Prospection : deviner l'adresse prénom.nom d'un contact, ce que la CNIL autorise depuis le 16 octobre 2026

Ce qui s'est passé

Le 16 octobre 2026, la CNIL a publié deux fiches sur une pratique que presque toutes les équipes commerciales utilisent sans lui donner de nom : la reconstitution d'adresses électroniques professionnelles. On repère qu'une entreprise écrit ses adresses sous la forme pré[email protected], on trouve le nom d'un directeur sur son site ou sur un réseau professionnel, et on en déduit son adresse.

La première fiche s'adresse aux organismes qui le font (« dans quel cadre est-ce autorisé ? »), la seconde aux personnes dont l'adresse a été devinée (« quels sont vos droits ? »). Le message central tient en une phrase de la CNIL : l'accessibilité des données sur Internet ne dispense pas de respecter le RGPD, ni les règles de prospection commerciale.

Pourquoi ça concerne une entreprise de 20 personnes

Parce que c'est exactement ainsi que prospectent les petites structures. Pas de service marketing, pas de base achetée à prix d'or : un commercial, un tableur, et des adresses reconstituées à la main ou par un outil d'enrichissement qui « trouve l'e-mail » à partir d'un nom et d'une entreprise. Beaucoup de ces outils font, sous le capot, précisément ce que décrit la CNIL.

La bonne nouvelle : la CNIL n'interdit pas la pratique. Elle admet qu'elle peut reposer sur l'intérêt légitime, par exemple pour développer son activité commerciale, à condition qu'elle ne porte pas une atteinte disproportionnée aux droits des personnes. Ce n'est pas automatique : cela s'apprécie au cas par cas.

La moins bonne : elle fixe les critères de ce cas par cas, et un fichier de prospection monté « au plus vite » en coche rarement un seul. Trois points ressortent de ses fiches :

• -La finalité doit être définie dès le départ. On reconstitue une adresse pour un objectif précis, pas pour constituer un stock au cas où.
• -Ce que la personne pouvait raisonnablement attendre. Quelqu'un qui n'a aucune présence en ligne identifiable, ou qui a délibérément protégé ses coordonnées (paramètres de confidentialité renforcés, formulaire de contact au lieu d'une adresse directe), ne peut a priori pas s'attendre à voir son adresse reconstituée. Pour ces personnes, la CNIL recommande de ne pas reconstituer.
• -Les garanties. Conserver l'adresse reconstituée seulement si un premier contact effectif s'établit dans un délai raisonnable, et traiter toute opposition par une exclusion immédiate, sans demander de justification.

Côté destinataire, la seconde fiche rappelle le droit d'être informé « aussitôt que possible et de manière claire » de l'origine de l'adresse et de la finalité, et la possibilité de saisir la CNIL si l'organisme ne répond pas sous un mois. Autrement dit, le prospect agacé par votre troisième relance sait désormais vers quelle page se tourner.

Ces fiches s'ajoutent aux règles de prospection B2B que la CNIL rappelle sur sa page dédiée (mise à jour le 10 juin 2026) : un professionnel peut être démarché sans consentement préalable si le message est en rapport avec sa profession, il doit avoir été informé, et chaque message doit identifier l'expéditeur et offrir un moyen simple de refuser les envois suivants.

Ce qu'il faut faire, ou ne pas faire

Rien de tout cela ne demande d'acheter un logiciel. Une heure avec la personne qui tient le fichier suffit.

1. -

   Ajoutez une colonne « origine » à votre fichier de prospection. Pour chaque adresse : saisie par la personne, carte de visite, site de l'entreprise, ou reconstituée. Sans cette colonne, vous ne pouvez ni appliquer les règles ci-dessous, ni répondre à quelqu'un qui demande d'où vient son adresse — et c'est la première question qu'on vous posera.

2. -

   Purgez les adresses reconstituées restées sans réponse. La CNIL lie la conservation à un premier contact effectif dans un délai raisonnable. Une adresse devinée il y a huit mois, relancée trois fois sans retour, n'a plus de raison d'être dans le fichier. Fixez un délai, écrivez-le, appliquez-le.

3. -

   Ne reconstituez pas l'adresse de ceux qui se cachent. Le dirigeant qui n'apparaît nulle part en ligne, ou dont l'entreprise n'affiche qu'un formulaire de contact : passez par ce formulaire, ou par l'adresse générique.

4. -

   Faites de l'opposition une liste noire, pas une case décochée. Quand quelqu'un répond « retirez-moi », il ne suffit pas de le sortir de la campagne en cours : son adresse doit sortir de tout traitement ultérieur de reconstitution. Concrètement, gardez une liste d'exclusion que vous confrontez à chaque nouvel import — sinon, l'outil d'enrichissement retrouvera la même adresse le mois suivant et vous la réécrirez.

À ne pas faire :

• -Écrire à quelqu'un sans rapport avec son métier. Proposer un logiciel de paie au responsable des ressources humaines, oui. Le même message à tout l'annuaire de l'entreprise, non.
• -Envoyer un premier message muet sur l'origine de l'adresse. Une ligne suffit : « J'ai trouvé votre nom sur le site de votre entreprise et déduit votre adresse de son format. Si vous ne souhaitez plus recevoir de message de ma part, répondez simplement "non". » Elle coche l'information et le droit d'opposition d'un coup.
• -Croire que l'outil d'enrichissement porte la responsabilité. C'est vous qui envoyez, c'est vous que le destinataire interroge.

Ce qu'il faut retenir

La CNIL ne ferme pas la porte à la prospection par adresse devinée, elle demande d'en tenir les comptes : savoir d'où vient chaque adresse, ne pas garder ce qui n'a rien donné, et ne jamais réécrire à quelqu'un qui a dit non. Pour une petite équipe commerciale, c'est une colonne, un délai et une liste d'exclusion.

Sources : CNIL, fiches « Reconstitution d'adresses électroniques professionnelles » publiées le 16 octobre 2026 ; CNIL, « La prospection commerciale par courrier électronique », mise à jour le 10 juin 2026. Cet article n'est pas un conseil juridique.