Pixels de suivi email : la CNIL impose le consentement

Sommaire

• Qu’est-ce qu’un pixel de suivi ?
• La recommandation CNIL du 12 mars 2026
• Ce qui change concrètement
• Les deux exceptions
• Les actions à mener
• FAQ

Qu’est-ce qu’un pixel de suivi ?

Un pixel de suivi (parfois appelé « pixel espion » ou pixel de tracking) est une image invisible de 1 pixel par 1 pixel, intégrée dans le code HTML d’un email. Quand le destinataire ouvre l’email, son client de messagerie charge cette image depuis un serveur distant. Ce chargement permet à l’expéditeur de savoir que l’email a été ouvert, à quelle heure, et sur quel appareil.

Cette technique est utilisée depuis des années par les routeurs d’emailing (Mailchimp, Sendinblue, Brevo, Active Campaign) pour mesurer les taux d’ouverture. La plupart de ces plateformes activent le pixel par défaut, sans que l’expéditeur ne s’interroge sur sa base légale. C’était un angle mort de la conformité RGPD.

La recommandation CNIL du 12 mars 2026

La délibération n° 2026-042 de la CNIL, adoptée le 12 mars 2026 et publiée le 14 avril 2026, met fin à cette zone grise. La CNIL qualifie le pixel de suivi de traceur au sens de l’article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy.

Concrètement : un pixel qui mesure l’ouverture ou les clics à des fins marketing, statistiques ou de profilage suppose le consentement préalable du destinataire, exactement comme un cookie sur un site web. L’opt-out ne suffit plus. Le destinataire doit dire oui avant que le pixel ne soit chargé.

Pour les adresses collectées avant le 14 avril 2026, la CNIL a laissé trois mois pour informer les destinataires et leur permettre de s’opposer, soit jusqu’au 14 juillet 2026. À partir de cette date, le consentement explicite devient obligatoire pour toute nouvelle campagne utilisant des pixels de suivi.

Cette contrainte doit être intégrée dès la conception des campagnes et des supports, comme le rappelle notre guide de la refonte de site internet.

Ce qui change concrètement

Si vous envoyez des emails marketing avec suivi d’ouverture, voici ce qui change :

La conformité est aussi un prérequis de visibilité : un site qui respecte la loi inspire confiance, comme l’explique notre guide pour apparaître sur Google.

• Avant : vous ajoutez un pixel, vous mesurez les ouvertures, personne ne pose de question.
• Après : vous devez obtenir le consentement du destinataire avant d’activer le pixel. Sans consentement, pas de suivi d’ouverture.

Les usages qui exigent désormais un consentement explicite :

• Mesure des taux d’ouverture à des fins marketing
• Profilage des destinataires (appareil, localisation, horaires d’ouverture)
• Statistiques agrégées d’engagement
• Scoring des contacts inactifs pour suppression

La sanction encourue : jusqu’à 4 % du chiffre d’affaires mondial, comme pour toute violation du RGPD. La CNIL a déjà sanctionné des acteurs pour des pratiques similaires (amende de 60 millions d’euros contre des cookies non consentis en 2023).

Les deux exceptions

La CNIL prévoit deux cas où le pixel reste autorisé sans consentement :

1. Délivrabilité technique : mesurer si l’email a bien été délivré (bounces, rejets) pour purger les adresses invalides. Ce suivi est nécessaire au fonctionnement du service et ne nécessite pas de consentement.
2. Service explicitement demandé : si le destinataire a demandé une fonctionnalité qui implique un suivi (par exemple, un accusé de lecture dans une messagerie), le pixel est autorisé dans la limite de ce service.

Tout autre usage, notamment le marketing et le profilage, exige le consentement.

Les actions à mener

1. Auditer vos outils d’emailing. Vérifiez si votre routeur (Brevo, Mailchimp, Sendinblue, Active Campaign) active le pixel de suivi par défaut. La plupart le font. Désactivez-le si vous n’avez pas recueilli le consentement.

2. Mettre en place un mécanisme de consentement. Ajoutez une case à cocher lors de l’inscription à votre newsletter : « J’accepte d’être suivi à des fins de statistiques marketing ». Sans cette case cochée, le pixel ne doit pas se charger.

3. Informer les bases existantes. Pour les contacts collectés avant le 14 avril 2026, envoyez un email d’information expliquant la pratique et proposant de s’y opposer. La deadline était le 14 juillet 2026.

4. Repenser vos métriques. Sans pixel, vous perdez la mesure du taux d’ouverture. Remplacez-la par des métriques alternatives : taux de clic (qui ne nécessite pas de pixel), taux de conversion, désabonnements. Le taux de clic est de toute façon une métrique plus fiable que le taux d’ouverture, qui est surestimé par les clients de messagerie qui chargent les images automatiquement.

Sources : CNIL (délibération n° 2026-042, 12 mars 2026), donneespersonnelles.fr, leto.legal. Article rédigé par Raphaël Marieux pour Normandie Digital.