Un email reconstitué n'est pas une adresse que l'on peut garder

La deuxième chose que l'on achète, après le fichier d'établissements, est une colonne d'adresses. Ou le geste qui la produit : prendre un nom, un organisme, et en déduire une boîte. Le 16 octobre 2026, la CNIL a publié le cadre de ce geste. Trouver l'adresse, avoir le droit de la garder, et avoir le droit d'écrire sont trois questions. Un outil qui trouve des emails n'en traite qu'une.

Ce que la reconstitution désigne

La CNIL la définit ainsi : déduire, ou deviner, une adresse professionnelle à partir d'informations accessibles en ligne, en général le nom, le prénom et l'organisme, souvent après avoir reconnu le schéma des adresses de cet organisme.

Le fait que ces informations soient publiques ne dispense de rien. La même page le dit : la reconstitution reste soumise au RGPD et, quand elle sert à démarcher, aux règles de la prospection.

C'est l'opération qui manque au répertoire. Un fichier SIRENE identifie un établissement. Sa documentation ne contient pas d'adresse électronique. La colonne ajoutée ensuite est une reconstitution, faite chez vous ou chez celui qui a vendu le fichier. Le tableur n'en garde pas l'analyse.

La base légale ne se recopie pas

Vers un professionnel, le démarchage par email repose sur un droit d'opposition, et non sur un consentement préalable, lorsque le message concerne la fonction et que la personne peut s'opposer simplement. Ce régime est celui du message. Il est détaillé dans prospection B2B et RGPD.

La page du 16 octobre traite l'étape d'avant : la fabrication de l'adresse. Elle peut reposer sur le même intérêt légitime lorsqu'elle n'est qu'une étape technique d'une finalité déjà décidée, par exemple une prospection B2B elle-même fondée sur cet intérêt. La CNIL écrit que ce report n'est ni automatique, ni systématique.

Trois critères sont à examiner, au cas par cas.

La finalité, et ce qu'elle a d'intrusif. Reconstituer une adresse pour écrire à quelqu'un au sujet de sa fonction n'a pas le même poids que la reconstituer pour un usage étranger à son métier. La finalité globale commande. Une campagne dont l'objet ne touche pas la fonction ne peut pas s'abriter derrière le régime du message : la reconstitution hérite d'une finalité qui ne tient déjà pas.

Ce que la personne a rendu visible. Il s'agit de savoir si elle pouvait raisonnablement s'attendre à ce que son adresse soit reconstituée. La CNIL distingue deux situations qui pèsent contre cette attente. L'absence de présence identifiable en ligne, ni profil professionnel ni page institutionnelle, est un indice fort qu'elle n'a pas souhaité être facilement joignable par ce biais. Des mesures concrètes pour restreindre l'accès, des paramètres de confidentialité, un formulaire à la place d'une adresse directe, signalent la même volonté. Dans ces cas, la personne ne peut a priori pas s'attendre à la reconstitution. L'indice se renverse s'il est contredit. Tant qu'il ne l'est pas, c'est une raison de s'abstenir.

Les garanties qui rééquilibrent. Limiter ce que l'on conserve, et tenir compte d'un refus, peut rendre la pratique acceptable. Ces garanties sont décrites plus bas. Elles ne dispensent pas de l'examen précédent.

Si ces conditions ne peuvent pas être tenues, la CNIL demande de s'abstenir, sauf à recueillir le consentement de la personne.

Garder l'adresse est un second geste

Une garantie que la CNIL cite porte sur la conservation. L'organisme pourrait ne garder l'adresse reconstituée que si un premier contact effectif est établi dans un délai raisonnable. Le texte dit « pourrait » : c'est un exemple de mesure qui rééquilibre, et non un nombre de jours. Ce qu'il écarte, c'est le stock. Une colonne vérifiée un jour, rangée, et réutilisée des mois plus tard sans qu'aucun échange ait eu lieu, ne correspond pas à cette garantie.

L'autre garantie porte sur l'opposition. Toute opposition entraîne l'exclusion immédiate des données de tout traitement ultérieur de reconstitution, sans que la personne ait à justifier sa situation particulière. La CNIL précise que cela vaut aussi lorsque les données servent à autre chose que la prospection, usage pour lequel le RGPD prévoyait déjà ce droit. Un refus reçu sur un message ne se limite donc pas à la séquence en cours. Il interdit de refabriquer l'adresse ensuite, pour un autre motif.

Le reste du RGPD demeure : informer la personne, limiter les durées, répondre aux droits, sécuriser les données. La reconstitution n'ouvre pas un régime plus souple.

Ce qu'un email « valide » ne dit pas

Un outil qui répond « adresse valide » a testé une boîte. Il n'a pas répondu aux questions de la page du 16 octobre.

Il ne dit pas si la personne occupe encore la fonction que le nom laissait supposer. Il ne dit pas si elle avait une présence en ligne, ou si elle l'avait restreinte. Il ne dit pas si un premier contact a abouti, ni ce que devient la ligne s'il n'aboutit pas. Il ne dit pas si une opposition existe déjà dans vos bases.

Acheter la colonne déplace le geste chez le vendeur. L'analyse reste chez celui qui prospecte. Le contrat de l'outil décrit en général une validité technique. Il ne décrit pas, ligne par ligne, si la personne pouvait s'attendre à être reconstituée. Cette lecture demeure, y compris quand l'envoi est fait par un agent : le droit ne change pas avec la main qui écrit.

Vérifier ce que la colonne vaut est une heure de plus. Ces heures sont celles de combien une prospection automatisée en demande encore.

Partir du site plutôt que de l'adresse devinée

Ce qui évite d'ouvrir par une reconstitution, c'est de partir de ce que l'entreprise publie déjà. Le site dit le métier, les clients servis, le vocabulaire. C'est une hypothèse sur qui contacter. Elle se corrige quand quelqu'un répond, ce qui est aussi le moment où un contact effectif existe.

La façon dont les entreprises sont établies à partir de là est sur la page identification des entreprises cibles. Prospector, une prospection email B2B exécutée, ne demande pas de fichier d'adresses. L'abonnement part de 199 € HT par mois. L'envoi ne part pas du domaine qui porte les factures.

Le cadre du 16 octobre s'applique à cette exécution comme à une exécution faite en interne. Il ne s'efface pas parce que le client n'a pas tenu l'outil. Ce qui sort de son bureau, c'est l'opération. Ce qui y reste : dire qui il refuse, fixer le seuil d'un échange qui mérite son agenda, tenir la conversation. La frontière est celle de ce qu'une prospection gérée demande vraiment.

La question avant d'acheter les adresses

Sirene dit qu'un établissement existe. Un outil de recherche d'emails dit qu'une boîte accepte le courrier. Aucun des deux ne dit que cette boîte peut être gardée, puis utilisée pour écrire. Cette troisième question se pose avant l'achat, sur la page de la CNIL du 16 octobre 2026.

Si, pour une adresse, vous ne savez pas si la personne pouvait s'attendre à être jointe ainsi, ni ce que vous faites de la ligne en l'absence de réponse, vous n'avez pas un contact. Vous avez une hypothèse rangée. L'hypothèse se vérifie. Elle ne s'envoie pas.