La CNIL encadre la reconstitution des adresses e-mail professionnelles

• 2026-10-17
• Actualités
• La rédaction
• Source: Commission nationale de l'informatique et des libertés (CNIL) https://www.cnil.fr/fr/reconstitution-adresses-professionnelles-vos-droits

La Commission nationale de l'informatique et des libertés (CNIL) a publié une fiche pratique sur la reconstitution des adresses électroniques professionnelles. Cette pratique, qui consiste à déduire une adresse e-mail à partir de données accessibles en ligne, est encadrée par le RGPD. La CNIL rappelle que même si l'adresse n'est pas publiée, son usage doit respecter des règles strictes.

Key facts

Qu'est-ce que la reconstitution d'adresses électroniques professionnelles ?

• La CNIL a publié une fiche sur la reconstitution des adresses électroniques professionnelles.
• Cette pratique est utilisée pour la prospection commerciale ou les relations institutionnelles.
• Elle doit respecter le RGPD et les règles spécifiques à la prospection commerciale.
• En l'absence de consentement, l'organisme doit évaluer l'objectif, l'accessibilité des informations et les attentes raisonnables des personnes.
• Les personnes peuvent exercer leurs droits d'accès, de rectification, d'effacement et de limitation, et saisir la CNIL en cas de problème.

Selon la CNIL, la reconstitution d'adresses électroniques professionnelles consiste à déduire ou deviner l'adresse e-mail professionnelle d'une personne à partir d'informations disponibles en ligne. Par exemple, une organisation peut connaître le nom et le prénom d'une personne ainsi que l'organisme pour lequel elle travaille. Si elle sait que les adresses de cet organisme suivent un modèle standard, elle peut en déduire l'adresse, même si celle-ci n'est pas publiée sur Internet.

Cette pratique peut être utilisée pour constituer une liste de contacts professionnels, par exemple pour envoyer des messages de prospection, ou pour prendre contact ponctuellement dans le cadre de relations institutionnelles. La CNIL souligne que le fait que les informations soient accessibles en ligne ne signifie pas qu'elles peuvent être utilisées sans règles. Les organismes doivent respecter le règlement général sur la protection des données (RGPD) et, pour la prospection commerciale, des règles spécifiques. Mon adresse peut-elle être reconstituée sans que je l'aie publiée ?

Oui, dans certaines situations, une organisation peut déduire une adresse électronique professionnelle même si la personne ne l'a pas publiée sur Internet. En l'absence de consentement, l'organisme doit tenir compte de l'objectif poursuivi, de la manière dont les informations sont accessibles en ligne et de ce que la personne peut raisonnablement attendre de leur utilisation.

La CNIL précise que si une personne n'a pas de présence identifiable en ligne ou qu'elle dissimule ou protège activement ses coordonnées, elle ne peut pas s'attendre a priori à la reconstitution de son adresse. Dans ce cas, la reconstitution ne serait possible que si l'organisme met en œuvre des garanties pour protéger les droits de la personne. Quelles garanties pour protéger vos droits ?

La CNIL indique que l'organisme peut prévoir que l'adresse électronique ne soit conservée que si un premier contact effectif est établi avec la personne. Il peut également prévoir que l'opposition de la personne entraîne l'exclusion immédiate de ses données de tout traitement ultérieur de reconstitution d'adresse électronique, sans avoir à donner de justifications.

Les organismes qui reconstituent des adresses électroniques doivent informer les personnes, aussitôt que possible et de manière claire, notamment des objectifs poursuivis (prospection, etc.) et leur expliquer comment leur adresse a été obtenue. Ils doivent également les informer de leurs droits et de la manière de les exercer. Quels sont vos droits et comment les exercer ?

Les organismes doivent ne pas utiliser une adresse électronique reconstituée si la personne s'y est opposée ou a retiré son consentement, et la supprimer d'une éventuelle base de contacts. Ils doivent traiter les demandes d'exercice des droits d'accès, de rectification, d'effacement et de limitation, en respectant les délais et conditions prévus par le RGPD et la loi.

Les personnes peuvent exercer leurs droits auprès du responsable du traitement ou de son délégué à la protection des données, s'il en a désigné un. En cas d'absence de réponse sous un mois à compter de l'envoi de la demande, ou si la réponse n'est pas satisfaisante, elles peuvent adresser une plainte à la CNIL. Prochaines étapes

La CNIL continue de surveiller les pratiques de prospection commerciale et de protection des données personnelles. Elle a récemment clôturé une injonction à l'encontre de la société SOLOCAL MARKETING SERVICES et rappelle les règles applicables à la prospection par courrier électronique, SMS-MMS et automate d'appel. Les personnes confrontées à une utilisation non autorisée de leur adresse électronique professionnelle peuvent saisir la CNIL après avoir tenté de faire valoir leurs droits auprès du responsable de traitement.

Source: Commission nationale de l'informatique et des libertés (CNIL)