La Commission nationale de l’informatique et des libertés (ci-après « CNIL ») a adopté le 12 mars 2026, et publié le 14 avril 2026, une recommandation relative aux pixels de suivi dans les courriers électroniques.[1] Le texte soumet ces traceurs à l’article 82 de la loi n° 78-17 du 6 janvier 1978, dans la ligne des lignes directrices 2/2023 du comité européen de la protection des données (ci-après « CEPD »).[2] La mesure d’audience bascule sous consentement, la délivrabilité y échappe sous condition.
Un traceur qui vaut lecture du terminal
La requête d’affichage porte l’identifiant du destinataire
Les pixels sont des images hébergées sur des serveurs distants, dont l’affichage impose au client de messagerie une requête vers une URL comportant le plus souvent des paramètres individualisés.[3] La CNIL en tire la qualification suivante :
« L’inclusion de ces pixels de suivi dans les courriels constitue, dès lors, une instruction donnée au terminal de l’utilisateur de renvoyer des informations ciblées (identifiant du pixel, adresse IP, etc.) aux acteurs qui les déposent. Ces informations sont communiquées à travers les paramètres de la requête et leur collecte, par le serveur hébergeant l’image, constitue une opération de lecture sur le terminal de l’utilisateur »[4].
Les messageries captives, telles celles des banques, reposent sur d’autres protocoles et sortent du champ.[5]
L’expéditeur, responsable conjoint des opérations qu’il accepte
L’expéditeur, celui qui a décidé de l’envoi, détermine les finalités et les moyens des traceurs, le prestataire d’emailing agissant en sous-traitant.[6] Il devient en principe responsable conjoint des opérations réalisées par des tiers au sein des courriels dont il a demandé l’envoi, dès lors qu’il les accepte contractuellement.[7]
Le fournisseur de la technologie de suivi passe de la sous-traitance à la responsabilité conjointe dès qu’il exploite les données pour ses finalités propres, tout comme le loueur de listes, ce qui appelle la répartition de l’article 26 du RGPD.[8] Le fournisseur du service de messagerie, qui n’exploite pas ces données, n’est ni l’un ni l’autre.[9]
Le consentement, et deux exemptions étroites
Quatre finalités placées sous consentement
L’insertion d’un pixel suppose le consentement préalable du destinataire pour quatre finalités[10] :
l’analyse du taux d’ouverture pour mesurer et optimiser les performances des campagnes ;
la création de profils selon les préférences et centres d’intérêt manifestés, pour cibler ailleurs que dans les courriels ;
la détection et l’analyse de suspicions de fraude, telles que des ouvertures inhabituelles ou massives ;
la mesure individuelle du taux d’ouverture à des fins de délivrabilité, hors des cas exemptés.
