Votre équipe commerciale peut-elle écrire à prenom.nom@entreprise.fr sans connaître l'adresse ?
Un commercial connaît le nom d'un décideur et le site de son entreprise. Il en déduit une adresse sur le modèle habituel de la société, il l'envoie dans un outil de mailing, et la campagne part. Le geste paraît anodin, presque de la débrouillardise. Pourtant, la CNIL a publié un rappel sur le cadre dans lequel cette reconstitution d'adresses professionnelles est autorisée, et il mérite d'être connu avant que vos équipes ne s'y risquent.
Pourquoi une adresse devinée reste une donnée personnelle
Une adresse du type prenom.nom@entreprise.fr identifie une personne précise. Peu importe qu'elle soit professionnelle : dès qu'elle permet de joindre quelqu'un nommément, elle relève du RGPD. Le fait de l'avoir construite vous-même plutôt que de l'avoir reçue ne change rien. Vous créez une donnée personnelle, et vous en devenez responsable.
Concrètement, cela veut dire que vous devez pouvoir répondre à quatre questions :
- Pourquoi utilisez-vous cette adresse (la finalité) ?
- Sur quel fondement juridique vous appuyez-vous (la base légale) ?
- Combien de temps comptez-vous la garder ?
- La personne a-t-elle été informée, et peut-elle s'opposer ?
Si l'une de ces réponses manque, la pratique est fragile, même si l'envoi lui-même est discret.
Ce que la prospection professionnelle exige
Pour du démarchage entre professionnels, les règles se jouent sur deux plans qu'il faut distinguer : le RGPD pour la donnée, et les règles propres à la prospection électronique pour le message envoyé.
Le message doit avoir un lien avec la fonction de la personne
En matière de prospection entre professionnels, on peut en général écrire sans accord préalable, à condition que l'objet de la sollicitation ait un rapport avec l'activité de la personne contactée. Proposer un logiciel de paie à un responsable des ressources humaines se défend. Envoyer la même offre à un dirigeant d'un tout autre secteur, beaucoup moins.
La personne doit être informée et pouvoir refuser
Dès le premier message, le destinataire doit savoir qui détient son adresse, pourquoi, et comment s'opposer à la réception de nouveaux courriels. Un lien de désinscription clair n'est pas un détail : c'est une obligation. Si la personne dit non, vous cessez, et votre base doit en garder la trace pour ne pas la relancer par erreur.
L'adresse doit être plausible et utile, pas aspirée au hasard
Deviner des dizaines de variantes pour une même personne, ou balayer un domaine entier en espérant tomber juste, s'éloigne de la logique de minimisation du RGPD : on ne collecte que ce qui est nécessaire. Une adresse déduite d'un format que l'entreprise a elle-même rendu public, pour un contact pertinent, n'a pas le même poids qu'un envoi massif sur des combinaisons au hasard.
Si vous développez ou intégrez ces outils
Pour les équipes techniques, le sujet n'est pas seulement juridique. Un module d'enrichissement de contacts, un script de génération d'adresses ou une intégration avec un service tiers de « guessing » doivent être conçus avec ces contraintes dès le départ. Quelques réflexes utiles :
- Stocker la provenance de chaque adresse (saisie, importée, déduite) pour pouvoir l'expliquer en cas de contrôle ou de demande d'accès.
- Prévoir une durée de conservation et une purge automatique des contacts sans réponse.
- Intégrer une liste d'opposition consultée avant chaque envoi.
- Journaliser la date d'information de la personne.
- Éviter de multiplier les variantes d'une même adresse dans la base.
Dans une application Symfony, cela peut passer par une entité de contact portant ces métadonnées et par une vérification centralisée avant tout envoi, plutôt que par des contrôles dispersés dans le code.
Ce que ça change pour vous
Si vos commerciaux devinent des adresses de prospects, la pratique n'est pas interdite en soi, mais elle est encadrée. Vous devez pouvoir expliquer d'où vient chaque adresse, informer les personnes dès le premier message et respecter leur refus. Un contrôle de la CNIL ou une plainte d'un prospect agacé peut entraîner des sanctions financières et abîmer votre réputation. Le plus simple est de demander à vos équipes comment elles constituent leurs listes, puis de faire vérifier le circuit par une personne compétente.
En résumé
Reconstituer une adresse professionnelle ne dispense d'aucune des règles de protection des données. Pertinence du message, information des personnes, opposition facile, conservation limitée : ce sont les conditions qui séparent une prospection acceptable d'une pratique risquée. Le détail complet figure dans la publication de la CNIL : Reconstitution d’adresses électroniques professionnelles : dans quel cadre est-ce autorisé ?.
