En bref. Le 16 octobre 2026, la CNIL a publié une fiche sur la reconstitution des adresses électroniques professionnelles, pratique qui consiste à deviner une adresse à partir d’informations en ligne. Elle rappelle que le RGPD s’applique même aux données publiques et que l’opposition doit entraîner l’exclusion immédiate des traitements.
Dans une fiche mise en ligne le 16 octobre 2026, la CNIL détaille les règles applicables à la reconstitution d’adresses électroniques professionnelles, qui consiste à déduire une adresse du type prenom.nom@organisme à partir d’informations accessibles en ligne. L’autorité précise que le caractère public des informations utilisées ne dispense pas les organismes de respecter le RGPD, et, pour la prospection commerciale, les règles spécifiques à ce secteur.
La CNIL indique qu’une adresse non publiée peut être reconstituée sans consentement, à condition de tenir compte de l’objectif poursuivi, de la manière dont les informations sont accessibles et de ce que la personne peut raisonnablement attendre. Elle cite deux garanties possibles : ne conserver l’adresse que si un premier contact effectif est établi, et exclure immédiatement les données de tout traitement ultérieur en cas d’opposition, sans justification à fournir.
Les organismes doivent informer les personnes aussitôt que possible des objectifs poursuivis et de la manière dont l’adresse a été obtenue, et traiter les demandes d’accès, de rectification, d’effacement et de limitation dans les délais du RGPD. Sans réponse sous un mois ou en cas de réponse insatisfaisante, une plainte peut être adressée à la CNIL.
