Pixel de suivi dans les emails : faut-il un consentement ?

Si vous avez reçu ces derniers jours une vague d'emails vous parlant de « changement dans le suivi » ou de « pixel de tracking », ce n'est pas un hasard. La CNIL a publié le 14 avril 2026 une recommandation qui range les pixels de suivi marketing des courriels dans le même régime de consentement que les cookies, avec une première échéance fixée au 14 juillet 2026. Voici précisément ce que le texte impose, ce qui reste autorisé sans consentement, et quoi faire selon votre situation.

Qu'est-ce qu'un pixel de suivi dans un email ?

Un pixel de suivi (ou « pixel de tracking », « pixel espion ») est une image invisible, généralement de 1×1 pixel, insérée dans le corps d'un email. Quand votre logiciel de messagerie affiche le message, il télécharge cette image depuis le serveur de l'expéditeur. Ce simple téléchargement signale que le courriel a été ouvert, à quelle heure, depuis quel appareil et parfois depuis quelle zone géographique approximative.

Techniquement, cette opération consiste à lire ou inscrire une information sur votre terminal, exactement comme un cookie déposé par un site web. C'est ce point de bascule technique qui déclenche l'application de la loi, indépendamment du format employé (image, balise de suivi de clic, ressource distante). La CNIL constate une croissance forte de ces pratiques et un nombre croissant de signalements, ce qui l'a conduite à publier une recommandation dédiée.

Ce que dit la recommandation CNIL du 12 mars 2026

La délibération n° 2026-042 du 12 mars 2026, publiée le 14 avril 2026, ne crée pas une règle nouvelle : elle explicite l'application du droit existant aux pixels des courriels. Le fondement est le même que pour les cookies : l'article 82 de la loi Informatique et Libertés, qui transpose l'article 5, paragraphe 3, de la directive ePrivacy (2002/58/CE), éclairé par les lignes directrices du Comité européen de la protection des données (CEPD).

Le principe posé par la CNIL est direct : l'insertion d'un pixel de suivi dans un courriel requiert le recueil préalable du consentement libre, spécifique, éclairé et univoque du destinataire, sauf si l'opération a pour finalité exclusive de permettre ou faciliter la communication électronique, ou si elle est strictement nécessaire à la fourniture d'un service demandé expressément par l'utilisateur. C'est la même mécanique consentement-par-défaut / exemption-étroite que celle qui régit déjà le bandeau cookies et les traceurs.

Point à retenir pour la base juridique : vous ne pouvez pas invoquer un « intérêt légitime » au sens du RGPD pour contourner cette obligation. L'article 82 est un texte distinct, qui impose le consentement pour l'opération de lecture ou d'écriture sur le terminal, en amont de tout traitement ultérieur des données récoltées.

Les usages qui exigent désormais un consentement

La recommandation liste précisément les finalités qui basculent sous consentement :

• Mesurer et optimiser la performance des campagnes en personnalisant le contenu des messages ou en adaptant le canal de communication (courriel, SMS, notification push). C'est l'usage le plus répandu : le fameux « taux d'ouverture » qui alimente les tableaux de bord marketing. Cette finalité couvre aussi les procédés de fiabilisation de la mesure, comme la lutte contre la fraude publicitaire.
• Créer des profils de destinataires afin de les cibler, y compris au-delà du courriel (sur des sites web ou d'autres canaux).
• Détecter et analyser des suspicions de fraude, par exemple des ouvertures ou inscriptions inhabituelles ou massives (inscriptions automatisées à un jeu concours, etc.).

Autrement dit, si votre routeur d'emails vous affiche des statistiques d'ouverture pour piloter vos envois, vous êtes en plein dans le champ du consentement. C'est le même raisonnement que pour la prospection par newsletter, mais appliqué cette fois à la brique technique du suivi, et non au seul envoi du message.

Les exemptions : délivrabilité, sécurité, transactionnel

Toutes les utilisations de pixels ne tombent pas sous le consentement. La CNIL reconnaît des finalités exemptées, mais elle en cadre l'usage de façon stricte.

La principale est la mesure individuelle de l'ouverture à des fins de délivrabilité. Concrètement : identifier les destinataires qui n'ouvrent plus vos messages afin de les retirer de vos listes (le « nettoyage des bases »). Pour bénéficier de l'exemption, l'expéditeur doit démontrer que les opérations se limitent à ce qui est strictement nécessaire pour adapter les envois aux destinataires dits inactifs. Sous cette réserve, le pixel peut aussi servir à évaluer et adapter le canal de communication. La CNIL considère par ailleurs comme une bonne pratique de ne plus solliciter un destinataire pendant environ 6 mois une fois son inactivité constatée.

Cette exemption reste toutefois conditionnée au type de courriel. Elle ne peut concerner que les courriels demandés par le destinataire ou rattachés à un service demandé : les emails transactionnels (message déclenché par une action ou un événement de l'utilisateur : confirmation de commande, code de connexion, réinitialisation de mot de passe) et les emails pour lesquels le destinataire a déjà consenti.

