Pixels de suivi dans les emails : ce que la recommandation CNIL de mars 2026 change pour votre entreprise

Votre outil d'emailing vous indique qui a ouvert votre dernière newsletter, à quelle heure et sur quel appareil. Cette information repose sur un pixel de suivi, une image invisible hébergée sur un serveur distant, chargée à l'ouverture du message. Par une délibération du 12 mars 2026, publiée le 14 avril 2026 à l'issue d'une consultation publique, la CNIL a adopté une recommandation dédiée à cette pratique, qui la soumet au régime des cookies et autres traceurs. Pour les startups et PME qui pilotent leurs campagnes au taux d'ouverture, les conséquences opérationnelles sont directes et le calendrier est serré.

L'essentiel en 30 secondes. Les pixels de suivi dans les courriels relèvent de l'article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy. Leur utilisation exige en principe le consentement préalable du destinataire, notamment pour mesurer les performances des campagnes ou créer des profils publicitaires. Deux exemptions existent : la sécurité de l'authentification et la délivrabilité strictement entendue. Pour les adresses déjà collectées, une information claire doit être envoyée aux destinataires dans un délai de 3 mois à compter de la publication de la recommandation.

Pourquoi la CNIL s'intéresse aux pixels de suivi

Le pixel de suivi n'est pas contenu dans le courriel : son affichage déclenche une requête vers un serveur distant, dont l'URL comporte des paramètres individualisés propres au destinataire. La collecte de ces informations (identifiant du pixel, adresse IP) constitue une opération de lecture sur le terminal de l'utilisateur, au sens de l'article 82 de la loi Informatique et Libertés. La CNIL s'aligne ici sur les lignes directrices 2/2023 du CEPD relatives au champ d'application technique de l'article 5.3 de la directive ePrivacy.

La conséquence est structurante : le régime juridique des pixels est celui des cookies. Consentement préalable sauf exemption, information sur les finalités, retrait aussi simple que l'acceptation, preuve à la charge du responsable du traitement. La messagerie électronique étant un espace personnel accessible après authentification, la CNIL constate d'ailleurs une hausse des plaintes sur ces pratiques.

Le périmètre se limite aux courriels. Les messageries captives, comme les espaces sécurisés proposés par les banques, reposent sur d'autres protocoles et échappent à la recommandation.

Les finalités qui exigent le consentement

La CNIL identifie quatre catégories d'usages soumis au consentement libre, spécifique, éclairé et univoque du destinataire.

La première concerne l'analyse du taux d'ouverture à des fins de performance : personnaliser le contenu des messages, adapter la fréquence d'envoi ou arbitrer entre canaux (courriel, SMS, notification push). C'est l'usage le plus répandu dans les outils d'emailing du marché, et il ne bénéficie d'aucune exemption.

Viennent ensuite la création de profils à partir des préférences manifestées, afin de cibler les destinataires sur d'autres supports (sites web, applications mobiles), la détection de suspicions de fraude (ouvertures massives ou inhabituelles révélant un comportement automatisé) et la mesure individuelle d'ouverture à des fins de délivrabilité lorsqu'elle sort du cadre strict de l'exemption décrite ci-dessous.

Les deux exemptions de consentement

La recommandation réserve l'exemption à deux hypothèses, interprétées strictement.

La première vise les mesures de sécurité participant à l'authentification : vérifier, par exemple, qu'un courriel contenant un code de connexion est bien ouvert sur un terminal connu de l'utilisateur.

La seconde couvre la mesure individuelle du taux d'ouverture des courriels à des fins de délivrabilité. Cette exemption a été introduite dans la version définitive du texte, après la consultation publique menée en juin et juillet 2025, pour tenir compte des réalités opérationnelles des professionnels. L'entreprise doit démontrer que les opérations se limitent au strict nécessaire : adapter la fréquence d'envoi ou cesser les envois vers les destinataires inactifs, c'est-à-dire nettoyer ses bases. Dans ce cadre, le pixel peut aussi servir à choisir un canal de contact alternatif ou à démontrer le respect d'une obligation légale de transmission d'informations. Le principe de minimisation impose alors de ne conserver que la date de la dernière ouverture connue, à la journée et sans l'heure, écrasée à chaque nouvelle ouverture.

Ces exemptions ne valent que pour les courriels demandés par le destinataire ou rattachés à un service qu'il a sollicité. Les courriels transactionnels en sont l'illustration type : confirmation de commande, notification d'expédition, réinitialisation de mot de passe, rappel de rendez-vous, réponse du service client. Les courriels de l'administration envoyés dans le cadre d'une mission de service public relèvent également de ce champ.

