← Toutes les ressources

E-mails pro devines : le cadre CNIL pour la prospection B2B (16/10)

Publié le 20 octobre 2026 · 7 min de lecture · CyberNovaLabs.io

Le 16 octobre 2026, la CNIL a encadre la pratique qui alimente la moitie des fichiers de prospection : deviner une adresse professionnelle. Interet legitime possible, sous trois conditions ecrites.

En bref

Le 16 octobre 2026, la CNIL a publie deux fiches de doctrine sur la reconstitution d'adresses electroniques professionnelles : deviner l'adresse d'un interlocuteur a partir de son nom, de son employeur et du schema d'adresses de l'entreprise.^[1][2] Sa position est claire : la pratique reste possible sur la base de l'interet legitime, mais seulement si l'organisme a documente trois criteres et prevu des garanties.^[1] Pour toute PME qui fait de la prise de rendez-vous B2B, c'est la premiere fois qu'une autorite des quatre pays ou nous travaillons ecrit noir sur blanc comment juger cette etape.

Ce que la CNIL appelle une adresse reconstituee

La CNIL definit la reconstitution comme le fait de deduire une adresse professionnelle a partir d'informations disponibles en ligne : un nom, un prenom, l'identite de l'employeur, et le formalisme d'adresses de l'organisme, du type prenom.nom@entreprise.com.^[1] Autrement dit : exactement ce que font les outils d'enrichissement de fichiers de prospection, et ce que fait a la main un commercial qui a trouve un profil sur un reseau professionnel sans y trouver d'adresse.

Le point que la CNIL martele dans les deux fiches est celui que la plupart des equipes commerciales ont inverse : le fait que les donnees de depart soient accessibles sur Internet ne dispense pas du RGPD.^[1][2] Une adresse devinee est une donnee a caractere personnel comme une autre. Elle n'a pas ete publiee par la personne : elle a ete fabriquee par vous. C'est vous qui en etes responsable.

Les trois criteres a ecrire avant la prochaine campagne

La CNIL admet l'interet legitime comme base legale, a condition de passer une mise en balance documentee. Elle recommande d'examiner trois choses.^[1]

Un. La finalite et le caractere intrusif. La CNIL observe que la reconstitution n'est presque jamais une operation isolee : c'est une etape technique au service d'un objectif plus large, defini des le depart. Consequence pratique, et elle est favorable aux PME : si votre traitement principal est une prospection commerciale B to B fondee sur l'interet legitime, la reconstitution peut generalement reposer sur la meme base legale.^[1] La CNIL precise aussitot que la regle n'est ni automatique ni systematique.

Deux. La visibilite des donnees et le controle de la personne. C'est le critere nouveau, et le plus couteux a appliquer. Il faut se demander si la personne pouvait raisonnablement s'attendre a ce que son adresse soit reconstituee, au vu du contexte dans lequel ses informations ont ete rendues accessibles : parametres de confidentialite, acces restreint, usage d'un formulaire de contact plutot que d'une adresse directe.^[1]

Trois. Les garanties mises en place. La CNIL cite deux exemples concrets qui rebasculent la balance : ne conserver l'adresse reconstituee que si un premier contact effectif est etabli dans un delai raisonnable, et faire qu'une opposition exclue immediatement la personne de tout traitement ulterieur de reconstitution, sans qu'elle ait a justifier d'une situation particuliere.^[1]

Le signal qui coute le plus cher : l'absence de presence en ligne

La CNIL distingue deux profils qui ne peuvent pas, a priori, s'attendre a voir leur adresse reconstituee : les personnes sans aucune presence identifiable en ligne, et celles qui ont pris des mesures pour restreindre l'acces a leurs donnees.^[1] Pour la premiere categorie, l'autorite estime que l'absence de presence en ligne peut constituer un indice fort que la personne n'a pas souhaite etre facilement joignable par ce biais.^[1]

Lisez cela du point de vue d'un fichier de prospection. Un gerant de PME industrielle qui n'a ni profil professionnel, ni page d'equipe, ni adresse publiee est precisement la cible pour laquelle un outil d'enrichissement sert a quelque chose. C'est aussi, selon la doctrine du 16 octobre, celle pour laquelle la mise en balance est la plus difficile a gagner sans garanties ecrites. A defaut de pouvoir satisfaire ces conditions, la CNIL indique que l'organisme doit s'abstenir, sauf a recueillir le consentement.^[1]

