La pratique consistant à deviner l’adresse électronique d’un décideur à partir du format habituel de l’entreprise (prenom.nom@entreprise.fr) est courante dans le marketing B2B. Cette méthode, pourtant simple, relève du traitement de données personnelles au sens du RGPD et impose des obligations précises. La CNIL a rappelé les limites de l’« intérêt légitime » et les garde‑fous indispensables pour éviter les abus.

Un cadre juridique strict

Selon la Commission Nationale de l’Informatique et des Libertés, toute donnée permettant d’identifier directement ou indirectement une personne physique est considérée comme une donnée personnelle. Reconstituer une adresse professionnelle à partir d’informations publiques (nom, prénom, nom de domaine) constitue donc un traitement de données soumis aux exigences du Règlement général sur la protection des données (RGPD).

L’intérêt légitime, pas un laissez‑passer

Les organisations justifient souvent cette pratique par le fondement juridique de l’« intérêt légitime ». La CNIL précise toutefois que ce fondement n’est pas un « chèque en blanc ». L’entreprise doit démontrer que le besoin de contacter le professionnel est réel, proportionné et n’empiète pas de façon excessive sur ses droits. En pratique, cela signifie que le contact doit être directement lié à l’activité du destinataire (ex. : un responsable achats contacté pour une offre de fournitures) et que les informations collectées ne sont pas utilisées à des fins détournées.

Ce que le professionnel peut raisonnablement attendre

Le critère de « raisonnabilité » dépend de la visibilité du professionnel sur le Web. Une personne très active sur LinkedIn, Twitter ou d’autres réseaux professionnels, dont les fonctions impliquent une disponibilité accrue, est davantage exposée à ce type de prise de contact. À l’inverse, un collaborateur qui ne possède aucune présence identifiable en ligne ou qui a configuré son profil pour masquer ses coordonnées exprime une volonté claire de protection. Dans ce cas, la reconstitution et l’usage de son adresse mail sont illégaux sans consentement explicite.

Particularités pour les organismes publics

Pour les administrations et les organismes publics, la reconstitution d’adresses peut s’inscrire dans une mission d’intérêt public (par exemple, pour diffuser une information réglementaire). Le cadre reste toutefois soumis aux mêmes exigences de proportionnalité et de transparence que pour le secteur privé.

Transparence et information du destinataire

Dès le premier message envoyé, l’expéditeur doit indiquer clairement la finalité de sa démarche, la manière dont il a obtenu l’adresse et les modalités d’opposition. Cette obligation de transparence vise à permettre au destinataire de décider en connaissance de cause s’il souhaite ou non poursuivre l’échange.

Droit de retrait immédiat

Si le professionnel s’oppose à la prise de contact ou demande à ne plus être sollicité, l’organisme doit retirer sans délai son adresse de tous ses fichiers de prospection. Aucun justificatif ne peut être réclamé au destinataire. Le respect de ce droit de retrait est un élément central pour éviter les sanctions de la CNIL.

Conservation limitée des données

La CNIL recommande également de ne pas conserver les adresses reconstituées au‑delà du moment où aucun contact effectif n’a été établi. Si, après un délai raisonnable (par exemple, quelques semaines), aucun échange n’a lieu, la donnée doit être supprimée afin de limiter le risque de traitement abusif.

Recours du destinataire

En cas de non‑respect de ces exigences, le professionnel peut saisir la CNIL directement. Un silence de l’expéditeur pendant plus d’un mois ou une réponse jugée insatisfaisante constitue un motif valable pour déposer une plainte. La CNIL peut alors enquêter et, le cas échéant, infliger des amendes administratives.

Bonnes pratiques pour les marketeurs

  • Évaluer la visibilité du prospect : vérifier la présence en ligne et le degré d’exposition avant de reconstituer une adresse.
  • Documenter l’intérêt légitime : conserver des preuves du besoin réel de contact et de la proportionnalité du traitement.
  • Informer dès le premier mail : inclure une mention claire sur la provenance de l’adresse et les droits d’opposition.
  • Mettre en place un processus de retrait : automatiser la suppression immédiate des contacts qui s’opposent.
  • Limiter la durée de conservation : définir des règles internes de suppression après un délai d’inactivité.

En suivant ces recommandations, les équipes commerciales peuvent poursuivre leurs activités tout en respectant les exigences du RGPD et les recommandations de la CNIL. Le respect de la vie privée n’est plus un frein, mais un levier de confiance qui renforce la légitimité des démarches commerciales.

Source : Commission Nationale de l’Informatique et des Libertés (CNIL), analyse du traitement des adresses électroniques professionnelles.