La Commission nationale de l’informatique et des libertés (CNIL) précise le cadre juridique applicable à la « reconstitution d’adresses électroniques professionnelles », c’est‑à‑dire la déduction ou « devinette » d’une adresse e‑mail professionnelle à partir d’informations disponibles en ligne (nom, prénom, employeur, format connu des adresses de l’organisme, par exemple [email protected]). Cette pratique est utilisée notamment pour constituer des listes de contacts professionnels à des fins de prospection ou pour établir des contacts institutionnels ponctuels.
La CNIL rappelle que le fait que les données permettant cette reconstitution soient accessibles sur Internet ne suffit pas à autoriser leur utilisation sans encadrement. Les organismes qui reconstituent des adresses doivent respecter le règlement général sur la protection des données (RGPD) et, en cas de prospection commerciale, des règles spécifiques applicables à la prospection.
La reconstitution d’une adresse professionnelle sans publication préalable par la personne concernée est possible seulement dans certaines conditions. En l’absence de consentement, l’organisme doit notamment prendre en compte l’objectif poursuivi, les modalités d’accessibilité des informations en ligne et ce que la personne peut raisonnablement attendre de leur utilisation. Lorsque la personne n’a pas de présence en ligne identifiable ou cherche activement à dissimuler ou protéger ses coordonnées, elle ne peut raisonnablement s’attendre à ce que son adresse soit reconstituée ; dans ce cas, l’organisme doit mettre en œuvre des garanties particulières pour protéger ses droits.
Parmi ces garanties, la CNIL mentionne, à titre d’exemple, la limitation de la conservation de l’adresse au cas où un premier contact effectif est établi, ainsi que la prise en compte immédiate de l’opposition de la personne, entraînant l’exclusion de ses données de tout traitement ultérieur de reconstitution, sans exigence de justification. La CNIL indique que l’organisme doit également fournir à la personne concernée un certain nombre d’informations sur ce traitement et respecter ses droits, sans détailler ces éléments dans l’extrait disponible. Aucun élément chiffré ni information comparative internationale n’est mentionné. (contenu résumé par l’IA)Lire la Suite