La fiche 6 du guide pratique de la CNIL pour les SPST rappelle que le service informe les personnes de ce qu’il fait de leurs données, de façon claire et accessible. Cette information couvre aussi les outils d’envoi utilisés pour les convoquer ou les informer.
Le 22 juillet 2026, la CNIL a publié une foire aux questions sur les pixels de suivi intégrés aux courriels. Elle précise que sa recommandation du 12 mars 2026 s’applique à tous les envois, y compris ceux adressés aux salariés et aux adhérents. Les courriels de convocation et les lettres de prévention d’un SPST entrent donc dans le champ.
Ce qui change
Un pixel de suivi est une image invisible insérée dans un courriel. Son chargement indique à l’expéditeur que le message a été ouvert, souvent avec l’heure et parfois l’appareil utilisé. La recommandation du 12 mars 2026 soumet ce mécanisme aux règles applicables aux traceurs : sauf exception, il suppose le consentement de la personne et une information préalable.
La foire aux questions de juillet lève un doute fréquent. Les envois de nature administrative ou de service ne sont pas exclus par principe : une convocation à une visite, une lettre d’information aux adhérents ou une campagne de prévention sont concernées dès lors qu’un pixel y figure.
Le délai transitoire prévu pour les adresses déjà collectées a expiré à la mi-juillet 2026. Les services qui utilisaient un pixel d’ouverture sur leurs listes existantes doivent désormais être en règle.
La difficulté vient souvent de l’outil. Les plateformes d’envoi de masse activent fréquemment par défaut un pixel d’ouverture et un suivi des clics, sans que le service l’ait demandé. Le paramétrage par défaut ne dispense pas le service de sa responsabilité.
Ce que cela implique pour un SPST
- Recenser les outils qui envoient des courriels au nom du service : logiciel métier pour les convocations, plateforme d’envoi des lettres aux adhérents, outil de campagne de prévention, formulaires en ligne.
- Vérifier dans chacun l’état du suivi d’ouverture et du suivi des clics. Le plus simple consiste à désactiver le pixel, surtout pour les convocations.
- Si le service souhaite conserver une mesure d’ouverture, la soumettre au consentement et en informer les personnes, ce qui suppose une gestion des choix par destinataire.
- Mettre à jour la mention d’information et la politique de confidentialité du site pour décrire les outils d’envoi et leurs réglages.
- Inscrire la plateforme d’envoi au registre des sous-traitants si elle ne l’est pas, avec la localisation de ses serveurs.
Pour une convocation, l’enjeu dépasse la statistique d’ouverture. Combiné au type de visite, un pixel peut révéler qu’un salarié a ouvert une convocation à une visite de reprise, à telle heure, sur tel appareil. Cette information n’a aucune utilité pour le service et touche à la santé.
Comment le traiter dans DPO SUITE
- Dans le registre des logiciels, ouvrez la fiche de chaque outil d’envoi de courriels et notez l’état du suivi d’ouverture et des clics après vérification.
- Dans le registre des sous-traitants, créez ou complétez la fiche de la plateforme d’envoi : contacts, localisation cloud, sous-traitants ultérieurs. Envoyez-lui le questionnaire d’audit des sous-traitants.
- Rattachez ces logiciels aux traitements « Convocations » et « Communication avec les adhérents » dans le registre des traitements.
- Si un pixel reste actif sans consentement, créez une non-conformité et une action corrective avec une échéance courte.
- Créez une tâche pour la mise à jour de la politique de confidentialité du site et rattachez la nouvelle version comme preuve.
- Demandez à ALIX une liste de points de contrôle tirée de la recommandation du 12 mars 2026 pour chaque outil, puis validez celle qui convient.
Le registre se construit pas à pas, fiche par fiche : tester la création de votre registre.
Repères
- Recommandation de la CNIL du 12 mars 2026 sur les pixels de suivi dans les courriels
- Foire aux questions de la CNIL du 22 juillet 2026
- Règlement (UE) 2016/679 (RGPD), articles 12 et 13
- Guide CNIL SPST, fiche 6