Le calendrier de mise en conformité

La recommandation prévoit une mesure transitoire pour les bases déjà constituées. Pour les données déjà collectées au moment de la publication, la CNIL demande d'informer les destinataires de l'usage de pixels dans un délai qui, en principe, ne saurait excéder trois mois à compter de la publication. La recommandation ayant été publiée le 14 avril 2026, cette information doit intervenir au plus tard le 14 juillet 2026. Elle doit permettre aux destinataires de s'opposer facilement à ces opérations pour les courriels futurs. C'est très exactement l'objet des emails que beaucoup d'expéditeurs envoient en ce moment.

Pour les adresses collectées après la publication, il n'y a pas de période de tolérance : le régime de droit commun s'applique, c'est-à-dire le consentement préalable pour tout pixel poursuivant une finalité soumise à consentement.

Comment recueillir un consentement valable

Le consentement pour un pixel s'apprécie selon les mêmes exigences que pour les cookies (renvoyées par la CNIL à ses lignes directrices et à sa recommandation traceurs). En pratique :

• Le consentement doit être préalable : il se recueille en amont, typiquement au moment de la collecte de l'adresse (inscription à la newsletter, création de compte), et non au premier envoi.
• Il doit être libre : la CNIL rappelle qu'un consentement unique recueilli simultanément pour plusieurs opérations distinctes fragilise sa validité. Le suivi ne doit pas être imposé comme condition d'accès au service.
• Il doit être spécifique et éclairé : le destinataire doit comprendre qu'un pixel sera utilisé, pour quelle finalité et par qui.
• Il doit être révocable aussi simplement qu'il a été donné.

Cette information trouve naturellement sa place dans votre politique de confidentialité, qui doit mentionner l'existence du suivi, sa finalité et les moyens de s'y opposer. Si vous faites appel à un prestataire de routage (plateforme d'emailing), la répartition des responsabilités entre vous et lui doit être clarifiée : la CNIL évoque des situations de responsabilité conjointe de traitement.

Et si vous n'utilisez aucun tracking d'email ?

Bonne nouvelle : si vos emails n'embarquent pas de pixel de suivi d'ouverture, cette recommandation ne change rien pour vous. Beaucoup de petits expéditeurs envoient des messages sans aucun traceur, ou uniquement des emails transactionnels dont le suivi se limite à la bonne réception.

Le piège se situe ailleurs : la plupart des plateformes d'emailing activent le suivi d'ouverture par défaut. Si vous utilisez un outil de type Mailchimp, Brevo, HubSpot ou un service d'envoi transactionnel, le tracking d'ouverture est souvent coché sans que vous l'ayez demandé. Deux réflexes utiles :

1. Vérifiez les réglages de votre routeur : la plupart proposent une option pour désactiver le suivi d'ouverture (« open tracking ») et le suivi de clic. Si vous n'avez pas besoin de ces statistiques, les couper vous sort du champ du consentement.
2. Si vous avez besoin des statistiques, alors vous entrez dans le régime du consentement décrit ci-dessus, ou vous limitez strictement l'usage du pixel à la délivrabilité.

Autrement dit, ne pas savoir si l'on track, c'est déjà un risque. L'audit prend cinq minutes dans les paramètres de l'outil d'envoi.

Le contexte européen

La position française n'est pas isolée. L'autorité italienne de protection des données (le Garante) a adopté au printemps 2026 une position comparable, exigeant elle aussi le consentement pour les pixels de suivi marketing dans les courriels, avec son propre calendrier de mise en conformité. Comme les autorités européennes fonctionnent en réseau et s'appuient sur des lignes directrices communes du CEPD, le raisonnement juridique (article 5(3) de la directive ePrivacy) s'applique de manière analogue dans les autres États membres, même si tous n'ont pas encore formalisé de recommandation dédiée.

Pour un expéditeur français, la règle de conduite est simple : traiter le pixel de suivi comme un traceur, et lui appliquer la même rigueur de consentement qu'à un cookie publicitaire.

Ce que ça change concrètement pour votre entreprise

En synthèse, la marche à suivre :

• Cartographiez vos envois : distinguez les emails marketing (newsletters, campagnes) des emails transactionnels.
• Auditez le tracking de votre plateforme : le suivi d'ouverture et de clic est-il activé ? Pour quelle finalité ?
• Décidez : soit vous coupez le suivi marketing, soit vous recueillez un consentement préalable conforme.
• Informez vos bases existantes avant le 14 juillet 2026 et offrez une opposition simple.
• Documentez le tout dans votre politique de confidentialité et, le cas échéant, dans votre registre des traitements.

Le manquement à l'article 82 est sanctionnable de manière autonome, indépendamment d'une violation du RGPD, et les traceurs figurent parmi les sujets les plus contrôlés par la CNIL (voir ce que risque un site non conforme).

Ressources officielles

• Recommandation CNIL relative aux pixels de suivi dans les courriers électroniques (délibération n° 2026-042 du 12 mars 2026).
• Texte intégral de la recommandation (PDF) sur cnil.fr.
• Article 82 de la loi Informatique et Libertés sur Légifrance.
• Directive 2002/58/CE (ePrivacy), article 5 sur EUR-Lex.

Cette page a une vocation d'information et ne constitue pas un avis juridique. La recommandation CNIL n'a pas de portée réglementaire contraignante en elle-même, mais elle explicite la façon dont l'autorité interprète et contrôle l'application de l'article 82. Une relecture par un professionnel du droit reste recommandée avant toute décision sur vos pratiques d'emailing.