Pour développer leur activité, les TPE et PME utilisent souvent la prospection par e-mail afin de trouver de nouveaux clients, présenter leurs services ou établir des relations professionnelles. Certaines entreprises vont même jusqu’à reconstituer les adresses électroniques de leurs prospects à partir d’informations disponibles sur Internet, comme leur nom, leur prénom et le nom de leur entreprise.
Cette pratique peut sembler simple et anodine. Pourtant, une adresse e-mail professionnelle nominative constitue une donnée personnelle lorsqu’elle permet d’identifier une personne physique. Son utilisation est donc encadrée par le Règlement général sur la protection des données (RGPD).
L’objectif de cet article est d’aider les TPE et PME à comprendre dans quelles conditions elles peuvent reconstituer des adresses e-mail professionnelles, les utiliser pour contacter des prospects et organiser leurs campagnes commerciales dans le respect de la réglementation.
Qu’est-ce que la reconstitution d’une adresse e-mail professionnelle ?
La reconstitution d’une adresse e-mail professionnelle consiste à déduire ou à « deviner » l’adresse électronique d’une personne à partir d’informations accessibles en ligne.
Par exemple, une entreprise souhaite contacter une responsable des ressources humaines d’une société. Elle connaît son nom et son prénom grâce au site Internet de son employeur ou à son profil LinkedIn. Elle constate également que les adresses électroniques de cette société suivent le format suivant :
- prenom.nom@entreprise.fr ;
- p.nom@entreprise.fr ;
- prenom@entreprise.fr.
Elle peut alors déduire l’adresse professionnelle de cette personne, même si celle-ci ne l’a jamais publiée directement sur Internet. Cette méthode est notamment utilisée pour :
- constituer une base de contacts professionnels ;
- rechercher de nouveaux prospects ;
- proposer des prestations ou des services à des entreprises ;
- établir des relations institutionnelles ou commerciales.
Toutefois, le fait qu’une information soit accessible sur Internet ne signifie pas qu’elle peut être librement collectée et réutilisée.
Lorsque l’adresse reconstituée permet d’identifier une personne physique, son traitement doit respecter les principes du RGPD. La CNIL rappelle notamment que la reconstitution doit être justifiée et tenir compte des attentes raisonnables des personnes concernées.
Une entreprise peut-elle reconstituer des adresses e-mail sans consentement ?
Dans certaines situations, une entreprise peut reconstituer une adresse e-mail professionnelle sans demander préalablement le consentement de la personne.
La CNIL précise que cette pratique peut notamment reposer sur l’intérêt légitime de l’organisme, prévu à l’article 6, paragraphe 1, point f), du RGPD.
Cependant, cette possibilité n’est pas automatique. L’entreprise doit vérifier que son intérêt est réel et légitime, que la personne pouvait raisonnablement s’attendre à cette utilisation de ses informations et que ses droits et libertés ne prévalent pas sur cet intérêt.
La CNIL recommande notamment d’examiner trois éléments.
La finalité et le caractère intrusif de la démarche
L’entreprise doit d’abord déterminer pourquoi elle souhaite reconstituer l’adresse électronique.
La reconstitution doit s’inscrire dans un objectif précis, par exemple une campagne de prospection commerciale entre professionnels (B2B) ou une prise de contact institutionnelle.
Il faut également tenir compte du caractère intrusif de la démarche. Une prise de contact ponctuelle et ciblée, en lien avec l’activité professionnelle de la personne, n’a pas nécessairement le même impact qu’une collecte massive d’adresses destinée à envoyer des campagnes commerciales répétées.
La visibilité des informations disponibles en ligne
L’entreprise doit ensuite examiner le contexte dans lequel les informations utilisées pour reconstituer l’adresse ont été rendues accessibles.
Par exemple, une personne qui publie volontairement ses coordonnées professionnelles sur le site de son entreprise peut raisonnablement s’attendre à être contactée dans un contexte professionnel.
En revanche, la situation est différente lorsqu’une personne ne dispose d’aucune présence identifiable en ligne ou prend des mesures pour protéger ses coordonnées, notamment en limitant l’accès à son profil ou en privilégiant un formulaire de contact.
Dans ces circonstances, elle ne peut pas nécessairement s’attendre à ce que son adresse soit reconstituée.
Les garanties mises en place pour protéger les personnes
L’entreprise doit également prévoir des mesures permettant de limiter les conséquences de cette collecte.
La CNIL recommande notamment :
- de limiter la conservation des adresses reconstituées, par exemple en ne les conservant que lorsqu’un premier contact effectif est établi dans un délai raisonnable ;
- de prendre en compte immédiatement toute opposition et d’exclure la personne de tout traitement ultérieur de reconstitution de son adresse ;
- de ne pas poursuivre la collecte lorsque les conditions permettant de justifier cette pratique ne sont pas réunies.
Si l’entreprise ne peut pas démontrer que ces conditions sont respectées, elle doit s’abstenir de reconstituer l’adresse, à moins de pouvoir recueillir le consentement de la personne.
Cet article pourrait aussi vous intéresser : Minimisation des données : Pourquoi et comment appliquer ce principe RGPD ?
Quelles sont les obligations du RGPD et les règles de prospection commerciale ?
La reconstitution d’une adresse électronique ne représente qu’une première étape. Si l’entreprise souhaite ensuite utiliser cette adresse pour envoyer des messages commerciaux, elle doit également respecter les règles applicables à la prospection électronique.
