Pixel de suivi dans les emails : attention au consentement !

Un pixel de suivi inséré dans un email permet à son expéditeur de recevoir des informations sur le comportement du destinataire : date et heure d’ouverture, clics sur certains liens, type d’appareil utilisé, localisation, etc.

Pour la CNIL, le recours à ces opérations de suivi dans le cadre d’une messagerie électronique revêt une importance particulière, compte tenu du caractère personnel de cet espace et des contenus privés qui y sont recensés. Après avoir reçu de nombreux signalements la CNIL a adopté le 12 mars 2026, puis publié le 14 avril 2026, une recommandation relative aux pixels de suivi dans les courriers électroniques  (CNIL, délib. n° 2026-042, 12 mars 2026) (la « Recommandation »). A l’instar de ses homologues italien[1] et anglais[2], l’autorité de contrôle est ainsi venue fixer les nouvelles règles applicables aux opérations de lecture et d’écritures des pixels dans les emails, estimant que, dans la majorité des cas, le recueil d’un consentement préalablement à leur dépôt était nécessaire.

[1] Garante per la protezione dei dati personali  – Garante (Lignes directrices relatives à l’utilisation des pixels de suivi dans les communications par courriel) –  17 avril 2026

[2] Guidance on the use of storage and access technologies – ICO – 29 avril 2026

Pixel de suivi : un traceur sur le modèle des cookies

Le Comité européen de la protection des données (ci-après « CEPD ») avait déjà défini les pixels de suivi comme des liens intégrés, généralement dans une image d’un site web ou d’un courrier électronique, permettant de transmettre automatiquement certaines informations relatives à l’utilisateur, à l’hôte qui les a mis en place[3].

La recommandation de la CNIL porte, quant à elle, uniquement sur les pixels de suivi intégrés dans les courriers électroniques, indépendamment de la nature de l’organisme expéditeur, de la qualité du destinataire (client, prospect, salarié, etc.) ou du caractère B2B ou B2C de la prospection (les obligations qui en découlent devant toutefois s’apprécier au regard des circonstances propres à chaque utilisation du dispositif de suivi). Elle exclut en revanche les messageries dites « captives », qui reposent sur des protocoles techniques différents, tel est le cas des messageries sécurisées utilisées par les applications bancaires.

La question tranchée par la Recommandation était de savoir dans quelle mesure l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (« LIL ») s’applique aux pixels de suivi intégrés dans les emails.

Pour mémoire cet article dispose que :

« Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1.  De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2.  Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

1.  Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2.  Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. »

Plusieurs contributeurs à la consultation publique sur le projet de recommandation[4] ont contesté l’application de cet article aux pixels. Selon eux, cette interprétation étendrait à tort la notion d’« accès à des informations stockées dans le terminal » à une simple transmission technique standard (requête HTTP) et imposerait le consentement sans tenir compte du risque réel pour les personnes.

Pourtant la CNIL est restée sur sa position et soumet les pixels de suivi intégrés dans les emails au même régime juridique que celui applicable aux cookies et autres traceurs[5], en s’inspirant notamment de la doctrine du CEPD. Pour ce dernier, le chargement d’un pixel entraîne une requête vers un serveur distant et la transmission d’informations depuis le terminal de l’utilisateur : il constitue ainsi une opération de lecture au sens de l’article 82 de la LIL. Leur utilisation est donc en principe, soumise au recueil du consentement.

Selon les finalités du pixel : consentement requis ou exemption

Le dépôt d’un pixel de suivi doit dès l’origine, répondre à une ou plusieurs finalités déterminées dont certaines nécessitent un consentement (2.2) et d’autres permettent d’en être exemptés (2.1).

Attention, un même pixel peut poursuivre plusieurs finalités, certaines exemptées d’autres soumises à consentement : les premières peuvent être mises en œuvre sans consentement si leurs conditions sont réunies, tandis que les secondes nécessitent un consentement valide préalable. L’analyse doit donc être menée par finalité et non pas par traceur.

