La CNIL publie une recommandation formelle sur les pixels de suivi dans les e-mails : exigences de conformité pour l'email marketing

Le 14 avril 2026, la CNIL a publié sa première recommandation formelle sur les pixels de suivi dans les e-mails. Pendant des années, cette technologie est restée dans une zone grise réglementaire : les règles de consentement aux cookies étaient appliquées sur les sites web, tandis que les mêmes traceurs invisibles présents dans les e-mails marketing restaient largement ignorés. Cet écart est désormais comblé. Si votre organisation envoie des e-mails intégrant des pixels de suivi à des personnes en France ou dans l'UE, cette recommandation fixe la norme juridique à l'aune de laquelle vos pratiques seront jugées.

La CNIL publie une recommandation formelle sur les pixels de suivi dans les e-mails : exigences de conformité expliquées

Que sont les pixels de suivi dans les e-mails ?

Un pixel de suivi est une image d'un pixel intégrée de manière invisible dans le code HTML d'un e-mail. Lorsque le message est ouvert, le client de messagerie du destinataire récupère cette image depuis un serveur externe. Cette seule requête indique à l'expéditeur que l'e-mail a été ouvert, quand, et approximativement d'où. La plupart des gens n'ont aucune idée que cela se produit.

Cette technologie est intégrée à presque toutes les plateformes d'email marketing. La balise image porte une URL unique liée à la fiche de l'abonné. Lorsque le pixel se déclenche, la plateforme enregistre un horodatage, une adresse IP et une chaîne d'agent utilisateur. À partir de là, elle peut déduire la localisation approximative du destinataire, le type d'appareil et le client de messagerie utilisé. Certaines plateformes intègrent ces données dans des profils comportementaux ou les transmettent à des partenaires publicitaires et d'analyse. Une seule ouverture d'e-mail peut discrètement informer plusieurs entreprises dont le destinataire n'a jamais entendu parler.

Il existe également des implémentations côté serveur qui collectent des données via des chaînes de redirection avant même que le corps de l'e-mail ne s'affiche, et certaines campagnes intègrent simultanément plusieurs pixels provenant de différents fournisseurs. Les destinataires n'ont aucune visibilité sur tout cela.

Pourquoi cela a pris autant de temps

Les exigences de consentement aux cookies existent depuis 2012 et ont été considérablement renforcées par le RGPD en 2018. Les exploitants de sites savent qu'ils ont besoin d'une plateforme de gestion du consentement avant qu'un cookie d'analyse ou publicitaire ne se déclenche.

Le suivi des e-mails n'a jamais fait l'objet de la même attention réglementaire. Les principes juridiques sous-jacents, le RGPD et la directive ePrivacy, s'appliquaient en théorie, mais aucune autorité de contrôle n'avait publié de recommandation spécifique. Les organisations ont donc discrètement supposé que le consentement à recevoir un e-mail marketing couvrait également tout suivi associé. Cette hypothèse n'est plus défendable.

Le problème de la base juridique

Le RGPD exige une base juridique licite pour tout traitement de données personnelles. Pour le suivi des e-mails, de nombreuses organisations se sont appuyées sur l'intérêt légitime : l'argument selon lequel mesurer si les destinataires ouvrent les e-mails constitue un besoin commercial raisonnable qui ne nuit sérieusement à personne.

La recommandation de la CNIL s'oppose fermement à cet argument. Ouvrir un e-mail n'est pas une action qui signale un quelconque consentement au suivi. Les destinataires s'attendent raisonnablement à ce que l'ouverture d'un message le délivre, rien de plus. Collecter des données comportementales, construire des profils ou transmettre des données d'ouverture à des plateformes tierces va bien au-delà de ce qui est nécessaire pour délivrer un e-mail, et ne peut pas être concilié avec un test de mise en balance de l'intérêt légitime lorsque des alternatives moins intrusives existent.

La directive ePrivacy ajoute une couche supplémentaire. Elle interdit d'accéder à des informations stockées sur le terminal d'un utilisateur sans consentement préalable, avec une exception étroite pour les services explicitement demandés par l'utilisateur. Un pixel de suivi accède à l'appareil dans la mesure où la requête d'ouverture expose l'adresse IP et la configuration de l'appareil. Mesurer la performance marketing n'est pas un service explicitement demandé par le destinataire, donc l'exception ne s'applique pas.

