La CNIL dice que adivinar el correo profesional de un prospecto puede ser legal. La trampa es lo que guardas
El viernes 16 de octubre de 2026, la CNIL, la autoridad francesa de protección de datos, publicó dos páginas breves sobre una práctica que muchos equipos comerciales B2B usan sin nombrarla: «reconstituir» una dirección de correo profesional. Conoces el nombre, el apellido y la empresa de un prospecto, sabes que la empresa construye sus direcciones como nombre.apellido, y deduces la dirección, aunque nunca se haya publicado en línea. Una página está escrita para las organizaciones. La otra, para las personas cuya dirección se adivina.
La frase que marca el tono, en mi traducción: el hecho de que los datos usados para reconstituir estas direcciones sean accesibles en Internet «no exime a las organizaciones de cumplir las normas aplicables».
Yo mismo prospecto pequeñas empresas por correo, así que leí las dos páginas con una pregunta práctica: ¿qué tendría que cambiar un pipeline de prospección para quedarse dentro de ellas? También leí la página general de la CNIL sobre prospección por correo, sus recomendaciones de 2024 para quienes reutilizan datos publicados en línea, y una sanción de 2020 en la que las direcciones adivinadas formaban parte de los hechos.
Es una lectura atenta, no asesoramiento jurídico.
Lo que la CNIL permite
La respuesta empieza por «en ciertos casos». Una organización puede reconstituir una dirección profesional sobre la base de su interés legítimo, sin pedir antes el consentimiento, si se cumplen dos condiciones. Debe tener un interés real y legítimo en contactar a la persona, por ejemplo para desarrollar su actividad. Y la práctica no debe causar un perjuicio desproporcionado a los derechos de la persona, algo que debe evaluar caso por caso.
La CNIL trata la reconstitución como un paso técnico. Rara vez es una operación aislada: sirve a una finalidad más amplia, identificada desde el principio, como una campaña de prospección B2B. Cuando ese tratamiento principal está claramente definido, adivinar puede apoyarse en general en la misma base jurídica. Si tu prospección B2B se basa en el interés legítimo, la reconstitución también.
Luego viene la frase que corta el atajo. Esa regla «no es ni automática ni sistemática».
Los tres criterios
La CNIL recomienda sopesar tres cosas.
La finalidad, y lo intrusivo que es adivinar. La prospección B2B, la comunicación profesional y los intercambios institucionales son los ejemplos citados.
La visibilidad de los datos, y el control que la persona conserva sobre ellos. Esta es la parte que yo imprimiría. La CNIL distingue dos situaciones. Las personas sin presencia identificable en línea, sin perfil en una red profesional, sin página institucional: esa ausencia «puede ser un indicio fuerte» de que no querían ser fáciles de localizar. Y las personas que tomaron medidas para restringir el acceso a sus datos: ajustes de privacidad más estrictos, información restringida, «uso de formularios de contacto en lugar de una dirección directa». Las personas de cualquiera de los dos grupos «no pueden, a priori, esperar razonablemente» que su dirección sea reconstituida.
Las garantías. La CNIL da dos ejemplos. Limitar estrictamente la conservación: la organización «podría conservar la dirección de correo solo si se establece un primer contacto efectivo con la persona en un plazo razonable». Y hacer que cualquier oposición provoque la exclusión inmediata de los datos de esa persona de toda reconstitución futura, sin exigir justificación, incluso cuando los datos sirvan a otras finalidades distintas de la prospección. Para la prospección, el RGPD ya prevé ese derecho.
Las dos páginas difieren ligeramente sobre las personas que se ocultaron. La página para particulares dice que para ellas la reconstitución «solo sería posible» con garantías establecidas. La página para organizaciones dice que, si no se pueden cumplir las condiciones, la organización debe abstenerse, salvo que pueda obtener el consentimiento de la persona.
La página para particulares fija también la obligación que da forma al primer correo. Las organizaciones deben informar a las personas «lo antes posible y de forma clara», incluida la finalidad, y «explicar cómo se obtuvo tu dirección». Tras una oposición, deben dejar de usar la dirección reconstituida y borrarla de cualquier base de contactos. Si una solicitud de ejercicio de derechos no recibe respuesta en un mes, la persona puede presentar una reclamación ante la CNIL.
La norma del correo electrónico que hay debajo
Adivinar es una cuestión. Enviar es otra. La ley, el artículo L. 34-5 del código francés de correos y comunicaciones electrónicas, prohíbe la prospección por correo que use los datos de contacto de una persona física que no ha dado su consentimiento previamente.
La página de la CNIL sobre prospección por correo, fechada el 10 de junio de 2026, expone su posición para los profesionales. Prospectarlos puede apoyarse en el interés legítimo «cuando el objeto de la solicitud guarda relación con la profesión» de la persona. Su ejemplo: una oferta de software dirigida al director de informática de una empresa. Cada mensaje debe identificar al remitente y ofrecer una forma sencilla de rechazar los mensajes siguientes. Las direcciones genéricas como info@ o contact@, que conciernen a personas jurídicas, no están sujetas a estos principios.
