Adresses électroniques reconstituées : la CNIL admet l'intérêt légitime, au cas par cas
Le 16 octobre 2026, la CNIL a publié deux fiches sur la reconstitution d'adresses électroniques professionnelles, cette pratique qui consiste à deviner l'adresse d'un interlocuteur à partir de son nom, de son employeur et du format d'adresse de l'organisme. Sa position : l'intérêt légitime peut fonder la pratique, mais seulement si certaines conditions sont remplies, examinées au cas par cas. Pour un DPO dont l'entreprise prospecte en B to B, c'est un traitement à documenter dans le registre, et souvent à encadrer.
Ce que la CNIL a publié
La première fiche s'adresse aux organismes et pose le cadre. La seconde s'adresse aux personnes concernées et décrit leurs droits. La CNIL y définit la reconstitution comme le fait de déduire ou « deviner » une adresse électronique professionnelle à partir d'informations disponibles en ligne, telles que le nom, le prénom et l'employeur, en s'appuyant souvent sur l'identification préalable du schéma des adresses de l'organisation.
Deux usages sont visés : la constitution d'une base de contacts, notamment pour la prospection à l'égard des professionnels, et la reconstitution ponctuelle dans le cadre de relations institutionnelles. Le point de départ est sans ambiguïté : le fait que les données soient accessibles sur Internet ne dispense pas les organismes de respecter le RGPD et, le cas échéant, les règles spécifiques de la prospection commerciale.
Pourquoi c'est important : l'intérêt légitime, apprécié selon trois critères
La CNIL admet que la reconstitution repose sur l'article 6 du RGPD, et plus précisément sur l'intérêt légitime, à condition que l'organisme ait un intérêt réel à contacter la personne et que la pratique ne porte pas une atteinte disproportionnée à ses droits. Elle recommande trois critères d'analyse.
La finalité. La reconstitution est rarement une opération isolée : c'est une étape technique au service d'un traitement principal. Lorsque ce traitement est clairement défini, la reconstitution peut généralement reposer sur la même base légale. Une prospection B to B fondée sur l'intérêt légitime peut donc couvrir la reconstitution qui la prépare, mais la CNIL précise que cette règle n'est « ni automatique ni systématique ». Les conditions de la prospection elle-même sont détaillées dans notre guide sur la prospection BtoB.
La visibilité des données et le contrôle exercé par la personne. L'absence de présence identifiable en ligne est, selon la CNIL, un indice fort que la personne n'a pas souhaité être facilement joignable par ce biais. Des paramètres de confidentialité renforcés ou le choix d'un formulaire de contact plutôt que d'une adresse directe peuvent aussi signaler une volonté de maîtriser la diffusion de ses données. Les personnes absentes en ligne ou qui protègent activement leurs coordonnées ne peuvent, a priori, pas s'attendre raisonnablement à la reconstitution de leur adresse.
Les garanties. La CNIL cite deux exemples de garanties qui peuvent rééquilibrer la balance : ne conserver l'adresse reconstituée que si un premier contact effectif est établi dans un délai raisonnable, et faire de toute opposition une exclusion immédiate de tout traitement ultérieur de reconstitution, sans que la personne ait à se justifier. Pour la prospection, l'article 21 du RGPD prévoit déjà une opposition sans motif ; la garantie proposée par la CNIL étend cette logique aux autres finalités.
Pour les administrations et organismes publics, la reconstitution peut reposer sur la mission d'intérêt public (article 6.1.e), et la CNIL recommande d'y appliquer les mêmes garanties. À défaut de remplir ces conditions, l'organisme doit s'abstenir, sauf à recueillir le consentement de la personne.
Ce que ça change pour les organisations
- Recenser les outils et prestataires qui enrichissent ou devinent des adresses (outils de sales intelligence, extensions de navigateur, agences) et inscrire la reconstitution comme une opération du traitement de prospection dans le registre.
- Formaliser une analyse d'intérêt légitime qui reprend les trois critères de la CNIL, et écarter les contacts sans présence en ligne identifiable ou qui protègent visiblement leurs coordonnées.
- Fixer une règle de purge : une adresse reconstituée qui n'a donné lieu à aucun premier contact effectif dans un délai défini sort de la base.
- Vérifier l'information des personnes : les données n'étant pas collectées auprès d'elles, l'article 14 du RGPD s'applique, et la CNIL demande d'expliquer comment l'adresse a été obtenue. Le premier message est le moment naturel pour le faire.
- Câbler l'opposition sur une liste d'exclusion partagée, pour qu'une adresse retirée ne soit pas reconstituée à nouveau au prochain enrichissement de la base.
Ce que Leto en pense
Ces fiches ne créent pas de nouvelle obligation, mais elles donnent enfin une grille d'analyse explicite à une pratique très répandue et rarement documentée. Pour un DPO, l'enjeu est surtout opérationnel : la reconstitution vit souvent dans un outil commercial que personne n'a déclaré, et les garanties attendues (purge, liste d'exclusion, mention de l'origine de l'adresse) se jouent dans le paramétrage de cet outil, pas dans une politique. La CNIL avait déjà reprécisé les règles de la prospection par email ; ces fiches traitent l'étape qui la précède. Pour tenir à jour le registre de vos traitements de prospection et de leurs sous-traitants, vous pouvez demander une démo de Leto.
Sources
