Depuis quelques mois, la plupart des DPO reçoivent la même question de leur direction marketing : "nos campagnes emailing sont-elles encore autorisées ?" La cause est la recommandation de la CNIL relative aux pixels de suivi dans les courriers électroniques, adoptée le 12 mars 2026 et publiée le 14 avril 2026. Elle fixe une échéance concrète : au plus tard le 14 juillet 2026, les destinataires dont l'adresse a déjà été collectée doivent recevoir une information claire sur ces traceurs. Ce guide vous donne la lecture opérationnelle de la recommandation et la feuille de route pour piloter la mise en conformité de votre organisation avant cette date.
Qu'est-ce qu'un pixel de suivi dans un email ?
Un pixel de suivi (aussi appelé pixel espion, pixel de tracking ou tracking pixel) est une image de très petite taille, souvent invisible, insérée dans le corps d'un email. Cette image n'est pas contenue dans le message : elle est hébergée sur un serveur distant. Quand le destinataire ouvre l'email, son client de messagerie va chercher l'image via une URL individualisée. Cette requête réseau transmet des informations au serveur qui héberge le pixel : identifiant unique du destinataire, date et heure d'ouverture, adresse IP, parfois des données sur le terminal utilisé.
Techniquement, cet appel réseau constitue une opération de lecture ou d'écriture d'informations sur le terminal de l'utilisateur. C'est ce point qui fait basculer les pixels dans le champ de l'article 82 de la loi Informatique et Libertés, exactement comme les cookies déposés sur un site web. La CNIL s'appuie sur les lignes directrices 2/2023 du Comité européen de la protection des données (CEPD), qui confirment l'application de l'article 5.3 de la directive ePrivacy aux pixels insérés dans les courriels.
Ce que change la recommandation CNIL du 12 mars 2026
La recommandation n'est pas un texte réglementaire nouveau : elle explicite l'application de règles existantes (article 82 de la loi Informatique et Libertés, RGPD, lignes directrices et recommandation cookies de 2020) au cas particulier des pixels dans les emails. Pour un DPO, l'intérêt est double : elle lève l'ambiguïté sur la qualification juridique des pixels, et elle donne des exemples concrets de formulations et de modalités de recueil du consentement.
L'article 82 s'applique aux pixels comme aux cookies
Le principe posé est clair : l'insertion d'un pixel de suivi requiert le recueil préalable du consentement libre, spécifique, éclairé et univoque du destinataire, sauf si l'opération relève d'une exemption stricte. Le régime est donc le même que celui des cookies. Un point de vigilance souligné par la CNIL mérite l'attention : le régime du consentement des pixels est indépendant de celui de l'envoi du courriel. Un email qui ne nécessite pas de consentement pour être envoyé (confirmation de commande, prospection de produits similaires à ses propres clients) peut malgré tout exiger un consentement pour le pixel qu'il contient.
La date limite du 14 juillet 2026 pour informer vos destinataires
La recommandation prévoit une modalité d'application transitoire. Pour les adresses électroniques déjà collectées, les opérations de lecture ou d'écriture peuvent continuer, sous réserve d'envoyer aux destinataires une information claire et accessible dans un délai qui ne saurait, en principe, excéder 3 mois à compter de la publication de la recommandation. La publication datant du 14 avril 2026, cette échéance tombe le 14 juillet 2026. Cette information doit permettre aux destinataires de s'opposer à ces opérations pour les courriels futurs si leur consentement n'a pas été recueilli dans les conditions de la recommandation. C'est cette échéance qui rend le sujet prioritaire pour tout DPO gérant des bases emailing constituées avant 2026.
Consentement requis ou pixel exempté : la qualification à mener
Le coeur du travail d'analyse consiste à qualifier chaque finalité de pixel utilisée dans votre organisation. Deux catégories cohabitent, et la frontière est étroite.
Les finalités qui imposent le consentement
La CNIL considère que le consentement est requis pour les finalités suivantes :
- l'analyse du taux d'ouverture pour mesurer et optimiser les performances des campagnes (personnalisation du contenu, adaptation de la fréquence ou du canal) ;
- la création de profils des destinataires selon leurs préférences et centres d'intérêt, afin de les cibler dans d'autres contextes (sites web, applications, autres canaux) ;
- la détection et l'analyse de suspicions de fraude (ouvertures inhabituelles ou massives suggérant un comportement automatisé) ;
- la mesure individuelle du taux d'ouverture à des fins de délivrabilité, lorsqu'elle sort du cadre strict de l'exemption décrite ci-dessous.
