Un commercial connaît le nom d’une directrice des achats et celui de son entreprise. Il sait que les adresses de la société suivent le modèle prénom.nom. Il en déduit l’adresse, l’ajoute à sa séquence d’envoi et appuie sur le bouton. La directrice n’a jamais publié cette adresse, ni demandé à être contactée. Le message arrive pourtant, et avec lui une question que beaucoup d’équipes commerciales ne se posaient pas : avaient-elles le droit de deviner ?
La CNIL y répond depuis le 16 octobre 2026 dans 2 pages, l’une pour les professionnels, « Reconstitution d’adresses électroniques professionnelles : dans quel cadre est-ce autorisé ? », l’autre pour les personnes concernées. Ce sont des articles d’explication, où la CNIL dit ce qu’elle recommande : ni une délibération, ni une nouvelle règle de loi. Ils fixent pourtant la grille de lecture qu’elle appliquera.
Deviner une adresse n’est pas interdit, mais ce n’est jamais un droit acquis : la CNIL demande de vérifier, personne par personne, si le prospect pouvait s’attendre à être joint ainsi.
Ce que dit la CNIL
La reconstitution d’une adresse professionnelle peut reposer sur l’intérêt légitime de l’entreprise, c’est-à-dire sans consentement préalable, à certaines conditions. L’entreprise doit avoir un intérêt réel à contacter la personne, par exemple pour développer son activité commerciale. Quand la reconstitution sert une campagne de prospection entre professionnels elle-même fondée sur l’intérêt légitime, elle peut reposer sur la même base. Mais la CNIL précise aussitôt que « cette règle n’est toutefois ni automatique ni systématique ».
Le critère décisif est la visibilité choisie par la personne. La CNIL distingue 2 situations. Pour quelqu’un qui n’a aucune présence identifiable en ligne, cette absence « peut constituer un indice fort » qu’il ne souhaite pas être facilement joignable. Pour quelqu’un qui a restreint l’accès à ses données, par des paramètres de confidentialité ou un formulaire de contact plutôt qu’une adresse directe, ces choix signalent une volonté de maîtriser sa diffusion. Dans les 2 cas, la personne ne peut pas, « a priori », s’attendre à ce que son adresse soit reconstituée.
Des garanties peuvent rééquilibrer la balance, et la CNIL en donne des exemples : ne conserver l’adresse que si un premier contact effectif a lieu « dans un délai raisonnable », exclure « immédiatement » de tout traitement ultérieur une personne qui s’oppose, sans qu’elle ait à se justifier. Sans ces conditions, l’entreprise doit s’abstenir, à moins de recueillir le consentement de la personne. Et quel que soit le cas, la page destinée aux particuliers rappelle que l’organisme doit informer la personne, « aussitôt que possible », de ses objectifs, de ses droits, et lui expliquer « comment votre adresse a été obtenue ».
Ce que la CNIL ne dit pas
Ces pages n’interdisent pas la prospection entre professionnels. Elles ne fixent aucune durée de conservation chiffrée : le « délai raisonnable » reste à apprécier. Elles ne visent pas nommément les fournisseurs de bases de données, dont la CNIL traite dans ses recommandations de juin 2024 sur la réutilisation des données publiées en ligne. Et elles ne changent pas la loi : l’article L34-5 du code des postes et des communications électroniques vise toute « personne physique », et c’est la CNIL qui admet, pour les professionnels, un régime fondé sur l’information et le droit d’opposition lorsque le message est en rapport avec leur fonction.
La doctrine du 16 octobre rejoint un précédent. En décembre 2024, la CNIL a sanctionné de 240 000 euros la société Kaspr, qui avait collecté sur LinkedIn des coordonnées dont les titulaires avaient limité la visibilité. Il ne s’agissait pas de reconstitution d’adresses, mais le critère est le même : ce qu’une personne a choisi de ne pas rendre accessible ne devient pas exploitable parce qu’il est techniquement atteignable.
Trois manières d’obtenir un contact, trois niveaux de preuve
Pour une direction commerciale, la question dépasse la conformité. Elle porte sur la manière dont l’entreprise obtient ses prospects. Trois approches coexistent souvent dans la même équipe.
L’achat de bases fournit du volume rapidement, mais l’entreprise hérite de la manière dont les adresses ont été collectées, qu’elle doit pouvoir expliquer à chaque destinataire. La reconstitution ciblée, quelques dizaines de décideurs choisis pour une raison précise, se défend mieux, à condition d’avoir vérifié leur visibilité et de dire d’emblée comment l’adresse a été trouvée. L’acquisition fondée sur une relation volontaire, une demande entrante, un échange lors d’un salon, une recommandation ou l’inscription à une publication professionnelle, produit des contacts qui savent pourquoi on leur écrit.
Aucune source publique et neutre ne compare les taux de réponse de ces 3 approches en France. Leur différence se mesure d’abord en traçabilité. Une adresse dont on ne peut pas expliquer l’origine est une adresse que l’on ne peut pas défendre, ni devant la personne, ni devant la CNIL. Pour piloter, l’indicateur utile est donc le coût complet par client obtenu, par source de contact, et non le nombre d’adresses dans la base.
Ce raisonnement prolonge celui que nous avions mené sur le téléphone. Dans notre analyse du démarchage téléphonique depuis le 11 août, le consentement préalable des particuliers rend chaque numéro sans preuve inutilisable. Entre professionnels, la règle est plus souple, mais la logique converge : la valeur d’un contact tient à la façon dont on l’a obtenu.
Les décisions à prendre avant la prochaine campagne
La première décision consiste à documenter, campagne par campagne, pourquoi chaque personne visée pouvait s’attendre à être contactée par courriel. Elle associe la direction commerciale, qui définit les cibles, le délégué à la protection des données ou le juriste, qui valide l’analyse, et le marketing, qui gère les outils d’envoi et la liste d’opposition.
La seconde porte sur le premier message. Il doit dire qui écrit, pourquoi cette personne et comment son adresse a été trouvée, et offrir un moyen simple de ne plus être contacté. Ce paragraphe, souvent absent des séquences automatisées, est à la fois une obligation d’information et un test de crédibilité : un commercial incapable d’expliquer l’origine d’une adresse n’aurait pas dû l’utiliser.
Ce qu’il faut surveiller
Ce qui est établi : la grille de la CNIL, publiée le 16 octobre 2026, et le critère de visibilité choisie par la personne, déjà appliqué dans la sanction de Kaspr. Ce qui produit déjà des conséquences : toute personne peut désormais s’appuyer sur la page qui lui est destinée pour demander comment son adresse a été obtenue, et saisir la CNIL faute de réponse sous un mois. Ce qui pourrait évoluer : la manière dont la CNIL appréciera le « délai raisonnable » et les garanties, que seules ses prochaines décisions préciseront.
Le signal qui justifie d’agir est interne : des campagnes envoyées à des adresses dont personne ne sait dire l’origine, des oppositions qui reviennent d’un outil à l’autre, un taux de réponse qui baisse quand le volume augmente. Une prospection qui sait d’où viennent ses contacts écrit moins, mais à des personnes prêtes à répondre. ELMARQ accompagne les PME et ETI qui veulent structurer leur acquisition et leur développement commercial.
Les citations proviennent des 2 pages publiées par la CNIL le 16 octobre 2026, de sa fiche sur la prospection électronique, de l’article L34-5 du code des postes et des communications électroniques et des communiqués de la CNIL relatifs à la société Kaspr. Ces pages expliquent la position de la CNIL ; elles ne constituent pas une nouvelle règle de droit.