Par ailleurs, la Recommandation s’applique que les données collectées soient personnelles ou non : l’anonymisation préalable des données sur le terminal ne dispense en aucun cas du recueil du consentement lorsque celui-ci est requis.

• Finalités exemptées de consentement

L’article 82 de la LIL impose le recueil du consentement du destinataire pour toute insertion de pixels de suivi dans les emails, qui devra être préalable, libre, spécifique, éclairé et univoque du destinataire[6]. Deux exceptions légales sont admises, lorsque l’opération (i) a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ou (ii) est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Au titre de cet article, la CNIL admet que le recueil du consentement n’est pas requis lorsque le dispositif de suivi est utilisé exclusivement pour les finalités suivantes :

• la sécurité liée à l’authentification de l’utilisateur: vérifier l’ouverture de l’email d’authentification sur un terminal connu pour appartenir au destinataire visé ;
• la mesure individuelle du taux d’ouverture à des fins de délivrabilité : bien que la frontière établie par la CNIL entre l’exemption et le consentement soit parfois difficile à établir au regard des finalités assez similaires en pratique (distinction qui sera vraisemblablement au cœur de futurs débats des praticiens), l’exemption est admise si les opérations de traitement sont strictement nécessaires pour adapter la fréquence ou cesser l’envoi aux destinataires considérés comme « inactifs » dans une logique de nettoyage et de mise à jour des bases de données[7]. Sous cette réserve, ils peuvent aussi permettre d’adapter le canal de contact et démontrer le respect d’une obligation légale d’information.

En outre, l’exemption exige également :

• le respect du principe de minimisation[8], seule ladate, au jour près de la dernière ouverture connue, devrait être conservée, chaque nouvelle ouverture remplaçant la précédente. Si un professionnel souhaite avoir une information plus précise et plus de granularité (par exemple connaitre l’heure d’ouverture de l’email), le pixel sera dès lors soumis à consentement ; et
• que l’email soit demandé par le destinataire ou bien lié à un service qu’il a demandé[9], tels que :
• les emails transactionnels: les messages déclenchés par une action ou un événement spécifique de l’utilisateur et relatif à un service demandé, à son compte ou à une transaction (hors messages promotionnels). Il s’agira par exemple des emails de bienvenue, d’alertes de compte, de notifications liées à des événements comme l’expédition d’un colis, de confirmation de commande et factures d’achat, de rappels et réinitialisation de mot de passe, de réponses aux demandes envoyées au service client, de rappels de rendez-vous ou de réservations, de notifications de paiement, de courriels de notification de violation en lien avec le service demandé, de renouvellement d’abonnements ou encore un courriel d’information légale ou règlementaire. A l’inverse, un email de relance de panier constitue selon la CNIL un message de prospection commerciale relevant de l’article L. 34-5 du Code des postes et des communications électroniques et reste donc soumis au consentement préalable ;
• les newsletters qui procèdent d’un véritable opt-in :

La FAQ de la CNIL apporte des précisions concernant les newsletters[10]. L’exemption de délivrabilité pourra s’appliquer si la newsletter constitue un service explicitement demandé par l’utilisateur (notamment lorsque son envoi repose sur un opt-in conforme à l’article L. 34-5 du CPCE). Cependant, l’exemption sera exclue si la newsletter de prospection est adressée sur le fondement des produits ou services analogues fondée sur un opt-out au sens du même article.

• certains emails d’administration[11].

Bien que la liste des finalités exemptées selon la CNIL soit présentée comme « limitative », la Recommandation relève de la soft law n’ayant donc pas force de loi. L’autorité de contrôle indique à ce titre que cette liste a été dressée « en l’état des pratiques portées à sa connaissance », ce qui permettrait de retenir à terme d’autres exemptions dont les critères respecteraient les dispositions de l’article 82 de la LIL.

