre raisonnablement à la reconstitution de leur adresse. Quelles suites pour les organismes concernés ?

La note de la CNIL s'inscrit dans le prolongement de ses travaux sur la prospection commerciale et la protection des données personnelles. Les organismes qui reconstituent des adresses électroniques professionnelles sont invités à documenter leur analyse au cas par cas et à mettre en place des garanties pour limiter l'impact sur les personnes. La CNIL n'annonce pas de nouvelle échéance réglementaire, mais cette publication précise les attentes de l'autorité en matière de conformité.

Source: Commission nationale de l'informatique et des libertés (CNIL)