Le saviez-vous, la CNIL a publié une recommandation sur les pixels de suivi dans les courriers électroniques
-Résumé
Les pixels de suivi sont de minuscules images invisibles insérées dans les emails, qui permettent de savoir si un message a été ouvert, quand, et dans quelles conditions techniques. Pour la CNIL, ces pixels sont des traceurs soumis au même régime que les cookies : sauf rares exceptions (sécurité, délivrabilité[1] strictement nécessaire, preuve d’envoi d’informations légales…), leur utilisation suppose le consentement préalable, libre et éclairé du destinataire. Les entreprises doivent donc identifier précisément leurs usages de pixels, informer clairement les personnes, recueillir et pouvoir prouver un consentement valable, offrir un retrait simple à tout moment et encadrer leurs prestataires (routeurs, fournisseurs de solutions marketing).
Les pixels de suivi sont de minuscules images invisibles insérées dans les emails, qui permettent de savoir si un message a été ouvert, quand, et dans quelles conditions techniques. Pour la CNIL, ces pixels sont des traceurs soumis au même régime que les cookies : sauf rares exceptions (sécurité, délivrabilité[1] strictement nécessaire, preuve d’envoi d’informations légales…), leur utilisation suppose le consentement préalable, libre et éclairé du destinataire. Les entreprises doivent donc identifier précisément leurs usages de pixels, informer clairement les personnes, recueillir et pouvoir prouver un consentement valable, offrir un retrait simple à tout moment et encadrer leurs prestataires (routeurs, fournisseurs de solutions marketing).
1. Les pixels de suivi dans les emails, c’est quoi ?
Les pixels de suivi (ou « pixels de tracking ») sont de toutes petites images, invisibles, insérées dans les emails que vous recevez.
Elles ne sont pas contenues directement dans le message : elles sont hébergées sur un serveur externe, et se chargent quand vous ouvrez l’email.
Quand votre logiciel de messagerie affiche le message, il envoie une requête vers ce serveur (via l’URL de l’image), ce qui permet à l’expéditeur ou à ses partenaires de savoir, par exemple :
- que vous avez ouvert le mail,
- à quelle date (et parfois à quelle heure),
- depuis quel terminal (ordinateur, smartphone, etc.),
- avec quelle adresse IP.
Pourtant, votre boîte mail est un espace personnel, protégé par un accès avec mot de passe, où vous consultez des contenus privés !
Techniquement, cela revient à lire des informations sur votre terminal : c’est pour cela que le CEPD et la CNIL considèrent que les règles « ePrivacy »[2] et les dispositions loi « informatique et libertés » [3] qui encadrent les « cookies et autres traceurs ») s’appliquent aussi aux pixels dans les emails.
D’ailleurs, la CNIL reçoit de plus en plus de plaintes et de signalements concernant ces pratiques de suivi invisibles dans les courriers électroniques.
La recommandation de la CNIL du 12 mars 2026 vient donc expliquer comment appliquer ces règles aux pixels de suivi dans les emails, et donner des conseils concrets aux professionnels.
2. Qui est responsable de quoi ?
Plusieurs acteurs interviennent dans l’envoi d’un email avec pixel de suivi :
- L’expéditeur du courriel (entreprise, administration, association…) qui :
- décide d’utiliser ou non des pixels,
- choisit les finalités (mesurer l’audience, personnaliser, etc.),
- est responsable de traitement au sens du RGPD.
Il est aussi, en principe, co‑responsable lorsque des tiers (prestataire d’emailing, fournisseur de technologie) réalisent des opérations de lecture/écriture dans ses emails avec son accord.
- Le prestataire d’envoi d’emails (emailing):
- qui fournit la solution technique et intègre souvent les pixels,
- qui agit généralement comme sous‑traitant de l’expéditeur, c’est‑à‑dire pour son compte et selon ses instructions.
- Le prestataire de location de listes + envoi de mails:
- qui peut être sous‑traitant lorsqu’il suit les instructions de son client,
- mais qui peut aussi être co‑responsable s’il utilise les pixels pour ses propres finalités (par exemple, améliorer ses listes ou la délivrabilité) avec l’accord contractuel du client.
- Le fournisseur de technologie de suivi (solution spécialisée de pixels) :
- qui est sous‑traitant s’il agit uniquement pour le compte de l’expéditeur,
- qui est co‑responsable si les données servent aussi ses propres objectifs (amélioration de sa solution, etc.) avec l’accord du client.
- Le fournisseur de service de messagerie (Gmail, Outlook, etc.) :
- reçoit et affiche les emails,
- peut techniquement bloquer le chargement automatique des images,
- mais, s’il n’exploite pas les données générées par le pixel, n’est ni responsable de traitement ni sous‑traitant pour ce suivi.
