La CNIL encadre la reconstitution d'adresses professionnelles
La CNIL publie le 16 octobre 2026 un cadre pour la reconstitution d'adresses électroniques professionnelles à partir de données accessibles en ligne. L'intérêt légitime peut fonder cette pratique, mais seulement si l'organisme a un intérêt réel, si la personne pouvait raisonnablement s'attendre à être contactée ainsi, et s'il pose des garanties. À défaut, la reconstitution doit s'arrêter, ou reposer sur le consentement.
par Gyom 17 octobre 2026 à 13:01 3 min de lecture rubrique : Vérifier et protéger
etiquettes : En entreprise
Reconstituer une adresse électronique professionnelle, c'est déduire l'adresse d'un salarié à partir de son nom, de son employeur et du formalisme repéré dans l'organisation : une initiale de prénom, le nom, un séparateur, puis le domaine de l'entreprise. La pratique sert la prospection entre professionnels, le recrutement ou le contact d'administré, et elle se nourrit de données qui sont déjà en ligne, sur des sites d'entreprise, des annuaires, des réseaux professionnels ou des registres publics. La CNIL rappelle dans sa publication du 16 octobre 2026 qu'une donnée accessible n'est pas une donnée libre d'usage : le règlement européen s'applique, comme les règles propres à la prospection commerciale quand elle est le but poursuivi.
L'intérêt légitime, à condition que l'organisme ait un intérêt réel
L'organisme doit d'abord avoir un intérêt réel et légitime à joindre la personne, par exemple développer son activité, puis établir que la reconstitution ne porte pas aux droits et intérêts de celle-ci une atteinte disproportionnée au regard de cet intérêt. La CNIL précise que la reconstitution se juge rarement seule : elle prend place dans un traitement plus large et peut alors s'appuyer sur la base légale de ce traitement. Elle écarte en revanche l'idée d'un droit acquis : ce n'est pas parce que l'adresse est techniquement déductible que la déduction est licite.
Une personne invisible en ligne ne peut pas s'attendre à être devinée
Le deuxième critère porte sur ce que la personne pouvait raisonnablement prévoir, et la CNIL le rattache à la visibilité de ses données comme au contrôle qu'elle garde dessus. Deux situations ressortent. Une personne sans présence identifiable en ligne, sur des réseaux professionnels comme sur des sites institutionnels, ne peut a priori pas s'attendre à ce que son adresse soit reconstituée. Il en va de même pour celle qui a renforcé ses paramètrespoids du modèleNombre de valeurs apprises par un modèle. À quantification égale, plus de paramètres veut dire plus de mémoire occupée, et en général de meilleures réponses.Fiche du lexique de confidentialité, restreint l'accès à ses informations ou remplacé son adresse directe par un formulaire de contact : ces choix signalent une volonté de maîtriser la diffusion de ses coordonnées, y compris quand ils ont été faits sur un autre site que celui du recontact.
Deux garanties qui font pencher la balance
La CNIL nomme deux garanties qui limitent l'impact du traitement et rééquilibrent la balance. La première est de durée : ne conserver l'adresse reconstituée que si un premier contact effectif a été établi dans un délai raisonnable. La seconde est d'opposition : toute personne qui s'y oppose doit être exclue immédiatement de tout traitement ultérieur de reconstitution, sans avoir à justifier de sa situation particulière. Pour les échanges entre administrations et organismes publics, la reconstitution peut reposer sur la mission d'intérêt public de l'article 6.1.e du règlement, avec les mêmes garanties recommandées.
Sans ces conditions, le consentement ou rien
À défaut de satisfaire ces critères, la CNIL demande à l'organisme de s'abstenir de reconstituer des adresses, à moins de recueillir le consentement des personnes, comme dans ses recommandations aux réutilisateurs de données publiées sur internet. Le reste du règlement continue de s'appliquer : information des personnes, durée de conservation, exercice des droits et sécurité des données. La CNIL publie en complément une page sur les droits des personnes dont l'adresse professionnelle a été reconstituée, et range la question sous les étiquettes courriels, prospection et consentement.