La CNIL encadre la reconstitution d'adresses email professionnelles

La CNIL a publié le 16 octobre 2026 sa position sur la reconstitution d'adresses électroniques professionnelles — l'inférence d'une adresse email à partir du nom d'une personne, de son employeur et du format d'adresses de l'organisation. Pratique courante en prospection B2B et en enrichissement de bases, elle n'est ni interdite ni libre : la CNIL la soumet au RGPD et fixe des conditions. Pour les équipes marketing, growth et les DPO, le point à retenir tient en une phrase de l'autorité : la reconstitution sous intérêt légitime n'est « ni automatique ni systématique ».

La source primaire est la doctrine de la CNIL, en deux volets : « dans quel cadre est-ce autorisé ? » et « quels sont vos droits ? ». Elle est relayée côté presse par Silicon.fr.

Ce que dit la CNIL

Principe de départ : le caractère public d'une donnée n'exonère pas du respect des règles. Une adresse accessible ou déductible en ligne reste une donnée personnelle, soumise au RGPD et, le cas échéant, aux règles propres à la prospection commerciale.

La reconstitution peut reposer sur l'intérêt légitime, sans consentement préalable, si deux conditions sont réunies :

• un intérêt réel et légitime à contacter la personne (faciliter des échanges professionnels, développer une activité) ;
• l'absence d'atteinte disproportionnée aux droits et intérêts des personnes, appréciée au cas par cas.

Qui est concerné, et selon quels critères

La CNIL recommande de peser notamment :

• Finalité et intrusivité. Quand la reconstitution sert un traitement principal clairement défini — par exemple une prospection B2B fondée sur l'intérêt légitime — elle peut en partager la base légale. Mais ce rattachement n'est, là encore, ni automatique ni systématique.
• Visibilité et maîtrise. Une personne sans présence en ligne identifiable, ou qui prend des mesures pour protéger ses coordonnées, ne peut raisonnablement s'attendre à voir son adresse reconstituée. La reconstitution est alors à écarter.

Pour les échanges entre une administration et des organismes publics, dans le cadre de missions de service public, la reconstitution peut relever de la mission d'intérêt public (article 6.1.e du RGPD), avec les mêmes garde-fous.

Les obligations concrètes

1. Limiter strictement la conservation. Ne garder l'adresse reconstituée que si un premier contact effectif a lieu dans un délai raisonnable ; à défaut, la supprimer.
2. Traiter toute opposition comme une exclusion immédiate, sans exiger de justification — y compris lorsque la donnée est utilisée à d'autres fins que la prospection.
3. Respecter le socle RGPD en toutes circonstances : information des personnes, limitation des durées, exercice des droits et sécurité des données.
4. À défaut de conditions réunies, s'abstenir de reconstituer, sauf à recueillir le consentement conformément aux recommandations de la CNIL sur la réutilisation de données.

Contexte

La doctrine ne crée pas d'obligation nouvelle : elle applique l'article 6 du RGPD à une pratique très répandue mais rarement documentée côté entreprises, et longtemps traitée comme une zone grise au motif que l'information était « publique ». En posant que la disponibilité en ligne n'efface pas la base légale et en imposant une appréciation au cas par cas, la CNIL referme cette zone grise pour les activités de prospection et d'enrichissement de données. Les opérateurs qui industrialisent la reconstitution d'adresses — outils de sales intelligence, scraping, enrichissement CRM — ont désormais un cadre explicite à opposer, et à respecter.