• Finalités nécessitant un consentement préalable

A contrario, la CNIL indique que le consentement est obligatoire, dès lors que le pixel poursuit l’un des objectifs suivants :

• l’analyse du taux d’ouverture pour mesurer et optimiser les performances des campagnes(personnalisation du contenu, adaptation fréquence/canal, lutte contre fraude publicitaire) ;
• le profilage à des fins de ciblage au regard des préférences et centres d’intérêt manifestés, dans d’autres contextes que l’email (sites, applis, autres canaux) ;
• la détection et l’analyse de suspicions de fraude (ouvertures inhabituelles/massives, comportements automatisés, etc.)
• la mesure individuelle du taux d’ouverture à des fins de délivrabilité (sauf dans les cas exemptés décrits ci-dessus), par exemple si le pixel permet également de connaitre l’heure d’ouverture de l’email ou toute autre information[12].

[1] Conformément à l’article 4.11. du RGPD

[2] Exceptions précisées au 3.2. de la recommandation de la CNIL

[3] Application du principe de minimisation (Article 5.1.c du RGPD)

[4] Conformément à l’article de la LIL qui vise les traceurs « strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur »

[5] Questions-réponses – recommandation relative aux pixels dans les courriers électroniques de la CNIL – 22 juillet 2026 (question 17)

[6] Émanant d’organismes de droit public ou privé, et dont l’objet de l’email est lié à une mission de service public, tels que les communications informant d’un droit ou d’une prestation Questions-réponses – recommandation relative aux pixels dans les courriers électroniques de la CNIL – 22 juillet 2026 (question 10)

[7] Exemples fournis par la CNIL dans sa publication relative aux Questions-réponses – recommandation relative aux pixels dans les courriers électroniques de la CNIL – 22 juillet 2026 (question 5)

Modalités pratiques de recueil et de gestion du consentement

La CNIL rappelle que le recueil du consentement ne saurait se réduire à l’affichage d’une formule générale invitant le destinataire à accepter leur utilisation. Tout dépôt d’un pixel suppose au préalable, une information intelligible et claire afin de lui permettre de comprendre la nature des opérations envisagées, les finalités poursuivies ainsi que les conséquences concrètes du choix de l’utilisateur (adresse email concernée et pixels déposés).

C’est pourquoi, la CNIL recommande de recueillir le consentement dès la collecte de l’adresse email. En pratique, les finalités poursuivies par le pixel de suivi, devront être présentées par un intitulé court et accompagné d’un bref descriptif. Afin de concilier lisibilité et exhaustivité, un premier niveau pourra afficher une synthèse des finalités, tandis que le second permettre d’en consulter le détail, via un lien vers la politique de confidentialité par exemple.

Le recueil différé, comme solution alternative est admis par la CNIL, notamment lorsque l’email a été transmis par un partenaire tiers sans preuve de consentement ou bien recueilli à l’oral[13]. Cela consistera à l’envoi d’un email dépourvu de pixel soumis à consentement comportant un lien renvoyant vers une page où la personne devra exprimer un choix positif (l’inactivité valant refus). Le choix exprimé devra être enregistré, sans nouvelle sollicitation avant six mois en cas de refus.

La granularité du consentement constitue l’un des points clé de la Recommandation. Afin de garantir caractère libre du consentement, l’autorité de contrôle recommande de le recueillir de façon indépendante et spécifique pour chaque finalité distincte. En principe, chaque finalité devra donc faire l’objet d’un opt-in, cependant la CNIL introduit deux tempéraments :