L'autre obligation, souvent oubliee : informer. Les fiches precisent que l'organisme doit indiquer aussitot que possible et de maniere claire les objectifs poursuivis et expliquer comment l'adresse a ete obtenue.^[2] Cela veut dire une ligne de plus dans vos e-mails de prospection, pas une page de politique de confidentialite enfouie. La personne qui demande l'acces, la rectification, l'effacement ou la limitation doit obtenir une reponse dans un mois ; passe ce delai sans reponse, la CNIL indique qu'elle peut etre saisie d'une plainte.^[2]

Ce que ca change dans chacun des quatre pays

La base juridique mobilisee par la CNIL est l'article 6 du RGPD, identique dans les quatre pays ou travaille CyberNovaLabs.io.^[1] Ce qui differe, c'est l'etat de la doctrine publiee par chaque autorite au 20 octobre 2026.

France

C'est le seul pays des quatre dont l'autorite a publie une doctrine dediee a cette pratique precise. Si vous prospectez des interlocuteurs francais, ces deux fiches sont desormais le texte que votre prestataire ou votre equipe doit pouvoir citer. Elles renvoient aux regles de la prospection commerciale par voie electronique, mises a jour par la CNIL le 10 juin 2026.^[3]

Pays-Bas

L'Autoriteit Persoonsgegevens n'a pas publie de doctrine sur la reconstitution d'adresses, mais elle a publie le 2 avril 2025 une handreiking sur le scraping par les particuliers et les organisations privees, qui part du constat que le scraping collecte presque toujours des donnees personnelles.^[4] Elle encadre l'etape qui precede la reconstitution : la collecte des noms et des employeurs.

Belgique

L'Autorite de protection des donnees travaille sur la recommandation n° 01/2020 du 17 janvier 2020 relative aux traitements a des fins de marketing direct, qui consacre une section a l'achat, a la location et a l'enrichissement de donnees.^[5] Nous n'avons pas trouve, au 20 octobre 2026, de position belge specifique a la reconstitution d'adresses.

Luxembourg

La CNPD publie ses positions par dossiers thematiques.^[6] Nous n'y avons pas trouve de dossier dedie a la reconstitution d'adresses au 20 octobre 2026. Dans le doute, la lecture prudente pour une campagne multi-pays est d'appliquer les criteres francais partout : ils sont les plus explicites des quatre.

Pour la regle par pays sur l'envoi lui-meme, et non sur la fabrication de l'adresse, voyez notre comparatif prospection B2B et RGPD en France, en Belgique et aux Pays-Bas ; et si le canal est encore ouvert dans votre equipe, notre analyse telephone, LinkedIn ou e-mail selon le decideur vise.

Chez CyberNovaLabs.io

Nous ecrivons les criteres de qualification et la provenance des donnees avant de lancer une campagne de prise de rendez-vous B2B, y compris pour les marches francais traites depuis Paris : origine de chaque adresse, trace de la mise en balance, regle de purge, traitement des oppositions. Si votre fichier actuel ne sait pas dire d'ou vient une adresse, c'est le premier chantier. Parlons de votre fichier et de vos criteres : prestation sur devis, sans engagement de duree.

Sources

1. CNIL - Reconstitution d'adresses electroniques professionnelles : dans quel cadre est-ce autorise ? (16/10/2026)
2. CNIL - Reconstitution d'adresses electroniques professionnelles : quels sont vos droits ? (16/10/2026)
3. CNIL - La prospection commerciale par courrier electronique, SMS-MMS et automate d'appel (10/06/2026)
4. Autoriteit Persoonsgegevens - Handreiking scraping door particulieren en private organisaties (02/04/2025)
5. Autorite de protection des donnees (BE) - Recommandation n° 01/2020 du 17 janvier 2020 relative au marketing direct
6. CNPD (LU) - Dossiers thematiques (consulte le 20/10/2026)

À lire aussi