Pixels de suivi dans les emails

Le 14 avril 2026, la CNIL a publié sa tant attendue Recommandation relative aux pixels de suivi dans les courriers électroniques (délibération n° 2026-042). Les pixels de suivi sont des images invisibles hébergées sur des serveurs distants, dont l'affichage dans un courriel déclenche une requête réseau permettant à l'expéditeur ou à l'un de ses partenaires de savoir si, quand et depuis quel terminal le message a été ouvert. Leur utilisation relève de l'article 82 de la loi « informatique et libertés », transposition française de la directive ePrivacy, dont le CEPD a rappelé l'applicabilité aux pixels dans ses lignes directrices 2/2023. La CNIL va plus loin que ses homologues européens : elle impose le consentement préalable du destinataire comme règle de principe, sous réserve de deux exceptions strictement encadrées. Il en résulte que ce régime emporte des obligations immédiates pour toute organisation utilisant l'email comme canal de communication ou de marketing.

Le nouveau cadre juridique applicable aux pixels de suivi

Le consentement est la règle. L’insertion de pixels de suivi dans les courriels requiert le recueil préalable du consentement libre, spécifique, éclairé et univoque du destinataire, sauf si ces opérations ont pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou sont strictement nécessaires à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur. La CNIL prévoit certains cas ou le consentement est requis (taux d'ouverture des courriels, création de profils des destinataires, détection et l'analyse de suspicions de fraude).

Le consentement doit être recueilli dès la collecte de l'adresse email. La CNIL recommande que le consentement soit recueilli au moment de la collecte de l'adresse électronique, en intégrant au niveau du formulaire une information claire sur les finalités des traceurs. Lorsque ce recueil simultané n'est pas possible (par exemple, lorsque l'adresse électronique est collectée par un tiers sans transmission de la preuve du consentement, ou lorsqu'elle est collectée dans des conditions rendant difficile l'obtention d'un consentement valide, notamment à l'oral), le consentement peut être sollicité par un email dédié ne contenant aucun pixel. Le consentement devant procéder d'un acte positif, l'inactivité du destinataire doit être analysée comme l'expression d'un refus de consentir à l'utilisation de pixels de suivi.

Deux exceptions sont prévues par la CNIL

• La première couvre les pixels utilisés à des fins d'authentification et de sécurité ;
• La seconde, ceux utilisés pour mesurer la délivrabilité afin d'identifier et de retirer les destinataires inactifs.

Ces exceptions ne jouent que pour les emails sollicités par le destinataire et devront être justifiées au cas par cas. Il s'agit typiquement d'emails transactionnels tels que confirmations de commande ou de livraison, alertes de compte ou réinitialisations de mot de passe. Ainsi, elles ne s'appliquent pas aux messages promotionnels (marketing emails).

Le retrait du consentement doit être simple et effectif. La CNIL recommande qu'un lien traçant figure dans le pied de page de chaque courriel, permettant le retrait sans action supplémentaire. Les opérations de tracking doivent cesser pour les courriels à venir, et la preuve du consentement doit être conservée de manière individualisée.

L'impact sur le régime opt-out B2B. La recommandation ne supprime pas le régime de « opt-out » applicable à la prospection B2B et un email commercial peut toujours être envoyé à un professionnel sans son consentement préalable. En revanche, si cet email contient un pixel, ce pixel est soumis au consentement, indépendamment du régime applicable à l'email lui-même. Ainsi, les entreprises qui utilisaient l'opt-out pour éviter tout recueil de consentement devront désormais en obtenir un distinct pour les pixels : le bénéfice opérationnel du régime s'en trouve considérablement réduit.

Ce que vous devez faire et dans quel délai

La CNIL adopte une approche progressive 

• Pour les adresses déjà collectées, le tracking peut continuer sous réserve d'informer les destinataires dans un délai de trois mois afin de leur permettre de s'y opposer. Il ne s'agit pas de recueillir un nouveau consentement, mais d'informer. Cette obligation d'information simultanée pour l'ensemble des organisations crée un risque concret de confusion pour les destinataires et d'exploitation malveillante par des tiers (risque de phishing).
• Pour les adresses collectées après la publication de la recommandation, le consentement doit être recueilli au moment de la collecte de l'adresse électronique, en intégrant au niveau du formulaire de collecte les informations nécessaires au recueil d'un consentement éclairé.

Une mise à jour de la politique de confidentialité est fortement recommandée pour l'ensemble des organisations utilisant des pixels de suivi. Si l'article 82 de la loi « informatique et libertés » n'impose pas d'informer les personnes sur l'utilisation de pixels qui ne nécessitent pas leur consentement, la CNIL recommande à titre de bonne pratique qu'elles soient informées de leur existence afin d'assurer une transparence pleine et entière.

En conclusion, ce nouveau régime interroge des pratiques jusqu'ici conformes, tel que l'emailing B2B selon le principe du « opt-out » ou l’emailing de clients existants. Les organisations disposent de trois mois à compter de la publication de la recommandation pour informer leurs destinataires existants, soit jusqu'au 14 juillet 2026. Face à la complexité des exigences et à l'absence de solutions de conformité clés en main sur le marché, un accompagnement juridique et technique en amont est indispensable.

Notre équipe IP-IT-Data de BCLP est disponible pour vous accompagner dans tout le processus de mise en conformité.