En bref : depuis le 14 avril 2026, la CNIL a publié une recommandation qui encadre précisément l'usage des pixels de suivi dans les emails. Un pixel de suivi est une image invisible d'1x1 pixel intégrée dans un email pour savoir si celui-ci a été ouvert. La règle générale reste le consentement préalable du destinataire, mais une exception existe désormais pour la mesure de délivrabilité des emails transactionnels (factures, alertes de compte, confirmations de commande). Les entreprises qui utilisaient déjà des pixels avant la publication de la recommandation avaient trois mois pour informer clairement leurs destinataires et leur permettre de s'y opposer, soit jusqu'au 14 juillet.
⚠️ Ce délai est aujourd'hui dépassé. Si votre entreprise n'a pas encore mis en place cette information et ce mécanisme d'opposition, il est urgent de régulariser la situation sans attendre. Chaque jour de retard expose davantage votre organisme en cas de contrôle de la CNIL. Auditez vos emails, mettez à jour votre politique de confidentialité et activez un lien d'opposition dès que possible.
Qu'est-ce qu'un pixel de suivi ?
Un pixel de suivi, parfois appelé « pixel espion », est une méthode de traçage alternative aux traceurs et témoins de connexion habituels (cookies). Concrètement, Il prend la forme d'une image minuscule, de 1 pixel sur 1 pixel, intégrée dans un courriel ou une page web et invisible pour l'utilisateur.
Le nom de fichier de cette image contient un identifiant propre à chaque destinataire. Lorsque l'image se charge, un serveur enregistre que la personne a ouvert le message ou visité une page donnée. Cette collecte de données permet ensuite une communication en fonction du comportement de chaque destinataire : personnalisation, création de profils, ou mesure d'audience.
Les pixels de suivi fonctionnent-ils encore aujourd'hui ? Oui, et leur usage reste largement répandu. La recommandation de la CNIL ne les interdit pas : elle encadre les conditions dans lesquelles leur utilisation reste légale, notamment via le recueil du consentement.
Les usages courants du pixel de suivi :
- Mesurer les taux d'ouverture d'une campagne email
- Personnaliser les relances selon l'engagement du destinataire
- Contrôler la délivrabilité, c'est-à-dire la bonne réception effective des messages
- Nettoyer une base de contacts en identifiant les adresses inactives
Pourquoi la CNIL a légiféré sur ce sujet
L'usage du pixel de suivi dans les emails n'a rien de nouveau, mais son recours a nettement augmenté ces dernières années. Contrairement à un cookie déposé sur un site web, le pixel s'invite dans la messagerie électronique, un espace perçu comme privé par les utilisateurs. Cette différence de contexte a généré un volume croissant de plaintes auprès de la CNIL, qui a donc engagé une réflexion pour clarifier le cadre juridique applicable.
La recommandation vient compléter deux textes existants :
-
les lignes directrices du Comité européen de la protection des données (CEPD) sur les traceurs,
-
et la recommandation « cookies et autres traceurs » déjà publiée par la CNIL.
L'objectif est d'adapter ces principes aux spécificités techniques et opérationnelles propres à l'email.
Avant sa publication définitive, le texte a fait l'objet d'une consultation publique lancée en juin 2025, à laquelle ont contribué des entreprises, des associations professionnelles, des particuliers et d'autres autorités de protection des données. Ces retours ont permis d'affiner plusieurs points, notamment l'introduction d'une exception pour la mesure de délivrabilité.
Lexique : les termes à connaître
| Terme | Définition |
|---|---|
| Pixel de suivi | Image invisible d'1x1 pixel intégrée à un email, qui déclenche un signal de lecture au chargement |
| Traceur | Terme générique désignant tout dispositif (cookie, pixel, empreinte numérique) permettant de suivre un utilisateur |
| Délivrabilité | Capacité d'un email à arriver effectivement dans la boîte de réception du destinataire, sans être bloqué ou filtré |
| Email transactionnel | Message lié à un service demandé par l'utilisateur : facture, confirmation de commande, alerte de sécurité, réinitialisation de mot de passe |
| Article 82 de la loi Informatique et Libertés | Disposition française qui encadre le dépôt de traceurs sur le terminal d'un utilisateur, en général sous réserve de consentement |
| CEPD | Comité européen de la protection des données, qui coordonne l'application du RGPD entre les autorités nationales |
Ce que dit concrètement la nouvelle recommandation
Trois apports structurent le texte de la CNIL :
1. Le rôle de chaque acteur est clarifié. La recommandation aide les organismes qui utilisent des pixels, mais aussi leurs prestataires techniques, à déterminer leurs obligations respectives selon leur rôle dans le traitement des données.
2. Une distinction est posée entre pixels soumis à consentement et pixels exemptés. Le principe reste le consentement préalable du destinataire pour tout pixel de suivi. Une exception est toutefois introduite pour la mesure individuelle de la délivrabilité des emails rattachés à un service demandé par le destinataire, c'est-à-dire les emails transactionnels ou ceux pour lesquels un consentement a déjà été donné. Cette exemption reste strictement encadrée : les données collectées doivent se limiter au strict nécessaire pour mesurer la délivrabilité, sans aller au-delà.
3. Les modalités de recueil et de preuve du consentement sont précisées. La CNIL détaille comment obtenir un consentement libre et éclairé, comment permettre son retrait effectif, et comment en conserver la preuve.
Un point mérite une attention particulière pour les bases de contacts déjà constituées : pour les adresses collectées avant la publication de la recommandation (le 14 avril 2026), les entreprises disposent d'un délai de trois mois pour informer clairement leurs destinataires de l'usage de pixels, et leur permettre de s'y opposer facilement. Passé ce délai (soit après le 14 juillet 2026), les organisations s'exposent au risque de sanction en cas de contrôle de la CNIL.