• Un consentement global au premier niveau d’information, à condition que le destinataire puisse ensuite exprimer son choix de façon indépendante finalité par finalité ou par famille de finalités lorsque celles-ci sont connexes.
• Un consentement unique lorsque les finalités sont jugées « connexes », sans qu’il soit besoin de deux consentements distincts (par exemple, un pour la newsletter et un pour le pixel). Cette notion de connexité introduite par la CNIL, sans être expressément consacrée par les textes règlementaires, sera ainsi susceptible de laisser une certaine marge d’appréciation aux professionnels, comme l’illustrent les exemples de la CNIL :
  • Dans le cadre d’une prospection commerciale personnalisée, le consentement à la newsletter et à l’utilisation de pixels contribuant directement à cette personnalisation, pourra être regroupés au sein d’un consentement unique. Selon la CNIL[14], ces opérations sont indissociables : l’utilisateur refusant le suivi par pixel ne pourra recevoir alors la newsletter.
  • Ou de manière plus surprenante, en cas de prospection commerciale associée à l’utilisation de pixels destinés à lutter contre les inscriptions frauduleuses à un jeu-concours par email, afin de garantir l’égalité entre les participants, en permettant d’exclure ceux qui recourent à des procédés automatisés pour multiplier leurs inscriptions.

Enfin, la conformité du dispositif s’étend également au retrait du pixel de suivi, qui devra être aussi simple que son acceptation à son dépôt. La CNIL recommande un lien de désinscription unique par destinataire, inséré en pied d’email (lui-même exempté de consentement en tant que mesure de sécurité[15]) permettant un retrait immédiat et effectif, y compris pour les traceurs déjà déposés dans des courriels antérieurs. Il ne suffit donc pas uniquement de cesser d’insérer de nouveaux pixels dans les futurs emails mais également de (i) s’assurer que les pixels déposés précédemment ne seront plus exploités et (ii) supprimer les données collectées sur cette base.

Il appartiendra donc aux professionnels, notamment en tant que responsable du traitement de garantir la validité du consentement, l’absence de suivi sans accord valable ainsi que le respect des refus et retrait. La conformité aux règles applicables aux pixels reposera ainsi sur une double exigence : éclairer le choix du destinataire et garantir l’effectivité de ce choix.

[1] Point 4.2. de la recommandation de la CNIL

[2] Questions-réponses – recommandation relative aux pixels dans les courriers électroniques de la CNIL – 22 juillet 2026 (question 20)

[3] Bien que soumis à l’article 82 de la loi Informatique et Libertés, le lien traçant de retrait unique par destinataire est exempté de consentement : il sécurise l’accès à l’expression des choix en authentifiant la personne visée – p.8 de la recommandation de la CNIL

Délais de mise en conformité

Lors de sa publication le 14 avril dernier, la CNIL avait prévu un délai transitoire de trois mois (jusqu’au 14 juillet) pour les adresses emails collectées avant cette date. Il suffisait d’informer clairement les destinataires par un simple email des opérations réalisées par les pixels, en leur offrant une possibilité d’opposition simple pour les envois futurs.  La CNIL avait donc autorisé un système d’opt-out pendant trois mois en lieu et place de l’opt-in requis par sa Recommandation.

Une prolongation raisonnable au-delà du 14 juillet reste toutefois possible, si le professionnel documente et justifie objectivement ses difficultés rencontrées pour mettre en œuvre la Recommandation dans les délais (volume de base de données trop important, difficultés opérationnelles de délivrabilité, etc.).

Pour les adresses email collectées depuis le 14 avril 2026, les nouvelles règles tendent à s’appliquer immédiatement, et ce, en dépit des demandes de certains contributeurs en faveur d’une exemption pour les bases de données préexistantes ou d’un délai de mise en conformité de 6 à 12 mois[16]. À titre de comparaison, l’autorité italienne[17]  avait quant à elle, prévu un délai de six mois à compter de sa propre recommandation.

[1]  Consultation publique sur le projet de recommandation relative aux pixels de suivi dans les courriers électroniques – Synthèse des contributions de la consultation publique et réponses de la CNIL – Avril 2026 p.7

[2] Garante per la protezione dei dati personali – Disposition du 17 avril 2026 – Lignes directrices relatives à l’utilisation des pixels de suivi dans lescommunications par courriel

Conclusion

Il s’avère que l’utilisation de pixels permettant de mesurer l’ouverture d’un email, d’analyser le comportement du destinataire, de personnaliser les communications ou encore d’alimenter les profils marketing exige, dans la majorité des cas le recueil d’un consentement valide et préalable du destinataire.

