Un responsable des achats répond à un courriel de prospection qu’il ne souhaite plus être contacté. Le commercial passe sa fiche en statut « Ne pas solliciter » dans le CRM et l’affaire semble réglée. Au trimestre suivant, le service marketing confie à un fournisseur de données l’enrichissement d’un fichier de cibles. Le fournisseur retrouve le nom de ce responsable sur un réseau professionnel, applique le format d’adresse de son entreprise et livre un fichier CSV, importé directement dans l’outil d’envoi. La campagne part. L’opposition existait bien, dans un outil que personne n’a consulté.
Aucun salarié n’a cherché à contourner le refus. L’entreprise a pourtant sollicité une personne qui s’y était opposée, en méconnaissance de l’article 21.3 du RGPD. La CNIL a publié en 2026 deux fiches qui, lues ensemble, obligent à vérifier les outils et les contrats autant que le fichier de contacts.
La reconstitution d’adresses selon la CNIL
Le 16 octobre 2026, la CNIL a consacré une fiche à la reconstitution d’adresses électroniques professionnelles : la déduction d’une adresse à partir du nom d’une personne, de l’identité de son employeur et du format d’adresse observé dans l’organisation (prenom.nom@entreprise.fr par exemple).
La Commission admet que cette opération repose sur l’intérêt légitime lorsqu’elle sert un traitement principal lui-même fondé sur cette base, comme une prospection B2B. Elle précise aussitôt que la règle n’a rien d’automatique. L’organisme doit examiner au cas par cas ce à quoi la personne pouvait raisonnablement s’attendre, en tenant compte de sa visibilité en ligne et des mesures qu’elle a prises pour maîtriser la diffusion de ses coordonnées. Une personne sans présence identifiable en ligne, ou qui préfère un formulaire de contact à une adresse directe, ne peut a priori pas s’attendre à voir son adresse reconstituée.
La fiche cite ensuite des garanties qui pèsent dans la mise en balance :
- ne conserver l’adresse reconstituée que si un premier contact effectif a lieu dans un délai raisonnable ;
- exclure immédiatement les données de la personne de tout traitement ultérieur de reconstitution dès qu’elle s’y oppose, sans qu’elle ait à se justifier, y compris lorsque la finalité n’est pas la prospection.
Faute de pouvoir réunir ces conditions, l’organisme renonce à la reconstitution ou recueille le consentement.
La seconde garantie porte sur la reconstitution elle-même, avant tout envoi : les données d’une personne opposée ne doivent plus servir à recalculer son adresse.
La liste repoussoir décrite par la CNIL en juin 2026
Dans une fiche du 10 juin 2026, la CNIL rappelle que le droit d’opposition à la prospection est absolu et n’a pas à être motivé. Pour qu’il produise ses effets dans la durée, elle recommande de tenir une liste repoussoir, qui écarte la personne opposée de toute nouvelle opération, y compris lorsque ses coordonnées proviennent d’un tiers comme un courtier en données.
La fiche encadre ce fichier : usage réservé à la gestion des oppositions, données limitées au strict nécessaire, conservation d’au moins trois ans. Elle suggère de ne garder que des empreintes (hash) des adresses ou des numéros, calculées avec un algorithme robuste, puis de hacher chaque nouvelle liste de prospects pour la comparer à la liste repoussoir. Ces empreintes restent des données personnelles et doivent être sécurisées.
Une empreinte ne reconnaît que la forme exacte qu’elle a mémorisée
Lues ensemble, les deux fiches butent sur une difficulté technique que la CNIL signale pour les adresses postales sans la développer pour les courriels. Une fonction de hachage donne toujours le même résultat pour la même chaîne de caractères, et un résultat sans aucun rapport dès qu’un seul caractère change. La reconstitution produit justement des variantes : jean.dupont@, j.dupont@, jdupont@, ou le domaine d’une filiale au lieu de celui du groupe. Si l’opposition a été enregistrée sous l’empreinte de jean.dupont@entreprise.fr, une adresse reconstituée sous la forme j.dupont@entreprise.fr franchira le filtre sans la moindre alerte.
La normalisation des adresses avant hachage (minuscules, suppression des espaces, traitement constant des caractères accentués) supprime les écarts de saisie. Les variantes de format, elles, demandent un autre outil.
Une seconde clé d’exclusion, indépendante du format de l’adresse, couvre ce cas. L’empreinte d’un couple prénom et nom associé au domaine ou au numéro SIREN de l’employeur permet de reconnaître une personne opposée même quand l’adresse reconstituée diffère de celle d’origine. En cas d’homonymie dans une même entreprise, le filtre écartera parfois une personne qui ne s’est pas opposée : l’erreur joue alors en faveur de la protection des données. Cette clé reste proportionnée si elle sert uniquement à l’exclusion, figure au registre et suit les mêmes règles de sécurité que le reste de la liste.
