Ce que la CNIL a publié, et ce que cela vaut
Le 12 mars 2026, la CNIL a adopté une recommandation relative aux pixels de suivi dans les courriers électroniques (délibération n° 2026-042). Elle a été publiée au Journal officiel le 14 avril 2026, puis complétée le 22 juillet 2026 par une foire aux questions de 27 questions. La CNIL explique avoir voulu préciser ce cadre notamment en raison du nombre croissant de plaintes reçues sur le sujet.
La recommandation se dit elle-même « ni réglementaire ni exhaustive » : elle vise à aider les professionnels à se mettre en conformité. L'obligation vient de la loi : l'article 82 de la loi Informatique et Libertés, qui transpose la directive « ePrivacy » et encadre toute lecture ou écriture d'informations sur le terminal d'un utilisateur. La recommandation explique comment la CNIL applique cet article aux pixels insérés dans les emails. C'est donc la grille de lecture du régulateur, qui a indiqué qu'il veillerait au respect de ces règles « dans le cadre de ses missions de contrôles à venir ». La CNIL précise aussi pouvoir contrôler et sanctionner des acteurs établis hors de France lorsque les conditions d'application de la loi sont réunies.
Qu'est-ce qu'un pixel de suivi, et pourquoi il est visé
Un pixel de suivi est une image, le plus souvent minuscule et invisible, qui n'est pas contenue dans l'email mais hébergée sur un serveur distant. Pour l'afficher, la messagerie du destinataire doit aller la chercher à une adresse (URL) qui comporte le plus souvent des paramètres propres à ce destinataire. Ce chargement renseigne l'expéditeur, ou l'un de ses partenaires, sur la consultation du message : si l'email a été ouvert, quand, et parfois sur quel appareil.
Pour la CNIL, conformément aux lignes directrices 2/2023 du Comité européen de la protection des données, la collecte de ces informations par le serveur qui héberge l'image constitue une opération de lecture sur le terminal de l'utilisateur. L'article 82 s'applique donc. Et il s'applique que les données collectées soient personnelles ou non : obtenir par un pixel des données « anonymes » ou agrégées ne dispense pas, à soi seul, du consentement.
Le principe : le consentement, sauf deux exemptions encadrées
L'article 82 pose une règle simple : pas d'accès aux informations du terminal sans le consentement de la personne, sauf si l'opération a pour seule finalité de permettre ou de faciliter la communication électronique, ou si elle est strictement nécessaire à un service expressément demandé par l'utilisateur. La CNIL en tire la répartition suivante.
| Finalité du pixel | Position de la CNIL |
|---|---|
| Analyser le taux d'ouverture pour mesurer et optimiser les campagnes (personnalisation du contenu, fréquence, choix du canal) | Consentement requis |
| Créer des profils pour cibler la personne ailleurs que dans ses emails (sites, applications, autres canaux) | Consentement requis |
| Détecter des fraudes, par exemple des ouvertures massives ou inhabituelles | Consentement requis |
| Sécuriser une authentification, par exemple vérifier qu'un email contenant un code est ouvert sur un appareil connu de l'utilisateur | Exemption possible |
| Mesurer individuellement l'ouverture à des fins de délivrabilité | Exemption possible sous conditions strictes ; à défaut, consentement requis |
Les conditions de l'exemption « délivrabilité »
- l'email doit être demandé par le destinataire ou se rattacher à un service qu'il a demandé : emails dits transactionnels (confirmation de commande, facture, réinitialisation de mot de passe, rappel de rendez-vous…) ou emails auxquels il a consenti ;
- le pixel doit servir uniquement à adapter la fréquence des envois ou à cesser d'écrire aux destinataires « inactifs », c'est-à-dire au nettoyage des listes ; la CNIL admet qu'il serve aussi à choisir un autre canal de contact ou à démontrer la transmission d'une information légalement obligatoire ;
- en principe, seule la date de la dernière ouverture connue doit être conservée, à la journée et sans l'heure, et remplacée à chaque nouvelle ouverture.
La FAQ ajoute deux précisions utiles. Si le pixel collecte davantage sans besoin documenté, comme l'heure d'ouverture, l'adresse IP ou le type de logiciel utilisé, l'exemption tombe, même si ces données sont anonymisées peu après. En revanche, les données d'un pixel exempté peuvent servir à calculer un taux d'ouverture global de campagne sans consentement, à condition d'être effectivement anonymisées, par exemple par agrégation.
