Vous recevez un message commercial sur une adresse électronique que vous n’avez jamais communiquée à son expéditeur. L’adresse reprend votre prénom, votre nom et le nom de domaine de votre employeur, selon un schéma classique de type [email protected]. Vous ne l’avez publiée nulle part, vous n’avez jamais contacté cette société, et pourtant elle vous écrit comme si le lien existait déjà. Cette adresse a très probablement été reconstituée : déduite à partir de votre nom, de votre fonction et du formalisme des adresses de votre organisation, puis utilisée pour une campagne de prospection.
La Commission nationale de l’informatique et des libertés a consacré une fiche à cette pratique le 16 octobre 2026, intitulée Reconstitution d’adresses électroniques professionnelles : dans quel cadre est-ce autorisé, relayée par la presse spécialisée le 20 octobre 2026. La position est claire : la reconstitution d’une adresse professionnelle à partir de données accessibles en ligne n’est ni interdite par principe, ni librement autorisée. Elle est encadrée par le règlement général sur la protection des données, et l’expéditeur qui vous écrit doit satisfaire plusieurs conditions cumulatives. Quand ces conditions manquent, le destinataire dispose de recours directs et gradués : opposition immédiate, effacement, plainte devant la CNIL et action en réparation.
Cet article décrit d’abord ce que l’organisme qui reconstitue une adresse doit établir avant de vous écrire, puis les démarches concrètes qui s’offrent à vous lorsque la prospection est irrégulière. Les développements valent pour les messages adressés à des personnes physiques sur leur adresse professionnelle, y compris dans un contexte dit B to B.
I. Reconstituer une adresse professionnelle : les conditions que l’expéditeur doit remplir avant le premier message
A. Un intérêt légitime réel, une attente raisonnable et des garanties vérifiables
Une adresse électronique professionnelle qui identifie une personne physique est une donnée à caractère personnel. Le fait que les informations utilisées pour la reconstituer soient accessibles sur internet ne dispense pas l’organisme de respecter les règles applicables : la CNIL l’écrit expressément dans sa fiche du 16 octobre 2026, dans les deux volets de sa publication, celui adressé aux organismes et celui adressé aux personnes concernées.
La reconstitution peut, dans certains cas, reposer sur l’intérêt légitime de l’organisme. L’article 6, paragraphe 1, point f), du règlement (UE) 2016/679 du 27 avril 2016 subordonne la licéité du traitement à sa nécessité aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, sauf prévalence des intérêts ou des libertés et droits fondamentaux de la personne concernée. La CNIL précise que cette base ne peut être mobilisée que si certaines conditions sont remplies, et elle détaille trois séries d’exigences.
Première exigence : l’organisme doit avoir un intérêt réel et légitime à contacter la personne, citant à titre d’exemples la facilitation des échanges professionnels ou le développement de l’activité commerciale. Développer son activité commerciale peut donc constituer un intérêt légitime, mais cet intérêt ne fait que ouvrir l’examen : il ne clôt pas le débat.
Deuxième exigence : la pratique ne doit pas porter une atteinte disproportionnée aux droits et intérêts des personnes concernées. L’organisme doit examiner, au cas par cas, si les personnes peuvent raisonnablement s’attendre à ce que leurs données soient utilisées de cette manière. La CNIL recommande de prendre en compte la finalité poursuivie et le caractère plus ou moins intrusif de la reconstitution, le degré de visibilité des données et le contrôle exercé par les personnes sur la diffusion de leurs informations. La fiche invite à vérifier si la personne a manifesté une volonté de limiter sa visibilité ou sa joignabilité directe. Concrètement, les personnes sans présence identifiable en ligne ou qui protègent activement leurs coordonnées ne peuvent, a priori, pas s’attendre raisonnablement à la reconstitution de leur adresse électronique. Paramètres de confidentialité renforcés, accès restreint aux informations, usage d’un formulaire de contact plutôt que d’une adresse directe : ces indices signalent une volonté de maîtriser la diffusion des données, et l’organisme doit les prendre en compte avant de reconstituer quoi que ce soit.
