La CNIL dit que deviner l'e-mail pro d'un prospect peut être légal. Le piège, c'est ce que tu en gardes

Le vendredi 16 octobre 2026, la CNIL a publié deux courtes pages sur une pratique que beaucoup d'équipes commerciales B2B utilisent sans la nommer : la « reconstitution » d'une adresse e-mail professionnelle. Tu connais le prénom, le nom et l'employeur d'un prospect, tu sais que l'entreprise construit ses adresses sous la forme prenom.nom, et tu déduis l'adresse, même si elle n'a jamais été publiée en ligne. Une page s'adresse aux organismes. L'autre s'adresse aux personnes dont l'adresse est devinée.

La phrase qui donne le ton, dans ma traduction : le fait que les données utilisées pour reconstituer ces adresses soient accessibles sur Internet « ne dispense pas les organismes de respecter les règles applicables ».

Je prospecte moi-même des petites entreprises par e-mail, alors j'ai lu les deux pages avec une question pratique : que devrait changer un pipeline de prospection pour rester dans leurs clous ? J'ai aussi lu la page générale de la CNIL sur la prospection par e-mail, ses recommandations de 2024 pour les réutilisateurs de données publiées en ligne, et une sanction de 2020 où des adresses devinées faisaient partie des faits.

C'est une lecture attentive, pas un conseil juridique.

Ce que la CNIL autorise

La réponse commence par « dans certains cas ». Un organisme peut reconstituer une adresse professionnelle sur la base de son intérêt légitime, sans demander le consentement au préalable, si deux conditions sont réunies. Il doit avoir un intérêt réel et légitime à contacter la personne, par exemple pour développer son activité. Et la pratique ne doit pas porter une atteinte disproportionnée aux droits de la personne, ce qu'il doit évaluer au cas par cas.

La CNIL traite la reconstitution comme une étape technique. Elle est rarement une opération isolée : elle sert une finalité plus large, identifiée dès le départ, comme une campagne de prospection B2B. Quand ce traitement principal est clairement défini, la devinette peut en général reposer sur la même base légale. Si ta prospection B2B repose sur l'intérêt légitime, la reconstitution aussi.

Vient ensuite la phrase qui coupe court au raccourci. Cette règle « n'est ni automatique ni systématique ».

Les trois critères

La CNIL recommande de peser trois choses.

La finalité, et le caractère intrusif de la devinette. La prospection B2B, la communication professionnelle et les échanges institutionnels sont les exemples cités.

La visibilité des données, et le contrôle que la personne en conserve. C'est la partie que j'imprimerais. La CNIL distingue deux situations. Les personnes sans présence identifiable en ligne, sans profil sur un réseau professionnel, sans page institutionnelle : cette absence « peut être un indice fort » qu'elles ne souhaitaient pas être facilement joignables. Et les personnes qui ont pris des mesures pour restreindre l'accès à leurs données : paramètres de confidentialité renforcés, informations restreintes, « recours à des formulaires de contact plutôt qu'à une adresse directe ». Les personnes de l'un ou l'autre groupe « ne peuvent, a priori, raisonnablement s'attendre » à ce que leur adresse soit reconstituée.

Les garanties. La CNIL donne deux exemples. Limiter strictement la conservation : l'organisme « pourrait ne conserver l'adresse e-mail que si un premier contact effectif est établi avec la personne dans un délai raisonnable ». Et faire en sorte que toute opposition déclenche l'exclusion immédiate des données de cette personne de toute reconstitution future, sans justification exigée, même quand les données servent à d'autres finalités que la prospection. Pour la prospection, le RGPD prévoit déjà ce droit.

Les deux pages diffèrent légèrement sur les personnes qui se sont cachées. La page destinée aux particuliers dit que pour elles, la reconstitution « ne serait possible » qu'avec des garanties en place. La page destinée aux organismes dit que si les conditions ne peuvent pas être remplies, l'organisme doit s'abstenir, sauf s'il peut obtenir le consentement de la personne.

La page destinée aux particuliers fixe aussi l'obligation qui façonne le premier e-mail. Les organismes doivent informer les personnes « dans les meilleurs délais et de manière claire », y compris sur la finalité, et « expliquer comment votre adresse a été obtenue ». Après une opposition, ils doivent cesser d'utiliser l'adresse reconstituée et la supprimer de toute base de contacts. Si une demande d'exercice de droits reste sans réponse dans un délai d'un mois, la personne peut déposer une plainte auprès de la CNIL.

La règle du courrier électronique en dessous

Deviner est une question. Envoyer en est une autre. La loi, l'article L. 34-5 du code des postes et des communications électroniques, interdit la prospection par e-mail qui utilise les coordonnées d'une personne physique qui n'y a pas consenti au préalable.

La page de la CNIL sur la prospection par e-mail, datée du 10 juin 2026, expose sa position pour les professionnels. Les prospecter peut reposer sur l'intérêt légitime « lorsque l'objet de la sollicitation est en rapport avec la profession » de la personne. Son exemple : une offre de logiciel adressée au directeur informatique d'une entreprise. Chaque message doit identifier l'expéditeur et offrir un moyen simple de refuser les messages suivants. Les adresses génériques comme info@ ou contact@, qui concernent des personnes morales, ne sont pas soumises à ces principes.

