# Pixels de suivi e-mail : ce que la CNIL soumet au consentement

URL canonique : https://brew.new/fr/blog/cnil-tracking-pixel-rules-email
Rédigé par Philip Sørensen
Publication : 2026-10-06
Mise à jour : 2026-10-06

La recommandation de la CNIL relative aux pixels de suivi dans les courriers électroniques est la lecture officielle, en France, de la façon dont les règles du consentement s’appliquent à cette image invisible qui signale à l’expéditeur que vous avez ouvert un message. Un pixel d’ouverture lit des informations sur le terminal du destinataire : il exige donc un consentement préalable, sauf s’il relève de l’une des deux exemptions, très encadrées. La CNIL l’a adoptée par la délibération n° 2026-042 du 12 mars 2026, l’a publiée au Journal officiel le 14 avril 2026, puis l’a complétée le 22 juillet 2026 par une FAQ de 27 questions.

Si votre ESP insère un pixel dans chaque e-mail, comme la plupart le font, et que votre formulaire d’inscription n’en dit rien, chacun de vos destinataires en France pose problème, où que vous soyez établi. La CNIL publie une [traduction de courtoisie en anglais](https://www.cnil.fr/sites/default/files/2026-05/recommandation_tracking_pixels_emails.pdf) de sa recommandation, mais nos citations reprennent l’[original français](https://www.cnil.fr/sites/default/files/2026-04/recommandation-pixels_de_suivi.pdf). Celles de la FAQ reprennent elles aussi le texte de la CNIL ; les éléments tirés des webinaires sont rapportés d’après leurs supports de présentation.

Cet article ne constitue pas un conseil juridique. La recommandation se décrit elle-même comme « ni réglementaire ni exhaustive » : faites vérifier votre dispositif par votre conseil juridique.

## À retenir

- Les ouvertures utilisées pour optimiser les campagnes, construire des profils ou détecter la fraude exigent un consentement préalable.
- Deux usages sont exemptés : la sécurité de l’authentification, et les pixels de délivrabilité insérés dans des e-mails demandés, qui ne conservent que la date de la dernière ouverture pour ralentir ou arrêter les envois aux destinataires inactifs. Les e-mails envoyés au titre du soft opt-in et les relances de panier abandonné n’en bénéficient pas.
- Les contacts collectés avant le 14 avril 2026 devaient être informés et pouvoir s’opposer au plus tard le 14 juillet. Faute de quoi, leur consentement est désormais nécessaire.
- Demandez le consentement aux pixels comme un choix distinct sur le formulaire de collecte de l’adresse, et placez un lien de retrait dans le pied de page de chaque e-mail.
- Les liens traçants sont soumis au même examen au titre de l’article 82, apprécié selon leur finalité.

## D’où vient la règle

L’article 5, paragraphe 3, de la directive « vie privée et communications électroniques », dite ePrivacy ([version consolidée](https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02002L0058-20091219)), dispose que le stockage d’informations dans l’équipement terminal d’un utilisateur, ou l’accès à ces informations, « n’est permis qu’à condition que l’abonné ou l’utilisateur ait donné son accord ». Font exception le stockage ou l’accès qui visent exclusivement à transmettre une communication, ou qui sont « strictement nécessaires » à la fourniture d’un service expressément demandé par l’utilisateur. La France a transposé cette disposition à l’[article 82 de la loi Informatique et Libertés](https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes#article82), sur lequel reposent aussi les sanctions de la CNIL en matière de cookies.

Les [lignes directrices 2/2023](https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en) du CEPD (version 2.0, adoptées le 7 octobre 2024) indiquaient déjà que l’ajout d’informations de pistage aux URL ou aux images « constitue une demande à l’équipement terminal de renvoyer les informations ciblées ». Le RGPD encadre la suite, y compris la preuve du consentement prévue à l’article 7, paragraphe 1.

| Date | Ce qui s’est passé |
|---|---|
| Du 12 juin au 24 juillet 2025 | [Consultation publique](https://www.cnil.fr/fr/consultation-publique-projet-recommandation-pixels-de-suivi) sur le projet |
| 12 mars 2026 | La CNIL adopte la délibération n° 2026-042 |
| 14 avril 2026 | [Publication](https://www.cnil.fr/fr/recommandation-pixel-suivi-courriels) au Journal officiel. Application immédiate aux nouvelles adresses |
| 28 mai et 4 juin 2026 | Webinaires pour les expéditeurs et pour les prestataires d’e-mail |
| 14 juillet 2026 | Fin du délai d’information des contacts existants |
| 22 juillet 2026 | [Publication de la FAQ](https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques) |

Le [projet de juin 2025](https://www.cnil.fr/sites/default/files/2025-06/projet_de_recommandation_pixels_de_suivi.pdf) n’exemptait qu’un taux d’ouverture global et recommandait des pixels identiques pour tous les destinataires. Le texte final est plus souple : il exempte la mesure individuelle de la délivrabilité, sous des conditions strictes.

