L'essentiel
Un pixel de suivi est une image invisible insérée dans un email, qui enregistre l'ouverture du message lorsque l'appareil du destinataire la charge. Depuis la recommandation de la CNIL publiée au Journal officiel le 14 avril 2026, son usage relève de l'article 82 de la loi Informatique et Libertés et suppose, en principe, le consentement préalable du destinataire. Certaines finalités restent exemptées, notamment la délivrabilité et la sécurité, sous conditions strictes. Le régime du pixel est indépendant de celui de l'email : pouvoir envoyer un message ne donne pas le droit d'en mesurer l'ouverture.
Depuis le printemps 2026, une pratique vieille de vingt ans est devenue un sujet de conformité. Le pixel de suivi, cette image invisible qui permet de savoir qu'un email a été ouvert, alimente depuis toujours les taux d'ouverture, les scénarios de relance et le nettoyage des bases. La recommandation publiée par la CNIL a rappelé qu'il s'agit d'un traceur, au même titre qu'un cookie, et qu'il obéit donc à ses propres règles.
Le sujet est déroutant parce qu'il sépare deux choses que les équipes marketing ont l'habitude de traiter ensemble : le droit d'envoyer un email et le droit d'en mesurer l'ouverture. Ce sont deux régimes juridiques distincts, et le second ne découle pas du premier.
Ce guide reprend le cadre posé par la CNIL et ses réponses publiées depuis. Il explique ce qu'est un pixel de suivi, pourquoi il relève de l'article 82 de la loi Informatique et Libertés, dans quels cas le consentement est requis, quelles exemptions existent et comment recueillir puis gérer ce consentement. Pour comprendre le fonctionnement technique du pixel avant d'aborder le cadre juridique, notre article sur ce qu'est un pixel de suivi et ce qu'il mesure détaille le mécanisme.
Cet article présente le cadre posé par la CNIL à titre informatif. Il ne constitue pas un conseil juridique. Pour votre situation précise, rapprochez-vous de votre DPO ou de votre service juridique.
Qu'est-ce qu'un pixel de suivi ?
Un pixel de suivi est une image invisible insérée dans un email, dont le chargement par l'appareil du destinataire signale que le message a été ouvert. L'image est hébergée sur un serveur : quand la messagerie va la chercher pour l'afficher, cette requête est enregistrée et attribuée au destinataire.
Trois informations principales remontent à ce moment-là : l'identification du destinataire qui a ouvert le message, la date et l'heure exactes de la consultation, et le type d'appareil utilisé. Si le pixel n'est pas chargé, aucune ouverture n'est mesurée.
La CNIL décrit une fonction proche de celle des cookies utilisés lors de la navigation sur Internet. Elle précise aussi une limite importante : les pixels permettent de savoir si un message est ouvert, mais ne donnent pas accès au contenu des autres courriels ni à la messagerie du destinataire.
Un point de vocabulaire, parce qu'il crée beaucoup de confusion. « Pixel de suivi » est le terme employé par la CNIL. On rencontre aussi « pixel de tracking », « pixel espion » ou « pixel invisible » : il s'agit de la même technologie. Les liens traçants, eux, sont une technologie distincte, qui mesure les clics et non les ouvertures.
Pourquoi la CNIL encadre les pixels de suivi
La CNIL encadre les pixels parce que leur usage suppose d'écrire puis de lire une information sur le terminal du destinataire, ce qui relève de l'article 82 de la loi Informatique et Libertés. Déposer un pixel dans un email est une opération d'écriture. Le charger à l'ouverture est une opération de lecture dans ce même terminal.
La raison de fond tient à la nature du support. La boîte de réception est un espace personnel destiné à la consultation de contenus privés, et les pixels y sont invisibles : leur présence n'est pas évidente à identifier. C'est cette combinaison qui justifie un traitement spécifique.
À qui s'applique la recommandation
Elle s'adresse à tous les organismes, privés ou publics, entreprises, associations, administrations, collectivités, qui utilisent des pixels de suivi dans leurs courriels, ainsi qu'aux prestataires techniques auxquels ils recourent.