La délivrabilité exemptée, à charge de démonstration
Deux usages échappent au consentement : les mesures de sécurité participant à l’authentification, et la mesure individuelle du taux d’ouverture à des fins de délivrabilité.[11] Le responsable du traitement doit alors démontrer que les opérations se limitent au strict nécessaire pour adapter la fréquence ou arrêter l’envoi aux destinataires inactifs.[12]
La minimisation conduit à ne conserver que la date, à la journée et sans l’heure, de la dernière ouverture connue, la précédente étant supprimée.[13] L’exemption ne joue que pour les courriels demandés par le destinataire, dont les transactionnels et ceux de l’administration liés à une mission de service public.[14]
Ce que la recommandation impose désormais
Un consentement recueilli dès la collecte de l’adresse
La CNIL privilégie un recueil au moment de la collecte de l’adresse, le formulaire portant une information synthétique sur les finalités.[15] À défaut, le recueil ultérieur passe par un courriel sans dispositif de suivi soumis au consentement, dont le lien redirige vers une page où la personne accomplit une action positive, ce qui écarte une collecte involontaire par préchargement.[16]
L’inactivité vaut refus, le refus doit être aussi simple que l’acceptation et l’absence de nouvelle sollicitation pendant six mois constitue une bonne pratique.[17] La CNIL recommande un consentement indépendant et spécifique par finalité distincte, sauf pour la prospection commerciale par voie électronique et les pixels servant des finalités connexes, qu’un consentement unique peut couvrir.[18]
Trois mois pour les adresses déjà collectées
Pour les adresses collectées avant la publication, les opérations peuvent se poursuivre sous réserve d’une information claire adressée aux destinataires dans un délai qui ne saurait, en principe, excéder trois mois, soit le 14 juillet 2026.[19] Le responsable tenu de solliciter un nouveau consentement pour l’utilisation de l’adresse doit y inclure les opérations non exemptées.[20]
La preuve reste individualisée, la clause par laquelle un tiers s’engage à recueillir le consentement ne suffisant pas au regard de l’article 7, paragraphe 1, du RGPD.[21] Le retrait passe par un lien traçant en pied de courriel et doit rester effectif pour les courriels déjà envoyés, en cas de réouverture.[22]
_______
[1] Délibération n° 2026-042 du 12 mars 2026 portant adoption d’une recommandation relative aux pixels de suivi dans les courriers électroniques, CNILTEXT000053885080 : https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000053885080. Date de publication indiquée par la CNIL, foire aux questions, réponse n° 25 : https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques
[2] Recommandation relative aux pixels de suivi dans les courriers électroniques, version adoptée le 12 mars 2026, p. 2 et 3, sections 1 et 2.1 : https://www.cnil.fr/sites/default/files/2026-04/recommandation-pixels_de_suivi.pdf. Lignes directrices 2/2023 du CEPD, version 2.0 adoptée le 7 octobre 2024, référence donnée par la recommandation en note 1 : https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-22023-technical-scope-art-53-eprivacy-directive_en. Directive 2002/58/CE du 12 juillet 2002 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32002L0058
[3] Recommandation, point 2.1, p. 2 et 3.
[4] Recommandation, point 2.1, p. 3.
[5] Recommandation, point 2.1, p. 3.
[6] Recommandation, point 2.2, p. 3.
[7] Recommandation, point 2.2, p. 3, et notes 4 et 5, qui citent, par analogie avec l’environnement web, CE, 10e et 9e ch. réunies, 6 juin 2018, n° 412589, CETATEXT000037022313 : https://www.legifrance.gouv.fr/ceta/id/CETATEXT000037022313, puis CJUE, 29 juillet 2019, C-40/17, Fashion ID : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62017CJ0040
[8] Recommandation, point 2.2, p. 4.
[9] Recommandation, point 2.2, p. 4.
[10] Recommandation, point 3.1, p. 5.
[11] Recommandation, point 3.2, p. 5.
[12] Recommandation, point 3.2, p. 5.
[13] Recommandation, point 3.2, p. 5. Le texte vise l’article 5.1.b) du RGPD, quand le principe de minimisation figure à l’article 5, paragraphe 1, sous c), du règlement (UE) 2016/679 : https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:32016R0679
[14] Recommandation, point 3.2, p. 5 et 6, et encadré p. 6.
[15] Recommandation, point 4.2, p. 8.
[16] Recommandation, point 4.2, p. 8.
[17] Recommandation, point 4.2, p. 9.
[18] Recommandation, point 4.2, p. 9, qui vise l’article 34-5 du Code des postes et des communications électroniques. Article L. 34-5, LEGIARTI000042155961, version en vigueur consultée le 13 août 2026 : https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000042155961
[19] Recommandation, point 7, p. 11. Échéance donnée par la CNIL, foire aux questions, réponse n° 25 : https://www.cnil.fr/fr/faq-recommandation-pixels-courriers-electroniques
[20] Recommandation, point 7, p. 11.
[21] Recommandation, point 6, p. 11.
[22] Recommandation, point 5, p. 10.