Reconstitution d’adresses email professionnelles : le cadre RGPD fixé par la CNIL, cas concrets à l’appui

De quoi parle-t-on exactement ?

La reconstitution consiste à déduire une adresse électronique nominative à partir de trois éléments :

1. l’identité de la personne (prénom, nom), souvent trouvée sur un réseau professionnel, un site d’entreprise, un communiqué de presse ou un programme de conférence ;
2. l’organisme qui l’emploie ;
3. le schéma d’adressage de cet organisme (prenom.nom@, p.nom@, prenomnom@, nom.p@…), identifié à partir d’autres adresses connues ou par des outils spécialisés.

En pratique, la reconstitution est rarement artisanale. Elle passe par des extensions de navigateur, des plateformes d’enrichissement de fichiers ou des scripts qui testent des combinaisons puis « vérifient » l’existence de la boîte auprès du serveur de messagerie.

Pourquoi le RGPD s’applique sans discussion

Une adresse de type prenom.nom@entreprise.fr identifie directement une personne physique : c’est une donnée personnelle au sens de l’article 4.1 du RGPD, même si elle est professionnelle. Seules les adresses génériques (contact@, accueil@, compta@) échappent en principe au RGPD, dès lors qu’elles ne permettent pas d’identifier une personne.

Chaque étape constitue un traitement au sens de l’article 4.2 : la collecte du nom sur un profil public, la déduction du schéma, la génération de l’adresse, la vérification technique, l’enregistrement dans un CRM, puis l’envoi du message.

À retenir Le caractère public d’une information en ligne ne vaut ni autorisation de la réutiliser, ni consentement de la personne. La CNIL le rappelle de façon constante, et cette fiche le réaffirme.

La position de la CNIL en résumé

La base légale suit la finalité principale

La CNIL pose un principe structurant : la reconstitution n’est presque jamais une fin en soi. C’est une étape technique au service d’un objectif plus large (prospection B to B, relations institutionnelles, partenariat). Elle peut donc généralement reposer sur la même base légale que le traitement principal.

Si la prospection B to B est fondée sur l’intérêt légitime (article 6.1.f), la reconstitution peut l’être aussi. Mais la CNIL précise que cette règle n’est « ni automatique ni systématique » : la mise en balance doit être menée spécifiquement pour l’opération de reconstitution.

Les trois critères de la mise en balance

Les deux garanties citées par la CNIL

1. Conservation strictement limitée : ne garder l’adresse reconstituée que si un premier contact effectif a lieu dans un délai raisonnable.
2. Opposition élargie : toute opposition de la personne entraîne son exclusion de tout traitement ultérieur de reconstitution, sans qu’elle ait à justifier de sa situation particulière, y compris hors prospection. C’est plus protecteur que l’article 21.1, qui impose normalement au demandeur d’invoquer des raisons tenant à sa situation particulière.

Le cas du secteur public

Pour les échanges entre administrations et organismes publics dans le cadre de leurs missions, la base légale est la mission d’intérêt public (article 6.1.e). La CNIL recommande d’appliquer les mêmes garanties.

À défaut : le consentement, ou rien

Si les conditions ne sont pas réunies, l’organisme doit s’abstenir, sauf à recueillir le consentement de la personne (article 6.1.a), conformément aux recommandations de la CNIL à l’attention des réutilisateurs de données collectées sur internet.

Sept cas concrets passés au crible

Les cas ci-dessous sont des situations types rencontrées en mission DPO. L’analyse proposée reflète la grille de la CNIL ; elle doit être adaptée et documentée au cas par cas.

Cas n° 1 : l’ESN qui prospecte des DSI

Situation. Une entreprise de services numériques de 80 salariés vend une offre d’infogérance. Son commercial identifie, sur les profils publics d’un réseau professionnel, 40 DSI d’entreprises industrielles de la région. Le site de chaque entreprise montre que les adresses suivent le format prenom.nom@. Il reconstitue les 40 adresses pour envoyer un email présentant l’offre.

Analyse.

• Finalité : prospection B to B clairement définie. Le message porte sur l’infogérance, en lien direct avec la fonction de DSI. Ce lien est exigé par la doctrine CNIL sur la prospection électronique B to B (article L. 34-5 du code des postes et des communications électroniques), qui admet l’envoi sans consentement préalable si l’objet correspond à la profession de la personne.
• Visibilité : les DSI ont un profil public affichant leur fonction et leur employeur, à des fins professionnelles. Un contact professionnel en rapport avec leur métier entre dans leurs attentes raisonnables.
• Volume : 40 contacts ciblés, pas une base de 50 000 noms.