Si la Recommandation de la CNIL n’est pas assortie d’une sanction spécifique autonome et vient simplement « expliciter la portée des dispositions applicables à ce type d’opérations de lecture ou d’écriture »[18] elle exprime la lecture que l’autorité entend faire respecter (la CNIL a d’ailleurs indiqué qu’elle veillera au respect des règles énoncées)[19] : il est donc hautement recommandé de recueillir le consentement des destinataires, si la finalité le nécessite.  La frontière avec les finalités exemptées (sécurité, délivrabilité conditionnée) n’étant pas toujours évidente, une cartographie des pixels et de leurs finalités constitue un préalable indispensable.

Toutefois, il conviendra de noter que la légalité de cette recommandation serait actuellement contestée par plusieurs acteurs du secteur de la publicité, qui envisageraient notamment un recours devant le Conseil d’État[20]. De plus, la FEDMA (Federation of European Data and Marketing) dénonce une multiplication des consentements (contraire selon elle, à l’approche du RGPD fondée sur le risque) et loin de renforcer la transparence réelle, conduisant plutôt à une lassitude des personnes concernées, nuisible à un choix éclairé[21].

En pratique, l’impact pourrait toutefois rester limitée car selon une étude du prestataire Batch portant sur 115 millions de newsletters envoyées entre mai et juillet 2026 par des marques françaises (période de transition en opt-out), le taux de refus explicite resterait marginal, à hauteur de 1,46% des envois[22].

[1] Point 7. de la recommandation de la CNIL

[2] CNIL : « Pixels de suivi dans les courriers électroniques : la CNIL publie ses recommandations pour mieux protéger la vie privée » – 14 avril 2026

[3] Il semblerait d’ailleurs qu’un recours en annulation de la délibération ait été déposé en date du 12 juin 2026 par un collectif d’organisations majeurs du secteur (L’écosystème média et marketing saisit le Conseil d’Etat contre la recommandation « Pixel » de la Cnil  – par Jean-Michel De Marchi, le 15 juin 2026 – Mind.ee https://www.mind.eu.com/media/article/lecosysteme-media-et-marketing-saisit-le-conseil-detat-contre-la-recommandation-pixel-de-la-cnil/ )

[4]“From email pixels to layered consent: Where does it end?” – FEDMA – 2 September 2026 https://www.fedma.org/2026/09/02/from-email-pixels-to-layered-consent-where-does-it-end/

[5] « Pixels CNIL, bilan post 14 juillet : le prix du sprint de dernière minute » – 15 juillet 2026 – Baptiste Guerre https://batch.com/fr/blog/posts/pixels-cnil-bilan-chiffre-post-deadline-14-juillet

Checklist opérationnelle

En pratique, il conviendra de :

1. Recenser l’ensemble des pixels de suivi utilisés, en identifiant les finalités poursuivies (optimisation de campagnes, profilage, délivrabilité, sécurité, etc.) ;
2. Distinguer clairement les pixels soumis à consentement de ceux qui en sont dispensés ;
3. Organiser le recueil effectif du consentement des destinataires pour les pixels qui le nécessitent et mettre à jour le formulaire de collecte en y intégrant :
   • un mécanisme d’opt-in (consentement global ou unique) dédié aux finalités soumises à consentement ;
   • un bloc d’information clair sur l’usage des pixels, comprenant (i) l’intitulé de chaque finalité accompagnée d’un bref descriptif et (ii) un lien vers une politique détaillée (y compris pour les pixels exemptés) ;

En cas de difficultés objectives et documentées sur l’impossibilité de mettre en place cet opt-out avant le 14 juillet 2026, informer par email les contacts collectés avant le 14 avril 2026, de l’usage de pixels, en leur offrant une possibilité d’opposition simple (opt-out) si nécessaire.

4. Documenter la conformité : mise à jour de la politique de confidentialité, conservation de la preuve des choix effectués, adaptation des contrats avec les prestataires et qualification claire de chaque acteur (responsable de traitement, sous-traitant, responsable conjoint).
5. Assurer une opposition effective en insérant un lien de traçage dans tous les emails concernés, permettant un retrait simple et effectif du consentement.

