Pixels de suivi dans les emails : êtes-vous conforme à la règlementation ?

Le pixel de suivi est un fichier invisible intégré dans un courriel sous la forme généralement d'une image d'1 pixel par 1 pixel permettant notamment de savoir si un email a été ouvert, à quelle date et à quelle heure, depuis quel type d'appareil et, dans certains cas, d'obtenir une localisation approximative à partir de l'adresse IP.

Les pixels de suivi sont aujourd'hui massivement utilisés afin de mesurer par exemple les performances d'une campagne marketing.

La CNIL rappelle l'application des textes relatifs aux opérations de lecture ou d'écriture en tenant compte des spécificités technologiques et opérationnelles relatives aux pixels de suivi.

Quelles sont les recommandations de la CNIL publiées le 14 avril 2026 que doivent désormais respecter les organismes du secteur privé ou public recourant aux pixels de suivi dans les courriels ?²

Etape 1 : déterminer son rôle au regard du traitement réalisé

Chaque acteur intervenant dans les opérations de lecture ou écriture liées aux pixels de suivi dans les courriels doit déterminer son rôle au regard du traitement réalisé afin d'identifier ses obligations.

En effet, il peut exister plusieurs intervenants dans la chaîne d'un courriel (expéditeur, prestataire de services d'envoi, fournisseur de la technologie de suivi, etc.) nécessitant que chacun détermine ses obligations (notamment le recueil du consentement) en fonction de sa qualité (responsable de traitement, sous-traitant ou responsable de traitement conjoint).

La recommandation de la CNIL définit les différents acteurs et précise leur qualification en principe.

Etape 2 : déterminer les finalités du traitement et la nécessité de recueillir un consentement

Les finalités permettent notamment de déterminer si le consentement de la personne concernée doit être recueilli.

En principe, le consentement de la personne concernée doit être recueilli lorsque le pixel de suivi a pour finalité :¹

• L'analyse du taux d'ouverture des courriels ;
• La création de profils des destinataires ;
• La détection et l'analyse de suspicions de fraude (détecter les comportements automatisés) ;
• La mesure individuelle du taux d'ouverture des courriels à des fins de délivrabilité qui n'entre pas dans l'exception ci-dessous.

Par exception, le recueil du consentement de la personne concernée à la collecte de ses données personnelles n'est pas nécessaire lorsque le pixel de suivi a pour finalité :

• De permettre ou faciliter la communication par voie électronique ou est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ;
• La mise en œuvre de mesures de sécurité participant à l'authentification de l'utilisateur (sécurisation de l'authentification pour les courriels contenant un code unique) ;
• La mesure individuelle du taux d'ouverture des courriels à des fins de délivrabilité uniquement lorsque cette opération a vocation à adapter la fréquence ou arrêter les envois de courriels aux destinataires dits « inactifs ». Dans ce cadre, les pixels pourront également être utilisés pour :

• Evaluer et adapter le canal de communication (choisir les modalités alternatives de contact) ;
• Contribuer à la démonstration du respect d'une obligation légale relative à la transmission d'informations au destinataire (délivrance d'informations requises par les dispositions légales et règlementaires par exemple).

Ces exemptions supposent que les courriels se rattachent à un service demandé par l'utilisateur, à savoir qu'il s'agisse d'un courriel (1) « transactionnel » (message informatif ou fonctionnel nécessaire à la relation contractuelle à l'exclusion de tout message promotionnel) ou (2) pour lequel le destinataire a donné son consentement.

Le principe de la minimisation des données impose que dans ces cas, seule doit être conservée la date de la dernière ouverture connue du courriel (sans enregistrer l'heure), mise à jour à chaque nouvelle ouverture avec suppression de la précédente.

Etape 3 : modalités de recueil du consentement de la personne concernée

Le consentement du destinataire du courriel doit être recueilli avant l'utilisation du pixel de suivi, idéalement lors de la collecte de l'adresse électronique. L'information doit être claire, accessible et présenter les différentes finalités du suivi (un intitulé court pour chaque finalité et un bref texte descriptif).

Lorsque l'adresse électronique a déjà été collectée ou a été communiquée par un tiers sans preuve du consentement à l'utilisation de pixels de suivi, la CNIL recommande l'envoi d'un courriel sans pixel contenant un lien vers une interface de choix.

Même lorsque le recueil du consentement du destinataire du courriel n'est pas nécessaire, la CNIL recommande à titre de bonne pratique de l'informer de l'utilisation des pixels, notamment par l'intermédiaire d'une politique de confidentialité.

Le destinataire doit pouvoir :

• Accepter ou refuser librement ;
• Faire un choix distinct selon les finalités ;
• Comprendre quelles données sont collectées et pourquoi ;
• Identifier l'adresse électronique concernée et comprendre que les traceurs sont susceptibles d'être déposés sur les différents terminaux utilisés pour consulter ses courriels ;
• Retirer son consentement aussi facilement qu'il l'a donné, et à tout moment (chaque courriel comportant un pixel soumis au consentement devrait permettre au destinataire de retirer facilement son accord, par exemple grâce à un lien accessible dans le pied de page).

L'absence de réponse ou l'inactivité du destinataire ne peuvent pas être considérés comme un consentement (une action positive est requise). La preuve du consentement doit par ailleurs être conservée de manière individualisée.

Enfin, il convient de bien distinguer le régime du consentement applicable aux pixels de suivi de celui applicable à l'envoi du courriel : il s'agit de deux régimes indépendants. Aussi, le consentement à recevoir de la prospection commerciale ne vaut pas automatiquement consentement au suivi de l'ouverture des courriels et inversement, le recueil du consentement pour l'usage de pixels de suivi pourra être nécessaire pour des courriels qui ne nécessitent pas, en principe, le consentement des destinataires. Un consentement unique couvrant à la fois la prospection commerciale directe par voie électronique et l'utilisation de pixels de suivi peut néanmoins être recueilli lorsque les finalités sont connexes.

Quel délai de mise en conformité ?

Concernant les adresses électroniques collectées avant le 14 avril 2026, la CNIL a mis en place un régime transitoire jusqu'au 14 juillet 2026 permettant aux organismes privés et publics de poursuivre les opérations de lecture ou d'écriture liées aux pixels de suivi sans recueil d'un consentement formel, à condition d'envoyer aux destinataires une information claire et accessible leur permettant de s'opposer à de telles opérations.

Néanmoins, ce délai est indicatif et pourrait être prolongé de manière raisonnable, sous réserve de documenter les difficultés objectives et justifiées n'ayant pas permis de respecter l'échéance du 14 juillet 2026 (volume de la base de données, problèmes de délivrabilité).

A défaut, il convient d'obtenir le cas échéant le consentement des destinataires des courriels.

1. Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d'un utilisateur (notamment aux « cookies et autres traceurs ») et abrogeant la délibération n° 2019-093 du 4 juillet 2019 ; Délibération n° 2020-092 du 17 septembre 2020 portant adoption d'une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux « cookies et autres traceurs » ; Article 82 de la loi « informatique et libertés ». ↩
2. Recommandation de la CNIL du 12 mars 2026, publiée le 14 avril 2026 ; Questions-réponses de la CNIL du 22 juillet 2026 relative à la recommandation sur les pixels de suivi. ↩