Pixels de suivi email : la deadline CNIL est passée, et maintenant ?
Si vous envoyez des newsletters, des campagnes de prospection ou des scénarios d’automation, vous êtes concerné — et l’échéance est derrière vous.
Le 12 mars 2026, la CNIL a adopté une recommandation (n° 2026-042) relative aux pixels de suivi dans les courriers électroniques, publiée le 14 avril. Elle accordait trois mois aux organisations pour se mettre en règle sur leurs bases existantes. Ce délai s’est achevé le 14 juillet 2026, date à partir de laquelle la CNIL a annoncé des contrôles.
Autrement dit : le sujet n’est plus prospectif. Il est à traiter maintenant.
De quoi parle-t-on exactement ?
Un pixel de suivi est une image transparente d’un pixel sur un pixel, insérée dans le corps d’un email. Quand le destinataire ouvre le message, l’image se charge depuis un serveur distant — et signale l’ouverture, l’horodatage, parfois l’appareil et la localisation approximative.
C’est ce mécanisme qui alimente vos indicateurs les plus familiers : taux d’ouverture, CTOR, segmentation des inactifs, déclenchement de scénarios d’automation.
La pratique n’a rien de nouveau. Ce qui change, c’est son statut juridique.
Ce que dit la CNIL
La position est nette : insérer un pixel de suivi constitue une opération de lecture sur le terminal du destinataire. À ce titre, le pixel relève du même régime que les cookies — l’article 82 de la loi Informatique et Libertés, et le RGPD.
Le consentement préalable devient donc la règle pour l’ensemble des finalités marketing : mesure individuelle des ouvertures, personnalisation, profilage, ciblage.
Deux précisions importantes.
Le B2B n’est pas exempté. C’est le point qui surprend le plus. Le régime applicable au pixel est indépendant de celui qui régit l’envoi de l’email lui-même. Vous pouvez parfaitement être fondé à prospecter une adresse professionnelle sans opt-in, tout en n’ayant pas le droit d’en mesurer les ouvertures. L’intérêt légitime ne suffit pas.
C’est la finalité qui commande, jamais le type d’email. Un pixel à visée marketing glissé dans un email transactionnel — confirmation de commande, notification d’expédition — reste soumis au consentement.
Ce qui reste possible sans consentement
Les exemptions existent, mais elles sont étroites :
- les traitements strictement nécessaires à la sécurité ou à l’authentification
- la délivrabilité sur les communications transactionnelles ou expressément demandées
- la gestion des contacts inactifs — avec une limite précise : seule la date de dernière ouverture, à la journée, peut être conservée
Vous pouvez donc continuer à nettoyer votre base des adresses dormantes. Vous ne pouvez plus, sans consentement, savoir que Monsieur Dupont a ouvert votre campagne trois fois mardi soir depuis son mobile.
La bonne nouvelle : pas d’opt-in rétroactif massif
C’est l’apport le plus attendu de la recommandation, et il évite un scénario catastrophe.
La CNIL n’exige pas de recollecter le consentement de l’ensemble de vos bases existantes. Pour les adresses collectées avant la publication, elle demande a minima d’informer clairement les destinataires de l’usage de pixels et de leur permettre de s’y opposer facilement.
Un email d’information assorti d’un dispositif d’opposition opérationnel suffisait donc, à condition d’avoir été envoyé avant le 14 juillet. Si ce n’est pas fait, il faut le faire sans attendre : mieux vaut une mise en conformité tardive qu’une absence de mise en conformité.
Que faire concrètement ?
Faites l’inventaire. Quels outils envoient des emails en votre nom ? Plateforme d’emailing, CRM, outils de marketing automation, module de votre site e-commerce, séquences de prospection commerciale. Le tracking est souvent actif par défaut, à plusieurs endroits, sans que personne ne l’ait explicitement décidé.
Tranchez pour chaque flux. Deux scénarios seulement : soit vous désactivez le pixel, soit vous recueillez le consentement. Sur certains flux — les campagnes purement informatives, par exemple — la désactivation est souvent le choix le plus économique.
Ajoutez le consentement à la collecte. La pratique recommandée consiste à recueillir le consentement au moment où vous récupérez l’adresse : une case dédiée, distincte de l’inscription elle-même.
Prévoyez le retrait. Chaque email doit permettre de retirer ce consentement simplement, via un lien dédié, distinct du lien de désabonnement.
Documentez. En tant que responsable de traitement, vous devez pouvoir démontrer à tout moment que le consentement a été recueilli. Un consentement obtenu oralement par un commercial doit être consigné dans le CRM, avec sa date et son contexte.
L’occasion de faire le ménage
Ce chantier a un mérite inattendu : il oblige à regarder ce qui se passe réellement dans vos outils.
Beaucoup d’entreprises découvrent à cette occasion qu’elles trackent depuis des années des données qu’elles n’exploitent jamais, sur des bases qu’elles n’ont pas nettoyées. Se recentrer sur les indicateurs réellement pilotants — les clics, les conversions, le chiffre d’affaires généré — vaut souvent mieux qu’un taux d’ouverture devenu de toute façon peu fiable.
C’est aussi le bon moment pour reposer la question de fond : votre newsletter sert-elle encore ses objectifs ? Et plus largement, votre conformité tient-elle la route au-delà des seuls pixels — registre des traitements, politique de confidentialité, preuve du consentement ?
Besoin d’y voir clair sur votre situation ?
Chez Janvier, nous accompagnons les entreprises sur cette mise en conformité, de l’audit des flux à la reconfiguration des outils.