Qu'est-ce-que la reconstitution d'adresses électroniques professionnelles ?

La reconstitution d'adresses électroniques professionnelles consiste à déduire ou « deviner » une adresse électronique professionnelle à partir d'informations disponibles en ligne, telles que le nom et le prénom d'une personne et l'identité de l'organisme qui l'emploie. Elle repose souvent sur l'identification préalable du schéma ou du formalisme des adresses d'une organisation (par exemple, [email protected]).

Cette pratique peut répondre à différents besoins comme par exemple :

• la création d'une base de contacts pour répondre à des besoins internes et pour différents objectifs (par exemple, la prospection à l'égard des professionnels) ;
  
• la reconstitution ponctuelle d'adresses électroniques, par exemple dans le cadre de relations institutionnelles.

Le fait que les données utilisées pour reconstituer ces adresses soient accessibles sur Internet ne dispense pas les organismes de respecter les règles applicables. La reconstitution d'adresses électroniques professionnelles doit se faire dans le respect du règlement général sur la protection des données (RGPD) et, lorsque cela s'applique, des règles spécifiques applicables à la prospection commerciale.

Un organisme peut-il légalement récupérer les données en ligne d'une personne pour reconstituer son adresse électronique professionnelle ?

Dans certains cas, un organisme peut reconstituer une adresse électronique professionnelle sur le fondement de son intérêt légitime. Cette base légale permet d'utiliser certaines données sans demander au préalable le consentement de la personne, sous réserve de respecter certaines conditions.

L'organisme doit d'abord avoir un intérêt réel et légitime à contacter la personne, par exemple pour faciliter des échanges professionnels ou développer son activité commerciale.

Il doit ensuite s'assurer que cette pratique ne porte pas une atteinte disproportionnée aux droits et intérêts des personnes concernées. Pour cela, il doit examiner, au cas par cas, si les personnes peuvent raisonnablement s'attendre à ce que leurs données soient utilisées de cette manière et quelles mesures peuvent être prises pour limiter l'impact du traitement. La CNIL recommande de prendre en compte les critères suivants.

La finalité poursuivie et le caractère intrusif

Il convient d'abord de tenir compte de la finalité poursuivie et du caractère plus ou moins intrusif de la reconstitution de l'adresse électronique.

En pratique, cette reconstitution constitue rarement une opération isolée. Elle intervient généralement comme une étape technique au service d'un objectif plus large, identifié dès l'origine (par exemple une campagne de prospection commerciale ou des échanges institutionnels ciblés).

La finalité globale du traitement (prospection commerciale B to B, communication professionnelle, échanges institutionnels, etc.) est donc déterminante pour choisir la base légale applicable à la reconstitution. En effet, lorsque la reconstitution s'inscrit dans un traitement principal clairement défini, elle peut généralement reposer sur la même base légale que ce traitement. Par exemple, si une adresse est reconstituée pour permettre une prospection commerciale B to B fondée sur l'intérêt légitime, la reconstitution peut elle-même être fondée sur cette même base légale.

Cette règle n'est toutefois ni automatique ni systématique. La CNIL recommande également de prendre en compte le degré de visibilité des données et le contrôle exercé par les personnes pour évaluer ce à quoi peuvent s'attendre les personnes, ainsi que les garanties mises en œuvre pour limiter l'impact du traitement (voir ci-dessous).

Le degré de visibilité des données et le contrôle exercé par les personnes

Il convient également de tenir compte du contexte dans lequel les informations utilisées ont été rendues accessibles. L'objectif est de déterminer si, compte tenu de ce contexte, la personne pouvait raisonnablement s'attendre à ce que son adresse électronique professionnelle soit reconstituée.

Cette analyse peut notamment porter sur le degré de visibilité des données, les paramètres d'accès choisis ou encore le niveau de contrôle exercé par la personne sur la diffusion de ses informations.

À cet égard, plusieurs situations peuvent être distinguées :

• Les personnes ne disposant d'aucune présence identifiable en ligne : l'absence de présence en ligne (réseau professionnels, sites institutionnels, etc.) peut constituer un indice fort que la personne n'a pas souhaité rendre ses informations accessibles, ni être facilement joignable par ce biais.
  
• Les personnes ayant pris des mesures pour restreindre l'accès à leurs données : certaines personnes mettent en place des dispositifs visant à protéger leurs données (paramètres de confidentialité renforcés, accès restreint à certaines informations, usage de formulaires de contact plutôt que d'une adresse directe). Ces éléments peuvent signaler une volonté de maîtriser la diffusion de leurs données.

Plus largement, il convient de rechercher si la personne a manifesté une volonté de limiter sa visibilité ou sa joignabilité directe. Ainsi, les personnes ne disposant d'aucune présence identifiable en ligne ou entreprenant des actions concrètes pour dissimuler ou protéger leurs coordonnées ne peuvent, a priori, pas s'attendre raisonnablement à la reconstitution de leur adresse électronique.

La mise en œuvre de garanties pour protéger les droits des personnes concernées

La mise en œuvre de garanties adaptées peut contribuer à limiter l'impact du traitement et rééquilibrer la balance. Par exemple, l'organisme peut notamment prévoir les éléments suivants :

• Limiter strictement la conservation des adresses reconstituées. L'organisme pourrait ne conserver l'adresse électronique que dans l'hypothèse où un premier contact effectif est établi avec la personne concernée dans un délai raisonnable.
  
• Prévoir que toute opposition exprimée par la personne entraîne l'exclusion immédiate de ses données de tout traitement ultérieur de reconstitution d'adresse électronique, sans justification tenant à sa situation particulière (y compris lorsque les données sont utilisées à d'autres fins que la prospection, pour laquelle le RGPD le prévoit déjà).

À noter : pour les échanges entre administrations et organismes publics, dans le cadre de leurs missions de service public, la reconstitution peut être fondée sur la mission d'intérêt public (article 6.1.e du RGPD). La CNIL recommande ainsi d'appliquer les garanties mentionnées ci-dessus.

À défaut de pouvoir satisfaire à ces conditions, l'organisme doit s'abstenir de procéder à la reconstitution d'adresses électroniques à moins de pouvoir recueillir le consentement de la personne, conformément à la position de la CNIL dans ses recommandations à l'attention des réutilisateurs de données.

Dans tous les cas, les données devront être traitées dans le respect des autres dispositions du RGPD, notamment celles relatives à l'information, à la durée de conservation des données, au respect des droits des personnes concernées et à la sécurité des données.