Pixels de suivi dans les courriels : ce que changent la recommandation de la CNIL et la FAQ du 22 juillet 2026

Depuis quelques semaines, les messageries personnelles et professionnelles sont submergées d’emails d’information sur les pixels de suivi, mais pourquoi un tel intérêt soudain pour ces traceurs ?

La CNIL a adopté, par la délibération n° 2026-042 du 12 mars 2026, une recommandation spécifique aux pixels de suivi dans les courriels, publiée au Journal officiel le 14 avril 2026. Trois mois plus tard, de nombreux organismes ont adressé des messages à leurs bases de contacts pour informer de l’utilisation de ces « pixels espions » et proposer un mécanisme d’opposition. La FAQ, publiée le 22 juillet 2026, vient préciser davantage le cadre applicable et répondre aux difficultés pratiques rencontrées par les professionnels.

Une précision liminaire s’impose sur la portée de ce texte. La recommandation relève du droit souple : la CNIL indique elle-même qu’elle n’a pas de valeur réglementaire et qu’elle n’est pas exhaustive. La norme contraignante demeure l’article 82 de la loi Informatique et Libertés, dont la recommandation propose la lecture de l’autorité, assortie de modalités pratiques de mise en conformité. Cette lecture n’en est pas moins déterminante en pratique, puisqu’elle constituera la grille d’analyse retenue en cas de contrôle.

Ce contexte conduit à examiner ce que recouvre la notion de « pixel de suivi », les cas dans lesquels un consentement est requis, les cas d’exemptions possibles et les actions à programmer pour mettre vos dispositifs d’emailing en conformité.

Que recouvre la notion de « pixel de suivi » et quels acteurs sont concernés ?

La CNIL définit le pixel de suivi comme une méthode de traçage, distincte mais proche des cookies, généralement mise en œuvre sous la forme d’une image de très petite taille (1×1 pixel), intégrée dans un courriel et invisible pour le destinataire. Le chargement de cette image, dont l’URL contient un identifiant, permet de savoir qu’un courriel a été ouvert par le destinataire et, le cas échéant selon les paramètres, de collecter des informations complémentaires (date et heure d’ouverture, terminal utilisé, adresse IP, etc.).

L’autorité considère que l’utilisation d’un pixel de suivi constitue une opération de lecture sur le terminal du destinataire au sens de l’article 82 de la loi Informatique et Libertés, nécessitant une obligation d’information et l’obtention du consentement sous réserve des cas d’exemption.

La recommandation de la CNIL concerne tous les organismes, publics ou privés, qui insèrent de tels pixels dans leurs courriels (newsletters, campagnes marketing, etc.). L’expéditeur qui décide de l’envoi des courriels et des finalités du suivi est qualifié de responsable de traitement. Le prestataire qui met en œuvre techniquement les pixels agit quant à lui en principe comme sous-traitant, sauf lorsqu’il réutilise les pixels pour ses propres finalités et que l’expéditeur qui le mandate accepte contractuellement ces opérations, auquel cas il peut devenir responsable conjoint.

Dans quels cas un consentement est-il requis pour les pixels ?

La recommandation opère une distinction entre les pixels soumis à consentement et ceux qui peuvent, dans des conditions strictes, en être exemptés.

Le consentement préalable du destinataire est requis, selon la CNIL, dans la plupart des cas d’usage usuels des pixels, notamment lorsque ceux-ci sont utilisés pour :

• analyser les taux d’ouverture et autres indicateurs individuels afin d’optimiser les campagnes, personnaliser les contenus ou adapter la fréquence ou le canal de communication (segmentation marketing, scoring, etc.) ;
• créer des profils et cibler les destinataires sur d’autres sites, applications ou canaux (publicité ciblée, reciblage, enrichissement de profils) ;
• détecter et analyser des suspicions de fraude, au-delà de ce qui est strictement nécessaire à la sécurité des mécanismes d’authentification ;
• mesurer individuellement le taux d’ouverture à des fins de délivrabilité, en dehors des cas d’exemption mentionnés ci-après.

Ainsi, la recommandation aligne le régime des pixels de suivi utilisés dans un contexte marketing ou d’optimisation de la relation commerciale sur celui des cookies : sauf exception, ils ne peuvent être déclenchés qu’après recueil d’un consentement libre, spécifique, éclairé et univoque.