Un point mérite l'attention des équipes marketing : le régime du pixel est indépendant de celui de l'envoi du courriel. Un email de confirmation de commande, qui ne nécessite aucun consentement pour être envoyé, peut contenir un pixel qui, lui, en exige un.

Comment recueillir un consentement valide

La CNIL privilégie un recueil au moment de la collecte de l'adresse électronique, directement dans le formulaire d'inscription. L'utilisateur comprend alors que des traceurs pourront être insérés dans les courriels envoyés à cette adresse, quel que soit le terminal de consultation. Le formulaire doit présenter une information synthétique sur les finalités, avec un lien vers une description détaillée.

Chaque finalité doit être présentée sous un intitulé court accompagné d'un bref descriptif, et le consentement recueilli finalité par finalité. Un consentement global reste possible au premier niveau d'information, à condition que le second niveau permette un choix granulaire. La recommandation admet par ailleurs un consentement unique couvrant à la fois la prospection commerciale électronique, au titre de l'article L. 34-5 du CPCE, et les pixels poursuivant des finalités connexes, comme la personnalisation d'une prospection présentée comme telle.

Pour les bases existantes, le consentement peut être sollicité par un courriel dépourvu de tout pixel soumis à consentement, contenant un lien vers une page où la personne effectue une action positive. Ce mécanisme évite qu'un pré-chargement automatique du lien par certains clients de messagerie ne soit interprété comme un consentement. L'inactivité du destinataire vaut refus, et la CNIL recommande de ne pas le solliciter à nouveau pendant 6 mois. Détail utile en pratique : le lien traçant individualisé utilisé pour cette collecte est lui-même exempté de consentement, car il constitue une mesure de sécurité réservant la fonctionnalité au seul titulaire de l'adresse.

Retrait du consentement et preuve

Le retrait doit être aussi simple que l'acceptation. Concrètement, la CNIL recommande un lien traçant en pied de page de chaque courriel, menant à une page qui permet le retrait sans action supplémentaire, notamment sans ressaisie de l'adresse électronique. Le retrait doit être effectif pour les envois futurs, mais aussi pour les courriels déjà envoyés qui seraient rouverts.

Sur la preuve, l'article 7.1 du RGPD impose au responsable du traitement de démontrer le consentement de manière individualisée. Lorsqu'un tiers collecte les adresses, une simple clause contractuelle ne suffit pas : le contrat doit organiser la transmission des éléments de preuve et prévoir des audits réguliers, sans exonérer l'entreprise de sa responsabilité en cas de défaillance du partenaire. Ce point mérite une relecture attentive des contrats de location de listes de diffusion.

Un calendrier de mise en conformité de 3 mois

La CNIL retient une approche progressive. Pour les adresses collectées avant la publication de la recommandation, les pixels peuvent continuer à fonctionner sous une condition : adresser aux destinataires une information claire et accessible dans un délai de 3 mois à compter de cette publication, intervenue le 14 avril 2026, leur permettant de s'opposer aux opérations futures si leur consentement n'a pas été valablement recueilli. Lorsqu'un nouveau consentement est de toute façon requis, par exemple pour transmettre les données à de nouveaux responsables de traitement à des fins de prospection, il devra couvrir les pixels non exemptés.

La CNIL annonce un accompagnement des professionnels dans les prochains mois, notamment par des webinaires, avant de veiller au respect de ces règles dans le cadre de ses missions de contrôle. La fenêtre pour se mettre en ordre est donc maintenant.

Ce chantier est aussi une opportunité. Auditer ses pixels, qualifier ses prestataires d'emailing (sous-traitants ou co-responsables selon les finalités qu'ils poursuivent pour leur propre compte) et documenter ses consentements, c'est constituer un dossier de conformité solide. Les grands comptes l'exigent dans leurs appels d'offres, et les investisseurs le vérifient en due diligence.

Vous utilisez des pixels de suivi dans vos campagnes ou vos courriels transactionnels ? Le cabinet vous accompagne dans l'audit de vos pratiques d'emailing, la refonte de vos parcours de consentement et la mise à jour de vos contrats prestataires. Prendre rendez-vous pour une consultation

Sources

• Pixels de suivi dans les courriers électroniques : la CNIL publie ses recommandations, CNIL, 14 avril 2026
• Recommandation relative aux pixels de suivi dans les courriers électroniques (PDF), CNIL
• Délibération n° 2026-042 du 12 mars 2026, Légifrance

‍