## Ce qui est concerné

La recommandation décrit un pixel de suivi comme une image hébergée à distance dont l’URL « comporte le plus souvent des paramètres individualisés se rapportant à l’utilisateur ou au contexte ». Son chargement transmet l’identifiant du pixel, l’adresse IP et d’autres données de ce type à celui qui l’a placé. C’est ce que régit l’article 82.

- **Tous les e-mails**, y compris ceux adressés aux clients, aux prospects et à vos propres salariés sur leur adresse professionnelle (question 3 de la FAQ).
- **Tous les expéditeurs** dont les pixels suivent des personnes se trouvant en France, qu’ils soient établis dans l’UE ou non (question 2 de la FAQ). Le guichet unique ne s’applique pas aux contrôles fondés sur l’article 82.
- **Tous les acteurs.** L’expéditeur est responsable du traitement. Le prestataire d’emailing est normalement sous-traitant, ou responsable conjoint s’il utilise les données des pixels pour ses propres finalités et que le contrat le prévoit.

Les messageries sécurisées comme celles que proposent les banques reposent sur d’autres protocoles et sont exclues.

## Les usages des pixels qui exigent un consentement

La partie 3.1 en énumère quatre :

1. « L’analyse du taux d’ouverture des courriels pour mesurer et optimiser les performances des campagnes en personnalisant le contenu des messages ou en adaptant la fréquence d’envoi ou le canal de communication ». Elle inclut les « procédés de fiabilisation de cette mesure », comme la lutte contre la fraude publicitaire.
2. « La création de profils des destinataires » pour les cibler sur des sites web, des applications ou d’autres canaux.
3. « La détection et l’analyse de suspicions de fraude, telles que l’identification d’ouvertures inhabituelles ou massives de courriels ».
4. La mesure individuelle des ouvertures à des fins de délivrabilité, en dehors de l’exemption prévue à la partie 3.2.

Le premier point est le plus lourd de conséquences. Les heures d’envoi calculées à partir des ouvertures, les segments « a ouvert au cours des 30 derniers jours » et les branches d’automatisation déclenchées par une ouverture exigent tous un consentement.

Avoir le droit d’envoyer ne règle pas la question. Selon la partie 4.2, le consentement aux pixels « pourra être nécessaire pour des courriels qui ne nécessitent pas, en principe, le consentement des destinataires », comme les confirmations de commande, la prospection au titre du soft opt-in, la prospection caritative et la prospection B2B.

## Les deux exemptions

![Tableau de décision : les usages des pixels de suivi dans les e-mails qui exigent un consentement selon la recommandation de la CNIL, par type d’e-mail et par finalité.](/images/blog/cnil-tracking-pixel-rules-email-decision-table.png)

*Ce qui exige un consentement, par type d’e-mail et par finalité du pixel, d’après la recommandation de la CNIL et sa FAQ de juillet 2026.*

### La sécurité de l’authentification

Un pixel utilisé uniquement pour sécuriser une authentification peut être exempté, par exemple pour vérifier qu’un e-mail contenant un code de connexion a bien été ouvert sur un terminal connu de l’utilisateur. La question 13 de la FAQ y inclut les réinitialisations de mot de passe. La lutte contre la fraude en général, la détection des bots et la protection de l’inventaire publicitaire ne sont pas couvertes.

### La délivrabilité

C’est sur celle-ci que la plupart des expéditeurs s’appuieront. Les quatre conditions doivent toutes être remplies.

