<p>Depuis le 14 juillet 2026, la recommandation de la CNIL sur les pixels de suivi dans les courriels s'applique pleinement : ces traceurs invisibles...
Depuis quelques semaines, vous avez probablement reçu des e-mails d'entreprises vous informant qu'elles utilisent un « pixel de suivi » et vous proposant de vous y opposer. Ces messages ne sortent pas de nulle part: ils appliquent une recommandation de la CNIL publiée le 14 avril 2026, dont le délai de mise en conformité pour les bases existantes est arrivé à échéance le 14 juillet 2026.
Ce sujet concerne toutes les entreprises deux fois: comme destinataires d'e-mails suivis, et comme expéditrices de newsletters, de devis ou de confirmations de commande. Voici ce qu'il faut en retenir. Un pixel de suivi — aussi appelé « pixel espion » ou tracking pixel — est une image d'un pixel sur un pixel, invisible, insérée dans le corps d'un e-mail. Le nom du fichier image contient un identifiant unique rattaché à votre adresse.
Lorsque votre logiciel de messagerie affiche le message, il télécharge cette image depuis le serveur de l'expéditeur. Ce simple chargement suffit à lui indiquer que le message a été ouvert. Selon la configuration, il peut aussi révéler le moment de l'ouverture, le nombre de fois, votre adresse IP (donc une localisation approximative) et le logiciel utilisé.
Le mécanisme est le même que celui des « liens traçants »: ces adresses de redirection qui enregistrent votre clic avant de vous envoyer vers la page attendue. La CNIL les traite dans le même cadre. La recommandation a été adoptée par délibération n° 2026-042 du 12 mars 2026 et publiée le 14 avril 2026. Son point de départ juridique: les pixels de suivi relèvent de l'article 82 de la loi Informatique et Libertés — le même texte que les cookies. Ils supposent donc, par principe, un consentement préalable du destinataire.
Trois précisions importantes pour les entreprises:
Le consentement se recueille au moment de la collecte de l'adresse e-mail, et non dans l'e-mail lui-même. Concrètement: sur le formulaire d'inscription, la case de commande, le bulletin de contact. La recommandation s'applique à tous les contextes, quels que soient l'expéditeur et le destinataire: client, prospect, ou même salarié sur son adresse professionnelle. Il n'y a pas d'exclusion par nature.
Elle vise aussi les prestataires techniques: plateformes d'envoi, loueurs de listes de diffusion, fournisseurs de la technologie de suivi. Chacun doit analyser son rôle et ses obligations.
Les exceptions: mesurer la délivrabilité, sécuriser
La CNIL a assoupli son projet initial après consultation publique. Une exemption de consentement est reconnue pour la mesure individuelle de la délivrabilité — c'est-à-dire repérer les destinataires qui n'ouvrent plus les messages afin de les retirer des listes et préserver la réputation d'envoi du domaine. L'exemption est strictement encadrée: les données doivent être limitées au strict nécessaire et ne servir qu'à cette finalité. Une seconde exemption existe pour des besoins de sécurité.
Encore faut-il que l'e-mail soit rattaché à un service demandé par le destinataire. Entrent dans ce périmètre:
Les e-mails transactionnels: confirmations de commande, notifications d'expédition, factures, réinitialisations de mot de passe, alertes de compte, alertes de sécurité, notifications de violation de données. Les e-mails pour lesquels le destinataire a donné son consentement — une newsletter à laquelle il s'est inscrit lui-même, par exemple.
En revanche, une newsletter envoyée à une adresse récupérée sans demande expresse ne bénéficie pas de l'exemption. Et attention: un pixel « mixte », qui poursuit à la fois une finalité exemptée et une finalité de marketing, ne peut pas se réfugier derrière l'exemption.
