Vous ouvrez un email, un pixel invisible prévient déjà l’expéditeur. Depuis le 14 juillet 2026, chaque destinataire doit en être informé. Le 22 juillet, la CNIL a publié une foire aux questions qui tranche un point que beaucoup avaient mal lu : tout pixel ne réclame pas un consentement, et la ligne de partage n’est pas celle que l’on croit.
Un pixel de suivi dans un email, c’est quoi au juste ?
Un pixel de suivi est une image d’un pixel sur un pixel, invisible, intégrée au corps d’un email. Quand le message s’affiche, l’image se charge depuis un serveur distant. Ce chargement signale que l’email a été ouvert, à quelle heure, parfois depuis quel appareil.
La technique sert à mesurer l’audience d’une campagne, à affiner un profil ou à vérifier qu’une adresse reste active. Elle relève de l’article 82 de la loi Informatique et Libertés, celui qui encadre l’accès aux informations stockées sur le terminal de l’internaute.
Quand le consentement est-il obligatoire ?
La règle tient en une distinction de finalité. Si le pixel poursuit un but publicitaire ou commercial, le consentement est requis. Optimiser la performance d’une campagne, enrichir un profil pour mieux cibler : ces usages supposent un accord préalable, libre et éclairé.
À l’inverse, certains usages sont exemptés. La CNIL cite deux cas nets : la mesure de délivrabilité, pour repérer les adresses inactives, et la sécurité, comme un email de réinitialisation de mot de passe. Ces pixels échappent au consentement tant qu’ils ne collectent rien de plus que le strict nécessaire.
Emails transactionnels ou marketing : où passe la frontière ?
Un email de confirmation de commande, un avis de renouvellement, une information légale peuvent bénéficier de l’exemption s’ils correspondent à un service explicitement demandé. Le pixel qui les accompagne suit le régime du message.
Le relance de panier abandonné, elle, est un message marketing. Le pixel qui la suit exige un consentement. La logique rejoint celle déjà exposée sur la distinction entre prospection, messages transactionnels et relationnels.
| Finalité du pixel | Consentement |
|---|---|
| Publicité, ciblage, enrichissement de profil | Requis |
| Mesure de délivrabilité (adresses inactives) | Exempté |
| Sécurité (réinitialisation, authentification) | Exempté |
| Email transactionnel demandé par la personne | Exempté |
| Relance de panier abandonné | Requis |
Prestataire d’emailing : sous-traitant ou responsable conjoint ?
La CNIL rappelle un point qui change la répartition des responsabilités. Un prestataire qui pose un pixel pour le compte de son client agit en sous-traitant et doit l’aider à se mettre en conformité. Ses obligations sont détaillées dans notre fiche sur les obligations du sous-traitant et le contrat DPA.
Mais s’il utilise ces pixels pour ses propres finalités, il devient responsable conjoint avec l’expéditeur. Cette bascule est loin d’être théorique : elle engage sa responsabilité directe. Nous l’avons décrite dans le régime du responsable conjoint de traitement.
Cartographier chaque pixel, sa finalité et le statut du prestataire prend vite un temps considérable dès qu’une organisation multiplie les outils d’emailing. DPO SUITE centralise le registre des traitements et le suivi des sous-traitants pour garder cette vue à jour sans tableur parallèle.
Que faire des adresses collectées avant le 14 juillet ?
Pour les adresses recueillies avant le 14 avril 2026, la CNIL avait laissé trois mois. Les expéditeurs devaient informer ces personnes du suivi et leur ouvrir un droit d’opposition. Cette échéance d’information des bases historiques est arrivée le 14 juillet 2026.
Passé cette date, la CNIL contrôle le respect effectif de l’obligation. Un pixel actif sans information préalable expose désormais à un rappel à l’ordre. Notre guide sur la mise en conformité des pixels après le 14 juillet détaille la marche à suivre.
Comment recueillir un consentement valable pour ces pixels ?
La CNIL admet un bouton de consentement global, à condition que la personne puisse ensuite faire un choix indépendant par finalité, sur un second niveau. Le retrait doit rester aussi simple que l’accord initial.
Concrètement, un DPO vérifie trois points : la finalité de chaque pixel est documentée, l’information figure au moment de la collecte, et le mécanisme de retrait fonctionne. Ces exigences prolongent la logique de la directive ePrivacy appliquée aux cookies et à la prospection.
FAQ
La recommandation CNIL sur les pixels est-elle obligatoire ?
Une recommandation n’est pas contraignante en soi, mais elle explicite comment la CNIL lit l’article 82 de la loi Informatique et Libertés. S’en écarter oblige à démontrer une conformité équivalente. En pratique, la suivre reste la voie la plus sûre pour un expéditeur d’emails soucieux d’éviter un contrôle défavorable.
La mesure d’ouverture d’un email exige-t-elle un consentement ?
Cela dépend de la finalité. Mesurer l’ouverture pour repérer des adresses inactives relève de la délivrabilité, exemptée de consentement. Mesurer l’ouverture pour optimiser une campagne publicitaire ou affiner un profil poursuit un but marketing et réclame, lui, un consentement préalable, libre et éclairé de la personne.
Un email de confirmation de commande peut-il contenir un pixel ?
Oui, s’il correspond à un service explicitement demandé par la personne. Le pixel suit alors le régime du message transactionnel et bénéficie de l’exemption. En revanche, si le même email glisse une offre commerciale, la partie promotionnelle et son pixel basculent dans le régime du consentement.
Qui est responsable si le prestataire d’emailing pose le pixel ?
Si le prestataire agit uniquement pour le compte du client, il est sous-traitant et doit l’assister. S’il exploite les données du pixel pour ses propres finalités, il devient responsable conjoint et engage sa responsabilité directe. La qualification dépend donc de l’usage réel des données collectées, pas du contrat affiché.
Quel risque en cas de pixel sans information préalable ?
Depuis le 14 juillet 2026, la CNIL contrôle le respect effectif de l’obligation d’information. Un pixel actif sur une base historique non informée expose à une mise en demeure, voire à une sanction en cas de manquement persistant. Le premier réflexe reste d’informer les personnes et d’ouvrir un droit d’opposition simple.
