Faut-il le consentement pour prospecter un professionnel par e-mail ?

L'article L. 34-5 du code des postes et des communications électroniques exige le consentement préalable de toute personne physique. La CNIL admet toutefois l'intérêt légitime en B2B lorsque l'objet du message a un rapport avec la profession du destinataire, que celui-ci a été informé et qu'il peut s'opposer de manière simple et gratuite.

Peut-on reconstituer l'adresse e-mail d'un prospect sans son accord ?

La CNIL l'admet dans certains cas, sur le fondement de l'intérêt légitime, depuis ses fiches du 16 octobre 2026. L'organisme doit avoir un intérêt réel et légitime à contacter la personne et s'assurer qu'elle ne porte pas une atteinte disproportionnée à ses droits ; la CNIL recommande d'examiner la finalité, la visibilité des données et les garanties mises en œuvre. À défaut, il s'abstient ou recueille le consentement.

Combien de temps conserver une adresse e-mail reconstituée ?

La CNIL cite en exemple une conservation limitée au cas où un premier contact effectif est établi dans un délai raisonnable ; à défaut, l'adresse a vocation à être supprimée, selon notre lecture. Pour les prospects non clients en général, le référentiel de la CNIL retient trois ans à compter de la collecte ou du dernier contact émanant du prospect.

Que faire quand un prospect s'oppose à vos messages ?

L'article 21 du RGPD impose de cesser tout traitement à des fins de prospection dès l'opposition. La CNIL cite en exemple l'exclusion immédiate de la personne, sans justification à fournir. Une réponse à sa demande est due dans un délai d'un mois.

Un outil d'enrichissement d'adresses engage-t-il la responsabilité de mon entreprise ?

Oui. L'entreprise qui décide de reconstituer des adresses pour sa prospection est responsable du traitement, même si un prestataire ou une extension réalise l'opération. Elle documente son intérêt légitime, informe les personnes et, lorsque le prestataire agit pour le compte de l'entreprise, l'encadre par un contrat conforme à l'article 28 du RGPD.

Prospection B2B, RGPD : reconstituer un e-mail pro

Q: Une adresse e-mail professionnelle est-elle une donnée personnelle ?

Oui dès qu'elle identifie une personne, comme prenom.nom@entreprise.fr. Le RGPD s'applique à sa collecte, à sa reconstitution et à son utilisation, même dans un cadre professionnel. Les adresses génériques du type contact@, qui concernent des personnes morales, échappent aux règles de prospection rappelées par la CNIL.

En bref. Déduire l'adresse électronique professionnelle d'un prospect à partir de son nom et de son employeur reste possible en B2B, sur le fondement de l'intérêt légitime. Dans ses fiches du 16 octobre 2026, la CNIL demande un intérêt réel et légitime à contacter la personne et l'absence d'atteinte disproportionnée à ses droits, appréciée selon trois critères : finalité, visibilité des données, garanties.

Une adresse nominative est une donnée personnelle : le RGPD s'applique dès la reconstitution.

En B2B, la CNIL admet l'intérêt légitime si le message concerne la profession du destinataire, informé et libre de s'opposer.

La CNIL cite en exemple deux garanties : une conservation limitée au cas où un premier contact effectif a lieu dans un délai raisonnable, et l'exclusion immédiate de la personne qui s'oppose, sans justification à fournir.

Sans ces conditions, l'organisme s'abstient ou recueille le consentement.

Le 16 octobre 2026, la CNIL a publié deux fiches sur la reconstitution d'adresses électroniques professionnelles : l'une pour les organismes, l'autre pour les personnes concernées. L'autorité y précise dans quel cadre une entreprise peut déduire l'adresse e-mail d'un prospect à partir de son nom et de son employeur, et cite en exemple des garanties.

Pour une PME, cette position change la façon de construire un fichier de prospection : les outils qui devinent les adresses produisent des données personnelles dont votre entreprise répond en tant que responsable du traitement. Ce guide distingue ce que la loi impose, ce que la CNIL recommande et ce que nous conseillons.