Aucun type d'email n'est exclu du champ d'application. La recommandation s'applique quel que soit le contexte d'envoi, indépendamment de la nature de l'organisme expéditeur ou de la qualité du destinataire : client, prospect, ou salarié. Les emails adressés à vos propres salariés sur leur adresse professionnelle sont concernés.
Une recommandation, pas un règlement
La recommandation relève du droit souple. La norme contraignante reste l'article 82 de la loi Informatique et Libertés, dont la recommandation propose la lecture de l'autorité, assortie de modalités pratiques de mise en conformité. La CNIL indique elle-même qu'elle n'est ni prescriptive ni exhaustive.
Cela ne la rend pas facultative pour autant : elle exprime la position de l'autorité qui contrôle et sanctionne.
Y compris pour les expéditeurs hors de France
La CNIL peut contrôler et sanctionner des acteurs établis en France, dans un autre État membre de l'Union européenne ou en dehors. C'est notamment le cas lorsque les pixels sont utilisés pour suivre le comportement de personnes se trouvant sur le territoire français. Sur ce point, le mécanisme européen du guichet unique ne s'applique pas.
Envoyer un email n'est pas suivre son ouverture
Le droit d'envoyer un email et le droit de mesurer son ouverture obéissent à deux textes différents. La prospection commerciale par courriel relève de l'article L. 34-5 du Code des postes et des communications électroniques. Les pixels de suivi sont encadrés par l'article 82 de la loi Informatique et Libertés.
Conséquence directe : le fait qu'un courriel puisse être envoyé sans consentement au titre des règles de la prospection commerciale ne signifie pas que les pixels qu'il contient sont eux-mêmes exemptés de consentement.
Trois notions à ne pas confondre
Un contact peut donc parfaitement rester abonné à votre newsletter et refuser le pixel. Les deux choix sont indépendants.
Le cas de la prospection B2B
Le B2B n'est pas exempté. Les adresses professionnelles sont concernées, y compris les adresses génériques et celles de vos salariés.
La CNIL est explicite sur l'articulation des deux régimes. Lorsqu'un courriel est envoyé sans consentement préalable sur le fondement de l'exception applicable à la prospection de produits ou services analogues, il ne peut pas être considéré, de ce seul fait, comme ayant été explicitement demandé par l'utilisateur. Les pixels de suivi utilisés pour assurer sa délivrabilité ne peuvent donc pas bénéficier de l'exemption et sont, en principe, soumis au recueil du consentement.
En pratique, cela touche des outils du quotidien commercial : notifications d'ouverture en temps réel, séquences déclenchées par une absence d'ouverture, scoring alimenté par les opens. Y compris pour un email adressé à une seule personne.
Le calendrier et la situation aujourd'hui
La recommandation a été adoptée par la délibération n° 2026-042 du 12 mars 2026 et publiée au Journal officiel le 14 avril 2026. C'est cette date qui fait courir les délais.
Pour les adresses collectées avant le 14 avril 2026
La CNIL n'a pas imposé de recueil rétroactif du consentement. L'insertion de pixels pouvait continuer, sous réserve d'envoyer aux destinataires une information claire et accessible dans un délai qui ne saurait, en principe, excéder trois mois, soit jusqu'au 14 juillet 2026, et en l'absence d'opposition de leur part.
Ce délai pouvait être prolongé de manière raisonnable en cas de difficultés liées au volume de la base ou à la délivrabilité, à condition que ces difficultés soient objectivement justifiées et documentées.
Si cette information n'a pas été envoyée
À l'issue du délai, les règles de droit commun s'appliquent pleinement, y compris aux adresses collectées avant le 14 avril 2026. Le consentement doit alors être recueilli. À défaut, l'expéditeur doit cesser l'usage des pixels soumis à consentement.
Si elle a bien été envoyée
Lorsque les personnes ont été informées de leur droit de s'opposer, le responsable de traitement peut continuer à se fonder sur l'absence d'opposition pour les courriels ultérieurs.
Cette situation n'est pas définitive. Si un nouveau consentement doit être recueilli pour l'envoi des courriels (par exemple parce que de nouveaux partenaires sont ajoutés ou que les conditions de la prospection évoluent) un consentement conforme à la recommandation devra également être recueilli pour les pixels non exemptés.
