Le 16 octobre 2026, la CNIL a précisé que deviner l'adresse email professionnelle d'un prospect est autorisé sous conditions : une base légale (le plus souvent l'intérêt légitime), des garanties précises et le respect complet du RGPD. Ce n'est donc ni interdit, ni libre parce que l'information traîne en ligne.
C'est exactement ce que font les outils d'enrichissement et les agents IA de prospection quand ils proposent prenom.nom@entreprise.fr à partir d'un nom et d'un employeur. Pour une PME qui fait de la prospection B2B, la publication ne bloque rien, mais elle impose quatre ou cinq réglages concrets dans les outils.
En résumé
- ✓ Reconstituer un email pro est permis sur la base de l'intérêt légitime, à trois conditions cumulatives.
- ✓ Public ne veut pas dire libre : information, droits, conservation et sécurité s'appliquent.
- ✓ Deux garanties clés : purger les adresses sans premier contact, exclure immédiatement les personnes qui s'opposent.
Ce que la CNIL a publié le 16 octobre 2026 sur la reconstitution d'emails
Le 16 octobre 2026, la CNIL a publié une fiche intitulée « Reconstitution d'adresses électroniques professionnelles : dans quel cadre est-ce autorisé ? », accompagnée d'une page sur les droits des personnes concernées.
La définition est simple. Selon la CNIL, la reconstitution « consiste à déduire ou « deviner » une adresse électronique professionnelle à partir d'informations disponibles en ligne », le plus souvent en appliquant le schéma d'adressage de l'organisation (prenom.nom, initiale et nom, etc.).
La base légale possible est l'intérêt légitime (article 6.1.f du RGPD), à trois conditions :
- Un intérêt réel et légitime : des échanges professionnels ou le développement commercial B2B, par exemple.
- Pas d'atteinte disproportionnée : la pratique ne doit pas porter « une atteinte disproportionnée aux droits et intérêts des personnes concernées ».
- Les attentes raisonnables des personnes : la CNIL recommande de tenir compte du degré de visibilité des données.
Pour les échanges entre administrations, la mission d'intérêt public (article 6.1.e) peut servir de base. Si aucune de ces bases ne tient, il reste le consentement.
Interdit ou libre : ce qui est vrai, ce qui est exagéré
Deux lectures circulent, et aucune n'est la bonne.
| Ce qu'on lit | Ce que dit la CNIL |
|---|---|
| « La CNIL interdit de deviner les emails » | Faux. C'est encadré : possible sur l'intérêt légitime, avec des garanties. |
| « C'est public, donc libre » | Faux. L'accessibilité en ligne « ne dispense pas les organismes de respecter les règles applicables ». |
| « Si ma prospection B2B est légitime, la reconstitution l'est aussi » | Souvent, pas toujours. Selon la CNIL, cette règle n'est « ni automatique ni systématique ». |
Le point le plus opérationnel concerne les attentes des personnes. Pour la CNIL, l'absence de présence en ligne identifiable « peut constituer un indice fort que la personne n'a pas souhaité rendre ses informations accessibles ». D'autres signaux vont dans le même sens : des « paramètres de confidentialité renforcés », l'« usage de formulaires de contact plutôt que d'une adresse directe », ou des « actions concrètes pour dissimuler ou protéger leurs coordonnées ».
Ensuite, deux garanties sont attendues. La première : ne conserver l'adresse « que dans l'hypothèse où un premier contact effectif est établi avec la personne concernée dans un délai raisonnable ». La seconde : « toute opposition exprimée par la personne entraîne l'exclusion immédiate de ses données de tout traitement ultérieur de reconstitution d'adresse électronique, sans justification tenant à sa situation particulière ». Autrement dit, la personne n'a pas à expliquer son refus.
Enfin, le reste du RGPD s'applique : information de la personne (article 14, puisque les données ne sont pas collectées auprès d'elle), droits d'accès, d'opposition et d'effacement, durées de conservation, sécurité. Les règles de prospection commerciale s'ajoutent : selon la CNIL, les personnes « doivent d'abord en être informées » et, s'il s'agit de professionnels, « pouvoir s'y opposer ». Et pour se passer de consentement, l'objet du message doit être en rapport avec la profession de la personne : un logiciel de gestion présenté à un directeur financier, pas une offre grand public.
Ce que ça change pour la prospection IA d'une PME
Un agent IA de prospection enchaîne souvent trois briques : il identifie des comptes, trouve le décideur, puis devine son email avant d'écrire le message. Notre article sur l'architecture d'un agent IA de prospection B2B décrit ce découpage. C'est la troisième brique que la CNIL vient d'encadrer.
Commerciaux et dirigeants de PME B2B
Le risque, c'est le stock. Prenons une séquence qui enrichit 2 000 contacts pour en joindre 300 (chiffres d'illustration) : elle laisse 1 700 adresses reconstituées sans premier contact dans l'outil et le CRM. Ce sont elles qu'il faut purger. Dans un montage du type agent de prospection avec n8n et Apollo, cela se règle par une étape de nettoyage planifiée.
Cabinets de recrutement et chasseurs
La chasse de candidats passifs repose sur la même technique, et la même grille s'applique. Un profil sans aucune présence en ligne, ou qui affiche clairement préférer un message via un formulaire, se contacte autrement.
Éditeurs SaaS
Un éditeur qui intègre une fonction de recherche d'email dans son produit doit prévoir les garanties côté produit : purge automatique, opposition propagée à tous les clients concernés, mention d'information prête à l'emploi.
Votre agent de prospection garde-t-il des adresses qu'il n'aurait plus le droit d'avoir ?
On conçoit des agents de prospection sur mesure où purge, opposition et information sont des étapes du flux, journalisées et vérifiables.
Quoi faire lundi pour une prospection commerciale conforme au RGPD
- Régler une purge automatique des adresses reconstituées sans premier contact effectif, dans l'outil d'enrichissement comme dans le CRM. Fixez le délai par écrit.
- Appliquer la liste d'opposition partout : séquenceur d'emails, outil d'enrichissement, CRM, agent IA. Une opposition reçue un jour ne doit jamais revenir par un autre outil.
- Ajouter la mention d'information dès le premier email : d'où vient l'adresse, pourquoi vous écrivez, comment s'opposer en un clic.
- Exclure les profils sans présence en ligne et ceux qui affichent une préférence pour un formulaire de contact.
- Documenter l'analyse d'intérêt légitime en une page : intérêt poursuivi, données utilisées, garanties en place.
Ils complètent la checklist RGPD et sécurité des données pour une PME. Pour situer votre outil dans le règlement européen sur l'IA, voyez notre guide de conformité AI Act pour les PME. Pour cadrer le projet de bout en bout, notre guide projet IA en PME reprend les étapes.
Cas limites
Cet article résume la position publiée par la CNIL, il ne remplace pas un avis juridique. Pour un volume important, des profils sensibles ou une activité de revente de données, faites valider votre analyse par votre DPO ou votre avocat.