Une adresse e-mail professionnelle est-elle une donnée personnelle ?

Oui, dès qu'elle permet d'identifier une personne. Une adresse du type prenom.nom@entreprise.fr se rapporte à une personne physique identifiable : le RGPD s'applique à sa collecte, à sa reconstitution et à son utilisation, cadre professionnel compris.

L'article 4, point 1, du RGPD définit les données à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

Les adresses génériques du type contact@ ou info@ désignent un service : dans sa fiche sur la prospection commerciale, la CNIL indique que ces adresses, parce qu'elles concernent des personnes morales, « ne sont pas soumises aux principes rappelés ci-dessus », c'est-à-dire aux règles de prospection. Le caractère public d'une information change peu de chose : la disponibilité de données en ligne « ne dispense pas les organismes de respecter les règles applicables », rappelle la fiche du 16 octobre 2026.

Que dit la CNIL sur la reconstitution d'adresses depuis le 16 octobre 2026 ?

La CNIL admet la reconstitution sur le fondement de l'intérêt légitime, sous réserve de conditions, d'un examen au cas par cas des attentes des personnes et de garanties adaptées. Elle définit la pratique comme une opération qui « consiste à déduire ou « deviner » une adresse électronique professionnelle à partir d'informations disponibles en ligne ».

Deux conditions ouvrent cette base légale : « L'organisme doit d'abord avoir un intérêt réel et légitime à contacter la personne », puis s'assurer que la pratique « ne porte pas une atteinte disproportionnée aux droits et intérêts des personnes concernées ». Pour apprécier cette atteinte, la CNIL recommande trois critères.

La finalité poursuivie et le caractère intrusif

Lorsque le traitement principal, par exemple une prospection B2B, repose licitement sur l'intérêt légitime, « la reconstitution peut elle-même être fondée sur cette même base légale ». La CNIL ajoute que « Cette règle n'est toutefois ni automatique ni systématique » et renvoie aux deux autres critères : la visibilité des données et les garanties mises en œuvre.

Le degré de visibilité des données et le contrôle exercé par les personnes

Les personnes sans présence identifiable en ligne, ou qui protègent leurs coordonnées, « ne peuvent, a priori, pas s'attendre raisonnablement à la reconstitution de leur adresse électronique ».

La mise en œuvre de garanties pour protéger les droits des personnes concernées

La CNIL cite deux garanties à titre d'exemple. Sur la conservation : « L'organisme pourrait ne conserver l'adresse électronique que dans l'hypothèse où un premier contact effectif est établi avec la personne concernée dans un délai raisonnable ». Sur l'opposition, l'organisme peut prévoir que « toute opposition exprimée par la personne entraîne l'exclusion immédiate de ses données » de tout traitement ultérieur de reconstitution, « sans justification tenant à sa situation particulière ».

Hors de ces conditions, « l'organisme doit s'abstenir de procéder à la reconstitution d'adresses électroniques », sauf à recueillir le consentement de la personne. Entre administrations et organismes publics, « la reconstitution peut être fondée sur la mission d'intérêt public » (article 6, paragraphe 1, point e), avec les mêmes garanties. Enfin, « Dans tous les cas, les données devront être traitées dans le respect des autres dispositions du RGPD » : information, conservation, droits des personnes, sécurité.

Quelles règles encadrent la prospection B2B par e-mail ?

La prospection directe par courrier électronique relève de l'article L. 34-5 du code des postes et des communications électroniques, issu de la directive 2002/58/CE, et du RGPD. L'article L. 34-5 exige le consentement préalable de toute personne physique, abonné ou utilisateur, sans distinguer cadre privé et cadre professionnel. La tolérance B2B vient de la doctrine de la CNIL : intérêt légitime admis à trois conditions, objet du message en rapport avec la profession, information de la personne, opposition simple et gratuite.