1. **La personne a demandé l’e-mail ou le service auquel il se rattache.** La recommandation cite les e-mails de bienvenue, les alertes de compte, les notifications d’expédition, les confirmations de commande, les factures, les réinitialisations de mot de passe, les réponses du service client, les rappels de rendez-vous, les notifications de paiement et les notifications de violation de données. Une confirmation de commande qui contient des promotions n’entre plus dans ce cadre (question 16 de la FAQ).
2. **Les données servent uniquement à nettoyer la liste,** dans la limite de ce qui est strictement nécessaire « pour adapter la fréquence ou arrêter l’envoi des courriels aux destinataires dits “inactifs” ». Changer de canal et prouver la remise d’une information exigée par la loi sont également permis.
3. **Vous ne conservez que la date de la dernière ouverture.** En principe, « seule la date (à la journée et sans enregistrer l’heure) de la dernière ouverture connue de courriels » devrait être conservée, et remplacée à chaque nouvelle ouverture. Selon la question 7 de la FAQ, collecter l’adresse IP ou le user agent, même anonymisés peu après, fait perdre le bénéfice de l’exemption.
4. **Vous en tirez les conséquences.** La question 8 de la FAQ attend des expéditeurs qu’ils arrêtent les envois, en réduisent la fréquence ou changent de canal pour les personnes qui n’ouvrent pas, et qu’ils le documentent, par exemple en mesurant la part des contacts retirés des bases pour inactivité.

Une newsletter à laquelle la personne s’est inscrite compte comme demandée : son pixel de délivrabilité peut donc être exempté. Ce n’est pas le cas de la prospection envoyée au titre du soft opt-in, l’exception prévue à l’article L. 34-5 du code des postes et des communications électroniques pour les produits ou services analogues ([fiche de la CNIL](https://www.cnil.fr/fr/la-prospection-commerciale-par-courrier-electronique)) : son pixel exige un consentement (questions 15 et 17 de la FAQ). Les relances de panier abandonné sont promotionnelles et exigent elles aussi un consentement.

### Les taux d’ouverture agrégés

Selon la question 18 de la FAQ, ne collecter que des données agrégées ne dispense pas de recueillir le consentement, car l’article 82 s’applique « que les données concernées soient personnelles ou non ». La question 6 précise que des données collectées de façon licite, par un pixel exempté ou couvert par un consentement, peuvent être anonymisées pour établir un taux d’ouverture de campagne sans nouveau consentement.

Un pixel exempté vous donne donc toujours un taux d’ouverture par campagne, mais ni les heures d’ouverture, ni les données sur le terminal, ni des segments. Un même pixel peut servir à la fois des finalités exemptées et des finalités pour lesquelles la personne a consenti (question 10), mais il ne peut pas être déposé en simple attente d’un consentement.

## Comment recueillir le consentement

**Demandez-le sur le formulaire de collecte de l’adresse,** avec un intitulé court pour chaque finalité, un bref descriptif et un lien vers une information plus détaillée. Indiquez quelle adresse est concernée et précisez que le suivi s’applique à tous les terminaux.

**Partez de la formulation de la CNIL.** Son exemple pour la mesure des performances des campagnes : « [Nom de l’expéditeur des courriels] et [des sociétés tierces] utilisent des traceurs (pixels de suivi) pour savoir si vous ouvrez les courriels, l’heure à laquelle vous le faites ainsi que des informations sur le terminal que vous utilisez afin de personnaliser le contenu des messages, adapter la fréquence d’envoi ou le canal de communication utilisé. »

**Demandez-le finalité par finalité.** Un bouton « Tout accepter » est admis si un second niveau d’information permet de choisir chaque finalité. Des finalités connexes, comme une newsletter présentée comme personnalisée, peuvent partager un même consentement.

**Si vous le demandez plus tard, faites-le uniquement dans un e-mail sans pixel soumis au consentement,** avec un lien vers une page qui exige une action positive, pour que les clients de messagerie qui préchargent les liens ne puissent pas consentir à la place de la personne. Le silence vaut refus, refuser doit être aussi simple qu’accepter, et attendre 6 mois avant de redemander constitue, selon les mots de la CNIL, une « bonne pratique ».

**Placez le retrait dans chaque pied de page,** sous la forme d’un lien propre à chaque destinataire, qui n’exige pas de saisir l’adresse. Une page commune pour les pixels et le désabonnement convient, si elle n’ajoute aucune étape. Ensuite, ignorez les requêtes des anciens pixels et supprimez les données dont la seule base légale était le consentement.

**Conservez une preuve pour chaque personne.** Enregistrez chaque consentement et la façon dont vous l’avez obtenu. Une clause contractuelle affirmant qu’un partenaire l’a recueilli ne constitue pas une preuve.

