Depuis le 14 avril 2026, les directions marketing, juridiques et conformité disposent d’un texte de référence que beaucoup attendaient et redoutaient à la fois. La CNIL a finalisé sa recommandation sur les pixels de suivi dans les courriels. Pour les entreprises françaises, le sujet ne relève plus d’une zone grise technique : l’ouverture d’un email ne peut plus être surveillée librement, sauf cas strictement circonscrits.

Ce changement vise une pratique devenue banale dans l’emailing. Un pixel invisible intégré au message permet de signaler à distance qu’un courriel a été ouvert et de faire remonter diverses informations comme l’heure d’ouverture, le type d’appareil, le système d’exploitation ou une localisation approximative. La CNIL considère désormais clairement que ce mécanisme constitue une opération de lecture sur le terminal du destinataire, relevant de l’article 82 de la loi Informatique et libertés.

Le texte publié le 14 avril 2026 met fin à une tolérance de fait

La recommandation définitive de la CNIL, n° 2026-042, a été publiée le 14 avril 2026. Elle a été adoptée par délibération du 12 mars 2026 puis publiée au Journal officiel sous la référence JORFTEXT000053876850. Elle s’inscrit dans un cadre déjà balisé par les lignes directrices du Comité européen de la protection des données du 7 octobre 2024, référencées n° 2/2023, ainsi que par les recommandations de la CNIL sur les cookies et autres traceurs du 17 septembre 2020, via les délibérations n° 2020-091 et n° 2020-092.

Le signal réglementaire est net. La CNIL ne traite plus le pixel d’email comme un simple outil statistique de campagne. Elle l’assimile à un traceur soumis à un régime juridique précis. En pratique, cela rapproche l’emailing des exigences déjà connues sur le web pour les cookies et technologies analogues.

Le texte n’est pas sorti de nulle part. Une consultation publique a été ouverte du 12 juin au 24 juillet 2025.

Elle a recueilli 69 contributions, réparties entre 33 contributions du secteur privé, 26 de particuliers, 5 d’associations de la société civile, 3 d’autorités européennes de protection des données, ainsi qu’une contribution d’un organisme public et une du monde académique. Ce niveau de participation montre que le sujet dépasse le seul marketing digital : il touche à la relation client, à la preuve du consentement, à la gouvernance des outils SaaS et à la chaîne de sous-traitance.

Ce que la CNIL considère comme un pixel de suivi

Le texte vise l’image invisible ou quasi invisible insérée dans un courriel, chargée depuis un serveur distant lors de l’ouverture du message. Cette action permet de savoir si l’email a été ouvert et, selon les configurations, de remonter des informations techniques liées au terminal ou à l’environnement de lecture.

Consentement préalable : la mécanique juridique devient beaucoup plus stricte

Le cœur de la recommandation tient en une formule simple : pas de pixel de suivi sans consentement préalable, dès lors que ce pixel n’est pas strictement nécessaire à une finalité exemptée. Le consentement exigé doit être libre, spécifique, éclairé et univoque. Ce vocabulaire est classique en protection des données, mais la nouveauté réside dans son application explicite aux emails.

Pour les entreprises, l’enjeu n’est pas seulement de recueillir un accord. Il faut aussi pouvoir le démontrer en cas de contrôle. La CNIL attend une preuve exploitable, avec des éléments tels qu’un horodatage ou d’autres données de journalisation pertinentes. Un bandeau flou, une clause fondue dans des conditions générales ou une case pré-cochée ne suffisent pas.

La recommandation privilégie un recueil du consentement au moment de la collecte de l’adresse email. Autrement dit, le formulaire d’inscription à une newsletter, de création de compte ou de téléchargement d’un contenu devient la première ligne de conformité. La CNIL donne d’ailleurs un exemple de formulation claire : l’organisme indique qu’il utilise des traceurs pour savoir si les courriels sont ouverts, afin d’évaluer les performances de ses campagnes et d’adapter la fréquence d’envoi.

Le message adressé aux équipes marketing est direct : les formulations vagues du type « améliorer votre expérience » deviennent difficilement tenables pour cette finalité. Il faut dire ce qui est suivi, pourquoi et avec quelles conséquences opérationnelles.

Preuve, granularité et retrait : les trois angles morts des dispositifs actuels

La plupart des piles emailing existantes ont été construites autour d’un indicateur central, le taux d’ouverture. Or la CNIL exige une logique plus fine.

  • La preuve : l’entreprise doit conserver la trace du consentement et pouvoir rattacher ce consentement à la finalité correspondante.
  • La granularité : le consentement doit être indépendant pour chaque finalité non connexe. Une acceptation globale de plusieurs usages ne répond pas à l’exigence.
  • Le retrait : il doit être aussi simple que l’acceptation. Un lien accessible en pied de page des emails est explicitement envisagé, avec un effet immédiat pour les envois futurs.