En résumé : pour les pixels marketing, le consentement est requis. L'intérêt légitime ne le couvrira pas.

Ce qui nécessite un consentement et ce qui n'en nécessite pas

La CNIL énumère les finalités qui requièrent un consentement préalable :

• Mesurer les taux d'ouverture et la performance des campagnes
• Construire des profils comportementaux à des fins de publicité ciblée
• Détecter la fraude sur la base des schémas d'ouverture
• Tout suivi qui alimente des données vers des plateformes tierces

Les exceptions étroites concernent les pixels utilisés strictement à des fins d'authentification ou d'hygiène de base des listes, comme l'identification des abonnés n'ayant pas interagi depuis une période prolongée afin de réduire la fréquence d'envoi. Le mot « strictement » compte. Si le pixel fait quoi que ce soit au-delà de cette fonction spécifique, un consentement est nécessaire. Si les données sont conservées plus longtemps que nécessaire, un consentement est nécessaire. S'il touche un tiers quelconque, un consentement est nécessaire.

La plupart des pixels marketing ne remplissent pas les conditions de ces exemptions. La réalité pratique est que les organisations qui suivent les ouvertures à des fins commerciales doivent obtenir un consentement avant que ces pixels ne se déclenchent.

À quoi ressemble un consentement valide

La recommandation est détaillée sur ce point, car la CNIL sait que des divulgations vagues enfouies dans des politiques de confidentialité ne suffiront pas.

Divulgation en couches. Les destinataires doivent voir une description claire et brève de chaque finalité de suivi avant de s'inscrire. Un second niveau de détail doit être disponible pour ceux qui souhaitent en savoir plus : quelles données sont collectées, combien de temps elles sont conservées, et qui les reçoit. Cette approche reflète ce que les régulateurs exigent déjà pour les bannières de consentement aux cookies.

Finalité par finalité. Chaque usage de suivi distinct requiert un consentement séparé. Un abonné doit pouvoir accepter le suivi du taux d'ouverture sans accepter le profilage comportemental à des fins publicitaires. Regrouper l'ensemble sous une seule case à cocher ne répond pas à la norme.

Le consentement avant le déclenchement du pixel. C'est le point qui prend de nombreuses organisations au dépourvu. Le consentement doit être obtenu au moment de la collecte de l'adresse e-mail, généralement lors du formulaire d'inscription ou de la page d'enregistrement. Demander le consentement au suivi dans un e-mail de bienvenue échoue, car l'événement d'ouverture enregistre des données avant que le destinataire n'ait eu la possibilité de répondre. Le consentement doit venir en premier.

Retrait facile. Chaque e-mail marketing doit inclure un lien de retrait du suivi distinct du lien de désabonnement. Cliquer dessus doit empêcher les futurs pixels de se déclencher pour ce contact. Les organisations doivent également conserver des registres montrant ce qui a été indiqué à chaque abonné, ce à quoi il a consenti, et à quel moment, car cette preuve est ce qui résiste à une enquête réglementaire.

L'échéance pour les listes existantes

Les contacts collectés avant le 14 avril 2026 bénéficient d'une période de grâce. Les organisations ont jusqu'au 14 juillet 2026 pour informer ces abonnés du suivi par pixel et leur donner une réelle opportunité de s'y opposer. Envoyer un seul e-mail groupé et considérer le silence comme une acceptation ne satisfait pas cette exigence. Le mécanisme d'opposition doit être clair et la préférence doit être appliquée immédiatement.

Les contacts ajoutés à partir du 14 avril 2026 doivent être couverts par un parcours de consentement conforme dès le premier jour. Il n'existe aucune période transitoire pour les nouveaux abonnés.

Trois mois ne représentent pas un long délai si vos parcours d'inscription, les paramètres de votre plateforme d'e-mail et vos registres de consentement doivent tous être modifiés. Il est judicieux de commencer dès maintenant.

Ce n'est pas seulement un problème français

Les recommandations de la CNIL ont un poids qui dépasse largement la France. Les autorités de protection des données de l'UE fonctionnent en réseau et se réfèrent régulièrement aux décisions des unes et des autres. Les principes juridiques de cette recommandation s'appliquent de manière identique dans le cadre des transpositions allemande, néerlandaise, espagnole et de tout autre État membre de l'UE du RGPD et de l'ePrivacy. Les organisations qui traitent cela comme une simple case à cocher spécifique à la France interprètent mal la situation.