Pour les adresses collectées à partir du 14 avril 2026
Le régime transitoire ne s'applique pas. Le consentement préalable est requis dès la collecte pour les pixels qui y sont soumis.
À surveiller : cette section a une durée de vie limitée. À réviser dès qu'une décision, une sanction ou une mise à jour de la FAQ modifie la lecture.
Consentement ou exemption : comment savoir
Le consentement est le principe, l'exemption est l'exception, et elle se mérite condition par condition. Deux familles d'exemptions existent : la délivrabilité et la sécurité. Dès qu'une seule des conditions n'est pas remplie, le consentement redevient nécessaire.
L'exemption délivrabilité
Elle vise un objectif précis : adapter la fréquence ou arrêter l'envoi des courriels aux destinataires dits inactifs. En principe, la seule donnée nécessaire à cette fin est la date de dernière ouverture du courriel, sauf si l'expéditeur peut documenter qu'il a besoin d'autres données.
C'est la condition la plus exigeante en pratique. Si le pixel permet également de connaître l'heure d'ouverture ou toute autre information allant au-delà du nécessaire, l'exemption tombe. Anonymiser ou supprimer ensuite l'adresse IP ou le user-agent ne rattrape rien : ces données ont été collectées au-delà de ce qui était nécessaire, et cette anonymisation ne permet pas de bénéficier de l'exemption.
Deuxième condition : le courriel doit se rattacher à un service explicitement demandé par l'utilisateur.
L'exemption sécurité
Elle ne reprend qu'une partie des conditions de la délivrabilité : le rattachement à un service explicitement demandé et la limitation, en principe, à la date de dernière ouverture. Les conditions liées au nettoyage des bases lui sont étrangères.
Son périmètre est étroit. Les traceurs utilisés à des fins de lutte contre la fraude en général n'entrent pas dans les exemptions. La CNIL cite en revanche les pixels dans les courriels d'authentification ou de réinitialisation de mot de passe, qui pourraient faire l'objet d'une tentative d'interception.
Quels courriels peuvent bénéficier de l'exemption
Le critère déterminant n'est pas l'étiquette « transactionnel », mais le fait que le courriel soit demandé par l'utilisateur ou se rattache à un service qu'il a demandé.
Attention à un piège : un courriel de confirmation d'achat qui met en avant des offres ou incite à l'achat perd son caractère transactionnel. Le consentement redevient alors nécessaire.
Trois précisions utiles
Un même pixel peut poursuivre plusieurs finalités, certaines exemptées et d'autres soumises au consentement. Les finalités exemptées s'appliquent sans consentement, les autres seulement après recueil. En revanche, un pixel ne peut jamais être déposé sans poursuivre au moins une finalité déterminée : impossible de le déposer dans l'attente d'un éventuel consentement ultérieur.
Un pixel exempté permet malgré tout de produire un taux d'ouverture global de campagne, à condition que les données aient été préalablement anonymisées de manière effective, par exemple par agrégation.
Enfin, collecter des données anonymes ou agrégées ne dispense pas de consentement. L'article 82 s'applique que les données soient personnelles ou non.
Recueillir et gérer le consentement au suivi
- Définir et présenter les finalités. Les utilisateurs doivent être informés de l'ensemble des finalités poursuivies avant d'exprimer leur choix. La CNIL recommande que chaque finalité soit mise en exergue dans un intitulé court accompagné d'un bref descriptif. Sur une information à plusieurs niveaux, les intitulés courts figurent dès le premier niveau.
- Choisir le moment du recueil. Le consentement se donne avant l'envoi du courriel suivi. Il peut être recueilli au moment de la collecte de l'adresse, ou ultérieurement via un lien intégré dans un email ne contenant pas de pixel.
- Décider de la portée du choix. La recommandation n'impose pas de recueillir le consentement par catégorie de courriels. L'important est que la personne comprenne la portée de son choix : s'applique-t-il à un type de courriel ou à tous. Un organisme peut lier le consentement aux pixels à l'adresse de l'utilisateur plutôt qu'à un type de communication.
- Utiliser un consentement global avec prudence. Un bouton d'acceptation globale est possible au premier niveau, à condition d'offrir au second niveau un choix indépendant et spécifique pour chaque finalité distincte. Un consentement unique est également possible quand les finalités sont connexes, c'est-à-dire suffisamment liées entre elles.
