Pratiques marketing: la reconstitution d’adresses email professionnelles à partir de données disponibles en ligne est-elle licite?

La CNIL a publié le 16 octobre 2026 un article concernant la reconstitution d’adresses électroniques professionnelles. Bien que la pratique consistant à déduire d’informations récoltées en ligne, une adresse email professionnelle par exemple à des fins de prospection, soit autorisée, certaines règles sont à respecter de manière stricte.

L’intérêt légitime peut servir de base légale, sans nécessité de devoir recueillir le consentement. La CNIL précise toutefois qu’il n’est « ni automatique, ni systématique » : il suppose une mise en balance propre à la reconstitution, et celle-ci se joue sur l’attente raisonnable de la personne. Quelqu’un qui a limité sa visibilité en ligne, ou protégé ses coordonnées, ne peut raisonnablement s’attendre à ce qu’on reconstitue son adresse.

Deux garanties pèsent lourd dans cette mise en balance : ne conserver l’adresse que si un premier contact a effectivement lieu dans un délai raisonnable, et exclure immédiatement toute personne qui s’y oppose, sans lui demander de se justifier.

Il est donc impératif de disposer d’un outil capable d’appliquer ces deux garanties.

Qu’est-ce que la reconstitution d’adresses email professionnelles? 

La pratique visée consiste à déduire l’adresse professionnelle d’une personne à partir d’informations trouvées en ligne, telles que son nom, son prénom, son employeur, après avoir identifié le format d’adressage de l’entreprise. L’exemple que donne la CNIL est celui de la forme prénom.nom@société. Les informations ne sont pas collectées, mais inférées.

La CNIL distingue deux usages, qui n’ont pas le même poids :

• la constitution d’une base de contacts, typiquement à des fins de prospection B2B;
• la reconstitution ponctuelle d’une adresse, par exemple dans le cadre de relations institutionnelles.

En pratique, la première hypothèse est celle de la plupart des entreprises concernées. C’est le fonctionnement même des outils d’enrichissement de données et de sales intelligence, qui devinent l’adresse à partir d’un profil professionnel public et d’un schéma d’adressage. 

Il ne s’agit pas d’un avis formel de la CNIL ni d’une recommandation adoptée en séance, mais de règles pratiques qui donnent toutefois une bonne indication sur la manière dont le régulateur raisonnera en cas de contrôle. 

Première règle: “public” ne veut pas dire disponible

Le caractère accessible en ligne d’une donnée n’exonère d’aucune obligation, et ce rappel est toujours utile. Une adresse déduite d’un profil LinkedIn public reste une donnée à caractère personnel, et sa reconstitution reste un traitement.

Cette position n’est pas nouvelle. La CNIL l’avait déjà posée en avril 2020 à propos de la réutilisation de données publiquement accessibles à des fins de démarchage, puis reprise dans ses recommandations de juin 2024 à destination des réutilisateurs de données publiées sur Internet. La CNIL applique aujourd’hui cette grille à un cas particulier, qui est celui où la donnée n’est pas collectée, mais devinée.

L’intérêt légitime comme base légale de traitement possible 

La CNIL admet que la reconstitution de l’adresse email professionnelle puisse reposer sur l’intérêt légitime, donc ne nécessite a priori par d’aller recueillir le consentement préalable de la personne concernée. Il existe toutefois deux conditions à ce principe, conforment aux critères de l’article 6(1)(f) du RGPD pour pouvoir utiliser cette base légale:

L’intérêt à entrer en contact avec la personne doit être réel et légitime. Les exemples donnés par la CNIL sont: permettre de faciliter des échanges professionnels; ou de développer une activité commerciale. 

Cet intérêt doit être mis en balance avec les droits de la personne concernée et il faut pouvoir démontrer l’absence d’atteinte disproportionnée à leurs droits et intérêts. On est ici dans du cas-par-cas et il s’agit de démontrer que les personnes concernées peuvent s’attendre à ce type de traitement.

Les critères du test de l’intérêt légitime 

1. La finalité du traitement doit être définie avant la collecte, pas reconstruite ensuite. « Prospecter » ne suffit pas et il convient d’être précis concernant l’offre, la fonction à laquelle elle s’adresse…
2. La nécessité du traitement: pourquoi la reconstitution, plutôt qu’un formulaire de contact, un message sur un réseau professionnel, ou une adresse générique? Une alternative moins intrusive disponible et ignorée fragilise l’ensemble.
3. La mise en balance. Les attentes raisonnables des personnes, le caractère intrusif du moyen, et les garanties que vous apportez pour rééquilibrer. 

La CNIL demande de se poser une question unique : la personne pouvait-elle raisonnablement s’attendre à ce que son adresse soit reconstituée de cette façon ?

La réponse se lit sur deux éléments : la visibilité que la personne a choisi de se donner en ligne, et le contrôle qu’elle exerce sur ses coordonnées.