La FAQ du 22 juillet 2026 confirme cette approche, en rappelant notamment que : (i) la recommandation s’applique quels que soient la qualité du destinataire (client, prospect, salarié) et le contexte (B2C ou B2B) ; (ii) la possibilité d’envoyer un courriel sans consentement au titre de l’article L. 34-5 du CPCE (prospection pour des produits ou services analogues) n’implique pas que le pixel de suivi éventuellement inséré dans ce courriel soit, lui, exempté de consentement.

Quelles sont les exemptions possibles ?

La CNIL admet plusieurs hypothèses dans lesquelles les pixels peuvent être utilisés sans consentement, à condition de respecter le périmètre de l’exemption.

Première exemption : les pixels utilisés à des fins de sécurité en tant qu’ils participent à l’authentification de l’utilisateur (par exemple, pour vérifier qu’un courriel contenant un code d’authentification est bien ouvert sur un terminal connu pour appartenir à l’utilisateur visé).

Seconde exemption : La CNIL admet que des pixels puissent être utilisés sans consentement pour mesurer individuellement l’ouverture de courriels demandés par l’utilisateur ou se rattachant à un service qu’il a expressément demandé (courriels dits “transactionnels” et, dans certains cas, courriels envoyés sur la base d’un consentement lorsque ces courriels constituent le service demandé, comme certaines newsletters).

Le bénéfice de cette exemption suppose que les opérations se limitent à ce qui est strictement nécessaire pour adapter la fréquence ou arrêter l’envoi des courriels aux destinataires dits « inactifs » (nettoyage des bases), l’adaptation du canal de communication et la démonstration du respect d’une obligation légale d’information ne pouvant en constituer que des objectifs accessoires. La finalité doit donc rester cantonnée à la délivrabilité, à l’exclusion de toute personnalisation marketing, et les données collectées se limiter en principe à la seule date de la dernière ouverture connue, à la journée et sans enregistrement de l’heure, mise à jour à chaque nouvelle ouverture avec suppression de la précédente — sauf si l’envoyeur documente le besoin d’en conserver d’autres pour atteindre ce même objectif.

La FAQ précise que la collecte de données supplémentaires (adresse IP, user-agent, etc.) fait perdre le bénéfice de cette exemption, y compris lorsque ces données sont anonymisées ou supprimées peu après leur collecte : cette circonstance ne remet pas en cause le fait qu’elles ont été collectées au-delà de ce qui est nécessaire à la délivrabilité.

Par ailleurs, elle admet qu’un même pixel puisse poursuivre à la fois des finalités exemptées et des finalités soumises au consentement : les premières peuvent être mises en œuvre immédiatement, les secondes uniquement après recueil d’un consentement valide. Il est en revanche interdit de déposer un pixel sans finalité déterminée dès son dépôt : un pixel ne peut pas être placé dans l’attente d’un éventuel consentement futur qui permettrait de l’activer.

Enfin, la FAQ apporte une précision importante pour les newsletters : le pixel de délivrabilité peut bénéficier de l’exemption lorsque la newsletter est adressée à la suite d’une demande expresse du destinataire (consentement recueilli conformément à l’article L. 34-5 du CPCE). En revanche, lorsque la newsletter est envoyée sur le fondement de l’exception applicable aux produits ou services analogues — sans consentement préalable —, le pixel de délivrabilité ne peut pas bénéficier de l’exemption.

Comment informer les utilisateurs de l’utilisation des pixels de suivi ?

L’article 82 de la loi Informatique et Libertés impose d’informer tout abonné ou utilisateur de manière claire et complète sur les opérations de lecture/écriture réalisées sur son terminal, leurs finalités et les moyens de s’y opposer.

A ce titre, la CNIL incite les opérateurs à présenter les finalités des pixels, avant le choix, dans un langage clair, au moyen d’intitulés courts accompagnés d’un descriptif, avec un accès facile à une information plus détaillée (par exemple via un lien vers la politique “cookies et autres traceurs”).

Par ailleurs, dès lors que les pixels permettent de collecter des données à caractère personnel, les obligations de transparence du RGPD s’appliquent, y compris lorsque les pixels sont exemptés de consentement au titre de l’article 82. La CNIL recommande, à ce titre, d’informer les personnes de l’existence de ces pixels (par exemple dans la politique de confidentialité ou de cookies), et de mettre à leur disposition un mécanisme simple d’opposition lorsque le traitement repose sur l’intérêt légitime (article 6, § 1, f) du RGPD).

