Vous l’avez peut être remarqué : de nombreuses entreprises dont vous recevez les newsletters vous ont adressé, à la même période, un e-mail au sujet des pixels de suivi. Ceci n’est pas le fruit du hasard. Ce mouvement fait suite à une recommandation de la CNIL, publiée le 14 avril 2026, qui précise les règles applicables à ces traceurs intégrés aux courriels.
Que mesure un pixel ? Dans quels cas faut-il recueillir le consentement du destinataire ? Quelles sont les exceptions admises ?
Ce qu'il faut retenir de la recommandation CNIL
La recommandation de la CNIL ne crée pas une nouvelle obligation juridique et ne transpose pas une nouvelle directive européenne. Elle précise simplement l’application de règles déjà existantes, notamment l’article 82 de la loi Informatique et Libertés, issu de l’article 5 § 3 de la directive européenne 2002/58/CE dite « ePrivacy », relatives aux pixels de suivi dans les courriers électroniques.
Application dans le temps : fin de la période transitoire le 14 juillet 2026
La recommandation a été adoptée le 12 mars 2026 et publiée au Journal officiel le 14 avril 2026.
Pour les adresses électroniques collectées avant le 14 avril 2026 une période transitoire de trois mois a toutefois été prévue. Pour ces anciennes bases, l'utilisation des pixels pouvait continuer pendant cette période, sous réserve d'informer clairement les destinataires et de leur permettre de s'y opposer.
Ce délai arrivait en principe à échéance le 14 juillet 2026. La CNIL admet toutefois qu'il puisse être prolongé de manière raisonnable lorsque le volume de la base ou des difficultés de délivrabilité rendent ce délai insuffisant, à condition que ces difficultés soient objectivement justifiées et documentées.
Aujourd'hui :
la période transitoire est en principe terminée depuis le 14 juillet 2026.
Pour les anciennes comme pour les nouvelles adresses, lorsque le pixel utilisé nécessite un consentement, celui-ci doit désormais être recueilli. À défaut, l'utilisation du pixel doit cesser (sous réserve d'éventuelles prolongations justifiées).
Qu’est-ce qu’un pixel de suivi ?
Un pixel de suivi est généralement une image invisible car de très petite taille, hébergée sur un serveur distant et intégrée dans un e-mail.
Lorsque le destinataire ouvre le message et que l’image est chargée, le serveur peut notamment récupérer :
le fait que l’e-mail a été ouvert ;
la date et éventuellement l’heure d’ouverture ;
des informations sur le terminal utilisé ;
un identifiant permettant d’associer l’ouverture à un destinataire.
Pourquoi le pixel relève de l'article 82 de la loi Informatique et Libertés
La CNIL considère que le pixel constitue une opération de lecture sur le terminal de l’utilisateur. Il relève donc de l’article 82 de la loi Informatique et Libertés, comme les cookies.
En effet ce n’est pas parce qu’il s’agit d’un e-mail et non d’un site internet que les règles relatives aux traceurs ne s'appliquent pas.
Consentement : principe & exceptions
En principe, l’utilisations d’un pixel de suivi nécessite le consentement préalable du destinataire. Il existe toutefois des exceptions notamment lorsque le pixel est strictement nécessaire à un service demandé par le destinataire ou lorsqu’il répond à certaines finalités.
Dans quels cas le consentement est-il nécessaire ?
Finalité
Consentement ?
Mesurer le taux d'ouverture pour analyser les performances d'une campagne
✅ Oui
Personnaliser les contenus selon les comportements
✅ Oui
Adapter la fréquence des envois selon les ouvertures
✅ Oui
Adapter le canal de communication selon les comportements
✅ Oui
Créer des profils selon les préférences et centres d'intérêt
✅ Oui
Réutiliser ces profils sur un site, une application ou un autre canal
✅ Oui
Détecter/analyser certains comportements frauduleux
✅ Oui
Mesurer individuellement les ouvertures pour la délivrabilité lorsque les conditions d'exemption ne sont pas réunies
✅ Oui
Dans quels cas le consentement n’est pas nécessaire ?
1) La sécurité / authentification
Par exemple, le pixel peut servir à vérifier qu’un e-mail contenant un code d’authentification est ouvert sur un terminal connu de l’utilisateur.
2) La délivrabilité et le nettoyage des bases
C’est le cas pour les newsletters.
Le pixel peut être utilisé sans consentement pour déterminer si des destinataires sont devenus inactifs et, en conséquence :
réduire la fréquence des envois ;
arrêter les envois ;
nettoyer les listes de diffusion.
