Deviner l'adresse e-mail professionnelle d'un prospect : ce que la CNIL autorise, et la procédure en 7 étapes
Reconstituer l'e-mail pro d'un prospect : ce que dit la CNIL (16 octobre 2026), la procédure en 7 étapes, la mention du premier e-mail et l'outil à interroger.
Peut-on deviner l'e-mail professionnel d'un prospect ?
Oui, sous conditions. Deviner l'adresse e-mail professionnelle d'un prospect (prenom.nom@entreprise.fr) est permis en France, mais pas toujours. Selon la fiche de la CNIL du 16 octobre 2026, une entreprise peut le faire « sur le fondement de son intérêt légitime » si elle a un intérêt réel à contacter la personne et si cette personne peut raisonnablement s'y attendre.
La CNIL exclut a priori une catégorie de personnes : celles qui n'ont pas de présence en ligne ou qui protègent leurs coordonnées (paramètres de confidentialité, formulaire de contact au lieu d'une adresse). Pour elles, il faut des garanties ou le consentement, sinon on s'abstient.
Trois gestes rendent la pratique défendable : informer la personne dès le premier e-mail, y compris de la façon dont son adresse a été obtenue ; ne garder l'adresse que si un premier contact a eu lieu ; appliquer toute opposition immédiatement, dans tous vos outils. Pour outiller le reste de votre chaîne commerciale, voyez notre guide du devis automatisé.
Vérifiez ce que ce sujet change chez vous : 45 minutes, gratuit, sans engagement.
Réserver l'audit gratuit →Qu'est-ce que la reconstitution d'une adresse e-mail professionnelle ?
La reconstitution d'une adresse e-mail professionnelle consiste à déduire l'adresse d'une personne à partir d'informations publiques. La CNIL la définit ainsi : elle « consiste à déduire ou "deviner" une adresse électronique professionnelle à partir d'informations disponibles en ligne, telles que le nom et le prénom d'une personne et l'identité de l'organisme qui l'emploie ». L'exemple type est le schéma prenom.nom@entreprise.fr.
Les outils d'enrichissement de contacts font souvent ce travail automatiquement. Un comparatif de Zeliq (25 octobre 2026) décrit un outil qui génère les variantes possibles (prenom.nom, p.nom) puis interroge des serveurs de test SMTP, et un autre qui puise dans une base constituée à partir de LinkedIn. Dans les deux cas, c'est l'entreprise qui prospecte qui doit pouvoir justifier l'usage de l'adresse.
Ce que dit la CNIL dans sa fiche du 16 octobre 2026
La CNIL a publié ce jour-là deux fiches : l'une pour les organismes (« dans quel cadre est-ce autorisé ? »), l'autre pour les personnes (« quels sont vos droits ? »). Elles posent six points, dans cet ordre.
- Une donnée publique n'est pas une donnée libre. « Le fait que les données utilisées pour reconstituer ces adresses soient accessibles sur Internet ne dispense pas les organismes de respecter les règles applicables. »
- La base légale est l'intérêt légitime, au cas par cas. L'organisme doit avoir « un intérêt réel et légitime à contacter la personne », et le traitement ne doit pas porter « une atteinte disproportionnée » à ses droits, compte tenu de ce à quoi elle peut « raisonnablement s'attendre ».
- La reconstitution suit la base légale de l'opération qu'elle sert, par exemple une prospection B2B fondée sur l'intérêt légitime. La CNIL précise pourtant : « Cette règle n'est toutefois ni automatique ni systématique. »
- L'absence de présence en ligne est un signal fort. Une personne absente des réseaux professionnels et des sites institutionnels, ou qui passe par un formulaire de contact plutôt qu'une adresse directe, « ne [peut], a priori, pas s'attendre raisonnablement à la reconstitution de [son] adresse électronique ».
- Des garanties, données en exemples. L'organisme « peut notamment prévoir » de ne conserver l'adresse que si « un premier contact effectif est établi avec la personne concernée dans un délai raisonnable », et d'exclure immédiatement de toute reconstitution future une personne qui s'y oppose, sans qu'elle ait à se justifier.
- À défaut, on s'abstient ou on demande le consentement. « À défaut de pouvoir satisfaire à ces conditions, l'organisme doit s'abstenir de procéder à la reconstitution d'adresses électroniques à moins de pouvoir recueillir le consentement de la personne. »
La fiche destinée aux personnes ajoute l'obligation d'information : l'organisme doit les informer « aussitôt que possible et de manière claire, notamment des objectifs poursuivis » et leur « expliquer comment [leur] adresse a été obtenue ». Sans réponse sous un mois à une demande d'exercice de droits, la personne peut saisir la CNIL.