Les finalités exemptées de consentement
Deux familles de finalités peuvent être exemptées, à condition d'être utilisées exclusivement à ces fins :
- les mesures de sécurité participant à l'authentification de l'utilisateur (par exemple, vérifier qu'un email contenant un code d'authentification est ouvert sur un terminal connu) ;
- la mesure individuelle du taux d'ouverture à des fins de délivrabilité, strictement limitée à ce qui est nécessaire pour adapter la fréquence ou arrêter l'envoi aux destinataires inactifs (nettoyage des bases).
Pour cette seconde exemption, la CNIL applique le principe de minimisation de l'article 5.1.b du RGPD : en principe, seule la date (à la journée, sans l'heure) de la dernière ouverture connue devrait être conservée, mise à jour à chaque nouvelle ouverture avec suppression de la précédente. Les liens traçants utilisés pour sécuriser l'authentification ou permettre le retrait du consentement (lien unique par destinataire) sont également considérés comme exemptés, car strictement nécessaires au service demandé.
Le cas particulier des emails transactionnels
Les exemptions ne concernent que les courriels demandés par le destinataire ou rattachés à un service qu'il a demandé. Les emails transactionnels entrent typiquement dans ce cadre : email de bienvenue, alerte de compte, notification d'expédition d'un colis, confirmation de commande, facture, réinitialisation de mot de passe, réponse du service client, rappel de rendez-vous, notification de paiement. Il s'agit de messages informatifs ou fonctionnels, nécessaires à la relation contractuelle ou au service, et non de messages promotionnels. Les emails de l'administration liés à une mission de service public relèvent également du champ des exemptions.
Qui est responsable ? Cartographier les rôles RGPD
La recommandation demande à chaque acteur de déterminer son rôle au regard du traitement. Cette qualification conditionne les obligations contractuelles et la charge de la preuve. C'est un point sur lequel le DPO doit trancher avec précision.
L'expéditeur, responsable de traitement
L'expéditeur du courriel, c'est-à-dire l'acteur qui décide de l'envoi, est responsable de traitement, y compris lorsqu'il confie la gestion technique des traceurs à un prestataire. Point important : il sera en principe responsable conjoint des opérations de lecture ou d'écriture réalisées par des tiers qu'il accepte contractuellement au sein de ses courriels. La CNIL s'appuie sur la jurisprudence Fashion ID de la Cour de justice de l'Union européenne (arrêt C-40/17 du 29 juillet 2019) pour retenir cette responsabilité conjointe au sens de l'article 26 du RGPD.
Le prestataire d'emailing, sous-traitant ou responsable conjoint
Le prestataire qui fournit la solution d'envoi agit en général comme sous-traitant, pour le compte de l'expéditeur et selon ses instructions. Mais la qualification bascule dès que le prestataire (ou le fournisseur de la technologie de suivi) utilise les données du pixel pour ses propres finalités, par exemple pour améliorer sa solution ou ses listes de diffusion. Dans ce cas, une responsabilité conjointe peut être retenue, ce qui impose une répartition claire des obligations au titre de l'article 26 du RGPD, notamment sur l'information des personnes et l'exercice des droits. Le fournisseur de service de messagerie (celui qui affiche l'email chez le destinataire), lui, n'est ni responsable ni sous-traitant tant qu'il n'exploite pas les données du pixel.
La feuille de route du DPO avant le 14 juillet 2026
Au-delà de l'analyse juridique, la recommandation appelle un travail opérationnel concret. Voici la séquence à piloter, en lien avec les équipes marketing, CRM et IT.
Auditer les outils d'emailing et cartographier les pixels
Commencez par recenser toutes les solutions qui envoient des emails au nom de l'organisation : plateforme d'emailing marketing, CRM, outils transactionnels, prestataires de location de listes. Pour chacune, identifiez si des pixels de suivi sont activés, avec quelle finalité, et qui exploite les données. Cette cartographie alimente directement votre registre des traitements et clarifie les rôles responsable / sous-traitant. Elle est aussi l'occasion de vérifier vos contrats de sous-traitance au regard de l'article 28 du RGPD.
