Votre agent de prospection reconstitue des adresses [email protected] pour 400 prospects : qui, dans l’équipe, sait ce qu’il garde des adresses restées sans réponse ? Depuis le 16 octobre 2026, une fiche de la CNIL encadre la reconstitution d’adresses professionnelles. Elle encadre la pratique sans l’interdire : un intérêt légitime réel et une information du destinataire sont exigés, avec des garanties qu’un agent doit appliquer sans qu’on le lui rappelle.
Ce que la CNIL a publié le 16 octobre
La CNIL a mis en ligne deux fiches le 16 octobre 2026 (pages 169044 et 169047 de cnil.fr) : « Reconstitution d’adresses électroniques professionnelles : dans quel cadre est-ce autorisé ? » côté organismes et une fiche « vos droits » côté personnes. La reconstitution consiste à déduire une adresse du nom d’une personne et du modèle d’adresse de son employeur, ce que fait un agent qui repère le schéma prénom.nom.
La pratique relève du RGPD même quand les données de départ sont publiques, comme l’a résumé le 20 octobre 2026 Siècle Digital.
Le démarchage téléphonique relève d’un autre régime, vu plus bas. La presse a pourtant traité les deux sujets ensemble (Lept’idigital en a fait un seul article).
Quand une adresse devinée devient défendable
Pour un message commercial adressé à un professionnel, la CNIL n’exige pas de consentement préalable. L’expéditeur s’appuie sur l’intérêt légitime, à condition que l’offre ait un rapport avec la fonction du destinataire : la CNIL cite un logiciel proposé au directeur informatique, rapporte Selectra. Une offre d’outil de gestion de flotte adressée à un directeur financier n’a aucun rapport évident avec sa fonction.
La fiche demande à l’organisme d’avoir un « intérêt réel » à contacter la personne, fondé sur l’intérêt légitime, sans « atteinte disproportionnée » à ses droits. L’analyse pèse la finalité, la visibilité des données, le contrôle que la personne exerce dessus et les garanties prévues (conservation limitée, droit d’opposition).
Pour un agent, le critère décisif est l’attente raisonnable. Selon la CNIL, les personnes sans présence identifiable en ligne ou qui protègent activement leurs coordonnées ne peuvent « a priori » pas s’attendre à la reconstitution de leur adresse. Les signaux à repérer : aucun profil professionnel ni page d’entreprise citant le nom ou des coordonnées protégées par des paramètres de confidentialité renforcés.
L’objection habituelle : « mon agent ne fait que lire des pages publiques, donc rien à déclarer ». La fiche répond que l’accessibilité d’une donnée ne dispense pas du RGPD. Et chaque cas se juge : la CNIL parle d’une analyse au cas par cas.
Les cinq règles à écrire dans le system prompt de l’agent
Quel que soit le modèle qui fait tourner l’agent, il ne connaît pas la fiche du 16 octobre 2026 tant qu’on ne la lui écrit pas. Il n’exécute que ce que son system prompt et ses outils lui permettent. Les règles suivantes traduisent la fiche en consignes vérifiables, dans l’ordre où l’agent rencontre chaque situation :
- Avant toute reconstitution, l’agent interroge la visibilité du prospect (profil sur un réseau pro, page équipe du site) et consigne le lien qui la prouve. Sans trace, il s’abstient.
- L’agent refuse de reconstituer l’adresse quand le seul point d’entrée visible est un formulaire de contact ou quand la page de l’entreprise ne cite pas la personne.
- Il vérifie le lien entre l’offre et la fonction : un champ motif_de_contact obligatoire, rempli avant l’envoi, que l’équipe peut relire.
- Le premier message mentionne l’origine de l’adresse et donne un moyen simple de s’opposer.
- Toute opposition alimente une liste d’exclusion que l’agent consulte à chaque appel d’outil (tool use) de reconstitution, via votre CRM ou un serveur MCP interne.