Troisième exigence : des garanties adaptées, destinées à limiter l’impact du traitement. La CNIL cite deux exemples. D’une part, limiter strictement la conservation des adresses reconstituées : l’organisme pourrait ne conserver l’adresse que dans l’hypothèse où un premier contact effectif est établi avec la personne concernée dans un délai raisonnable. D’autre part, prévoir que toute opposition exprimée par la personne entraîne l’exclusion immédiate de ses données de tout traitement ultérieur de reconstitution, sans justification tenant à sa situation particulière, y compris lorsque les données sont utilisées à d’autres fins que la prospection. La fiche adressée aux personnes le confirme : votre opposition doit entraîner l’exclusion immédiate de vos données de tout traitement ultérieur de reconstitution, sans que vous ayez à justifier votre demande.
La CNIL ajoute une précision de méthode importante : lorsque la reconstitution s’inscrit dans un traitement principal clairement défini, elle peut généralement reposer sur la même base légale que ce traitement. Si une adresse est reconstituée pour une prospection commerciale B to B fondée sur l’intérêt légitime, la reconstitution peut elle-même être fondée sur cette base. Mais cette automaticité est écartée par la CNIL : la règle n’est ni automatique ni systématique, et l’organisme doit aussi évaluer la visibilité des données, le contrôle exercé par la personne et les garanties mises en œuvre. À défaut de pouvoir satisfaire à ces conditions, l’organisme doit s’abstenir de reconstituer l’adresse, sauf à recueillir le consentement de la personne.
Pour l’expéditeur, la conséquence pratique est directe : reconstituer des adresses en masse, sans examen individuel de l’attente raisonnable des personnes et sans garanties de conservation et d’opposition, ne satisfait pas au cadre décrit par la CNIL. Pour le destinataire, ces trois verrous fournissent une grille de lecture du premier message reçu : l’expéditeur annonce-t-il sa base légale, explique-t-il comment l’adresse a été obtenue, et propose-t-il une opposition simple et effective.
B. Informer dès le premier message et respecter les règles propres à la prospection électronique
La reconstitution de l’adresse ne dispense pas de respecter les autres dispositions du RGPD, notamment l’information, la durée de conservation des données, le respect des droits des personnes concernées et la sécurité des données, selon la fiche de la CNIL. L’obligation d’information est ici centrale, car les données n’ont pas été collectées auprès de vous.
L’article 14 du règlement (UE) 2016/679 impose au responsable du traitement de fournir à la personne concernée son identité et ses coordonnées, les finalités du traitement et sa base juridique, les catégories de données concernées, la durée de conservation ou les critères utilisés pour la déterminer, l’existence des droits d’accès, de rectification, d’effacement, de limitation et d’opposition, le droit d’introduire une réclamation auprès d’une autorité de contrôle, ainsi que la source des données et, le cas échéant, le fait qu’elles sont issues ou non de sources accessibles au public. Le moment de cette information est fixé par l’article 14 du règlement : lorsque les données doivent être utilisées aux fins de la communication avec la personne, l’information est fournie au plus tard lors de la première communication avec la personne, et en tout état de cause dans un délai raisonnable après l’obtention des données, sans dépasser un mois. Un premier message de prospection qui ne dit ni qui écrit, ni sur quelle base, ni d’où vient l’adresse, ni comment s’opposer, méconnaît cette obligation.
