Vous connaissez le nom d'un prospect, son entreprise et le format des adresses e-mail de ses collègues. Il ne manque plus qu'à assembler les morceaux pour obtenir son adresse professionnelle. Pratique, non ? Mais est-ce conforme ? Dans une fiche publiée le 16 octobre 2026, la CNIL précise les conditions dans lesquelles cette pratique peut être admise. Spoiler : ce n'est ni un oui franc, ni un non catégorique.

prénom.nom@entreprise.fr : bien vu, mais est-ce conforme ?

Imaginez : un commercial repère une directrice marketing qu'il aimerait contacter. Son nom figure sur le site de l'entreprise, et il connaît déjà l'adresse e-mail d'un de ses collègues. Il lui suffit d'en déduire le format utilisé pour reconstituer celle de sa prospect.

La méthode a même un nom : la reconstitution d'adresses e-mail professionnelles. Pas très original, on vous l'accorde, mais plutôt explicite.

Qu'elle soit utilisée ponctuellement ou à plus grande échelle pour constituer des bases de prospection, cette pratique soulève une question : a-t-on le droit de contacter quelqu'un à une adresse qu'il n'a jamais communiquée ?

C'est justement ce que la CNIL est venue préciser le 16 octobre 2026, dans une fiche consacrée à la reconstitution des adresses professionnelles.

Sa réponse ? C'est possible dans certains cas, notamment sur la base de l'intérêt légitime. Mais pas question d'en faire une règle générale : tout dépend du contexte, des attentes raisonnables de la personne et des garanties mises en place.

Voyons ce que ça implique.

L'intérêt légitime, oui. Le feu vert automatique, non.

Bonne nouvelle pour les équipes commerciales : reconstituer une adresse professionnelle ne nécessite pas systématiquement de recueillir le consentement préalable de la personne. Dans certaines situations, l'organisme peut s'appuyer sur l'intérêt légitime. Mais (et c’est un grand mais), encore faut-il pouvoir le justifier.

Concrètement, deux conditions doivent être réunies :

Poursuivre un intérêt réel et légitime, par exemple dans le cadre d'échanges professionnels ou d'une activité de développement commercial.
Vérifier que cet intérêt ne porte pas une atteinte disproportionnée aux droits et intérêts de la personne concernée.

Et c'est là que les choses se compliquent un peu. Car cette seconde condition suppose une analyse au cas par cas.

La CNIL invite notamment à examiner la finalité du traitement, son caractère plus ou moins intrusif, la visibilité des données professionnelles de la personne, le contrôle qu'elle exerce sur celles-ci et les garanties prévues par l'organisme.

Autrement dit, ce n'est pas parce qu'une adresse est facile à deviner qu'on peut automatiquement l'utiliser.

À noter : dans le cadre des échanges entre administrations et organismes publics relevant de leurs missions de service public, la reconstitution peut également reposer sur la mission d'intérêt public. La CNIL recommande alors d'appliquer les mêmes garanties.

Et si ne pas publier son adresse était déjà un message ?

C'est l'un des points les plus intéressants de la fiche de la CNIL : les choix de visibilité d'une personne peuvent en dire long sur ses attentes en matière de contact.

Prenons quelqu'un qui n'a aucune présence professionnelle en ligne. Pas de profil sur un réseau professionnel, pas de coordonnées sur le site de son organisation… Pour la CNIL, cette absence peut constituer un « indice fort » que la personne ne souhaite pas être contactée par ce biais.

Même chose lorsqu'une personne prend des mesures concrètes pour limiter l'accès à ses coordonnées : paramètres de confidentialité restrictifs, formulaire de contact proposé à la place d'une adresse directe, etc.

Dans ces situations, difficile de considérer qu'elle pouvait raisonnablement s'attendre à voir son adresse reconstituée.

Faut-il en déduire qu'un profil LinkedIn suffit, à l'inverse, à autoriser la reconstitution ? Non plus. Rappel : la présence sur un réseau professionnel n'est pas un consentement implicite à recevoir des sollicitations sur une adresse déduite. C'est un élément de contexte parmi d'autres, à prendre en compte dans l'analyse des attentes raisonnables de la personne.

Pour les entreprises, cette distinction mérite d'être intégrée aux consignes données aux équipes commerciales. Avant de reconstituer une adresse, il ne suffit pas de vérifier qu'elle semble techniquement correcte. Il faut aussi s'interroger sur la manière dont la personne a choisi de rendre ses coordonnées accessibles, ou non.

Deux garanties à prévoir dans vos outils commerciaux

L'analyse ne s'arrête pas à la question de savoir si l'adresse peut être reconstituée. Encore faut-il encadrer ce qu'on en fait ensuite.

Parmi les garanties évoquées par la CNIL, deux méritent particulièrement l'attention des équipes qui gèrent des bases de prospection.

1. Ne pas conserver indéfiniment les adresses reconstituées

Nos chères durées de conservation. La CNIL préconise de ne conserver une adresse reconstituée que si un premier contact effectif est établi dans un délai raisonnable. En clair, une adresse déduite ne devrait pas rejoindre automatiquement une base de contacts pour y rester des mois sans qu'aucun échange n'ait lieu.

2. Respecter immédiatement toute opposition

Si une personne décide de faire valoir son droit à l'opposition suite à la reconstitution ou à l'utilisation de son adresse, ses données doivent être exclues des traitements ultérieurs de reconstitution.

Et cette exclusion ne concerne pas uniquement la prospection commerciale : elle doit aussi être prise en compte pour les autres finalités de reconstitution. La personne n'a pas à justifier son opposition par une situation particulière.

Cela suppose notamment que les outils et les processus internes permettent de conserver la trace des oppositions, pour éviter de reconstituer à nouveau une adresse que la personne ne souhaite pas voir utilisée.

Et bien sûr, les autres obligations du RGPD restent applicables : information des personnes, durées de conservation, exercice des droits, sécurité des données…

Vous connaissez la chanson. Mais elle compte aussi pour les adresses qu'on a reconstituées soi-même.

Le mémo à glisser à vos commerciaux

Vous avez le nom, l'entreprise et le format de l'adresse. Techniquement, vous êtes prêts. Juridiquement, il reste quelques vérifications.

Voici les cinq questions à garder sous la main, et à partager avec vos équipes commerciales :

Pourquoi contacter cette personne ? L'objectif est-il légitime et clairement défini ?
La démarche est-elle proportionnée ? Son ampleur et son caractère intrusif sont-ils justifiés ?
La personne pouvait-elle s'attendre à être contactée ? Que nous dit la visibilité de ses informations professionnelles ?
A-t-elle cherché à limiter l'accès à ses coordonnées ? Paramètres restrictifs, formulaire de contact… Autant de signaux à prendre en compte.
Les garanties sont-elles en place ? Conservation limitée, gestion des oppositions et respect des autres obligations du RGPD.

Et si les conditions ne sont pas réunies ? On s'abstient de reconstituer l'adresse, sauf à pouvoir recueillir le consentement de la personne.

Pour aller plus loin, la CNIL a également publié des recommandations sur la réutilisation des données accessibles en ligne. Et pour vérifier que votre prospection est bien encadrée de bout en bout, retrouvez notre check-list RGPD pour votre CRM.