[1] Garante per la protezione dei dati personali  – Garante (Lignes directrices relatives à l’utilisation des pixels de suivi dans les communications par courriel) –  17 avril 2026

[2] Guidance on the use of storage and access technologies – ICO – 29 avril 2026

[3] CEPD, Lignes directrices 2/2023 sur le champ d’application technique de l’article 5, paragraphe 3, de la directive vie privée et communications électroniques, 7 oct. 2024, v.2.0

[4] Consultation publique sur le projet de recommandation relative aux pixels de suivi dans les courriers électroniques – Synthèse des contributions de la consultation publique et réponses de la CNIL – Avril 2026 p.3

[5] Délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et écriture dans le terminal d’un utilisateur (notamment aux « cookies et autres traceurs ») et abrogeant la délibération n° 2019-093 du 4 juillet 2019

[6] Conformément à l’article 4.11. du RGPD

[7] Exceptions précisées au 3.2. de la recommandation de la CNIL

[8] Application du principe de minimisation (Article 5.1.c du RGPD)

[9] Conformément à l’article de la LIL qui vise les traceurs « strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur »

[10] Questions-réponses – recommandation relative aux pixels dans les courriers électroniques de la CNIL – 22 juillet 2026 (question 17)

[11] Émanant d’organismes de droit public ou privé, et dont l’objet de l’email est lié à une mission de service public, tels que les communications informant d’un droit ou d’une prestation Questions-réponses – recommandation relative aux pixels dans les courriers électroniques de la CNIL – 22 juillet 2026 (question 10)

[12] Exemples fournis par la CNIL dans sa publication relative aux Questions-réponses – recommandation relative aux pixels dans les courriers électroniques de la CNIL – 22 juillet 2026 (question 5)

[13] Point 4.2. de la recommandation de la CNIL

[14] Questions-réponses – recommandation relative aux pixels dans les courriers électroniques de la CNIL – 22 juillet 2026 (question 20)

[15] Bien que soumis à l’article 82 de la loi Informatique et Libertés, le lien traçant de retrait unique par destinataire est exempté de consentement : il sécurise l’accès à l’expression des choix en authentifiant la personne visée – p.8 de la recommandation de la CNIL

[16]  Consultation publique sur le projet de recommandation relative aux pixels de suivi dans les courriers électroniques – Synthèse des contributions de la consultation publique et réponses de la CNIL – Avril 2026 p.7

[17] Garante per la protezione dei dati personali – Disposition du 17 avril 2026 – Lignes directrices relatives à l’utilisation des pixels de suivi dans les communications par courriel

[18] Point 7. de la recommandation de la CNIL

[19] CNIL : « Pixels de suivi dans les courriers électroniques : la CNIL publie ses recommandations pour mieux protéger la vie privée » – 14 avril 2026

[20] Il semblerait d’ailleurs qu’un recours en annulation de la délibération ait été déposé en date du 12 juin 2026 par un collectif d’organisations majeurs du secteur (L’écosystème média et marketing saisit le Conseil d’Etat contre la recommandation « Pixel » de la Cnil  – par Jean-Michel De Marchi, le 15 juin 2026 – Mind.ee https://www.mind.eu.com/media/article/lecosysteme-media-et-marketing-saisit-le-conseil-detat-contre-la-recommandation-pixel-de-la-cnil/ )

[21]“From email pixels to layered consent: Where does it end?” – FEDMA – 2 September 2026 https://www.fedma.org/2026/09/02/from-email-pixels-to-layered-consent-where-does-it-end/

[22] « Pixels CNIL, bilan post 14 juillet : le prix du sprint de dernière minute » – 15 juillet 2026 – Baptiste Guerre https://batch.com/fr/blog/posts/pixels-cnil-bilan-chiffre-post-deadline-14-juillet

FAQ