La fiche 3 du guide CNIL pour les SPST traite des données que le service collecte et rappelle qu’elles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire. Ce principe vaut pour les données des salariés suivis, mais aussi pour celles des interlocuteurs du service dans les entreprises.
Le 16 octobre 2026, la CNIL a publié une fiche sur la reconstitution d’adresses électroniques professionnelles, du type prénom.nom@employeur. La pratique est fréquente dans la prospection entre entreprises. Elle concerne directement les services qui démarchent des entreprises de leur ressort ou enrichissent leurs fichiers de contacts employeurs.
Ce qui change
La CNIL admet que la reconstitution d’une adresse professionnelle peut reposer sur l’intérêt légitime (article 6.1.f du RGPD). Elle pose quatre conditions :
- un intérêt réel pour l’organisme qui reconstitue l’adresse ;
- une appréciation des attentes raisonnables de la personne, au regard de sa fonction et du lien entre le message et son activité ;
- une conservation limitée aux adresses qui ont donné lieu à un premier contact effectif dans un délai raisonnable ;
- un retrait immédiat en cas d’opposition.
La personne doit en outre être informée de l’origine de son adresse lors du premier contact, conformément à l’article 14 du RGPD. Un fichier constitué en masse, enrichi d’adresses devinées et conservé sans contact, ne remplit pas ces conditions.
Ce que cela implique pour un SPST
Le service a plusieurs raisons de contacter des personnes en entreprise : relance d’adhésion, diffusion d’une offre de prévention, invitation à une réunion d’information, mise à jour des contacts d’un adhérent. Ces traitements relèvent du service en tant qu’organisme gestionnaire, en dehors de ses missions de suivi de l’état de santé.
- Le traitement de prospection ou de relation adhérents doit indiquer au registre la source des adresses. Une adresse fournie par l’adhérent et une adresse reconstituée n’obéissent pas aux mêmes règles d’information.
- Le premier message envoyé à une adresse reconstituée doit dire d’où vient l’adresse et comment s’opposer à tout envoi ultérieur.
- Les adresses qui n’ont donné lieu à aucun échange dans un délai court doivent être supprimées. Le service fixe ce délai par écrit.
- Une opposition se traite immédiatement et se trace, y compris dans les outils d’envoi en nombre.
- Un prestataire d’enrichissement de fichiers agit en tant que sous-traitant, ou parfois en tant que responsable distinct. Son rôle doit être qualifié et le contrat adapté.
Les adresses de contact des adhérents servent aussi à la gestion des cotisations et à la transmission de documents. Elles doivent rester distinctes des adresses reconstituées, faute de quoi l’information des personnes devient impossible à prouver.
Comment le traiter dans DPO SUITE
Ouvrez dans le registre des traitements la fiche « Prospection et relation avec les entreprises ». Précisez la finalité, la base légale (intérêt légitime), les catégories de personnes (interlocuteurs en entreprise), la source des données et les destinataires, puis soumettez-la à validation. Si vous n’avez pas encore de fiche, ALIX peut en proposer une première version à partir de la description de votre démarche ; relisez-la avant de la retenir.
Dans le registre des délais de conservation, qualifiez deux documents distincts : « Adresse reconstituée sans contact effectif », avec un délai court, et « Contact entreprise après premier échange ». Interrogez le responsable de la relation adhérents pour valider les deux délais.
Dans le registre des logiciels, rattachez l’outil d’envoi en nombre et le CRM au traitement et à leur sous-traitant. Les oppositions reçues se suivent dans le module des demandes d’exercice de droits, avec leur délai de traitement et leur tableau de bord. Créez enfin une procédure de prospection, faites-la approuver, et planifiez sa diffusion à l’équipe commerciale dans le plan de tâches.
Tester la création de votre registre dans DPO SUITE.
Repères
- Articles 5.1.c, 6.1.f, 14 et 21 du RGPD
- Fiche CNIL du 16 octobre 2026 sur la reconstitution d’adresses électroniques professionnelles, cnil.fr
- Guide CNIL SPST, fiche 3
