Quelles obligations pour les pixels de suivi dans vos emails ?

Depuis le 14 avril 2026, la CNIL encadre l'utilisation des pixels de suivi dans les emails. Ces images invisibles, intégrées dans les newsletters et campagnes marketing, permettent de savoir si un destinataire a ouvert un message. La recommandation classe ces pixels parmi les traceurs soumis aux mêmes règles que les cookies.

Qu'est-ce qu'un pixel de suivi et comment fonctionne-t-il ? Quels emails sont concernés par l'obligation de consentement ? Comment adapter vos campagnes d'emailing pour respecter les nouvelles exigences ? Legalstart fait le point sur les règles à respecter.

Qu'est-ce qu'un pixel de suivi dans un email ?

Le pixel de suivi (aussi appelé pixel tracking ou pixel espion) est une image d'un pixel sur un pixel, intégrée dans le code HTML d'un email et invisible pour le destinataire.

Lorsque le destinataire ouvre l'email et que son client de messagerie charge les images, cette image minuscule est téléchargée depuis un serveur distant. Ce chargement déclenche la transmission de plusieurs informations :

• la confirmation que l'email a été ouvert ;
• la date et l'heure d'ouverture ;
• l'adresse IP du destinataire ;
• le type d'appareil et le client de messagerie utilisés.

Chaque pixel contient un identifiant unique associé à l'adresse email du destinataire, ce qui permet de rattacher les données collectées à une personne identifiable.

Pourquoi la CNIL encadre les pixels de suivi depuis 2026 ?

La CNIL a publié le 14 avril 2026 sa recommandation relative aux pixels de suivi dans les courriers électroniques (délibération n° 2026-042 du 12 mars 2026). Face au nombre croissant de plaintes reçues sur cette pratique, l'autorité a souhaité clarifier les obligations des entreprises.

Cette recommandation s'appuie sur l'article 82 de la loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978), qui transpose en droit français la directive ePrivacy (directive 2002/58/CE). Cet article pose un principe clair : toute opération visant à accéder à des informations stockées sur le terminal d'un utilisateur, ou à inscrire des informations sur ce terminal, nécessite le consentement préalable de la personne concernée.

La CNIL considère que le chargement d'un pixel de suivi constitue une telle opération. En chargeant l'image, le terminal du destinataire transmet des informations (adresse IP, identifiant, horodatage) au serveur de l'expéditeur. Le pixel est donc un traceur au même titre qu'un cookie informatique, soumis aux mêmes règles de consentement.

Quand le consentement préalable est-il obligatoire ?

Le principe est le suivant : tout pixel de suivi intégré dans un email à des fins marketing, statistiques ou de profilage nécessite le consentement préalable du destinataire.

Ce consentement doit répondre aux critères définis par l'article 4, paragraphe 11, du RGPD :

• libre : le destinataire ne doit pas subir de conséquence négative s'il refuse le suivi (pas de conditionnement de l'envoi de la newsletter à l'acceptation du pixel) ;
• spécifique : le consentement au suivi par pixel est distinct du consentement à recevoir la newsletter ;
• éclairé : le destinataire doit comprendre qu'un pixel mesure l'ouverture de ses emails, et dans quel but ;
• univoque : le consentement résulte d'un acte positif (pas de case pré-cochée, pas de consentement présumé).

Accepter de recevoir une newsletter ne vaut pas consentement au suivi par pixel. Ce sont deux traitements distincts qui appellent deux consentements séparés, ou à défaut une information claire et un mécanisme d'opt-in ou opt-out distinct.

Quels pixels sont exemptés de consentement ?

L'article 82 prévoit deux exceptions au principe de consentement. La CNIL les interprète strictement dans le cadre des pixels de suivi.

Première exemption : la mesure de délivrabilité

Un pixel destiné à mesurer individuellement si un email transactionnel a été ouvert peut être utilisé sans consentement, à condition que :

• l'email soit rattaché à un service expressément demandé par le destinataire (confirmation de commande, facture, réinitialisation de mot de passe, notification d'expédition) ;
• les données collectées servent exclusivement à identifier les destinataires inactifs pour nettoyer les listes de diffusion ;
• aucune exploitation marketing, statistique ou de profilage ne soit réalisée à partir de ces données.

Seconde exemption : la sécurité

Les pixels liés à la sécurité et à l'authentification (détection de connexions suspectes, alertes de sécurité) sont exemptés de consentement lorsqu'ils sont strictement nécessaires au service demandé par l'utilisateur.

Comment mettre votre entreprise en conformité ?

La période transitoire de trois mois accordée par la CNIL a expiré le 14 juillet 2026. Les entreprises utilisant des outils d'emailing doivent respecter les règles suivantes.

Auditer les pixels de suivi existants

Identifiez tous les pixels intégrés dans vos campagnes. La plupart des plateformes d'emailing (HubSpot, Brevo, Mailchimp, ActiveCampaign) activent le suivi d'ouverture par défaut. Recensez pour chaque campagne les données collectées et les finalités poursuivies.

Mettre en place un recueil de consentement dédié

Si vos pixels servent une finalité marketing ou statistique, vous devez recueillir un consentement spécifique. Plusieurs approches sont possibles :

• intégrer une case dédiée dans votre formulaire d'inscription à la newsletter, distincte de la case d'abonnement ;
• envoyer un email de recontact à votre base existante pour obtenir ce consentement rétroactivement ;
• créer deux circuits d'envoi : un circuit avec suivi (pour les destinataires ayant consenti) et un circuit sans suivi.

Informer clairement les destinataires

Votre politique de confidentialité doit mentionner l'utilisation de pixels de suivi, les finalités poursuivies, la durée de conservation des données et les modalités de retrait du consentement. La mise en conformité de vos mentions d'information est une étape indispensable.

Encadrer les prestataires techniques

L'organisation qui décide d'intégrer des pixels dans ses emails est responsable de traitement, même si le routage est confié à un prestataire. Un contrat de sous-traitance conforme à l'article 28 du RGPD doit encadrer la relation avec votre plateforme d'emailing.

Quelles sanctions en cas de non-conformité ?

La CNIL a annoncé qu'elle procéderait à des contrôles pour vérifier le respect de sa recommandation. L'autorité n'a pas précisé de montant de sanction spécifique aux pixels de suivi, mais les manquements au recueil de consentement relèvent du cadre général du RGPD.

Conformément à l'article 83 du RGPD, les sanctions administratives peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Des mesures correctives préalables (mise en demeure, injonction de cesser le traitement) sont également possibles.

Pour les entreprises utilisant des données personnelles à grande échelle dans leurs campagnes d'emailing, le risque est d'autant plus significatif que la CNIL a explicitement ciblé cette pratique dans son programme de contrôles.