Qui est concerné : newsletters, transactionnels, prospection
Tous les expéditeurs. La recommandation s'adresse aux organismes publics comme privés, et la FAQ précise qu'elle s'applique à tout email, quelle que soit la qualité du destinataire : client, prospect ou salarié, y compris sur une adresse professionnelle. Ce qui change d'un email à l'autre, c'est la possibilité d'invoquer une exemption.
| Type d'email | Pixel sans consentement ? |
|---|---|
| Confirmation de commande, facture, réinitialisation de mot de passe | Possible, si toutes les conditions d'une exemption sont réunies et que l'email ne contient pas d'éléments promotionnels |
| Lettre d'information à laquelle la personne s'est abonnée | Possible pour la seule délivrabilité, si les conditions sont réunies |
| Prospection envoyée avec le consentement préalable du destinataire | Possible pour la seule délivrabilité, si les conditions sont réunies |
| Relance de panier abandonné | Non : la CNIL y voit un email promotionnel |
| Prospection B2B envoyée sans consentement préalable | Non : en principe, consentement requis pour tout pixel, y compris de délivrabilité |
| Prospection de clients pour des produits ou services analogues | Non : même raisonnement |
Côté responsabilités, l'entreprise qui décide de l'envoi est responsable du traitement, même lorsque son prestataire d'emailing gère techniquement les pixels. Le prestataire agit en principe comme sous-traitant ; s'il exploite aussi ces données pour ses propres besoins et que l'expéditeur l'accepte par contrat, tous deux peuvent être responsables conjoints.
Prospection B2B par email : ce qui change
Les règles sur l'envoi et les règles sur le pixel sont distinctes. La prospection par email relève de l'article L. 34-5 du code des postes et des communications électroniques ; le pixel relève de l'article 82 de la loi Informatique et Libertés. Vers des professionnels, un email de prospection peut en principe être envoyé sans consentement préalable s'il est en rapport avec la profession de la personne démarchée (notre guide sur le démarchage téléphonique rappelle les règles de l'email B2B). Mais la CNIL souligne que le consentement aux pixels peut être nécessaire pour des emails qui, eux, n'exigent pas de consentement, et cite expressément ce cas.
Un email de prospection B2B envoyé sans consentement préalable n'est pas un service « expressément demandé » par son destinataire. Dans son webinaire du 28 mai 2026, la CNIL le range parmi les emails non éligibles à l'exemption « délivrabilité ». Conséquence : tout pixel d'ouverture dans ce type d'email, même limité à la délivrabilité, suppose en principe le consentement préalable du destinataire.
Deux voies sont donc possibles :
- désactiver le pixel d'ouverture dans vos emails de prospection ;
- recueillir un consentement au pixel, de préférence lors de la collecte de l'adresse selon la CNIL, ou à défaut par un email sans pixel renvoyant vers une page où la personne accepte par un geste positif. L'absence de réaction vaut refus.
En prospection à froid, la seconde voie est peu réaliste : le silence du destinataire vaut refus. Pour la plupart des PME, désactiver le pixel d'ouverture des campagnes de prospection reste la solution la plus nette.
Adresses collectées avant le 14 avril 2026
Pour les adresses déjà en base, la CNIL accordait trois mois pour informer les destinataires et leur permettre de s'opposer au pixel. Ce délai a expiré le 14 juillet 2026, avec une prolongation raisonnable possible en cas de difficultés objectives et documentées. Si cette information n'a pas été envoyée, les règles s'appliquent pleinement : consentement lorsqu'il est nécessaire, ou arrêt des pixels concernés.
Brevo, Mailchimp et autres outils : les réglages à vérifier
Les noms des menus varient d'un outil à l'autre et changent au fil des mises à jour. La démarche, elle, est la même.
- Classez vos envoisProspection, lettre d'information, emails transactionnels : notez pour chacun l'outil utilisé et la base sur laquelle vous écrivez, avec ou sans consentement. C'est ce classement qui dit si une exemption est envisageable.
- Coupez le suivi des ouvertures là où il n'est pas permisCherchez l'option de suivi des ouvertures dans les réglages de la campagne et du compte. Si elle ne peut pas être désactivée, interrogez le prestataire : la CNIL invite les éditeurs d'outils à proposer des fonctionnalités facilitant la désactivation des traceurs.
- Contrôlez un email de testEnvoyez-vous un message et affichez sa source (le code HTML). Une petite image chargée depuis un serveur distant, avec une adresse longue et propre au destinataire, signale un pixel. Regardez aussi si vos liens sont réécrits vers un domaine de redirection du prestataire.