3. Dans quels cas un consentement est obligatoire ?
La règle de base : insérer un pixel de suivi dans un email nécessite le consentement préalable, libre, spécifique, éclairé et univoque du destinataire, sauf exceptions limitées.
Selon la CNIL, le consentement est nécessaire notamment pour :
- Analyser le taux d’ouverture pour optimiser les campagnes marketing
- Par exemple : personnaliser le contenu, adapter la fréquence d’envoi, choisir le canal (email, SMS, notification, etc.), lutter contre la fraude publicitaire.
- Créer des profils pour du ciblage en dehors des emails
- Utiliser les emails ouverts, les sujets cliqués, etc. pour afficher des contenus ou publicités ciblées sur des sites web, applis mobiles ou autres canaux.
- Détecter et analyser des suspicions de fraude
- Identifier des ouvertures massives ou inhabituelles pouvant révéler des comportements automatisés (inscriptions multiples à un jeu, tentatives d’exfiltration de données…).
- Mesurer individuellement le taux d’ouverture à des fins de délivrabilité,
- lorsque cette mesure n’entre pas dans les cas d’exemption listés par la CNIL (voir ci‑dessous).
À noter : le régime du consentement pour les pixels est indépendant de celui applicable à l’envoi de l’email lui‑même. Ainsi, un mail qui peut être envoyé sans consentement (par exemple, une confirmation de commande) peut néanmoins nécessiter un consentement spécifique pour l’usage de pixels de suivi.
4. Dans quels cas les pixels peuvent-ils être utilisés sans consentement ?
La loi prévoit deux grandes catégories d’exemption :
- les opérations qui ont pour finalité exclusive de permettre ou faciliter la communication électronique,
- ou qui sont strictement nécessaires à un service en ligne demandé expressément par l’utilisateur.
La CNIL considère que, dans l’état actuel des pratiques, certains usages de pixels peuvent entrer dans ces exemptions :
- Mesures de sécurité liées à l’authentification
- Par exemple : vérifier que le mail contenant un code d’authentification est bien ouvert sur un terminal connu de l’utilisateur.
- Mesure individuelle du taux d’ouverture pour la délivrabilité, à condition que :
- les opérations soient strictement limitées à ce qui est nécessaire pour :
- adapter la fréquence des envois,
- arrêter les envois aux destinataires inactifs (nettoyage de base),
- éventuellement choisir un canal alternatif,
- ou démontrer le respect d’une obligation légale d’information (par exemple, la preuve que certaines informations précontractuelles ont bien été envoyées).
- les opérations soient strictement limitées à ce qui est nécessaire pour :
Dans ce cadre, la CNIL estime qu’en principe, seule la date (au jour près, sans l’heure) de la dernière ouverture connue devrait être conservée, en la mettant à jour à chaque nouvelle ouverture et en supprimant la précédente.
Ces exemptions concernent surtout :
- les emails transactionnels (confirmation de commande, suivi de colis, réinitialisation de mot de passe, alertes de compte, rappels de rendez‑vous, notifications de paiement, etc.),
- certains courriels de l’administration envoyés dans le cadre d’une mission de service public, notamment pour informer les usagers de leurs droits.
Enfin, si les données collectées via les pixels sont effectivement anonymisées avant réutilisation, cette réutilisation ne nécessite plus de consentement. Mais le RGPD reste applicable au traitement d’anonymisation.
5. Comment doit être donnée l’information au public ?
Pour que le consentement soit valable, l’information doit être :
claire, intelligible,
- dans un langage adapté,
- et présentée avant que la personne ne choisisse d’accepter ou de refuser.
La CNIL recommande :
- de présenter chaque finalité avec un intitulé court et explicite,
- accompagné d’un bref descriptif (par exemple : « analyse du taux d’ouverture pour personnaliser les messages », « création de profils pour vous cibler sur d’autres sites », etc.),
- de rendre la description détaillée facilement accessible (déroulant, lien vers une page dédiée, politique « cookies et autres traceurs », etc.).
Même pour les pixels exemptés de consentement, la CNIL recommande, au nom de la transparence, d’informer les personnes de leur existence, par exemple dans la politique de confidentialité.
6. Comment recueillir correctement le consentement ?
6.1. Moment et support du recueil
La CNIL recommande de :
- recueillir le consentement au moment où l’adresse email est collectée,
- en expliquant clairement que des pixels pourront être insérés dans les emails envoyés à cette adresse,
- en donnant une information synthétique sur les finalités, avec un lien vers une information plus détaillée.
Si cela n’est pas possible, le consentement peut être demandé plus tard, via un email sans pixel soumis au consentement, contenant un lien vers une page de recueil des choix.