## La transition du 14 juillet

Les adresses collectées depuis le 14 avril 2026 sont soumises à l’ensemble des règles. Les plus anciennes pouvaient conserver leurs pixels si les expéditeurs informaient les destinataires et leur permettaient de s’y opposer dans un délai de 3 mois, soit au plus tard le 14 juillet 2026. La question 25 de la FAQ admet une prolongation « raisonnable », uniquement lorsqu’un fort volume impose d’étaler les envois et que ces difficultés sont documentées. Les supports des webinaires acceptent un e-mail dédié, avec preuve d’envoi, ou une mention bien visible dans un e-mail habituel.

- **Information envoyée, pas d’opposition.** Vous pouvez vous en prévaloir tant que les conditions ne changent pas. Si vous devez de toute façon recueillir un nouveau consentement, par exemple pour de nouveaux partenaires, recueillez aussi à ce moment-là le consentement aux pixels (question 27 de la FAQ).
- **Information envoyée, opposition de la personne.** Cessez d’insérer des pixels dans les e-mails qui lui sont destinés. D’après les supports des webinaires, les données collectées avant la publication peuvent être conservées.
- **Aucune information envoyée.** Selon la question 26 de la FAQ, le consentement est désormais requis. À défaut, cessez d’utiliser ces pixels.

## Le risque de sanction

La recommandation indique que la CNIL « reçoit un nombre croissant de signalements et de plaintes » au sujet des pixels, et l’autorité prévoit d’y veiller lors de ses prochains contrôles. Les pixels ne figurent pas parmi ses [thématiques prioritaires pour 2026](https://www.cnil.fr/fr/controles-prioritaires-2026), ce qui n’est qu’une maigre consolation. Sur les plusieurs centaines de contrôles qu’elle mène chaque année, consécutifs à des plaintes, à des signalements ou à de précédentes mesures correctrices, ou liés à l’actualité, seuls 20 % environ relèvent des thématiques prioritaires.

L’article 20 de la loi Informatique et Libertés plafonne les amendes à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, ou à 20 millions d’euros ou 4 % pour certains manquements au RGPD. Le 1er septembre 2025, la CNIL a [infligé une amende de 325 millions d’euros à Google](https://www.cnil.fr/fr/publicites-inserees-entre-les-courriels-et-cookies-la-cnil-sanctionne-google-dune-amende-de-325) pour des publicités insérées entre les e-mails de Gmail et pour le recueil du consentement aux cookies lors de la création d’un compte. En novembre 2025, elle a [sanctionné American Express d’une amende de 1,5 million d’euros](https://www.cnil.fr/en/cookies-american-express-fined-eu15-million-cnil), notamment pour avoir continué « à lire les traceurs précédemment déposés malgré le retrait de leur consentement ». Un ancien pixel qui enregistre encore des ouvertures après un retrait constitue le même manquement. Les dossiers plus simples passent par une [procédure de sanction simplifiée](https://www.cnil.fr/fr/la-procedure-de-sanction-simplifiee), plafonnée à 20 000 €, ou à 100 000 € au-delà de 50 millions d’euros de chiffre d’affaires.

## Ce qu’il faut changer

Si vous envoyez des e-mails à des personnes en France, voici l’ordre que nous suivrions :

1. **Recensez les pixels par flux** (transactionnel, newsletter sur inscription, soft opt-in, prospection B2B, relance de panier, reconquête), y compris les pixels publicitaires, d’enquête et d’analyse.
2. **Placez chaque usage dans le tableau de décision.** Les ouvertures qui alimentent des segments, l’optimisation de l’heure d’envoi ou des rapports exigent un consentement.
3. **Ajoutez une case non pré-cochée de consentement aux pixels sur chaque formulaire de collecte d’adresse,** et conservez la réponse, l’horodatage, la version du formulaire et la formulation exacte.
4. **Enregistrez le consentement aux pixels dans un champ de contact dédié,** distinct du statut d’abonnement.
5. **Retirez le pixel pour les contacts sans consentement.** Si vous ne le pouvez pas, utilisez un suivi de délivrabilité conforme à l’exemption ou désactivez le suivi des ouvertures pour cette audience.
6. **Mesurez avec des données que vous avez le droit d’utiliser.** Les dates de dernière ouverture exemptées peuvent alimenter vos règles de mise à l’écart des inactifs. Jugez la performance sur les conversions, le revenu, les réponses et les désabonnements ([les métriques qui tiennent la route](/fr/blog/email-metrics-that-matter)).
7. **Ajoutez le lien de retrait en pied de page,** et assurez-vous que les anciens pixels cessent d’enregistrer après un retrait.

