Les pixels de suivi glissés dans les emails exigent désormais, sauf exceptions, le consentement du destinataire : la Commission nationale de l’informatique et des libertés (CNIL) a publié le 14 avril 2026 la version finale de sa recommandation. Elle l’a adoptée par la délibération n° 2026-042 du 12 mars 2026. Le texte vise tous les organismes qui envoient des courriels, publics comme privés. Il vise aussi leurs prestataires d’emailing.
Pour les adresses déjà collectées, la CNIL accorde trois mois. Dans ce délai, informez clairement vos destinataires de l’usage des pixels et donnez-leur un moyen simple de s’y opposer.
Ce que font les pixels de suivi dans un courriel
Un pixel de suivi, parfois appelé « pixel espion », est une image minuscule, souvent d’un pixel sur un pixel, invisible pour le lecteur. Le nom de l’image contient un identifiant. À l’ouverture du courriel, la messagerie charge l’image. Elle renvoie alors à l’expéditeur cet identifiant, l’adresse IP, l’heure d’ouverture et des informations sur le terminal.
La CNIL qualifie cette collecte d’opération de lecture sur le terminal de l’utilisateur. Elle relève donc de l’article 82 de la loi Informatique et Libertés. Cet article transpose la directive ePrivacy et impose un consentement préalable. La recommandation complète ainsi les lignes directrices 2/2023 du Comité européen de la protection des données (CEPD) et la recommandation de la CNIL sur les cookies et autres traceurs.
La CNIL justifie son intervention par un nombre croissant de plaintes. Elle rappelle aussi que la messagerie reste un espace personnel, accessible après authentification et destiné à des contenus privés.
Le consentement devient la règle pour les pixels de suivi
Mesurer le taux d’ouverture d’une campagne, personnaliser les envois selon l’intérêt du lecteur ou bâtir un profil exige le consentement du destinataire. Ce consentement doit être libre, spécifique, éclairé et univoque. La CNIL recommande de le recueillir de préférence au moment où vous collectez l’adresse.
En pratique, une case cochée par défaut ou une mention noyée dans les conditions générales ne suffit pas. De plus, le retrait doit rester aussi simple que le recueil, par exemple grâce à un lien dans le pied de chaque courriel. Enfin, conservez la preuve du consentement : la recommandation rappelle les règles en la matière.
La recommandation aide aussi chaque acteur à analyser son rôle au cas par cas. Votre routeur d’emailing, par exemple, agit-il seulement pour votre compte, ou réutilise-t-il les données d’ouverture ? La réponse fixe les obligations de chacun.
Pixels de suivi : deux exemptions strictement encadrées
La CNIL dispense de consentement deux usages seulement. Le premier concerne les pixels qui participent uniquement à la sécurisation d’une authentification, par exemple pour vérifier la réception d’un courriel contenant un code.
Le second concerne la mesure individuelle de la délivrabilité, apparue dans la version finale après la consultation publique de juin 2025. Dans ce cas, le pixel sert à repérer les destinataires qui n’ouvrent plus vos messages, pour les retirer de vos listes. Toutefois, cette exemption vaut seulement pour les courriels rattachés à un service demandé par le destinataire. La CNIL y range d’abord les courriels transactionnels : alerte de compte, avis d’expédition d’un colis, confirmation de commande, facture, réinitialisation d’un mot de passe ou notification d’une violation. Elle y ajoute les courriels consentis.
Les données collectées dans ces deux cas restent limitées au strict nécessaire. Elles ne servent à rien d’autre. Un pixel de délivrabilité qui alimente aussi vos statistiques marketing perd donc le bénéfice de l’exemption.
Trois mois pour informer, puis des contrôles
Pour les adresses collectées avant la publication, la CNIL demande seulement d’informer clairement les destinataires dans les trois mois. Ils doivent pouvoir s’opposer facilement. Elle annonce des webinaires d’accompagnement, puis des contrôles. Les manquements à l’article 82 exposent à une amende pouvant atteindre 2 % du chiffre d’affaires annuel mondial, selon l’article 20 de la loi Informatique et Libertés.
Commencez par vérifier vos propres envois, avec notre guide pour repérer un pixel de suivi dans vos emails. Ensuite, passez en revue vos outils :
- Listez vos outils d’emailing et vérifiez lesquels activent un pixel par défaut.
- Classez chaque flux de courriels : transactionnel, consenti ou prospection.
- Rédigez l’information destinée aux contacts déjà en base, avec un lien d’opposition, et envoyez-la avant la fin du délai de trois mois.
- Ajoutez au formulaire de collecte une case distincte pour le suivi d’ouverture, séparée des conditions générales.
- Vérifiez dans le contrat de votre prestataire d’emailing qu’il ne réutilise pas les données d’ouverture pour son propre compte.
Pour distinguer messages transactionnels et prospection, appuyez-vous sur notre article prospection, messages transactionnels et relationnels : qui doit consentir.
Sources
La CNIL présente le texte dans Pixels de suivi dans les courriers électroniques : la CNIL publie ses recommandations pour mieux protéger la vie privée.
Le texte complet figure dans la recommandation relative aux pixels de suivi dans les courriers électroniques.
Le plafond de 2 % prévu par l’article 20 de la loi Informatique et Libertés est rappelé dans l’analyse du cabinet Dechert La CNIL inflige des amendes record à Google et Amazon pour leur mauvaise gestion des cookies.
Questions fréquentes
Les pixels de suivi dans les emails sont-ils légaux ?
Oui, à condition de recueillir le consentement du destinataire, sauf pour deux usages exemptés par la CNIL.
Les exemptions couvrent la sécurisation d’une authentification et la mesure individuelle de la délivrabilité des courriels rattachés à un service demandé.
Faut-il un consentement pour mesurer le taux d’ouverture d’une newsletter ?
Oui, la mesure du taux d’ouverture d’une campagne exige le consentement du destinataire.
La CNIL recommande de le recueillir de préférence au moment de la collecte de l’adresse, avec un retrait aussi simple que le recueil.
Quels emails sont exemptés de consentement pour les pixels de suivi ?
Les courriels rattachés à un service demandé par le destinataire, transactionnels ou consentis, peuvent porter un pixel de délivrabilité sans consentement.
Ce pixel sert alors uniquement à repérer les destinataires inactifs. Les pixels qui sécurisent une authentification sont aussi exemptés.
Quel délai la CNIL laisse-t-elle pour les adresses déjà collectées ?
La CNIL laisse trois mois à compter de la publication du 14 avril 2026 pour informer les destinataires et leur permettre de s’opposer facilement.
Pour les adresses collectées après la publication, les règles s’appliquent sans délai.
Quelle sanction en cas de pixel de suivi sans consentement ?
Un manquement à l’article 82 de la loi Informatique et Libertés expose à une amende pouvant atteindre 2 % du chiffre d’affaires annuel mondial.
La CNIL annonce des contrôles une fois la période d’accompagnement passée.