Définir une finalité et une base légale
Conformément à l’article 5 du RGPD, l’entreprise doit définir une finalité précise pour la collecte et l’utilisation des données personnelles.
Elle doit également identifier une base légale appropriée, conformément à l’article 6 du RGPD. Dans le cadre d’une prospection commerciale entre professionnels (B2B), l’intérêt légitime peut généralement être utilisé lorsque la sollicitation est en rapport avec la profession de la personne contactée.
Exemple : une entreprise qui propose un logiciel de gestion comptable souhaite contacter le directeur administratif et financier d’une PME. La sollicitation présente un lien direct avec ses fonctions professionnelles et peut, sous réserve des autres conditions applicables, reposer sur l’intérêt légitime.
En revanche, une adresse professionnelle nominative ne peut pas être utilisée librement pour n’importe quelle campagne commerciale.
Il faut notamment distinguer les situations suivantes :
- Prospection B2B : l’intérêt légitime peut être mobilisé lorsque l’offre est en rapport avec la profession du destinataire. Celui-ci doit être informé et pouvoir s’opposer simplement et gratuitement aux sollicitations.
- Prospection B2C : le consentement préalable est en principe nécessaire pour envoyer des messages commerciaux par courrier électronique à des particuliers.
- Client existant : une entreprise peut, sous certaines conditions, adresser des offres portant sur des produits ou services analogues à ceux déjà achetés auprès d’elle, à condition de permettre une opposition simple et gratuite.
Le simple fait de créer un compte sur un site Internet ne suffit pas à bénéficier de l’exception réservée aux clients existants.
Cet article pourrait aussi vous intéresser : Prospection B2B : comment réussir son démarchage tout en restant conforme au RGPD ?
Informer les personnes de l’utilisation de leurs données
Les articles 12 à 14 du RGPD imposent une obligation de transparence. Lorsque l’entreprise reconstitue une adresse e-mail à partir d’informations obtenues auprès d’autres sources, elle doit notamment informer la personne :
- de l’identité du responsable du traitement ;
- de la finalité de la collecte et de sa base légale ;
- des catégories de données collectées ;
- de la source des données et, si possible, de leur provenance ;
- des destinataires éventuels ;
- de la durée de conservation ;
- des droits dont elle dispose et des modalités pour les exercer.
L’information doit être communiquée dans les conditions et délais prévus par l’article 14 du RGPD. En particulier, lorsque les données sont utilisées pour communiquer avec la personne, l’information doit être fournie au plus tard lors du premier contact.
Respecter le droit d’opposition
L’article 21 du RGPD prévoit un droit d’opposition au traitement des données personnelles fondé sur l’intérêt légitime.
En matière de prospection commerciale, ce droit bénéficie d’une protection particulière : lorsqu’une personne s’oppose à l’utilisation de ses données à des fins de prospection, celles-ci ne doivent plus être traitées pour cette finalité.
L’entreprise doit donc proposer un moyen simple, gratuit et facilement accessible pour refuser de recevoir de nouveaux messages. Par exemple, elle peut intégrer un lien de désinscription dans chaque e-mail commercial ou indiquer une adresse de contact permettant de formuler une opposition.
Elle doit également tenir compte de cette opposition dans ses futurs envois et dans la gestion de ses fichiers de contacts.
Limiter la conservation des données
Le principe de limitation de la conservation, prévu par l’article 5 du RGPD, impose de ne pas conserver les données personnelles au-delà de la durée nécessaire aux objectifs poursuivis.
Une entreprise ne devrait donc pas conserver indéfiniment une liste d’adresses reconstituées qui n’ont jamais donné lieu à un contact effectif.
Elle doit définir une durée de conservation adaptée à la finalité, prévoir une révision régulière de ses fichiers et supprimer les données devenues inutiles.
Une attention particulière doit être portée aux listes d’opposition : l’entreprise peut conserver les informations strictement nécessaires pour éviter de recontacter une personne qui a refusé la prospection, dans des conditions adaptées.
Sécuriser les fichiers de prospection
L’article 32 du RGPD impose de protéger les données personnelles contre les accès non autorisés, les pertes ou les divulgations accidentelles.
Pour une TPE ou une PME, cela implique notamment de :
- limiter l’accès aux fichiers de prospection aux collaborateurs concernés ;
- utiliser des comptes individuels et des mots de passe robustes ;
- sécuriser les outils de gestion de contacts et les plateformes d’e-mailing ;
- éviter les fichiers partagés sans contrôle des accès ;
- vérifier les conditions contractuelles et les garanties des prestataires utilisés.
Si l’entreprise fait appel à un prestataire pour constituer ou gérer sa base de contacts, elle doit également examiner son rôle et les obligations contractuelles applicables, notamment celles de l’article 28 du RGPD lorsqu’il agit en qualité de sous-traitant.
Conclusion
La reconstitution d’adresses e-mail professionnelles peut constituer un moyen de développer les relations commerciales d’une entreprise. Toutefois, les informations accessibles en ligne ne sont pas librement réutilisables et leur utilisation doit respecter les exigences du RGPD.
Avant de contacter un prospect, l’entreprise doit donc s’interroger sur la pertinence de la collecte, la base légale, les attentes de la personne et les garanties mises en place pour protéger ses droits.
Votre entreprise reconstitue ou utilise des adresses e-mail professionnelles pour prospecter ? Vérifier la provenance des données, les conditions de leur utilisation et les modalités d’opposition est essentiel pour développer votre activité tout en respectant la vie privée de vos interlocuteurs.
à 