Au-delà de l'Europe, la direction prise par d'autres juridictions va dans le même sens. La loi CASL du Canada exige un consentement explicite avant l'envoi de messages électroniques commerciaux. La LGPD du Brésil reflète les normes de consentement du RGPD. L'ICO du Royaume-Uni a signalé qu'il traiterait des technologies de suivi au-delà des cookies dans de futures orientations. Pour quiconque gère des listes d'abonnés mondiales, l'attente devrait être que les exigences de consentement pour les pixels s'étendent géographiquement, plutôt que de se stabiliser là où elles se trouvent aujourd'hui.

Où les organisations se trompent

La plupart des problèmes d'application dans ce domaine proviennent d'hypothèses héritées plutôt que d'une non-conformité délibérée. Voici les schémas qui créent un risque.

Confondre désabonnement et retrait du suivi. Un désabonnement arrête les futurs e-mails. Il ne retire pas le consentement à suivre les données des e-mails déjà envoyés, et il ne couvre certainement pas le consentement spécifique par finalité désormais exigé par la CNIL. Ce sont deux mécanismes distincts qui doivent exister.

Supposer que le consentement marketing couvre le suivi. Accepter de recevoir une newsletter ne signifie pas accepter d'être suivi. Ce sont des finalités différentes au regard de la loi, nécessitant des signaux de consentement séparés.

S'appuyer sur les paramètres par défaut des plateformes. La plupart des outils d'e-mail activent automatiquement le suivi. Si vous n'avez pas délibérément désactivé les pixels pour les contacts n'ayant pas donné leur consentement au suivi, votre plateforme enregistre presque certainement des ouvertures sans base juridique.

Absence de registres de consentement. Savoir qu'un abonné a accepté quelque chose ne suffit pas. Vous devez démontrer ce qui lui a été indiqué, ce à quoi il a consenti, et à quel moment. Sans cette piste d'audit, vous ne pouvez pas défendre vos pratiques en cas de plainte. La piste d'audit du consentement peut aider à vérifier que vos registres sont correctement structurés avant qu'un inspecteur ne pose la question.

Tiers non nommés. Si votre plateforme transmet des données d'ouverture à des fournisseurs de publicité ou d'analyse, les destinataires doivent en être informés dès l'inscription, avec suffisamment de précision pour comprendre qui reçoit leurs données. Une référence générique à des « partenaires de confiance » en petits caractères ne suffira pas.

Ce qui doit réellement changer

Il ne s'agit pas d'une situation où la mise à jour d'une politique de confidentialité comble l'écart. Les changements sont opérationnels.

Les formulaires d'inscription doivent présenter clairement les finalités de suivi et recueillir un consentement spécifique par finalité avant l'envoi de tout e-mail suivi. Les modèles d'e-mail ont besoin d'un lien de retrait du suivi fonctionnant indépendamment du désabonnement. Les paramètres de la plateforme d'e-mail doivent être révisés afin que les pixels soient supprimés pour les contacts n'ayant pas consenti. Les registres de consentement doivent être stockés, liés aux profils d'abonnés, et récupérables pour un audit.

Les changements d'infrastructure représentent un travail réel, mais un travail connu. Le risque de ne pas les effectuer — une action d'application ou une plainte déclenchant un audit complet — est nettement plus perturbateur.

Comment le CMP UniConsent peut aider

UniConsent prend en charge le consentement exigé par la recommandation de la CNIL. L'interface UniConsent peut présenter les finalités de suivi selon le format en couches décrit par l'autorité, recueillir un consentement séparé pour chaque finalité, et écrire des registres horodatés dans un stockage central connecté à votre plateforme d'e-mail et à votre CRM.

À propos d'UniConsent

UniConsent fait partie de la plateforme d'expérience utilisateur axée sur la confidentialité de Transfon, au service de dizaines de millions d'utilisateurs par jour afin d'offrir une expérience de confidentialité fluide aux utilisateurs comme aux éditeurs à l'ère post-RGPD. Contactez-nous pour en savoir plus : hello@uniconsent.com