### Les clics

Les liens traçants ne sont « pas directement visés » par la recommandation, mais selon la question 1 de la FAQ, ils doivent eux aussi respecter l’article 82. Les clics sont de toute façon des données plus fiables, puisque la [Mail Privacy Protection](https://support.apple.com/guide/iphone/use-mail-privacy-protection-iphf084865c7/ios) d’Apple empêche déjà les expéditeurs de savoir si vous avez ouvert leur e-mail. Le CEPD applique l’article 5, paragraphe 3, aux liens de pistage, et selon les supports des webinaires de la CNIL, le consentement dépend de la finalité, et non de la technologie. C’est notre lecture, pas celle de la CNIL : un lien traçant propre à chaque destinataire et utilisé pour optimiser les campagnes est traité comme un pixel. Les balises UTM communes n’identifient personne, et les conversions sur votre site relèvent du consentement aux cookies de ce site.

## Comment cela fonctionne aujourd’hui dans Brew

Brew mesure les ouvertures avec un pixel de 1x1 et les clics avec des liens propres à chaque destinataire ([documentation des métriques](https://docs.brew.new/analytics/key-metrics-and-terms)).

- **Le consentement est stocké sur le contact.** Chaque contact peut porter un enregistrement de consentement marketing, avec sa source, la date et l’heure de recueil, la version de la politique et la preuve. Ajoutez une propriété `pixelConsent` à l’inscription et [filtrez vos audiences sur cette propriété](https://docs.brew.new/audience/create-audiences).
- **Les anciens pixels sont supprimés à l’import.** Brew neutralise les pixels d’ouverture de la plateforme précédente dans le HTML importé.
- **Le retrait se fait en un clic.** Chaque e-mail marketing comporte un lien de désabonnement signé, propre à chaque destinataire.
- **L’Intelligent Send choisit l’heure d’envoi de chaque personne** à partir de ses ouvertures et de ses clics récents ([fonctionnement](https://docs.brew.new/create-emails/send-options#intelligent-send)). C’est de l’optimisation au sens de la partie 3.1 : réservez-le donc aux contacts qui ont consenti.
- **Le suivi est activé pour chaque envoi.** Il n’existe pas encore d’interrupteur pour désactiver le pixel par envoi, par contact ou par domaine : pour l’instant, excluez de ces envois les personnes résidant en France qui n’ont pas consenti aux pixels, et dites-nous si vous avez besoin de cet interrupteur.

Notre [State of Email de septembre](/fr/blog/state-of-email-september-2026) propose un résumé plus court de la FAQ.

## Questions fréquentes

### Faut-il un consentement pour suivre les ouvertures d’e-mails en France ?

Pour la plupart des usages marketing, oui. Seuls les pixels de sécurité de l’authentification et les pixels de délivrabilité strictement encadrés, insérés dans des e-mails demandés, sont exemptés.

### La règle de la CNIL sur les pixels s’applique-t-elle aux entreprises établies hors de France ?

Oui, si vous suivez des personnes se trouvant en France, que vous soyez établi ailleurs dans l’UE ou en dehors. Le guichet unique ne s’applique pas aux contrôles fondés sur l’article 82.

### Les e-mails transactionnels sont-ils exemptés du consentement aux pixels ?

Uniquement pour la délivrabilité, lorsque le pixel ne conserve que la date de la dernière ouverture afin d’arrêter ou de ralentir les envois aux destinataires inactifs. L’analyse ou la personnalisation exigent un consentement, et l’ajout de promotions fait perdre l’exemption.

### Puis-je établir un taux d’ouverture agrégé sans consentement ?

Oui, si les données proviennent d’un pixel exempté ou couvert par un consentement et que vous les anonymisez de manière effective. Ne collecter que des agrégats ne dispense pas du consentement, car l’article 82 couvre aussi les données non personnelles.

### Le suivi des clics est-il couvert par la recommandation de la CNIL ?

Pas directement. Selon la CNIL, les liens traçants relèvent tout de même de l’article 82 et s’apprécient selon leur finalité. La recommandation considère un lien de retrait unique en pied de page comme une mesure de sécurité exemptée.