Adresses professionnelles devinées, le cadre posé pour contacter sans consentement

Un courriel déduit n’est pas une donnée libre d’emploi

Une entreprise peut retrouver une adresse professionnelle sans qu’elle soit publiée telle quelle. Elle combine généralement le nom, le prénom et l’employeur avec le format utilisé par l’organisation. Si ce format suit le modèle prénom.nom, l’adresse devient alors prévisible. Cette opération sert notamment à constituer une base de contacts, prospecter des professionnels ou préparer un échange institutionnel ciblé.

Pour la personne contactée, la conséquence arrive avant toute explication technique. Un message peut atteindre directement sa boîte professionnelle alors qu’elle n’a jamais communiqué cette adresse à l’expéditeur. La Commission nationale de l’informatique et des libertés, appelée CNIL, rappelle que l’accès public aux informations de départ ne libère pas leur réutilisateur de ses obligations. Le règlement général sur la protection des données, ou RGPD, encadre donc aussi cette déduction.

L’intérêt légitime ne constitue pas un passe-droit

Le consentement préalable n’est pas toujours indispensable selon le texte publié par la CNIL. Un organisme peut parfois invoquer son intérêt légitime, c’est-à-dire un besoin réel permettant certains usages de données sans accord préalable. Faciliter des échanges professionnels ou développer une activité commerciale peut entrer dans cette logique. Cette possibilité reste toutefois conditionnée à un examen des effets sur les personnes.

L’organisme doit vérifier que son objectif ne porte pas une atteinte disproportionnée aux droits et aux intérêts de la personne visée. Il doit aussi déterminer si celle-ci pouvait raisonnablement prévoir cet usage de ses informations. L’analyse se fait au cas par cas et doit intégrer les moyens de réduire l’impact. La CNIL présente donc des critères d’évaluation, et non une autorisation générale de fabriquer des listes de courriels.

Le but du contact détermine le cadre applicable

La reconstitution est rarement une opération isolée. Elle constitue plutôt une étape technique d’un traitement plus large, comme une campagne commerciale entre entreprises, une communication professionnelle ou un échange institutionnel. Ce but global doit être défini dès l’origine. Il joue un rôle central dans le choix de la base légale, c’est-à-dire la justification prévue par le RGPD pour traiter les données.

Lorsque le traitement principal repose valablement sur l’intérêt légitime, la reconstitution peut généralement suivre la même base. La CNIL donne l’exemple d’une prospection professionnelle déjà fondée sur cet intérêt. Elle précise cependant que la continuité entre les deux opérations n’est ni automatique ni systématique. Le caractère intrusif du contact, le contexte de collecte et les garanties adoptées doivent encore être examinés ensemble.

La visibilité en ligne change les attentes raisonnables

La présence d’un nom sur Internet ne suffit pas à établir que son titulaire accepte un contact direct. Il faut regarder où l’information apparaît, son degré de visibilité et les paramètres d’accès choisis. Le niveau de contrôle exercé par la personne compte également. Ces indices aident à apprécier si elle pouvait prévoir la reconstitution de son adresse professionnelle.

L’absence de présence identifiable sur un réseau professionnel ou un site institutionnel constitue un indice fort contre cette attente. Des paramètres de confidentialité renforcés, un accès restreint ou le recours à un formulaire montrent aussi une volonté de contrôle. Selon la CNIL, les personnes qui protègent ainsi leurs coordonnées ne peuvent, a priori, raisonnablement anticiper leur reconstitution. Cette position limite fortement la portée du seul argument selon lequel les données étaient techniquement accessibles.

Des garanties concrètes, mais pas de conformité automatique

Des mesures peuvent rééquilibrer l’opération lorsque l’intérêt légitime reste envisageable. La CNIL recommande d’abord de limiter strictement la conservation des adresses reconstituées. Une adresse pourrait être gardée seulement si un premier contact effectif intervient dans un délai raisonnable. Le texte ne fixe toutefois aucune durée chiffrée pour ce délai, ce qui laisse à l’organisme la responsabilité de justifier son choix.

Toute opposition devrait aussi entraîner l’exclusion immédiate des données de futurs traitements de reconstitution. La personne n’aurait pas à motiver sa demande par une situation particulière, y compris hors du seul cadre commercial. Ces garanties complètent les autres obligations mentionnées dans le texte. Elles concernent l’information des personnes, la durée de conservation, l’exercice de leurs droits et la sécurité des données.

Si l’organisme ne peut pas satisfaire aux conditions exposées, il doit renoncer à reconstituer l’adresse. Il lui reste la possibilité de recueillir le consentement de la personne, conformément à la position rappelée par la CNIL. Le texte ferme ainsi la voie à une justification reposant uniquement sur l’utilité commerciale ou sur la disponibilité des informations. L’objectif annoncé doit rester compatible avec les attentes et les droits observés.

Un régime différent peut concerner les échanges entre administrations et organismes publics accomplissant leurs missions de service public. La reconstitution peut alors reposer sur la mission d’intérêt public, prévue par l’article 6.1.e du RGPD. La CNIL recommande néanmoins les mêmes garanties de limitation et d’opposition. Son texte ne tranche pas chaque situation particulière, mais fournit les éléments que chaque organisme doit confronter à son propre traitement.