À ce socle du RGPD s’ajoutent les règles spécifiques de la prospection par courrier électronique. L’article L. 34-5 du code des postes et des communications électroniques dispose : « Est interdite la prospection directe au moyen de système automatisé de communications électroniques au sens du 6° de l’article L. 32, d’un télécopieur ou de courriers électroniques utilisant les coordonnées d’une personne physique, abonné ou utilisateur, qui n’a pas exprimé préalablement son consentement à recevoir des prospections directes par ce moyen. » Le consentement y est défini comme « toute manifestation de volonté libre, spécifique et informée par laquelle une personne accepte que des données à caractère personnel la concernant soient utilisées à fin de prospection directe ». Le même article L. 34-5 ménage une exception étroite, dite du client existant : la prospection par courrier électronique reste autorisée lorsque les coordonnées du destinataire ont été recueillies auprès de lui, dans le respect de la loi du 6 janvier 1978, à l’occasion d’une vente ou d’une prestation de services, pour des produits ou services analogues fournis par la même personne, et si le destinataire s’est vu présenter, de manière expresse et dénuée d’ambiguïté, la possibilité de s’opposer à l’utilisation de ses coordonnées au moment où elles sont recueillies et à chaque message. Une adresse devinée, par définition, n’a pas été recueillie auprès de vous : l’expéditeur qui vous écrit pour la première fois sur une adresse reconstituée ne peut pas se prévaloir de cette exception. Il doit donc établir soit votre consentement préalable, soit, dans un contexte entre professionnels, un intérêt légitime satisfaisant aux conditions de la CNIL, sans préjudice de l’obligation d’information et du droit d’opposition décrits ci-dessus.
Le texte impose en outre deux garanties formelles à tout expéditeur : il est interdit d’émettre des messages de prospection sans indiquer des coordonnées valables permettant au destinataire de demander l’arrêt des communications, et il est interdit de dissimuler l’identité de l’annonceur ou d’afficher un objet sans rapport avec la prestation proposée. Un message sans expéditeur identifiable, sans adresse de désinscription fonctionnelle ou avec un objet trompeur cumule ainsi les manquements.
Ces règles s’appliquent aux adresses professionnelles dès lors qu’elles identifient une personne physique, y compris dans les échanges entre professionnels. Les pages concurrentes qui présentent la prospection B to B comme un espace de liberté, parce que l’adresse serait professionnelle, décrivent une idée reçue : la CNIL rappelle au contraire que la reconstitution doit respecter le RGPD et, le cas échéant, les règles spécifiques de la prospection commerciale. Si vous recevez de tels messages de façon répétée après un achat ou la fermeture d’un compte, les démarches décrites dans notre article sur l’effacement des données conservées après la fermeture d’un compte et la fin de la prospection complètent utilement le présent exposé.
II. Vous recevez ces messages : les recours qui produisent des effets
A. Exiger l’arrêt, l’effacement et la transparence, avec des preuves conservées
Le premier réflexe utile consiste à répondre à l’expéditeur plutôt qu’à supprimer le message. La fiche de la CNIL adressée aux personnes concernées le confirme : l’organisme doit vous informer, aussitôt que possible et de manière claire, des objectifs poursuivis et de la manière dont votre adresse a été obtenue, ainsi que de vos droits et de la façon de les exercer. S’il ne l’a pas fait dans son premier message, demandez-le par écrit.
Le droit d’opposition est votre levier le plus direct. L’article 21, paragraphe 2, du règlement (UE) 2016/679 ouvre à la personne concernée le droit de s’opposer à tout moment au traitement de ses données à des fins de prospection, y compris au profilage lié à cette prospection. Dès lors qu’elle s’y oppose, ses données ne doivent plus être traitées à ces fins En matière de prospection, l’opposition est donc absolue : l’expéditeur ne peut pas vous demander de justifier votre demande, ni vous opposer un intérêt qui primerait votre refus. La CNIL l’applique à la reconstitution elle-même : votre opposition doit entraîner l’exclusion immédiate de vos données de tout traitement ultérieur de reconstitution d’adresse, sans que vous ayez à motiver quoi que ce soit. Si le message contient un lien de désinscription, utilisez-le, mais doublez-le d’un message écrit qui fera foi : un lien peut tomber en panne, un courriel conservé constitue une preuve.