- Prévoir un retrait aussi simple que le consentement. Le consentement doit pouvoir être retiré aussi facilement qu'il a été donné. Regrouper les choix dans un centre de préférences unique est possible, à condition de ne pas compliquer l'exercice des droits : pas d'étape inutile, pas de multiplication des clics, pas d'interface complexe ou trompeuse.
- Traiter réellement le retrait. L'expéditeur ne pouvant pas supprimer des messages déjà envoyés, il faut mettre en œuvre un mécanisme ignorant totalement toute requête provenant d'un terminal dont l'identifiant de pixel est associé à un consentement retiré. Les données collectées doivent être supprimées si aucune autre base légale ne justifie leur conservation.
- Enregistrer le choix et espacer les relances. La CNIL recommande d'enregistrer le choix exprimé, acceptation comme refus, pour ne pas solliciter la personne à chaque envoi. Une sollicitation trop fréquente des personnes ayant refusé est susceptible de faire obstacle à la liberté du consentement. Ne pas les solliciter à nouveau pendant six mois constitue une bonne pratique.
- Pouvoir prouver le consentement. Celui qui délègue le recueil du consentement ne peut pas se limiter à une clause contractuelle pour en apporter la preuve. Il doit pouvoir démontrer que le consentement a été valablement recueilli pour son compte, ce qui implique des vérifications, par exemple par audit.
Deux erreurs à éviter
Une absence de réponse ne vaut pas consentement. Le consentement est un acte positif : seul le régime transitoire des adresses collectées avant le 14 avril reposait sur l'absence d'opposition.
Un statut de contact ne se modifie pas à la main. Il doit refléter le choix réel du destinataire. Le repasser en actif sans consentement recueilli expose l'expéditeur en cas de contrôle ou de plainte.
Le suivi conforme avec Positive User
Depuis le 1er octobre 2026, Positive User permet de gérer le suivi des ouvertures et des clics contact par contact, en plus de l'activation ou de la désactivation pour l'ensemble d'un espace de travail.
La recommandation dit ce qu'on attend d'un prestataire. La CNIL invite les fournisseurs à concevoir et paramétrer leurs solutions de manière à permettre à leurs clients de respecter la réglementation, et cite trois fonctionnalités : faciliter la désactivation des traceurs, permettre une gestion différenciée des destinataires au sein des listes, et gérer les listes de diffusion sur la base d'un signal de consentement lorsqu'il est requis. Le recueil du consentement lui-même reste optionnel pour le fournisseur.
Elle rappelle aussi la répartition des rôles. Lorsque les pixels sont insérés exclusivement pour le compte de l'expéditeur, le prestataire agit comme sous-traitant. Lorsqu'il utilise également les pixels pour ses propres finalités, il peut être qualifié de responsable conjoint.
Trois modes de suivi
Ce que permet le mode par contact
- Un champ de contact dédié au consentement au suivi, distinct du consentement marketing, avec trois valeurs : accepté, refusé, sans réponse. Seul un accord explicite autorise le suivi ; l'absence de réponse équivaut à un refus.
- Un lien d'abonnement et de désabonnement au suivi, à insérer dans n'importe quel email. Il mène à une page dédiée où le contact choisit lui-même, et peut revenir sur son choix à tout moment.
- Ce lien, comme le lien de désinscription, reste toujours actif, y compris pour un contact non suivi.
- Le choix est évalué au moment de l'envoi, pas au moment de la programmation : un contact qui se rétracte après la programmation d'une campagne n'est pas suivi lors de l'envoi.
- Deux événements horodatés, abonnement et désabonnement au suivi, enregistrés lorsque le contact agit lui-même via le lien.
- Un enregistrement, envoi par envoi, du choix du contact et du mode de l'espace de travail tels qu'ils étaient à ce moment-là, repris dans l'export d'imputabilité de campagne.
- Des taux d'ouverture et de clic calculés sur les seuls contacts effectivement suivis.
- Le changement de mode est réservé au rôle administrateur et journalisé au niveau de l'espace de travail.
