Pixels de suivi dans les emails : ce que la CNIL exige depuis juillet 2026

Les pixels de suivi sont de minuscules images invisibles insérées dans un email. Quand la messagerie les charge, l'expéditeur apprend que le message a été ouvert, à quelle heure et souvent depuis quel appareil. La CNIL rattache ces pixels à la règle qui encadre les cookies, l'article 82 de la loi Informatique et Libertés : ils demandent en principe le consentement du destinataire. Sa recommandation, adoptée le 12 mars 2026, s'applique en totalité depuis le 14 juillet 2026. Cet article décrit ce qui demande le consentement, ce qui en est dispensé et les réglages à faire dans vos outils. Il présente des règles générales et ne remplace pas l'avis d'un juriste sur votre situation.

Calendrier de la recommandation

La recommandation s'applique à tous les organismes qui envoient des emails, entreprises, associations et organismes publics, ainsi qu'à leurs prestataires techniques, dont les outils d'emailing.

Ce qui demande le consentement

Le principe se lit simplement : un pixel qui sert à mesurer ou à optimiser le marketing demande le consentement ; un pixel strictement nécessaire à la sécurité, ou à un service que le destinataire a demandé, peut s'en passer dans les limites fixées par la CNIL.

Les deux exceptions, lues de près

La sécurité d'une authentification. Un service qui envoie un code de connexion peut vérifier que l'email a été ouvert sur un appareil déjà connu du compte. Le pixel sert alors la sécurité de l'utilisateur ; il ne doit servir à rien d'autre.

La mesure individuelle de délivrabilité. Un service que le destinataire a demandé, une lettre d'information à laquelle il s'est inscrit par exemple, peut mesurer si ses messages sont ouverts afin de retirer de la liste les destinataires inactifs. La recommandation pose des conditions précises à cette exception (section 3.2 du texte) : lisez-les, avec la foire aux questions de la CNIL, avant de vous en prévaloir. Un pixel posé au titre de la délivrabilité ne peut pas alimenter en plus un taux d'ouverture par campagne : cet usage demande le consentement.

Les adresses collectées avant le 14 avril 2026

Pour les adresses collectées avant la publication de la recommandation, la CNIL admet que l'expéditeur continue à s'appuyer sur l'absence d'opposition, à deux conditions : les destinataires ont été informés comme la recommandation le prévoit, et ils ont pu exercer leur droit de s'opposer. Si cette information n'a jamais été donnée, le plus prudent est de traiter ces adresses comme les nouvelles et de demander le consentement.

Recueillir le consentement

La CNIL prévoit deux moments pour le demander : lors de la collecte de l'adresse, ou plus tard, par un lien placé dans un email qui ne contient lui-même aucun pixel. Les règles générales du consentement s'appliquent aussi :

• Une demande à part. Une case non cochée par défaut, distincte de l'inscription elle-même, qui dit à quoi sert la mesure : le consentement se donne pour une finalité précise.
• Un refus sans conséquence. Refuser la mesure ne doit pas empêcher de recevoir la lettre : un consentement imposé en contrepartie d'un service n'est pas libre.
• Un retrait aussi simple que l'accord. Un lien en pied de message permet de retirer son consentement, sans se désinscrire de la lettre.
• Une preuve. Date, texte présenté et canal de collecte, conservés comme attributs du contact dans le CRM ou l'outil d'emailing.

Dans un formulaire d'inscription, la case peut se formuler ainsi : « J'accepte que [nom de l'entreprise] mesure l'ouverture de ses emails pour améliorer ses envois. Je peux retirer cet accord à tout moment depuis chaque email. »

Les réglages à faire dans vos outils

Les outils d'emailing insèrent en général un pixel d'ouverture dans les messages, activé par défaut. Le travail de mise en conformité commence donc par un inventaire.