Comment organiser le recueil du consentement au pixel ?

La CNIL recommande, lorsque le consentement est requis, de l’articuler avec le parcours de collecte de l’adresse électronique. Concrètement, elle préconise :

• de recueillir le consentement au moment de la collecte de l’email (inscription newsletter, création de compte, participation à un programme de fidélité, etc.) sur la base d’une information claire, compréhensible et aisément accessible sur l’utilisation de pixels ;
• de prévoir un choix spécifique par finalité (par exemple : réception de communications marketing ; utilisation de pixels pour mesurer les ouvertures et personnaliser les contenus), avec une possibilité de regrouper certaines finalités lorsque cela est justifié ;
• à défaut de consentement initial, de solliciter ultérieurement ce consentement via un courriel dépourvu de tout pixel soumis à consentement, renvoyant vers une interface (préférences de communication, centre de gestion du consentement) qui requiert une action positive.

Comme pour les cookies, le refus doit être aussi simple que l’acceptation ; l’absence de réponse vaut refus ; le retrait du consentement doit être possible à tout moment, notamment au moyen d’un lien présent dans chaque courriel. L’organisme doit, en outre, être en mesure de prouver le consentement (ou son retrait) et d’en conserver la trace.

Que faire pour les adresses déjà collectées avant le 14 avril 2026 ?

Pour les adresses électroniques collectées avant la publication de la recommandation, la CNIL a admis que l’utilisation des pixels puisse se poursuivre sans recueil rétroactif du consentement, sous réserve de l’envoi aux destinataires d’une information claire et accessible dans un délai qui ne saurait, en principe, excéder trois mois à compter du 14 avril 2026, soit le 14 juillet 2026. Cette information avait vocation à mettre les destinataires en capacité de s’opposer à ces opérations pour les courriels futurs.

La FAQ du 22 juillet 2026 précise le régime applicable à l’issue de cette période : lorsque le courriel d’information n’a pas été envoyé dans le délai de trois mois, les règles de droit commun s’appliquent pleinement, y compris pour les adresses collectées avant le 14 avril 2026. En pratique, cela signifie qu’un organisme qui souhaite continuer à utiliser des pixels soumis à consentement à l’égard de ces destinataires devrait désormais recueillir un consentement conforme à la recommandation, faute de quoi il doit cesser ces opérations de suivi.

La CNIL admet que des difficultés opérationnelles puissent justifier un dépassement raisonnable du délai, à condition qu’elles soient objectivement justifiées et documentées. Mais cette souplesse ponctuelle ne dispense pas, selon l’autorité, de mettre en conformité, dans les meilleurs délais, les parcours de recueil du consentement, les modèles de courriels et les dispositifs de suivi qu’ils intègrent, ainsi que les paramétrages des outils d’emailing.

Les actions potentielles à envisager

Au regard de cette nouvelle recommandation et de la FAQ, les organismes qui recourent à l’emailing ont intérêt à engager rapidement un plan d’actions structuré :

1. Cartographier les usages de pixels dans les courriels (types de messages, finalités poursuivies, données collectées, outils et prestataires concernés) et vérifier si des liens « traçants » sont également utilisés.
2. Qualifier chaque opérateur de la chaîne (responsable, sous-traitant, responsable conjoint) et déterminer, finalité par finalité, si une exemption de consentement est envisageable ou si un consentement conforme à l’article 82 est requis.
3. Revoir les formulaires de collecte d’emails, les politiques d’information et les modèles de courriels afin d’intégrer une information spécifique sur les pixels et les mécanismes d’acceptation/refus.
4. Mettre en place ou adapter un centre de préférences permettant aux destinataires de gérer à la fois leurs abonnements et leurs choix relatifs aux pixels, en veillant à la simplicité du retrait du consentement.
5. Échanger avec les prestataires d’emailing pour s’assurer que leurs solutions permettent de désactiver les pixels lorsque le consentement fait défaut, de distinguer clairement les finalités et de consigner les preuves de consentement.

De manière plus générale, cette analyse est l’occasion pour les opérateurs économiques de revisiter plus largement leurs pratiques d’email marketing et de communication à la lumière de ce nouveau cadre et des outils nécessaires à en mesurer la performance.

Le cabinet se tient à votre disposition pour vous accompagner dans le déploiement de ces différentes actions.