Déduire l’adresse électronique d’un salarié à partir de son nom, de son entreprise et du format utilisé par celle-ci reste un traitement de données personnelles. Dans deux pages datées du 16 octobre 2026, la CNIL précise dans quelles conditions un organisme peut s’appuyer sur l’intérêt légitime pour reconstituer ces coordonnées professionnelles, notamment en vue d’une prospection. Le fait que les informations soient visibles en ligne ne rend pas leur réutilisation automatiquement libre.
Une adresse déduite reste une donnée personnelle
La reconstitution consiste à combiner des éléments accessibles sur Internet — par exemple le prénom, le nom et l’employeur — avec le modèle d’adresse adopté par l’organisation. L’adresse ainsi déduite permet de joindre une personne identifiable : sa collecte et son utilisation doivent donc respecter le Règlement général sur la protection des données (RGPD). Les règles applicables à la prospection commerciale peuvent aussi s’ajouter selon le message et son destinataire.
Pour une entreprise qui cherche à joindre un interlocuteur professionnel, cette distinction compte dès la constitution du fichier de contacts. Une adresse affichée sur une page publique ou déduite d’un format connu ne constitue pas, à elle seule, une autorisation de l’utiliser pour n’importe quelle campagne.
L’intérêt légitime se vérifie pour chaque démarche
La CNIL n’interdit pas toute reconstitution. Elle indique que l’intérêt légitime peut parfois servir de base, à condition que l’organisme poursuive un intérêt réel et légitime et que cet usage ne porte pas une atteinte disproportionnée aux droits et intérêts de la personne. Ce n’est donc pas une permission générale attachée à la prospection entre entreprises.
L’examen dépend notamment de ce que la personne pouvait raisonnablement attendre, du contexte dans lequel ses données sont visibles et accessibles, de la finalité poursuivie et du caractère intrusif de la démarche. L’organisme doit aussi tenir compte du contrôle que la personne exerce sur la diffusion de ses informations. Une adresse publiée dans un contexte professionnel ne répond pas forcément aux mêmes attentes qu’une coordonnée rendue accessible pour une autre raison.
La décision doit ainsi porter sur une situation concrète : quelles personnes seront contactées, pour quel motif, à partir de quelles informations et avec quel volume de sollicitations ? Si les garanties nécessaires ne peuvent pas être apportées, la CNIL recommande de s’abstenir de reconstituer l’adresse, sauf à recueillir le consentement de la personne.
Limiter la conservation et respecter l’opposition
La CNIL cite des garanties qui peuvent réduire les risques : ne conserver les coordonnées reconstituées que lorsqu’un premier contact effectif a lieu dans un délai raisonnable, et exclure immédiatement toute nouvelle reconstitution lorsqu’une personne s’oppose à cette démarche. Ces mesures doivent être prévues dans la façon dont le fichier est géré, et pas seulement au moment où un message est envoyé.
La personne doit aussi être informée clairement, dès que possible, des objectifs du traitement et de la manière dont son adresse a été obtenue. Elle peut exercer ses droits auprès de l’organisme. La CNIL indique qu’elle peut la saisir si l’organisme ne répond pas dans le délai d’un mois ou si la réponse ne la satisfait pas.
Ces pages exposent la position de la CNIL ; elles n’annoncent pas une nouvelle loi entrée en vigueur le 16 octobre. Avant de reconstituer des adresses, une équipe de prospection doit donc documenter la finalité, les attentes raisonnables, la durée de conservation et le traitement des oppositions. La conformité dépend des circonstances propres à la démarche et des règles de prospection qui lui sont applicables.
Sources de référence
À retenir
La CNIL indique que reconstituer une adresse professionnelle à partir d’informations en ligne reste soumis au RGPD. L’intérêt légitime peut s’appliquer sous conditions évaluées au cas par cas, avec des garanties de conservation, d’information et de respect de l’opposition.