Verdict : intérêt légitime mobilisable, sous réserve des garanties suivantes :

• information conforme à l’article 14 dès le premier message (origine des données : « votre profil public sur [réseau] et le format d’adresse de votre entreprise ») ;
• lien d’opposition simple dans chaque email (article 21.2 et 21.3) ;
• purge des adresses non utilisées sous 30 jours ;
• inscription immédiate des opposants sur une liste d’exclusion qui bloque toute reconstitution future.

Point de vigilance. Si deux des 40 DSI ont un profil dont les informations de contact sont masquées ou n’acceptent les messages que de leurs relations directes, ils doivent être retirés de la liste (voir cas n° 2).

Cas n° 2 : le profil volontairement verrouillé

Situation. La même ESN repère une directrice informatique dont le profil est réduit au minimum : pas de photo, poste visible uniquement par ses relations, mention « Merci de passer par le formulaire de contact de la société ». Son nom apparaît toutefois dans un organigramme publié par un salon professionnel.

Analyse. La personne a manifesté une volonté claire de maîtriser sa joignabilité. C’est précisément l’hypothèse visée par la CNIL : les personnes « entreprenant des actions concrètes pour dissimuler ou protéger leurs coordonnées » ne peuvent pas, a priori, s’attendre raisonnablement à la reconstitution de leur adresse. Le fait que son nom soit visible ailleurs, par le fait d’un tiers, ne change rien : c’est le comportement de la personne elle-même qui compte.

Verdict : abstention. Le canal légitime est celui qu’elle a désigné : le formulaire de contact de l’entreprise.

Précédent utile. La CNIL a déjà sanctionné un éditeur d’extension de navigateur qui collectait les coordonnées d’utilisateurs d’un réseau professionnel ayant pourtant choisi de limiter leur visibilité (sanction KASPR, décembre 2024, 240 000 euros). La logique est la même : le choix de restreindre la visibilité doit être respecté par les réutilisateurs.

Cas n° 3 : le salarié sans présence en ligne

Situation. Un éditeur de logiciel RH souhaite joindre le responsable paie d’un groupe de distribution. Il obtient son nom par un ancien collègue de ce dernier, mais la personne n’a aucun profil professionnel en ligne et n’apparaît sur aucun site.

Analyse. La CNIL est explicite : l’absence de présence identifiable en ligne est un « indice fort » que la personne ne souhaite pas être joignable par ce biais. De plus, le nom provient d’une source indirecte que la personne ne maîtrise pas.

Verdict : abstention en principe. Alternatives acceptables : passer par le standard, par l’adresse générique du service, ou demander à l’intermédiaire de transmettre une mise en relation (la personne choisit alors de répondre ou non).

Cas n° 4 : le dirigeant inscrit au registre du commerce

Situation. Une société d’expertise comptable veut proposer ses services à des gérants de TPE créées depuis moins d’un an. Elle extrait leurs noms des données publiques du registre du commerce et des sociétés, puis reconstitue les adresses à partir des noms de domaine des sites internet.

Analyse. Situation intermédiaire, qui demande une analyse fine :

• La publicité du nom du dirigeant au registre est imposée par la loi : ce n’est pas un choix de visibilité commerciale de sa part. L’argument « il a rendu son nom public » est donc faible.
• En revanche, l’offre est en lien direct avec sa fonction de dirigeant, et un gérant de société nouvellement créée s’attend raisonnablement à être sollicité par des prestataires.
• Pour une TPE, l’adresse est souvent celle du dirigeant lui-même, parfois à la frontière de l’adresse personnelle (prenom@nomdefamille.fr). Le caractère intrusif augmente.

Verdict : envisageable avec des garanties renforcées. Recommandations :

• limiter la reconstitution aux sociétés disposant d’un site professionnel et d’un domaine propre ;
• exclure les domaines qui portent le nom de famille du dirigeant ou les entreprises individuelles, où la frontière avec la vie privée est ténue ;
• un seul message, sans relance automatique en l’absence de réponse ;
• suppression de l’adresse si pas de réponse sous un délai court (par exemple 30 jours) ;
• vérifier la réutilisation des données du registre au regard des conditions de licence et de l’éventuelle opposition des dirigeants à la réutilisation commerciale de leurs données.