Les recommandations de 2024 pour les réutilisateurs de données en ligne ajoutent un délai. L'information arrive le plus tôt possible, au plus tard au premier contact, et dans tous les cas dans un délai d'un mois après la collecte. La source a sa place dans cette information, jusqu'aux noms des sites quand plusieurs ont été utilisés. Et elles donnent un contraste à garder en tête : les délégués à la protection des données, dont la CNIL publie les coordonnées en données ouvertes, peuvent plus facilement s'attendre à la sollicitation d'une société de formation en cybersécurité que les avocats listés dans l'annuaire en ligne du Conseil national des barreaux ne peuvent s'attendre à celle d'une société de cosmétiques.

Un cas de 2020 où ça s'est mal passé

La CNIL a déjà vu ce schéma dans une sanction. Par la délibération SAN-2020-018 du 8 décembre 2020, sa formation restreinte a infligé 20 000 euros d'amende à une société de livraison de repas. La société avait constitué son fichier de prospects à partir d'un réseau social professionnel : un prestataire listait les noms et les employeurs, un second ajoutait les adresses e-mail professionnelles. Certains plaignants ont dit à la CNIL que la société avait indiqué reconstituer leur adresse à partir du format d'e-mail de leur employeur. Selon la décision, 635 033 prospects avaient reçu des e-mails de prospection depuis 2017.

La société plaidait l'intérêt légitime : déjeuners d'affaires, adresse professionnelle, livraison au bureau, pendant les heures de travail. La formation n'a pas suivi. Des messages vendant des repas sur le lieu de travail avaient « peu de rapport avec l'activité professionnelle des prospects », donc le consentement préalable était requis. La société avait aussi répondu à une demande d'accès avec plus de cinq mois de retard, sans nommer la source des données. La formation indique avoir fixé le montant en tenant compte des conséquences financières de la Covid-19 pour la société.

La devinette n'était pas, en soi, le manquement. C'est l'usage qui l'était. C'est exactement ainsi que les pages d'octobre cadrent la question : la base légale de la devinette suit la finalité.

Ce que les pages ne disent pas

Aucune des deux pages ne chiffre ce dont un pipeline a besoin : pas de « délai raisonnable » pour le premier contact, pas de durée de conservation, pas d'amende. Le seul délai qu'elles contiennent est le mois après lequel une personne dont la demande est restée sans réponse peut se plaindre. Les critères sont des recommandations, appliquées au cas par cas, donc aucune liste de contrôle ne rend une campagne sûre à elle seule. Les pages ne nomment aucun outil et ne parlent pas de la vérification d'e-mails. Et elles ne disent rien de précis sur une entreprise individuelle, où l'adresse « générique » peut être celle du dirigeant lui-même.

Ce que je ferais avant la prochaine campagne

Écris le test de mise en balance, une page par campagne : qui, pourquoi, pourquoi le message touche à leur métier, d'où viennent les noms. Si quelqu'un le demande, cette page est la réponse.

Préfère ce qui est publié. Si l'entreprise publie une adresse générique, ou si la personne publie la sienne, utilise-la avant de deviner quoi que ce soit.

Exclus les personnes qui se sont cachées. Aucune présence identifiable en ligne, ou un formulaire de contact à la place d'une adresse : passe ton chemin, ou trouve une autre voie.

Stocke la provenance de chaque adresse devinée : page source, modèle utilisé, date. La page destinée aux particuliers dit que les personnes doivent être informées de la manière dont leur adresse a été obtenue. Quand un plaignant l'a demandé, la société de 2020 n'a pas donné la source.

Donne une date d'expiration aux adresses devinées. Si aucun premier contact n'a lieu dans un délai que tu choisis et que tu écris, supprime-les. La CNIL ne donne aucun chiffre, alors choisis-en un que tu peux défendre.

Garde la liste de suppression en amont. Une opposition doit bloquer la prochaine devinette, pas seulement le prochain e-mail, donc le contrôle se place avant le générateur d'adresses, indexé sur la personne plutôt que sur une seule adresse.

Fais en sorte que le premier e-mail fasse le travail administratif : qui tu es, pourquoi leur métier est la raison, comment tu as eu l'adresse, et un moyen simple de dire non.

Et réponds aux demandes d'exercice de droits dans le mois.

Si tu construis un outil d'enrichissement, rien de tout ça n'est une corvée juridique. C'est du produit : une durée de vie sur chaque adresse devinée, une colonne de provenance, un contrôle de suppression qui s'exécute avant le moteur de modèles. Le 16 octobre, la CNIL a dit à tes clients quoi demander.

Sources

• CNIL, « Reconstitution d'adresses électroniques professionnelles : dans quel cadre est-ce autorisé ? » (16 octobre 2026)
• CNIL, « Reconstitution d'adresses électroniques professionnelles : quels sont vos droits ? » (16 octobre 2026)
• CNIL, « La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel » (10 juin 2026)
• CNIL, « Recommandations pour les réutilisateurs de données publiées sur internet », fiche cas d'usage 2 (12 juin 2024)
• Légifrance, « Délibération SAN-2020-018 du 8 décembre 2020 » (8 décembre 2020, publiée le 6 janvier 2021)
• Légifrance, « Article L34-5 du code des postes et des communications électroniques » (consulté le 19 octobre 2026)