Adresse e-mail professionnelle : ce que la CNIL autorise quand on la devine

Réponse immédiate

Deviner une adresse e-mail professionnelle à partir d’un nom et du format des adresses d’une entreprise est légal sous conditions. La CNIL l’admet sur la base de l’intérêt légitime si l’objectif est réel, si la personne pouvait raisonnablement s’y attendre et si des garanties limitent l’impact. Ce n’est pas le cas pour quelqu’un qui n’a aucune présence en ligne ou protège ses coordonnées : il faut alors son consentement, ou s’abstenir.

Ce qu’est la reconstitution d’une adresse e-mail professionnelle

La technique est simple et répandue. Une organisation connaît le prénom et le nom d’une personne, ainsi que son employeur. Elle repère le format des adresses de cet employeur, par exemple prenom.nom@entreprise.fr, à partir d’adresses déjà publiques. Elle en déduit l’adresse e-mail professionnelle de la personne, même si celle-ci ne l’a jamais publiée. Des outils commerciaux automatisent cette déduction à grande échelle, en croisant des profils publics et des formats d’adresses.

La CNIL rappelle, dans sa fiche destinée aux organismes, que cette opération sert surtout deux usages : constituer une base de contacts, notamment pour prospecter des professionnels, et joindre ponctuellement quelqu’un dans le cadre de relations institutionnelles. Elle pose aussi le principe qui gouverne tout le reste : qu’une information soit accessible sur Internet ne dispense pas de respecter le RGPD.

Pour qui pratique l’OSINT ou la veille stratégique, la frontière est importante. Déduire une adresse pour vérifier qu’un dirigeant existe bien dans une entreprise, ou pour joindre une source lors d’une enquête, relève du même cadre que la prospection : un traitement de données personnelles, avec une finalité à justifier.

Le test de la CNIL : trois critères pour l’intérêt légitime

L’intérêt légitime est une base légale qui permet de traiter des données sans demander le consentement préalable, à condition de mettre en balance l’intérêt de l’organisme et les droits de la personne (article 6 du RGPD). La CNIL décline cette balance en trois critères pour la reconstitution d’adresse e-mail professionnelle.

Le deuxième critère est le plus concret. Selon la CNIL, une personne qui n’a aucune présence identifiable en ligne, ou qui prend des mesures pour protéger ses coordonnées, ne peut pas a priori s’attendre à ce que son adresse soit reconstituée. Le recours à un formulaire de contact plutôt qu’à une adresse directe fait partie des indices cités. C’est exactement le choix fait par ce site : intelligence-strategique.eu n’affiche aucune adresse électronique et passe par un formulaire de contact. Selon la doctrine de la CNIL, reconstituer l’adresse de sa rédaction à partir du nom de domaine pour la démarcher serait donc difficile à justifier sans garanties solides.

Quand ces conditions ne sont pas réunies, la conclusion de la CNIL est nette : l’organisme doit s’abstenir, sauf à recueillir le consentement de la personne. Pour les administrations, dans le cadre de leurs missions, la base légale peut être la mission d’intérêt public (article 6.1.e du RGPD), avec les mêmes garanties recommandées.

Ce que dit le droit de la prospection entre professionnels

La reconstitution sert souvent une prospection par courriel. Celle-ci obéit à des règles propres, que la CNIL résume dans sa fiche sur la prospection électronique, mise à jour le 10 juin 2026, sur le fondement des articles L34-5 du code des postes et des communications électroniques et 21 du RGPD.

• Vers un particulier, le consentement préalable est la règle.
• Vers un professionnel, la prospection peut reposer sur l’intérêt légitime, à condition que l’objet du message soit en rapport avec sa profession. L’exemple de la CNIL : présenter un logiciel au directeur informatique d’une entreprise.
• Dans tous les cas, la personne doit être informée, chaque message doit indiquer qui l’envoie et offrir un moyen simple et gratuit de refuser les envois suivants.

La fiche sur la reconstitution ajoute une obligation d’information spécifique. L’organisme doit prévenir la personne aussitôt que possible, lui dire dans quel but il la contacte et lui expliquer comment son adresse a été obtenue. Cette dernière exigence pèse sur la pratique : elle oblige à écrire, dès le premier message, que l’adresse a été déduite et à partir de quelles informations.

Les droits de la personne dont l’adresse a été reconstituée

La fiche destinée aux personnes concernées détaille ce que chacun peut exiger. L’organisme ne doit plus utiliser l’adresse après une opposition ou un retrait du consentement, et doit la supprimer de sa base de contacts. Il doit traiter les demandes d’accès, de rectification, d’effacement et de limitation dans les délais du RGPD. Sans réponse sous un mois, ou en cas de réponse insatisfaisante, la personne peut porter plainte auprès de la CNIL.

En pratique, la question la plus utile à poser à l’expéditeur d’un message non sollicité est celle de la source : où avez-vous obtenu mon adresse ? La réponse dit s’il s’agit d’une base achetée, d’une reconstitution ou d’une fuite, trois situations dont les conséquences juridiques diffèrent.