La fiche renvoie elle-même aux recommandations de la CNIL pour les réutilisateurs de données publiées sur internet (juin 2024). Leur fiche sur l'enrichissement de fichiers de prospection fixe le délai d'information : « au plus tard lors de la première prise de contact » et « dans un délai ne dépassant pas un mois après la collecte ». Elle demande aussi d'indiquer la ou les sources des données, et de tenir compte des conditions d'utilisation du site source : une collecte sort des attentes raisonnables quand ces conditions interdisent la récupération des données à des fins de prospection.
Les raccourcis qui circulent, et ce que dit vraiment la CNIL
Les articles publiés sur le sujet sont nombreux, et plusieurs reformulent la fiche en s'écartant du texte : Siècle Digital et Leptidigital (20 octobre 2026), Tensoria (18 octobre), l'aide de l'outil Dropcontact. La synthèse de Leto (16 octobre) est la plus proche du texte de la CNIL.
| Ce qu'on lit | Ce que dit la CNIL |
|---|---|
| L'adresse peut être conservée « un délai raisonnable après un premier échange » (Siècle Digital, Leptidigital) | On ne conserve l'adresse que si un premier contact effectif a lieu dans un délai raisonnable : c'est une condition, pas un délai de grâce |
| Trois « conditions cumulatives » et deux garanties « attendues » (Tensoria) | Un intérêt réel, puis une mise en balance au cas par cas ; les garanties sont des exemples (« peut notamment prévoir »), qui deviennent nécessaires pour les personnes qui protègent leurs coordonnées |
| Une fiche pour encadrer la prospection par IA (Siècle Digital) | La fiche ne parle pas d'intelligence artificielle : elle vise toute reconstitution, manuelle ou outillée |
| Avec l'outil, vous êtes « fully compliant » (aide de Dropcontact) | L'intérêt légitime, l'information, la conservation et l'opposition restent à la charge de l'entreprise qui prospecte, quel que soit l'outil |
Une page de la CNIL datée du 16 juin 2009, « Les règles d'or de la prospection par courrier électronique », est toujours en ligne et dit : « Ne faites pas de prospection électronique à partir d'adresses de courriers électroniques collectées dans les espaces publics de l'internet […]. C'est interdit ! » Un lecteur qui tombe dessus peut croire la reconstitution interdite. Les fiches du 16 octobre 2026 et celle du 10 juin 2026 sur la prospection par e-mail sont les plus récentes, et c'est sur elles que la procédure ci-dessous s'appuie.
La procédure en 7 étapes pour une PME qui prospecte
Ces sept étapes traduisent en gestes les deux fiches de 2026 et les recommandations de 2024. Elles ne remplacent pas l'avis de votre délégué à la protection des données ou d'un avocat.
- Notez l'origine de chaque contact : la source (site de l'entreprise, profil professionnel, annuaire), la date, et le statut « devinée » ou « vérifiée ». Sans cette trace, vous ne pourrez pas dire à la personne d'où vient son adresse.
- Écrivez une page d'analyse d'intérêt légitime : pourquoi vous contactez ces fonctions (l'objet doit être en rapport avec leur activité professionnelle, selon la fiche de la CNIL du 10 juin 2026), pourquoi elles peuvent s'y attendre, quelles garanties vous appliquez. Une page suffit. Datez-la et relisez-la quand la cible change.
- Excluez les personnes qui se protègent. Pas de présence en ligne, accès restreint, formulaire de contact à la place d'une adresse : on ne reconstitue pas. Même règle si les conditions d'utilisation du site source interdisent la réutilisation à des fins de prospection.
- Informez dès le premier e-mail : qui écrit, pourquoi, comment l'adresse a été obtenue, et comment s'opposer en un geste (modèle ci-dessous).
- Appliquez l'opposition partout, tout de suite. Une personne qui refuse sort de la séquence, du CRM et de l'outil d'enrichissement, et n'est plus jamais reconstituée.
- Purgez les adresses restées sans premier contact. La CNIL ne chiffre pas le « délai raisonnable » : fixez le vôtre, écrivez-le dans l'analyse de l'étape 2 et automatisez la suppression.
- Répondez aux demandes sous un mois. Accès, rectification, effacement : selon la fiche de la CNIL, sans réponse sous un mois, la personne peut la saisir.
Pour un fichier déjà constitué, appliquez les étapes 1, 3 et 6 avant tout nouvel envoi. Une adresse dont vous ne retrouvez pas l'origine ne permet pas l'information de l'étape 4 : retirez-la plutôt que de l'utiliser.