Enfin, même lorsqu'un pixel est exempté de consentement, il reste un traitement de données personnelles soumis au RGPD. La CNIL recommande d'informer les destinataires de son existence, par exemple dans la politique de confidentialité, et de respecter leurs droits. La CNIL a retenu une approche progressive. Pour les adresses collectées avant le 14 avril 2026, il n'était pas exigé de repartir de zéro: il suffisait d'informer clairement les destinataires de l'usage de pixels et de leur permettre de s'y opposer facilement, dans un délai de trois mois — donc avant le 14 juillet 2026. Ce délai peut être prolongé de façon raisonnable en cas de difficultés objectives et documentées, liées par exemple au volume de la base.
C'est exactement l'objet des messages « nous vous informons que nos e-mails contiennent un pixel de suivi, vous pouvez vous y opposer » qui circulent depuis le printemps. Pour les adresses collectées après le 14 avril 2026, le régime du consentement s'applique pleinement.
La CNIL a annoncé une phase d'accompagnement — webinaires, questions-réponses publiées le 22 juillet 2026 — avant de veiller au respect des règles dans le cadre de ses contrôles à venir.
Vous envoyez des e-mails: votre plan d'action
Faire l'inventaire: quels outils d'emailing utilisez-vous, et pour chacun, les pixels et liens traçants sont-ils activés? Sur la plupart des plateformes, le suivi des ouvertures est actif par défaut. Trier vos envois: transactionnels (confirmations, factures, sécurité), newsletters consenties, prospection non sollicitée. Le régime applicable diffère pour chacun.
Revoir vos formulaires de collecte: c'est là que le consentement au suivi doit être recueilli, distinctement et sans case pré-cochée, avec des finalités présentées de façon compréhensible. Prévoir le retrait: un lien accessible en bas de chaque e-mail, idéalement vers un centre de préférences regroupant suivi et désinscription. Le retrait doit être aussi simple que le consentement.
Documenter: conserver la preuve du consentement et de vos choix de configuration. En cas de contrôle, c'est à vous de démontrer votre conformité. Interroger vos prestataires: votre plateforme d'envoi propose-t-elle de désactiver le suivi par segment? Le contrat de sous-traitance est-il à jour?
Un point à ne pas confondre: l'opposition au pixel n'est pas une désinscription. Une personne qui refuse le suivi doit continuer à recevoir les communications auxquelles elle est abonnée — vous cessez simplement d'en mesurer les ouvertures et les clics. Côté destinataire, la protection la plus simple consiste à empêcher le chargement automatique des images distantes. Sans image chargée, pas de pixel déclenché.
Gmail: Paramètres → Images → « Demander avant d'afficher les images externes ». Outlook (bureau): Options → Centre de gestion de la confidentialité → bloquer le téléchargement automatique des images dans les messages HTML.
Apple Mail: activer « Protéger l'activité dans Mail », qui masque l'adresse IP et charge les contenus distants de façon privée. Thunderbird: le blocage des contenus distants est actif par défaut; vérifiez qu'il n'a pas été désactivé.
Lire en texte brut pour les messages sensibles, ou utiliser les liens d'opposition proposés par les expéditeurs.
À noter: ces réglages dégradent parfois l'affichage des e-mails légitimes. Un compromis raisonnable consiste à bloquer par défaut et à autoriser au cas par cas. La CNIL n'interdit pas les pixels de suivi: elle les aligne sur le régime des cookies. Pour une PME, l'enjeu n'est pas technique mais organisationnel — savoir ce que ses outils font, sur quelle base, et pouvoir le prouver. Les entreprises qui traitent le sujet maintenant s'épargnent une mise en conformité en urgence lors du premier contrôle. Chez TICLIC, nous accompagnons les PME dans l'audit de leurs outils d'emailing, la configuration du suivi et la mise en cohérence de leurs formulaires de collecte. Si vous ne savez pas ce que votre plateforme d'envoi enregistre aujourd'hui, c'est le bon moment pour le vérifier.
Sources: CNIL, « Pixels de suivi dans les courriers électroniques: la CNIL publie ses recommandations pour mieux protéger la vie privée », 14 avril 2026; CNIL, questions-réponses sur la recommandation, 22 juillet 2026; délibération n° 2026-042 du 12 mars 2026.