Deviner l’e-mail pro d’un prospect : les conditions posées par la CNIL

La position de la CNIL du 16 octobre

Deux fiches, le même jour : l’une pour les organismes, l’autre pour les personnes concernées. Leur sujet : l’adresse de travail qu’on déduit de l’identité d’une personne, de sa société et de la règle de nommage des boîtes de cette société. Une pratique courante, relève Leto, via des outils de prospection, des modules de navigateur ou des prestataires.

Une donnée trouvée en ligne reste soumise au RGPD, rappelle la CNIL. Mais la pratique n’est pas interdite : l’intérêt légitime peut servir de base légale si l’intérêt est réel et l’atteinte aux droits des personnes non disproportionnée. L’examen se fait au cas par cas. S’appuyer sur la base légale de la prospection n’est, selon elle, « ni automatique ni systématique ».

Ce que ça change pour une PME qui prospecte en B2B

Une analyse écrite. Elle passe en revue ce que la CNIL demande d’examiner : le but poursuivi, ce que la personne montre d’elle en ligne et le contrôle qu’elle en garde, les garanties prévues. Écrite, elle sert de preuve si un prospect ou la CNIL vous interroge.

Des contacts à écarter. Une personne sans présence professionnelle identifiable en ligne ne peut a priori pas s’attendre à ce qu’on devine son adresse. Ni celle qui protège ses coordonnées : profil verrouillé, confidentialité stricte, formulaire de contact au lieu d’une adresse. Sans garanties suffisantes, la CNIL demande de s’abstenir ou d’obtenir le consentement. Le plus simple : les sortir du fichier.

Un objet lié au métier. Sans consentement, l’e-mail de prospection B2B doit concerner le métier du destinataire (fiche CNIL du 10 juin 2026).

Trois garde-fous, à régler dans l’outil lui-même. Les deux premiers sont des exemples de garanties cités par la CNIL, le troisième découle du RGPD.

• Une purge. La CNIL propose de ne garder l’adresse devinée que si un premier contact a lieu dans un délai raisonnable, sans le chiffrer. Un mois au plus vous aligne sur le délai d’information du RGPD, détaillé ci-dessous.
• Une liste d’exclusion. Une opposition exclut la personne de toute reconstitution future, immédiatement et sans qu’elle ait à se justifier. La liste se consulte avant chaque enrichissement, sinon l’adresse revient au prochain import.
• L’origine de l’adresse dans le premier message. Quand les données ne viennent pas de la personne, l’article 14 du RGPD impose de l’informer au plus tard au premier contact, et en tout cas dans le mois qui suit l’obtention de l’adresse, source comprise. Le premier e-mail dit d’où vient l’adresse, pourquoi vous écrivez et comment s’opposer.

Le risque : un seul e-mail du prospect

Le prospect n’a besoin que d’un e-mail pour exercer trois droits à la fois, accès à la source, opposition et effacement, résume Selectra le 19 octobre. L’entreprise a un mois pour répondre, deux de plus pour une demande complexe (article 12 du RGPD). Sans réponse dans le mois, ou si la réponse ne le satisfait pas, il peut saisir la CNIL.

Ce qu’il faut faire maintenant

1. Lister tout ce qui produit des adresses dans votre chaîne commerciale : logiciel ou agent de prospection, module de navigateur, prestataire. D’après Leto, ces briques manquent souvent au registre.
2. Compléter le registre des traitements : la déduction d’adresses y figure dans la fiche de la prospection, comme le conseille Leto.
3. Écrire l’analyse d’intérêt légitime et fixer le délai de premier contact, un mois au plus.
4. Tester chaque outil : purge, liste d’exclusion, mention d’origine. Un réglage absent est une règle non appliquée.
5. Préparer la réponse aux demandes d’accès et d’opposition : un modèle, un responsable, un délai.

Cet article n’est pas un conseil juridique : pour un cas précis, partez des fiches de la CNIL et de votre délégué à la protection des données, ou d’un avocat.

Chez SHUNPO, quand nous automatisons une prospection sous n8n, base légale, mention d’information et oppositions sont des étapes du workflow, pas une annexe ajoutée après coup. Les garanties de la CNIL se câblent de la même façon : purge planifiée, liste d’exclusion lue avant tout enrichissement, origine de l’adresse dans le premier message.

Sources

• CNIL, fiche pour les organismes sur la reconstitution d’adresses professionnelles, 16 octobre 2026.
• CNIL, fiche pour les personnes concernées, 16 octobre 2026.
• CNIL, règles de la prospection par voie électronique, 10 juin 2026.
• RGPD, article 12 (délais de réponse) et article 14 (information quand les données ne viennent pas de la personne), sur cnil.fr.
• Selectra, droits d’une personne démarchée à une adresse pro devinée, 19 octobre 2026.
• Leto, analyse des deux fiches de la CNIL, 16 octobre 2026.