Trois points d'attention
Par défaut, tous les espaces de travail restent en mode « Activé pour tous ». Le passage au mode par contact est une décision volontaire de l'administrateur.
Un changement de mode n'affecte que les envois à venir. Les statistiques déjà collectées ne sont pas réécrites.
Les deux événements de consentement ne sont générés que par une action du contact via le lien. Une modification du champ par l'API, par un administrateur ou depuis la fiche contact n'en produit pas.
Ces fonctionnalités permettent à l'expéditeur d'appliquer sa propre politique. Positive User met à disposition des fonctionnalités ; le client reste responsable de la manière dont il les utilise et de sa propre analyse de conformité.
FAQ
Une absence de réponse à une demande de consentement vaut-elle accord ?
Non. Une absence de réponse doit être considérée comme un refus. Le consentement est un acte positif du destinataire, jamais l'absence de réaction. Seul le régime transitoire applicable aux adresses collectées avant le 14 avril 2026 reposait sur l'absence d'opposition, et uniquement si les personnes avaient été informées de leur droit de s'opposer.
La prospection B2B est-elle concernée ?
Oui. Les adresses professionnelles sont concernées, y compris les adresses génériques et celles de vos salariés. Pouvoir envoyer un email de prospection B2B ne donne pas le droit d'en suivre l'ouverture : le consentement à recevoir et le consentement au suivi restent deux choses distinctes.
Peut-on insérer un pixel dans un email transactionnel ?
Oui, sous conditions. Un courriel de confirmation d'achat ou de renouvellement d'abonnement peut bénéficier de l'exemption si les autres conditions sont réunies. En revanche, dès qu'il contient une part d'éléments promotionnels, mise en avant d'offres ou incitation à l'achat, il perd son caractère transactionnel et le consentement redevient nécessaire.
Un email de relance panier peut-il être suivi sans consentement ?
Non. La CNIL le qualifie de courriel promotionnel dont l'objet est essentiellement commercial. Un pixel de suivi dans ce type de message ne peut pas être exempté de consentement préalable.
J'envoie depuis la France vers l'étranger, le consentement est-il nécessaire ?
Le pays du destinataire ne suffit pas à trancher : c'est l'analyse de votre usage qui compte. La CNIL est compétente lorsque les pixels sont utilisés pour suivre le comportement de personnes se trouvant sur le territoire français, y compris pour un acteur non établi dans l'Union européenne. Hors de ce cadre, l'analyse se fait au cas par cas.
Peut-on redemander leur consentement aux personnes qui ont refusé ?
À éviter à court terme. Une sollicitation trop fréquente des personnes ayant exprimé un refus est susceptible de faire obstacle à la liberté du consentement. La CNIL retient comme bonne pratique de ne pas solliciter à nouveau pendant six mois.
Puis-je encore calculer un taux d'ouverture global de campagne ?
Oui, même avec des pixels exemptés, à condition que les données aient été préalablement anonymisées de manière effective, par exemple par agrégation. Le traitement consistant à anonymiser reste soumis au RGPD.
Une ouverture d'email compte-t-elle comme un contact du prospect ?
Non. Si l'ouverture permet de qualifier un utilisateur d'actif dans le contexte spécifique de la délivrabilité, cette notion n'est pas transposable au référentiel de la CNIL sur la gestion des activités commerciales. Dans ce cadre, la simple ouverture d'un courriel ne doit pas être considérée comme un contact émanant du prospect.
Les liens traçants sont-ils couverts par la recommandation ?
Pas directement. La recommandation ne les vise pas, mais ils impliquent également des opérations de lecture ou d'écriture sur le terminal et relèvent donc de l'article 82. La recommandation fournit des principes permettant d'évaluer leur conformité au cas par cas.
Conclusion
La recommandation de la CNIL ne supprime pas le pixel de suivi, elle en conditionne l'usage. Trois réflexes permettent de s'y retrouver : traiter le consentement au suivi séparément du consentement à recevoir, vérifier condition par condition qu'une exemption s'applique avant de s'en prévaloir, et garder la trace des choix exprimés.
Le reste relève de l'organisation : savoir quels contacts sont suivis, pouvoir le prouver, et rendre le retrait aussi simple que l'acceptation.