Vous pouvez également exiger l’effacement de votre adresse et des données associées. L’article 17, paragraphe 1, du règlement (UE) 2016/679 reconnaît à la personne concernée le droit d’obtenir du responsable du traitement l’effacement de ses données dans les meilleurs délais, notamment lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, lorsque le consentement est retiré sans autre fondement juridique, ou lorsque la personne s’est opposée au traitement sans motif légitime impérieux qui prévaudrait. Après une opposition à la prospection, la conservation de votre adresse à des fins de prospection n’a plus de fondement : seul peut subsister ce qui est strictement nécessaire au respect de votre opposition, c’est-à-dire une liste d’exclusion. Si l’expéditeur invoquait votre consentement, l’article 7, paragraphe 1, du même règlement rappelle que c’est à lui de démontrer que vous l’avez donné, et le paragraphe 3 que vous pouvez le retirer à tout moment, aussi simplement que vous l’avez donné.
Le droit d’accès complète utilement ces démarches : demandez à l’organisme quelles données il détient sur vous, d’où elles proviennent, à qui elles ont été transmises et pendant combien de temps elles sont conservées. Les réponses obtenues serviront ensuite, le cas échéant, devant la CNIL ou devant le juge. Pour des messages reçus par SMS plutôt que par courrier électronique, avec un numéro d’expéditeur à signaler, notre article sur les SMS commerciaux non sollicités, le signalement au 33700 et les recours décrit la démarche miroir côté téléphonie mobile.
La conservation des preuves mérite une attention particulière, car c’est elle qui fera la différence en cas de contestation. Conservez les messages intacts, avec leurs en-têtes techniques complets, qui identifient l’expéditeur réel, le serveur d’envoi et les outils de routage. Capturez la page ou le formulaire d’où vos données auraient pu être extraites, avec sa date, et notez l’absence de relation commerciale antérieure avec l’expéditeur. Conservez une copie de votre demande d’opposition et de l’accusé de réception, puis vérifiez dans les jours suivants si de nouveaux messages arrivent malgré votre refus : chaque envoi postérieur à l’opposition caractérise un manquement distinct et aggrave la situation de l’expéditeur. Si le lien de désinscription est inopérant, documentez-le par une capture datée plutôt que par une affirmation. Un dossier ordonné, chronologique et complet donne à la plainte devant la CNIL et à la demande en justice une assise que des allégations générales n’offrent pas.
B. Saisir la CNIL, faire sanctionner et obtenir réparation
Lorsque l’expéditeur ne répond pas, répond à côté ou poursuit ses envois malgré votre opposition, la plainte devant la CNIL constitue l’étape suivante. L’article L. 34-5 du code des postes et des communications électroniques confie expressément cette mission à la Commission : la Commission nationale de l’informatique et des libertés surveille le respect de ces dispositions pour la prospection directe et peut recevoir par tous moyens les plaintes relatives aux manquements constatés. La plainte se dépose en ligne sur le site de la CNIL, avec le récit des faits, la copie des messages et des demandes restées sans effet, et les preuves décrites ci-dessus. La CNIL traite les plaintes reçues et peut décider de contrôles, de mises en demeure et de sanctions, en fonction de la gravité et du caractère répété des manquements.