Le choix de l’algorithme compte aussi. Une adresse professionnelle se devine facilement, et quiconque obtient une liste d’empreintes simples peut retrouver une bonne partie des adresses en hachant des combinaisons de noms courants et de domaines connus. Une empreinte calculée avec une clé secrète détenue par le responsable de traitement (un HMAC par exemple) rend cette attaque bien plus difficile. Le filtrage se fait alors chez le responsable de traitement à la réception des fichiers, ou chez un prestataire à qui la clé est confiée sous contrat.
Suivre le parcours d’une opposition dans le système d’information
Une opposition peut arriver par le lien de désinscription de l’outil d’envoi, une réponse à un commercial, un appel, le formulaire du site ou un courrier adressé au DPO. Les données de prospection entrent elles aussi par plusieurs portes : saisie dans le CRM, import après un salon, livraison d’un fournisseur d’enrichissement, extension de navigateur, outil de séquences commerciales. Le dispositif tient si chaque canal de réception alimente la liste repoussoir et si chaque porte d’entrée des données la consulte avant toute sollicitation.
| Porte d’entrée des données | Contrôle attendu avant sollicitation |
|---|---|
| Saisie dans le CRM | Comparaison automatique avec la liste repoussoir à la création de la fiche |
| Import de fichier (salon, partenaire) | Filtrage de l’import complet avant intégration |
| Livraison d’un fournisseur d’enrichissement | Filtrage par le fournisseur sur instruction contractuelle, ou par l’entreprise à la réception |
| Outil d’envoi ou de séquences alimenté hors CRM | Synchronisation de la liste repoussoir avec l’outil, ou blocage des imports directs |
| Reconstitution réalisée en interne | Exclusion des personnes opposées avant le calcul des adresses |
Le statut du fournisseur d’enrichissement change la rédaction du contrat. S’il agit pour le compte de l’entreprise, il est sous-traitant : le contrat prévu à l’article 28 du RGPD doit l’obliger à appliquer la liste repoussoir et à aider le responsable de traitement à respecter les droits des personnes. S’il vend des fichiers qu’il constitue pour son propre compte, il ignore les oppositions reçues par ses clients, et le filtrage à la réception reste la seule protection.
Prouver que le filtre fonctionne
L’article 5.2 du RGPD impose de pouvoir démontrer la conformité. Pour un dispositif d’opposition, la preuve repose sur des tests et des traces qui ne recréent pas de fichier nominatif.
Des adresses témoins appartenant à l’entreprise, inscrites dans la liste repoussoir, peuvent être glissées dans un import de test : leur exclusion confirme que le filtre s’applique sur ce canal. Le journal de chaque import peut se limiter à la date, à la source, au nombre de lignes reçues et au nombre de lignes exclues. Un contrôle périodique compare un échantillon des destinataires des dernières campagnes à la liste repoussoir. Consignés dans la fiche du traitement « gestion des oppositions à la prospection », ces éléments permettent de répondre à une personne concernée comme à la CNIL.
Les adresses reconstituées restées sans premier contact sont purgées à l’issue du délai fixé, comme le recommande la fiche du 16 octobre.
Points de contrôle pour le DPO
- Chaque canal susceptible de recevoir une opposition alimente-t-il la liste repoussoir ?
- Un fichier peut-il entrer dans l’outil d’envoi sans passer par le filtre ?
- Les contrats avec les fournisseurs de données et les plateformes d’envoi prévoient-ils l’application de la liste repoussoir ?
- La liste reconnaît-elle une personne dont l’adresse a changé de format ?
- Les empreintes résistent-elles à une attaque par dictionnaire ?
- L’analyse d’intérêt légitime de la reconstitution est-elle documentée, avec la durée de conservation des adresses sans contact ?
- Un test récent montre-t-il que le filtre fonctionne ?
L’accompagnement DPO PARTAGE
Les DPO de DPO FRANCE auditent les traitements de prospection sur l’ensemble de la chaîne : CRM, outils d’envoi, fournisseurs de données. Ils relisent les contrats de sous-traitance, examinent l’analyse d’intérêt légitime et accompagnent les équipes dans la validation de leur dispositif d’opposition.
Dans DPO SUITE, chaque demande d’exercice des droits, opposition comprise, est enregistrée avec sa date, son canal et la suite donnée. Les fournisseurs d’enrichissement et d’envoi figurent au registre des sous-traitants avec leurs audits. Le DPO dispose des pièces qui démontrent la prise en compte de l’opposition de bout en bout.
Pour faire auditer votre dispositif de prospection, demandez à être rappelé via le formulaire de cette page.