Lecture intelligence économique : une technique d’attaque autant que de prospection

Les fiches de la CNIL traitent la reconstitution sous l’angle de la prospection. Pour une entreprise, elle a une autre face. Le format des adresses est l’une des premières informations qu’un attaquant cherche avant une campagne d’hameçonnage ciblé ou une fraude au président : connaître prenom.nom@ permet de viser chaque salarié dont le nom apparaît sur un réseau professionnel. C’est un classique de l’ingénierie sociale.

Notre avis : la publication de la CNIL est utile aux deux côtés. Pour l’organisme qui prospecte, elle fixe un cadre clair, plus exigeant que la pratique courante. Pour l’organisme qui se protège, elle rappelle que le format des adresses est une donnée stratégique. Rien n’interdit d’afficher des adresses fonctionnelles (contact@, presse@) plutôt que nominatives, ni de privilégier des formulaires pour les fonctions exposées, ce que la CNIL reconnaît justement comme un signe de volonté de protection.

Le cas limite est celui de l’enquête. Un analyste qui reconstitue l’adresse d’un dirigeant pour le citer ou l’interroger ne fait pas de prospection, mais il traite bien une donnée personnelle. Il doit pouvoir justifier sa finalité, limiter la conservation et respecter une éventuelle opposition, comme tout autre organisme.

Méthode : reconstituer une adresse sans sortir du cadre

1. Écrire la finalité avant de chercher. Prospection d’un métier précis, échange institutionnel, enquête : une ligne qui dit pourquoi cette personne doit être contactée.
2. Vérifier la visibilité. La personne affiche-t-elle sa fonction publiquement ? A-t-elle choisi un formulaire, des paramètres restreints, ou aucune présence en ligne ? Dans ces derniers cas, s’abstenir ou demander son accord par un autre canal.
3. Documenter la mise en balance. Garder une trace écrite du test des trois critères, à présenter en cas de contrôle ou de plainte.
4. Informer au premier message. Identité de l’expéditeur, objet, origine de l’adresse, moyen simple de s’opposer.
5. Limiter la conservation. Supprimer l’adresse si aucun échange n’a lieu dans un délai raisonnable, comme le suggère la CNIL.
6. Gérer l’opposition sans délai. Exclure la personne de toute reconstitution future, pas seulement de la campagne en cours.

Limites et précautions

Les fiches de la CNIL sont des recommandations, pas une loi nouvelle : elles disent comment l’autorité lit le RGPD, et un juge reste libre de son appréciation. Elles ne règlent pas la question des outils qui vérifient l’existence d’une adresse en interrogeant le serveur de messagerie, pratique que nous ne décrivons pas ici. Enfin, ce cadre est français et européen : un prospecteur établi hors de l’Union qui vise des personnes en France reste soumis au RGPD, mais l’application effective de la règle est plus difficile.

Questions fréquentes

Est-ce légal de deviner l’adresse mail professionnelle de quelqu’un ?

Oui, sous conditions. La CNIL l’admet sur la base de l’intérêt légitime si la finalité est réelle, si la personne pouvait s’y attendre au vu de sa présence en ligne et si des garanties limitent l’impact. Sinon, il faut son consentement.

Peut-on envoyer un e-mail de prospection à un professionnel sans son accord ?

Oui, si le message est en rapport avec sa profession, s’il a été informé et s’il peut s’opposer simplement et gratuitement à chaque envoi. Vers un particulier, le consentement préalable reste la règle.

Comment savoir comment une entreprise a obtenu mon adresse ?

En le lui demandant par une demande d’accès au titre du RGPD. La CNIL précise qu’un organisme qui reconstitue une adresse doit expliquer comment il l’a obtenue.

Que faire si je reçois des messages après m’être opposé ?

Conserver les messages et la trace de l’opposition, puis saisir la CNIL si l’organisme ne répond pas sous un mois ou continue les envois.

Une adresse professionnelle est-elle une donnée personnelle ?

Oui, dès qu’elle permet d’identifier une personne, comme prenom.nom@entreprise.fr. Une adresse fonctionnelle (contact@, accueil@) ne l’est en principe pas.

Sources

1. Reconstitution d’adresses électroniques professionnelles : dans quel cadre est-ce autorisé ?, CNIL, cnil.fr, 16/10/2026
2. Reconstitution d’adresses électroniques professionnelles : quels sont vos droits ?, CNIL, cnil.fr, 16/10/2026
3. La prospection commerciale par courrier électronique, SMS-MMS et automate d’appel, CNIL, cnil.fr, 10/06/2026
4. Article L34-5 du code des postes et des communications électroniques, Légifrance (version liée par la CNIL)
5. Règlement (UE) 2016/679 (RGPD), articles 6 et 21, reproduction CNIL

À jour au 20/10/2026.

PUBLIÉ LE 20.10.2026 · UNE ERREUR ? SIGNALEZ-LA