Pixels de suivi dans les e-mails : ce qui change au 14 juillet 2026

Qu'est-ce qu'un pixel de suivi ?

Un pixel de suivi est une image invisible, souvent de la taille d'un seul pixel (1×1), hébergée sur un serveur distant et insérée dans le corps d'un e-mail. Lorsque le destinataire ouvre le message, son client de messagerie charge l'image : cette requête indique au serveur que l'e-mail a été ouvert, à quel moment, depuis quel type de terminal et quelle adresse IP.

C'est cette technologie qui produit le fameux taux d'ouverture affiché par les outils d'e-mailing. Sans pixel, cette statistique n'existe pas.

Le point clé : afficher le pixel déclenche une lecture d'information sur le terminal du destinataire. C'est précisément ce mécanisme qui fait entrer les pixels dans le champ de l'article 82 de la loi « Informatique et Libertés ».

Pourquoi la CNIL encadre les pixels de suivi

La messagerie électronique est un espace personnel, consulté après authentification. Y déposer un traceur revient à lire une donnée sur un terminal privé. La CNIL indique recevoir un nombre croissant de plaintes sur ces pratiques, ce qui l'a conduite à publier une recommandation dédiée.

Cette recommandation s'appuie sur les lignes directrices 2/2023 du Comité européen de la protection des données (CEPD), qui rappellent que l'article 5.3 de la directive ePrivacy — transposé à l'article 82 en France — s'applique bien aux pixels insérés dans les e-mails.

La règle d'or à retenir : c'est la finalité du pixel qui détermine s'il faut un consentement, pas la technologie ni le format du message.

Consentement requis ou exempté ? Le tableau de référence

Le cœur de la recommandation tient dans une distinction simple entre finalités marketing (consentement) et finalités strictement nécessaires (exemption).

Pour rester dans le cadre de l'exemption « délivrabilité », la CNIL invite à appliquer le principe de minimisation : ne conserver que la date de la dernière ouverture (à la journée, sans l'heure), mise à jour à chaque ouverture. Voir notre article dédié : Taux d'ouverture : faut-il le consentement ?.

Qui est responsable ? Les rôles selon la CNIL

La recommandation demande à chaque acteur de la chaîne d'e-mailing de déterminer son rôle au sens du RGPD :

• L'expéditeur (l'entreprise qui décide l'envoi et les finalités) est responsable de traitement. Il le reste même s'il sous-traite la gestion des traceurs.
• Le prestataire d'e-mailing agit en général comme sous-traitant, selon les instructions de l'expéditeur.
• Le fournisseur de la technologie de suivi peut devenir co-responsable s'il exploite les données pour ses propres finalités.
• Le fournisseur de messagerie n'est ni sous-traitant ni responsable tant qu'il n'exploite pas les données du pixel.

À noter : une simple clause contractuelle transférant la collecte du consentement à un tiers ne suffit pas à décharger l'expéditeur de son obligation de preuve.

Que faire avant le 14 juillet 2026 ? Deux options

Option 1 — Désactiver les pixels marketing. Vous renoncez à la mesure de performance et au profilage par pixel. Résultat : plus aucun consentement à gérer pour ces finalités. Si votre outil d'e-mailing ne permet pas de désactiver ces pixels, il peut être nécessaire d'envisager un autre prestataire.

Option 2 — Conserver les pixels marketing.

1. Nouveaux contacts : recueillir le consentement dès la collecte de l'adresse e-mail, avec une mention sur les formulaires, un lien de retrait et une trace dans le registre.
2. Base existante : pour les adresses collectées avant la recommandation, informer clairement de l'usage des pixels et permettre de s'y opposer facilement, d'ici le 14 juillet.

Bonne nouvelle : des données réellement anonymisées peuvent être réutilisées sans consentement (le RGPD reste applicable au traitement d'anonymisation lui-même).

Comment recueillir et retirer le consentement

• Au bon moment : dès la collecte de l'adresse e-mail, avec un lien vers une information détaillée.
• Finalité par finalité : chaque finalité distincte doit pouvoir être acceptée ou refusée séparément (pas de couplage).
• Sans dark pattern : refuser doit être aussi simple qu'accepter ; l'inactivité vaut refus.
• Retrait facile : un lien de retrait en pied de page de chaque e-mail, sans avoir à ressaisir son adresse.
• Choix mémorisés : ne plus re-solliciter pendant environ six mois après un refus.

Enfin, l'entreprise doit pouvoir prouver le consentement de manière individualisée (article 7.1 du RGPD) : la trace de chaque personne et les conditions de recueil.

Pixel et e-mail : deux régimes distincts

Une confusion fréquente : le droit d'envoyer un e-mail (encadré par le CPCE) et le droit de poser un pixel dedans (article 82) sont indépendants. Prospecter un client sur des produits similaires peut être permis sans consentement… mais insérer un pixel de mesure de performance dans ce même e-mail peut, lui, nécessiter le consentement du destinataire. Voir aussi : Prospection B2B et RGPD et Prospection B2C et RGPD.

Sources : CNIL, Recommandation relative aux pixels de suivi dans les courriers électroniques, version adoptée le 12 mars 2026 ; CEPD, lignes directrices 2/2023 (version 2.0, 7 octobre 2024).