Prospection B2B : peut-on « deviner » l’adresse email d’un prospect sans son accord ?

Lorsqu’une équipe commerciale déduit l’adresse email d’un prospect de son nom et de celui de son employeur, elle traite des données personnelles soumises au RGPD, même si ces informations circulent librement en ligne. La CNIL vient de préciser dans quelles conditions cette pratique peut se passer du consentement des intéressés.

Reconstitution d’adresses email professionnelles : l’intérêt légitime peut suffire, sous conditions

Pour la CNIL, la « reconstitution » d’adresses électroniques professionnelles consiste à déduire l’adresse email d’un interlocuteur à partir d’informations publiées en ligne, notamment ses nom et prénom ainsi que l’identité de son employeur, en s’appuyant le plus souvent sur le format d’adresse observé chez l’entreprise cible, par exemple prenom.nom@entreprise.fr.

Dans une publication du 16 octobre 2026, l’autorité de régulation rappelle que l’accessibilité de ces informations sur internet ne dispense ni du respect du RGPD ni, le cas échéant, de celui des règles propres à la prospection commerciale.

Le RGPD permet toutefois de reconstituer ces adresses sans demander au préalable l’accord des intéressés dès lors que l’entreprise peut s’appuyer sur son intérêt légitime, ce qui suppose de remplir deux conditions :

• Elle doit avoir un intérêt réel et légitime à contacter la personne, par exemple pour faciliter des échanges professionnels ou développer son activité commerciale ;
• La reconstitution ne doit pas porter une atteinte disproportionnée aux droits et aux intérêts des personnes concernées, ce qui suppose de vérifier au cas par cas si elles peuvent raisonnablement s’attendre à un tel usage de leurs données et quelles mesures permettent d’en limiter l’impact.

Pour savoir sur quelle base légale s’appuyer, la CNIL invite à regarder l’objectif d’ensemble, puisque la reconstitution d’une adresse constitue généralement une étape technique au service d’un projet défini dès le départ, comme une campagne de prospection B2B. Si l’entreprise mène cette prospection sur la base de son intérêt légitime, elle peut donc en principe invoquer ce même fondement pour reconstituer les adresses des prospects visés.

 Les entreprises doivent informer les prospects et respecter leur opposition

La CNIL demande aux entreprises d’expliquer aux personnes concernées, aussitôt que possible, comment elles ont obtenu leur adresse professionnelle. L’information fournie doit notamment préciser :

• l’objectif de l’utilisation des données, par exemple une campagne de prospection commerciale ;
• la manière dont l’adresse email a été reconstituée ;
• les droits dont disposent les destinataires et les modalités pour les exercer.

Si un prospect s’oppose à l’utilisation de son adresse, l’entreprise doit cesser de l’exploiter et la supprimer de ses bases de contacts. Pour éviter que les coordonnées soient de nouveau reconstituées, la CNIL recommande également de prévoir l’exclusion immédiate du prospect de toute opération ultérieure de reconstitution, sans lui demander de justifier son opposition.

La conservation des adresses doit aussi être limitée. Parmi les garanties possibles, la CNIL propose de ne conserver les adresses reconstituées que lorsqu’un premier contact effectif a été établi avec les personnes concernées, « dans un délai raisonnable ».

Les destinataires peuvent enfin exercer leurs droits d’accès, de rectification ou d’effacement. Si leur demande reste sans réponse après un mois, ou si la réponse ne les satisfait pas, ils peuvent déposer une plainte auprès de la CNIL.