Las recomendaciones de 2024 para quienes reutilizan datos en línea añaden un plazo. La información llega lo antes posible, como muy tarde en el primer contacto, y en cualquier caso en el plazo de un mes desde la recogida. La fuente debe formar parte de esa información, hasta los nombres de los sitios web cuando se usaron varios. Y dan un contraste que conviene recordar: los delegados de protección de datos, cuyos datos de contacto la CNIL publica como datos abiertos, pueden esperar con más facilidad una oferta de una empresa de formación en ciberseguridad que los abogados incluidos en el directorio en línea del Consejo nacional de colegios de abogados una de una empresa de cosméticos.
Un caso de 2020 en el que salió mal
La CNIL ya ha visto este patrón en una sanción. Mediante la deliberación SAN-2020-018 del 8 de diciembre de 2020, su comité restringido multó con 20.000 euros a una empresa de reparto de comidas. La empresa había construido su fichero de prospectos a partir de una red social profesional: un proveedor listaba los nombres y las empresas, y un segundo añadía las direcciones de correo profesionales. Algunos reclamantes dijeron a la CNIL que la empresa había indicado que reconstituía su dirección a partir del formato de correo de su empleador. Según la decisión, 635.033 prospectos habían recibido correos de prospección desde 2017.
La empresa alegaba interés legítimo: almuerzos de trabajo, dirección profesional, entrega en la oficina, en horario laboral. El comité no lo aceptó. Los mensajes que vendían comidas en el lugar de trabajo guardaban «poca relación con la actividad profesional de los prospectos», así que se exigía consentimiento previo. La empresa también respondió a una solicitud de acceso con más de cinco meses de retraso, sin nombrar la fuente de los datos. El comité indica que fijó el importe teniendo en cuenta las consecuencias financieras de la Covid-19 para la empresa.
Adivinar no era, en sí, la infracción. Lo era el uso. Así es exactamente como las páginas de octubre plantean la cuestión: la base jurídica de la conjetura sigue a la finalidad.
Lo que las páginas no dicen
Ninguna de las dos páginas cuantifica lo que necesita un pipeline: ni un «plazo razonable» para el primer contacto, ni un periodo de conservación, ni una multa. El único plazo que contienen es el mes tras el cual una persona cuya solicitud quedó sin respuesta puede reclamar. Los criterios son recomendaciones, aplicadas caso por caso, así que ninguna lista de comprobación hace segura una campaña por sí sola. Las páginas no nombran herramientas ni hablan de la verificación de correos. Y no dicen nada específico sobre un negocio unipersonal, donde la dirección «genérica» puede ser la del propio dueño.
Qué haría antes de la próxima campaña
Escribe la prueba de ponderación, una página por campaña: quién, por qué, por qué el mensaje tiene que ver con su trabajo, de dónde salen los nombres. Si alguien lo pide, esa página es la respuesta.
Prefiere lo publicado. Si la empresa publica una dirección genérica, o la persona publica la suya, úsala antes de adivinar nada.
Excluye a quienes se ocultaron. Ninguna presencia identificable en línea, o un formulario de contacto en lugar de una dirección: déjalos, o busca otra vía.
Guarda la procedencia de cada dirección adivinada: página de origen, patrón usado, fecha. La página para particulares dice que hay que informar a las personas de cómo se obtuvo su dirección. Cuando un reclamante lo pidió, la empresa de 2020 no dio la fuente.
Ponle caducidad a las direcciones adivinadas. Si no hay un primer contacto en un plazo que elijas y dejes por escrito, bórralas. La CNIL no da ninguna cifra, así que elige una que puedas defender.
Mantén la lista de supresión aguas arriba. Una oposición debe bloquear la próxima conjetura, no solo el próximo correo, así que la comprobación va antes del generador, indexada por la persona y no por una sola dirección.
Haz que el primer correo cumpla con el papeleo: quién eres, por qué su puesto es el motivo, cómo conseguiste la dirección y una forma sencilla de decir que no.
Y responde a las solicitudes de ejercicio de derechos dentro del mes.
Si construyes una herramienta de enriquecimiento, nada de esto es una tarea jurídica. Es producto: una caducidad en cada dirección adivinada, una columna de procedencia, una comprobación de supresión que se ejecuta antes del motor de patrones. El 16 de octubre, la CNIL dijo a tus clientes qué pedir.
Fuentes
- CNIL, "Reconstitution d'adresses électroniques professionnelles : dans quel cadre est-ce autorisé ?" (16 de octubre de 2026)
- CNIL, "Reconstitution d'adresses électroniques professionnelles : quels sont vos droits ?" (16 de octubre de 2026)
- CNIL, "La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel" (10 de junio de 2026)
- CNIL, "Recommandations pour les réutilisateurs de données publiées sur internet", ficha de caso de uso 2 (12 de junio de 2024)
- Légifrance, "Délibération SAN-2020-018 du 8 décembre 2020" (8 de diciembre de 2020, publicada el 6 de enero de 2021)
- Légifrance, "Article L34-5 du code des postes et des communications électroniques" (consultado el 19 de octubre de 2026)