Pixels de suivi dans les courriels : la CNIL répond en 27 questions

Les organismes qui n'ont pas informé leurs destinataires de l'usage de pixels de suivi avant le 14 juillet 2026 doivent désormais recueillir leur consentement, ou cesser d'insérer ces traceurs. C'est ce qu'établit la série de 27 questions-réponses publiée le 22 juillet par la CNIL, qui accompagne sa recommandation sur les pixels dans les courriers électroniques.

Un pixel de suivi est une image d'un pixel de côté, invisible pour le destinataire, dont le nom de fichier contient un identifiant. Son chargement signale à l'expéditeur que le message a été ouvert. La recommandation qui l'encadre a été adoptée par la délibération n° 2026-042 du 12 mars 2026 et publiée au Journal officiel le 14 avril.

Le délai de trois mois a expiré le 14 juillet

Pour les adresses collectées avant cette publication, la CNIL avait ouvert une période d'adaptation de trois mois. Il suffisait, pendant ce laps de temps, d'adresser aux destinataires une information claire leur permettant de s'opposer aux pixels. Passé le 14 juillet, l'ensemble des règles s'applique, y compris à ces adresses anciennes. Le délai peut être prolongé, mais seulement si l'expéditeur documente des difficultés objectives, liées par exemple au volume de sa base ou aux problèmes de délivrabilité qu'un envoi groupé provoquerait.

Les destinataires informés dans les temps et qui ne se sont pas opposés restent couverts pour les envois suivants. L'expéditeur doit toutefois solliciter un consentement conforme si les conditions changent, par exemple lors de l'ajout de nouveaux partenaires.

Un périmètre large et une compétence extraterritoriale

Aucune catégorie de courriel n'est exclue : la recommandation vaut quels que soient l'organisme expéditeur et la qualité du destinataire, y compris pour les messages adressés à des salariés sur leur adresse professionnelle. Les liens traçants, ces hyperliens porteurs d'un identifiant qui mesurent les clics, ne sont pas directement visés, mais la CNIL renvoie aux mêmes principes d'analyse.

L'autorité rappelle qu'elle peut contrôler et sanctionner des acteurs établis en France, dans un autre État membre ou hors de l'Union, dès lors que les pixels servent à suivre le comportement de personnes situées sur le territoire français. Pour l'application de l'article 82 de la loi Informatique et Libertés, le mécanisme européen du guichet unique ne joue pas.

Prestataires : sous-traitants ou responsables conjoints

Les routeurs et fournisseurs de solutions d'envoi agissent comme sous-traitants lorsqu'ils insèrent les pixels pour le seul compte de l'expéditeur. Dès qu'ils exploitent les données pour leurs propres finalités, comme l'amélioration de leur service ou la qualité de leurs listes, ils deviennent responsables conjoints avec l'expéditeur qui accepte contractuellement ces opérations, et doivent répartir les obligations par écrit. Une clause contractuelle ne suffit pas à prouver un consentement recueilli par un tiers : celui qui délègue doit pouvoir en démontrer la validité, par des audits par exemple.

Confirmation d'achat oui, relance de panier non

• Courriel de confirmation d'achat ou de souscription : exempté, à condition de ne comporter aucun élément promotionnel.
• Courriel de renouvellement d'abonnement : exempté, car rattaché à l'exécution du contrat.
• Courriel d'information sur une évolution légale, réglementaire ou contractuelle : exempté en principe.
• Courriel de relance de panier abandonné : soumis au consentement, son objet étant commercial.
• Lettre d'information : exemptée si le destinataire l'a expressément demandée, soumise au consentement lorsqu'elle est envoyée au titre de l'exception des produits analogues.

L'exemption dite de délivrabilité vise le seul repérage des destinataires inactifs, pour espacer ou arrêter les envois. La seule donnée nécessaire à cette fin est la date de dernière ouverture du message. Collecter en plus l'adresse IP ou l'identifiant du navigateur fait perdre le bénéfice de l'exemption, et les anonymiser peu après ne change rien puisque la collecte a déjà excédé le nécessaire. Connaître l'heure d'ouverture sort également du cadre.

Des données agrégées ne dispensent pas du consentement

L'article 82 s'applique que les informations lues ou écrites sur le terminal soient personnelles ou non. Anonymiser les données avant de les faire remonter ne suffit donc pas à échapper au consentement. En revanche, des données issues de pixels exemptés peuvent, une fois effectivement anonymisées, alimenter une statistique globale de taux d'ouverture.

Sur les modalités pratiques, la CNIL admet un bouton d'acceptation globale au premier niveau d'information, à condition qu'un second niveau offre un choix indépendant pour chaque finalité distincte. Elle juge acceptable de ne pas resolliciter une personne pendant six mois après l'expression de son choix. En cas de retrait, l'expéditeur doit ignorer toute requête provenant d'un identifiant de pixel associé au consentement retiré, les messages déjà envoyés ne pouvant pas être rappelés, et supprimer les données collectées faute d'autre base légale.