Deviner l’adresse e-mail professionnelle d’un prospect à partir de son nom et de celui de son entreprise reste possible, mais plus question de le faire sans réfléchir : le 16 octobre, la CNIL a publié deux fiches qui encadrent précisément cette pratique très répandue en prospection B2B.
- La CNIL appelle « reconstitution » le fait de déduire une adresse du type prenom.nom@entreprise à partir d’informations en ligne.
- Elle peut reposer sur l’intérêt légitime, donc sans consentement préalable, mais ce n’est « ni automatique ni systématique ».
- Une personne qui protège ses coordonnées ne peut pas, a priori, s’attendre à voir son adresse reconstituée.
- Toute opposition doit entraîner une exclusion immédiate, sans justification à fournir.
Plan de l'article
De quoi parle-t-on exactement ? #
Tous ceux qui ont monté une base de prospection connaissent la méthode. On repère le format d’adresse utilisé par une entreprise, par exemple prenom.nom ou initiale suivie du nom, puis on l’applique aux noms trouvés sur un site, un annuaire ou un réseau social professionnel. De nombreux outils d’enrichissement de données automatisent cette étape.
À lire Cookies et pubs Gmail : la CNIL clôt l’injonction contre Google
Dans sa fiche « Reconstitution d’adresses électroniques professionnelles : quel cadre ? », la CNIL rappelle un principe simple : qu’une donnée soit accessible en ligne ne dispense pas des obligations du RGPD. L’adresse reconstituée est une donnée personnelle, même si la personne ne l’a jamais publiée elle-même.
Peut-on encore reconstituer des adresses pour prospecter ? #
Oui, à certaines conditions. L’entreprise peut s’appuyer sur l’intérêt légitime, qui ne demande pas de consentement préalable. Il faut d’abord un intérêt réel à contacter la personne, comme développer une activité commerciale ou faciliter des échanges professionnels.
Il faut ensuite vérifier, au cas par cas, que le traitement ne porte pas une atteinte disproportionnée aux droits des personnes. La CNIL précise que lorsque la reconstitution sert un traitement principal bien défini, comme une prospection B2B fondée sur l’intérêt légitime, elle peut en général reposer sur la même base. Mais elle insiste : ce n’est « ni automatique ni systématique ».
Ce cadre s’ajoute aux règles classiques de la prospection par e-mail. Sur sa page dédiée, la CNIL rappelle que l’intérêt légitime vaut lorsque l’objet du message est en rapport avec la profession de la personne démarchée, et que celle-ci doit être informée et pouvoir s’opposer.
À lire Comment bien confirmer un rendez-vous par mail : conseils et bonnes pratiques
Quand faut-il renoncer à reconstituer une adresse ? #
C’est le point le plus concret de la fiche. La CNIL demande d’évaluer si la personne pouvait raisonnablement s’attendre à ce que son adresse soit reconstituée, au regard de sa visibilité en ligne et des protections qu’elle a choisies.
Deux profils appellent la prudence. D’abord, les personnes sans présence en ligne identifiable : elles n’ont probablement pas souhaité être jointes de cette manière. Ensuite, celles qui ont pris des mesures pour protéger leurs coordonnées, avec des paramètres de confidentialité stricts, un accès restreint ou un formulaire de contact à la place d’une adresse directe.
Pour ces personnes, la CNIL estime qu’elles ne peuvent, a priori, pas s’attendre raisonnablement à une reconstitution. Si les conditions ne sont pas réunies, l’organisme doit s’abstenir, sauf à obtenir le consentement de la personne.
Quelles garanties mettre en place ? #
La CNIL cite deux garanties précises. La première porte sur la conservation : ne garder l’adresse reconstituée que si un premier contact effectif a lieu dans un délai raisonnable. Une base de milliers d’adresses devinées et jamais utilisées n’a donc pas lieu d’être.
À lire Rédiger un communiqué de presse efficace : structure, titre et modèle
La seconde porte sur l’opposition : toute demande doit entraîner l’exclusion immédiate de la personne de toute nouvelle reconstitution, sans qu’elle ait à se justifier, y compris pour d’autres usages que la prospection. Les autres obligations du RGPD restent valables : information, durée de conservation, droits des personnes et sécurité.
Que peuvent faire les personnes contactées ? #
La seconde fiche, « quels sont vos droits ? », s’adresse aux personnes démarchées. L’organisme doit leur indiquer, dès que possible et de manière claire, la finalité du traitement, la façon dont il a obtenu leur adresse et leurs droits.
En cas d’opposition, il doit cesser d’utiliser l’adresse et la retirer de ses listes de contacts. Sans réponse dans un délai d’un mois à compter de la demande, ou en cas de réponse insatisfaisante, la personne peut adresser une plainte à la CNIL.
Ce que cela change pour vos campagnes B2B #
Pour une équipe marketing ou commerciale, la fiche se traduit en quelques réflexes. Documenter pourquoi chaque cible a un lien avec l’offre proposée. Écarter les profils qui protègent manifestement leurs coordonnées. Indiquer dans le premier message comment l’adresse a été obtenue, avec un lien de désinscription simple.
À lire mail confirmation rendez vous
Il faut aussi tenir une liste d’opposition consultée avant chaque nouvelle reconstitution, et purger les adresses qui n’ont pas donné lieu à un contact. Enfin, il vaut mieux interroger son fournisseur d’enrichissement de données sur la façon dont il applique ces critères : c’est l’entreprise qui envoie le message qui reste responsable.