Dans ce cas :
- le lien doit conduire à une page où la personne réalise une action positive (cliquer sur un bouton, etc.),
- il faut éviter que certains clients de messagerie ne déclenchent « automatiquement » ce consentement en préchargeant le lien,
- l’usage d’un lien traçant unique par destinataire est recommandé pour que seul le titulaire de l’adresse puisse exprimer son choix (et pour des raisons de sécurité, cet usage est lui‑même exempté de consentement).
6.2. Liberté et granularité du consentement
Le consentement doit être libre : la personne doit pouvoir choisir, sans pression, et sans être obligée d’accepter plusieurs finalités très différentes en bloc.
La CNIL recommande :
- de recueillir le consentement séparément pour chaque finalité distincte,
- ou, lorsque l’interface de recueil comporte deux niveaux d’information, d’autoriser un accord global au premier niveau, à condition que le second niveau permette de choisir par finalité (ou par familles de finalités connexes).
Un consentement unique reste possible pour :
- la prospection commerciale directe par email,
- et l’usage de pixels de suivi directement liés à cette prospection (par exemple pour personnaliser le contenu ou adapter la fréquence des envois, ou pour lutter contre la fraude à un jeu‑concours par email).
6.3. Refus, inactivité et relances
- L’inactivité (absence de réponse) doit être interprétée comme un refus de consentir.
- Le destinataire doit pouvoir refuser aussi facilement qu’accepter.
- La CNIL recommande de ne pas relancer indéfiniment : ne pas ressolliciter la personne pendant un certain temps (6 mois est cité comme bonne pratique).
7. Comment retirer son consentement ?
Les personnes doivent pouvoir retirer leur consentement à tout moment, aussi facilement qu’elles l’ont donné.
La CNIL recommande :
- d’insérer un lien de retrait (lien traçant) dans le pied de chaque email,
- ce lien doit permettre de retirer le ou les consentements sans étape supplémentaire (pas besoin de ressaisir l’adresse email),
- l’usage d’un lien unique par destinataire sert à sécuriser cette fonctionnalité et est exempté de consentement car il s’agit d’une mesure de sécurité nécessaire au service demandé.
Le responsable de traitement doit s’assurer que :
- les pixels soumis au consentement ne sont plus utilisés dans les emails futurs,
- et, autant que possible, que les anciens emails déjà envoyés ne permettent plus d’exploiter les traceurs après retrait (par exemple en désactivant côté serveur le suivi associé).
8. Preuve du consentement : une obligation forte pour les organismes
L’expéditeur (ou le responsable de traitement) doit être capable de prouver à tout moment que la personne a consenti, et dans quelles conditions.
Cela implique notamment :
- garder une trace individualisée du consentement (par adresse, date, modalités),
- documenter les mécanismes utilisés pour le recueil,
- encadrer contractuellement les cas où un tiers collecte le consentement pour son compte (transmission des preuves, conditions de conservation, audits, etc.).
Une simple clause contractuelle disant que le tiers « s’engage à recueillir un consentement valable » ne suffit pas : si le responsable ne peut pas produire la preuve, il reste responsable en cas de manquement.
9. Application dans le temps de la recommandation
Pour les adresses déjà collectées, la CNIL admet que les opérations de lecture/écriture via pixels puissent continuer, à condition :
- d’informer clairement les destinataires dans un délai maximal de 3 mois après la publication de la recommandation qui date du 12 mars 2026. La date de leur publication n’est pas précisée.
- et de leur permettre de s’opposer à ces opérations pour les emails futurs, si leur consentement n’a pas été recueilli selon les nouvelles modalités.
Si, par ailleurs, l’organisme doit demander un nouveau consentement pour l’utilisation de l’adresse email (par exemple transmission à un nouveau partenaire pour de la prospection), il devra alors en profiter pour recueillir un consentement valable pour tous les pixels non exemptés.
Au regard de ce qui précède, voici les bonnes questions à se poser :
- Ai‑je vraiment besoin de pixels de suivi ?
- Ai‑je bien identifié les qualités juridiques (responsable de traitement, sous-traitant, coresponsable de traitement) de chacun ?
- Comment rédiger une information aux destinataires et mettre à jour ma politique de confidentialité ?
- Comment mettre en place un recueil de consentement conforme
- Comment gérer des cas où le consentement n’a pas pu être recueilli en amont
- Pourquoi dois-je paramétrer techniquement les pixels
- Comment organiser le retrait du consentement et de l’opposition
- Comment conserver une preuve du consentement
- Comment adapter le traitement des bases d’emails déjà existantes pour lesquels aucun recueil e consentement n’a été demandé ou pour lesquels les modalités de recueil ne sont pas conformes
- Comment anticiper la gouvernance interne et la sécurité des Pixels de suivi ?
Je suis à votre disposition pour vous accompagner dans votre conformité.
Commentaires
Rédigez votre commentaire :
Les réactions des internautes
<% comment.content %>
<% subcomment.content %>