1. Lister les pixels. Outil d'emailing, CRM, outil de prospection, logiciel de devis qui prévient quand le client a ouvert son devis, outil de signature d'email : tout ce qui envoie au nom de l'entreprise peut en insérer un.
2. Enregistrer le consentement comme un attribut du contact, avec sa date et sa source.
3. Couper le suivi des ouvertures pour les destinataires qui n'ont pas consenti. Si l'outil ne sait pas le faire contact par contact, coupez-le pour tous.
4. Revoir les automatisations fondées sur l'ouverture : relance des destinataires qui n'ont pas ouvert, points de score attribués à une ouverture. Fondez-les sur des signaux qui ne demandent pas de pixel, comme une réponse, une inscription ou une demande de rendez-vous.
5. Mettre à jour la politique de confidentialité et le formulaire d'inscription.
6. Vérifier les prestataires : réglages par défaut, contrat, et capacité à n'insérer le pixel que pour les destinataires qui l'ont accepté.

La recommandation vise les pixels. Le suivi des clics par des liens de redirection, que les outils activent aussi par défaut, soulève des questions voisines : la foire aux questions de la CNIL et votre conseil sont la référence pour les trancher.

Le taux d'ouverture ne valait déjà plus grand-chose

Depuis la protection de la confidentialité de Mail (Mail Privacy Protection), Apple Mail masque l'adresse IP du destinataire et charge le contenu distant en arrière-plan, à la réception du message plutôt qu'à son ouverture. Apple le présente ainsi : la fonction empêche les expéditeurs de savoir si vous avez ouvert l'email. Un message reçu sur un iPhone qui utilise cette protection compte donc comme ouvert, lu ou non.

Les indicateurs qui restent fiables mesurent ce que fait le destinataire après l'ouverture :

• le taux de réponse, pour les séquences commerciales ;
• les visites arrivées sur votre site depuis la campagne, repérées par des paramètres UTM et mesurées selon les règles de consentement de votre site ;
• les demandes, les rendez-vous et les ventes attribués à la campagne dans le CRM ;
• les désinscriptions, les plaintes et les rebonds, qui disent si la liste est saine.

Notre guide sur la délivrabilité email détaille les seuils de plaintes de Gmail et de Yahoo, et notre test SPF, DKIM et DMARC vérifie gratuitement l'authentification de votre domaine.

Contexte : les sanctions de la CNIL

La CNIL a prononcé 83 sanctions en 2025, pour un total de 486 839 500 euros ; dix décisions concernaient la prospection commerciale. Trois décisions récentes touchent l'email de près :

Le 25 juin 2026, le Conseil constitutionnel a jugé contraires à la Constitution plusieurs alinéas de l'article L34-5 du Code des postes et des communications électroniques, parce qu'ils permettaient à plusieurs autorités de sanctionner les mêmes faits (décision n° 2026-1210 QPC). L'abrogation est reportée au 31 octobre 2027 ; d'ici là, une autorité ne peut pas poursuivre des faits déjà poursuivis ou sanctionnés par une autre. Les règles de fond de la prospection par email, consentement et droit d'opposition, restent inchangées, et la recommandation sur les pixels repose sur un autre texte, l'article 82 de la loi Informatique et Libertés.

Plan de mise en conformité

1. Inventorier les outils qui insèrent un pixel.
2. Classer chaque usage : mesure et personnalisation (consentement), sécurité d'une authentification ou délivrabilité d'un service demandé (exceptions, sous conditions).
3. Ajouter une demande de consentement distincte au formulaire d'inscription, et un lien de retrait en pied de message.
4. Proposer le consentement aux abonnés existants par un email sans pixel.
5. Couper le suivi des ouvertures pour les destinataires qui n'ont pas consenti.
6. Réécrire les automatisations et les rapports autour des réponses, des visites, des demandes et des ventes.
7. Documenter le tout dans le registre des traitements.

Notre expertise analytics et mesure relie les campagnes aux demandes et aux ventes, consentement compris, et nos CRM sur mesure peuvent enregistrer le consentement dans la fiche de chaque contact. Pour les règles de la prospection elle-même, lisez notre guide sur l'emailing B2B.