Une approche pragmatique : le consentement géré contact par contact
Plutôt que d'appliquer une règle tout-ou-rien à l'ensemble d'une liste de diffusion, il est possible de gérer le consentement au suivi contact par contact. Chaque destinataire dispose alors d'un statut individuel (consentement donné, refusé, ou inconnu), et seuls les contacts ayant explicitement dit oui continuent d'être suivis à l'ouverture.
Cette approche présente un double avantage : elle évite de perdre toute visibilité sur l'engagement de votre base tant que la collecte de consentement progresse, tout en respectant strictement le choix de chaque destinataire. Concrètement, cela implique de créer, pour chaque contact, trois informations associées à son profil :
- Le statut de consentement (oui / non / non renseigné)
- La date à laquelle ce consentement a été donné ou refusé
- La source du consentement (formulaire d'inscription, formulaire de mise à jour de profil, etc.)
Un point de vigilance : par défaut, un contact dont le statut est « non renseigné » ne doit pas être considéré comme suivi. Le silence ne vaut pas consentement. Il est recommandé de désactiver le tracking pour tous les contacts au statut inconnu, et de ne réactiver le suivi qu'au fur et à mesure des opt-in actifs.
Ce principe s'applique quel que soit le canal d'envoi : campagnes marketing classiques, scénarios d'automatisation, ou emails transactionnels envoyés via SMTP/API. La finalité commerciale du contenu prime toujours sur le canal technique utilisé pour l'envoyer.
Le cas particulier des communications B2B
En prospection B2B, un point mérite une attention spécifique : le consentement au suivi par pixel est indépendant du régime de consentement applicable à l'envoi de l'email lui-même.
Un email de prospection commerciale peut, dans certains cas, être envoyé légalement sans consentement préalable au titre des exemptions prévues pour la prospection B2B. Mais cela ne dispense pas d'obtenir un consentement distinct et explicite pour y insérer un pixel de suivi. Les deux consentements ne se confondent pas : le premier autorise l'envoi, le second autorise le traçage.
Pour vos séquences de prospection à froid, il est donc recommandé de collecter un consentement au suivi explicite avant d'activer le pixel individuel, indépendamment de la légalité de l'envoi lui-même. L'exemption liée à la mesure de délivrabilité reste applicable en B2B dans les mêmes conditions qu'en B2C.
Les étapes pour se mettre en conformité
Voici la marche à suivre pour auditer vos pratiques et vous aligner sur la recommandation de la CNIL :
- Cartographier tous les pixels de suivi utilisés dans vos emails marketing, newsletters et emails transactionnels (outil d'emailing, CRM, outils de tracking tiers).
- Qualifier chaque email concerné : s'agit-il d'un email transactionnel (facture, confirmation, alerte) ou d'un email marketing/newsletter ?
- Vérifier la base légale de chaque pixel : consentement déjà recueilli, ou pixel relevant de l'exemption délivrabilité sur un email transactionnel.
- Mettre à jour votre politique de confidentialité pour mentionner explicitement l'usage de pixels de suivi et leur finalité.
- Revoir votre mécanisme de consentement pour les emails marketing : le consentement doit être libre, spécifique, et son retrait doit être simple.
- Informer les contacts existants. Pour les adresses collectées avant le 14 avril 2026, la CNIL a accordé un délai de trois mois, soit jusqu'au 14 juillet 2026, pour prévenir vos abonnés actuels de la présence de pixels et leur proposer un moyen simple de s'y opposer, comme un lien d'opt-out en un clic. Cette échéance est aujourd'hui dépassée : sans régularisation rapide, vous vous exposez à des sanctions de la CNIL.
- Documenter la preuve du consentement pour chaque contact concerné, en cas de contrôle.
- Limiter la collecte aux seules données nécessaires à la finalité déclarée (délivrabilité ou mesure d'audience), sans extension à d'autres usages.
- Ajouter, dans le pied de page de vos emails, un lien permettant de retirer facilement le consentement au suivi par pixel. Idéalement un lien unique par destinataire, menant vers une page (globale ou dédiée) qui permet ce retrait sans action supplémentaire, comme la ressaisie de l'adresse email. Ce lien peut être intégré à votre page de préférences email existante, à condition qu'elle propose une option claire et distincte pour désactiver uniquement le suivi, sans obliger la personne à se désabonner de vos communications.
- Auditer vos scénarios d'automatisation et vos flux transactionnels à la recherche d'envois à finalité mixte. Un exemple typique : une séquence de bienvenue qui démarre par un email réellement transactionnel (exempté), puis enchaîne sur du contenu promotionnel (non exempté). L'exemption ne se prolonge pas automatiquement sur l'ensemble du scénario. Vérifiez également vos emails déclenchés par comportement (panier abandonné, baisse de prix), qui sont considérés comme à finalité commerciale même s'ils sont automatisés.
- Vérifier vos intégrations API/SMTP lorsqu'une même clé technique sert à la fois à des envois transactionnels et promotionnels : le consentement au suivi doit être positionné individuellement pour chaque envoi à finalité commerciale, indépendamment du canal technique utilisé.
Ce que ça implique concrètement au quotidien
Une fois ces étapes en place, le changement le plus visible sera une baisse du taux d'ouverture mesuré (mécaniquement, seuls les contacts consentants restent trackés), qu'il faudra expliquer et anticiper dans le reporting. À plus long terme, cela pousse à rééquilibrer les indicateurs de performance emailing vers des signaux plus robustes et moins dépendants du pixel, comme le taux de clic ou les conversions effectives.
Vous avez un doute sur la conformité de vos campagnes emailing ? L'équipe Digital Passengers peut auditer votre setup de tracking et vous accompagner dans la mise en conformité.