La fiche de la CNIL sur la prospection commerciale, datée du 10 juin 2026, précise que « La prospection à l'égard de professionnels peut être fondée sur l'intérêt légitime de l'organisme lorsque l'objet de la sollicitation est en rapport avec la profession de la personne démarchée ». Pour des données issues d'un fichier existant ou d'un tiers, « il faut s'assurer que la personne concernée a été informée » « et est en mesure de s'y opposer ». Chaque sollicitation identifie l'organisation émettrice et permet de refuser, par un moyen simple, les envois suivants.

Situation	Base légale	Conditions	Opposition
Particulier (B2C)	Consentement préalable « libre, spécifique, éclairé et univoque »	Case pré-cochée interdite ; exception clients, produits ou services analogues (article L. 34-5)	Moyen simple et gratuit de refus dans chaque message
Professionnel, adresse nominative (B2B)	Intérêt légitime, selon la doctrine CNIL	Objet en rapport avec la profession ; information dès la collecte	Simple et gratuite, dès la collecte puis dans chaque message
Adresse générique (contact@, info@)	Hors des règles de prospection selon la CNIL	Identification de l'émetteur ; une adresse qui identifie une personne reste une donnée personnelle	Coordonnées valables pour faire cesser les envois (article L. 34-5)
Adresse professionnelle reconstituée	Intérêt légitime, dans certains cas	Intérêt réel et légitime, absence d'atteinte disproportionnée, trois critères CNIL documentés	Exclusion immédiate sans justification

Un manquement à l'article L. 34-5 expose à une amende administrative : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, devant la CNIL ; jusqu'à 75 000 euros pour une personne physique et 375 000 euros pour une personne morale devant l'autorité chargée de la concurrence et de la consommation. Depuis la décision n° 2026-1210 QPC du 25 juin 2026, une seule autorité peut poursuivre les mêmes faits, dans l'attente d'une nouvelle loi ou de l'abrogation des dispositions censurées au 31 octobre 2027. Un traitement sans base légale valable relève en outre de l'article 83, paragraphe 5, du RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, sans plafond réduit pour les PME. Nous conseillons de traiter la reconstitution comme un traitement à part entière, avec sa fiche dans le registre des traitements.

Comment documenter votre intérêt légitime ?

Par une analyse d'intérêt légitime écrite, avant la première campagne. Le considérant 47 du RGPD énonce que « Le traitement de données à caractère personnel à des fins de prospection peut être considéré comme étant réalisé pour répondre à un intérêt légitime ». L'article 6, paragraphe 1, point f, autorise le traitement « nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ».

Les lignes directrices 1/2024 du Comité européen de la protection des données, adoptées le 8 octobre 2024 pour consultation publique, structurent cette analyse en trois conditions cumulatives : intérêt licite, précis et actuel ; nécessité, sans moyen moins intrusif ; mise en balance avec les droits des personnes, leurs attentes raisonnables et les mesures d'atténuation. Les trois critères de la CNIL s'y rattachent : la finalité alimente la première condition, la visibilité des données nourrit la mise en balance, les garanties forment les mesures d'atténuation. Notre guide sur l'analyse d'intérêt légitime détaille la méthode.

Combien de temps conserver une adresse reconstituée ?

Jusqu'au premier contact effectif, établi dans un délai raisonnable : telle est la garantie citée en exemple par la CNIL. À défaut de contact, l'adresse a vocation à être supprimée, selon notre lecture.

Le principe vient de l'article 5, paragraphe 1, point e, du RGPD : les données sont « conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ». Pour les prospects non clients, le référentiel CNIL sur la gestion des activités commerciales retient trois ans « à compter de leur collecte par le responsable de traitement ou du dernier contact émanant du prospect », en précisant que « la simple ouverture d'un courriel ne devrait pas être considérée comme un contact émanant du prospect ». Ce référentiel est sans caractère contraignant.