Les sanctions encourues sont significatives, et une affaire récente les illustre. Le 15 mai 2025, la formation restreinte de la CNIL a prononcé à l’encontre de la société SOLOCAL MARKETING SERVICES une amende de 900 000 euros, rendue publique, pour avoir démarché des prospects par SMS et par courrier électronique sans consentement valable et transmis leurs données à des partenaires sans base légale. La société achetait des données de prospects auprès de courtiers, qui les collectaient via des formulaires de jeux-concours et de tests de produits. La formation restreinte a considéré que l’apparence trompeuse de ces formulaires, qui poussaient l’utilisateur à accepter par la taille, la couleur et l’emplacement des boutons, ne permettait pas de recueillir un consentement libre et univoque conforme au RGPD. Elle a également retenu un manquement à l’article 7 du RGPD : la société n’avait pas été en mesure de fournir la preuve du consentement des personnes dont les données lui avaient été transmises par l’un de ses principaux fournisseurs, alors qu’il lui appartient, en qualité de responsable de traitement, d’apporter la preuve que ses opérations de prospection sont licites. Outre l’amende, la CNIL a prononcé une injonction de cesser toute prospection électronique sans consentement valable dans un délai de neuf mois, assortie d’une astreinte de 10 000 euros par jour de retard. Le montant de l’amende tenait notamment compte du nombre très élevé de personnes concernées, de plusieurs millions, de la position de la société sur le marché et de l’avantage financier tiré des manquements. Par délibération du 17 septembre 2026, publiée le 24 septembre 2026, la formation restreinte a clôturé cette injonction, la société ayant justifié de mesures de vérification automatisée et humaine du consentement recueillis par ses partenaires, et a décidé de ne pas liquider l’astreinte. Cette séquence montre que la CNIL contrôle la prospection à grande échelle, sanctionne lourdement les consentements de façade et suit l’exécution de ses injonctions jusqu’à leur terme.
Le régime des sanctions ne s’arrête pas à la CNIL. Le même article L. 34-5 prévoit que les manquements sont également recherchés et constatés par les agents de la concurrence et de la consommation, et sanctionnés par une amende administrative prononcée par l’autorité chargée de la concurrence et de la consommation, dont le montant est plafonné à 75 000 euros pour une personne physique et à 375 000 euros pour une personne morale. La prospection irrégulière expose donc l’expéditeur sur deux fronts répressifs, sans préjudice de votre action personnelle.
Car vous pouvez aussi agir pour votre propre compte devant le juge. L’article 82, paragraphe 1, du règlement (UE) 2016/679 ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’obtenir réparation de son préjudice auprès du responsable du traitement ou du sous-traitant La réception répétée de messages non sollicités, la persistance des envois après opposition, le temps consacré aux démarches et le sentiment d’être surveillé dans sa vie professionnelle caractérisent un préjudice moral réparable, dont le juge apprécie le montant au vu des pièces produites. C’est ici que le dossier de preuves constitué en amont prend toute sa valeur : messages avec en-têtes, demande d’opposition et accusé de réception, captures du lien de désinscription inopérant, envois postérieurs au refus. L’action en réparation peut être portée devant le tribunal judiciaire, et elle peut prospérer alors même que la CNIL n’aurait pas encore statué sur votre plainte, car les deux voies sont indépendantes.
En pratique, la gradation recommandée est donc la suivante : d’abord une demande écrite à l’expéditeur, combinant opposition, demande d’effacement et demande d’information sur la source de l’adresse ; ensuite, en l’absence de réponse satisfaisante ou en cas de poursuite des envois, une plainte devant la CNIL avec le dossier complet ; enfin, si le préjudice le justifie, une action en réparation devant le juge. Chaque étape renforce la suivante, et l’inaction de l’expéditeur à un stade aggrave sa position au stade ultérieur.
Une adresse professionnelle devinée n’est pas une adresse à la disposition de tout expéditeur. La CNIL admet la reconstitution dans un cadre étroit : un intérêt réel et légitime, une personne qui pouvait raisonnablement s’y attendre, une information complète dès le premier message, une conservation limitée et une opposition à effet immédiat. Tout ce qui dépasse ce cadre — messages sans expéditeur identifiable, sans base annoncée, sans réponse à l’opposition — relève de la prospection irrégulière et ouvre les recours décrits ci-dessus. La sanction de 900 000 euros prononcée contre un acteur de la prospection massive et le suivi de son injonction jusqu’en septembre 2026 montrent que ces règles sont effectivement appliquées. Conservez les preuves, écrivez à l’expéditeur, opposez-vous sans avoir à vous justifier, et saisissez la CNIL puis le juge si les envois persistent : le droit de la prospection est l’un des rares domaines où une démarche individuelle, bien documentée, produit des effets rapides et mesurables.