- Ne laissez pas de pixel « au cas où »La FAQ est claire : un pixel doit poursuivre une finalité déterminée dès son dépôt. Il n'est pas possible de le laisser dans les emails en attendant un éventuel consentement futur.
- Mettez à jour votre informationLa CNIL recommande, comme bonne pratique, d'informer les personnes même des pixels exemptés de consentement, par exemple dans votre politique de confidentialité.
- Encadrez votre prestataireLe contrat doit couvrir les pixels. S'il les utilise pour ses propres finalités, clarifiez la répartition des obligations. Si un tiers recueille le consentement pour vous, une simple clause ne suffit pas : vous devez pouvoir en apporter la preuve.
Et le suivi des clics ?
C'est la question qui revient le plus, et la CNIL y répond dès la première question de sa FAQ : les liens traçants ne sont « pas directement » couverts par la recommandation. Elle ajoute aussitôt plusieurs éléments :
- un lien traçant est un lien qui contient un identifiant ou un autre paramètre permettant de détecter les clics et, dans un email, de les rattacher au destinataire ;
- comme les cookies ou les pixels, il implique des opérations de lecture ou d'écriture sur le terminal : l'article 82 s'applique, en plus du RGPD ;
- le besoin de consentement dépend de la finalité : seules les opérations strictement nécessaires à un service expressément demandé, ou ayant pour seule finalité la communication électronique, peuvent en être exemptées. L'exemple donné est le lien unique qui permet de retirer son consentement de façon simple et sécurisée.
La CNIL ne tranche donc pas explicitement le cas d'un lien traçant qui mesure les clics d'une campagne de prospection. Notre lecture, à faire confirmer par votre conseil : un email de prospection non sollicité n'étant pas un service expressément demandé, une exemption paraît difficile à justifier pour un suivi individuel des clics. Par prudence, traitez-le comme le pixel d'ouverture : désactivez-le, ou faites valider votre analyse.
Mesurer une campagne de prospection sans pixel d'ouverture
Le taux d'ouverture n'a jamais été un indicateur parfait : la CNIL relève elle-même que les fournisseurs de messagerie peuvent bloquer le chargement automatique des images. En prospection B2B, ce qui compte se mesure sans pixel, à partir de ce que le prospect fait réellement.
| Indicateur | Ce qu'il mesure | Comment le suivre |
|---|---|---|
| Taux de réponse | L'intérêt réel, positif ou négatif | Réponses reçues rapportées aux emails délivrés, classées en « oui », « pas maintenant » et « non » |
| Rendez-vous obtenus | La conversion commerciale | Rendez-vous pris par campagne et par type de cible |
| Oppositions et désinscriptions | La pertinence du ciblage et du message | Nombre par envoi ; une hausse signale un problème de cible ou de ton |
| Adresses invalides (rebonds) | La qualité du fichier | Rapport de l'outil d'envoi : ces retours viennent du serveur de messagerie du destinataire, pas d'un pixel |
| Visites d'une page dédiée | L'intérêt pour l'offre | Un lien identique pour tous les destinataires, sans identifiant individuel, vers une page de votre site : fréquentation globale, mesurée selon les règles de votre site sur les cookies, sans savoir qui a cliqué |
Sans pixel, vous ne savez plus qui est « inactif » : fixez à l'avance un nombre limité de relances, puis cessez d'écrire aux contacts qui n'ont pas répondu. Et comparez vos campagnes sur les mêmes indicateurs, en ne changeant qu'un élément à la fois : cible, objet ou moment d'envoi.
À retenir
Une ouverture n'est pas un signal commercial. Le référentiel de la CNIL sur la gestion des activités commerciales permet de conserver les données d'un prospect trois ans à compter de leur collecte ou du dernier contact émanant de lui, et précise que la simple ouverture d'un email ne compte pas comme un contact ; la FAQ de juillet 2026 le confirme. Une demande de documentation, par exemple, en est un.
Notre approche chez JoinTheClub
C'est la logique que nous retenons pour la prospection B2B par email : juger une campagne sur les réponses et les rendez-vous qu'elle produit, pas sur ses ouvertures, avec des messages que vous validez avant envoi et toute demande d'opposition respectée. Pour en savoir plus, voyez notre page sur l'emailing de prospection B2B ou notre prospection B2B externalisée.
Sources officielles vérifiées le 22/10/2026. Ce guide est une information générale et ne constitue pas un conseil juridique.