Nous conseillons un délai court, quelques semaines après le premier envoi, puis la suppression automatique des adresses sans réponse ; une réponse ou un rendez-vous fait basculer l'adresse, à notre sens, vers le régime général des prospects.

Comment informer la personne et traiter son opposition ?

Vous informez la personne au plus tard lors du premier message et vous cessez tout envoi dès qu'elle s'oppose, quelle que soit la base légale (articles 14 et 21 du RGPD).

Lorsque les données proviennent d'une autre source que la personne, l'article 14, paragraphe 3, impose de fournir les informations dans un délai d'un mois au plus et, si les données servent à communiquer avec elle, « au plus tard au moment de la première communication à ladite personne ». Nous conseillons une information à deux niveaux : le premier message contient l'identité de l'entreprise, la finalité et la base légale, la source des données et le moyen de s'opposer, avec un lien vers une notice complète (intérêts légitimes poursuivis, catégories de données, origine publique des sources, destinataires, durée de conservation, ensemble des droits dont la réclamation auprès de la CNIL, délégué à la protection des données s'il existe).

L'article 21, paragraphe 2, donne à la personne « le droit de s'opposer à tout moment au traitement des données à caractère personnel la concernant à de telles fins de prospection » ; le paragraphe 3 ajoute que « les données à caractère personnel ne sont plus traitées à ces fins ». Vous répondez à toute demande « en tout état de cause dans un délai d'un mois à compter de la réception de la demande » (article 12, paragraphe 3, prolongeable de deux mois pour les demandes complexes ou nombreuses). La fiche CNIL destinée aux personnes rappelle qu'en l'absence de réponse sous un mois, ou si la réponse est insatisfaisante, une plainte peut être adressée à l'autorité.

La CNIL recommande, en B2B, que le droit d'opposition soit recueilli « par le biais d'une case à cocher » ; l'obligation tient à une opposition simple, gratuite et possible dans chaque message.

Quelle méthode suivre dans une PME ?

Sept étapes, chacune laissant une trace en cas de contrôle.

Cadrer la cible et la finalité. Fonctions visées et rapport entre votre offre et leur profession.
Rédiger l'analyse d'intérêt légitime. Intérêt, nécessité, mise en balance, avec les trois critères de la CNIL.
Qualifier les sources. Retenez les personnes dont la présence professionnelle en ligne est assumée ; écartez celles qui protègent leurs coordonnées.
Encadrer l'outil. Un prestataire qui reconstitue les adresses pour votre compte et sur vos instructions agit en principe comme sous-traitant : contrat conforme à l'article 28 du RGPD. S'il vend sa propre base, il répond lui-même du traitement : demandez comment les personnes ont été informées.
Informer dès le premier message. Identité de l'émetteur, finalité et base légale, source des données, lien d'opposition, lien vers la notice complète.
Traiter l'opposition sans délai. Retirez la personne de toutes les listes, gardez la seule trace de son opposition, répondez sous un mois.
Purger les adresses sans réponse. Suppression automatique à l'issue du délai fixé dans votre analyse.

Ce que cela change pour une PME. Quatre actions :

Inventorier les outils d'enrichissement des équipes commerciales.

Créer une fiche « prospection B2B avec adresses reconstituées » dans le registre, avec sa durée de conservation.

Rédiger l'analyse d'intérêt légitime et la faire relire.

Mettre à jour le premier e-mail type : identité, finalité, base légale, source, opposition.

Willaw outille ces étapes. Le module Registres accueille la fiche de traitement, sa base légale et sa durée de conservation. Le module Documentation & analyses héberge l'analyse d'intérêt légitime et les mentions d'information. Le module Droits des personnes centralise les oppositions, avec un portail public de demandes. Le Copilot, propulsé par Mistral AI avec des traitements en Europe ou par Google Gemini selon votre choix, prépare ces documents. Demandez une démonstration.

Changement d'entreprise

Prospection B2B et RGPD : pouvez-vous reconstituer l'adresse e-mail d'un prospect ?