En bref. Dans une publication du 16 octobre 2026, la CNIL précise que la reconstitution d’adresses électroniques professionnelles à partir de données en ligne reste soumise au RGPD et ne peut reposer sur l’intérêt légitime que sous conditions. L’organisme doit justifier d’un intérêt réel et vérifier au cas par cas que les personnes pouvaient raisonnablement s’attendre à être contactées.
La reconstitution d’adresses électroniques professionnelles à partir d’informations accessibles en ligne n’échappe pas au RGPD : c’est ce que rappelle la CNIL dans une publication du 16 octobre 2026. La Commission précise que le fait que les données soient publiques ne dispense pas les organismes de respecter les règles applicables, y compris celles propres à la prospection commerciale lorsqu’elles s’appliquent.
L’autorité admet qu’un organisme puisse se fonder sur son intérêt légitime, sans consentement préalable, mais à condition d’avoir un intérêt réel et légitime à contacter la personne et de s’assurer que la pratique ne porte pas une atteinte disproportionnée à ses droits. Cet examen se fait au cas par cas.
La CNIL recommande de tenir compte de la finalité poursuivie et du caractère intrusif de la reconstitution, qui s’inscrit généralement dans un traitement plus large — prospection B to B, communication professionnelle, échanges institutionnels — et peut alors reposer sur la même base légale que ce traitement, sans que cette règle soit automatique. Elle invite aussi à évaluer le degré de visibilité des données et le contrôle exercé par les personnes : l’absence de présence identifiable en ligne ou des mesures de restriction d’accès peuvent signaler une volonté de limiter sa joignabilité.
