La Commission Nationale de l'Informatique et des Libertés (CNIL) précise les conditions dans lesquelles la reconstitution d'adresses électroniques professionnelles à partir d'informations accessibles en ligne est autorisée par le RGPD.

Cette pratique peut se fonder sur l'intérêt légitime, à condition que le responsable de traitement ait un intérêt réel et que cela ne porte pas une atteinte disproportionnée aux droits et intérêts des personnes concernées. Pour évaluer cet équilibre, la CNIL recommande de prendre en compte plusieurs critères. La finalité globale, telle que la prospection commerciale entre professionnels, peut justifier la reconstitution sur la même base légale que le traitement principal. Il faut aussi analyser les attentes raisonnables des personnes, qui dépendent de leur visibilité en ligne et des mesures qu'elles ont prises pour restreindre l'accès à leurs données. Une personne sans présence en ligne identifiable ou qui protège activement ses informations ne peut raisonnablement s'attendre à une telle reconstitution. La mise en œuvre de garanties est également conseillée, comme limiter la conservation des adresses reconstituées et assurer un droit d'opposition immédiat à toute reconstitution future. Pour les organismes publics, la mission d'intérêt public prévue à l'article 6, paragraphe 1, point e du RGPD peut servir de fondement, en appliquant des garanties similaires. Si ces conditions ne sont pas remplies, le consentement de la personne est requis.