Dans le system prompt, cela donne des consignes courtes et testables. Par exemple : « Ne reconstitue une adresse que si tu as enregistré dans le champ preuve_visibilite l’URL d’un profil ou d’une page d’équipe citant la personne. Si le champ est vide, réponds abstention. Avant chaque envoi, consulte la liste d’exclusion et refuse si l’adresse ou le domaine y figure. » L’équipe peut alors relire le journal de l’agent et vérifier, ligne par ligne, qu’une abstention a bien eu lieu quand la preuve manquait. Cette trace rend la démarche défendable devant un contrôle.
Stockez la liste d’exclusion hors du context window. Une liste lue dans la conversation disparaît avec elle, alors qu’une base interrogée à chaque tour la conserve.
Où l’agent engage votre responsabilité
Chaque étape d’un agent de prospection touche un point de la fiche et appelle un champ de données.
| Étape de l’agent | Point de vigilance CNIL | Champ ou règle à prévoir |
|---|---|---|
| Détection du modèle d’adresse de l’entreprise | Reconstitution soumise au RGPD même sur données publiques | Journal de la source consultée |
| Reconstitution pour un prospect | Attente raisonnable : visibilité, coordonnées protégées, profil absent | Preuve de visibilité, blocage si absente |
| Premier envoi | Information sur l’origine de l’adresse et droit d’opposition | Mention d’origine dans le gabarit |
| Absence de réponse | Conservation de l’adresse seulement après un premier échange | Date de purge de l’adresse non confirmée |
| Opposition reçue | Exclusion immédiate de tout nouveau traitement de ce type | Liste d’exclusion minimale conservée |
Conserver le strict minimum pour honorer une opposition est une bonne pratique : tout effacer ferait réapparaître le prospect à la campagne suivante. La fiche impose l’exclusion immédiate ; la liste elle-même reste un choix d’implémentation. Si l’expéditeur ne répond pas sous 1 mois, la personne peut saisir la CNIL, indique Selectra : prévoyez 30 jours maximum pour traiter une opposition.
Appels à froid : ce qui change depuis le 11 août
Depuis le 11 août 2026, en application de la loi du 30 juin 2025, un consommateur ne peut plus être démarché par téléphone sans consentement préalable (DGCCRF). Ce régime met fin au fonctionnement de Bloctel. Le consentement doit être libre et univoque. La personne peut le retirer. Il vaut un an au maximum, selon Selectra. Le professionnel doit pouvoir prouver le consentement.
Les créneaux restent bornés au lundi-vendredi de 10 h à 13 h et de 14 h à 20 h. La FAQ de la DGCCRF limite à quatre les appels ou tentatives par consommateur sur 30 jours glissants, appels en absence compris. L’amende peut atteindre 375 000 € pour une personne morale, selon Selectra (les sources divergent sur les sanctions, à vérifier au Journal officiel). Deux exceptions subsistent : l’appel lié à un contrat en cours et la vente d’abonnements à des journaux ou magazines.
Pour un agent vocal ou un outil qui compose les numéros, cela se traduit par un registre : date du consentement, canal, identité de l’appelant, objet de l’appel. Un consentement qui omet l’appelant et l’objet de l’appel ne remplit pas les critères.
Adresses génériques et appels B2B
Une adresse comme contact@ ou info@ désigne l’entreprise elle-même. Selectra la place hors du cadre de la reconstitution : le raisonnement sur l’attente raisonnable ne s’y applique pas.
Côté téléphone, le régime du consentement préalable protège les consommateurs. Avant de composer un numéro, l’agent doit donc classer la cible : consommateur ou professionnel.
Ce que la CNIL ne chiffre pas
La fiche demande de ne conserver une adresse reconstituée qu’un « délai raisonnable » après le premier échange, sans fixer de durée. Fixer 30 jours ou 6 mois dans votre agent reste un choix à documenter et à faire valider par votre DPO ou un juriste. Ce texte ne tranche pas non plus tous les cas : la CNIL précise que ses critères guident l’analyse au cas par cas et ne forment pas une liste d’interdits.
Pour auditer votre pipeline cette semaine, partez du pipeline d’enrichissement de prospects B2B sans code et ajoutez-y les cinq règles ci-dessus. Le stack de génération de leads par signaux et le cadrage CNIL sur les pixels de suivi email complètent le périmètre.
Un agent applique les règles écrites dans son prompt, aucune autre.