Cas n° 5 : le cabinet de recrutement qui contacte un candidat sur sa messagerie professionnelle

Situation. Un chasseur de têtes identifie une directrice financière dont le profil correspond à un poste. Il reconstitue son adresse chez son employeur actuel pour lui écrire.

Analyse. L’intérêt du cabinet est réel, et la personne a un profil public. Mais la finalité du message pose un problème spécifique : écrire sur la messagerie de l’employeur actuel au sujet d’un départ expose la personne vis-à-vis de cet employeur, qui peut avoir accès aux boîtes professionnelles dans le cadre de sa charte informatique. Le contact n’est pas en lien avec sa fonction actuelle mais avec sa carrière, qui relève de sa sphère personnelle.

Verdict : déconseillé. La mise en balance penche contre la reconstitution : la personne ne peut pas raisonnablement s’attendre à recevoir une approche de recrutement sur son adresse professionnelle. Le canal adapté est la messagerie interne du réseau professionnel, qui lui laisse le contrôle de la réponse.

Cas n° 6 : la plateforme d’enrichissement qui constitue une base pour la revendre

Situation. Un éditeur SaaS propose à ses clients un outil qui, à partir d’un nom et d’une entreprise, retourne une adresse email « vérifiée ». Pour cela, il constitue en continu une base de plusieurs millions d’adresses reconstituées, conservées sans limite de durée.

Analyse.

• Finalité : la reconstitution n’est plus une étape technique au service d’un contact identifié, c’est le produit lui-même. La personne n’est pas contactée par l’éditeur ; elle est stockée pour être vendue à des tiers inconnus.
• Visibilité : la base agrège indistinctement des personnes très visibles et des personnes qui ont restreint leur présence.
• Garanties : aucune limitation de conservation, aucune information des personnes (l’éditeur se prévaut souvent, à tort, de l’exception d’effort disproportionné de l’article 14.5.b).

Verdict : intérêt légitime très difficilement soutenable. C’est la configuration la plus exposée. Et le client qui utilise l’outil n’est pas protégé pour autant : il devient responsable de traitement pour les adresses qu’il importe dans son CRM. Le DPO doit donc auditer ces fournisseurs avant tout contrat (origine des données, durée de conservation, gestion des oppositions, respect des paramètres de confidentialité des sources).

Cas n° 7 : la collectivité qui écrit aux services d’autres collectivités

Situation. Le service urbanisme d’une communauté d’agglomération doit organiser une réunion de travail avec les responsables urbanisme de ses 24 communes membres. Il connaît leurs noms par les comptes rendus de conseils municipaux et reconstitue leurs adresses sur le format prenom.nom@mairie-xxx.fr.

Analyse. Les échanges s’inscrivent dans l’exercice de missions de service public. La base légale est la mission d’intérêt public (article 6.1.e), comme le prévoit la CNIL. Les agents concernés occupent une fonction dont l’exercice implique ce type d’échanges institutionnels.

Verdict : licite, avec application des garanties recommandées : ne conserver que les adresses effectivement utilisées, et cesser toute reconstitution pour un agent qui demande à passer par une adresse de service. Bonne pratique : à l’issue du premier échange, proposer de basculer vers les adresses génériques de service (urbanisme@mairie-xxx.fr) pour les envois récurrents.

Variante à ne pas confondre. Une association de plaidoyer ou un cabinet d’affaires publiques qui reconstitue les adresses des collaborateurs d’élus pour une campagne d’influence ne relève pas de l’article 6.1.e : il doit mener une mise en balance au titre de l’intérêt légitime, avec une attention particulière aux collaborateurs non exposés publiquement.

Tableau de synthèse

Mise en application : la méthode en sept étapes

Étape 1 : définir la finalité avant de reconstituer

Rédiger en une phrase la finalité principale (article 5.1.b) : « Prospecter les DSI d’ETI industrielles de la région Hauts-de-France pour notre offre d’infogérance. » Une finalité du type « enrichir notre base de prospects » est trop large pour justifier une reconstitution.

Étape 2 : documenter le test de mise en balance

L’intérêt légitime impose de pouvoir démontrer l’analyse (article 5.2, principe de responsabilité). Une fiche d’une page suffit pour une campagne ciblée :

Étape 3 : filtrer les personnes avant toute reconstitution

Appliquer systématiquement trois filtres, de préférence avant même la génération de l’adresse :

1. La personne a-t-elle une présence professionnelle publique et volontaire ? Si non : exclusion.
2. A-t-elle restreint sa visibilité ou désigné un canal de contact ? Si oui : exclusion ou utilisation du canal désigné.
3. Figure-t-elle sur la liste d’opposition ? Si oui : exclusion.

