Le 29 octobre 2026, le délai fixé par le Garante per la protezione dei dati personali a expiré : entreprises, plateformes et services de lettres d’information devaient avoir aligné leur information, le recueil du consentement et les modalités de retrait sur ses règles relatives aux pixels de suivi dans les courriels. L’autorité italienne l’a rappelé dans sa newsletter du 8 octobre 2026, en annonçant que le respect de ces règles ferait partie de ses inspections du second semestre. Les lecteurs de ce blog connaissent la recommandation de la CNIL publiée au printemps. Pour un organisme qui envoie des campagnes en France et en Italie, la question devient pratique : les deux textes se recoupent largement, mais pas sur tout.
Le texte italien sur les pixels de suivi dans les courriels
Le Garante a adopté une décision le 17 avril 2026, publiée au journal officiel italien le 29 avril. Elle s’appuie sur l’article 122 du code italien de la vie privée, qui transpose la directive ePrivacy, le RGPD couvrant le reste (transparence, responsabilité). Le Garante a accompagné le texte d’une fiche pratique et d’un livret, accessibles depuis sa page thématique.
Le principe est le même qu’en France : un pixel qui permet de suivre l’ouverture d’un courriel par un destinataire identifié suppose un consentement préalable, libre, spécifique, éclairé et univoque. Le Garante vise expressément l’adaptation d’une campagne au comportement de chaque destinataire et la constitution de profils commerciaux. Pour les envois promotionnels, ce consentement peut être recueilli en même temps que l’accord pour recevoir les messages, à condition d’être formulé de façon neutre.
Les exemptions : le texte italien est plus large
La différence la plus nette concerne les cas dispensés de consentement. Le Garante en retient plusieurs.
- Les statistiques agrégées, la délivrabilité et la lutte contre le spam, si le pixel ne permet pas de suivre un destinataire précis. Le Garante admet un même pixel pour tous les destinataires d’une campagne, les autres données techniques étant anonymisées.
- La sécurité, notamment l’authentification.
- Les communications de service, quand il est utile de vérifier leur lecture : modification contractuelle, incident, alerte d’hameçonnage, échéance.
Dans chaque cas, le responsable de traitement doit lui-même vérifier que les conditions sont réunies, en respectant proportionnalité et minimisation.
La recommandation de la CNIL du 14 avril 2026 (délibération du 12 mars 2026), telle que la CNIL la présente, ne met en avant qu’une seule exemption : la mesure individuelle de la délivrabilité des courriels liés à un service demandé par le destinataire, comme une confirmation de commande, une réinitialisation de mot de passe ou une alerte de sécurité, avec des données limitées à cet usage. Un même dispositif peut donc relever d’une exemption à Rome et d’un consentement à Paris. La position la plus prudente, pour une campagne commune, consiste à appliquer la règle française aux destinataires français et à ne pas étendre aux autres l’exemption italienne sur les statistiques agrégées sans analyse.
Retrait sélectif et conception du pixel
Le Garante insiste sur un retrait simple et granulaire : le destinataire peut cesser de recevoir les messages, ou continuer à les recevoir sans pixel. Le refus ne doit pas restreindre l’accès au service et chaque choix doit être enregistré. En pratique, cela suppose que l’outil d’envoi sache produire deux versions d’un même courriel, avec et sans pixel, selon le choix de chaque destinataire. Beaucoup de plateformes ne le permettent pas nativement.
Le texte italien entre aussi dans la conception technique. Au titre de l’article 25 du RGPD, il recommande un identifiant non intelligible et non séquentiel, distinct de l’adresse électronique et conservé dans un environnement séparé. Une adresse en clair dans l’URL du pixel, encore fréquente, ne correspond pas à cette attente.
Sur les délais, les deux autorités ont laissé un temps d’adaptation. La CNIL a accordé trois mois pour informer les destinataires des adresses déjà collectées et leur permettre de s’opposer. Le Garante admet que l’information des personnes déjà en base soit donnée avec le premier message utile.
Expéditeur, routeur, propriétaire de la liste : qui fait quoi
Les deux autorités demandent de qualifier les rôles au cas par cas. Le Garante cite l’expéditeur, le prestataire d’envoi, le fournisseur de messagerie et le propriétaire de la liste, et n’exclut pas la responsabilité conjointe. Pour un envoi multi-pays, la répartition doit être écrite : qui recueille le consentement, qui conserve la preuve, qui traite les demandes de retrait, et comment l’information circule entre le routeur et l’expéditeur.
Ce que l’organisme doit vérifier
- Lister les outils d’envoi et, pour chacun, les pixels actifs et leur finalité réelle : délivrabilité, taux d’ouverture global, suivi individuel, alimentation du CRM.
- Segmenter les destinataires par pays et appliquer la règle la plus stricte quand la campagne est commune.
- Mettre à jour la mention d’information et le formulaire d’inscription, avec un choix distinct pour le suivi.
- Vérifier que la plateforme gère un envoi sans pixel pour ceux qui le refusent, et que le choix est enregistré.
- Revoir le contrat avec le routeur : qualification (article 28 ou responsabilité conjointe), localisation des données, durée de conservation des statistiques.
- Inscrire le traitement au registre et conserver la preuve des consentements.
Les associations et fédérations qui écrivent à des adhérents dans plusieurs pays, ou les organismes dont un prestataire mutualise les envois, sont concernés au même titre que les sites marchands.
Les DPO du réseau DPO FRANCE accompagnent les organismes dans l’audit de leurs outils d’emailing et la mise à jour de leurs mentions. DPO SUITE tient le registre, les contrats avec les prestataires d’envoi et les preuves de conformité, pays par pays.