Attention, cette exemption est très encadrée : le traitement doit être limité à ce qui est strictement nécessaire à cette finalité.
Bonne pratique : La CNIL recommande notamment de ne conserver, en principe, que la date du dernier e-mail ouvert, sans conserver l'heure, et de supprimer l'ancienne date lorsqu'une nouvelle ouverture est enregistrée.
3) Les e-mails transactionnels
Les exemptions peuvent également concerner les e-mails demandés par le destinataire ou rattachés à un service demandé par celui-ci.
Exemples :
confirmation de commande ;
facture ;
notification d'expédition ;
réinitialisation de mot de passe ;
alerte de sécurité ;
notification de paiement ;
rappel de rendez-vous ;
confirmation de réservation ;
réponse du service client ;
alerte liée au compte.
⚠️ Attention : le caractère transactionnel du mail ne signifie pas automatiquement que tous les pixels sont exemptés.
L'exemption dépend de la finalité précise du pixel.
Le droit d’envoyer l'e-mail et le droit d’envoyer le pixel sont deux sujets différents
C'est l'un des points les plus importants de la recommandation :
le consentement nécessaire pour envoyer un e-mail et le consentement nécessaire pour utiliser un pixel sont soumis à deux régimes distincts.
Ainsi, un e-mail peut être envoyé légalement sans consentement à la prospection, mais nécessiter malgré tout un consentement pour le pixel.
Droit d'envoyer l'email ≠ droit de tracker son ouverture.
Comment recueillir le consentement ?
Le consentement doit être : libre ; spécifique ; éclairé ; univoque et donné avant l'utilisation du pixel.
La CNIL recommande de le recueillir au moment où l'adresse e-mail est collectée.
Par exemple, lors de l'inscription : « J'accepte que des pixels de suivi soient utilisés dans les e-mails afin de mesurer leur ouverture et personnaliser les communications. »
L'information doit préciser les finalités et permettre à la personne de comprendre que le suivi pourra concerner les différents terminaux sur lesquels elle consulte ses e-mails.
Le consentement ne peut pas être implicite :
le silence ne vaut pas consentement : l’absence d’action doit être considérée comme un refus ;
aucune case ne doit être pré-cochée :le consentement doit résulter d’un acte positif ;
le consentement ne doit pas être forcé : le refus doit être aussi simple que l’acceptation :
il ne doit pas avoir de regroupement abusif des finalités : le destinataire doit pouvoir choisir finalité par finalité.
A noter qu’une exception existe lorsque les finalités sont connexes : un consentement unique peut alors être envisageable.
Le retrait du consentement
Le retrait doit être aussi simple que le consentement.
La CNIL recommande de prévoir un lien de retrait dans le pied de page de chaque e-mail.
Le destinataire ne devrait pas avoir à :
rechercher son adresse e-mail ;
remplir à nouveau un formulaire ;
effectuer plusieurs étapes inutiles.
Le retrait doit produire ses effets pour les futurs e-mails et, lorsque cela est nécessaire, l'organisme doit également empêcher l'exploitation ultérieure de pixels déjà intégrés dans d'anciens messages.
Bonne pratique : Lorsqu'une personne refuse le suivi, la CNIL recommande de ne pas la solliciter à nouveau pendant 6 mois.
Qui est responsable du traitement ?
La recommandation apporte des précisions sur les différents acteurs.
L'expéditeur, est en principe responsable du traitement, même lorsqu'il utilise un prestataire d'e-mailing.
Le fournisseur de la technologie de tracking, il peut être sous-traitant lorsqu'il agit exclusivement pour l'expéditeur, ou co-responsable lorsqu'il utilise également les données pour ses propres finalités.
Le fournisseur de messagerie n'est en principe ni responsable ni sous-traitant du traitement lié au pixel lorsqu'il se contente de permettre la réception du mail sans exploiter les données générées.
Comment prouver que le consentement a été recueilli ?
Le responsable du traitement doit pouvoir démontrer à tout moment que le consentement a été valablement recueilli.
Il convient notamment de conserver :
l'identité/adresse concernée ;
le choix effectué ;
la date du consentement ;
les finalités auxquelles la personne a consenti ;
les conditions dans lesquelles le consentement a été recueilli.
Il ne suffit donc pas d'affirmer qu'un consentement a été obtenu : le responsable du traitement doit être capable d'en produire la preuve effective.