Modèle de mention pour le premier e-mail
À placer en bas du premier message, sous la signature. Il reprend ce que les fiches de la CNIL demandent (finalité, origine de l'adresse, droits, opposition). Le texte est le nôtre, pas un modèle de la CNIL.
Je vous écris au titre de votre fonction de [fonction] chez [entreprise], pour vous présenter [objet en lien avec votre activité]. Votre adresse professionnelle a été déduite de votre nom et du format d'adresse de [entreprise], à partir de [source : site de l'entreprise, profil professionnel public], le [date]. [Entreprise qui écrit] traite cette adresse sur la base de son intérêt légitime et la supprime si ce message reste sans suite après [délai fixé]. Pour ne plus être contacté, répondez « stop » : votre adresse sera retirée de nos fichiers et ne sera plus jamais reconstituée. Pour exercer vos autres droits : [adresse de contact RGPD].
Ce qu'il faut demander à l'outil d'enrichissement
Un outil d'enrichissement ne vous rend pas conforme : il fournit des adresses, la conformité reste chez vous. Avant d'en brancher un, posez-lui ces questions par écrit.
| Question | Pourquoi |
|---|---|
| Devinez-vous l'adresse en temps réel, ou la tirez-vous d'une base ? De quelles sources ? | Vous devez pouvoir dire à la personne d'où vient son adresse |
| Puis-je exporter, pour chaque adresse, la source et la date ? | Étapes 1 et 4 de la procédure |
| Le statut « devinée » ou « vérifiée » est-il visible, et que vérifie le test SMTP ? | Une adresse vérifiée techniquement n'est pas une adresse que la personne s'attend à voir utilisée |
| Combien de temps gardez-vous les données, et puis-je purger ? | Étape 6 |
| Une liste d'opposition peut-elle vous être transmise automatiquement (API, webhook) ? | Étape 5 : l'opposition doit valoir dans tous les outils |
| Êtes-vous sous-traitant ou responsable de traitement, avec quel contrat et quel hébergement ? | Votre registre des traitements doit le dire |
Un outil qui ne sait pas répondre à la première question rend l'étape 4 impossible, et je ne le brancherais pas. S'il puise dans une base constituée à partir d'un réseau professionnel, lisez aussi les conditions d'utilisation de ce réseau : selon les recommandations de la CNIL de 2024, une collecte que ces conditions interdisent sort des attentes raisonnables des personnes.
Câbler la conformité dans le flux de prospection
Dans une prospection outillée, les garanties de la CNIL se mettent en œuvre comme des automatisations, au même titre que l'envoi des séquences. Il en faut trois.
- Une liste d'opposition commune, alimentée par les réponses « stop », les désinscriptions et les demandes reçues, et lue par le séquenceur, le CRM et l'outil d'enrichissement avant chaque action.
- Une purge planifiée des adresses reconstituées restées sans premier contact au-delà du délai que vous avez fixé.
- Un journal : source, date, statut de l'adresse, date du premier contact, date de l'opposition. C'est lui qui permet de répondre à une demande d'accès sans fouiller chaque outil à la main.
C'est ce que livre notre prospection automatisée, dès 980 € HT par mois : information, opposition partagée et purge sont posées dès le départ, et notre cold email B2B couvre l'envoi à froid. Ces règles valent aussi pour un assistant IA qui prépare vos e-mails : voir la section CNIL de notre billet IA pour équipe commerciale.
Quand ne pas reconstituer d'adresses
Je déconseille de le faire dans quatre cas.
- La cible est un particulier, ou un professionnel contacté pour un objet sans lien avec son métier : la tolérance B2B ne s'applique pas.
- La personne n'a aucune présence en ligne ou passe par un formulaire de contact : la CNIL exclut a priori ses attentes raisonnables.
- Vous ne pouvez pas dire d'où vient l'adresse : l'information exigée devient impossible.
- Une adresse générique (contact@, info@) existe et suffit : selon la fiche de la CNIL du 10 juin 2026, ces adresses de personnes morales ne relèvent pas des mêmes principes.
Par où commencer dans votre entreprise
Commencez par l'état des lieux : d'où viennent les adresses de votre fichier, qui les a ajoutées, et que contient votre premier e-mail. Si vous voulez le faire avec quelqu'un, l'audit IA gratuit passe en revue vos outils et vos fichiers (comment se passe l'audit).
Chiffrez le gain avant de vous engager
Entrez vos heures et vos coûts : le calculateur donne le temps récupérable tout de suite, sans inscription. Vous pouvez ensuite recevoir le détail par e-mail.