Mettre à jour la politique de traceurs et l'information
Chaque finalité de pixel soumise à consentement doit être présentée aux destinataires via un intitulé court accompagné d'un bref descriptif, avant le recueil du choix. La CNIL fournit des exemples de formulations directement réutilisables. Pour les pixels exemptés, elle recommande, à titre de bonne pratique, d'informer malgré tout de leur existence, par exemple dans la politique de confidentialité. La modalité privilégiée est de recueillir le consentement au moment de la collecte de l'adresse email. À défaut, un email dépourvu de pixel soumis à consentement peut être envoyé pour solliciter ce choix, avec une action positive du destinataire sur une page dédiée.
Documenter le consentement et sa preuve
Le responsable de traitement doit être en mesure de démontrer, à tout moment, le consentement de chaque personne, de manière individualisée (article 7.1 du RGPD). Une clause contractuelle confiant à un tiers le soin de recueillir le consentement ne suffit pas à rapporter cette preuve : le contrat encadre les mécanismes et l'audit, mais n'exonère pas l'expéditeur de sa responsabilité en cas de défaillance du tiers. Le retrait du consentement doit être aussi simple que son recueil, par exemple via un lien traçant en pied de page de chaque email. Le DPO a intérêt à documenter tout cela dans son registre et à conserver la trace des choix, pour être prêt en cas de contrôle.
Ce chantier touche autant les équipes marketing que juridiques. Pour ancrer les bons réflexes au-delà de la seule échéance du 14 juillet, Leto propose un module de sensibilisation destiné à outiller les équipes sur les traceurs et la protection des données au quotidien - voir l'offre.
Les erreurs fréquentes à éviter
Trois écueils reviennent souvent dans les organisations qui abordent le sujet dans l'urgence. Le premier est de confondre le régime de l'email et celui du pixel : un email transactionnel légitime peut contenir un pixel marketing qui, lui, exige un consentement. Le deuxième est de se croire couvert par une simple clause contractuelle avec son prestataire d'emailing, alors que la preuve du consentement reste à la charge du responsable de traitement. Le troisième est de traiter le sujet comme un problème purement technique confié à l'IT, sans mettre à jour le registre des traitements, la politique de traceurs et l'information des personnes. La mise en conformité pixels est d'abord un travail de qualification et de documentation piloté par le DPO.
Questions fréquemment posées
Un pixel de suivi dans un email nécessite-t-il toujours un consentement ?
Non. Le consentement est requis pour les finalités comme la mesure de performance des campagnes, la création de profils ou la détection de fraude. Certaines finalités sont exemptées, notamment la sécurité de l'authentification et la mesure individuelle du taux d'ouverture strictement limitée à la délivrabilité et au nettoyage des bases. Chaque finalité doit être qualifiée au cas par cas.
Quelle est la date limite fixée par la CNIL pour les pixels dans les emails ?
Pour les adresses déjà collectées, la CNIL demande d'informer les destinataires dans un délai qui ne saurait excéder 3 mois à compter de la publication de la recommandation, publiée le 14 avril 2026. L'échéance est donc le 14 juillet 2026. Cette information doit permettre aux personnes de s'opposer aux pixels pour les courriels futurs.
Les emails transactionnels sont-ils concernés par la recommandation ?
Oui, mais le régime dépend de la finalité du pixel. Les emails transactionnels (confirmation de commande, facture, réinitialisation de mot de passe) relèvent souvent des exemptions car ils sont rattachés à un service demandé par l'utilisateur. En revanche, un pixel à finalité marketing inséré dans un email transactionnel reste soumis au consentement.
Qui est responsable de la conformité des pixels : l'entreprise ou son prestataire d'emailing ?
L'expéditeur qui décide de l'envoi est responsable de traitement, même s'il sous-traite la gestion technique. Le prestataire d'emailing est en général sous-traitant, mais peut devenir responsable conjoint s'il utilise les données du pixel pour ses propres finalités. La preuve du consentement reste à la charge du responsable de traitement.
Le pixel de suivi email suit-il le même régime que les cookies ?
Oui. La CNIL applique aux pixels le régime de l'article 82 de la loi Informatique et Libertés, comme pour les cookies, en s'appuyant sur les lignes directrices 2/2023 du CEPD. Le consentement préalable est le principe, assorti d'exemptions strictes. Le régime du consentement du pixel est toutefois indépendant de celui de l'envoi de l'email.
Comment un DPO doit-il documenter la mise en conformité des pixels ?
Le DPO cartographie les outils d'emailing et les pixels utilisés, qualifie chaque finalité, met à jour le registre des traitements et les contrats de sous-traitance, actualise la politique de traceurs et l'information des personnes, et conserve la preuve individualisée du consentement. L'ensemble doit pouvoir être présenté en cas de contrôle de la CNIL.