La conséquence est lourde pour les workflows automatisés. Si un contact retire son accord, les données issues de pixels collectées après ce retrait ne peuvent plus être exploitées. La recommandation souligne aussi une difficulté très concrète : il n’est pas possible de neutraliser rétroactivement un pixel déjà présent dans un email déjà envoyé, mais il est interdit d’utiliser les nouvelles données qui en découleraient après retrait.

L’article 82 de la loi Informatique et libertés transpose en droit français l’article 5.3 de la directive ePrivacy. Il ne porte pas d’abord sur le contenu du traitement de données, mais sur l’accès ou l’inscription d’informations dans le terminal de l’utilisateur. C’est précisément ce raisonnement que la CNIL applique aux pixels de suivi embarqués dans les courriels.

Courriels transactionnels : une exemption reconnue, mais verrouillée

La recommandation n’interdit pas tout usage des pixels. Elle prévoit une exemption lorsque le pixel est strictement nécessaire à certaines finalités de délivrabilité dans des courriels transactionnels. C’est un point majeur pour les entreprises qui doivent garantir l’acheminement de messages essentiels au service demandé par l’utilisateur.

Sont visés les messages de type confirmation de commande, alerte de compte, rappel de mot de passe, notification d’expédition, facture ou alerte de sécurité. Dans ces hypothèses, le simple fait d’envoyer un email ne suffit toutefois pas à ouvrir toutes les portes. La CNIL trace une ligne étroite entre ce qui est nécessaire à la délivrabilité et ce qui relève de l’analyse comportementale.

Dès qu’un pixel poursuit une autre finalité, l’exemption disparaît. C’est le cas notamment lorsqu’il sert à :

  • mesurer individuellement les ouvertures pour optimiser la performance marketing ;
  • personnaliser le contenu envoyé ;
  • alimenter un profil pour du ciblage multicanal ;
  • détecter des comportements de fraude au-delà de la stricte délivrabilité mentionnée dans la recommandation.

La CNIL admet en revanche une mesure globale anonyme ou une logique de pure délivrabilité avec une minimisation forte des données. Le texte cite notamment la possibilité de se limiter à la date de dernière ouverture, sans heure précise ni géolocalisation. Cette nuance est essentielle : ce n’est pas l’outil technique en lui-même qui est banni, c’est sa finalité réelle et le niveau d’intrusion qui l’accompagne.

Ce que les directions opérationnelles devront requalifier

Dans de nombreuses entreprises, des campagnes dites relationnelles ou de service embarquent en réalité des mécanismes d’optimisation commerciale. Un email de suivi de commande qui alimente aussi un score d’engagement sort du strict périmètre de l’exemption. De même, un message de sécurité dont l’ouverture est utilisée pour enrichir un profil marketing change de nature juridique.

Pour les responsables de traitement, la difficulté ne sera pas théorique. Il faudra cartographier email par email les usages des pixels et requalifier les messages selon leur finalité réelle. C’est un chantier de gouvernance autant qu’un chantier technique.

La concession obtenue sur le nettoyage des listes

À l’issue de la consultation publique, la CNIL a admis une dérogation pour les pixels ayant pour seule fonction d’identifier les adresses mortes ou inactives afin de les retirer des listes d’envoi. Cette ouverture reste enfermée dans une logique de délivrabilité individuelle. Elle n’autorise ni profilage, ni analyse comportementale, ni enrichissement commercial de la donnée.

Trois mois pour les bases existantes : un calendrier serré jusqu’au 14 juillet 2026

La CNIL n’impose pas une remise à plat instantanée des bases constituées avant le 14 avril 2026. Elle accorde une période transitoire de trois mois. Pour les contacts déjà en base à cette date, les organismes doivent informer clairement les destinataires de l’usage des pixels et leur offrir un moyen simple de s’y opposer. Cette fenêtre court jusqu’au 14 juillet 2026.

Ce délai peut sembler confortable sur le papier. En pratique, il est court. Beaucoup d’entreprises utilisent plusieurs briques : plateforme d’envoi, CRM, outil d’automatisation, solution de gestion du consentement, parfois connecteurs maison. Revoir les formulaires de collecte ne suffira pas si les scénarios automatiques continuent de segmenter selon les ouvertures passées ou de déclencher des relances sur cette base.

La recommandation mentionne d’ailleurs les préoccupations exprimées pendant la consultation sur la complexité technique du retrait, en particulier pour les emails déjà partis. C’est un point important pour les équipes DPO, IT et marketing : le coût de mise en conformité ne sera pas uniforme selon les organisations. Les acteurs les plus dépendants de l’open rate comme indicateur clé devront réviser des pans entiers de leur pilotage.

Métriques Valeur Évolution
Publication de la recommandation définitive 14 avril 2026 Référence de départ
Adoption par délibération 12 mars 2026 Antérieure à la publication
Durée de la consultation publique Du 12 juin au 24 juillet 2025 69 contributions reçues
Fin de la période transitoire pour les bases antérieures 14 juillet 2026 Trois mois après la publication

Mailchimp, Brevo et les autres : l’audit des paramétrages devient prioritaire

Le texte source cite explicitement des outils comme Mailchimp ou Brevo pour illustrer l’ampleur du chantier. L’enjeu ne tient pas seulement au paramètre « tracking activé ou non ». Il faut aussi examiner :

  • les champs remontés par défaut dans les tableaux de bord ;
  • les scénarios de relance sur non-ouverture ;
  • les règles de segmentation fondées sur l’activité d’ouverture ;
  • les exports de données vers le CRM ou d’autres briques d’activation ;
  • les conditions de conservation et de purge des historiques.