Étape 4 : encadrer la vérification technique

Les outils qui « vérifient » une adresse interrogent le serveur de messagerie du destinataire, voire envoient des messages tests. Bonnes pratiques :

• ne pas envoyer de messages à toutes les variantes possibles (prenom.nom@, p.nom@, nom@…) pour « voir celle qui passe » : chaque envoi à une adresse inexistante ou à la mauvaise personne est un traitement sans fondement, et peut constituer un envoi non sollicité ;
• préférer une seule hypothèse fondée sur un schéma attesté ;
• en cas d’erreur (message reçu par un homonyme), supprimer immédiatement l’adresse erronée.

Étape 5 : informer dès le premier contact

Les données n’étant pas collectées auprès de la personne, l’article 14 s’applique. Lorsque les données servent à communiquer avec elle, l’information doit être fournie au plus tard lors de la première communication (article 14.3.b). Modèle de mention à intégrer au pied du premier email :

Vous recevez ce message car votre fonction de [fonction] chez [organisme] correspond à notre offre. Votre adresse a été déduite de votre profil professionnel public et du format d’adresse de votre organisme. [Société], responsable de traitement, traite ces données sur la base de son intérêt légitime à prospecter des professionnels (article 6.1.f du RGPD). Sans échange de votre part sous 30 jours, votre adresse sera supprimée. Vous pouvez vous opposer à tout moment à ce traitement, et à toute nouvelle reconstitution de votre adresse, en cliquant ici [lien] ou en écrivant à [adresse du DPO]. Vous disposez également des droits d’accès, de rectification, d’effacement et de limitation, ainsi que du droit d’introduire une réclamation auprès de la CNIL.

Étape 6 : fixer des durées de conservation à deux paliers

Étape 7 : gérer la liste d’exclusion sans créer un nouveau risque

Pour respecter l’opposition élargie recommandée par la CNIL, il faut paradoxalement conserver une trace de la personne qui s’oppose. Bonnes pratiques :

• ne conserver que le strict nécessaire (adresse ou combinaison nom + domaine), idéalement sous forme hachée ;
• brancher cette liste en amont de tous les outils (CRM, extension, plateforme d’enrichissement) pour bloquer la reconstitution elle-même, et pas seulement l’envoi ;
• documenter la finalité de cette liste dans le registre.

Les implications pour le DPO

Le registre des traitements (article 30). La reconstitution doit apparaître, soit comme traitement autonome, soit comme opération décrite dans la fiche « prospection commerciale » : sources, base légale, catégories de personnes, durées, outils utilisés.

Les sous-traitants et fournisseurs. Les plateformes d’enrichissement doivent être évaluées : sont-elles sous-traitantes (article 28) ou responsables de traitement autonomes ? Comment respectent-elles les paramètres de confidentialité des sources ? Comment propagent-elles les oppositions ?

La protection des données dès la conception (article 25). Paramétrer les outils pour que les filtres de l’étape 3 et la purge à 30 jours soient automatiques, et non laissés à l’appréciation de chaque commercial.

L’AIPD (article 35). Une campagne ciblée n’impose pas d’analyse d’impact. En revanche, une reconstitution à grande échelle, combinant plusieurs sources et conduisant à un profilage des personnes, peut atteindre les critères de la liste CNIL (collecte à large échelle, croisement de données, personnes non informées au moment de la collecte). Le DPO doit alors poser la question.

La sensibilisation des équipes commerciales. C’est souvent là que le risque se joue : un commercial équipé d’une extension de navigateur peut constituer en une après-midi une base non conforme. Une règle interne courte (« pas de profil verrouillé, pas de présence en ligne, pas de reconstitution ») est plus efficace qu’une politique de vingt pages.

La CNIL ne ferme pas la porte à la reconstitution d’adresses professionnelles : elle la conditionne. Le critère central est l’attente raisonnable de la personne, appréciée à travers sa visibilité volontaire et le contrôle qu’elle exerce sur sa joignabilité. Une prospection ciblée, en lien avec la fonction, auprès de professionnels publiquement exposés, reste possible. La constitution massive de bases, l’approche de personnes qui se sont protégées et la conservation indéfinie ne le sont pas.

À faire dès maintenant : identifier les outils de reconstitution et d’enrichissement utilisés par vos équipes, vérifier que la fiche registre « prospection » les décrit, et mettre en place la purge à 30 jours ainsi que la liste d’exclusion élargie.