Le 16 octobre 2026, la CNIL a publié deux fiches sur une pratique que presque toutes les équipes commerciales B2B utilisent sans en parler : les emails pro devinés. Vous connaissez le nom d'un prospect, son entreprise, le format des adresses maison (prenom.nom@entreprise.fr), et le tour est joué.
Bonne nouvelle : la CNIL ne l'interdit pas. Mais elle pose des conditions précises, et la plupart des outils de prospection les ignorent par défaut. Le vrai risque commence après : dans ce que votre CRM fait de ces adresses.
Voici ce que la CNIL a réellement écrit, puis 6 erreurs fréquentes à éviter, avec la façon de les corriger dans HubSpot 👇🏼
La CNIL parle de « reconstitution d'adresses électroniques professionnelles » : déduire une adresse à partir d'informations trouvées en ligne (nom, prénom, employeur), souvent via le format d'adresse de l'organisme. Elle cite la prospection B2B.
Sa position tient en trois points :
Si la reconstitution sert une prospection B2B déjà fondée sur l'intérêt légitime, elle peut en général reposer sur la même base, mais la CNIL prévient que ce n'est « ni automatique ni systématique ». Et si les conditions ne sont pas réunies, l'organisme doit s'abstenir, sauf à recueillir le consentement de la personne.
La pratique est donc autorisée sous conditions, et c'est à vous de prouver qu'elles sont réunies. D'après notre expérience, c'est rarement prévu dans les CRM.
« Son nom est sur LinkedIn, son entreprise sur son site, donc l'adresse est publique. » Dans sa fiche consacrée au cadre de la reconstitution, la CNIL écarte ce raisonnement : des données accessibles en ligne ne dispensent ni du RGPD, ni des règles de la prospection commerciale.
Une adresse générique comme contact@ désigne en revanche l'entreprise elle-même. Selon Selectra, elle sort donc de ce cadre.
La CNIL demande de regarder le contexte de diffusion des données et les choix de la personne. Deux cas sont cités :
Dans les deux cas, elle ne peut a priori pas s'attendre à ce que son adresse soit reconstituée. Leto, éditeur de logiciels de conformité, résume la position de la CNIL : l'absence de présence en ligne est un « indice fort » que la personne n'a pas souhaité être facilement joignable par ce biais.
Or un outil d'enrichissement ne fait pas cette vérification : il teste des formats et renvoie une adresse « valide ». La décision doit revenir à l'équipe.
La CNIL recommande de ne conserver une adresse reconstituée que si un premier contact effectif a lieu dans un délai raisonnable. Dans beaucoup de portails, pourtant, les imports d'enrichissement s'empilent : des contacts devinés, jamais écrits, qui dorment dans une liste.
Prenons un cas fictif : une équipe SDR importe 2 000 contacts enrichis en début de trimestre et n'en séquence que 600. Les 1 400 autres n'ont plus rien à faire dans la base : ils faussent vos rapports, peuvent alourdir votre facture selon votre contrat HubSpot et deviennent un risque.
L'adresse n'a pas été collectée auprès de la personne : elle doit donc être informée. La fiche de la CNIL consacrée aux droits des personnes détaille ce que l'organisme doit dire : la finalité, la manière dont l'adresse a été obtenue, les droits et le moyen de les exercer.
Le premier email de séquence s'y prête. Quelques lignes suffisent, à adapter à votre situation :
« Nous vous écrivons pour vous présenter [finalité : notre offre liée à votre métier]. Nous avons déduit votre adresse professionnelle à partir de votre nom et du format d'adresse de votre entreprise. Vous disposez d'un droit d'accès, d'effacement et d'opposition : si vous ne souhaitez plus être contacté(e), répondez simplement à cet email. Plus d'informations : [lien vers notre politique de confidentialité]. »
Un prospect répond « ne me contactez plus », le commercial le supprime du CRM. Trois mois plus tard, un nouvel enrichissement recrée la même adresse. Résultat : la personne qui s'était opposée reçoit un nouveau message.
La CNIL est nette : une opposition entraîne l'exclusion immédiate des données de tout traitement ultérieur de reconstitution, sans que la personne ait à se justifier. Supprimer le contact ne suffit donc pas. Chez if/else agency, on conseille de garder une trace minimale de l'opposition dans une liste d'exclusion (ou de suppression), consultée avant chaque import.
L'intérêt légitime ne se décrète pas : il se démontre, avec votre analyse, vos critères d'exclusion et vos règles de conservation. Leto recommande d'inventorier les outils qui devinent ou enrichissent des adresses, et d'inscrire la reconstitution dans le registre, rattachée au traitement de prospection.
Prévoyez aussi un circuit de réponse documenté (qui traite les demandes, dans quel délai) : selon la fiche de la CNIL sur les droits, une personne sans réponse sous un mois peut la saisir.
Ces règles doivent être appliquées par le CRM lui-même, car la mémoire des commerciaux ne suffit jamais. Chez if/else agency, on recommande quelques réglages simples :
C'est le principe que nous défendons dans notre article sur l'enrichissement de données conforme au RGPD : la conformité dépend surtout de la façon dont le CRM est structuré. Notre accompagnement CRM et marketing automation part de ces propriétés et workflows, et notre équipe Sales aligne vos séquences de prospection sur ces règles.
La CNIL a choisi une voie pragmatique : deviner une adresse professionnelle reste possible pour prospecter en B2B. Mais les garanties qu'elle décrit se vérifient dans votre CRM, pas dans votre argumentaire.
Si vous ne savez pas dire quels contacts de votre base ont une adresse devinée, vous avez un chantier.
Conseil if/else : tracez l'origine de chaque adresse, purgez ce qui n'a jamais servi et ne laissez jamais un enrichissement passer par-dessus une opposition. Si vous repartez de zéro, notre méthode d'onboarding HubSpot intègre ces règles dès la structure du portail.
Vous voulez vérifier comment votre portail gère les adresses devinées ? Parlons-en.