Cette revue impose un dialogue serré entre responsable de traitement et prestataire. La CNIL rappelle que l’expéditeur est, en principe, le responsable de traitement, tandis que les fournisseurs de technologie ou d’envoi sont souvent des sous-traitants.

Mais la répartition exacte des rôles doit être analysée au cas par cas. Pour les directions juridiques, cela signifie relire les contrats, les instructions documentées et les engagements de preuve.

Au-delà du droit, l’indicateur lui-même est contesté. Entre protections de confidentialité des messageries, préchargement d’images et désormais contrainte réglementaire renforcée, le taux d’ouverture devient moins robuste comme boussole unique de performance. Les entreprises devront davantage se tourner vers les clics, les réponses directes, les sondages ou des mesures agrégées mieux alignées avec la conformité.

Un sujet ePrivacy, mais aussi un risque RGPD pour toute la chaîne de traitement

L’apport le plus structurant de la recommandation est probablement là : elle rappelle que le dossier ne se limite pas au consentement initial sur le traceur. Une fois la donnée collectée via le pixel, tout traitement ultérieur bascule dans la sphère RGPD. Segmentation, personnalisation, scoring, synchronisation CRM, priorisation commerciale ou ciblage multicanal deviennent autant de traitements subséquents à justifier et encadrer.

Pour les entreprises françaises, le sujet prend donc une double dimension :

  • ePrivacy pour la licéité du traceur sur le terminal ;
  • RGPD pour les usages de la donnée ainsi obtenue.

Cette double lecture change la gestion du risque. Une organisation peut croire avoir un fondement pour le traitement marketing au sens RGPD, mais rester en infraction sur la phase amont si le pixel a été déposé sans consentement valable. En d’autres termes, la base légale du traitement aval ne répare pas l’irrégularité du traceur en amont.

La CNIL envoie ce message dans un climat plus ferme sur les traceurs. En 2025, elle a sanctionné 21 entités pour des manquements liés aux règles sur les traceurs, selon son bilan annuel (source : CNIL). Le texte ne donne pas ici de montant cumulé précis à reprendre, mais la tendance est suffisamment claire pour les entreprises : les contrôles sont devenus concrets, fréquents et coûteux sur le plan réputationnel.

Didomi et ChapsVision : le marché du conseil se prépare à une vague d’audits

Le contenu source mentionne que des prestataires comme Didomi ou ChapsVision soulignent déjà l’urgence des audits. Cette réaction est logique. Une partie du marché de la conformité et de la gouvernance de la donnée voit arriver un besoin immédiat de revue des parcours de collecte, de preuve du consentement et d’inventaire des traitements liés aux campagnes email.

Pour les PME comme pour les groupes plus structurés, l’effort ne sera pas identique. Les premières devront souvent arbitrer entre conformité et ressources techniques limitées. Les secondes devront coordonner plusieurs directions, parfois sur plusieurs marchés, avec des pratiques historiques divergentes selon les marques ou les équipes locales.

Ce qui reste possible sans basculer dans l’irrégularité

  1. Utiliser des pixels strictement nécessaires à la délivrabilité dans certains courriels transactionnels.
  2. Limiter la donnée au strict nécessaire, par exemple à une date de dernière ouverture sans heure précise ni géolocalisation lorsque la recommandation l’admet.
  3. Nettoyer les listes pour retirer les adresses mortes ou inactives, sans profilage ni enrichissement comportemental.
  4. Repenser la mesure de performance autour d’indicateurs alternatifs comme les clics ou les retours explicites des destinataires.

Ce que les entreprises doivent décider avant l’été 2026

Le texte publié hier par la CNIL n’appelle pas seulement une mise à jour documentaire. Il impose des choix de gestion. Les organisations qui continuent à piloter l’emailing au prisme exclusif des ouvertures vont devoir revoir leurs modèles opérationnels, parfois leurs indicateurs de performance, et souvent leurs arbitrages entre acquisition, relation client et conformité.

À court terme, le plus rationnel consiste à identifier les campagnes concernées, distinguer les emails transactionnels des emails marketing, vérifier la preuve du consentement, neutraliser les usages non conformes et organiser l’information des bases existantes avant le 14 juillet 2026. La CNIL a indiqué qu’elle proposerait des webinaires d’accompagnement, mais la période transitoire reste brève au regard des chantiers techniques et contractuels à engager.

Le marché de l’emailing entre ainsi dans une phase plus adulte : moins de suivi silencieux, davantage de consentement explicite, et une exigence de preuve qui pèsera durablement sur les pratiques françaises.